Поручение на обработку персональных данных клиентов

1.1. Данные людей, которые записываются к Оператору, получают от него анкеты или иначе взаимодействуют с ним через Сервис (далее — Клиенты).

1.2. Перечень данных:

• имя, телефон, адрес электронной почты, ник в Telegram;
• сведения о записях: услуга, дата, время, статус, переносы и отмены, первый или повторный визит, ссылка на видеовстречу;
• ответ на вопрос, откуда Клиент узнал об Операторе;
• ответы на анкеты и подсчитанные по ним баллы. Они могут содержать сведения о состоянии здоровья — специальную категорию персональных данных (ст. 10 152-ФЗ);
• ход и результаты игр с метафорическими картами: вопрос к картам, какие карты открыты и в каком порядке, заметка Оператора по итогам игры;
• заметки, сообщения и материалы, которые Оператор сам вносит в карточку Клиента или отправляет ему вместе с анкетой;
• сведения о данных Клиентом согласиях: редакция текста, дата и время;
• технические данные: сведения о входе Клиента по личной ссылке и хеш IP-адреса для защиты формы записи от спама (сам IP-адрес не хранится).

2.1. Цель — предоставить Оператору Сервис для записи Клиентов, напоминаний о встречах, проведения анкет и ведения карточек Клиентов. Обработчик не использует данные Клиентов в других целях, в том числе для рекламы, аналитики в своих интересах или обучения моделей.

2.2. Действия: сбор (через формы Сервиса), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача в объёме раздела 4, блокирование, удаление, уничтожение. Обработка автоматизированная.

3.1. Обработчик обязуется:

• соблюдать конфиденциальность данных и не раскрывать их без разрешения Оператора или закона;
• принимать меры защиты по ст. 19 152-ФЗ: разграничение доступа между специалистами, шифрование соединения, хранение паролей в виде хеша, журнал доступа к ответам на анкеты, администрирование сервера только по ключу;
• хранить данные только на серверах в Российской Федерации;
• по запросу Оператора в течение 10 рабочих дней предоставлять документы и сведения, подтверждающие выполнение этого поручения;
• сообщать Оператору об утечке или неправомерном доступе к данным его Клиентов в течение 24 часов с момента, когда о нём стало известно, чтобы Оператор мог выполнить ч. 3.1 ст. 21 152-ФЗ;
• передавать Оператору обращения Клиентов о их данных, полученные Обработчиком напрямую, в течение 3 рабочих дней;
• удалить данные Клиента по указанию Оператора (в том числе через удаление в кабинете), а при прекращении договора — удалить все данные Клиентов Оператора, в том числе из резервных копий, в течение 30 дней.

4.1. Для работы Сервиса Обработчик привлекает:

• хостинг-провайдера Timeweb Cloud: сервер в Москве, на нём хранятся все данные Сервиса;
• сервис рассылки Unisender Go (ООО «Юнисендер Смарт», данные хранятся в России): имя и почта Клиента, текст письма о записи.

4.2. Если Оператор подключил свой аккаунт Zoom, туда передаются только время встречи, её длительность и название услуги, без данных Клиента. Трансграничная передача данных Клиентов не осуществляется.

4.3. Оператор даёт согласие на привлечение этих лиц. О замене или добавлении подрядчика Обработчик сообщает Оператору по почте не позднее чем за 10 дней.

5.1. Оператор получает согласия Клиентов, в том числе письменное согласие на обработку сведений о здоровье, если его анкеты их затрагивают, а за Клиентов младше 18 лет — согласие их законных представителей. Сервис показывает Клиенту форму согласия от имени Оператора и сохраняет факт согласия; текст этой формы Оператор вправе проверить и согласовать.

5.2. Оператор отвечает на запросы Клиентов, выполняет требования об удалении данных и, если это требуется законом, направляет в Роскомнадзор уведомление об обработке персональных данных.

5.3. Ответственность перед Клиентом за действия Обработчика несёт Оператор; Обработчик отвечает перед Оператором (ч. 5 ст. 6 152-ФЗ).