СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПО ПОРУЧЕНИЮ (DPA)

1.1. Настоящее Соглашение об обработке персональных данных по поручению (далее — Соглашение или DPA) заключено между юридическим лицом или индивидуальным предпринимателем, совершившим Акцепт Публичной оферты Сервиса «uchetkm.ru» (далее — Оператор или Клиент), и Индивидуальным предпринимателем Михайловым Виктором Викторовичем (ОГРНИП 310392636500180, ИНН 390560009210) (далее — Обработчик или Лицензиар).

1.2. Настоящее Соглашение определяет условия, порядок и меры безопасности при обработке Обработчиком персональных данных работников, уполномоченных представителей, операторов маркировки и исполнителей Оператора по его поручению в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1.3. Сервис «uchetkm.ru» — облачный программный комплекс, включающий веб-портал, расположенный по адресу https://uchetkm.ru (включая поддомены), API-шлюзы, конструктор и движок генерации/печати этикеток, сервисы валидации и восстановления кодов маркировки (DataMatrix), инструменты парсинга документов ЭДО XML и таможенных деклараций (ГТД), а также мобильное приложение «Учёт КМ» для терминалов сбора данных (ТСД) и мобильных устройств на ОС Android.

1.4. Акцепт Пользовательского соглашения (Публичной оферты) Сервиса «uchetkm.ru» на сайте https://uchetkm.ru признается полным и безоговорочным акцептом настоящего DPA.

2.1. Категории субъектов персональных данных: физические лица — штатные сотрудники, операторы маркировки, кладовщики, администраторы, представители Оператора, уполномоченные на работу в Сервисе и мобильном приложении, а также физические лица (ответственные лица, подписанты), чьи данные содержатся в загружаемых Оператором первичных документах и файлах электронного документооборота.

2.2. Состав обрабатываемых персональных данных:

• Фамилия, имя, отчество;
• Должность и наименование структурного подразделения;
• Номер контактного телефона (рабочий и/или мобильный);
• Адрес электронной почты (e-mail);
• Учетные данные: логин, зашифрованные хэши паролей, сессионные токены, ключи API;
• Идентификатор Telegram (telegram_chat_id) — при использовании Telegram-бота Сервиса;
• Идентификаторы оборудования: сетевые и аппаратные идентификаторы подключенных принтеров этикеток, сканеров и терминалов сбора данных (ТСД);
• Сведения об ответственных лицах и подписантах, содержащиеся в передаваемых файлах электронного документооборота (XML УПД/УКД) и декларациях (ГТД);
• Системные логи аудита и телеметрии (IP-адрес, данные User-Agent браузера/приложения, временные метки операций с кодами маркировки, этикетками и файлами в Сервисе).

3.1. Цель обработки: обеспечение функционирования программного комплекса «uchetkm.ru» и мобильного клиента для автоматизации процессов обязательной маркировки («Честный ЗНАК» / ГИС МТ), включая:

• создание, настройку и печать этикеток с DataMatrix и линейными штрихкодами через веб-интерфейс, драйверы TSPL/ZPL/ESC-POS и мобильное приложение;
• валидацию структуры кодов маркировки, разбор криптохвостов, агрегацию и исправление поврежденных кодов (DM Repair);
• парсинг, извлечение и сопоставление кодов маркировки из документов ЭДО XML и таможенных деклараций (ГТД);
• аутентификацию пользователей, разделение ролей и прав доступа внутри организации Оператора;
• учет объемов потребления сервисов, тарификацию пакетов кодов и выставление бухгалтерских документов.

3.2. Перечень действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление ограниченному кругу уполномоченных лиц Оператора и субобработчикам, указанным в Разделе 6), обезличивание, блокирование, удаление, уничтожение персональных данных.

3.3. Обработка персональных данных осуществляется с использованием средств автоматизации (автоматизированная обработка).

Обработчик обязуется:

4.1. Конфиденциальность и безопасность: соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке в соответствии со ст. 19 Федерального закона № 152-ФЗ.

