Приложение № 1 к Пользовательскому соглашению. Условия обработки персональных данных Пользователя (поручение на обработку)

1. Предмет и статус сторон

1.1. В соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» Пользователь, являясь оператором персональных данных в отношении данных, содержащихся в его CRM-системе Битрикс24 (далее — ПДн Пользователя), поручает Обществу с ограниченной ответственностью «ТЕХ СОЛЮШЕН» (ООО «ТЕХ СОЛЮШЕН», ОГРН 1207700425569, ИНН 7707445409) (далее — Обработчик) обработку ПДн Пользователя на условиях настоящего документа, исключительно в целях исполнения Пользовательского соглашения.

1.2. Стороны исходят из того, что:

а) в отношении персональных данных работников Пользователя (менеджеров, сотрудников отдела продаж) оператором является Пользователь как их работодатель, на основании трудового договора и локальных нормативных актов;

б) в отношении персональных данных клиентов, контактов и контрагентов Пользователя, ведение переписки и учёта которых Пользователь осуществляет через свою CRM-систему, оператором является Пользователь на основании собственных договорных отношений с этими лицами и/или их согласия, полученного самим Пользователем;

в) Обработчик не определяет цели и содержание обработки ПДн Пользователя, не является их получателем для собственных целей и действует исключительно в рамках задания, установленного настоящим документом, — то есть выступает обработчиком в значении 152-ФЗ, а не оператором.

1.3. Настоящий документ не заменяет и не освобождает Пользователя от обязанности иметь и поддерживать собственные законные основания обработки ПДн, указанные в п. 1.2, — это прямо подтверждается заверениями Пользователя, данными в разделе 5 Пользовательского соглашения и в разделе 4 настоящего документа.

2. Категории субъектов персональных данных

• работники и представители Пользователя, чья рабочая активность (звонки, переписка, задачи, сделки) отражается в CRM-системе Пользователя;
• клиенты, контакты, контрагенты Пользователя, взаимодействие с которыми ведётся через CRM-систему Пользователя, включая переписку через Wazzup (WhatsApp/Telegram) и звонки через подключённую телефонию.

3. Перечень и категории обрабатываемых данных

3.1. Обработчик получает от CRM-системы Пользователя (через API Битрикс24, по вебхуку, настроенному самим Пользователем) и обрабатывает следующие категории данных:

• идентификационные данные работников Пользователя: ФИО, идентификатор пользователя Битрикс24, отдел, роль;
• сведения о сделках и воронке: стадии, суммы, даты, ответственный менеджер (без ПДн клиента сверх того, что уже присутствует в названии/описании сделки);
• текстовое содержание переписки с клиентами Пользователя, синхронизируемое через Wazzup и через комментарии к сделкам, — включая имена клиентов Пользователя, номера телефонов и содержание переговоров, если они отражены в тексте;
• текстовые описания активностей (задач, писем, sms);
• метаданные звонков: направление, длительность, статус дозвона, дата, ответственный менеджер;
• ссылка на аудиозапись звонка в хранилище телефонии или на Диске Битрикс24 и производные показатели анализа этой записи: суммарная длительность речи и тишины, распределение речи по сторонам разговора, признак низкой активности в разговоре, — см. п. 3.2.

3.2. Порядок работы Обработчика с аудиозаписями звонков. Обработчик сохраняет в базе данных Сервиса ссылку на аудиозапись звонка и служебные сведения, необходимые для её получения, и использует эту ссылку для двух целей:

а) автоматический расчёт показателей разговора. Запись загружается во временный файл, обрабатывается алгоритмом определения речевой активности (детектирование речи и пауз) и немедленно удаляется. В базе данных Сервиса сохраняются только числовые показатели (секунды речи и тишины, доля речи, распределение по сторонам разговора). Распознавание речи и расшифровка содержания разговора не выполняются; текст разговора не формируется и не хранится;

б) прослушивание записи уполномоченным пользователем в интерфейсе Сервиса. Запись передаётся через сервер Обработчика от источника (Битрикс24 или хранилище телефонии) к браузеру уполномоченного пользователя Пользователя и при этом не сохраняется на стороне Обработчика.

Таким образом, сам аудиофайл в базе данных Сервиса не хранится; хранятся ссылка на него и рассчитанные показатели. Доступ к прослушиванию имеют только уполномоченные пользователи соответствующего Пользователя в пределах его Учётной записи.

3.3. Состав фактически обрабатываемых данных может уточняться по мере развития функциональности Сервиса; существенное расширение категорий обрабатываемых ПДн (например, начало распознавания и хранения текста разговоров или обработка биометрических данных) требует предварительного уведомления Пользователя и, при необходимости, обновления настоящего документа.

