ДОГОВОР ПОРУЧЕНИЯ

на обработку персональных данных

№

Редакция 2.0

г. Новосибирск«___» __________ 20___ г.

Индивидуальный предприниматель Стороженко Максим Юрьевич (ИНН 540305273153, ОГРНИП 324547600163261, адрес: 630083, г. Новосибирск, ул. Большевистская, д. 94, кв. 340), осуществляющий деятельность на B2B-платформе chinacarexport.online под коммерческим обозначением «CarExport», именуемый в дальнейшем «Обработчик» или «CarExport», с одной стороны, и

(ИНН , ОГРН/ОГРНИП , адрес: ), в лице , действующего на основании , именуемый в дальнейшем «Оператор», с другой стороны,

совместно именуемые «Стороны», заключили настоящий Договор о нижеследующем:

1. Предмет Договора

1.1. Оператор поручает, а Обработчик обязуется от имени и в интересах Оператора осуществлять обработку персональных данных субъектов, являющихся клиентами Оператора и зарегистрированных Оператором в информационной системе B2B-платформы chinacarexport.online (далее — Платформа), с соблюдением требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).

1.2. Настоящий Договор заключается на основании и во исполнение части 3 статьи 6 Закона о персональных данных.

1.3. Настоящий Договор является рамочным. Он регулирует условия обработки персональных данных всех клиентов Оператора, зарегистрированных Оператором в Платформе, независимо от даты их регистрации, до момента прекращения действия настоящего Договора.

1.4. Настоящий Договор заключается по модели договора присоединения (статья 428 Гражданского кодекса Российской Федерации). Условия Договора размещены в открытом доступе на сайте Платформы по адресу https://chinacarexport.online и не подлежат согласованию отдельно с каждым Оператором. Оператор присоединяется к условиям настоящего Договора в целом путём совершения одного из следующих действий (акцепт):

• проставление отметки (галочки) в специальном поле при регистрации на Платформе, подтверждающей ознакомление с настоящим Договором и принятие его условий;
• подписание печатного экземпляра настоящего Договора и передача его Обработчику лично, посредством почтовой связи или электронной почты в отсканированном виде.

Оба способа являются равнозначными и порождают одинаковые правовые последствия.

1.5. Момент заключения Договора: Договор считается заключённым с момента совершения Оператором действий по акцепту. При заключении Договора путём электронного акцепта Обработчик фиксирует в информационной системе Платформы: дату и время акцепта, реквизиты Оператора на момент акцепта, IP-адрес Оператора, техническую информацию о браузере, а также редакцию Договора, к которой присоединился Оператор.

2. Правовой статус Сторон

2.1. Оператор является оператором персональных данных субъектов, являющихся клиентами Оператора, и определяет цели обработки таких персональных данных, их состав, действия, совершаемые с ними, а также сроки их обработки.

2.2. Обработчик действует в качестве лица, осуществляющего обработку персональных данных по поручению Оператора, в соответствии с ч. 3 ст. 6 Закона о персональных данных.

2.3. Обработчик не является оператором персональных данных клиентов Оператора, обрабатываемых по настоящему Договору, и не определяет цели, состав и действия с такими персональными данными.

3. Сведения о персональных данных

3.1. Категории субъектов персональных данных: физические лица, являющиеся клиентами Оператора, зарегистрированные Оператором в Платформе.

3.2. Категории обрабатываемых персональных данных:

• Фамилия, имя, отчество (при наличии);
• Номер мобильного телефона;
• Адрес электронной почты;
• Идентификатор в мессенджерах;
• Паспортные данные (при их предоставлении для заключения сделки);
• Иные данные, добровольно предоставленные клиентом Оператора (в том числе информация об интересующем автомобиле, предпочтениях, адресе).

3.3. Обработчик не обрабатывает специальные и биометрические категории персональных данных клиентов Оператора.

