Редакция от 7 августа 2026

Поручение на обработку персональных данных

1. Общие положения и роли сторон

1.1. Настоящее Поручение на обработку персональных данных (далее - Поручение) является неотъемлемой частью договора об использовании сервиса Кохаб (Kochab), доступного по адресу https://kochab.ru (далее соответственно - Договор, Сервис), заключенного между Клиентом и индивидуальным предпринимателем Балакиревым Николаем Евгеньевичем, ИНН 507560826830, ОГРНИП 322774600072481, адрес для направления письменных обращений: Российская Федерация, г. Москва, ул. Маршала Неделина, д. 30, корп. 4, кв. 136, электронная почта по вопросам персональных данных: privacy@kochab.ru.

1.2. Клиентом является сторона Договора - юридическое лицо либо индивидуальный предприниматель. Применительно к поручаемой обработке Клиент организует обработку персональных данных, определяет цели обработки, состав персональных данных и совершаемые с ними действия (операции) и является оператором персональных данных в значении пункта 2 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Федеральный закон № 152-ФЗ). Индивидуальный предприниматель Балакирев Николай Евгеньевич является лицом, непосредственно осуществляющим обработку персональных данных по поручению Клиента, и именуется Обработчиком. Лицо, допущенное к обработке персональных данных в порядке раздела 6 Поручения, именуется Привлеченным лицом. Привлеченное лицо не является Стороной Поручения, не заменяет Обработчика и не вправе самостоятельно определять цели обработки порученных персональных данных. Клиент и Обработчик совместно именуются Сторонами, а каждый по отдельности - Стороной.

1.3. Поручение вступает в силу после его подписания сторонами либо отдельного принятия уполномоченным представителем Клиента в интерфейсе Сервиса. Обработчик фиксирует способ, дату и время принятия, учетную запись представителя Клиента и версию принятого Поручения.

1.4. В отношении конкретного сайта обработка по Поручению начинается не ранее указания Клиентом соответствующего домена и URL и технического подтверждения контроля над доменом способом, предусмотренным Сервисом. Такой сайт далее именуется Проверяемым сайтом. Обработчик фиксирует домен, способ, дату и результат технического подтверждения.

1.5. Клиент заверяет, что является владельцем Проверяемого сайта либо надлежащим образом уполномочен его владельцем и обладает законными основаниями определять обработку персональных данных в отношении такого сайта. До начала обработки Клиент обеспечивает наличие предусмотренных законом оснований, включая согласие субъекта на поручение Обработчику и Привлеченным лицам обработки его персональных данных, если иное не предусмотрено федеральным законом.

При использовании согласия оно должно соответствовать статье 9 Федерального закона № 152-ФЗ, охватывать соответствующие цели, персональные данные, действия и лиц, которым поручается обработка, и оформляться отдельно от иных документов и волеизъявлений субъекта. Клиент хранит доказательства наличия соответствующих оснований и предоставляет их Обработчику по обоснованному запросу. Обработчик не обязан самостоятельно получать согласие субъектов персональных данных. Согласие, получаемое Обработчиком как самостоятельным оператором в отношении персональных данных учетной записи и представителя Клиента, не заменяет правового основания, которое Клиент обязан обеспечить в отношении персональных данных, обрабатываемых по настоящему Поручению.

1.6. Техническое подтверждение контроля над доменом удостоверяет только возможность управления им и не подтверждает право собственности на сайт, полномочия Клиента или наличие правовых оснований обработки персональных данных. Оплата подписки, указание домена и запуск бесплатной проверки сами по себе не означают принятия Поручения и не подтверждают наличие таких оснований.

1.7. Поручение не распространяется на персональные данные Клиента - индивидуального предпринимателя, представителей и уполномоченных пользователей Клиента, которые обрабатываются для заключения и исполнения Договора, ведения учетной записи, проведения расчетов, оказания поддержки, обеспечения безопасности Сервиса и исполнения требований законодательства. В отношении таких данных индивидуальный предприниматель Балакирев Николай Евгеньевич является самостоятельным оператором и действует в соответствии с Политикой в отношении обработки персональных данных по адресу https://kochab.ru/policy/pdn.

1.8. Предметом Поручения является обработка персональных данных, порученная Клиентом непосредственно Обработчику. Указание АО «ИОТ» и иных лиц в разделе 6 означает их возможное привлечение к техническому исполнению Поручения и не изменяет роли Обработчика как основного лица, которому Клиент поручил обработку персональных данных.

