Соглашение об обработке данных

1. Стороны и предмет соглашения

1.1. Настоящее Соглашение об обработке персональных данных (далее — «Соглашение») заключается между Заказчиком (далее также — «Оператор»), зарегистрированным в Сервисе «Связио» и принявшим условия Пользовательского соглашения, и Индивидуальным предпринимателем Пащенко Эдуардом Леонидовичем (ИНН 231221935418, ОГРНИП 321237500279053), являющимся владельцем и администратором Сервиса «Связио» (далее — «Обработчик», «Исполнитель»).

1.2. Оператор является лицом, самостоятельно определяющим цели обработки персональных данных, состав персональных данных, подлежащих обработке, а также действия (операции), совершаемые с персональными данными. Обработчик является лицом, осуществляющим обработку персональных данных по поручению Оператора в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «ФЗ-152»).

1.3. В соответствии с частью 3 статьи 6 ФЗ-152, Оператор поручает Обработчику осуществлять обработку персональных данных от имени Оператора на условиях и в целях, определённых настоящим Соглашением. Поручение Оператора является обязательным условием обработки персональных данных Обработчиком, и Обработчик обязан соблюдать принципы и правила обработки персональных данных, предусмотренные ФЗ-152, в том же объёме, что и Оператор.

1.4. Субъектами персональных данных, обрабатываемых в рамках настоящего Соглашения, являются:

• Посетители сайтов Заказчика — физические лица, взаимодействующие с виджетом чата Связио, размещённым на сайтах Оператора, включая лиц, направляющих сообщения, оставляющих контактные данные или просто просматривающих страницы сайта, на которых установлен виджет.
• Сотрудники (агенты) Заказчика — физические лица, которым Оператор предоставил доступ к панели управления Сервиса «Связио» для обработки обращений Посетителей, включая операторов чата, менеджеров и администраторов.

2. Предмет и срок обработки

2.1. Предметом настоящего Соглашения является определение порядка, условий и взаимных обязательств Сторон при обработке персональных данных Обработчиком по поручению Оператора в рамках оказания услуг Сервиса «Связио» — платформы для онлайн-коммуникации с посетителями сайтов.

2.2. Настоящее Соглашение вступает в силу с момента регистрации Оператора в Сервисе и действует в течение всего срока действия Пользовательского соглашения между Оператором и Обработчиком. Обработка персональных данных осуществляется на протяжении всего периода оказания услуг.

2.3. По истечении срока действия Пользовательского соглашения положения настоящего Соглашения продолжают действовать в части, касающейся хранения, возврата и удаления персональных данных, до момента полного уничтожения или обезличивания всех персональных данных, обработанных Обработчиком по поручению Оператора.

3. Характер и цели обработки

3.1. Обработчик осуществляет обработку персональных данных исключительно в следующих целях, необходимых для надлежащего оказания услуг Сервиса «Связио»:

• Обеспечение функционирования виджета чата — сбор и обработка данных посетителей сайтов Оператора при их взаимодействии с виджетом, включая идентификацию посетителя, отображение информации о нём в панели оператора, маршрутизацию обращений.
• Хранение переписки — запись, систематизация и хранение текстовых сообщений, обмениваемых между Посетителями и агентами Оператора, для обеспечения непрерывности коммуникации и истории обращений.
• Хранение файловых вложений — приём, хранение и предоставление доступа к файлам, передаваемым в рамках диалогов между Посетителями и агентами.
• Аналитика и отчётность — агрегирование и анализ данных о посещениях, обращениях, времени ответа и иных метрик для формирования статистических отчётов, доступных Оператору в панели управления.
• Уведомления — отправка уведомлений агентам Оператора о новых обращениях посетителей посредством электронной почты, push-уведомлений и звуковых сигналов в панели управления.
• Управление учётными записями — создание, хранение и администрирование учётных записей агентов Оператора, включая аутентификацию, авторизацию и журналирование действий.

3.2. Обработчик вправе совершать следующие действия (операции) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление доступа Оператору и его уполномоченным агентам), блокирование, удаление, уничтожение.

3.3. Обработка персональных данных осуществляется с использованием средств автоматизации и без использования таких средств (смешанная обработка).

