Приложение к Договору
ФОРМА
ПОРУЧЕНИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
Заказчик и Исполнитель, далее именуемые «Стороны», заключившие настоящий договор, согласовали следующее:
1. Термины и определения
В рамках настоящего Поручения применяются следующие термины и определения:
1.1. Закон 152-ФЗ — Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных»;
1.2. Обработчик — юридическое или физическое лицо, государственный, муниципальный орган или иной орган, осуществляющее обработку Персональных данных по поручению Оператора;
1.3. Оператор — термин применяется в значении, используемом в Федеральном Законе от 27.07.2006г. № 152-ФЗ «О персональных данных»;
1.4. Стороны — Обработчик и Оператор;
1.5. Персональные данные — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому/юридическому лицу;
1.6. Субъект Персональных данных — работник Оператора, определенное или определяемое лицо;
1.7. Уполномоченный орган — Уполномоченный орган Российской Федерации по защите прав субъектов персональных данных (Роскомнадзор).
2. Предмет поручения
2.1. Заказчик (далее — Оператор) поручает, а Исполнитель (далее — Обработчик) принимает на себя обязательство осуществлять обработку Персональных данных, полученных от Оператора с целью Обеспечение соблюдения трудового законодательства РФ для проведения специальной оценки условий труда.
2.2. Перечень действий (операций) с Персональными данными, которые поручается совершать Обработчику: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
Передача персональных данных Обработчиком допускается для внесения результатов СОУТ в Федеральную государственную информационную систему учета результатов проведения специальной оценки условий труда.
Состав персональных данных, подлежащих обработке, включает:
Фамилия;
Имя;
Отчество;
СНИЛС;
Профессия;
Должность.
2.3. Передача Персональных данных от Оператора Обработчику осуществляется в электронном виде.
2.4. Обработчик, являясь Оператором Персональных данных, обязуется своевременно и надлежащим образом проинформировать лиц, допущенных Обработчиком к обработке Персональных данных без использования средств автоматизации о факте обработки указанными лицами, допущенными к обработке Персональных данных, категориях обрабатываемых Персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных применимыми нормативными правовыми актами.
3. Основные обязанности Сторон при обработке Персональных данных
3.1. Обязанность Оператора:
- Обеспечить соответствие целей обработки Персональных данных, обрабатываемых в рамках настоящего Поручения, целям сбора Персональных данных;
- Обеспечить наличие правовых оснований для обработки Персональных данных и поручения обработки Персональных данных Обработчику;
- Незамедлительно довести до Обработчика информацию в случае отзыва субъектом Персональных данных согласия на обработку его Персональных данных при отсутствии иных оснований для продолжения обработки Персональных данных.
3.2. Обязанность Обработчика:
- Обеспечивать конфиденциальность и защиту обрабатываемых Персональных данных в соответствии с требованиями Федерального Закона от 27.07.2006г. № 152-ФЗ «О персональных данных» и условиями Поручения;
- Соблюдать принципы обработки Персональных данных, установленные законодательством в области персональных данных;
- Ограничить обработку Персональных данных достижением целей, определенных в настоящем Поручении, и не допускать обработки Персональных данных, несовместимой с указанными в Поручении целями обработки Персональных данных;
- Обеспечить нахождение баз данных, содержащих Персональные данные граждан Российской Федерации, на территории Российской Федерации;
- Не допускать объединение баз данных, содержащих Персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- Не допускать накопления избыточных Персональных данных;
- Обеспечить точность Персональных данных при их обработке;
- Обеспечить наличие локальных актов по вопросам обработки Персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства, устранение последствий таких нарушений, разработанных до начала обработки Персональных данных, а также ознакомление с ними работников Обработчика, которые будут иметь доступ к Персональным данным;
- Предоставлять по запросу Оператора в течение 5 (пяти) рабочих дней с даты получения такого запроса, если иной срок не установлен в запросе, копий документов, подтверждающих принятие правовых организационных и технических мер по защите Персональных данных Оператора, предусмотренных Поручением;
- В срок, установленный законодательством Российской Федерации, произвести уничтожение Персональных данных, обрабатываемых по поручению Оператора, в случае достижения цели их обработки и/или при прекращении действия Поручения по любым основаниям, если иное не предусмотрено Поручением, а также при получении информации от Оператора об отзыве субъектом Персональных данных согласия на обработку его Персональных данных или при отсутствии иных оснований на обработку Персональных данных Оператора. В течение 5 (пяти) рабочих дней с даты уничтожения Персональных данных Обработчик обязан предоставить Оператору письменные доказательства произведенного уничтожения;
- Предоставить по запросу Оператора в его распоряжение всей информации, необходимой для подтверждения соблюдения Сторонами законодательных требований;
- Содействовать в осуществлении контроля за деятельностью Оператора по обработке Персональных данных. При этом Обработчик обеспечивает предоставление необходимой для осуществления контроля информации в срок не позднее 30 (тридцати) календарных дней с момента получения соответствующего запроса от Оператора или лица, уполномоченного на осуществление такого контроля;
- Вести в электронной форме актуального учета (электронного реестра) любых действий по обработке Персональных данных, осуществляемых в отношении Персональных данных Оператора. По требованию Оператора незамедлительно после получения соответствующего запроса предоставить Оператору копию данного учета (электронного реестра).
