Поручение на обработку персональных данных

Организация — юридическое лицо или индивидуальный предприниматель, которые создали организацию в сервисе Eyeward или пользуются ею, — поручает, а Исполнитель — владелец сайта и сервиса Eyeward (erp.frezal.by) — принимает поручение обрабатывать персональные данные, которые организация вносит в сервис или получает через него.

Поручение принимает владелец организации в сервисе от её имени — создавая организацию, внося в неё данные или продолжая пользоваться сервисом после публикации этого документа. Владелец подтверждает, что вправе действовать от имени организации. Если с организацией заключён отдельный договор, его условия о персональных данных имеют приоритет.

Пользователь, который ведёт данные других людей в личном пространстве без организации, принимает это поручение от своего имени.

Тех, о ком организация ведёт данные в сервисе: клиентов и их представителей, контрагентов, сотрудников и кандидатов, собеседников по почте, в мессенджерах и в чат-виджете сайта организации, посетителей сайтов и форм организации, других лиц, сведения о которых организация вносит.

Любые, которые организация вносит в поля записей, файлы, письма, сообщения, комментарии, документы и настройки сервиса или получает через подключённые ею каналы: например, фамилия, имя, отчество, контакты, должность, место работы, сведения о сделках, заказах и расчётах, переписка. Сюда же входят изображение, голос и сообщения чата участников видеовстреч организации, записи и расшифровки этих встреч и итоги по ним, если организатор их включил.

Специальные персональные данные (о здоровье, расовом или национальном происхождении, политических взглядах, религиозных убеждениях, судимости, биометрические и генетические данные) организация вносит, только если у неё есть для этого отдельное законное основание; сервис не предназначен для их особой защиты и такие данные не выделяет.

• хранение, поиск, отображение и изменение данных организации её пользователями в пределах прав, которые настроила организация;
• отправка и приём писем и сообщений, работа чатов, форм и виджетов, печать документов, уведомления;
• видеовстречи и звонки организации: передача изображения и звука участников через медиасервер Исполнителя, история и чат встреч, согласия гостей; если организатор включил запись — видеозапись встречи и её хранение в течение срока, который задала организация (по умолчанию 30 дней); если включил расшифровку — распознавание речи на серверах Исполнителя и хранение текста по говорящим (по умолчанию 180 дней); итог встречи по расшифровке составляет модель ИИ, которую подключила организация или организатор, — это внешний сервис по выбору организации;
• обмен данными с внешними сервисами, которые подключила организация, и работа ассистента — по действиям её пользователей;
• обеспечение безопасности и восстановление работы сервиса;
• помощь организации по её запросу (техническая поддержка).

Исполнитель не обрабатывает данные организации в своих целях: не анализирует их для себя, не использует для рекламы и обучения моделей ИИ, не продаёт и не передаёт третьим лицам иначе как по этому поручению.

Сбор (через формы, виджеты, почту и мессенджеры — по настройке организации), запись, систематизация, накопление, хранение, уточнение (изменение), извлечение, использование, передача (предоставление, доступ) пользователям организации и во внешние сервисы, которые она подключила, обезличивание, блокирование, удаление, уничтожение. Обработка автоматизированная, с использованием средств сервиса.

Указаниями организации считаются настройки её пространства в сервисе (роли и права, модули, правила, автоматизация, подключённые каналы и сервисы) и действия её пользователей. Исполнитель обрабатывает данные только в соответствии с ними. Если, по мнению Исполнителя, указание нарушает закон, он сообщает об этом организации и вправе его не выполнять.

• соблюдать конфиденциальность данных и не раскрывать их без согласия организации, кроме случаев, предусмотренных законом;
• принимать меры защиты, предусмотренные статьёй 17 Закона № 99-З и статьёй 19 Закона № 152-ФЗ: разграничение доступа, шифрование соединений, хранение паролей в виде хэша, шифрование ключей внешних сервисов, журналирование действий, назначение ответственного за внутренний контроль;
• допускать своих работников к данным организации только когда это нужно для поддержки по её запросу, устранения сбоя или исполнения закона, и обязать их хранить данные в тайне;
• сообщать организации о нарушении систем защиты, затронувшем её данные, без промедления — по возможности в течение 24 часов после обнаружения, с описанием того, что произошло, какие данные затронуты и какие меры приняты, — чтобы организация уложилась в свои сроки уведомления НЦЗПД и Роскомнадзора;
• помогать организации исполнять запросы субъектов: в сервисе есть поиск, правка и удаление записей, выгрузка в Excel, удаление данных клиента вместе с перепиской; если этого не хватает — по запросу организации;
• по запросу организации предоставлять сведения о принятых мерах защиты, нужные ей для подтверждения соблюдения закона;
• не привлекать других уполномоченных лиц к обработке данных организации без её уведомления; сейчас Исполнитель других уполномоченных лиц не привлекает.

• обеспечивать законные основания обработки данных, которые она вносит в сервис, в том числе получать согласия субъектов, когда они нужны, и информировать субъектов об обработке (в том числе о том, что данные хранятся и обрабатываются в сервисе Eyeward);
• отвечать на запросы и требования своих субъектов и сообщать Исполнителю, если для их исполнения нужна его помощь;
• настраивать роли и права так, чтобы её пользователи видели только нужные им данные, и отвечать за действия своих пользователей;
• самостоятельно оценивать и обеспечивать законность передачи данных во внешние сервисы, которые она подключает (модели ИИ, мессенджеры, почта, календари, 1С), в том числе трансграничной передачи; такие сервисы — не уполномоченные лица Исполнителя, а выбор организации;
• выполнять обязанности оператора: уведомления уполномоченных органов, локальные документы, политику обработки персональных данных.

Данные организации хранятся и обрабатываются на серверах, которыми управляет Исполнитель, без облачных подрядчиков. Если на организацию распространяется требование части 5 статьи 18 Закона № 152-ФЗ о записи, систематизации, накоплении, хранении и уточнении данных граждан Российской Федерации с использованием баз данных на территории Российской Федерации, организация самостоятельно оценивает, соответствует ли ему использование сервиса.

Поручение действует, пока организация пользуется сервисом. Данные организации хранятся, пока она их не удалит. При удалении организации её данные удаляются из рабочих систем сервиса; до удаления организация выгружает нужные ей данные средствами сервиса. Исполнитель не хранит данные организации дольше, кроме случаев, когда этого требует закон.

Исполнитель отвечает перед организацией за обработку данных с нарушением этого поручения; ответственность перед субъектом за действия Исполнителя несёт организация как оператор (ст. 7 Закона № 99-З, ч. 5 ст. 6 Закона № 152-ФЗ). Пределы ответственности — в пользовательском соглашении.