4. Категории персональных данных

4.1. Данные Посетителей сайтов Оператора:

• Идентификационные данные: имя, адрес электронной почты, номер телефона (при добровольном предоставлении Посетителем).
• Сетевые идентификаторы: IP-адрес, строка User-Agent (тип и версия браузера, операционная система, устройство).
• Данные о поведении: просмотренные страницы (URL), источник перехода (referrer), текущая страница, время и длительность визита.
• Геолокационные данные: приблизительное местоположение, определяемое на основе IP-адреса (страна, город).
• Коммуникационные данные: текстовые сообщения чата, файловые вложения, переданные в рамках диалогов.
• Технические идентификаторы: идентификатор посетителя (visitorId), данные файлов cookie, используемых виджетом.

4.2. Данные Сотрудников (агентов) Оператора:

• Идентификационные данные: фамилия, имя, отчество (при указании), адрес электронной почты.
• Данные учётной записи: роль в системе (администратор, оператор, менеджер), фотография профиля (при загрузке).
• Журналы действий: данные об авторизациях, отправленных сообщениях, изменениях настроек, времени нахождения в системе.

4.3. Метаданные коммуникаций:

• Временные метки: дата и время отправки каждого сообщения, начала и завершения диалога.
• Статистические показатели: количество сообщений в диалоге, время первого ответа агента, общая продолжительность диалога.
• Данные маршрутизации: назначенный агент, отдел, статус диалога (открыт, закрыт, отложен).

4.4. Обработчик не осуществляет обработку специальных категорий персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни). Оператор обязуется не передавать Обработчику специальные категории персональных данных. В случае если субъекты персональных данных самостоятельно сообщают такие сведения в текстах сообщений чата, ответственность за обработку таких данных несёт Оператор.

5. Обязанности Обработчика

5.1. Обработка исключительно по поручению Оператора. Обработчик обязуется осуществлять обработку персональных данных исключительно в целях и в объёме, определённых настоящим Соглашением и документированными указаниями Оператора. Обработчик не вправе использовать персональные данные, полученные от Оператора, в собственных целях, для целей маркетинга, профилирования или передачи третьим лицам, за исключением случаев, прямо предусмотренных настоящим Соглашением или требованиями законодательства Российской Федерации.

5.2. Конфиденциальность. Обработчик обязуется обеспечить, чтобы лица, уполномоченные на обработку персональных данных, приняли на себя обязательства по соблюдению конфиденциальности или были связаны надлежащим правовым обязательством о конфиденциальности. Обработчик ограничивает доступ к персональным данным Оператора только теми сотрудниками и подрядчиками, которым такой доступ необходим для выполнения обязанностей по настоящему Соглашению.

5.3. Меры по защите персональных данных. Обработчик обязуется принимать необходимые правовые, организационные и технические меры для обеспечения безопасности персональных данных в соответствии со статьями 18.1 и 19 ФЗ-152, а также в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации. Перечень конкретных технических и организационных мер определён в Разделе 9 настоящего Соглашения. Обработчик обязуется регулярно пересматривать и обновлять применяемые меры безопасности с учётом актуальных угроз и развития технологий.

5.4. Условия привлечения субподрядчиков (субобработчиков). Обработчик вправе привлекать третьих лиц (субобработчиков) к обработке персональных данных только с предварительного общего согласия Оператора, предоставленного в рамках настоящего Соглашения. Перечень актуальных субобработчиков приведён в Разделе 7 настоящего Соглашения. При привлечении нового субобработчика Обработчик обязан уведомить Оператора не менее чем за 30 (тридцать) календарных дней до начала обработки данных таким субобработчиком. Обработчик обеспечивает заключение с каждым субобработчиком договора, содержащего обязательства по защите персональных данных не менее строгие, чем обязательства Обработчика по настоящему Соглашению.

