Поручение на обработку персональных данных

Черновик для проверки юристом, не публиковать без согласования

Поручение на обработку персональных данных

Редакция от [дд.мм.гггг].

Это поручение — часть договора на использование сервиса «Слушаю вас», заключённого по оферте или в письменной форме (далее — «Договор»). Оно дано по ч. 3 ст. 6 Федерального закона «О персональных данных» (далее — «152-ФЗ»).

• Оператор — Клиент по Договору.
• Обработчик — [ИП Фамилия Имя Отчество / ООО «…»], ОГРНИП/ОГРН [номер], ИНН [номер], адрес: [адрес].

Принимая оферту, Оператор даёт поручение на условиях ниже. Если с Оператором подписан письменный договор, поручение действует в редакции, приложенной к нему.

1. Что поручено

1.1. Оператор поручает Обработчику обрабатывать персональные данные, указанные в разделе 3, только для целей раздела 2 и только в объёме, нужном для работы сервиса «Слушаю вас» (далее — «Сервис»).

1.2. Документированными указаниями Оператора считаются настройки и действия в личном кабинете, загрузка данных и письменные сообщения уполномоченных лиц Оператора. Обработчик не обрабатывает данные в своих целях.

2. Цели обработки

2.1. Приём и обработка входящих звонков и сообщений абонентов Оператора голосовым и текстовым помощником (далее — «Ассистент»): ответы на вопросы, запись на услуги, перенос и отмена записей, оформление и изменение заказов, перевод разговора на сотрудников Оператора, обратные звонки.

2.2. Уведомления абонентов: подтверждения, напоминания, ссылки на оплату — по SMS, в мессенджере MAX и звонком.

2.3. Исходящие кампании — только по указанию Оператора и только абонентам, для которых Оператор отметил согласие на такие звонки.

2.4. Хранение записей, расшифровок и сводок разговоров в течение срока хранения; отчёты и статистика для Оператора; контроль качества работы Ассистента.

2.5. Синхронизация с системами Оператора (расписание, CRM, магазин) по его настройкам.

3. Чьи и какие данные

3.1. Категории субъектов:

• абоненты, которые звонят или пишут Оператору либо которым Ассистент звонит по поручению Оператора: клиенты, пациенты, покупатели, ученики и их законные представители;
• контактные лица из баз, которые Оператор загружает в Сервис;
• работники Оператора — для перевода звонков и уведомлений.

3.2. Перечень данных:

• фамилия, имя, отчество или только имя;
• номер телефона; e-mail и идентификатор в мессенджере, если Оператор их передал;
• запись голоса в разговоре. Она используется только для хранения записи и распознавания речи в текст и не используется для установления личности, поэтому биометрическими персональными данными не является. Использовать голос для идентификации Обработчик не вправе;
• расшифровка и сводка разговора, переписка;
• сведения о записях и заказах: услуга или товар, специалист, дата и время, филиал, адрес доставки, сумма, статус;
• дата рождения и номер полиса или документа — только если Оператор включил их сбор в настройках;
• сведения о согласиях и отказах абонента (на звонки, рекламу, стоп-лист);
• для медицинских организаций: сведения о факте обращения за медицинской помощью и сведения о состоянии здоровья, которые абонент сообщил сам (специальная категория персональных данных; врачебная тайна). Обрабатываются только в объёме, нужном для записи на приём;
• для работников Оператора: имя, телефон, роль, статус «на месте».

4. Действия и способы

4.1. Обработчик вправе совершать с данными: сбор (запись разговора, получение от Оператора и от абонента), запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ) Оператору и субобработчикам по разделу 7, обезличивание (маскирование), блокирование, удаление, уничтожение.

4.2. Обработка ведётся с использованием средств автоматизации, с передачей по защищённым каналам связи.

5. Обязанности Обработчика

5.1. Конфиденциальность. Не раскрывать и не распространять данные без согласия Оператора, кроме случаев, предусмотренных законом. Работники Обработчика, имеющие доступ к данным, дают обязательство о неразглашении. Сведения, составляющие врачебную тайну, Обработчик и его работники не разглашают (ч. 2 ст. 13 Федерального закона «Об основах охраны здоровья граждан в Российской Федерации»).

5.2. Локализация. Базы данных с персональными данными граждан РФ находятся в России (ч. 5 ст. 18 152-ФЗ). За рубеж уходит только то, что описано в разделе 7.