2. Предмет, цель и указания Клиента

2.1. Клиент поручает Обработчику обработку персональных данных исключительно в целях автоматизированной проверки и мониторинга доступных без авторизации страниц Проверяемого сайта, выявления изменений, выявления и исключения персональных данных из сохраняемого результата и формирования очищенных отчетов для Клиента. Очищенным отчетом является отчет, из которого до сохранения и предоставления доступа удалены либо изменены персональные данные третьих лиц таким образом, чтобы по содержанию отчета нельзя было прямо или косвенно определить соответствующее третье лицо.

2.2. Документированными указаниями Клиента являются настоящее Поручение, указанные Клиентом подтвержденные домены и URL, выбранные в личном кабинете функции, периодичность мониторинга и настройки доступа к отчетам, а также письменные указания уполномоченного представителя Клиента, направленные через личный кабинет или с адреса электронной почты, указанного в Договоре либо учетной записи Клиента.

2.3. Дополнительные указания не могут изменять или расширять установленные Поручением цели обработки, категории субъектов, перечень персональных данных и перечень действий с ними. Такие изменения допускаются только путем внесения изменений в Поручение и их принятия сторонами в порядке, предусмотренном пунктом 1.3.

2.4. Обработчик получает и анализирует только страницы, доступные без авторизации. Обработчик не обходит технические средства ограничения доступа, не использует логины, пароли, коды или ключи доступа, не вводит и не направляет данные через формы и не совершает действий, направленных на получение закрытых или платных материалов.

2.5. Если Обработчик обоснованно полагает, что указание Клиента нарушает законодательство Российской Федерации, права третьих лиц или пределы Поручения, Обработчик без необоснованной задержки уведомляет Клиента и приостанавливает исполнение такого указания до его отмены, получения правомерного уточнения либо документов, подтверждающих законность обработки.

2.6. Обработчик не определяет самостоятельные цели обработки порученных персональных данных и не использует их в собственных целях, включая рекламу, профилирование, обучение моделей, создание баз контактов, публикацию отчетов и кейсов. Предоставление порученных персональных данных иному лицу допускается только при его привлечении к обработке в порядке, установленном Поручением, либо когда такое предоставление обязательно в соответствии с федеральным законом. Порученные персональные данные не должны включаться в публично доступные отчеты или материалы.

3. Субъекты персональных данных, перечень персональных данных и операции

3.1. Субъектами персональных данных могут являться физические лица, сведения о которых содержатся на доступных без авторизации страницах Проверяемого сайта: посетители и пользователи сайта, работники и представители Клиента, клиенты и контрагенты - физические лица, представители и работники клиентов и контрагентов, а также иные физические лица, в отношении которых Клиент обеспечил наличие предусмотренного законом основания обработки. Размещение персональных данных в открытом доступе само по себе не подтверждает законность их последующей обработки.

3.2. В рамках Поручения допускается обработка следующих персональных данных: фамилия, имя, отчество; адрес электронной почты; номер телефона; должность; профессия; сведения о месте работы или связи с организацией; изображение лица, не используемое Клиентом или Обработчиком для установления личности; домен, URL, фрагменты текста, разметки и изображения страницы в минимальном объеме, необходимом для выявления и исключения перечисленных сведений. Домен, URL и фрагмент страницы относятся к персональным данным только постольку, поскольку позволяют прямо или косвенно определить физическое лицо.

3.3. Клиент не поручает целевую обработку специальных категорий персональных данных, указанных в статье 10 Федерального закона № 152-ФЗ, сведений о судимости, биометрических персональных данных, используемых для установления личности, персональных данных лиц, о несовершеннолетии которых Клиенту известно, реквизитов документов, государственных идентификаторов, банковских реквизитов, логинов, паролей, кодов, ключей доступа, иных данных аутентификации и любых персональных данных, не указанных в пункте 3.2.

3.4. Клиент не вправе использовать Сервис в целях целенаправленной обработки данных, указанных в пункте 3.3. Если Клиенту стало известно о наличии таких данных на Проверяемом сайте, он без необоснованной задержки уведомляет Обработчика. При получении такого уведомления либо самостоятельном выявлении указанных данных Обработчик ограничивает их обработку действиями, необходимыми для блокирования, исключения из результата и удаления. Такие данные не включаются в отчет и не подлежат постоянному хранению.

