Договор поручения обработки персональных данных

Преамбула

[ПОЛНОЕ НАИМЕНОВАНИЕ ОПЕРАТОРА], ИНН [ИНН], в лице [ДОЛЖНОСТЬ, ФИО], действующего на основании Устава (далее — «Оператор»), с одной стороны,

и [ПОЛНОЕ НАИМЕНОВАНИЕ ОБРАБОТЧИКА], ИНН [ИНН], в лице [ДОЛЖНОСТЬ, ФИО], действующего на основании [ОСНОВАНИЕ] (далее — «Обработчик»), с другой стороны,

совместно именуемые «Стороны», заключили настоящий Договор поручения обработки персональных данных (далее — «Договор», «Поручение») о нижеследующем.

1. Предмет Договора

1.1. Оператор поручает Обработчику обработку персональных данных (далее — «ПДн») следующих категорий субъектов:

• [ПЕРЕЧИСЛИТЬ: например, «работники Оператора», «кандидаты на работу», «контрагенты»]

1.2. Обработка осуществляется в целях:

• оказания услуг информационной системы Avaltis HR (управление персоналом, отпуска, обучение, оценка, рекрутинг);
• [ДОПОЛНИТЬ ИЛИ СОКРАТИТЬ ПОД КОНКРЕТНОЕ ПОРУЧЕНИЕ].

2. Состав обрабатываемых ПДн

2.1. Обработчик обрабатывает следующие категории ПДн субъектов, указанных в п.1.1:

• Идентификационные: ФИО, дата рождения;
• Контактные: email, номер телефона, адрес;
• Трудовые: должность, подразделение, дата приёма, история переводов, оценки, KPI;
• Документальные: копии паспорта, СНИЛС, ИНН, кадровых документов (если хранятся в Avaltis);
• Сетевые: IP-адрес, User-Agent, авторизационные токены;
• [АДАПТИРОВАТЬ ПОД КОНКРЕТНУЮ ИНСТАЛЛЯЦИЮ].

2.2. Специальные категории ПДн (ст.10 152-ФЗ — раса, политические взгляды, состояние здоровья и т.д.) обрабатываются Обработчиком только при наличии отдельного согласия каждого субъекта, фиксируемого в Платформе Avaltis HR через механизм opt-in (поле `employees.allow_special_categories`).

2.3. Биометрические ПДн Обработчиком не обрабатываются.

3. Действия по обработке

3.1. Обработчик вправе совершать с ПДн следующие действия (ст.3 п.3 152-ФЗ):

• сбор, запись, систематизация, накопление;
• хранение, уточнение (обновление, изменение);
• извлечение, использование (в рамках функционала Платформы);
• передача (предоставление, доступ) — только лицам, имеющим право доступа в соответствии с ролевой моделью Платформы;
• обезличивание, блокирование;
• удаление, уничтожение.

4. Способ и место обработки

4.1. Обработка ПДн осуществляется автоматизированным способом с использованием информационной системы Avaltis HR.

4.2. ПДн хранятся на серверах, расположённых на территории Российской Федерации, в дата-центрах [Selectel / Yandex Cloud / Timeweb Cloud — указать конкретно], в соответствии с требованиями ст.18 ч.5 152-ФЗ.

4.3. Трансграничная передача ПДн в рамках исполнения настоящего Договора не осуществляется.

5. Обязанности Обработчика

5.1. Обработчик обязуется:

• обрабатывать ПДн исключительно в пределах Поручения и в соответствии с целями, указанными в п.1.2;
• не передавать ПДн третьим лицам без письменного согласия Оператора (за исключением случаев, прямо предусмотренных законодательством РФ);
• обеспечить безопасность ПДн в соответствии с уровнем защищённости УЗ-[3/2/1] (определяется Оператором), включая меры:
  • шифрование при передаче (TLS 1.2+) и при хранении (sodium AEAD per-tenant);
  • разграничение прав доступа (RBAC);
  • регистрация действий (audit log) с фиксацией IP и timestamp;
  • защита от brute-force и DDoS;
  • регулярное резервное копирование;
• незамедлительно уведомить Оператора о факте нарушения безопасности ПДн (утечка, несанкционированный доступ, иное) в течение [12 / 24] часов с момента выявления, для соблюдения Оператором сроков уведомления Роскомнадзора (ст.21 ч.2 152-ФЗ);
• предоставить Оператору информацию о принятых мерах безопасности по запросу — в срок не более 5 рабочих дней;
• обучать работников Обработчика, имеющих доступ к ПДн, правилам обработки;
• уничтожить (или возвратить, по выбору Оператора) ПДн в течение 30 календарных дней с момента прекращения настоящего Договора;
• обеспечить аналогичные обязательства в договорах с собственными подобработчиками (sub-processors), если таковые привлекаются.

