Соглашение
о поручении обработки персональных данных

1. Общие положения

1.1. ООО «Дейта Кью», ИНН 7721581040 (далее — «Исполнитель»), предоставляет физическим лицам, индивидуальным предпринимателям и юридическим лицам (далее — «Пользователь») возможность использования функциональности сайта dadata.ru и сервисов, доступных на нем (далее совместно — «Сервис»).

1.2. Настоящее Соглашение о поручении обработки персональных данных (далее — «Соглашение») является неотъемлемой частью Оферты на оказание услуг по предоставлению доступа к сервису (далее — «Оферта») и устанавливает условия поручения обработки персональных данных (далее — «ПД») при использовании Сервиса в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»).

1.3. Используя Сервис, Пользователь считается принявшим условия Соглашения в полном объеме без каких-либо оговорок и изъятий. Использование Сервиса является акцептом Соглашения.

1.4. Действующая редакция Соглашения размещена в сети «Интернет» по постоянному адресу: https://dadata.ru/dpa/ и является официальным источником актуальной редакции Соглашения.

1.5. Исполнитель вправе в одностороннем порядке вносить изменения в Соглашение путем внесения изменений в его текст без дополнительного уведомления Пользователя. Новая редакция вступает в силу с момента ее опубликования, если иное не предусмотрено соответствующей редакцией. Пользователь обязан самостоятельно отслеживать изменения. Продолжение передачи ПД Исполнителю после внесения изменений означает согласие Пользователя с новой редакцией Соглашения.

1.6. В случае несогласия Пользователя с положениями Соглашения Пользователь обязан прекратить передачу ПД Исполнителю и использование Сервиса в части, связанной с обработкой ПД. Несогласие с условиями не освобождает Пользователя от обязательств, возникших до прекращения использования Сервиса.

2. Предмет Соглашения

2.1. При передаче Пользователем в Сервис ПД (в том числе путем направления запросов через API, загрузки файлов, ввода данных в интерфейсе Сервиса или иным способом) Пользователь является оператором таких ПД, самостоятельно определяет цели, состав и содержание обрабатываемых ПД, а также перечень совершаемых с ними действий (операций), и поручает Исполнителю их обработку на условиях Соглашения.

2.2. Исполнитель является самостоятельным оператором ПД в отношении обработки ПД, которую он осуществляет в собственных целях, в том числе при регистрации и идентификации Пользователей, заключении и исполнении Оферты, ведении расчетов, направлении информационных сообщений, а также в иных случаях. Настоящее Соглашение такую обработку не регулирует. Порядок и условия обработки ПД, осуществляемой Исполнителем как самостоятельным оператором, определяются Офертой, Политикой конфиденциальности и иными применимыми документами Исполнителя.

3. Условия поручения на обработку персональных данных

3.1. Обработка ПД осуществляется Исполнителем исключительно в рамках оказания Пользователю услуг по предоставлению доступа к Сервису в соответствии с Офертой, включая проверку, стандартизацию, исправление, обогащение, распознавание, маскирование и иную обработку данных, предусмотренную функционалом Сервиса. Конкретные цели обработки в рамках указанной цели определяются Пользователем самостоятельно.

3.2. Пользователь самостоятельно несет ответственность за состав, содержание, объем и правомерность передаваемых в Сервис ПД. В зависимости от используемого функционала Сервиса в составе передаваемых ПД могут обрабатываться, в частности: фамилия, имя, отчество, адрес, номер телефона, адрес электронной почты, данные документов, удостоверяющих личность, иные сведения, включенные Пользователем в состав передаваемых данных.

3.3. Пользователь поручает Исполнителю совершение следующих действий (операций) с ПД: сбор, получение, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации.

3.4. Исполнитель обязуется:

3.4.1. Осуществлять обработку ПД по поручению Пользователя на законной основе в строгом соответствии с условиями Соглашения и требованиями 152-ФЗ, соблюдая установленные законодательством Российской Федерации о ПД принципы и правила обработки ПД.