- Незамедлительно уведомить Оператора в случае обнаружения Обработчиком утечки Персональных данных. Уведомление должно включать в себя информацию о времени и характере происшествия (включая информацию о категориях субъектов Персональных данных и их приблизительном количестве, а также затрагиваемых категориях Персональных данных и их приблизительном количестве), затрагиваемой системе обработки, времени обнаружения, возможных последствиях утечки, о мерах, принимаемых или планируемых Обработчиком для устранения или сокращения объема утечки Персональных данных, а также контактные данные лица, которое может предоставить детальную информацию. Первоначальное уведомление направляется Оператору не позднее 6 (шести) часов с момента обнаружения утечки Персональных данных. Дополнительные уведомления, содержащие дополнительную информацию об утечке Персональных данных, предоставляются Оператору не позднее 72 (семидесяти двух) часов, далее периодически в максимально короткие сроки по мере появления новой информации. Обработчик незамедлительно принимает все необходимые меры для устранения угрозы целостности и конфиденциальности Персональных данных, минимизации ущерба, а также для предотвращения любых возможных негативных последствий для субъектов Персональных данных, Оператора или максимально возможного сокращения негативных воздействий. По требованию Оператора Обработчик оказывает Оператору необходимую поддержку в отношении исполнения требований по минимизации последствий утечки Персональных данных, предусмотренных законодательством. Обработчик проводит и документально оформляет анализ причин утечки Персональных данных, а также по запросу Оператора предоставляет результаты соответствующего анализа. Если Оператор устанавливает, что организационные и технические меры Обработчика на момент утечки не соответствовали требованиям, установленным Федеральным Законом от 27.07.2006г. № 152-ФЗ «О персональных данных» или настоящим Поручением, Обработчик за свой счет принимает технические и организационные меры, которые, по мнению Оператора, являются необходимыми в целях защиты Персональных данных.
- В случае выявления неправомерной обработки, незамедлительно уведомить об этом Оператора и прекратить обработку неправомерно обрабатываемых данных до получения дальнейших инструкций от Оператора.
4. Конфиденциальность
4.1. Обработчик при выполнении Поручения обязуется обеспечить конфиденциальность Персональных данных, обрабатываемых по Поручению Оператора. Требование по обеспечению конфиденциальности Персональных данных сохраняет свою силу также после истечения срока действия настоящего Поручения.
4.2. Обработчик обязуется раскрывать информацию о Персональных данных Оператора своим работникам и иным лицам, вовлеченным в обработку Персональных данных, только в тех пределах, которые необходимы для достижения целей, определенных в Поручении.
4.3. Обработчик гарантирует, что его работники и иные лица, уполномоченные на обработку Персональных данных, вовлеченные в обработку Персональных данных, приняли обязательства по соблюдению конфиденциальности Персональных данных.
