Поручение на обработку персональных данных

Проект от 7 октября 2026 года. Не является действующим договором и не вводит согласия пользователей. Предназначен для согласования модели MJournal как сервиса для независимых компаний. Перед активацией необходимо заполнить условия раздела 10, согласовать документ с основным соглашением и проверить его у юриста по персональным данным.

1. Стороны и роли

Заказчик, указанный при заключении соглашения об использовании MJournal, выступает оператором персональных данных, которые он размещает в своём пространстве сервиса. Далее он именуется «Оператор».

Гражданин Серов Иван Михайлович, ИНН 330646301793, контакт для обращений i@shark77545.ru, осуществляет обработку этих данных по поручению Оператора. Далее он именуется «Обработчик». В проекте он указан как физическое лицо. До активации необходимо подтвердить соответствие этой модели фактической деятельности и указать почтовый адрес для юридически значимых сообщений.

Каждый заказчик заключает собственное соглашение. Само создание пространства, роль администратора в программе или совпадение сотрудника заказчика с владельцем сервиса не объединяют юридические роли сторон.

2. Предмет и пределы поручения

Поручение является приложением к соглашению об использовании MJournal. Оператор поручает Обработчику выполнять необходимые операции для предоставления выбранных функций: учёта работ и времени, планирования, управления доступом, подготовки и согласования рабочих документов.

Субъекты данных: работники и уполномоченные представители Оператора, а также иные лица только в пределах согласованной цели и при наличии правового основания. Для каждой включённой функции состав данных определяется приложением к поручению и настройками Оператора.

Предлагаемый базовый состав: ФИО, рабочие контакты, организация, отдел, должность, идентификаторы учётной записи, сведения о задачах, трудозатратах и согласованиях. Даты рождения и вложения включаются только при определении необходимости и основания. Зарплаты и премии вводятся по решению Оператора для анализа затрат и сравнения вариантов отпуска; сервис не рассчитывает налоги и не заменяет бухгалтерский или кадровый учёт. Такие суммы, связанные с конкретным работником, остаются персональными данными.

Аватар необязателен: допускается изображение, не являющееся фотографией работника, при соблюдении прав на него. Изображение подписи используется для подготовки документов; само по себе оно не является квалифицированной электронной подписью. Сервис не заменяет обязательный документооборот работодателя, а правовое значение конкретного документа определяется законом и применимыми соглашениями.

Больничный отражается статусом и периодом отсутствия, без диагноза, причины и номера медицинского документа. Даже такая отметка может раскрывать сведения о здоровье: до использования Оператор определяет применимое основание и ограничивает доступ с учётом правил о специальных категориях данных. Этот проект не разрешает произвольную загрузку медицинских документов или избыточных данных.

Операции в пределах выбранных функций: получение, запись, систематизация, накопление, хранение, уточнение, извлечение, использование для выполнения команд Оператора, предоставление доступа уполномоченным им пользователям, блокирование, удаление и уничтожение. Распространение данных неограниченному кругу лиц не поручается.

3. Обязанности Оператора

• Определять цели, необходимый состав, сроки обработки и круг уполномоченных пользователей; обеспечивать законность получения и передачи данных Обработчику.
• Самостоятельно получать необходимые согласия, информировать субъектов и выполнять собственные обязанности по уведомлению Роскомнадзора. Если согласие не требуется, иметь другое применимое законное основание.
• Обеспечивать полномочия представителя, заключающего соглашение, и пользователей, действующих в пространстве заказчика. Не размещать данные другого работодателя только на основании технического доступа.
• Поддерживать актуальность прав доступа, прекращать доступ уволенных и иных утративших полномочия лиц, сообщать об ошибочных назначениях прав и подозрительных действиях.
• По обоснованному запросу предоставлять необходимые подтверждения полномочий и оснований обработки в минимальном достаточном объёме.

4. Обязанности Обработчика

• Соблюдать цели и пределы поручения, конфиденциальность, принципы и правила обработки; не использовать клиентские данные для собственных несовместимых целей.
• Принимать применимые организационные и технические меры защиты, разграничивать доступ, обеспечивать изоляцию клиентских пространств и ограничивать технический доступ задачами обслуживания.
• Соблюдать требования к локализации и безопасности данных, предусмотренные частью 5 статьи 18, статьями 18.1 и 19 закона № 152-ФЗ.
• По запросу Оператора, в том числе до начала обработки, предоставлять документы и сведения, подтверждающие принятие необходимых мер, без раскрытия секретов доступа и данных других заказчиков.
• Помогать Оператору выполнять законные запросы субъектов: искать, уточнять, блокировать, выгружать и уничтожать данные в пределах поручения и фактических полномочий.
• Обеспечивать согласованный порядок возврата и удаления данных после прекращения поручения; не объявлять простое закрытие аккаунта физическим уничтожением всех копий.

5. Подрядчики и интеграции

Разрешённые инфраструктурные подрядчики, места размещения баз и резервных копий, а также условия их привлечения указываются в приложении. Привлечение подрядчика не снимает с Обработчика его обязательств перед Оператором. До активации нужно подтвердить юридическую сторону договора Yandex Cloud, допустимость использования инфраструктуры по этому поручению и расположение всех копий.

