Договор поручения на обработку персональных данных

1. Общие положения

Настоящий договор поручения на обработку персональных данных (далее — «Договор поручения») заключается между ИП Хохлова Елена Викторовна (ИНН 781712174908, ОГРНИП 326784700266506, реестр операторов персональных данных № 78-26-217439, адрес: Санкт-Петербург, Ленинский пр. 161, далее — «Обработчик») и лицом, использующим сервисы A5X Cloud в общем облаке и передающим Обработчику персональные данные для обработки (далее — «Заказчик»).

Договор поручения является неотъемлемой частью Пользовательского соглашения и Политики обработки персональных данных. При противоречии по вопросам поручения на обработку персональных данных приоритет имеет настоящий Договор поручения; при наличии индивидуального договора и приложения о поручении к нему — приоритет имеет индивидуальный договор.

Договор поручения применяется к обработке персональных данных в общем облаке A5X Cloud. Для выделенного контура и развёртывания у заказчика условия поручения определяются отдельным договором.

2. Роли сторон

Заказчик является оператором персональных данных в отношении данных, содержащихся в контенте, который он загружает или передаёт в сервисы (аудио, видео, тексты, документы и результаты их обработки).

Обработчик осуществляет обработку таких персональных данных по поручению Заказчика исключительно для оказания сервисов A5X Cloud и связанных целей, указанных в поручении.

В отношении данных аккаунта Заказчика и технических данных платформы Обработчик выступает оператором персональных данных на условиях Политики обработки персональных данных; настоящий Договор поручения на эти данные не распространяется, за исключением случаев, когда они необходимы для исполнения поручения.

3. Предмет поручения

Предмет: обработка персональных данных, содержащихся в контенте Заказчика, средствами платформы A5X Cloud (включая Speech, Vision, LLM, кабинет, API и виджеты) в объёме, необходимом для оказания выбранных сервисов.

Категории субъектов: клиенты, сотрудники, контрагенты и иные лица, чьи данные Заказчик правомерно передаёт в сервисы.

Категории данных: идентификационные и контактные сведения; сведения, содержащиеся в записях переговоров, видео, документах и иных материалах Заказчика; результаты распознавания, аналитики и генерации; при включённом модуле сопоставления спикеров — голосовые профили (математические представления голоса) участников коммуникаций внутри аккаунта Заказчика. Специальные категории и биометрические персональные данные обрабатываются только при предварительном письменном согласовании с Обработчиком, за исключением модуля сопоставления спикеров, включаемого Заказчиком в кабинете на условиях настоящего Договора поручения и Пользовательского соглашения.

Цели обработки по поручению: оказание сервисов, техническая поддержка, обеспечение безопасности и предотвращение злоупотреблений, исполнение законных требований в связи с оказанием сервисов; при включённом модуле сопоставления спикеров — построение и сопоставление голосовых профилей для связи участников между коммуникациями аккаунта Заказчика (speaker matching). Модуль не предназначен для идентификации и аутентификации личности в режиме Федерального закона от 29.12.2022 № 572-ФЗ.

Способы и действия: сбор (приём), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление субобработчикам в рамках настоящего Договора поручения), обезличивание, блокирование, удаление и уничтожение — в объёме, необходимом для целей поручения.

4. Поручение и инструкции

Заказчик поручает Обработчику обработку персональных данных на условиях настоящего Договора поручения, Пользовательского соглашения, настроек кабинета и иных письменных инструкций Заказчика, не противоречащих закону и договору. Включение в кабинете модуля сопоставления спикеров является инструкцией Заказчика на обработку голосовых профилей и подтверждением гарантий Заказчика.

Обработчик не определяет самостоятельно цели обработки данных в контенте Заказчика и не обрабатывает их способами, несовместимыми с поручением, за исключением случаев, когда иное требует закон.

Заказчик гарантирует наличие правовых оснований для передачи данных и поручения их обработки, а также исполнение обязанностей оператора перед субъектами. Обработчик вправе отказать в обработке или удалить данные при нарушении этих гарантий либо при требовании закона.

5. Обязанности сторон

Обработчик обязуется: обрабатывать данные только по поручению Заказчика; обеспечивать конфиденциальность; применять меры защиты; привлекать субобработчиков на условиях настоящего Договора поручения; содействовать Заказчику в ответах на запросы субъектов в разумных пределах технической возможности; уведомлять о инцидентах; удалять или возвращать данные по окончании поручения в согласованном порядке.

