Приложение № […]
к Лицензионному договору № […] от […] 20[…] г.
Соглашение об обработке персональных данных Лицензиаром
по поручению Лицензиата
1.С целью предоставления и сопровождения Лицензиаром Программы в соответствии с Договором (в частности, в целях сопровождения и технической поддержки) Лицензиат поручает Лицензиару обработку персональных данных своих работников, бывших работников и кандидатов на трудоустройство (соискателей), а также членов семей работников в объеме, содержащемся в кадровых документах, и предоставляет Лицензиару доступ к ним в соответствии с ч. 3 ст. 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» («Закон о ПД»). Лицензиару поручается обработка следующих персональных данных («ПД»):
- фамилия, имя, отчество;
- дата рождения;
- паспортные данные;
- СНИЛС;
- ИНН;
- адрес регистрации и адрес проживания;
- контактный адрес электронной почты;
- контактный номер мобильного телефона;
- сведения о трудоустройстве и трудовой деятельности (должность, подразделение, стаж);
- сведения табельного учета;
- сведения об электронной подписи (простой электронной подписи, усиленной неквалифицированной электронной подписи);
- сведения, содержащиеся в кадровых документах, которые Лицензиат размещает в Программе.
2.Перечень действий (операций) с ПД, осуществление которых поручается Лицензиару: запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) Лицензиату и лицам, указанным Лицензиатом, блокирование, удаление, уничтожение. Лицензиар не осуществляет обработку ПД без использования средств автоматизации.
3.Лицензиар обязуется действовать в строгом соответствии с обоснованными указаниями компании Лицензиата в отношении обработки ПД (письменные или направляемые по электронной почте) и только в той степени и таким образом, которые необходимы для исполнения Договора, а также:
- соблюдать установленные законодательством РФ о персональных данных принципы и правила обработки, соблюдать конфиденциальность обрабатываемых ПД и обеспечивать безопасность при их обработке;
- обеспечивать принятие мер для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий в отношении ПД в соответствии с применимыми по отношению к заявленным целям и видам обработки ПД требованиями законодательства о персональных данных, соблюдая, в частности, все применимые требования к защите ПД, организационные и технические меры по обеспечению безопасности ПД;
- соблюдать требования ч. 5 ст. 18 Закона о ПД, в том числе обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение ПД граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, а также принимать меры, предусмотренные ст. 18.1 Закона о ПД;
- по запросу Лицензиата в течение срока действия настоящего поручения, в том числе до начала обработки ПД, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных ст. 18.1 и ст. 19 Закона о ПД.
3.1Обеспечение безопасности ПД достигается, в частности (если применимо):
- определением угроз безопасности ПД при их обработке в информационных системах персональных данных;
- применением организационных и технических мер по обеспечению безопасности ПД при их обработке в информационных системах, необходимых для выполнения требований к защите ПД, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
- при необходимости, применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
- оценкой эффективности принимаемых мер по обеспечению безопасности ПД до ввода в эксплуатацию информационной системы персональных данных;
- учетом машинных носителей ПД;
- обнаружением фактов несанкционированного доступа к ПД и принятием мер;
- восстановлением ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- установлением правил доступа к ПД, обрабатываемым в информационной системе, а также обеспечением регистрации и учета всех действий, совершаемых с ПД в информационной системе;
- контролем за принимаемыми мерами по обеспечению безопасности ПД и уровня защищенности информационных систем;
- назначением лица, ответственного за обеспечение безопасности персональных данных в информационных системах;
- ознакомлением и обучением лиц, осуществляющих обработку ПД, правилам и условиям обработки ПД (включая обработку без использования средств автоматизации) и требованиям к безопасности ПД.
3.2Перечень указанных мер должен быть изменен в случае изменения применимого законодательства РФ в сфере персональных данных. Такие изменения должны быть внедрены Лицензиаром в течение разумного срока после наступления указанных изменений.