5.3. Безопасность. Соблюдать требования ст. 18.1 и 19 152-ФЗ и принимать меры из приложения 1, в том числе:

• модель угроз и уровень защищённости информационной системы по требованиям Правительства РФ;
• разграничение доступа по ролям и журналирование действий;
• шифрование каналов, изоляцию данных разных клиентов, резервное копирование;
• контроль уязвимостей.

5.4. Документы. По запросу Оператора в течение [10] рабочих дней предоставлять документы и сведения о принятых мерах защиты и о выполнении этого поручения, в том числе до начала обработки.

5.5. Запросы субъектов. Если абонент обратился к Обработчику напрямую, передать обращение Оператору в течение [2] рабочих дней. Указания Оператора об уточнении, блокировании или уничтожении данных исполнять в течение [5] рабочих дней. Выгрузку данных абонента для ответа на запрос предоставлять в течение [5] рабочих дней.

5.6. Инциденты. О неправомерной или случайной передаче (предоставлении, распространении, доступе) данных, повлёкшей нарушение прав субъектов, уведомить Оператора:

• в течение [12] часов с момента обнаружения — что случилось, предполагаемые причины, возможный вред и принятые меры;
• в течение [48] часов — результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной.

Сроки выбраны так, чтобы Оператор успел уведомить Роскомнадзор за 24 и 72 часа (ч. 3.1 ст. 21 152-ФЗ). Обработчик помогает Оператору в расследовании и во взаимодействии с ГосСОПКА.

5.7. Никакого обучения. Не использовать данные абонентов для обучения моделей третьих лиц и для собственных целей, кроме обезличенных сводных показателей работы Сервиса (число звонков, длительность, доли исходов).

5.8. Правила речи Ассистента. Ассистент называет абонента только по имени, без фамилии и отчества, и не произносит номер телефона целиком. В медицинских организациях он не обсуждает диагнозы, результаты анализов и назначения. Напоминания Ассистент составляет без названия деликатных направлений, если Оператор включил эту настройку.

6. Обязанности Оператора

6.1. Иметь законные основания для обработки данных и для поручения её Обработчику, в том числе согласия субъектов, где они нужны. [Юристу: нужно ли согласие абонентов на поручение (ч. 3 ст. 6 152-ФЗ), если сам Оператор обрабатывает данные без согласия.]

6.2. Уведомлять абонентов об обработке: публиковать свою политику, сообщать о записи разговора (Сервис делает это в начале каждого звонка). Уведомить Роскомнадзор об обработке и, если требуется, о трансграничной передаче (раздел 7).

6.3. Получать и хранить согласия абонентов на исходящие звонки, а для рекламы — согласия на рекламу. Отмечать их в Сервисе достоверно.

6.4. Не загружать в Сервис данные, которые не нужны для целей раздела 2: диагнозы, результаты анализов, сканы документов и тому подобное.

6.5. Отвечать на запросы субъектов и решать, как их исполнить. Обработчик исполняет указания Оператора.

7. Субобработчики и передача за рубеж

7.1. Оператор разрешает Обработчику привлекать субобработчиков из перечня ниже. Актуальный перечень публикуется в документе «Как мы используем искусственный интеллект» и в кабинете.

Оператор связи ([наименование]) соединяет звонки по договору об оказании услуг связи. Он обрабатывает сведения о соединениях как самостоятельный оператор в силу закона «О связи» и субобработчиком не является.

7.2. Звук разговоров, записи, полные расшифровки, номера телефонов, фамилии, карточки абонентов и расписание за рубеж не передаются.

7.3. Обработчик включает у внешних ИИ-сервисов режим без хранения данных там, где он доступен, и не разрешает им использовать данные для обучения [сверить с условиями провайдеров].

7.4. Маскированный текст может содержать сведения, по которым личность абонента можно определить косвенно, например если абонент сам назвал редкие подробности. Поэтому стороны исходят из того, что передача текста реплик в США — трансграничная передача персональных данных в страну, не обеспечивающую адекватную защиту. Обработчик предоставляет Оператору сведения о получателях и оценку мер защиты, нужные для уведомления Роскомнадзора (ст. 12 152-ФЗ), и текст для уведомления. [Юристу: утвердить квалификацию и порядок — уведомляет Оператор или достаточно уведомления Обработчика.]

