1. Роли сторон и основания
1.1. Каждая сторона является самостоятельным оператором для целей, которые определяет сама: Блик для аккаунтов, безопасности, работы площадки и своей договорной/законной отчётности; исполнитель для оказания услуги, своей документации, налогового учёта и рассмотрения претензий. Одна лишь передача сведений не делает все действия получателя обработкой по поручению.
1.2. Только для технических операций, прямо указанных в разделе 2, исполнитель поручает Блик обработку по части 3 статьи 6 152-ФЗ. До начала исполнитель обеспечивает согласие субъекта на поручение, если иное не предусмотрено федеральным законом, и документирует применимое основание. Для собственных целей Блик использует отдельное надлежащее основание и информирует субъектов. Поручение не является разрешением менять цели или продавать базу клиентов.
1.3. Сведения о сотрудниках и квалификации передаются в необходимом объёме на законном основании. Подтверждение владельца кабинета не заменяет требуемое согласие работника. Администратор получает только рабочий доступ; к банковским реквизитам, полномочиям и досье допускается ограниченный круг уполномоченных лиц.
2. Состав технического поручения
| Субъекты и данные | Цели и операции |
|---|---|
| Клиенты: имя, идентификатор в Блик, необходимый согласованный контакт, выбранные услуга/специалист, время, статус и цена записи. | Ведение записи, доставка служебных уведомлений и сохранение согласований: получение, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление строго участникам записи, блокирование, удаление, уничтожение. |
| Контактные лица бизнеса: ФИО, роль, служебные контакты, предел доступа. | Организация доступа к календарю и обработка заявок, журналирование действий и прекращение доступа после отзыва полномочий; тот же ограниченный перечень операций. |
2.1. Номера карт, CVV, банковские пароли, ключи электронной подписи, полные копии паспортов, диагнозы, медицинские карты и специальные категории данных в это поручение не входят. Платёжный провайдер получает данные по собственной согласованной защищённой процедуре. Случайно загруженные избыточные сведения изолируются от обычного доступа и обрабатываются по процедуре инцидента/удаления, а не используются для новых целей.
2.2. Проверка юридического статуса, лицензии и допуска в интересах безопасности площадки оформляется как самостоятельная цель Блик, а не расширяется незаметно в это техническое поручение. Для неё применяются необходимый состав данных и срок хранения по опубликованной политике. Проверенные документы не публикуются целиком.
3. Конфиденциальность и безопасность
3.1. Блик обрабатывает данные поручения по зафиксированным указаниям исполнителя и обеспечивает конфиденциальность, организационные и технические меры по статьям 18.1 и 19 152-ФЗ: разграничение доступа, учёт операций, защиту каналов, резервирование, проверку доступа подрядчиков и реагирование на нарушения. Конкретные системы, места размещения, модель угроз, уровень защищённости и перечень мер согласуются до производственной обработки; текст договора не удостоверяет их внедрение.
3.2. По запросу исполнителя в течение действия поручения, в том числе до начала обработки, Блик предоставляет в согласованном защищённом порядке документы и сведения, подтверждающие принятие требуемых мер и соблюдение поручения. Стороны не передают через обычный чат секреты инфраструктуры и чужие персональные данные.
3.3. При выявлении неправомерного доступа или передачи, способной нарушить права субъектов, Блик уведомляет исполнителя без неоправданной задержки, по предлагаемому договорному сроку не позднее 12 часов после выявления: обстоятельства, затронутые категории, предполагаемый вред, принятые меры и контакт для расследования. Недостающая информация дополняется. Этот договорный срок не заменяет применимые законные уведомления Роскомнадзора в течение 24 и 72 часов: обязанная сторона исполняет их самостоятельно и получает содействие другой стороны.
3.4. Передача техническому субподрядчику допускается только в согласованном объёме, после определения его личности, мест обработки, функций и обязательств защиты не ниже настоящих. До запуска утверждается перечень обработчиков и порядок изменений/возражений. Блик остаётся ответственным перед поручившим оператором за исполнение поручения; распределение обязанностей не лишает субъекта права на защиту.
3.5. При сборе данных граждан РФ обеспечиваются применимые требования локализации. Трансграничная передача не разрешается общим акцептом договора: до неё отдельно проверяются основания, уведомления, страны, получатели и ограничения. Использование стороннего аналитического, облачного или коммуникационного сервиса включается в эту проверку.
4. Обращения и сроки хранения
4.1. Каждая сторона рассматривает обращения субъектов и уполномоченных органов в пределах своей роли. Запрос по поручению передаётся исполнителю не позднее двух рабочих дней либо раньше, если того требует обязательный срок. Срок передачи не продлевает срок ответа по закону. Данные не выдаются по неподтверждённому запросу без проверки личности и полномочий.
4.2. До начала обработки стороны утверждают график хранения по категориям: цель, основание, начало отсчёта, срок, способ ограничения/удаления, резервные копии и обязанное лицо. Нельзя устанавливать единый бессрочный срок для всей переписки и документов. Для обязательных бухгалтерских, налоговых и доказательственных материалов применяются соответствующие основания и сроки; они не распространяются автоматически на рекламные данные.
4.3. После достижения цели или прекращения поручения данные возвращаются исполнителю в согласованном защищённом формате и удаляются/уничтожаются в срок, установленный применимым законом и карточкой. Если закон требует дальнейшего хранения части данных, фиксируются основание, отдельная цель, ограниченный доступ и срок. Уничтожение подтверждается в применимой форме; резервные копии выводятся из оборота по утверждённому циклу и не восстанавливаются для прежней прекратившейся цели.
5. Отдельные согласия
5.1. Согласие, когда оно является основанием, оформляется отдельно от других подписываемых документов согласно статье 9 152-ФЗ. Согласие на распространение персональных данных и использование изображения, когда они нужны, не выводится из факта визита или публикации отзыва. Для рекламы требуется соответствующее отдельное предварительное согласие; сервисное уведомление о записи не даёт права на рассылку акций.
5.2. Отзыв согласия исполняется с учётом иных законных оснований, о которых субъект информируется. Нельзя препятствовать оказанию уже согласованной основной услуги только из-за отказа от ненужной рекламы. Материалы «до/после» и любые сведения о здоровье требуют самостоятельной оценки, не собираются в рамках этого технического поручения.
6. Карточка запуска и источники
Перед подписанием заполняются: стороны и уполномоченные контакты; точный перечень целей/данных/операций; реестр оснований; используемые системы и адреса обработки; обработчики; меры защиты и аудит; сроки хранения/удаления; процедура запросов и инцидентов; применимые уведомления Роскомнадзора; редакция политики. Если пункт не определён, соответствующая обработка не запускается только на основании этого проекта.
Основа: 152-ФЗ, статьи 5, 6, 7, 9, 10.1, 18, 18.1, 19, 20–22; статья 152.1 ГК РФ; статья 18 38-ФЗ. Официальный ресурс для проверки требований и уведомлений: портал Роскомнадзора по персональным данным. Актуальные изменения и фактическая инфраструктура подлежат контрольной сверке перед подписанием.