5.5. Содействие Оператору в обеспечении прав субъектов. Обработчик обязуется содействовать Оператору в выполнении его обязанностей по обеспечению прав субъектов персональных данных, предусмотренных главой 3 ФЗ-152, включая право на доступ, уточнение, блокирование и уничтожение персональных данных. При получении обращения от субъекта персональных данных непосредственно Обработчик незамедлительно перенаправляет такое обращение Оператору и не предпринимает самостоятельных действий по удовлетворению запроса без указания Оператора. Обработчик обеспечивает техническую возможность экспорта, корректировки и удаления персональных данных по запросу Оператора.

5.6. Уведомление об инцидентах безопасности. Обработчик обязуется незамедлительно, но не позднее 48 (сорока восьми) часов с момента обнаружения, уведомить Оператора о любом инциденте безопасности, связанном с неправомерным или случайным доступом, уничтожением, изменением, блокированием, копированием, распространением персональных данных, а также иными неправомерными действиями в отношении персональных данных. Порядок уведомления об инцидентах подробно определён в Разделе 11 настоящего Соглашения.

5.7. Удаление и возврат данных. По окончании срока действия Пользовательского соглашения или по требованию Оператора Обработчик обязуется обеспечить возврат персональных данных Оператору и/или удалить персональные данные в порядке и сроки, определённые Разделом 13 настоящего Соглашения, за исключением случаев, когда хранение персональных данных требуется в соответствии с законодательством Российской Федерации.

6. Обязанности Оператора

6.1. Оператор гарантирует, что обработка персональных данных Посетителей через Сервис осуществляется на законных основаниях и в соответствии с требованиями ФЗ-152, включая наличие надлежащего правового основания для обработки (согласие субъекта, исполнение договора или иное основание, предусмотренное статьёй 6 ФЗ-152).

6.2. Оператор обязуется самостоятельно получить согласие субъектов персональных данных на обработку их персональных данных и на передачу Обработчику для обработки по поручению в случаях, когда такое согласие является правовым основанием обработки.

6.3. Оператор обязуется обеспечить наличие на своём сайте актуальной политики конфиденциальности, в которой указано, что обработка персональных данных осуществляется с использованием Сервиса «Связио», а также раскрыта информация о целях, способах обработки и правах субъектов.

6.4. Оператор обязуется не поручать Обработчику обработку специальных категорий персональных данных (сведения о состоянии здоровья, биометрические данные, политические взгляды, религиозные убеждения и иные категории, указанные в статье 10 ФЗ-152). В случае передачи таких данных всю полноту ответственности перед субъектами и контролирующими органами несёт Оператор.

7. Субподрядчики (субобработчики)

7.1. Оператор предоставляет Обработчику общее согласие на привлечение субобработчиков, перечисленных в настоящем разделе, для обеспечения функционирования Сервиса. Субобработчики обеспечивают техническую инфраструктуру и вспомогательные сервисы и не осуществляют самостоятельной обработки персональных данных в целях, выходящих за рамки предоставленных им функций.

7.2. При намерении привлечь нового субобработчика или заменить существующего Обработчик обязан уведомить Оператора по электронной почте не менее чем за 30 (тридцать) календарных дней до начала обработки данных таким субобработчиком. Уведомление должно содержать наименование субобработчика, его местонахождение, цель обработки и категории обрабатываемых данных.

7.3. Оператор вправе в течение 15 (пятнадцати) календарных дней с момента получения уведомления заявить мотивированное возражение против привлечения нового субобработчика. В случае обоснованного возражения Стороны предпринимают разумные усилия для поиска альтернативного решения. Если альтернативное решение не найдено в течение 30 (тридцати) дней, Оператор вправе расторгнуть Пользовательское соглашение без штрафных санкций.

7.4. Обработчик несёт перед Оператором ответственность за действия привлечённых субобработчиков в том же объёме, что и за свои собственные действия.

8. Подтверждение соблюдения обязательств

8.1. По запросу Оператора Обработчик предоставляет информацию, необходимую для подтверждения выполнения обязательств по настоящему Соглашению, включая сведения о применяемых мерах безопасности, актуальный перечень субобработчиков и описание процессов обработки персональных данных. Информация предоставляется в электронном виде в разумный срок, не превышающий 15 (пятнадцати) рабочих дней с момента получения запроса.