3.4.2. Соблюдать конфиденциальность обрабатываемых ПД, не раскрывать и не распространять ПД третьим лицам без согласия Пользователя, если иное не предусмотрено федеральным законом.

3.4.3. Обеспечивать безопасность ПД при их обработке, в том числе выполнять требования к защите обрабатываемых ПД, установленные ст. 19 152-ФЗ и принятыми в соответствии с ней подзаконными актами, в отношении определенного Исполнителем уровня защищенности ПД при их обработке в информационных системах ПД, который позволяет обеспечить Сервис, в пределах зоны ответственности Исполнителя.

Обеспечение безопасности ПД достигается, в частности:

определением угроз безопасности ПД при их обработке в информационных системах ПД;
применением организационных и технических мер по обеспечению безопасности ПД при их обработке в информационных системах, необходимых для выполнения требований к защите ПД, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности ПД;
при необходимости — применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
оценкой эффективности принимаемых мер по обеспечению безопасности ПД до ввода в эксплуатацию информационной системы ПД;
учетом машинных носителей ПД;
обнаружением фактов несанкционированного доступа к ПД и принятием необходимых мер для устранения нарушений;
восстановлением ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
установлением правил доступа к ПД, обрабатываемым в информационной системе, а также обеспечением регистрации и учета всех действий, совершаемых с ПД в информационной системе;
контролем за принимаемыми мерами по обеспечению безопасности ПД и уровня защищенности информационных систем;
назначением лица, ответственного за обеспечение безопасности ПД в информационных системах;
ознакомлением и обучением работников, осуществляющих обработку ПД, правилам и условиям обработки ПД и требованиям к безопасности ПД.

Перечень указанных мер подлежит изменению в случае изменения применимого законодательства Российской Федерации в сфере ПД. Такие изменения внедряются Исполнителем в течение разумного срока после наступления указанных изменений. Любые меры обеспечения безопасности принимаются Исполнителем за свой счет.

3.4.4. Обеспечивать применение мер, необходимых и достаточных для выполнения обязанностей, предусмотренных ст. 18.1 152-ФЗ, в том числе:

назначить лицо, ответственное за организацию обработки ПД;
издать документы, определяющие политику Исполнителя в отношении обработки ПД, и локальные акты по вопросам обработки ПД, определяющие для каждой цели обработки ПД категории и перечень обрабатываемых ПД, категории субъектов, ПД которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПД при достижении целей их обработки или при наступлении иных законных оснований, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
осуществлять внутренний контроль и (или) аудит соответствия обработки ПД требованиям 152-ФЗ, оценку вреда, который может быть причинен субъектам ПД;
ознакомить работников, непосредственно осуществляющих обработку ПД, с положениями законодательства Российской Федерации о ПД;
опубликовать документ, определяющий политику Исполнителя в отношении обработки ПД, и сведения о реализуемых требованиях к защите ПД.

3.4.5. Осуществлять обработку ПД по поручению Пользователя с использованием баз данных, расположенных на территории Российской Федерации, в соответствии с требованиями ч. 5 ст. 18 152-ФЗ.

3.4.6. По запросу Пользователя в течение срока действия Оферты, в том числе до начала обработки ПД, в разумный срок с момента получения запроса, но не позднее срока, предусмотренного законодательством для выполнения соответствующих мер в отношении ПД, при условии своевременного предоставления запроса, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения Пользователя требований, установленных ч. 3 ст. 6 152-ФЗ, в том числе требований, предусмотренных п. 3.4.2 — 3.4.5 Соглашения. Запрос направляется Пользователем в порядке, предусмотренном Офертой.

3.4.7. Оказывать Пользователю необходимые помощь и содействие (включая предоставление документов, подтверждающих выполнение требований законодательства и обеспечение безопасности обработки) для подготовки ответа на претензии, жалобы, запросы и (или) иные обращения субъектов ПД и (или) уполномоченных государственных органов в отношении обработки ПД (далее — «обращение»), в том числе в случае отзыва согласий субъектов ПД или прекращения действия иных оснований обработки. Содействие оказывается по запросу Пользователя в разумный срок.

