Поручение на обработку персональных данных

1. Общие положения

1.1. Оператором персональных данных Пользователей (сотрудников, учеников), размещённых на Платформе, является Заказчик. Заказчик самостоятельно определяет состав, цели и правовые основания обработки таких персональных данных и несёт ответственность за их законность, включая получение необходимых согласий субъектов.

1.2. Обработчик обрабатывает персональные данные исключительно по поручению и в интересах Оператора, в объёме и для целей, предусмотренных настоящим Поручением и Офертой, и не определяет цели обработки самостоятельно.

1.3. В отношении персональных данных администраторов Заказчика и иных лиц, регистрирующихся на Платформе по собственной инициативе, а также данных, обрабатываемых в целях исполнения Оферты (биллинг, поддержка), Обработчик выступает самостоятельным оператором; такая обработка регулируется Политикой конфиденциальности.

2. Предмет поручения

2.1. Оператор поручает, а Обработчик обязуется осуществлять обработку персональных данных Пользователей Оператора в объёме и на условиях настоящего Поручения с целью предоставления Оператору функциональности Платформы в соответствии с выбранным тарифным планом.

2.2. Обработка осуществляется с использованием средств автоматизации.

3. Категории субъектов и персональных данных

3.1. Категории субъектов: работники (сотрудники) Оператора и иные лица, приглашённые Оператором на Платформу в качестве Пользователей.

3.2. Категории обрабатываемых персональных данных, как правило, включают: фамилию, имя, отчество; адрес электронной почты; должность и подразделение; идентификаторы учётной записи; данные о прохождении обучения (назначенные курсы, прогресс, результаты тестов, выданные сертификаты, начисленные баллы); сведения о входах и активности на Платформе. Конкретный состав определяется данными, которые Оператор вносит на Платформу.

3.3. Обработчик не запрашивает и не предполагает обработку специальных категорий персональных данных и биометрических персональных данных. Оператор обязуется не размещать такие данные на Платформе без отдельного письменного согласования с Обработчиком.

4. Перечень действий и способы обработки

4.1. Обработчик вправе совершать с персональными данными следующие действия, необходимые для оказания Услуг: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) в пределах, предусмотренных Офертой, блокирование, удаление, уничтожение.

4.2. Обработчик не осуществляет распространение персональных данных и не использует их в собственных целях, в том числе для маркетинга, не связанного с поручением Оператора.

5. Цели обработки

5.1. Обработка осуществляется в целях: предоставления Пользователям доступа к учебным материалам; организации и учёта обучения; формирования аналитики и отчётности для Оператора; выдачи сертификатов; технической поддержки; обеспечения работоспособности и безопасности Платформы.

6. Срок обработки

6.1. Обработка персональных данных осуществляется в течение срока действия Оферты и использования Платформы Оператором, а также в течение срока хранения данных, предусмотренного п. 9.4 Оферты.

6.2. По прекращении обработки Обработчик действует в порядке, предусмотренном разделом 13 настоящего Поручения.

7. Требования к защите персональных данных

7.1. Обработчик обязуется обеспечивать конфиденциальность и безопасность обрабатываемых персональных данных и принимать правовые, организационные и технические меры, предусмотренные ст. 18.1 и ст. 19 Закона, в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• ограничение доступа к персональным данным — доступ предоставляется только уполномоченным работникам Обработчика в объёме, необходимом для выполнения их функций;
• шифрование данных при передаче по сети Интернет (TLS) и контроль доступа к инфраструктуре;
• резервное копирование данных и контроль целостности;
• ведение журналов событий и мониторинг для выявления несанкционированного доступа;
• применение средств защиты информации и регулярное обновление программного обеспечения;
• учёт машинных носителей и восстановление данных, изменённых или уничтоженных вследствие несанкционированного доступа.

7.2. Обработчик обеспечивает, чтобы лица, допущенные к обработке персональных данных, были обязаны соблюдать их конфиденциальность.

8. Конфиденциальность

8.1. Обработчик обязуется не раскрывать и не распространять персональные данные третьим лицам без согласия Оператора, за исключением случаев, предусмотренных настоящим Поручением, Офертой и законодательством Российской Федерации.

9. Привлечение третьих лиц

9.1. Оператор даёт Обработчику согласие на привлечение для обработки персональных данных третьих лиц (субобработчиков) на условиях, обеспечивающих соблюдение требований Закона, в том числе: провайдера серверной инфраструктуры (хостинга) на территории Российской Федерации; провайдера вычислительных мощностей для функций искусственного интеллекта, размещённых на территории Российской Федерации; провайдеров сервисов рассылки уведомлений.