9. Технические и организационные меры защиты

9.1. В соответствии со статьями 18.1 и 19 ФЗ-152 Обработчик реализует следующие технические и организационные меры для обеспечения безопасности персональных данных:

9.1.1. Шифрование данных.

• Все данные при передаче между клиентом и сервером защищены протоколом TLS версии 1.2 и выше.
• Чувствительные данные при хранении (пароли IMAP/SMTP-интеграций, токены доступа) шифруются алгоритмом AES-256-GCM.
• Пароли пользователей хранятся в виде криптографических хэшей с использованием алгоритма bcrypt.

9.1.2. Контроль доступа.

• Разграничение доступа на основе ролей (RBAC): каждый пользователь имеет доступ только к данным своей организации.
• Обязательная проверка принадлежности к организации (verifyOrgAccess) для всех запросов, включая запросы суперадминистраторов.
• Индивидуальные учётные записи для каждого сотрудника, запрет на использование общих аккаунтов.
• Сессионная аутентификация с автоматическим истечением срока действия токенов.

9.1.3. Сетевая безопасность.

• Программные межсетевые экраны (файрволы) на всех серверах с политикой «запрет по умолчанию».
• Удалённый доступ к серверам осуществляется исключительно по протоколу SSH с аутентификацией по ключам (парольная аутентификация отключена).
• Система автоматической блокировки подозрительных подключений (fail2ban).

9.1.4. Изоляция данных.

• Логическая изоляция данных на уровне организации (per-organization isolation): данные каждого Оператора строго отделены от данных других Операторов.
• Невозможность межорганизационного доступа к данным на уровне приложения и базы данных.

9.1.5. Резервное копирование.

• Ежедневное автоматическое резервное копирование баз данных.
• Резервные копии шифруются и хранятся в течение 30 (тридцати) дней.
• Регулярная проверка возможности восстановления данных из резервных копий.

9.1.6. Мониторинг и журналирование.

• Непрерывный серверный мониторинг доступности и производительности.
• Централизованное логирование ошибок и событий безопасности.
• Автоматическое оповещение ответственных лиц при обнаружении аномалий.

9.1.7. Реагирование на инциденты.

• Документированная процедура реагирования на инциденты безопасности.
• Уведомление затронутых Операторов в течение 48 (сорока восьми) часов с момента обнаружения инцидента.
• Проведение расследования и устранение последствий с документированием результатов.

9.1.8. Конфиденциальность.

• Лица, имеющие доступ к персональным данным, принимают на себя обязательства о конфиденциальности.
• Доступ предоставляется по принципу минимальных привилегий (need-to-know basis).

9.1.9. Физическая безопасность.

• Серверная инфраструктура размещена у хостинг-провайдера ООО «Смартэйп» (SmartApe) в дата-центре DataPro 1 (г. Москва, ул. Авиамоторная, 69), обеспечивающем соответствие требованиям законодательства РФ в области защиты персональных данных.
• Центры обработки данных обеспечивают контроль физического доступа, видеонаблюдение, системы пожаротушения и резервное электроснабжение.

10. Обработка данных на территории Российской Федерации

10.1. Обработчик осуществляет обработку персональных данных исключительно на территории Российской Федерации. Все серверы, базы данных и резервные копии, используемые для оказания услуг Сервиса «Связио» российским пользователям, расположены в дата-центрах на территории РФ.

10.2. Трансграничная передача персональных данных не осуществляется. Все субобработчики, привлечённые для обеспечения функционирования Сервиса (Яндекс.Метрика, Roistat), являются российскими компаниями и обрабатывают данные на серверах, расположенных на территории Российской Федерации.

10.3. Обработка персональных данных осуществляется в полном соответствии с требованиями части 5 статьи 18 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», обязывающей обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

11. Уведомление об инцидентах безопасности

11.1. Обработчик обязан уведомить Оператора о любом инциденте безопасности, связанном с персональными данными Оператора, не позднее 48 (сорока восьми) часов с момента обнаружения такого инцидента. Под инцидентом понимается любое нарушение безопасности, повлекшее случайное или незаконное уничтожение, потерю, изменение, несанкционированное раскрытие или доступ к персональным данным.