4. Цели обработки и перечень действий

4.1. Цели обработки персональных данных Обработчиком:

• Техническое хранение персональных данных клиентов Оператора в информационной системе Платформы;
• Обеспечение доступа Оператора к персональным данным его клиентов через личный кабинет Оператора на Платформе;
• Обеспечение работы функционала Платформы, необходимого Оператору для взаимодействия со своими клиентами;
• Обеспечение резервного копирования и восстановления данных;
• Обеспечение передачи персональных данных клиентов Оператора таможенным брокерам и Экспортёрам по указанию Оператора, выраженному через функционал Платформы.

4.2. Перечень действий, совершаемых Обработчиком с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование (в пределах, необходимых для целей, указанных в п. 4.1), передача (предоставление, доступ) — в случаях и в порядке, предусмотренных разделом 8 настоящего Договора и функционалом Платформы по передаче данных таможенным брокерам, блокирование, удаление, уничтожение.

4.3. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без них.

5. Ограничения деятельности Обработчика

5.1. Обработчик не использует персональные данные клиентов Оператора в собственных целях. В частности, Обработчик обязуется:

5.1.1. Не осуществлять собственные продажи товаров и услуг клиентам Оператора от своего имени и от имени аффилированных с Обработчиком лиц. Любые коммерческие предложения клиентам Оператора направляются исключительно Оператором.

5.1.2. Не переманивать клиентов Оператора и не предпринимать действий, направленных на перевод клиентов Оператора на обслуживание к Обработчику или к третьим лицам, включая иных Операторов Платформы.

5.1.3. Не использовать персональные данные клиентов Оператора для собственных маркетинговых кампаний, аналитических исследований, продажи третьим лицам, а также для формирования собственных клиентских баз.

5.1.4. Не передавать персональные данные клиентов одного Оператора другим Операторам Платформы, за исключением случаев, когда сам субъект персональных данных является клиентом нескольких Операторов и Оператор, в интересах которого сохраняются данные, определён явно.

5.2. Обработчик гарантирует изоляцию персональных данных клиентов Оператора от данных клиентов других Операторов Платформы на уровне программного обеспечения. Доступ к персональным данным клиентов Оператора имеют только уполномоченные сотрудники самого Оператора через его личный кабинет на Платформе.

5.3. Технический персонал Обработчика может получать доступ к персональным данным клиентов Оператора исключительно в целях, установленных разделом 6 настоящего Договора, и с соблюдением установленного порядка.

6. Доступ технической поддержки

6.1. В целях оказания технической поддержки, диагностики и устранения ошибок Платформы, а также расследования инцидентов Обработчик вправе осуществлять вход в личный кабинет Оператора и его сотрудников (далее — «просмотр от имени»).

6.2. Обработчик фиксирует каждый случай «просмотра от имени» во внутреннем журнале с указанием даты и времени начала и окончания сессии, сотрудника Обработчика и учётной записи, в которую осуществлён вход.

6.3. Обработчик не использует «просмотр от имени» в целях, не связанных с технической поддержкой, в том числе в маркетинговых целях, для сбора коммерческой информации о деятельности Оператора и изучения его клиентской базы.

6.4. По письменному запросу Оператора Обработчик предоставляет выписку из журнала «просмотра от имени» в отношении учётных записей Оператора за запрашиваемый период в срок не более 5 (пяти) рабочих дней с даты получения запроса.

7. Место и способы хранения персональных данных

7.1. Персональные данные клиентов Оператора хранятся Обработчиком на серверах, расположенных на территории Российской Федерации, у хостинг-провайдера ООО «Регистратор доменных имён РЕГ.РУ» (reg.ru). Резервные копии дополнительно размещаются в облачном хранилище «Яндекс Диск» (ООО «ЯНДЕКС», ИНН 7736207543), серверы которого расположены на территории Российской Федерации.

7.2. Обработчик обеспечивает соблюдение требований части 5 статьи 18 Закона о персональных данных о размещении баз персональных данных граждан Российской Федерации на территории Российской Федерации.

7.3. Обработчик обеспечивает регулярное резервное копирование персональных данных клиентов Оператора. Резервные копии хранятся в зашифрованном виде на территории Российской Федерации — как на серверах Обработчика, так и в облачном хранилище «Яндекс Диск». Ключ шифрования хранится отдельно от копий и облачному хранилищу не передаётся.