9.2. Функции искусственного интеллекта Платформы обрабатывают: текст заданий на генерацию учебных материалов; содержимое статей и загруженных Оператором документов при их индексации для поиска по базе знаний; вопросы Пользователей и найденные по ним фрагменты материалов; текст реплик Пользователей в диалоговых тренажёрах. Указанная обработка осуществляется на вычислительных мощностях субобработчика, размещённых на территории Российской Федерации, на условиях п. 9.3 настоящего Поручения.

9.3. Обработчик привлекает субобработчиков на условиях, обеспечивающих защиту персональных данных не ниже предусмотренной настоящим Поручением. Такие условия устанавливаются соглашением с субобработчиком либо правилами оказания услуг, принятыми Обработчиком при подключении соответствующей услуги. Обработчик остаётся ответственным перед Оператором за действия субобработчиков как за свои собственные.

9.4. Оператор вправе подключить в настройках Платформы собственного провайдера функций искусственного интеллекта. В этом случае обработка осуществляется на условиях договора Оператора с таким провайдером, Обработчик субобработчика не привлекает и за условия такой обработки, включая территорию её осуществления, не отвечает. Если выбранный Оператором провайдер осуществляет обработку за пределами территории Российской Федерации, у Оператора возникает обязанность уведомить уполномоченный орган по защите прав субъектов персональных данных о трансграничной передаче в порядке, предусмотренном ст. 12 Закона.

9.5. Актуальный перечень категорий субобработчиков приведён в п. 9.1. Об изменении перечня Обработчик уведомляет Оператора путём публикации новой редакции настоящего Поручения не позднее чем за 10 (десять) календарных дней до начала обработки персональных данных новым субобработчиком.

9.6. В отношении провайдера вычислительных мощностей для функций искусственного интеллекта условиями оказания услуг предусмотрено, что модели развёрнуты в инфраструктуре провайдера и не передают данные третьим лицам, данные не используются для обучения и дообучения моделей, а провайдер не вправе просматривать и использовать данные в собственных целях.

10. Трансграничная передача

10.1. Хранение персональных данных граждан Российской Федерации осуществляется в базах данных, расположенных на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Закона.

10.2. Трансграничная передача персональных данных Обработчиком не осуществляется. Обработка персональных данных, включая обработку функциями искусственного интеллекта (п. 9.2), осуществляется на территории Российской Федерации.

10.3. Подключение Оператором собственного провайдера функций искусственного интеллекта (п. 9.4) относится к случаям обработки, санкционированным Оператором, и осуществляется вне рамок настоящего Поручения.

11. Реагирование на инциденты

11.1. При выявлении фактов неправомерного или случайного доступа к персональным данным, повлёкшего их уничтожение, изменение, блокирование, копирование, предоставление, распространение, Обработчик уведомляет Оператора без неоправданной задержки, но не позднее 24 (двадцати четырёх) часов с момента обнаружения инцидента, и предоставляет имеющуюся информацию о его характере и последствиях.

11.2. Стороны содействуют друг другу в исполнении обязанностей по уведомлению уполномоченного органа по защите прав субъектов персональных данных в сроки, установленные Законом.

12. Содействие Оператору

12.1. Обработчик содействует Оператору в реализации прав субъектов персональных данных (доступ, уточнение, удаление, отзыв согласия), предоставляя Оператору соответствующую функциональность Платформы либо обрабатывая обоснованные запросы Оператора в разумный срок.

12.2. По письменному запросу Оператора Обработчик предоставляет информацию, необходимую для подтверждения соблюдения требований настоящего Поручения.

13. Действия при прекращении обработки

13.1. По прекращении оказания Услуг и по истечении срока хранения, предусмотренного п. 9.4 Оферты, либо по письменному требованию Оператора Обработчик прекращает обработку и удаляет (уничтожает) персональные данные, обрабатываемые по поручению, а также имеющиеся их копии, за исключением данных, хранение которых требуется законодательством Российской Федерации.

13.2. До удаления Оператор вправе запросить выгрузку данных в пределах функциональности Платформы.

14. Ответственность

14.1. Каждая Сторона несёт ответственность за неисполнение своих обязанностей, предусмотренных настоящим Поручением и Законом. Оператор отвечает за законность определённых им целей и оснований обработки и за получение необходимых согласий субъектов; Обработчик — за соблюдение установленных Оператором условий обработки и требований к защите данных.

14.2. В части, не урегулированной настоящим Поручением, применяются положения Оферты, в том числе об ограничении ответственности.

15. Реквизиты Обработчика