3.4.8. В случае получения обращения непосредственно Исполнителем — информировать Пользователя об этом и направить Пользователю такое обращение в разумный срок, если подобное информирование не нарушает права и законные интересы третьих лиц или законодательство Российской Федерации.

3.5. Прекращение обработки и (или) уничтожение (удаление) ПД, обрабатываемых Исполнителем по поручению Пользователя, производится:

Пользователем путем направления запроса Исполнителю способами, доступными в интерфейсе Сервиса и (или) описанными в документации к Сервису;
по требованию уполномоченных государственных органов;
при расторжении Оферты или Соглашения по любой причине;
по достижении целей обработки либо утрате необходимости в их достижении;
в иных случаях, предусмотренных действующим законодательством.

3.6. При обработке файлов Пользователя на сайте Исполнитель хранит исходные и обработанные данные не более 24 (двадцати четырех) часов с момента завершения обработки, после чего удаляет их. При работе через API Исполнитель не журналирует и не хранит исходные и обработанные данные, если иное не предусмотрено отдельным соглашением с Пользователем.

3.7. В случаях, установленных п. 3.5 Соглашения, Исполнитель прекращает обработку соответствующих ПД и уничтожает обрабатываемые по поручению Пользователя ПД способом, обеспечивающим невозможность дальнейшего восстановления содержания ПД в информационной системе ПД и (или) на носителях, их содержащих, включая удаление резервных копий. По запросу Пользователя Исполнитель предоставляет письменное подтверждение уничтожения ПД, включая выгрузку из журнала регистрации событий (логи), подтверждающую факт произведенного уничтожения, если формирование такой выгрузки технически возможно.

3.8. Пользователь несет ответственность за предварительное копирование (сохранение) своих данных, размещенных в Сервисе, до расторжения Оферты или Соглашения.

3.9. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПД, обрабатываемых по поручению Пользователя, повлекшей нарушение прав субъектов ПД, если такое событие произошло в пределах зоны ответственности Исполнителя, Исполнитель сообщает об этом Пользователю по адресу электронной почты, указанному Пользователем, в течение 24 (двадцати четырех) часов с момента выявления такого факта следующую информацию:

о произошедшем инциденте;
о предполагаемых причинах, повлекших нарушение прав субъектов ПД;
о предполагаемом вреде, нанесенном правам субъектов ПД;
о принятых мерах по устранению последствий соответствующего инцидента;
о контактном лице, уполномоченном Исполнителем на взаимодействие с Пользователем по вопросам, связанным с выявленным инцидентом.

3.10. В течение 72 (семидесяти двух) часов с момента выявления инцидента Исполнитель сообщает Пользователю о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии). В любом случае обязанность по уведомлению уполномоченного органа по защите прав субъектов ПД об инциденте безопасности ПД в рамках обработки ПД по поручению Пользователя несет Пользователь в порядке и сроки, предусмотренные ч. 3.1 ст. 21 152-ФЗ. Направление уведомления и предоставление указанных в п. 3.9 и 3.10 Соглашения информации и содействия ни при каких обстоятельствах не трактуется Сторонами как признание или подтверждение ответственности Исполнителя за соответствующее событие.

3.11. Для достижения целей обработки ПД Исполнитель вправе за свой счет привлекать к обработке ПД в порядке перепоручения третьих лиц при условии обеспечения указанными третьими лицами конфиденциальности и безопасности ПД при их обработке. Объем обязанностей, возлагаемых Исполнителем на третьих лиц, не может быть меньше объема обязанностей Исполнителя, установленного Соглашением.

3.12. Исполнитель вправе допускать своих работников, подрядчиков и иных третьих лиц к обрабатываемым ПД только тогда, когда это необходимо для исполнения поручения по Соглашению, оказания технической поддержки, обеспечения безопасности Сервиса, выполнения требований законодательства, а также в иных случаях, предусмотренных Офертой. В указанных случаях Исполнитель обеспечивает принятие соответствующих мер по обеспечению безопасности и конфиденциальности ПД, включая возложение на таких лиц обязанности соблюдать конфиденциальность.

