Поручение обработки персональных данных

Организация (бизнес-клиент), создавшая кабинет в сервисе AWP, — оператор персональных данных своих гостей (участников программы лояльности): она определяет цели обработки, состав анкеты, условия программы и публикует для гостей согласие от своего имени. Лицо, осуществляющее обработку по поручению организации («Обработчик»), — оператор платформы AWP Яндаров Ахмед Саид-Эминович (физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход», ИНН 770482392033), адрес: 119435, Россия, город Москва, Большой Саввинский переулок, дом 10, квартира 32, e-mail: awpwallet@mail.ru. Поручение принимается владельцем организации в личном кабинете отдельной отметкой; сервис сохраняет версию текста, дату, время и аккаунт принявшего.

Обработчик по поручению организации осуществляет: приём анкеты гостя через страницу регистрации программы; хранение карточки гостя, согласий, счёта, баланса, уровня и истории операций; выпуск и обновление цифровой карты (веб-карта и карта Apple Wallet); проведение операций кассы по командам сотрудников организации; обезличивание и удаление данных по запросу организации. Действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) сотрудникам организации, блокирование, обезличивание, удаление, уничтожение. Обработчик не использует данные гостей в собственных целях, не передаёт их третьим лицам для рекламы и не объединяет базы разных организаций.

Данные, включённые организацией в анкету и программу: имя (фамилия — в программах-абонементах), номер телефона, адрес электронной почты, дата рождения, пол; номер и код цифровой карты; баланс, уровень, сумма покупок и история операций; сведения о согласиях гостя (версия документа, дата и время). Организация не включает в анкету специальные категории данных, биометрические данные и документы, удостоверяющие личность.

Соблюдать конфиденциальность и принципы обработки (ст. 5 Федерального закона № 152-ФЗ); принимать меры защиты по ст. 18.1 и 19 (разграничение доступа по ролям и организациям, шифрование соединений, хэширование паролей и кодов карт, журналирование, резервное копирование в зашифрованном виде); хранить данные на серверах в Российской Федерации (г. Москва, арендуемый виртуальный сервер ООО «Хостинг технологии», VDSina): база данных PostgreSQL, файловое хранилище и зашифрованные резервные копии (ч. 5 ст. 18); по запросу организации в течение срока действия поручения предоставлять документы и сведения о выполнении требований поручения; уведомлять организацию о выявленном инциденте с данными её гостей в течение 24 часов, о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21); исполнять запросы организации об уточнении, блокировании и уничтожении данных; не привлекать иных лиц к обработке без уведомления организации.

Иметь законное основание обработки данных своих гостей и опубликовать для них согласие (сервис формирует его по реквизитам организации); не загружать данные, полученные без основания; рассматривать обращения гостей как оператор; своевременно отвечать на запросы Обработчика, требующие решения оператора. Обращения гостей, поступившие Обработчику, передаются организации.

Поручение действует, пока у организации есть кабинет в сервисе AWP. При удалении кабинета или прекращении поручения Обработчик по указанию организации уничтожает данные гостей или передаёт их выгрузку организации и уничтожает копии в течение 30 дней, кроме данных, хранение которых требуется законом; резервные копии перезаписываются в срок их ротации.

Ответственность перед гостем за действия Обработчика несёт организация как оператор; Обработчик несёт ответственность перед организацией (ч. 5 ст. 6 Федерального закона № 152-ФЗ).