3.5. Обработчику поручаются сбор, извлечение, автоматизированное распознавание и анализ, использование исключительно для выявления и исключения персональных данных из результата, уточнение в форме изменения, техническое маскирование, блокирование, удаление и уничтожение персональных данных, а также предоставление доступа Привлеченному лицу в минимально необходимом для исполнения Поручения объеме. Запись, систематизация, накопление и хранение исходных немаскированных персональных данных в постоянных хранилищах не осуществляются. Под техническим маскированием понимается изменение либо удаление фрагмента данных. Если после маскирования по фрагменту можно прямо или косвенно определить физическое лицо, такой фрагмент продолжает считаться персональными данными и не подлежит включению в отчет. Систематизация, накопление и уточнение немаскированных персональных данных в целях их самостоятельного хранения или последующего использования не осуществляются. Немаскированные персональные данные Клиенту не предоставляются.

3.6. Обработка осуществляется автоматизированным способом с передачей данных по сети Интернет. Ограниченная обработка без использования средств автоматизации допускается только лицом, которому Обработчик предоставил доступ в установленном им порядке, при расследовании инцидента, рассмотрении обращения о наличии немаскированных данных или устранении обнаруженной ошибки маскирования. Такой доступ предоставляется в минимально необходимом объеме и прекращается после выполнения соответствующей задачи.

3.7. Распространение и трансграничная передача персональных данных в рамках Поручения не осуществляются.

3.8. Исходные фрагменты страниц обрабатываются временно в течение срока, необходимого для проведения проверки и очистки результата. Обработчик организует обработку таким образом, чтобы выявленные персональные данные третьих лиц до предоставления доступа к результату исключались либо маскировались и не включались в постоянные журналы и плановые резервные копии. После завершения анализа исходные немаскированные фрагменты уничтожаются, если их временное блокирование не требуется для устранения ошибки или расследования инцидента. Отчет предоставляется в личном кабинете Клиента либо по уникальной UUID-ссылке только после очистки. UUID-ссылка не подтверждает личность и не является средством аутентификации. Любое лицо, получившее такую ссылку, может открыть Отчет, пока доступ к нему действует. Поэтому Отчет, доступный по UUID-ссылке, не должен содержать персональные данные третьих лиц.

3.9. Автоматизированное выявление не гарантирует распознавание каждого возможного представления персональных данных и не освобождает Обработчика от исполнения Поручения. При обнаружении немаскированного фрагмента Обработчик без необоснованной задержки ограничивает доступ к результату, уведомляет Клиента и выполняет повторную очистку либо удаляет результат. При наличии признаков неправомерного или случайного доступа, предоставления либо распространения применяются правила уведомления об инцидентах, установленные Поручением.

4. Обязанности Клиента

4.1. До начала обработки и в течение срока действия Поручения Клиент обязан:

1) определить конкретные и законные цели, состав, действия, правовые основания и сроки обработки персональных данных и обеспечить соответствие содержания и объема данных статье 5 Федерального закона № 152-ФЗ;

2) обладать законными полномочиями в отношении Проверяемого сайта и правом определять обработку размещенных на нем персональных данных;

3) обеспечить наличие и фиксацию согласия субъекта, охватывающего поручение обработки Обработчику и каждому Привлеченному лицу, включенному в показанный субъекту версионный перечень, либо документально подтвердить наличие предусмотренного федеральным законом случая, при котором такое согласие не требуется; хранить доказательства факта получения и содержания согласия, его редакции и состава показанного субъекту перечня;

4) исполнять применимые обязанности оператора, предусмотренные статьями 18, 18.1 и 20– 22 Федерального закона № 152-ФЗ, включая информирование субъектов, обеспечение локализации баз данных граждан Российской Федерации и уведомление Роскомнадзора, если соответствующая обязанность применяется к Клиенту;

5) не давать незаконных указаний и не поручать целевую обработку данных, указанных в пункте 3.3;

6) определить уполномоченных пользователей, предоставить им минимально необходимый доступ и обеспечить безопасность их учетных записей;

7) обеспечить прием и своевременное рассмотрение запросов субъектов персональных данных и взаимодействие с Роскомнадзором, используя предусмотренное Поручением содействие Обработчика;

8) без необоснованной задержки уведомлять Обработчика об утрате полномочий в отношении домена, отзыве согласия субъекта, поступлении требования или запрета, прекращении иного правового основания, выявленном нарушении или инциденте, затрагивающем порученную обработку, и направлять необходимые законные указания.

