Статус документа
Эти условия применяются, когда клиент как оператор персональных данных поручает ИП Шеверёву Дмитрию Андреевичу обработку данных в рамках разработки, интеграции, переноса, диагностики, поддержки или другой технической работы.
Документ становится частью отношений сторон, если договор, заказ или дополнительное соглашение прямо ссылается на него. Подписанное соглашение и техническое задание имеют приоритет в части специальных условий конкретного проекта.
Роли и ответственность сторон
Клиент определяет цели, состав данных, категории субъектов, допустимые операции и срок обработки. Клиент отвечает за наличие законного основания, точность поручения и информирование субъектов, когда это требуется.
Исполнитель обрабатывает данные только для выполнения документированного поручения клиента, обеспечивает конфиденциальность и применяет согласованные меры защиты. Исполнитель сообщает клиенту, если инструкция очевидно противоречит применимым требованиям, и приостанавливает спорное действие до уточнения.
Что фиксируется в поручении
До предоставления рабочего доступа стороны указывают в договоре, заказе или приложении:
- цель и продолжительность обработки;
- категории субъектов и перечень персональных данных;
- разрешённые действия с данными и способ их выполнения;
- системы, среды и учётные записи, к которым предоставляется доступ;
- требования к хранению, резервным копиям, журналам и удалению;
- контакты ответственных лиц и порядок согласования изменений.
Если эти параметры отсутствуют, Исполнитель запрашивает уточнение и использует минимальный объём данных, необходимый для безопасной диагностики.
Допустимые операции
Состав операций определяется поручением и может включать получение, запись, систематизацию, хранение, уточнение, извлечение, использование, сопоставление, передачу между указанными клиентом системами, блокирование, удаление и уничтожение.
Рабочая копия создаётся только при необходимости. Для диагностики по возможности используются обезличенные, маскированные или тестовые данные. Доступ ограничивается конкретным проектом и сроком работ.
Меры защиты
Исполнитель выбирает меры с учётом состава данных, архитектуры клиента и рисков проекта. Базовый набор включает:
- отдельные учётные записи и минимально необходимые права;
- многофакторную аутентификацию там, где она поддерживается;
- защищённые каналы передачи и безопасное хранение секретов;
- разделение рабочей и тестовой среды;
- журналирование значимых действий и контроль доступа;
- обновление компонентов, резервное копирование и проверяемый порядок восстановления, когда эти меры входят в контур проекта;
- отзыв временных доступов после завершения работ.
Лица, допущенные к данным, получают только необходимый доступ и обязаны сохранять конфиденциальность.
Привлечение других исполнителей
Другой исполнитель получает доступ к персональным данным клиента только при наличии договорного основания и в объёме, необходимом для его функции. На него возлагаются требования по конфиденциальности и защите не слабее условий этого документа.
Если конкретный проект предполагает такого участника, категория работ, система и порядок согласования указываются в договоре или приложении. Общая информация о поставщиках сайта опубликована на странице «Привлечённые сервисы и обработчики».
Запросы субъектов и проверки
Клиент остаётся основным контактным лицом для субъектов данных. Получив относящееся к проекту обращение напрямую, Исполнитель без лишней задержки передаёт его клиенту и не отвечает по существу без инструкции клиента, кроме случаев, предусмотренных законом.
По обоснованному запросу Исполнитель предоставляет сведения, необходимые клиенту для ответа субъекту, внутренней проверки или подтверждения исполнения поручения. Формат и срок зависят от объёма запроса и согласуются с учётом обязательных сроков клиента.
Инциденты
При подтверждении инцидента в зоне ответственности Исполнителя, который затрагивает данные клиента, Исполнитель уведомляет назначенный контакт клиента без необоснованной задержки и по возможности в течение 24 часов после подтверждения.
Первичное сообщение содержит известные на момент отправки сведения: характер события, затронутые системы и данные, принятые меры, текущий статус и контакт ответственного. Недостающая информация передаётся по мере расследования. Стороны совместно сохраняют необходимые журналы и согласуют внешние сообщения.
Возврат, удаление и резервные копии
После завершения поручения Исполнитель возвращает клиенту согласованный результат и удаляет рабочие копии персональных данных в срок, указанный в договоре. При отсутствии специального срока рабочие копии удаляются в течение 30 календарных дней после завершения работ и отзыва доступа.
Копии в резервном контуре удаляются в рамках очередного цикла перезаписи, но перестают использоваться для текущей работы. Данные, которые требуется хранить по закону или для подтверждения исполнения договора, изолируются и используются только для соответствующей цели.
Подтверждение исполнения и аудит
По письменному запросу клиента Исполнитель предоставляет относящиеся к проекту описания мер защиты, сведения об отозванных доступах, журнал выполненных операций или иное разумное подтверждение исполнения поручения.
Очная или техническая проверка проводится по согласованной программе, как правило, с уведомлением не менее чем за 10 рабочих дней. Проверка учитывает конфиденциальность других клиентов, безопасность инфраструктуры и непрерывность текущих работ. Срочная проверка после подтверждённого инцидента согласуется отдельно.
Ответственность и изменение поручения
Каждая сторона отвечает за действия в своей зоне контроля. Клиент — за законность цели, основания и исходных данных; Исполнитель — за соблюдение полученных инструкций, конфиденциальность и согласованные меры защиты.
Изменение цели, состава данных, систем или срока обработки оформляется новой инструкцией, приложением или изменением технического задания. При расхождении применяется документ, подписанный сторонами позднее.
Реквизиты и контакт
Исполнитель: ИП Шеверёв Дмитрий Андреевич, ИНН 482109502639, ОГРНИП 324480000017757. Полные реквизиты размещены на отдельной странице.
Вопросы по поручению обработки и безопасности данных: sd@5factor.ru. В письме укажите клиента, проект и контакт ответственного лица, но не прикладывайте пароли и секретные ключи.