Редакция: от 2026-05-07 · Применяется к режиму SaaS · Является обязательным приложением к Договору-оферте

Договор поручения обработки персональных данных

Заключается между Заказчиком (Оператор ПДн своих сотрудников) и Avaltis (Обработчик по поручению) в соответствии с п. 3 ст. 6 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».

Финальная редакция. Реквизиты Обработчика заполнены. Реквизиты Заказчика заполняются индивидуально при подписании. Документ обязателен для всех SaaS-клиентов до начала обработки ПДн их сотрудников в Платформе Avaltis HR.

Преамбула

Заказчик (далее — «Оператор»), реквизиты которого указаны в разделе 12, с одной стороны,

и Индивидуальный предприниматель Грошев Леонид Петрович (ИНН 772706039381, ОГРНИП 321774600430607, адрес регистрации: 117452, г. Москва, ул. Азовская, дом 24, корпус 1, квартира 41), действующий на основании свидетельства о государственной регистрации (далее — «Обработчик»), с другой стороны,

совместно именуемые «Стороны», заключили настоящий Договор поручения обработки персональных данных (далее — «Договор», «Поручение») о нижеследующем.

1. Предмет Договора

1.1. Оператор поручает Обработчику обработку персональных данных (далее — «ПДн») следующих категорий субъектов:

  • работники Оператора (трудовые отношения);
  • кандидаты на работу (отклики на вакансии);
  • учётные записи администраторов и пользователей Платформы со стороны Оператора.

1.2. Обработка осуществляется в целях оказания услуг информационной системы Avaltis HR в соответствии с Договором-офертой: ведение учёта сотрудников, управление отпусками, рекрутинг, оценка персонала, обучение, документооборот и сопутствующие HR-функции.

2. Состав обрабатываемых ПДн

2.1. Обработчик обрабатывает следующие категории ПДн:

  • Идентификационные: ФИО, дата рождения;
  • Контактные: email, номер телефона;
  • Трудовые: должность, подразделение, дата приёма, история переводов, оценки, цели/KPI;
  • Документальные: кадровые документы, размещённые Оператором в модуле «Документы», копии паспортных данных, СНИЛС, ИНН (если Оператор размещает их в Платформе);
  • Сетевые: IP-адрес, User-Agent, авторизационные токены, время сессий;
  • Аутентификационные: логин (email), хэш пароля.

2.2. Специальные категории ПДн (раса, политические взгляды, состояние здоровья и иные по ст.10 152-ФЗ) обрабатываются Обработчиком только при наличии отдельного opt-in согласия каждого субъекта, фиксируемого в Платформе через механизм согласия в личном кабинете сотрудника. Без активного согласия Платформа автоматически отклоняет попытки сохранить тексты, содержащие сведения о здоровье.

2.3. Биометрические ПДн Обработчиком не обрабатываются.

3. Действия по обработке

3.1. Обработчик совершает с ПДн следующие действия (ст. 3 п. 3 152-ФЗ): сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование (в рамках функционала Платформы), передача (предоставление, доступ — только лицам, имеющим право доступа в соответствии с ролевой моделью Платформы), обезличивание, блокирование, удаление, уничтожение.

4. Способ и место обработки

4.1. Обработка ПДн осуществляется автоматизированным способом в информационной системе Avaltis HR.

4.2. ПДн хранятся на серверах, расположённых на территории Российской Федерации, в дата-центрах российских хостинг-провайдеров (Selectel / Yandex Cloud), в соответствии с требованиями ст. 18 ч. 5 152-ФЗ.

4.3. Трансграничная передача ПДн в рамках исполнения настоящего Договора не осуществляется.

5. Обязанности Обработчика

5.1. Обработчик обязуется:

  • обрабатывать ПДн исключительно в пределах настоящего Поручения и в соответствии с целями, указанными в п. 1.2;
  • не передавать ПДн третьим лицам без письменного согласия Оператора (за исключением случаев, прямо предусмотренных законодательством Российской Федерации);
  • обеспечить безопасность ПДн в соответствии с уровнем защищённости УЗ-3 (типовой для общего B2B; для регулируемых отраслей по запросу Оператора возможен переход на УЗ-2), включая меры:
    • шифрование при передаче (TLS 1.2+) и при хранении (sodium AEAD per-tenant) для чувствительных полей (содержимое кадровых документов, заметки рекрутера, причины больничных);
    • разграничение прав доступа на основе ролей (RBAC: owner / head_hr / hr / user / viewer);
    • регистрация действий пользователей (audit log) с фиксацией IP и времени;
    • защита от brute-force и DoS-атак (rate limiting на login и RPC);
    • регулярное резервное копирование с шифрованием в S3-совместимое хранилище в РФ;
  • незамедлительно уведомить Оператора о факте нарушения безопасности ПДн (утечка, несанкционированный доступ, иное) в течение 12 часов с момента выявления, для соблюдения Оператором сроков уведомления Роскомнадзора (ст. 21 ч. 2 152-ФЗ);
  • предоставлять Оператору информацию о принятых мерах безопасности по запросу — в срок не более 5 (пяти) рабочих дней;
  • обучать работников Обработчика, имеющих доступ к ПДн, правилам обработки;
  • уничтожить (или возвратить, по выбору Оператора) ПДн в течение 30 (тридцати) календарных дней с момента прекращения настоящего Договора;
  • обеспечивать аналогичные обязательства в договорах с собственными подобработчиками (sub-processors), указанными в п. 7.