4. Заверения и гарантии Пользователя

4.1. Подключая свою CRM-систему к Сервису, Пользователь заверяет Обработчика, что:

а) обладает законным основанием для обработки ПДн, перечисленных в разделе 3, в объёме, в котором они фактически присутствуют в его CRM-системе;

б) надлежащим образом информировал (а где это требуется законом — получил согласие) субъектов, указанных в разделе 2, о факте фиксации и хранения их переписки, записей телефонных разговоров и рабочей активности, в том числе о возможности передачи этих данных для обработки третьим лицам, оказывающим Пользователю услуги автоматизации и аналитики (к числу которых относится Обработчик);

в) вправе передать Обработчику указанные данные для обработки в целях, предусмотренных настоящим документом, без получения отдельного согласия соответствующих субъектов на само это поручение, поскольку такая передача осуществляется в рамках статьи 6 (часть 3) 152-ФЗ на основании договора между Пользователем и Обработчиком и не изменяет цели обработки, ранее сообщённые субъектам;

г) незамедлительно уведомит Обработчика, если любое из указанных заверений перестанет быть верным (например, работник или клиент отозвал согласие) — в этом случае Обработчик обязан по требованию Пользователя удалить или деперсонализировать соответствующие данные в срок, указанный в разделе 7.

4.2. Ответственность за недостоверность заверений, данных в настоящем разделе, и порядок возмещения потерь Обработчику определены разделом 6 Пользовательского соглашения.

5. Обязанности Обработчика

Обработчик обязуется:

5.1. обрабатывать ПДн Пользователя исключительно в целях исполнения Пользовательского соглашения (формирование аналитических показателей и дашбордов) и не использовать их для каких-либо собственных целей, включая обучение моделей машинного обучения, обезличенную аналитику по нескольким тенантам с сохранением идентифицируемости, маркетинг или передачу третьим лицам;

5.2. обеспечивать конфиденциальность ПДн Пользователя и не раскрывать их третьим лицам, за исключением случаев, предусмотренных разделом 6 (субобработчики) или требованиями законодательства РФ;

5.3. принимать правовые, организационные и технические меры защиты ПДн в соответствии со статьёй 19 152-ФЗ и требованиями Правительства РФ к уровням защищённости персональных данных, соразмерные фактически обрабатываемой категории данных;

5.4. обеспечивать логическую изоляцию данных разных Пользователей (тенантов) друг от друга на уровне базы данных Сервиса;

5.5. ограничивать доступ собственного персонала к ПДн Пользователя кругом лиц, которым доступ необходим для эксплуатации и поддержки Сервиса, на основании обязательств о конфиденциальности;

5.6. уведомить Пользователя об инциденте, повлёкшем неправомерный доступ к ПДн Пользователя, не позднее 24 (двадцати четырёх) часов с момента обнаружения инцидента, с описанием его характера и предпринятых мер;

5.7. оказывать Пользователю разумное содействие при поступлении к нему обращений субъектов персональных данных или запросов Роскомнадзора, относящихся к данным, обрабатываемым Обработчиком;

5.8. по прекращении действия Пользовательского соглашения — удалить или возвратить Пользователю ПДн Пользователя в порядке, предусмотренном разделом 7.

6. Субобработчики (лица, привлекаемые Обработчиком)

6.1. Для исполнения поручения Обработчик привлекает: хостинг-провайдера, обеспечивающего размещение серверной инфраструктуры Сервиса на территории Российской Федерации; сервис отправки транзакционных электронных писем (для уведомлений и подтверждения регистрации).

6.2. Обработчик не привлекает субобработчиков, обрабатывающих данные за пределами Российской Федерации, без предварительного письменного уведомления Пользователя.

6.3. Указанные лица не имеют самостоятельного доступа к содержимому ПДн Пользователя сверх технически необходимого для функционирования инфраструктуры (например, хостинг-провайдер физически хранит зашифрованные тома с базой данных, но не имеет прикладного доступа к содержимому переписки).

7. Сроки хранения и удаление данных

7.1. ПДн Пользователя хранятся в течение всего срока действия Пользовательского соглашения.

7.2. При расторжении Пользовательского соглашения (по любой причине) Обработчик удаляет ПДн Пользователя из промышленной базы данных Сервиса в течение 30 (тридцати) календарных дней с момента прекращения действия соглашения, за вычетом резервных копий, которые уничтожаются по истечении установленного цикла ротации резервного копирования (не более 90 дней). Настоящий пункт не распространяется на сведения, которые Обработчик обязан хранить в силу требований законодательства РФ о бухгалтерском и налоговом учёте (первичные учётные документы — счета, акты, универсальные передаточные документы, и содержащиеся в них сведения о реквизитах и представителях сторон): такие документы хранятся в течение установленных законом сроков независимо от расторжения соглашения.

7.3. По отдельному запросу Пользователя, направленному в течение срока действия соглашения, Обработчик обязуется удалить конкретные категории данных (например, данные об уволенном сотруднике или об отдельном клиенте Пользователя) в течение 10 (десяти) рабочих дней с момента запроса, если это не противоречит обязательным требованиям законодательства о хранении.

7.4. По запросу Пользователя, направленному до момента удаления, Обработчик предоставляет выгрузку ПДн Пользователя в машиночитаемом формате.

8. Срок действия

Настоящий документ действует в течение всего срока действия Пользовательского соглашения и автоматически прекращает действие вместе с ним, за исключением обязательств по разделу 7 (удаление данных) и раздела 6 Пользовательского соглашения (возмещение потерь), которые сохраняют силу до их полного исполнения.

9. Прочие условия

К настоящему документу применяются положения раздела 9 Пользовательского соглашения (применимое право, порядок разрешения споров) в части, не урегулированной настоящим документом. Контакты для обращений: mail@pulsd.ru.