4.4. Обработчик обязуется не раскрывать информацию о Персональных данных, обрабатываемых по поручению Оператора третьим лицам за исключением случаев, предусмотренных законодательством Российской Федерации или настоящим Поручением.
5. Требования к защите обрабатываемых Персональных данных
5.1. Обработчик обязуется осуществлять обработку Персональных данных, обрабатываемых по Поручению Оператора в соответствии с требованиями Федерального Закона от 27.07.2006г. № 152-ФЗ «О персональных данных» и условиями настоящего Поручения.
5.2. Обработчик обязан обеспечить конфиденциальность и безопасность Персональных данных в соответствии с требованиями нормативно-правовых актов Российской Федерации, предъявляемыми к защите Персональных данных, для поддержания соответствующего уровня защищенности Персональных данных, в зависимости от типа актуальных угроз безопасности Персональных данных, в частности:
- применением организационных и технических мер по обеспечению безопасности Персональных данных при их обработке в информационных системах персональных данных, необходимых для обеспечения постоянной конфиденциальности, целостности, доступности и устойчивости систем и услуг, связанных с обработкой Персональных данных;
- установлением перечня лиц, допущенных к обработке Персональных данных, правил доступа к Персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с Персональными данными в информационной системе персональных данных;
- оценкой эффективности принимаемых мер по обеспечению безопасности Персональных данных до ввода в эксплуатацию информационной системы персональных данных;
- восстановлением Персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- обнаружением фактов несанкционированного доступа к Персональным данным и принятием
мер;
- контролем за принимаемыми мерами по обеспечению безопасности Персональных данных и уровня защищенности информационных систем персональных данных;
- определением мест хранения материальных носителей Персональных данных, а также обеспечения учета и сохранности материальных носителей Персональных данных;
- организацией режима безопасности помещений, в которых осуществляется обработка Персональных данных.
6. Порядок взаимодействия Оператора и Обработчика при обработке обращений и запросов.
6.1. В случае обращения к Обработчику субъекта Персональных данных Оператора с запросом на получение информации, касающейся обработки его Персональных данных, обрабатываемых Обработчиком по поручению Оператора, Обработчик обязан незамедлительно информировать о полученном запросе Оператора.
6.2. Обязанность по предоставлению сведений по запросу субъекта Персональных данных Оператора на получение информации, касающейся обработки его Персональных данных в рамках настоящего Поручения, возлагается на Оператора.
6.3. Обработчик содействует Оператору в выполнении его обязанности реагировать на требования по реализации прав субъекта Персональных данных, а также на требования Уполномоченного органа, иных государственных и муниципальных органов, органов прокуратуры, а также иных лиц, имеющих на это соответствующие полномочия
7. Ответственность Сторон
7.1. Оператор Персональных данных несет полную ответственность перед субъектом Персональных данных за действия, осуществляемые Обработчиком при обработке Персональных данных.
7.2. Обработчик несет полную ответственность перед Оператором за действия, производимые при обработке Персональных данных Оператора, осуществляемые по поручению Оператора, в том числе за действия привлекаемых Обработчиком третьих лиц.
7.3. Сторона, не исполнившая или ненадлежащим образом исполнившая обязательства по настоящему Поручению, обязана возместить другой Стороне любые расходы и/или убытки, возникшие у другой Стороны, в связи с указанными неисполнением или ненадлежащим исполнением обязательств по настоящему Поручению.
8. Заключительные положения
8.1. Никакие положения Поручения не освобождают Стороны от соблюдения законных требований, предъявляемых Уполномоченным органом, иными уполномоченными государственными или муниципальными органами, органами прокуратуры или судом. Стороны должны по мере возможности обсуждать друг с другом ответы на запросы, связанные с истребованием информации со стороны Уполномоченного органа, иных уполномоченных государственных или муниципальных органов, органов прокуратуры, а также иных лиц, имеющих на это соответствующие полномочия.
8.2. Поручение является неотъемлемой частью Договора. Условия настоящего Поручения являются приоритетными применительно к условиям Договора, относящимся к правоотношениям Сторон, урегулированным настоящим Поручением. Во всем остальном, что не предусмотрено настоящим Поручением, применяются положения Договора.