7.5. Для медицинских организаций сведения о здоровье, которые абонент называет сам, по умолчанию передаются в языковую модель без привязки к личности. Оператор может включить расширенное маскирование медицинских сведений [реализовать до подключения клиник]. Режим, при котором внешние ИИ-сервисы не используются вовсе, пока недоступен; Обработчик сообщит о его появлении. [Юристу: основание передачи сведений о здоровье обработчику и за рубеж.]

7.6. О новом субобработчике или смене страны Обработчик уведомляет Оператора не менее чем за [14] дней по e-mail и в кабинете. Если Оператор не согласен, он вправе отказаться от Договора до вступления изменения в силу; неиспользованная оплата возвращается полностью. Если субобработчика приходится заменить срочно из-за угрозы безопасности или недоступности сервиса, Обработчик уведомляет Оператора не позднее дня замены.

7.7. Обработчик заключает с каждым субобработчиком договор с обязанностями по конфиденциальности и защите данных не ниже установленных здесь. За действия субобработчиков перед Оператором отвечает Обработчик.

8. Сроки хранения и удаление

8.1. Записи и расшифровки разговоров хранятся [30] или [90] дней с даты разговора — по Тарифу или настройке Оператора. Затем они удаляются автоматически. Сводки и сведения о записях и заказах хранятся в течение срока Договора, если Оператор не удалил их раньше.

8.2. По указанию Оператора данные конкретного абонента удаляются в срок из п. 5.5.

8.3. После прекращения Договора данные доступны Оператору для выгрузки [30] дней. Затем Обработчик уничтожает их в течение [30] дней, резервные копии перезаписываются в течение [30] дней. Факт уничтожения подтверждается документом по требованиям Роскомнадзора, по запросу Оператора документ передаётся ему.

8.4. Обработчик вправе хранить дольше только то, что обязан хранить по закону, и только в этой цели. Например, журнал согласий хранится как доказательство законности звонков.

9. Проверки

9.1. Оператор вправе запросить у Обработчика сведения о выполнении поручения (п. 5.4).

9.2. Для тарифа «Сеть» и по отдельной договорённости Оператор вправе раз в год провести проверку, уведомив Обработчика за [30] дней. Проверка проводится за счёт Оператора и без доступа к данным других клиентов.

10. Ответственность

10.1. Обработчик отвечает перед Оператором за нарушение этого поручения; перед субъектами за действия Обработчика отвечает Оператор (ч. 5 ст. 6 152-ФЗ). Пределы ответственности — по Договору. Они не применяются к умышленному нарушению и к нарушению раздела 5.1.

10.2. Если субъект или государственный орган предъявил требование из-за нарушения этого поручения одной из сторон, эта сторона возмещает другой её имущественные потери.

11. Срок действия

Поручение действует с момента акцепта оферты или подписания Договора и до уничтожения данных после его прекращения (п. 8.3).

---

Приложение 1. Меры защиты

1. Ответственный за организацию обработки персональных данных, утверждённые политика и положение о защите.
2. Модель угроз, уровень защищённости информационной системы по требованиям Правительства РФ, меры по составу, утверждённому ФСТЭК России. [Определить уровень защищённости с учётом медицинских данных клиентов.]
3. Серверы и хранилище в дата-центрах в России; доступ к серверам только по ключам, вход по паролю отключён; межсетевой экран; базы данных и хранилище наружу не опубликованы.
4. Шифрование каналов (TLS); ключи интеграций хранятся в зашифрованном виде; пароли — стойкое хеширование.
5. Разделение данных клиентов на уровне каждой записи и каждого запроса.
6. Разграничение доступа по ролям; вход сотрудников Оператора в кабинет Обработчиком — только с согласия Оператора и с записью в журнал.
7. В технических журналах и трассировке нет текстов разговоров; номера телефонов маскируются.
8. Маскирование персональных данных перед отправкой во внешние ИИ-сервисы, проверка правил речи Ассистента. [Реализовать до первого настоящего звонка: модуля маскирования ещё нет, до его готовности поручение не подписывать.]
9. Ежедневное резервное копирование, ежемесячная проверка восстановления.
10. Автоматическое удаление записей по сроку хранения.
11. Журнал аудита изменений настроек и доступа к данным.
12. Порядок реагирования на инциденты с уведомлением Оператора в сроки п. 5.6.
13. Обязательства о неразглашении и обучение работников.