4.2. До начала обработки и по обоснованному запросу Обработчика в течение срока действия Поручения Клиент предоставляет документы и сведения, подтверждающие полномочия в отношении Проверяемого сайта, наличие правовых оснований, получение необходимых согласий и законность указаний. При непредоставлении подтверждений либо наличии обоснованных сомнений в законности обработки Обработчик вправе не начинать или приостановить соответствующую обработку, уведомив Клиента.

5. Обязанности Обработчика и требования к защите персональных данных

5.1. Обработчик обрабатывает персональные данные только в целях и пределах документированных указаний Клиента, соблюдает принципы и правила обработки, конфиденциальность персональных данных, допускает к ним только уполномоченных лиц, обязанных соблюдать конфиденциальность, и выполняет требования части 5 статьи 18, статьи 18.1 и статьи 19 Федерального закона № 152-ФЗ.

5.2. Обработчик в пределах контролируемой им информационной системы определяет актуальные угрозы безопасности персональных данных, устанавливает необходимый уровень защищенности и применяет правовые, организационные и технические меры, необходимые для выполнения требований статьи 19 Федерального закона № 152-ФЗ, Постановления Правительства Российской Федерации от 01.11.2012 № 1119 и приказа ФСТЭК России от 18.02.2013 № 21. При использовании средств криптографической защиты применяются соответствующие требования ФСБ России.

Принимаемые меры должны обеспечивать разграничение доступа, идентификацию и аутентификацию уполномоченных лиц, регистрацию событий безопасности в предусмотренном законом объеме, защиту передачи и хранения данных, выявление и устранение неправомерного доступа, восстановление работоспособности, контроль целостности и исключение немаскированных персональных данных из сохраняемых отчетов, постоянных журналов и плановых резервных копий. Эффективность мер оценивается до ввода информационной системы в эксплуатацию. Контроль их выполнения проводится не реже одного раза в три года. Прошедшие оценку соответствия средства защиты информации, в том числе средства с функцией уничтожения информации, применяются в случаях, когда это предусмотрено законодательством и установленными требованиями к защите персональных данных.

5.3. По обоснованному запросу Клиента в течение срока действия Поручения, в том числе до начала обработки, Обработчик предоставляет документы и сведения, подтверждающие принятие мер и соблюдение Поручения и Федерального закона № 152-ФЗ. Сведения о системе защиты предоставляются в объеме, достаточном для проверки и не создающем дополнительных угроз безопасности.

5.4. В пределах имеющейся информации и выполняемых операций Обработчик содействует Клиенту в рассмотрении запросов субъектов персональных данных и Роскомнадзора, уточнении, блокировании, прекращении обработки, удалении и уничтожении данных, расследовании инцидентов и подтверждении принятых мер. Запрос субъекта персональных данных, поступивший непосредственно Обработчику, передается Клиенту без необоснованной задержки. Обработчик не отвечает на него по существу без указания Клиента, кроме случаев, предусмотренных законом.

5.5. При выявлении признаков возможного инцидента либо установлении факта, предусмотренного частью 3.1 статьи 21 Федерального закона № 152-ФЗ, Обработчик действует в порядке, составе и сроки, установленные разделом 8 Поручения.

6. Привлечение иных лиц к исполнению Поручения

6.1. Привлеченное лицо может быть допущено к порученным персональным данным только при одновременном соблюдении следующих условий:

1) Клиент предоставил предварительное письменное разрешение на привлечение соответствующего лица;

2) Клиент обеспечил наличие предусмотренного законом правового основания, включая согласие субъекта на поручение обработки соответствующему Привлеченному лицу, если иное не предусмотрено федеральным законом;

3) поручение, соответствующее части 3 статьи 6 Федерального закона № 152-ФЗ, заключено непосредственно между Клиентом и Привлеченным лицом, оформлено трехсторонним соглашением либо заключено Обработчиком от имени и в интересах Клиента на основании полномочия, предусмотренного пунктом 6.2 Поручения или иным письменным документом.

Привлечение такого лица не изменяет роли Клиента как оператора и Обработчика как основного лица, которому Клиент поручил обработку персональных данных.