Заказчик обязуется: не передавать данные сверх необходимого; не передавать специальные категории и биометрию без согласования, за исключением модуля сопоставления спикеров при включении в кабинете; при включении модуля — обеспечивать законные основания и согласия субъектов, когда они требуются, и не использовать модуль для целей идентификации/аутентификации по 572-ФЗ; своевременно давать инструкции; самостоятельно отвечать субъектам как оператор; обеспечивать законность исходного сбора данных.

6. Субобработчики

Заказчик даёт общее согласие на привлечение Обработчиком субобработчиков следующих категорий: провайдеры дата-центров и облачной инфраструктуры на территории РФ; платёжные провайдеры (в части, необходимой для расчётов); сервисы электронной почты и уведомлений; подрядчики технической поддержки — при обязательствах конфиденциальности и защиты не ниже настоящего Договора поручения.

Обработчик несёт ответственность перед Заказчиком за действия субобработчиков в пределах, установленных Пользовательским соглашением и законом. Актуальный перечень конкретных субобработчиков предоставляется Заказчику по запросу на контакт Обработчика.

7. Меры защиты

Обработчик применяет организационные и технические меры, направленные на защиту персональных данных, включая: шифрование при передаче и хранении; разграничение доступа; логическую изоляцию клиентов в общем облаке; журналирование критичных операций; защиту секретов и ключей доступа; контроль действий персонала.

Контент Заказчика не используется для обучения или улучшения публичных (общих) моделей без письменного согласия Заказчика или условий отдельного договора.

8. Права субъектов

Запросы субъектов персональных данных по данным в контенте Заказчика направляются Заказчику как оператору. Обработчик по письменному запросу Заказчика оказывает разумное содействие (включая техническую блокировку, удаление или выгрузку доступных данных) в сроки, согласованные сторонами, с учётом требований 152-ФЗ.

9. Инциденты

При выявлении инцидента, повлёкшего неправомерную передачу, утрату, изменение или доступ к персональным данным, обрабатываемым по поручению, Обработчик принимает меры по локализации и устранению последствий и уведомляет Заказчика без необоснованной задержки после установления факта инцидента.

Уведомление уполномоченного органа и субъектов, если оно требуется, осуществляет Заказчик как оператор, если иное не согласовано письменно. Обработчик предоставляет Заказчику известную ему информацию, необходимую для исполнения таких обязанностей.

10. Аудит

Заказчик вправе не чаще одного раза в календарный год запросить у Обработчика сведения о мерах защиты и подтверждение соблюдения настоящего Договора поручения. Выездной или углублённый аудит инфраструктуры общего облака проводится по отдельному соглашению о неразглашении с согласованием объёма, сроков и возмещения расходов, если стороны не договорятся об ином.

11. Срок и возврат (удаление) данных

Поручение действует в течение срока использования Заказчиком сервисов общего облака и сохраняет силу в части конфиденциальности и защиты данных после прекращения — в сроки, установленные Пользовательским соглашением и законом.

По прекращении использования сервисов или по письменному запросу Заказчика Обработчик удаляет персональные данные из контента из активных систем в разумный срок либо предоставляет возможность выгрузки, если это технически доступно. Удаление из резервных копий выполняется в рамках регламентных циклов.

Если доступ к аккаунту приостановлен (деактивирован) из-за неоплаты, и задолженность не устранена, аккаунт и связанные данные могут быть удалены автоматически по истечении 14 календарных дней с даты деактивации — в порядке Пользовательского соглашения. До удаления, если указан email, направляется уведомление.

12. Ответственность

Ответственность сторон определяется Пользовательским соглашением и применимым правом. Обработчик не отвечает за решения Заказчика, принятые на основе результатов обработки, и за нарушение Заказчиком обязанностей оператора персональных данных.

Ограничение ответственности Обработчика не применяется при его умысле или грубой неосторожности и в иных случаях, когда это запрещено законом.

13. Акцепт договора поручения

Договор поручения считается заключённым с момента акцепта Пользовательского соглашения и начала передачи контента, содержащего персональные данные, в сервисы общего облака, либо с момента иного явно выраженного согласия с договором поручения (в том числе в индивидуальном договоре).

Продолжение использования сервисов после публикации новой редакции Договора поручения на сайте Обработчика регулируется правилами изменения Пользовательского соглашения: существенные изменения вступают в силу не ранее чем через 14 календарных дней после публикации и уведомления.

14. Контакты

По вопросам договора поручения, персональных данных и информационной безопасности: info@a5x.pro (темы «Договор поручения», «Персональные данные», «ИБ»).

Обработчик: ИП Хохлова Елена Викторовна, ИНН 781712174908, ОГРНИП 326784700266506, реестр операторов персональных данных № 78-26-217439, адрес: Санкт-Петербург, Ленинский пр. 161. Сайт: a5x.pro.