4.2. Локализация баз данных: осуществлять запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ исключительно с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 ФЗ № 152-ФЗ).

4.3. Соблюдение поручения: обрабатывать персональные данные строго в целях, объеме и способами, предусмотренными настоящим Соглашением и Публичной офертой Сервиса.

4.4. Организационные и технические меры защиты: применять необходимые меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, в том числе:

• использование шифрования каналов связи (протоколы HTTPS/TLS) при передаче данных между клиентом, сервером и периферийным оборудованием;
• хранение чувствительных аутентификационных данных с применением односторонних криптографических хэш-функций;
• логическое изолирование данных организаций (Multi-Tenancy) на уровне баз данных Сервиса;
• ведение журналов аудита операций и регулярное создание зашифрованных резервных копий;
• ограничение и разграничение административного доступа к инфраструктуре Сервиса по закрытым ключам.

4.5. Содействие Оператору: по мотивированному запросу Оператора предоставлять сведения о соблюдении условий настоящего Соглашения, а также оказывать содействие при обращениях субъектов персональных данных и запросах уполномоченных органов (Роскомнадзор).

4.6. Уведомление об инцидентах: в случае выявления инцидента безопасности, приведшего к неправомерной передаче или утечке персональных данных, уведомить Оператора в течение 24 (двадцати четырех) часов с момента выявления такого факта.

Оператор обязуется и гарантирует:

5.1. Законность получения данных: иметь надлежащие правовые основания для обработки и передачи персональных данных Обработчику, включая получение согласий от субъектов персональных данных (сотрудников, представителей) на передачу их данных ИП Михайлову В.В. для использования в Сервисе «uchetkm.ru».

5.2. Достоверность данных: обеспечивать актуальность, полноту и точность загружаемых в Сервис данных.

5.3. Ответственность перед субъектами: самостоятельно нести ответственность перед субъектами персональных данных за правомерность их передачи Обработчику.

6.1. Оператор выражает явное согласие Обработчику на привлечение следующих категорий третьих лиц (субобработчиков) для реализации функционала Сервиса:

• Провайдеры защищенной облачной инфраструктуры и дата-центры в РФ — для размещения баз данных, вычислительных сервисов и объектного хранилища файлов;
• Операторы транзакционных коммуникационных шлюзов (SMS и E-mail) — для доставки служебных кодов авторизации, ссылок сброса паролей и системных уведомлений;
• Telegram Messenger Inc. — при активации сервисных уведомлений через официального Telegram-бота Сервиса;
• Информационные шлюзы ГИС МТ («Честный ЗНАК» / ООО «Оператор-ЦРПТ») — при включении прямой интеграции с личным кабинетом участника оборота товаров.

6.2. Обработчик гарантирует, что договоры с субобработчиками возлагают на них обязанности по обеспечению конфиденциальности и защите персональных данных в объеме, не меньшем, чем предусмотрено настоящим Соглашением.

7.1. Настоящее Соглашение действует в течение всего периода использования Сервиса «uchetkm.ru» Оператором.

7.2. Порядок прекращения обработки и удаления данных:

• При расторжении договора или подаче запроса на удаление аккаунта организации активируется отложенный 24-часовой период (Grace Period) для защиты от случайной утери данных;
• По истечении Grace Period учетные записи сотрудников Оператора, сформированные очереди печати, файлы этикеток и временные данные подлежат безвозвратному удалению (Purge) из активных баз данных Сервиса;
• Обработчик вправе сохранить данные об оплатах, сформированные акты и расчетные документы в обезличенном виде в пределах сроков, установленных законодательством РФ о налогах и бухгалтерском учете.

8.1. Обработчик несет ответственность перед Оператором за доказанный ущерб, возникший в результате виновного разглашения или утраты персональных данных по вине Обработчика, в пределах лимитов ответственности, установленных Публичной офертой Сервиса.

8.2. Обработчик не несет ответственности перед субъектами персональных данных за нарушения, допущенные Оператором (включая отсутствие согласий субъектов на обработку и передачу данных). Ответственность перед субъектами за действия Обработчика несет Оператор.