Договор-поручение на обработку персональных данных

Неотъемлемая часть Лицензионного договора-оферты сервиса Horecanalitika

Редакция от 9 сентября 2026 года. Опубликован по адресу https://horecanalitika.ru/dpa

Настоящий договор-поручение (далее — Поручение) заключается между клиентом сервиса Horecanalitika (далее — «Клиент») и Индивидуальным предпринимателем Кобозевым Константином Алексеевичем, ИНН 362806115783, ОГРНИП 322366800077054, e-mail: info@horecanalitika.ru (далее — «Обработчик»), и определяет условия обработки Обработчиком персональных данных по поручению Клиента в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

Акцепт Лицензионного договора-оферты означает одновременное заключение настоящего Поручения.

1. Распределение ролей

1.1. В отношении сведений о третьих лицах, которые Клиент и его пользователи вносят в Сервис (раздел 2), оператором персональных данных является Клиент: он определяет цели их обработки и отвечает за наличие правовых оснований.

1.2. Обработчик обрабатывает такие сведения исключительно по поручению Клиента, не определяет собственных целей их обработки и не использует их в своих интересах.

1.3. В отношении персональных данных пользователей Сервиса, имеющих учётные записи владельца или администратора, которые Обработчик получает и использует для регистрации, авторизации, исполнения Лицензионного договора, обеспечения безопасности и технической поддержки, а также в отношении сведений о платежах, ИП Кобозев К. А. действует как самостоятельный оператор персональных данных. Такая обработка регулируется Политикой обработки персональных данных (https://horecanalitika.ru/privacy) и в предмет настоящего Поручения не входит.

Если Клиент самостоятельно передаёт данные своих представителей или администраторов для создания им учётных записей, Клиент обеспечивает наличие законных оснований такой передачи в своей части.

2. Предмет Поручения

2.1. Клиент поручает Обработчику совершать с использованием средств автоматизации следующие действия (операции) с персональными данными, вносимыми Клиентом в Сервис: запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение, а также передачу (предоставление доступа) в случаях, прямо предусмотренных п. 5 Поручения.

2.2. Цель обработки: обеспечение функционирования Сервиса — ведение Клиентом учёта деятельности его заведений (смены, начисления и выплаты сотрудникам Клиента, учёт доставок и расчётов, сохранение целостной истории учёта), формирование отчётов, направление уведомлений по настройкам Клиента.

2.3. Категории субъектов и перечень персональных данных:

Сотрудники Клиента не имеют учётных записей и доступа в Сервис; их адреса электронной почты и номера телефонов в Сервис не вносятся и не хранятся.

2.4. Сервис не предназначен для обработки персональных данных покупателей (гостей) заведений Клиента и контактных данных сотрудников поставщиков. Адрес доставки вносится в объёме «улица и номер дома» как операционная информация о доставке, без привязки к какому-либо лицу; о поставщиках вносится только наименование.

2.5. Клиент обязуется не вносить в Сервис, в том числе в поля комментариев и иные свободные текстовые поля: паспортные данные, СНИЛС, ИНН физических лиц, реквизиты банковских карт, сведения о здоровье и иные специальные категории персональных данных, биометрические данные, данные покупателей своих заведений (ФИО, телефоны, e-mail, номера квартир), а также иные персональные данные, избыточные по отношению к целям учёта.

2.6. Прекращение трудовых, гражданско-правовых или иных отношений между Клиентом и физическим лицом не влечёт автоматического удаления исторических данных о нём, если их удаление нарушит достоверность финансового и управленческого учёта Клиента: такие данные продолжают обрабатываться по поручению Клиента в составе исторической учётной информации в течение срока действия Поручения и удаляются в порядке п. 3.8. Клиент вправе инициировать уточнение, обезличивание или удаление данных конкретного лица в той мере, в какой это возможно без нарушения обязательных требований и целостности необходимой Клиенту учётной информации.

3. Обязанности Обработчика

Обработчик обязуется:

3.1. Обрабатывать персональные данные только в целях и в объёме, определённых Поручением.

3.2. Соблюдать конфиденциальность персональных данных (ст. 7 Закона) и обеспечивать их безопасность.

