Настоящее Поручение является неотъемлемой частью Договора-оферты на оказание услуг ООО «Каспер» (далее — «Исполнитель») и принимается Клиентом вместе с офертой. Отдельное подписание не требуется. Термины используются в значении, данном в Договоре и Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон»).
1. Когда применяется Поручение
1.1. Поручение применяется, если Клиент размещает в рамках Услуг персональные данные третьих лиц (далее — «Порученные данные»), являясь их оператором либо обрабатывая их по поручению другого оператора.
1.2. Поручение не применяется к персональным данным самого Клиента и его представителей, которые Исполнитель обрабатывает как оператор по Политике обработки персональных данных.
1.3. Клиент в соответствии с ч. 3 ст. 6 Закона поручает Исполнителю обработку Порученных данных на условиях настоящего документа.
2. Предмет поручения
2.1. Цель обработки — предоставление Клиенту вычислительных ресурсов, дискового пространства и каналов связи по Договору.
2.2. Действия с данными, совершаемые с использованием средств автоматизации: запись, хранение, резервное копирование и восстановление, передача по сетям связи в объёме, необходимом для работы Услуги, блокирование, удаление, уничтожение.
2.3. Состав данных и категории субъектов определяет Клиент. Исполнитель не определяет цели и состав Порученных данных, не обращается к их содержанию и не использует их в собственных целях.
2.4. Клиент не размещает специальные категории персональных данных и биометрические персональные данные без шифрования, ключи от которого недоступны Исполнителю.
2.5. Указаниями Клиента являются его действия в Личном кабинете и в самих Услугах, а также обращения, направленные через Личный кабинет.
3. Обязанности Исполнителя
3.1. Исполнитель:
- соблюдает принципы и правила обработки персональных данных, предусмотренные Законом, и конфиденциальность Порученных данных;
- соблюдает требования ч. 5 ст. 18 и ст. 18.1 Закона;
- принимает меры по обеспечению безопасности Порученных данных в соответствии со ст. 19 Закона в пределах своей зоны ответственности (п. 4.1);
- допускает к оборудованию и системам управления только работников и подрядчиков, которым это необходимо для работы и которые приняли обязательства конфиденциальности;
- по запросу Клиента в течение срока действия Поручения предоставляет сведения и документы, подтверждающие принятие мер и соблюдение Поручения.
3.2. Запрос по п. 3.1 направляется через Личный кабинет. Срок ответа — 10 рабочих дней. Исполнитель не раскрывает сведения, составляющие коммерческую тайну, сведения о других клиентах и сведения, раскрытие которых снижает защищённость инфраструктуры.
3.3. Поручение не означает, что информационная система Клиента аттестована или соответствует определённому уровню защищённости. Определение уровня защищённости и выполнение требований к своей системе обеспечивает Клиент.
4. Разграничение ответственности
4.1. Зона Исполнителя: физическая безопасность оборудования, сеть и системы управления инфраструктурой, среда виртуализации, носители информации, резервные копии, создаваемые Исполнителем, доступ персонала Исполнителя.
4.2. Зона Клиента: операционная система и программное обеспечение внутри VPS и выделенного сервера; сайты, приложения и базы данных; учётные записи, пароли и ключи; разграничение доступа; шифрование; собственные резервные копии; настройка сетевого экрана.
4.3. Клиент как оператор:
- обеспечивает наличие законных оснований обработки и передачи Порученных данных Исполнителю;
- исполняет обязанности оператора, включая уведомление уполномоченного органа и ответы на обращения субъектов;
- перед субъектами персональных данных отвечает за действия Исполнителя в соответствии с ч. 5 ст. 6 Закона.
5. Места обработки и привлечённые лица
5.1. Порученные данные и их резервные копии размещаются только на территории Российской Федерации.