3.13. Исполнитель подтверждает, что до начала обработки ПД по поручению Пользователя им приняты правовые, организационные и технические меры по обеспечению безопасности и конфиденциальности ПД согласно законодательству Российской Федерации о ПД.

4. Обязанности и гарантии Пользователя

4.1. Пользователь обязуется выполнять требования 152-ФЗ как оператор ПД, в том числе:

4.1.1. Получить у субъектов ПД все необходимые согласия или обеспечить наличие иных правовых оснований, требуемых для обработки ПД Исполнителем согласно настоящему поручению, а также проинформировать субъектов ПД о соответствующей обработке и о привлечении Исполнителя в качестве лица, осуществляющего обработку ПД.

4.1.2. Выполнять все необходимые требования к защите обрабатываемых ПД в рамках своей зоны ответственности, в том числе обеспечивать защиту используемых Пользователем средств доступа к Сервису (ключей API, логинов, паролей) и не допускать неправомерного доступа третьих лиц к передаваемым в Сервис данным.

4.1.3. Самостоятельно отвечать на запросы контролирующих государственных органов, касающиеся обработки и защиты ПД, в том числе предоставлять доказательства получения согласий субъектов ПД или наличия иных правовых оснований для обработки.

4.1.4. При поступлении запроса от субъекта ПД на предоставление сведений, указанных в ч. 7 ст. 14 152-ФЗ, либо иных требований субъекта самостоятельно отвечать на такие запросы и требования, в том числе удалять (уничтожать), блокировать, вносить необходимые изменения в ПД самостоятельно средствами Сервиса либо путем направления запроса Исполнителю способами, доступными в интерфейсе Сервиса и (или) описанными в документации к Сервису.

4.1.5. Уведомлять уполномоченные органы о фактах неправомерной или случайной передачи ПД в порядке и сроки, предусмотренные ч. 3.1 ст. 21 152-ФЗ, в том числе на основании уведомления Исполнителя, направленного согласно п. 3.9 Соглашения.

4.2. Пользователь гарантирует, что передача ПД Исполнителю и их последующая обработка осуществляются на законном основании, не нарушают прав субъектов ПД и требований законодательства Российской Федерации.

5. Оговорки и ограничения

5.1. Сервис не предназначен для обработки ПД, указанных в настоящем пункте Соглашения. При использовании Сервиса запрещается передавать Исполнителю:

ПД, относящиеся к специальным категориям ПД (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, а также сведения о судимости и о принадлежности к общественным объединениям или профсоюзам);
биометрические ПД, в том числе изображения лица, отпечатки пальцев, данные голоса и иные сведения, используемые для установления личности субъекта ПД на основе его физиологических и биологических особенностей;
сведения, составляющие государственную тайну, а также сведения, доступ к которым ограничен в соответствии с законодательством Российской Федерации (за исключением ПД, обработка которых допускается Соглашением);
сведения, составляющие банковскую, налоговую, врачебную, адвокатскую, нотариальную, аудиторскую и иную охраняемую законом тайну, а также инсайдерскую информацию;
ПД несовершеннолетних, если Пользователем не получены все необходимые согласия законных представителей и не соблюдены дополнительные требования законодательства;
сведения, распространение которых в Российской Федерации запрещено или ограничено, а также материалы, содержащие призывы к противоправным действиям, экстремистские материалы, иную информацию, распространение которой влечет административную или уголовную ответственность;
вредоносный код, а также данные, полученные с нарушением закона, в том числе в результате неправомерного доступа к информационным системам третьих лиц.

5.2. Исполнитель не осуществляет предварительную проверку состава и содержания передаваемых Пользователем данных и не имеет технической возможности контролировать соблюдение Пользователем ограничений, установленных п. 5.1 Соглашения. Соблюдение указанных ограничений обеспечивается Пользователем самостоятельно.

5.3. Передача Пользователем данных в нарушение п. 5.1 Соглашения означает, что Пользователь действовал за пределами поручения, предусмотренного Соглашением. Исполнитель не считается принявшим поручение на обработку таких данных и не несет ответственности за последствия такой передачи. Ответственность за такую передачу, включая последствия для субъектов ПД и требования уполномоченных органов, несет Пользователь.