6. Обязанности Оператора

6.1. Оператор обязуется:

  • получить согласие субъектов ПДн на обработку (включая отдельное согласие на спец. категории по ст. 10 152-ФЗ) и хранить документальное подтверждение;
  • уведомить субъектов ПДн о факте поручения обработки Обработчику и его реквизитах;
  • гарантировать, что ПДн, передаваемые Обработчику, получены законным путём;
  • не загружать в Платформу ПДн, не относящиеся к субъектам, перечисленным в п. 1.1;
  • не загружать в Платформу спец. категории ПДн (сведения о здоровье и иные по ст. 10) без предварительного opt-in согласия субъекта в Платформе;
  • самостоятельно выполнять обязанности оператора по уведомлению Роскомнадзора о начале обработки ПДн (ст. 22 152-ФЗ) — Обработчик не подаёт уведомление за Оператора.

7. Привлекаемые подобработчики (sub-processors)

7.1. Для оказания услуг Обработчик привлекает следующих подобработчиков:

  • Хостинг-провайдер: Selectel или Yandex Cloud (в зависимости от выбранной конфигурации), серверы на территории РФ;
  • S3-совместимое хранилище для бэкапов: Selectel S3 / Yandex Object Storage (территория РФ);
  • LLM-провайдеры (используются только при включении AI-функций в тарифе Оператора):
    • Yandex Cloud (YandexGPT) — обработка отдельных текстовых фрагментов в рамках AI-функций (парсинг резюме, генерация описаний вакансий, AI-чат по KB);
    • ПАО «Сбербанк» (GigaChat) — резервный LLM-провайдер;
  • Email-провайдер: для уведомлений и password-reset (Yandex 360 для бизнеса или аналог в РФ).

7.2. С каждым из указанных подобработчиков Обработчик имеет договор, обеспечивающий защиту ПДн на уровне не ниже, чем настоящий Договор.

7.3. Обработчик несёт ответственность за действия подобработчиков как за свои собственные.

7.4. О существенных изменениях состава подобработчиков Обработчик уведомляет Оператора не менее чем за 14 календарных дней до изменения.

8. Ответственность Сторон

8.1. За нарушение условий настоящего Договора Стороны несут ответственность в соответствии с действующим законодательством Российской Федерации, в том числе 152-ФЗ, КоАП РФ (ст. 13.11), УК РФ (ст. 137).

8.2. В случае утечки ПДн по вине Обработчика Обработчик возмещает Оператору документально подтверждённый ущерб, включая штрафы Роскомнадзора, в пределах стоимости услуг по основному Договору-оферте за последние 12 (двенадцать) месяцев.

8.3. Обработчик не несёт ответственности за нарушения, вызванные действиями Оператора (загрузка ПДн без согласия субъектов, передача неверных или избыточных ПДн, и т. п.).

9. Срок действия и расторжение

9.1. Настоящий Договор действует на весь период действия Договора-оферты между Сторонами и автоматически прекращается одновременно с ним.

9.2. Каждая из Сторон вправе расторгнуть Договор в одностороннем порядке с уведомлением за 30 (тридцать) календарных дней при существенном нарушении условий другой Стороной.

9.3. После прекращения Договора Обработчик удаляет (или возвращает Оператору) все копии ПДн в течение 30 (тридцати) календарных дней. Резервные копии удаляются в течение 90 дней по штатной retention-политике (см. Политика обработки ПДн).

10. Конфиденциальность

10.1. Стороны обязуются не разглашать содержание настоящего Договора и связанной с ним информации третьим лицам, кроме случаев, когда это требуется по закону.

10.2. Обязательство о конфиденциальности действует бессрочно и сохраняется после прекращения Договора.

11. Прочие условия

11.1. Все споры, возникающие из настоящего Договора, разрешаются путём переговоров. При недостижении соглашения — в Арбитражном суде г. Москвы по месту регистрации Обработчика.

11.2. Изменения и дополнения к Договору вступают в силу с момента подписания их обеими Сторонами либо принятия Оператором новой публичной редакции на сайте Обработчика (с уведомлением Оператора по email не менее чем за 14 дней до вступления в силу).

11.3. Настоящий Договор составлен в двух экземплярах по одному для каждой Стороны (при бумажном подписании) или подписан электронной подписью / через акцепт онлайн в Платформе.

12. Реквизиты Сторон

Оператор (Заказчик):

Полное наименование: ___________________________________________
ИНН: ____________________  ·  ОГРН/ОГРНИП: ____________________
Юридический адрес: ___________________________________________
Email контактного лица: ___________________________________________
Должность подписанта: ___________________________________________
ФИО подписанта: ___________________________________________

____________________ / _______________________ /   М. П. (дата ___________)


Обработчик:

Индивидуальный предприниматель Грошев Леонид Петрович
ИНН: 772706039381
ОГРНИП: 321774600430607
Адрес регистрации: 117452, г. Москва, ул. Азовская, дом 24, корпус 1, квартира 41
Email: privacy@avaltis.ru
Телефон: +7 999 969 91 10

____________________ / Грошев Л. П. /   (дата ___________)

Сопутствующие документы