3.3. Принимать меры, предусмотренные ст. 18.1 и ч. 2 ст. 19 Закона, в том числе: разграничение доступа (пользователи Клиента видят только данные своей организации в пределах назначенных ролей; доступ персонала Обработчика ограничен служебной необходимостью); хранение паролей в виде криптографических хешей; защита передачи данных (HTTPS/TLS); регулярное резервное копирование с ограниченным доступом к копиям; защита от несанкционированного доступа.

3.4. Осуществлять запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации.

3.5. Уведомлять Клиента о ставших известными Обработчику инцидентах, повлёкших неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, обрабатываемых по Поручению, — незамедлительно, но не позднее 12 часов с момента обнаружения (договорный срок, обеспечивающий Клиенту возможность исполнить собственную обязанность уведомить Роскомнадзор в течение 24 часов по ч. 3.1 ст. 21 Закона), с указанием предполагаемого состава затронутых данных и принятых мер.

3.6. По требованию Клиента: уточнять, блокировать и уничтожать персональные данные; оказывать Клиенту содействие в исполнении запросов субъектов персональных данных.

3.7. По обоснованному запросу Клиента предоставлять информацию и документы, подтверждающие выполнение Обработчиком мер по защите персональных данных, — в пределах, необходимых Клиенту для исполнения требований законодательства, и без раскрытия сведений, создающих угрозу безопасности Сервиса и данных других клиентов.

3.8. По прекращении Лицензионного договора прекратить обработку и удалить персональные данные в сроки, установленные Лицензионным договором: в течение 60 календарных дней с даты блокировки доступа либо — при удалении Учётной записи по инициативе Клиента — без неоправданной задержки после подтверждения удаления, без применения 60-дневного периода восстановления. Данные, удалённые из рабочей базы, исчезают из резервных копий по мере их плановой ротации; при аварийном восстановлении из резервной копии выполненные удаления применяются повторно.

После прекращения Поручения Обработчик не продолжает обработку персональных данных сотрудников Клиента в собственных целях. Исключение возможно только в отношении отдельных сведений, для которых непосредственно у Обработчика существует самостоятельное предусмотренное федеральным законом основание хранения; такое исключение не означает продолжения обработки всей исторической базы сотрудников Клиента. Обязанность Клиента хранить собственные кадровые, учётные и иные документы исполняется Клиентом самостоятельно и основанием для хранения данных Обработчиком не является.

3.9. Не привлекать к обработке иных лиц (субобработчиков), кроме указанных в п. 5, без предварительного согласия Клиента.

4. Обязанности Клиента

Клиент обязуется:

4.1. Обеспечить наличие правовых оснований обработки вносимых в Сервис сведений о третьих лицах, включая, когда это требуется Законом, согласия субъектов персональных данных с указанием на передачу данных Обработчику. Если Клиент подключает уведомления в Telegram, он дополнительно обеспечивает основание для передачи имён сотрудников выбранным им получателям, в том числе за пределы Российской Федерации (п. 5.2), и информирует об этом соответствующих лиц. Выбор надлежащего правового основания осуществляет Клиент как оператор. Внося в Сервис сведения о физическом лице, Клиент подтверждает наличие предусмотренных законодательством оснований для их обработки и для поручения их обработки Обработчику; Обработчик не собирает согласия субъектов и не становится оператором таких данных в силу факта их технической обработки.

4.2. Самостоятельно исполнять обязанности оператора персональных данных, предусмотренные Законом, включая направление уведомлений Роскомнадзору в случаях, когда такая обязанность применима к Клиенту, и ответы на запросы субъектов персональных данных.

4.3. Соблюдать требования п. 2.5 и незамедлительно удалять из Сервиса сведения, внесённые с его нарушением.

4.4. Своевременно сообщать Обработчику о необходимости уточнить, блокировать или уничтожить данные конкретного субъекта, если Клиент не может сделать это самостоятельно средствами Сервиса.