6.2. Клиент предварительно разрешает привлечение Акционерного общества «ИОТ» (АО «ИОТ»), ИНН 7731399513, ОГРН 1187746221860, адрес: 121205, г. Москва, территория Инновационного центра «Сколково», Большой бульвар, д. 42, стр. 1, эт./пом./раб. 0/138/12, в качестве Привлеченного лица исключительно для предоставления вычислительной и сетевой инфраструктуры и размещения информационной системы Сервиса на территории Российской Федерации. Клиент уполномочивает Обработчика от имени и в интересах Клиента заключить с АО «ИОТ» поручение на обработку персональных данных, соответствующее части 3 статьи 6 Федерального закона № 152-ФЗ и пункту 6.3 Поручения, если такое поручение не оформлено непосредственно между Клиентом и АО «ИОТ» либо трехсторонним соглашением. Указанное полномочие является частью Поручения, действует в течение срока его действия и ограничивается заключением и исполнением поручения на обработку персональных данных с АО «ИОТ». До оформления такого поручения доступ АО «ИОТ» к порученным персональным данным не предоставляется. АО «ИОТ» не является Стороной Поручения, не заменяет Обработчика и не вправе использовать порученные персональные данные в собственных целях. Его доступ ограничивается технически необходимым объемом.

6.3. До начала обработки с привлечением АО «ИОТ» оформляется поручение, определяющее:

1) цели обработки, перечень персональных данных и операций с ними;

2) обязанность соблюдать конфиденциальность, локализацию и ограничения настоящего Поручения;

3) требования части 5 статьи 18, статей 18.1 и 19 Федерального закона № 152-ФЗ;

4) обязанность предоставлять документы, подтверждающие принятые меры;

5) порядок уведомления об инцидентах;

6) порядок прекращения обработки и уничтожения данных;

7) запрет привлекать иных лиц без разрешения Клиента и возложения на них равноценных обязанностей.

6.4. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации. Трансграничная передача и доступ к порученным данным с территории иностранного государства не осуществляются. Для размещения информационной системы могут использоваться одна или обе следующие площадки АО «ИОТ»:

1. Московская область, г. Химки, Нагорное шоссе, д. 2;

2. г. Москва, Алтуфьевское шоссе, д. 33Г. Клиент предварительно разрешает использование обеих площадок. Перемещение информационной системы между ними не требует отдельного согласования. По запросу Клиента Обработчик предоставляет сведения, необходимые для актуализации уведомления Роскомнадзора. Использование иной площадки допускается только после предварительного уведомления Клиента и получения его письменного разрешения.

6.5. До привлечения иного лица, не указанного в пункте 6.2, Обработчик сообщает Клиенту его наименование, адрес, функции, место обработки, предполагаемый объем доступа и дату начала обработки. Привлечение допускается только после письменного разрешения Клиента, оформления поручения в порядке пункта 6.1, включения лица в новую редакцию перечня Привлеченных лиц и получения нового согласия субъекта, если такое согласие требуется федеральным законом.

6.6. Привлечение АО «ИОТ» или иного Привлеченного лица не освобождает Обработчика от исполнения обязательств перед Клиентом. Обработчик отвечает перед Клиентом за связанные с исполнением Поручения действия и бездействие привлеченных им лиц как за действия и бездействие собственного исполнителя. Клиент как оператор несет перед субъектами персональных данных ответственность за действия лиц, которым поручена обработка, в соответствии с частью 5 статьи 6 Федерального закона № 152-ФЗ.

7. Обращения субъектов и запросы уполномоченных органов

7.1. Обращение субъекта персональных данных или его представителя, относящееся к порученной обработке, Обработчик направляет Клиенту не позднее 1 (одного) рабочего дня после получения и не отвечает по существу без указания Клиента, кроме случаев, когда такая обязанность непосредственно возложена на Обработчика федеральным законом.

Если обращение содержит сведения о возможной неправомерной или неточной обработке либо об инциденте, Обработчик уведомляет Клиента без необоснованной задержки и принимает меры, предусмотренные пунктом 7.2 или разделом 8 Поручения.

7.2. При поступлении сведений о возможной неправомерности или неточности обработки Обработчик без необоснованной задержки блокирует соответствующие персональные данные либо ограничивает доступ к ним на период проверки и уведомляет Клиента. По документированному указанию Клиента Обработчик предоставляет имеющиеся сведения, уточняет персональные данные, прекращает их обработку, удаляет или уничтожает их и подтверждает выполненные действия в срок, установленный Клиентом и позволяющий ему исполнить требования статей 14, 20 и 21 Федерального закона № 152-ФЗ.