11.2. Уведомление об инциденте должно содержать следующую информацию (в объёме, известном на момент уведомления):

• Описание характера инцидента, включая категории и приблизительное количество затронутых субъектов персональных данных.
• Описание вероятных последствий инцидента.
• Описание принятых и предполагаемых мер по устранению инцидента и смягчению его последствий.
• Контактные данные ответственного лица для получения дополнительной информации.

11.3. Обработчик обязуется оказывать Оператору разумное содействие в расследовании инцидента и выполнении обязанности Оператора по уведомлению Роскомнадзора и субъектов персональных данных в случаях, предусмотренных частью 3.1 статьи 21 ФЗ-152.

11.4. Обработчик документирует все инциденты безопасности, включая обстоятельства инцидента, его последствия и принятые меры по устранению, и хранит данную документацию не менее 3 (трёх) лет.

12. Обращения субъектов персональных данных

12.1. Обработчик обязуется содействовать Оператору в выполнении обязанностей по рассмотрению обращений субъектов персональных данных, предусмотренных статьями 14, 20 и 21 ФЗ-152, включая запросы на доступ, уточнение, блокирование и уничтожение персональных данных.

12.2. В случае получения обращения субъекта персональных данных непосредственно Обработчиком, Обработчик незамедлительно, но не позднее 3 (трёх) рабочих дней, перенаправляет такое обращение Оператору и не предпринимает самостоятельных действий по удовлетворению запроса без письменного указания Оператора.

12.3. По получении указания Оператора Обработчик обеспечивает техническое выполнение запроса субъекта (экспорт данных, корректировка, удаление) в разумные сроки, но не позднее 10 (десяти) рабочих дней с момента получения указания.

13. Возврат и удаление персональных данных

13.1. По окончании срока действия Пользовательского соглашения или по письменному требованию Оператора Обработчик обязан обеспечить возможность экспорта персональных данных в машиночитаемом формате (JSON) в течение 30 (тридцати) календарных дней с момента получения соответствующего запроса.

13.2. По истечении срока, предоставленного для экспорта данных, или по получении подтверждения Оператора о завершении экспорта, Обработчик обязан удалить все персональные данные, обработанные по поручению Оператора, из всех систем, включая резервные копии, в течение 30 (тридцати) календарных дней.

13.3. Обработчик вправе сохранить персональные данные в объёме и в течение сроков, необходимых для исполнения обязанностей, установленных законодательством Российской Федерации (в частности, требования к хранению бухгалтерских документов, исполнение требований контролирующих органов).

13.4. По завершении удаления персональных данных Обработчик направляет Оператору письменное подтверждение уничтожения данных с указанием даты удаления и перечня удалённых категорий данных.

14. Ответственность

14.1. Обработчик несёт ответственность перед Оператором за нарушение обязательств по настоящему Соглашению в порядке и на условиях, предусмотренных Пользовательским соглашением и действующим законодательством Российской Федерации.

14.2. Оператор несёт единоличную ответственность перед субъектами персональных данных и контролирующими органами (Роскомнадзор) за законность сбора персональных данных, наличие правовых оснований для обработки, уведомление регулятора о начале обработки и обеспечение прав субъектов.

14.3. В случае предъявления к Обработчику претензий, исков или применения мер ответственности контролирующими органами в связи с нарушением Оператором своих обязанностей по настоящему Соглашению или законодательства о персональных данных, Оператор обязуется возместить Обработчику все документально подтверждённые убытки и расходы, включая расходы на юридическую помощь.

15. Срок действия и прекращение

15.1. Настоящее Соглашение вступает в силу с момента регистрации Оператора в Сервисе «Связио» (акцепт Пользовательского соглашения) и действует в течение всего срока действия Пользовательского соглашения.

15.2. После прекращения действия Пользовательского соглашения по любому основанию настоящее Соглашение продолжает действовать в части обязанностей по возврату, удалению и обеспечению конфиденциальности персональных данных до момента полного уничтожения или обезличивания всех персональных данных, обработанных Обработчиком по поручению Оператора.

15.3. Прекращение действия настоящего Соглашения не освобождает Стороны от ответственности за нарушения, допущенные в период действия Соглашения.

16. Контактная информация