5.4. При выявлении факта передачи данных в нарушение п. 5.1 Соглашения Исполнитель вправе без предварительного уведомления приостановить обработку соответствующих данных, ограничить или приостановить доступ Пользователя к Сервису полностью или частично, удалить (уничтожить) такие данные, а также отказаться от исполнения Оферты в порядке, предусмотренном Офертой.

5.5. Пользователь не вправе использовать Сервис для целей, противоречащих законодательству Российской Федерации, в том числе для профилирования субъектов ПД в целях принятия решений, влекущих для них юридические последствия, а также для формирования баз данных, создание и использование которых запрещено законом.

6. Ответственность Сторон

6.1. Пользователь как оператор ПД несет полную ответственность перед субъектами ПД за действия, осуществляемые при использовании Сервиса.

6.2. Исполнитель несет ответственность перед Пользователем в пределах, установленных Офертой, за действия в отношении обработки ПД по поручению Пользователя.

6.3. Пользователь обязуется за свой счет урегулировать любые претензии и споры (если иное не предусмотрено действующим законодательством), как внесудебные и досудебные, так и в судебном порядке, возникшие по причине нарушения Пользователем обязательств и гарантий по Соглашению, с обязательным уведомлением Исполнителя о ходе такого урегулирования и предварительным информированием Исполнителя о предполагаемых шагах для урегулирования.

6.4. В соответствии со ст. 406.1 Гражданского кодекса Российской Федерации Пользователь обязуется по требованию Исполнителя возместить имущественные потери, которые понесены или с неизбежностью будут понесены Исполнителем в будущем в связи с предъявлением Исполнителю претензий, требований, исков третьих лиц, а также привлечением Исполнителя к ответственности за нарушение установленного законом порядка обработки ПД (в том числе за неполучение согласия на такую обработку, за передачу данных в нарушение раздела 5 Соглашения), если такие претензии вызваны или ответственность наступила ввиду несоблюдения Пользователем законодательства о ПД или условий Соглашения.

6.5. Стороны договорились, что размер возмещаемых имущественных потерь Исполнителя при наступлении обстоятельств, указанных в п. 6.4 Соглашения, признается равным сумме штрафов, пеней, компенсаций и иных выплат в пользу любых третьих лиц, обязанность осуществить которые возникнет у Исполнителя (в том числе суммы убытков, которые могут быть взысканы с Исполнителя или привлеченных им третьих лиц для исполнения своих обязательств по Оферте) на основании решения суда, третейского суда или международного коммерческого арбитража (в том числе утвержденного указанными органами мирового соглашения) либо решения компетентного государственного органа, а также сумме расходов на юридические и консультационные услуги, понесенных Исполнителем для защиты своих прав и интересов в связи с наступлением указанных обстоятельств.

6.6. Стороны соглашаются и признают, что сумма и состав возмещаемых имущественных потерь Исполнителя в каждом случае являются достаточными, справедливыми, взаимоприемлемыми и соразмерными последствиям, от которых пострадал (или с неизбежностью пострадает) Исполнитель. Пользователь обязуется возместить имущественные потери Исполнителя в течение 10 (десяти) рабочих дней с момента предъявления Исполнителем соответствующего требования и копий документов, подтверждающих наличие возмещаемых потерь.

6.7. В остальном Стороны несут ответственность за неисполнение или ненадлежащее исполнение своих обязательств по Соглашению в соответствии с действующим законодательством Российской Федерации.

7. Иные условия

7.1. Соглашение действует с момента акцепта в порядке п. 1.3 и до прекращения Оферты либо до прекращения передачи Пользователем ПД Исполнителю, в зависимости от того, что наступит ранее. Положения о конфиденциальности, ответственности и уничтожении ПД сохраняют силу после прекращения Соглашения.

7.2. В части, не урегулированной Соглашением, применяются положения Оферты и законодательства Российской Федерации.