7.3. Запрос государственного органа или суда, адресованный Клиенту и полученный Обработчиком, направляется Клиенту без необоснованной задержки. О запросе, непосредственно адресованном Обработчику, Обработчик уведомляет Клиента и предоставляет ему копию запроса, если такое уведомление не запрещено законом. До предоставления персональных данных Обработчик проверяет полномочия запрашивающего лица, форму, правовое основание и объем запроса. Предоставляются только данные, прямо указанные в запросе и необходимые для его законного исполнения. Если уведомление Клиента запрещено законом, Обработчик сообщает о запросе после прекращения действия соответствующего запрета, если это допускается законом.

8. Инциденты

8.1. Для целей Поручения признаками возможного инцидента являются сведения о предполагаемой неправомерной или случайной передаче, предоставлении, распространении персональных данных либо доступе к ним, способных повлечь нарушение прав субъектов персональных данных. Инцидентом, предусмотренным частью 3.1 статьи 21 Федерального закона № 152-ФЗ, является установленный факт неправомерной или случайной передачи, предоставления, распространения персональных данных либо доступа к ним, повлекший нарушение прав субъектов персональных данных.

8.2. При выявлении признаков возможного инцидента Обработчик уведомляет Клиента без необоснованной задержки, но не позднее 6 (шести) часов с момента их выявления. Отсутствие полной информации или окончательной квалификации события не является основанием для задержки первоначального уведомления.

8.3. Первоначальное уведомление содержит имеющиеся сведения о времени и характере события, категориях затронутых персональных данных и субъектов, предполагаемых причинах, последствиях и возможном вреде, принятых мерах и контактном лице Обработчика.

Недостающие сведения, необходимые Клиенту для первоначального уведомления Роскомнадзора, передаются не позднее 18 (восемнадцати) часов с момента выявления признаков возможного инцидента. Результаты внутреннего расследования, включая установленные причины и сведения о лицах, действия которых стали причиной инцидента, при наличии таких сведений, передаются не позднее 60 (шестидесяти) часов с момента выявления. Если расследование объективно не завершено, Обработчик в тот же срок передает имеющиеся результаты, причины незавершения и предполагаемый срок завершения, а окончательные результаты - без необоснованной задержки после их получения.

8.4. Клиент проводит юридическую квалификацию события и при наличии оснований направляет уведомления Роскомнадзору в сроки, предусмотренные частью 3.1 статьи 21 Федерального закона № 152-ФЗ. При наличии признаков компьютерного инцидента Обработчик также содействует Клиенту в исполнении требований части 12 статьи 19 Федерального закона № 152-ФЗ. Обработчик не уведомляет субъектов персональных данных или общественность без указания Клиента, кроме случаев, когда такая обязанность непосредственно установлена федеральным законом.

8.5. Обработчик принимает необходимые меры по прекращению нарушения, ограничению его последствий, устранению причин, восстановлению работоспособности информационной системы и правомерно хранимых данных, а также предупреждению повторного инцидента. Материалы расследования, содержащие персональные данные, сохраняются в минимально необходимом объеме, изолируются от обычной обработки, защищаются от несанкционированного доступа и уничтожаются после достижения цели их хранения, если иной срок не установлен законом.

9. Срок обработки, прекращение и уничтожение персональных данных

9.1. Поручение действует с момента выполнения условий пункта 1.3 до наступления первого из следующих обстоятельств:

1. прекращение договора;

2. утрата Клиентом полномочий в отношении Проверяемого сайта;

3. получение документированного указания Клиента о прекращении обработки;

4. утрата правового основания обработки. Прекращение Поручения не прекращает обязательства Обработчика по конфиденциальности, расследованию инцидентов, удалению и уничтожению персональных данных, подтверждению уничтожения и ответственности за допущенные нарушения.

9.2. Исходные немаскированные фрагменты обрабатываются только в течение времени, необходимого для автоматизированного анализа, и уничтожаются непосредственно после его завершения. Они не подлежат постоянному хранению, возврату Клиенту, включению в отчеты, постоянные журналы и резервные копии.

9.3. До прекращения Поручения Клиент вправе получить доступные очищенные отчеты в формате, поддерживаемом Сервисом. Такие отчеты не являются возвратом исходных порученных персональных данных и не должны содержать немаскированные персональные данные третьих лиц, выявленные на Проверяемом сайте.