7.4. Трансграничная передача персональных данных клиентов Оператора осуществляется Обработчиком по поручению Оператора — для целей исполнения сделок по приобретению автомобилей из-за рубежа, в объёме и на условиях, предусмотренных согласием субъекта персональных данных на трансграничную передачу, с соблюдением требований статьи 12 Закона о персональных данных. Иностранные государства, в которые осуществляется такая передача (одно или несколько — в зависимости от выбранной страны приобретения автомобиля и маршрута доставки): Китайская Народная Республика, Япония, Республика Корея, Кыргызская Республика, Республика Казахстан (для целей транзита). Китайская Народная Республика, Япония, Республика Корея, Кыргызская Республика и Республика Казахстан включены в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (приказ Роскомнадзора от 05.08.2022 № 128). Порядок такой передачи установлен разделом 8 настоящего Договора.

8. Трансграничная передача персональных данных

8.1. По указанию Оператора, выраженному в использовании функции передачи данных продавцу на Платформе, Обработчик осуществляет передачу персональных данных клиентов Оператора иностранным продавцам автомобилей (далее — Экспортёры), находящимся на территории иностранных государств. Такая передача является трансграничной передачей персональных данных, осуществляемой Оператором как оператором персональных данных (статья 12 Закона о персональных данных). Экспортёры являются самостоятельными операторами полученных персональных данных.

8.2. Оператор самостоятельно исполняет обязанности оператора при трансграничной передаче, в том числе:

• направляет в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу до её начала;
• соблюдает установленный законом срок ожидания;
• получает от Экспортёров сведения, предусмотренные частью 5 статьи 12 Закона о персональных данных;
• обеспечивает наличие правового основания для передачи и информирование клиентов о ней.

8.3. Функция передачи данных Экспортёрам становится доступна Оператору после подтверждения им в интерфейсе Платформы исполнения обязанностей, указанных в п. 8.2 настоящего Договора (далее — Декларация). Декларация фиксируется Обработчиком с указанием даты, времени, IP-адреса, данных сотрудника Оператора и текста подтверждённой редакции. До получения Декларации Обработчик не осуществляет передачу.

8.4. Обработчик не проверяет факт направления Оператором уведомления в Роскомнадзор и не несёт ответственности за последствия недостоверности Декларации. В случае недостоверности Декларации Оператор возмещает Обработчику причинённые убытки, включая суммы штрафов, наложенных на Обработчика.

8.5. Оператор вправе отозвать Декларацию в личном кабинете, после чего функция передачи блокируется. Если Роскомнадзор принял решение о запрете или ограничении трансграничной передачи, Оператор обязан отозвать Декларацию не позднее одного рабочего дня с момента получения такого решения.

8.6. Передачу персональных данных клиентов Экспортёрам вне Платформы Оператор осуществляет самостоятельно; Обработчик в такой передаче не участвует.

9. Меры по обеспечению безопасности персональных данных

9.1. Обработчик обязуется соблюдать конфиденциальность персональных данных клиентов Оператора и обеспечивать их безопасность в соответствии с требованиями Закона о персональных данных, Постановления Правительства РФ от 01.11.2012 № 1119 и иных нормативных актов.

9.2. Обработчик применяет следующие меры по обеспечению безопасности персональных данных:

• Использование защищённых каналов связи (HTTPS/TLS) для передачи данных;
• Разграничение прав доступа к персональным данным на уровне программного обеспечения;
• Идентификация и аутентификация пользователей Платформы по уникальному логину и паролю;
• Шифрование паспортных данных клиентов в базе данных;
• Регулярное резервное копирование данных с шифрованием резервных копий;
• Регистрация событий безопасности в информационной системе Платформы;
• Ведение журналов доступа к персональным данным, включая журнал использования функционала «просмотра от имени» (раздел 6 настоящего Договора);
• Проведение внутреннего контроля соответствия обработки персональных данных требованиям законодательства.

9.3. Информационным системам Обработчика установлен 4-й уровень защищённости персональных данных в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119.