5.2. Площадки для виртуального хостинга, VPS и выделенных серверов:
- основная — г. Санкт-Петербург, ул. Седова, д. 11Б (оператор дата-центра — ООО «Дата-центр ИМАКЛИК»);
- резервные копии — г. Москва, Алтуфьевское шоссе, д. 33Г (IXcellerate); г. Москва, ул. Угрешская, д. 2, стр. 147 (Датачип); г. Москва, ул. Бутлерова, д. 7 (Техноцентр).
5.3. Клиент согласен на привлечение Исполнителем операторов дата-центров и иных подрядчиков, обеспечивающих работу инфраструктуры. Исполнитель обеспечивает соблюдение ими конфиденциальности и отвечает за их действия перед Клиентом.
5.4. Об изменении площадок Исполнитель сообщает публикацией новой редакции Поручения в порядке, установленном Договором для изменения оферты. Клиент, не согласный с изменением, вправе расторгнуть Договор.
6. Инциденты
6.1. Исполнитель уведомляет Клиента о подтверждённом факте неправомерной или случайной передачи (предоставления, распространения, доступа) Порученных данных, произошедшем в зоне Исполнителя, в течение 24 часов с момента выявления — по адресу электронной почты учётной записи.
6.2. Уведомление содержит известные на этот момент сведения: предполагаемые причины, затронутые Услуги, принятые меры, контакт ответственного лица. Результаты внутреннего расследования Исполнитель сообщает в течение 72 часов с момента выявления.
6.3. Уведомление уполномоченного органа и субъектов персональных данных осуществляет Клиент как оператор.
6.4. Инциденты в зоне Клиента (п. 4.2) Клиент выявляет и устраняет самостоятельно. Исполнитель по обращению сообщает имеющиеся у него сведения о сетевой активности и событиях инфраструктуры, относящиеся к Услуге Клиента.
7. Обращения субъектов и запросы органов власти
7.1. Получив обращение субъекта персональных данных, относящееся к Порученным данным, Исполнитель в течение 5 рабочих дней пересылает его Клиенту, если может установить, к какому Клиенту оно относится, и не отвечает на него по существу.
7.2. Исполнитель предоставляет доступ к Порученным данным государственным органам только в случаях и порядке, установленных законом, и уведомляет об этом Клиента, если это не запрещено законом.
8. Срок действия и удаление данных
8.1. Поручение действует в течение срока действия Договора и до завершения удаления Порученных данных.
8.2. Клиент может удалить Порученные данные в любой момент средствами Услуги. При прекращении Услуги её данные удаляются в сроки, установленные разделом 7 Договора.
8.3. Резервные копии, созданные Исполнителем, удаляются по мере ротации, но не позднее 30 календарных дней после удаления Услуги.
8.4. По запросу Клиента, направленному через Личный кабинет в течение 30 дней после удаления, Исполнитель письменно подтверждает факт удаления Услуги и её резервных копий.
8.5. До прекращения Услуги Клиент самостоятельно выгружает нужные ему данные.
9. Ответственность
9.1. Исполнитель отвечает перед Клиентом за нарушение Поручения в пределах, установленных разделом 13 Договора.
9.2. Клиент возмещает Исполнителю убытки, включая штрафы и выплаты третьим лицам, возникшие из-за нарушения Клиентом законодательства о персональных данных или Поручения, в порядке п. 13.4 Договора.
10. Единые условия
10.1. Поручение применяется в опубликованной редакции и на одинаковых условиях для всех Клиентов. Отдельные соглашения о поручении обработки персональных данных, дополнительные соглашения к Поручению и документы по форме Клиента Исполнитель не заключает.
10.2. Поручение принимается вместе с Договором и отдельного подписания не требует. Акцепт оферты является заключением Поручения в письменной форме.
10.3. Состав Порученных данных и категории субъектов Клиент вправе сообщить обращением через Личный кабинет. Исполнитель подтверждает получение в том же обращении; такое обращение является указанием Клиента (п. 2.5) и условий Поручения не изменяет.