Поручение на обработку данных

Настоящее Поручение является неотъемлемой частью публичной оферты сервиса «Аралык» и принимается Пользователем при регистрации одновременно с ней.

Оператор — Пользователь сервиса (психолог, психотерапевт или иной специалист), определяющий цели обработки персональных данных своих клиентов.

Обработчик — индивидуальный предприниматель Ященко Кирилл Сергеевич (ИНН 027804349870, ОГРНИП 324028000149058, адрес: 450059, г. Уфа, проспект Октября, д. 44, корп. 2, кв. 56; эл. почта: support@aralyk.ru).

Оператор поручает, а Обработчик принимает на себя обработку персональных данных клиентов Оператора в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) на следующих условиях.

1. Цель обработки

Обеспечение ведения клиентами Оператора дневника между сессиями с помощью сервиса «Аралык»: приём записей через бота в Telegram, напоминания, хранение записей и предоставление их Оператору, уведомление Оператора о сигналах клиента (кризисная кнопка, отсутствие записей), подготовка сводок записей по запросу Оператора.

2. Субъекты и перечень персональных данных

Клиенты Оператора старше 18 лет, приглашённые им в сервис. Обрабатываются:

• идентификатор и язык пользователя в Telegram;
• метка клиента, заданная Оператором (без фамилии, имени и иных прямых идентификаторов);
• часовой пояс, дата подключения, расписание напоминаний;
• записи дневника: время, ответы на вопросы, текст, фотографии (без метаданных);
• сведения о нажатии кризисной кнопки;
• сведения о состоянии здоровья, содержащиеся в записях (специальная категория персональных данных).

3. Перечень действий

Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) — Оператору, а по действию Оператора — в целях подготовки сводки (раздел 5), блокирование, удаление, уничтожение. Способ обработки — автоматизированный.

4. Обязанности Оператора

4.1. Оператор до отправки клиенту ссылки-приглашения:

• убеждается, что клиенту исполнилось 18 лет;
• получает письменное согласие клиента на обработку его персональных данных, включая сведения о состоянии здоровья, с указанием Обработчика как лица, осуществляющего обработку по поручению (образец согласия);
• если Оператор намерен пользоваться сводками — получает также письменное согласие клиента на трансграничную передачу текста записей (раздел 5).

4.2. Оператор хранит полученные согласия и по запросу Обработчика или уполномоченного органа подтверждает их наличие.

4.3. Оператор самостоятельно исполняет обязанности оператора персональных данных, установленные 152-ФЗ, в том числе направляет уведомления в Роскомнадзор, если они требуются для его деятельности, и отвечает на запросы клиентов.

5. Подготовка сводок и трансграничная передача

5.1. По нажатию Оператором кнопки «Собрать сводку» Обработчик передаёт текст записей клиента за выбранный период языковой модели OpenAI, L.L.C. (1455 3rd Street, San Francisco, CA 94158, США) и возвращает Оператору сводку-черновик.

5.2. Передаются только даты, время и ответы клиента на вопросы дневника. Метка клиента, идентификаторы в мессенджерах, данные Оператора и фотографии не передаются.

5.3. Передача осуществляется исключительно по действию Оператора. Оператор пользуется функцией только при наличии согласия клиента на трансграничную передачу. Обработчик обеспечивает направление в Роскомнадзор уведомления о намерении осуществлять трансграничную передачу в соответствии со ст. 12 152-ФЗ.

6. Обязанности Обработчика

6.1. Обработчик:

• обрабатывает персональные данные только в целях и в объёме, указанных в Поручении, и не использует их в собственных целях, в том числе для рекламы, аналитики и обучения моделей;
• соблюдает конфиденциальность персональных данных и принципы и правила обработки, предусмотренные 152-ФЗ;
• обеспечивает безопасность персональных данных в соответствии со ст. 19 152-ФЗ: шифрование записей, фотографий, меток и сводок с отдельным ключом для каждого Оператора; удаление метаданных фотографий; размещение баз данных на серверах в Российской Федерации (ч. 5 ст. 18 152-ФЗ); защищённые каналы связи; разграничение доступа и журнал доступа к записям;
• привлекает для обработки только лиц, указанных в Политике обработки персональных данных (хостинг, мессенджеры, языковая модель для сводок), и обязывает их соблюдать конфиденциальность;
• по запросу Оператора в течение 10 рабочих дней предоставляет документы и сведения, подтверждающие принятие мер по защите персональных данных;
• уведомляет Оператора об инцидентах, повлёкших неправомерную передачу (предоставление, распространение, доступ) персональных данных, в течение 24 часов с момента их выявления и о результатах расследования — в течение 72 часов, чтобы Оператор мог исполнить обязанности по ч. 3.1 ст. 21 152-ФЗ;
• исполняет указания Оператора о блокировании, уточнении и уничтожении персональных данных, в том числе по запросам клиентов, в течение 10 рабочих дней.

7. Сроки обработки и уничтожение

7.1. Записи дневника, фотографии и сводки уничтожаются автоматически через 2 года после создания записи, если Оператор не удалил их раньше.

7.2. При прекращении договора, а также по указанию Оператора персональные данные его клиентов уничтожаются в течение 30 дней, если иное не предусмотрено законом. По запросу Оператора до уничтожения Обработчик предоставляет выгрузку записей.

7.3. При отзыве клиентом согласия Обработчик по указанию Оператора прекращает приём записей и уничтожает данные клиента в течение 10 рабочих дней.

8. Срок действия

Поручение действует в течение срока действия договора, заключённого на условиях оферты, а в части обязанностей по конфиденциальности и уничтожению данных — до их полного исполнения.