10. Обязанности Сторон

10.1. Обработчик обязуется:

• Осуществлять обработку персональных данных клиентов Оператора исключительно в целях и в пределах, установленных настоящим Договором;
• Обеспечивать конфиденциальность персональных данных;
• Применять необходимые правовые, организационные и технические меры для защиты персональных данных;
• Не передавать персональные данные клиентов Оператора третьим лицам без письменного согласия Оператора, за исключением случаев, предусмотренных законодательством Российской Федерации, а также за исключением передачи по указанию Оператора, выраженному через функционал Платформы (раздел 8 настоящего Договора);
• Соблюдать ограничения, установленные разделом 5 настоящего Договора;
• Соблюдать порядок использования функционала «просмотра от имени», установленный разделом 6 настоящего Договора;
• Соблюдать порядок реагирования на инциденты, установленный разделом 11 настоящего Договора;
• По запросу Оператора предоставлять информацию об исполнении настоящего Договора;
• По требованию Оператора прекратить обработку персональных данных и удалить или обезличить их в срок, не превышающий 30 (тридцати) дней с даты получения соответствующего требования, за исключением случаев, когда закон требует продолжения хранения.

10.2. Оператор обязуется:

• Получать в установленном законом порядке согласие субъектов персональных данных на обработку их персональных данных с указанием Обработчика как лица, которому передаётся обработка;
• Обеспечить наличие правовых оснований для обработки персональных данных клиентов, регистрируемых в Платформе;
• Своевременно информировать Обработчика об отзыве согласия субъектом персональных данных, требованиях об уничтожении, блокировании или уточнении персональных данных;
• Не размещать в Платформе персональные данные лиц, чьи согласия не получены либо отозваны;
• Соблюдать требования Закона о персональных данных при работе с персональными данными своих клиентов через Платформу;
• Незамедлительно уведомлять Обработчика о поступивших от субъектов персональных данных запросах, требованиях или жалобах, связанных с обработкой их персональных данных.

11. Реагирование на инциденты с персональными данными

11.1. Под инцидентом в целях настоящего Договора понимается любое событие, которое привело или может привести к неправомерному или случайному доступу к персональным данным клиентов Оператора, их уничтожению, изменению, блокированию, копированию, предоставлению, распространению, а также к иным неправомерным действиям в отношении персональных данных.

11.2. При выявлении инцидента, связанного с персональными данными клиентов Оператора, Обработчик обязан:

11.2.1. В течение 24 (двадцати четырёх) часов с момента выявления инцидента уведомить Оператора о факте инцидента путём направления сообщения на адрес электронной почты Оператора, указанный в его личном кабинете, а также путём отображения уведомления в личном кабинете Оператора.

11.2.2. В течение 24 (двадцати четырёх) часов с момента выявления инцидента уведомить Роскомнадзор в порядке, установленном законодательством, если инцидент подпадает под требования обязательного уведомления.

11.2.3. В течение 72 (семидесяти двух) часов с момента выявления инцидента предоставить Оператору первичный отчёт, содержащий: описание инцидента, категории и объём затронутых персональных данных, категории и число затронутых субъектов, оценку возможных последствий, принятые и планируемые меры по устранению последствий.

11.2.4. Оказывать Оператору необходимое содействие в реагировании на инцидент, включая предоставление технической информации, необходимой Оператору для уведомления субъектов персональных данных и Роскомнадзора со своей стороны.

11.3. Обработчик обязуется вести учёт инцидентов, связанных с персональными данными, и по запросу Оператора предоставлять сведения об инцидентах, затрагивающих клиентов Оператора, за запрашиваемый период — в срок не более 5 (пяти) рабочих дней с даты получения запроса.

12. Ответственность Сторон

12.1. Каждая из Сторон несёт ответственность за нарушение требований Закона о персональных данных в пределах своей роли, установленной настоящим Договором:

• Оператор несёт ответственность перед субъектами персональных данных за законность обработки их персональных данных, наличие правовых оснований обработки, соблюдение прав субъектов;
• Обработчик несёт ответственность за соблюдение требований к обеспечению безопасности персональных данных при их хранении и обработке в Платформе, а также за соблюдение обязательств, установленных разделами 5, 6 и 10 настоящего Договора.

