Условия обработки персональных данных по поручению

1. Стороны и предмет поручения

Клиент поручает Общество с ограниченной ответственностью «АЛЬПЕС» (ООО «АЛЬПЕС») (далее — «Обработчик») обрабатывать персональные данные в Sellout MCP для предоставления доступа, ведения клиентской базы, маршрутов, расписаний, визитов, задач, заказов, синхронизации, аналитики и технической поддержки в объёме подключённых Клиенту функций.

Поручение действует в течение срока договора и периода, необходимого для возврата или удаления данных. Обработчик не определяет самостоятельные цели в отношении данных, загруженных Клиентом, и не использует их для рекламы или передачи неопределённому кругу лиц.

2. Категории субъектов

• работники и привлечённые специалисты Клиента, включая торговых представителей, супервайзеров, руководителей и администраторов;
• представители контрагентов и торговых точек Клиента;
• иные физические лица, данные которых Клиент правомерно размещает в подключённом контуре Платформы.

3. Перечень персональных данных

• фамилия, имя, отчество; организация, подразделение, должность и рабочая роль; рабочие телефон и электронная почта;
• идентификаторы учётной записи, роль доступа, история авторизации и значимые действия;
• сведения о маршруте, расписании, назначенных задачах, времени и результате визита;
• геолокация в пределах подключённого Клиентом рабочего сценария;
• фотографии, комментарии, анкеты и файлы, загруженные пользователем;
• сведения о заказах, отгрузках и дебиторской задолженности, если они связаны с определяемым физическим лицом;
• технические и диагностические сведения об устройстве, версии приложения, синхронизации и ошибках;
• иные категории, прямо согласованные сторонами в договоре, заказе или документированной инструкции Клиента.

Если Клиент планирует обрабатывать специальные категории или биометрические персональные данные, он обязан до начала обработки письменно согласовать такой контур с Обработчиком. По умолчанию поручение их не охватывает.

4. Перечень действий и способы

Сбор через интерфейсы Платформы, получение от Клиента и его систем, запись, систематизация, накопление, хранение, уточнение, извлечение, использование по инструкции Клиента, передача между уполномоченными пользователями и согласованными информационными системами, предоставление техническим обработчикам, блокирование, удаление и уничтожение. Обработка является автоматизированной или смешанной.

5. Обязанности Клиента как оператора

• определить законные, конкретные цели и правовые основания обработки;
• предоставлять только необходимые, точные и актуальные данные;
• выполнить обязанности по информированию субъектов и получить согласия, когда они требуются;
• утвердить роли доступа и своевременно сообщать об их изменении;
• не поручать действия, противоречащие закону, и рассматривать запросы субъектов как оператор;
• сообщить Обработчику обязательные сроки хранения, удаления и особенности интеграций.

6. Обязанности Обработчика

• обрабатывать данные только по документированным инструкциям Клиента и для целей поручения;
• соблюдать конфиденциальность персональных данных;
• соблюдать требования части 5 статьи 18 и статьи 18.1 Федерального закона № 152-ФЗ;
• обеспечивать безопасность в соответствии со статьёй 19 Федерального закона № 152-ФЗ и согласованными требованиями к защите;
• по запросу Клиента в течение срока поручения, в том числе до начала обработки, предоставлять документы и сведения, подтверждающие принятые меры;
• помогать Клиенту выполнять обязанности перед субъектами и Роскомнадзором в части, зависящей от Обработчика;
• после прекращения поручения возвратить или удалить данные в согласованном порядке, если закон не требует их дальнейшего хранения.

7. Локализация, инфраструктура и привлекаемые лица

Собственная CRM Обработчика, основные базы и иные компоненты Sellout MCP размещаются в инфраструктуре сервисов Яндекса на территории Российской Федерации. В них выполняются запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации при сборе.

Трансграничная передача в рамках базового контура Sellout MCP не осуществляется. Её подключение возможно только после отдельного письменного согласования с Клиентом, обновления договорных условий и выполнения сторонами требований статьи 12 Федерального закона № 152-ФЗ.

Обработчик может привлекать провайдера инфраструктуры сервисов Яндекса и иных технических лиц, необходимых для исполнения договора, если это разрешено договором. На них возлагаются обязанности по конфиденциальности и безопасности не слабее применимых к Обработчику. Обработчик отвечает перед Клиентом за действия привлечённого лица в пределах закона и договора.

8. Запросы субъектов

Получив запрос субъекта по данным Клиента, Обработчик без самостоятельного решения по существу перенаправляет его Клиенту и сохраняет данные, необходимые для исполнения указания. По документированному запросу Клиента Обработчик выполняет поиск, выгрузку, уточнение, блокирование или удаление в пределах технических возможностей и установленных законом сроков.

9. Инциденты

Обработчик без неоправданной задержки уведомляет Клиента о неправомерной или случайной передаче, предоставлении, распространении либо доступе к персональным данным, а также сообщает известные обстоятельства, категории и приблизительный объём данных, возможные последствия и принятые меры. Взаимодействие должно позволить Клиенту выполнить установленные законом сроки первичного и дополнительного уведомления Роскомнадзора.

Обработчик сохраняет относящиеся к инциденту журналы, проводит внутреннее расследование в пределах своей инфраструктуры и предоставляет Клиенту результаты, необходимые для исполнения обязанностей оператора. Конкретный канал экстренной связи и сокращённый договорный срок уведомления указываются в договоре или карточке сопровождения.

10. Подтверждение мер и аудит

Обработчик предоставляет Клиенту разумно необходимые политики, выписки из процедур, ответы на опросники и иные подтверждения без раскрытия уязвимостей, данных других клиентов и коммерческой тайны. Проверка проводится по предварительному согласованию, с соблюдением конфиденциальности и без необоснованного вмешательства в работу Платформы.

11. Приоритет документов

При расхождении применяются специальные условия о персональных данных в подписанном договоре или заказе, затем настоящие Условия, затем общие правила Платформы. Императивные требования законодательства применяются независимо от формулировок документов.