Поручение на обработку персональных данных клиентов

1.1. Данные людей, которые записываются к Оператору, получают от него анкеты или иначе взаимодействуют с ним через Сервис (далее — Клиенты).

1.2. Перечень данных:

• имя, телефон, адрес электронной почты, ник в Telegram;
• сведения о записях: услуга, дата, время, статус, переносы и отмены;
• ответ на вопрос, откуда Клиент узнал об Операторе;
• ответы на анкеты и подсчитанные по ним баллы. Они могут содержать сведения о состоянии здоровья — специальную категорию персональных данных (ст. 10 152-ФЗ);
• заметки и материалы, которые Оператор сам вносит в карточку Клиента;
• сведения о данных Клиентом согласиях: редакция текста, дата и время.

2.1. Цель — предоставить Оператору Сервис для записи Клиентов, напоминаний о встречах, проведения анкет и ведения карточек Клиентов. Обработчик не использует данные Клиентов в других целях, в том числе для рекламы, аналитики в своих интересах или обучения моделей.

2.2. Действия: сбор (через формы Сервиса), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача в объёме раздела 4, блокирование, удаление, уничтожение. Обработка автоматизированная.

3.1. Обработчик обязуется:

• соблюдать конфиденциальность данных и не раскрывать их без разрешения Оператора или закона;
• принимать меры защиты по ст. 19 152-ФЗ: разграничение доступа между специалистами, шифрование соединения, хранение паролей в виде хеша, журнал доступа к ответам на анкеты, администрирование сервера только по ключу;
• хранить данные только на серверах в Российской Федерации;
• по запросу Оператора в течение 10 рабочих дней предоставлять документы и сведения, подтверждающие выполнение этого поручения;
• сообщать Оператору об утечке или неправомерном доступе к данным его Клиентов в течение 24 часов с момента, когда о нём стало известно, чтобы Оператор мог выполнить ч. 3.1 ст. 21 152-ФЗ;
• передавать Оператору обращения Клиентов о их данных, полученные Обработчиком напрямую;
• удалить данные Клиента по указанию Оператора (в том числе через удаление в кабинете), а при прекращении договора — удалить все данные Клиентов Оператора в течение 30 дней.

4.1. Для работы Сервиса Обработчик привлекает: хостинг-провайдера (сервер в Российской Федерации) и сервис рассылки Unisender Go (имя и почта Клиента, текст письма о записи). Если Оператор подключил свой аккаунт Zoom, туда передаются только время встречи и название услуги, без данных Клиента. Оператор даёт согласие на такое привлечение.

5.1. Оператор получает согласия Клиентов, в том числе письменное согласие на обработку сведений о здоровье, если его анкеты их затрагивают. Сервис показывает Клиенту форму согласия от имени Оператора и сохраняет факт согласия; текст этой формы Оператор вправе проверить и согласовать.

5.2. Оператор отвечает на запросы Клиентов, выполняет требования об удалении данных и, если это требуется законом, направляет в Роскомнадзор уведомление об обработке персональных данных.

5.3. Ответственность перед Клиентом за действия Обработчика несёт Оператор; Обработчик отвечает перед Оператором (ч. 5 ст. 6 152-ФЗ).