6. Обязанности Оператора

6.1. Оператор обязуется:

• получить согласие субъектов ПДн на обработку (включая отдельное согласие на спец.категории по ст.10) и хранить документальное подтверждение;
• уведомить субъектов ПДн о факте поручения обработки Обработчику и его реквизитах;
• гарантировать, что ПДн, передаваемые Обработчику, получены законным путём;
• не загружать в Платформу ПДн, не относящиеся к субъектам, перечисленным в п.1.1;
• соблюдать требования к составу ПДн, указанные в п.2 (не загружать спец.категории без предварительного opt-in согласия субъекта в Платформе).

7. Привлечение подобработчиков

7.1. Обработчик вправе привлекать к обработке ПДн подобработчиков (sub-processors) при условии:

• предварительного письменного уведомления Оператора с указанием подобработчика и состава передаваемых ему ПДн;
• заключения с подобработчиком договора, обеспечивающего защиту ПДн на уровне не ниже, чем настоящий Договор;
• несение Обработчиком ответственности за действия подобработчика как за свои собственные.

7.2. Текущий перечень подобработчиков:

• [Хостинг-провайдер: Selectel / Timeweb Cloud / Yandex Cloud] — предоставление серверной инфраструктуры;
• [LLM-провайдер при использовании AI-функций: Yandex Cloud / СберТех] — обработка отдельных текстовых фрагментов в рамках AI-функций (ParseResume, KB-чат и т.д.);
• [ДОПОЛНИТЬ ПОД КОНКРЕТНУЮ КОНФИГУРАЦИЮ].

8. Ответственность Сторон

8.1. За нарушение условий настоящего Договора Стороны несут ответственность в соответствии с действующим законодательством Российской Федерации, в том числе 152-ФЗ, КоАП РФ (ст.13.11), УК РФ (ст.137).

8.2. В случае утечки ПДн по вине Обработчика Обработчик возмещает Оператору убытки, включая штрафы Роскомнадзора и судебные издержки.

9. Срок действия и расторжение

9.1. Настоящий Договор действует на весь период действия основного договора об оказании услуг между Сторонами и автоматически прекращается одновременно с ним.

9.2. Каждая из Сторон вправе расторгнуть Договор в одностороннем порядке с уведомлением за 30 календарных дней при существенном нарушении условий другой Стороной.

9.3. После прекращения Договора Обработчик удаляет (или возвращает Оператору) все копии ПДн в течение 30 календарных дней.

10. Конфиденциальность

10.1. Стороны обязуются не разглашать содержание настоящего Договора и связанной с ним информации третьим лицам, кроме случаев, когда это требуется по закону.

10.2. Обязательство о конфиденциальности действует бессрочно и сохраняется после прекращения Договора.

11. Прочие условия

11.1. Все споры, возникающие из настоящего Договора, разрешаются путём переговоров. При недостижении соглашения — в Арбитражном суде [ГОРОД РЕГИСТРАЦИИ ОПЕРАТОРА].

11.2. Изменения и дополнения к Договору вступают в силу с момента подписания их обеими Сторонами.

11.3. Настоящий Договор составлен в двух экземплярах по одному для каждой Стороны.

12. Реквизиты и подписи Сторон

Оператор:

[ПОЛНОЕ НАИМЕНОВАНИЕ ОПЕРАТОРА]
ИНН: [ИНН]
ОГРН: [ОГРН]
Адрес: [ЮРИДИЧЕСКИЙ АДРЕС]
Email: [EMAIL]

____________________ / [ФИО] /

М.П. (дата)

Обработчик:

[ПОЛНОЕ НАИМЕНОВАНИЕ ОБРАБОТЧИКА]
ИНН: [ИНН]
ОГРН: [ОГРН]
Адрес: [ЮРИДИЧЕСКИЙ АДРЕС]
Email: [EMAIL]

____________________ / [ФИО] /

М.П. (дата)