4.Для достижения целей обработки ПД Лицензиар вправе за свой счет привлекать к обработке ПД третьих лиц, с которыми у Лицензиара заключены соответствующие договоры, при условии обеспечения указанными третьими лицами конфиденциальности и безопасности ПД при обработке, соблюдения ими требований настоящего Приложения и обработки ими ПД с использованием баз данных, находящихся на территории Российской Федерации. На дату подписания настоящего Приложения Лицензиар привлекает ООО «Яндекс.Облако» (ИНН 7704458262) для предоставления вычислительной инфраструктуры, на которой размещается Программа. О намерении заменить указанное лицо или привлечь дополнительных третьих лиц Лицензиар уведомляет Лицензиата не позднее чем за 10 (десять) рабочих дней; Лицензиат вправе в этот срок направить мотивированное возражение. Лицензиар обязуется по запросу Лицензиата предоставить сведения о третьих лицах, привлеченных к обработке ПД, а также сведения о том, доступ к каким ПД, каких субъектов и в каких целях был им предоставлен.
5.По обоснованному запросу Лицензиата Лицензиар обязуется, если иное не установлено законодательством РФ, немедленно прекратить обработку ПД. При прекращении Договора по любой причине Лицензиар прекращает обработку ПД, за исключением действий, необходимых для исполнения настоящего пункта, и в срок, не превышающий 30 (тридцати) календарных дней с даты прекращения Договора: (а) по запросу Лицензиата, направленному в этот срок, передает Лицензиату выгрузку документов и ПД, обрабатываемых в Программе, в машиночитаемом виде; (б) если Лицензиат не дал иных указаний и если иное не установлено законодательством РФ, уничтожает ПД способом, обеспечивающим их безопасность. Уничтожение ПД подтверждается актом об уничтожении ПД, оформленным в соответствии с Требованиями к подтверждению уничтожения персональных данных, утвержденными приказом Роскомнадзора от 28 октября 2022 г. № 179. Лицензиар обязуется обеспечить выполнение указанных действий всеми своими контрагентами, привлеченными к обработке ПД. По требованию Лицензиата Лицензиар предоставляет Лицензиату письменное подтверждение выполнения указанных обязанностей.
6.В случае отзыва согласий субъектов ПД или прекращения действия иных оснований обработки, а также претензий, жалоб, запросов и (или) иных обращений со стороны субъектов ПД и (или) уполномоченных государственных органов в отношении обработки ПД Лицензиатом или Лицензиаром в связи с Договором, Лицензиат обязуется в разумные сроки оказать Лицензиару необходимые помощь и содействие (включая предоставление документов для подтверждения оснований обработки ПД и т.п.) для ответа на обращение. Лицензиар, в свою очередь, не позднее 5 (пяти) рабочих дней с даты получения запроса Лицензиата оказывает Лицензиату содействие в подготовке ответов на обращения и запросы субъектов ПД и уполномоченного органа по защите прав субъектов ПД, связанные с обработкой ПД в Программе, в том числе предоставляет необходимые сведения, выгрузки ПД и сведения из журналов действий в Программе.
7.В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПД, повлекшей нарушение прав субъектов ПД, Лицензиар сообщает Лицензиату в течение 12 (двенадцати) часов с момента выявления информацию:
- о произошедшем инциденте;
- о предполагаемых причинах, повлекших нарушение прав субъектов ПД;
- о предполагаемом вреде, нанесенном правам субъектов ПД;
- о принятых мерах по устранению последствий соответствующего инцидента;
- о контактном лице, уполномоченном Лицензиаром на взаимодействие с Лицензиатом по вопросам, связанным с выявленным инцидентом.
В течение 36 (тридцати шести) часов с момента выявления инцидента Лицензиар сообщает Лицензиату о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
8.Если по условиям Договора Программа установлена на серверах Лицензиата, Лицензиар не осуществляет хранение ПД, а доступ к ПД получает только в объеме, необходимом для технической поддержки и сопровождения Программы, и только по согласованию с Лицензиатом. В этом случае положения пунктов 4 и 5 настоящего Приложения применяются только к ПД, к которым Лицензиар фактически получил доступ.
9.Во всем остальном, что не предусмотрено условиями настоящего Приложения, стороны руководствуются положениями Договора.
______________________ / Сайганов А. А.
______________________ / […]