9.4. После прекращения Поручения Обработчик прекращает обработку и уничтожает относящиеся к нему персональные данные в срок, указанный Клиентом, но не позднее 30 (тридцати) дней, если более короткий срок не предусмотрен статьей 21 Федерального закона № 152-ФЗ. Если федеральный закон обязывает Обработчика сохранить отдельные сведения, они изолируются от порученной обработки, не используются в иных целях и хранятся только в предусмотренных законом составе и сроке. В отношении такой обработки Обработчик действует как самостоятельный оператор.

9.5. Исходные немаскированные фрагменты не включаются в резервные копии. Если вследствие технического сбоя выборочное уничтожение иных правомерно сохраняемых персональных данных в резервной копии технически невозможно, такие данные блокируются, исключаются из обычного использования и не восстанавливаются в активную обработку. Они уничтожаются при ближайшей плановой ротации, но не позднее 6 (шести) месяцев с даты возникновения обязанности по уничтожению, если иной срок не установлен федеральным законом. При восстановлении резервной копии данные, подлежащие уничтожению, повторно удаляются до допуска системы к эксплуатации. Техническая невозможность выборочного уничтожения документируется Обработчиком.

9.6. В случаях, когда уничтожение персональных данных подлежит подтверждению в соответствии со статьей 21 Федерального закона № 152-ФЗ, Обработчик оформляет и передает Клиенту акт об уничтожении персональных данных и выгрузку из журнала регистрации событий, соответствующие приказу Роскомнадзора от 28.10.2022 № 179.

Документы передаются Клиенту без дополнительного запроса в течение 5 (пяти) рабочих дней после уничтожения и хранятся Обработчиком в течение 3 (трех) лет с даты уничтожения персональных данных.

10. Подтверждение исполнения Поручения и контроль

10.1. Право Клиента на получение документов и сведений, предусмотренное пунктом 5.3 Поручения, реализуется посредством письменных запросов, документарных проверок и аудита. Обработчик предоставляет подтверждения в объеме, достаточном для проверки исполнения Поручения и требований Федерального закона № 152-ФЗ. Ссылка на коммерческую или иную охраняемую законом тайну, безопасность информационной системы либо права других клиентов не может служить основанием для полного отказа в предоставлении подтверждений. В необходимых случаях предоставляются выписки, обезличенные материалы, заключения или доступ в контролируемой среде.

10.2. Плановая проверка проводится преимущественно дистанционно, не чаще 1 (одного) раза в календарный год и при уведомлении Обработчика не менее чем за 10 (десять) рабочих дней. Указанные ограничения не распространяются:

1) на запрос документов и сведений по пункту 5.3 Поручения, в том числе до начала обработки;

2) на проверку в связи с инцидентом или обоснованным подозрением на нарушение;

3) на проверку после существенного изменения способов, места или лиц, участвующих в обработке;

4) на исполнение требования Роскомнадзора, суда или иного уполномоченного органа.

10.3. Форма, срок и объем проверки определяются с учетом ее цели, срочности, рисков и необходимости непрерывной работы Сервиса. Проверка не должна предоставлять Клиенту доступ к персональным данным других клиентов, исходному коду или производственной системе, если такой доступ объективно не необходим и отдельно не согласован. Обработчик вправе использовать акты, выписки, журналы, отчеты об оценке мер защиты и заключения независимых специалистов при условии, что они позволяют подтвердить соблюдение Поручения.

10.4. В порядке пункта 4.2 Поручения Обработчик вправе направлять Клиенту обоснованные и соразмерные запросы о наличии полномочий, правовых оснований и документов, необходимых для законного исполнения Поручения. До предоставления достаточного подтверждения Обработчик вправе приостановить соответствующую обработку.

11. Ответственность

11.1. Клиент как оператор несет перед субъектами персональных данных ответственность за действия Обработчика. Обработчик несет ответственность перед Клиентом за исполнение Поручения в соответствии с частью 5 статьи 6 Федерального закона № 152-ФЗ, законодательством Российской Федерации и Поручением.

11.2. Клиент отвечает за законность целей, состава и правовых оснований обработки, содержание документированных указаний, получение необходимых согласий, информирование субъектов, исполнение обязанностей оператора и наличие правовых оснований в отношении Проверяемого сайта. Техническое подтверждение контроля над доменом само по себе не подтверждает законность обработки персональных данных.

11.3. Обработчик отвечает за:

1) обработку за пределами документированных указаний Клиента;

2) использование персональных данных в собственных целях;

3) нарушение конфиденциальности и требований безопасности;

4) действия и бездействие своих работников и привлеченных им лиц в пределах раздела 6 Поручения;

5) несвоевременное уведомление Клиента об инциденте;

6) нарушение установленных сроков прекращения обработки, удаления или уничтожения персональных данных. Если Обработчик самостоятельно определяет цели обработки или использует порученные персональные данные в собственных интересах, в отношении такой обработки он действует как самостоятельный оператор и несет предусмотренную законом ответственность.

