Поручение на обработку персональных данных

Что содержит документ

1. Стороны и предмет

Ваша компания — оператор, исполнитель — лицо, осуществляющее обработку по поручению. Указывается, что поручение дано в связи с оказанием услуг по конкретному договору.

2. Перечень персональных данных

Не «персональные данные вообще», а состав: фамилия, имя, отчество работников, должности, суммы начислений, паспортные данные, адреса, номера телефонов, ИНН и СНИЛС, сведения о контрагентах-физических лицах. Перечень формируется по вашей конфигурации: в бухгалтерии и зарплате состав разный.

3. Перечень действий

Что именно исполнитель делает с данными: хранение, извлечение, использование для воспроизведения ошибок и тестирования, уничтожение. Отдельно фиксируется, что передача данных третьим лицам и распространение не осуществляются.

4. Цель обработки

Доработка и сопровождение информационной системы оператора. Использование данных в любых иных целях — включая аналитику, обучение моделей и демонстрацию третьим лицам — прямо запрещается.

5. Обязанность соблюдать конфиденциальность

С отсылкой к соглашению о конфиденциальности и к перечню лиц, допущенных к обработке.

6. Меры обеспечения безопасности

Требования статьи 19 152-ФЗ: разграничение доступа, учёт допущенных лиц, защищённые каналы передачи, размещение исключительно на серверах в Российской Федерации в соответствии с частью 5 статьи 18.

7. Промежуточное хранилище при передаче файла

Файл выгрузки базы передаётся из браузера заказчика в облачное хранилище «Яндекс Диск» (ООО «Яндекс», Российская Федерация), откуда исполнитель забирает его на свой сервер. Хранилище указывается в поручении как лицо, привлекаемое к обработке: часть 3 статьи 6 152-ФЗ требует называть всех, кому обработка поручена, а умолчание об этом делает поручение недостоверным. Серверы хранилища расположены в Российской Федерации, что отвечает требованию части 5 статьи 18. Файл удаляется из хранилища сразу после переноса и сверки контрольной суммы; срок нахождения файла в хранилище ограничен временем передачи.

8. Именной перечень допущенных лиц

Отдельным приложением: фамилии и должности конкретных людей, основание допуска, срок. Изменение перечня — с уведомлением оператора.

9. Срок обработки и уничтожение

Конкретная дата или срок, привязанный к окончанию работ. Обязанность уничтожить копию по истечении срока либо по требованию оператора и подтвердить уничтожение актом с указанием состава уничтоженного, способа и времени.

10. Уведомление об инцидентах

Срок в часах, в который исполнитель обязан сообщить оператору о неправомерном доступе к данным. Это нужно оператору, чтобы уложиться в собственные сроки уведомления Роскомнадзора.

11. Предоставление подтверждающих документов

Обязанность по запросу оператора представить документы, подтверждающие соблюдение требований к защите данных. Пригодится, если к вам придёт проверка.