Приложение 3
к Лицензионному договору (публичной оферте) платформы «Глобокс»
ПОРУЧЕНИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
Составлено по ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». В графе «Обрабатывается» Лицензиат в Заявке отмечает, какие модули включены; по умолчанию — все, кроме отмеченных «по модулю».
1. Общие положения
1.1. Лицензиат (Оператор) поручает Лицензиару (Обработчику) обработку персональных данных Конечных пользователей и сотрудников Оператора, которые вносятся в Платформу, на условиях этого Поручения.
1.2. Обработчик действует только по поручению Оператора и в объёме, необходимом для исполнения Договора. Обработчик не обрабатывает эти данные в своих целях.
1.3. Ответственность перед субъектами персональных данных за действия Обработчика несёт Оператор. Обработчик отвечает перед Оператором (ч. 5 ст. 6 152-ФЗ).
1.4. Оператор гарантирует, что у него есть законные основания для обработки персональных данных и их поручения Обработчику (в том числе согласия субъектов, если они требуются).
2. Состав поручения
2.1. Цели обработки:
- обеспечение работы Клиентского приложения и Платформы: регистрация и авторизация Конечных пользователей, ведение программы лояльности (начисление и списание Баллов, уровни, ваучеры), применение скидок на кассе, оформление и выдача заказов;
- сегментация Конечных пользователей и персональные предложения по правилам, которые настраивает Оператор;
- сбор отзывов, оценок и ответов на опросы, работа реферальной программы;
- направление Конечным пользователям уведомлений по поручению Оператора (push, SMS, e-mail, сообщения в мессенджерах);
- перенос данных из прежнего сервиса Оператора (п. 4.7 Договора);
- хранение и резервное копирование данных;
- техническая поддержка Оператора.
2.2. Категории субъектов: Конечные пользователи (участники программы лояльности, покупатели); сотрудники Оператора, работающие в Личном кабинете, панели точки продаж и на кассе.
2.3. Перечень персональных данных:
| Категория | Данные | Обязательно |
|---|---|---|
| Идентификация | имя, фамилия, номер телефона, e-mail, дата рождения, пол, даты рождения детей (если покупатель их указал) | да |
| Программа лояльности | идентификатор, номер карты, уровень, журнал операций с Баллами и их остаток, ваучеры, промокоды, участие в акциях | да |
| Покупки | чеки: дата, точка продаж, позиции, суммы, скидки, способ оплаты (без реквизитов карты) | да |
| Заказы | состав заказа, точка и время выдачи, статус, комментарий | по модулю |
| Аналитика | сегменты, показатели частоты, давности и суммы покупок (RFM), любимые категории | да |
| Обратная связь | отзывы, оценки, ответы на опросы и NPS, обращения в поддержку | по модулю |
| Реферальная программа | кто кого пригласил, начисленные за это Баллы | по модулю |
| Технические | идентификатор устройства, push-токен, идентификатор чата в мессенджере, IP-адрес, версия ОС и приложения | да |
| Геоданные | координаты устройства для поиска ближайшей точки (при разрешении пользователя, не хранятся) | по модулю |
| Сотрудники Оператора | имя, телефон, e-mail, должность, точка продаж, журнал действий | да |
Специальные категории (здоровье, убеждения и т.п.) и биометрические персональные данные не обрабатываются. Если они понадобятся — только по отдельному соглашению.
2.4. Перечень действий: сбор (через интерфейсы Клиентского приложения), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ — только Оператору и лицам, указанным Оператором, а также субпроцессорам по п. 4), обезличивание, блокирование, удаление, уничтожение.
2.5. Способ обработки: автоматизированная, с передачей по сети Интернет.
3. Обязанности Обработчика
3.1. Соблюдать конфиденциальность персональных данных и требования ст. 18.1 и 19 152-ФЗ.
3.2. Принимать правовые, организационные и технические меры защиты, в том числе:
- хранить данные в базах, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ);
- шифровать каналы передачи (TLS не ниже 1.2) и резервные копии;
- разграничивать доступ сотрудников по ролям, вести журнал доступа;
- использовать средства защиты информации, требуемые для уровня защищённости, который Оператор определил для информационной системы по ПП РФ № 1119 и сообщил Обработчику;
- проводить резервное копирование и проверку восстановления;
- обучать сотрудников и получать с них обязательства о неразглашении.
3.3. По запросу Оператора в течение 10 рабочих дней предоставлять документы и информацию, подтверждающие принятие мер по п. 3.2 (ч. 3 ст. 6 152-ФЗ). Основной такой документ — Перечень мер защиты (часть 2 Политики информационной безопасности Обработчика) с датой актуализации. Политика ИБ предоставляется для ознакомления. Внутренние технические детали (схемы сети, конфигурации) не раскрываются. Заполнение опросника Оператора по ИБ — не чаще одного раза в год бесплатно.
3.4. Инциденты. Уведомлять Оператора о неправомерной или случайной передаче (утечке) персональных данных не позднее 12 часов с момента обнаружения, с описанием инцидента, предполагаемых причин, объёма данных и принятых мер. Это нужно, чтобы Оператор успел уведомить Роскомнадзор в течение 24 часов (ч. 3.1 ст. 21 152-ФЗ). Предоставлять результаты внутреннего расследования не позднее 48 часов, чтобы Оператор успел направить их в Роскомнадзор в течение 72 часов.
3.5. По запросу Оператора в течение 5 рабочих дней уточнять, блокировать или уничтожать персональные данные конкретного субъекта, если Оператор не может сделать это сам через Личный кабинет.
3.6. Передавать Оператору запросы субъектов и государственных органов, поступившие напрямую Обработчику, в течение 2 рабочих дней, и не отвечать на них самостоятельно (кроме случаев, прямо требуемых законом).
3.7. При прекращении Договора — вернуть (предоставить выгрузку) и уничтожить персональные данные в сроки п. 9.5 Договора и предоставить акт об уничтожении.
4. Субпроцессоры
4.1. Оператор даёт согласие на привлечение Обработчиком лиц, указанных в Перечне субпроцессоров на Сайте (globox.pro/legal/subprocessors). Перечень ведётся с датой и архивом редакций; к Договору применяется редакция на дату акцепта с изменениями по п. 4.2. SMS-шлюз и иные сервисы, договор с которыми заключил сам Оператор (например, свой SMS-провайдер), субпроцессорами Обработчика не являются: Оператор поручает им обработку сам.
4.2. Обработчик уведомляет Оператора о новом субпроцессоре за 14 дней. Смена дата-центра или облачного провайдера на территории РФ уведомления не требует, если данные остаются в РФ и требования п. 3.2 соблюдаются. Оператор вправе возразить; если возражение не урегулировано, Оператор вправе отказаться от Договора без штрафов.
4.3. Обработчик обязывает субпроцессоров соблюдать требования не ниже установленных этим Поручением.
4.4. Трансграничная передача персональных данных не осуществляется, если иное не согласовано письменно и Оператор не подал уведомление в Роскомнадзор по ст. 12 152-ФЗ.
5. Срок
5.1. Поручение действует в течение срока действия Договора и до уничтожения персональных данных по п. 3.7.