Поручение на обработку персональных данных

1Роли сторон

1.1Клиент является оператором персональных данных в отношении данных своих клиентов, посетителей, потенциальных клиентов, представителей, сотрудников и иных субъектов, данные которых Клиент обрабатывает в NAVEDU.

1.2Исполнитель является лицом, осуществляющим обработку персональных данных по поручению оператора, и обрабатывает такие данные только для исполнения договора и документированных указаний Клиента.

1.3Исполнитель не определяет самостоятельно цели обработки клиентских персональных данных и не приобретает прав на них, кроме технически необходимого использования для исполнения договора.

2Цели и категории субъектов

2.1Цели: прием и учет обращений/заявок; ведение клиентской базы; запись на занятия/мероприятия; учет посещений; отображение статусов оплат; организация расписания; повторные касания и напоминания в пределах подключенных функций; предоставление доступа сотрудникам Клиента; поддержка, диагностика, резервное копирование и обеспечение безопасности NAVEDU.

2.2Субъекты: потенциальные и действующие клиенты/посетители Клиента; родители и законные представители; дети в объеме данных, законно предоставленных их представителями; сотрудники и иные уполномоченные пользователи Клиента; представители контрагентов Клиента.

3Перечень персональных данных

• фамилия, имя, отчество (при наличии);
• телефон, e-mail, идентификаторы мессенджеров/социальных сетей;
• имя и возраст/дата рождения ребенка, если это требуется процессом Клиента и предоставлено законным представителем;
• сведения о заявке, выбранной услуге/направлении, группе, мероприятии, записи, посещении, абонементе и статусе оплаты;
• источник обращения, статус, ответственный, следующий шаг, комментарии Клиента в допустимом объеме;
• данные учетных записей пользователей Клиента, роли и журналы действий;
• IP-адрес, дата/время, технические идентификаторы и журналы, необходимые для безопасности и диагностики;
• иные обычные персональные данные, письменно согласованные сторонами и необходимые для подключенной функции.

Специальные категории персональных данных (включая сведения о здоровье), биометрические данные и иные чувствительные данные не входят в базовое поручение. Их обработка допускается только после отдельного письменного согласования правовой и технической схемы.

4Операции и способы обработки

4.1Операции: получение/сбор через интерфейсы NAVEDU, запись, систематизация, накопление, хранение, уточнение, извлечение, использование для выполнения функций Сервиса, предоставление доступа уполномоченным пользователям Клиента, передача привлеченным обработчикам в пределах настоящего поручения, резервное копирование, блокирование, удаление, уничтожение и обезличивание.

4.2Обработка осуществляется преимущественно автоматизированным способом с передачей по информационно-телекоммуникационным сетям и внутри инфраструктуры NAVEDU. Распространение данных не поручается.

5Обязанности Исполнителя

• обрабатывать данные только по договору, настоящему поручению и документированным указаниям Клиента;
• соблюдать конфиденциальность персональных данных;
• выполнять применимые требования 152-ФЗ, включая требования ст. 18 ч. 5, 18.1 и 19 в пределах своей зоны ответственности;
• обеспечивать первичную запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан РФ при сборе через NAVEDU с использованием баз данных на территории РФ, если законом не установлено исключение;
• разграничивать доступ к данным и предоставлять его только лицам, которым он необходим;
• применять защищенную передачу данных, управление доступом, журналирование администраторских действий и резервное копирование в объеме фактически внедренной инфраструктуры;
• по обоснованному запросу Клиента в разумный срок предоставлять информацию, подтверждающую исполнение обязанностей по настоящему поручению, без раскрытия секретов безопасности других клиентов;
• не использовать клиентские данные для рекламы, продажи третьим лицам или обучения общедоступных моделей искусственного интеллекта без отдельного поручения и правового основания.

6Привлечение третьих лиц

6.1Клиент разрешает Исполнителю привлекать технических подрядчиков (хостинг, резервное копирование, транзакционная почта/SMS, платежная инфраструктура, мониторинг и иные сервисы), если это необходимо для функций, подключенных Клиенту, при условии возложения на таких лиц требований по конфиденциальности и безопасности не ниже применимых к Исполнителю.

6.2Исполнитель ведет внутренний перечень таких подрядчиков и по запросу Клиента сообщает сведения, необходимые для выполнения обязанностей Клиента как оператора. Существенное подключение нового обработчика, меняющего место хранения или характер обработки персональных данных, требует предварительного информирования Клиента.

6.3Трансграничная передача клиентских персональных данных не входит в базовое поручение и не осуществляется без отдельного правового основания, выполнения обязательных процедур и письменного согласования с Клиентом.

7Инциденты и запросы субъектов

7.1При выявлении в своей зоне ответственности факта неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, который может повлечь нарушение прав субъектов, Исполнитель уведомляет Клиента без неоправданной задержки и, во всяком случае, не позднее 12 часов с момента выявления.

7.2В первичном уведомлении Исполнитель передает имеющиеся сведения о характере инцидента, предполагаемых причинах, затронутых данных/субъектах, мерах реагирования и контактном лице. Дополнительные сведения передаются по мере расследования.

7.3Клиент как оператор самостоятельно исполняет обязанность уведомления Роскомнадзора и субъектов, если она возникает, а Исполнитель оказывает разумное содействие в пределах имеющейся информации.

7.4Полученные Исполнителем запросы субъектов, относящиеся к данным Клиента, передаются Клиенту; Исполнитель не отвечает субъекту по существу как самостоятельный оператор, если иное не предусмотрено законом.

8Обязанности Клиента

• иметь законные основания обработки каждого вида данных и поручения обработки Исполнителю;
• предоставлять субъектам необходимую информацию и получать согласия, когда они требуются;
• не поручать через базовый NAVEDU обработку специальных категорий/биометрии без отдельного соглашения;
• определять сроки хранения данных исходя из своих целей и закона;
• обеспечивать безопасность учетных записей своих пользователей и своевременно прекращать их доступ;
• сообщать Исполнителю о требованиях субъекта/Роскомнадзора, если для ответа требуется действие со стороны NAVEDU.

9Срок поручения, удаление и возврат данных

9.1Поручение действует столько же, сколько договор и технически необходимый период завершения операций после прекращения договора.

9.2После прекращения целей обработки Исполнитель удаляет/уничтожает либо обезличивает данные в соответствии с документированным указанием Клиента, законом и технологическим циклом резервных копий. При юридической обязанности сохранить отдельные сведения они изолируются и используются только для соответствующей цели.

9.3До прекращения договора Клиент должен самостоятельно выполнить доступную штатную выгрузку либо заранее запросить отдельную услугу миграции/выгрузки.

10Инфраструктура

11Применимость

Настоящее поручение является Приложением № 1 к Договору-оферте NAVEDU редакции 2.0 от 04.10.2026 и акцептуется Клиентом одновременно с оплатой Счета, в котором указана соответствующая редакция договора.