Подключение мессенджера, внешней модели или иной интеграции не означает согласия на передачу любых данных любому получателю. Для каждой интеграции устанавливаются получатель, состав передаваемых сведений, цель, условия подключения и применимость требований о трансграничной передаче.

6. Инциденты и обращения

Обращения направляются на i@shark77545.ru. Ответ по обычному обращению предоставляется в течение трёх рабочих дней с момента получения. Если для соответствующего требования закон устанавливает более короткий срок или специальный порядок, применяются они. Срок ответа не является обещанием устранить любую неисправность за три дня.

Сообщения об инцидентах безопасности рассматриваются отдельно от обычных обращений. Обработчик без неоправданной задержки после обнаружения уведомляет Оператора по указанной им контактной электронной почте об инциденте, затрагивающем его данные, не ожидая завершения расследования и не применяя срок в три рабочих дня. Первичное сообщение содержит известные обстоятельства, затронутые данные и принятые меры; уточнения направляются по мере установления фактов. До активации необходимо обеспечить мониторинг этого канала и согласовать предельный срок первичного сообщения, позволяющий Оператору исполнить обязанности по статье 21 закона № 152-ФЗ.

Обработчик передаёт Оператору обращения, относящиеся к данным его работников, и оказывает необходимую помощь. Это не исключает исполнения собственных прямых обязанностей Обработчика перед субъектами и уполномоченными органами, если такие обязанности установлены законом.

7. Срок и прекращение

Уполномоченный представитель Оператора направляет уведомление об уходе из сервиса на i@shark77545.ru. Стороны подтверждают полномочия отправителя и дату прекращения использования. Предлагаемый срок завершения обработки — 30 календарных дней после этой даты: в этот период Обработчик подготавливает выгрузку всех сформированных заявлений работников Оператора и передаёт её уполномоченному получателю защищённым способом, согласованным по электронной почте. Дополнительного обязательного срока предварительного уведомления в 30 дней этот проект не устанавливает.

Не позднее окончания указанного периода данные подлежат удалению, если закон не требует более короткого срока или не устанавливает отдельного основания для сохранения конкретных сведений. Отсутствие запроса на выгрузку не продлевает хранение бессрочно. До активации необходимо проверить полноту выгрузки, уничтожение данных в рабочей базе, файлах и резервных копиях и порядок подтверждения удаления. Автоматическое исполнение этих операций пока не объявляется реализованным; истечение 30 дней само по себе не прекращает обязанности по защите оставшихся копий.

При восстановлении резервной копии ранее исполненные требования об удалении и ограничении обработки должны применяться повторно. Обязательное хранение документов самим работодателем не переносится автоматически на Обработчика.

8. Ответственность

Оператор отвечает за законность поручения, загружаемых данных, выбранные им цели и действия уполномоченных пользователей. Обработчик отвечает перед Оператором за исполнение поручения и собственные нарушения. Распределение договорных обязанностей не отменяет ответственность, установленную законом, и права субъектов данных.

Раскрытие пользователем пароля или инцидент у облачного подрядчика не означают автоматически, что причиной является нарушение Обработчика. Обстоятельства, принятые меры, причинная связь и ответственность оцениваются по закону и договору. При этом такие события не освобождают Обработчика от защиты приложения и доступов в пределах его обязанностей, реагирования на инцидент и своевременного уведомления Оператора.

Обработчик не проводит предварительную юридическую экспертизу каждого загружаемого документа и не гарантирует законность действий Оператора. Вместе с тем при достоверных признаках нарушения он вправе запросить объяснение и ограничить затронутую обработку соразмерно риску и условиям соглашения. Заверения Оператора не разрешают Обработчику заведомо неправомерную обработку.

9. Заключение онлайн и самостоятельные цели

Поручение принимается вместе с определённой редакцией соглашения лицом, уполномоченным действовать от имени Оператора. Сервис должен сохранять неизменную копию принятых документов, сведения о заказчике и представителе, редакцию, дату и способ подтверждения принятия. Простая отметка о прочтении политики или вход обычного сотрудника не заменяют заключение договора с заказчиком.

В отношении данных, которые владелец сервиса обрабатывает для собственных целей — например, ведения отношений с заказчиками и ответов на обращения, — его роль и обязанности определяются отдельно. Поручение заказчика не освобождает его от собственных обязанностей оператора, включая уведомление Роскомнадзора, когда оно требуется.

10. Условия, требующие подтверждения до активации

1. Почтовый адрес стороны договора и правовая оценка соответствия статуса физического лица фактической деятельности владельца. Электронная почта и срок ответа по обычным обращениям определены в разделе 6.
2. Основания обработки и фактические ограничения доступа для согласованного в разделе 2 состава данных, особенно отметок о больничном. Решение организации включить функцию само по себе не заменяет законное основание.
3. Фактические подрядчики и размещение всех данных и копий; условия внешних интеграций.
4. Проверка исполнения 30-дневного порядка из раздела 7, включая выгрузку заявлений и все резервные копии; организация срочных уведомлений об инцидентах по разделу 6.
5. Подтверждаемые меры защиты и механизм фиксации онлайн-принятия документов. До их внедрения этот проект не объявляется действующим поручением.