5. Инфраструктура, субобработчики и передача данных

5.1. Клиент даёт согласие на использование Обработчиком инфраструктуры хостинг-провайдера ООО «ТАЙМВЭБ.КЛАУД» (ИНН 7810945525, сервис Timeweb Cloud) для размещения Сервиса, баз данных и резервных копий на серверах на территории Российской Федерации. Производственная среда Сервиса, демонстрационный стенд и сайт размещены на отдельных серверах; демонстрационный стенд содержит только вымышленные данные, персональные данные Клиента и его сотрудников на нём не размещаются.

5.2. Подключая в Сервисе получателей уведомлений в Telegram, Клиент поручает Обработчику передавать содержание уведомлений и идентификаторы чатов получателей. В состав уведомления входят показатели работы заведения за день и имена сотрудников, находившихся на смене (а также имя пользователя, закрывшего смену) — без иных сведений о них. Суммы начислений, выплат и задолженности по конкретным лицам, ставки, оклады, должности и адреса доставок не передаются; денежные показатели передаются только общим итогом по заведению.

Передача имён сотрудников осуществляется исключительно по поручению Клиента: Клиент самостоятельно определяет получателей уведомлений и обеспечивает наличие правового основания такой передачи, включая трансграничную передачу (п. 4.1). Тексты отправленных уведомлений сохраняются Обработчиком в служебном журнале доставки и хранятся 60 календарных дней с даты отправки, после чего удаляются. Получателем может быть как пользователь Сервиса, так и иное лицо по выбору Клиента; если получатель не является пользователем Сервиса, его данные обрабатываются Обработчиком по поручению Клиента (п. 2.3). Доставка выполняется через технический шлюз Обработчика, размещённый в Королевстве Нидерландов, и инфраструктуру Telegram Messenger Inc.; такая передача является трансграничной.

Распределение обязанностей по ст. 12 Закона:

• в отношении получателей, являющихся пользователями Сервиса (владельцы, администраторы), оператором их данных выступает Обработчик, и обязанности по ст. 12 исполняет он;
• в отношении получателей, не являющихся пользователями Сервиса (внешние лица, подключённые Клиентом), оператором выступает Клиент: он обеспечивает наличие правового основания передачи данных такого получателя и исполняет применимые к нему обязанности по ст. 12;
• в отношении имён сотрудников Клиента, включаемых в уведомления, оператором выступает Клиент: он обеспечивает правовое основание их трансграничной передачи и исполняет применимые к нему обязанности по ст. 12. Обработчик выполняет такую передачу только по поручению Клиента и прекращает её при отключении получателей.

Обработчик по запросу предоставляет Клиенту сведения, необходимые для исполнения обязанностей по ст. 12: перечень иностранных государств, категории передаваемых персональных данных, цели передачи и сведения о принимаемых мерах защиты. Клиент может в любой момент отключить получателей уведомлений в интерфейсе Сервиса — после отключения передача прекращается.

5.3. Иным лицам персональные данные, обрабатываемые по Поручению, не передаются, за исключением случаев, прямо предусмотренных законодательством РФ. О привлечении нового субобработчика Обработчик уведомляет Клиента не менее чем за 10 календарных дней; при несогласии Клиент вправе расторгнуть Лицензионный договор.

6. Ответственность

6.1. Обработчик отвечает перед Клиентом за соблюдение условий Поручения. Перед субъектами персональных данных ответственность несёт Клиент как оператор (ч. 5 ст. 6 Закона), за исключением случаев, когда ответственность лица, осуществляющего обработку по поручению, прямо установлена законодательством.

6.2. Клиент отвечает за правомерность внесения сведений в Сервис и наличие оснований их обработки, в том числе за содержание сведений, внесённых в свободные текстовые поля вопреки п. 2.5.

7. Срок действия

7.1. Поручение действует в течение срока действия Лицензионного договора, а в части ограниченного хранения, предоставления экспорта, обеспечения безопасности и последующего удаления персональных данных — до фактического завершения соответствующей обработки в соответствии с п. 3.8 (в том числе в течение 60-дневного периода хранения после блокировки доступа). До завершения этой обработки Обработчик остаётся связанным всеми обязанностями раздела 3. Обязательства конфиденциальности сохраняются в течение 3 лет после прекращения Поручения.

7.2. Изменение Поручения производится в порядке, установленном Лицензионным договором для изменения его условий.