12.2. Сторона, допустившая нарушение требований настоящего Договора, обязана возместить другой Стороне убытки, причинённые таким нарушением, в размере, установленном законодательством Российской Федерации.

12.3. В случае привлечения Оператора к административной или иной ответственности за нарушение законодательства о персональных данных вследствие действий или бездействия Обработчика, Обработчик обязан возместить Оператору понесённые расходы в полном объёме, включая суммы административных штрафов, судебных издержек и издержек на юридическую защиту.

12.4. В случае утечки персональных данных клиентов Оператора, произошедшей по вине Обработчика, Обработчик выплачивает Оператору компенсацию:

• 50 000 (пятьдесят тысяч) рублей — в случае утечки данных до 100 клиентов Оператора;
• 200 000 (двести тысяч) рублей — в случае утечки данных от 101 до 1 000 клиентов Оператора;
• 500 000 (пятьсот тысяч) рублей — в случае утечки данных более 1 000 клиентов Оператора.

Указанная компенсация является заранее оценённым размером убытков Оператора в связи с нарушением обязательств Обработчика по обеспечению безопасности персональных данных и выплачивается независимо от привлечения Обработчика к административной ответственности. Выплата указанной компенсации не лишает Оператора права требовать возмещения убытков в части, превышающей размер компенсации, при наличии подтверждающих документов.

12.5. В случае нарушения Обработчиком ограничений, установленных разделом 5 настоящего Договора (осуществление собственных продаж клиентам Оператора, переманивание клиентов Оператора, использование данных клиентов в собственных целях), Обработчик выплачивает Оператору штраф в размере 500 000 (пятисот тысяч) рублей за каждый выявленный случай, а также возмещает убытки Оператора в полном объёме.

12.6. В случае использования Обработчиком функционала «просмотра от имени» в целях, не связанных с технической поддержкой (п. 6.3 настоящего Договора), Обработчик выплачивает Оператору штраф в размере 100 000 (ста тысяч) рублей за каждый выявленный случай.

12.7. Обработчик не несёт ответственности за инциденты, произошедшие вследствие действий Оператора или его сотрудников (компрометация паролей учётных записей Оператора, размещение данных без согласия субъектов, передача данных третьим лицам самим Оператором).

13. Срок действия и порядок расторжения

13.1. Настоящий Договор вступает в силу с даты его заключения (акцепта Оператором) и действует бессрочно.

13.2. Обработчик вправе вносить изменения в настоящий Договор в одностороннем порядке. Новая редакция Договора размещается на сайте Платформы. Обработчик уведомляет Оператора о новой редакции путём направления уведомления на адрес электронной почты Оператора и отображения уведомления в личном кабинете Оператора не менее чем за 30 (тридцать) дней до вступления новой редакции в силу.

Если Оператор не принимает новую редакцию Договора в течение указанного срока, Обработчик вправе ограничить доступ Оператора к функционалу Платформы, связанному с обработкой персональных данных клиентов Оператора, до момента принятия Оператором новой редакции либо расторжения Договора.

13.3. Каждая из Сторон вправе расторгнуть настоящий Договор в одностороннем порядке путём направления другой Стороне письменного уведомления не менее чем за 30 (тридцать) календарных дней до предполагаемой даты расторжения.

13.4. При расторжении настоящего Договора Обработчик в течение 30 (тридцати) дней с даты расторжения:

• Прекращает обработку персональных данных клиентов Оператора;
• По запросу Оператора передаёт Оператору персональные данные его клиентов в машиночитаемом формате;
• После передачи данных Оператору либо по истечении срока, установленного для передачи, уничтожает персональные данные клиентов Оператора в информационной системе Платформы, о чём составляет соответствующий акт.

14. Заключительные положения

14.1. Во всём, что не предусмотрено настоящим Договором, Стороны руководствуются законодательством Российской Федерации, в том числе Законом о персональных данных.

14.2. Все изменения и дополнения к настоящему Договору вносятся в порядке, установленном п. 13.2 настоящего Договора.

Реквизиты и подписи Сторон