11.4. Сторона, нарушившая Поручение, возмещает другой Стороне документально подтвержденные убытки в части, непосредственно вызванной таким нарушением и находящейся с ним в причинной связи, в соответствии со статьями 15, 393 и 401 Гражданского кодекса Российской Федерации.

Если возникновению или увеличению убытков способствовали действия или бездействие обеих Сторон, размер ответственности определяется с учетом степени участия каждой Стороны в соответствии со статьей 404 Гражданского кодекса Российской Федерации.

11.5. Суммы административных штрафов и иных публично-правовых санкций, назначенных одной Стороне, не возмещаются другой Стороной автоматически. Требование об их возмещении может быть заявлено только в случаях, когда такое возмещение допускается законодательством Российской Федерации и доказана непосредственная причинная связь между нарушением другой Стороны и назначением санкции.

11.6. Поручение не ограничивает и не исключает ответственность Сторон перед субъектами персональных данных, Роскомнадзором, судом и иными уполномоченными органами, установленную законодательством Российской Федерации.

12. Заключительные положения

12.1. При противоречии Поручения и иных положений договора в части обработки персональных данных по поручению Клиента применяются положения Поручения. Императивные требования законодательства Российской Федерации применяются независимо от условий договора и Поручения.

12.2. Изменение целей обработки, перечня персональных данных, операций, категорий субъектов или иных существенных условий Поручения оформляется письменным соглашением Сторон либо отдельным принятием новой редакции Поручения в порядке пунктов 12.3 и 12.4. Изменение фактически используемой площадки в пределах перечня, установленного пунктом 6.4, не требует отдельного принятия новой редакции Поручения. Привлечение нового лица или использование площадки, не указанной в пункте 6.4, допускается после получения предварительного письменного разрешения Клиента и оформления необходимых изменений. Молчание или продолжение использования Сервиса не заменяют волеизъявление, прямо требуемое Поручением.

12.3. Поручение принимается одним из следующих способов:

1. подписанием отдельного документа или приложения к Договору;

2. подписанием электронного документа усиленной электронной подписью;

3. установкой отдельной, не отмеченной заранее отметки в интерфейсе Сервиса после аутентификации уполномоченного представителя Клиента и получения доступа к полному тексту Поручения.

Лицо, принимающее Поручение от имени Клиента, подтверждает наличие полномочий на его заключение, выдачу полномочия, предусмотренного пунктом 6.2, и совершение иных действий, прямо предусмотренных Поручением. Принятие Поручения представителем Клиента является действием от имени Клиента как стороны Договора и не является согласием субъекта персональных данных, предусмотренным статьей 9 Федерального закона № 152-ФЗ.

12.4. В соответствии со статьями 6 и 9 Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи» Стороны согласовали использование при принятии Поручения через интерфейс Сервиса простой электронной подписи, которой признается совокупность идентификатора аккаунта, одноразового кода, направленного на подтвержденный адрес электронной почты, и совершенного после аутентификации действия по принятию Поручения. Электронный документ, подписанный такой простой электронной подписью, признается равнозначным документу на бумажном носителе, подписанному собственноручной подписью. Клиент обязан обеспечивать конфиденциальность доступа к аккаунту, адресу электронной почты и одноразовым кодам и без необоснованной задержки уведомлять Обработчика об их компрометации. До получения такого уведомления действия в аккаунте считаются совершенными Клиентом, кроме случаев, когда компрометация возникла вследствие нарушения Обработчиком требований безопасности. Обработчик фиксирует текст и идентификатор версии Поручения, дату и время принятия, сведения о представителе Клиента, аккаунт, подтвержденный домен и примененный способ аутентификации.

12.5. Документированные указания и уведомления могут направляться через личный кабинет либо с согласованных в договоре или личном кабинете адресов электронной почты при условии, что позволяют подтвердить отправителя, содержание и время сообщения. Такие сообщения не могут изменять условия, указанные в пункте 12.2, без принятия соответствующих изменений в порядке пунктов 12.3 и 12.4.

12.6. Обращения по вопросам исполнения Поручения направляются на privacy@kochab.ru. К Поручению применяется законодательство Российской Федерации.