Поручение обработки персональных данных (DPA)

Поручение на обработку персональных данных (DPA)

Редакция: 1.0 Дата вступления в силу: дата отдельного акцепта Заказчиком

Настоящее Поручение является частью договора с Верента, когда Заказчик загружает документы, импортирует данные, использует API либо иным образом передаёт Верента персональные данные третьих лиц.

1. Стороны и роли

1. Оператор/Заказчик — клиент Верента, который определяет цели и состав передаваемых персональных данных и имеет правовое основание для их обработки.
2. Обработчик/Исполнитель — ИП Калинин Евгений Николаевич, ИНН 362003957976, ОГРНИП 326366800030941, адрес: Воронежская область, Павловский район, село Елизаветовка, улица 50 лет Победы, дом 41.
3. Верента самостоятельно является оператором данных собственных пользователей и данных, обрабатываемых для публичной аналитики на самостоятельном правовом основании. Настоящее Поручение на такие данные не распространяется.
4. Лицо, принимающее Поручение от имени Заказчика, подтверждает полномочия выдать его.
5. Заказчиком по настоящему DPA не может быть физическое лицо, передающее данные третьих лиц исключительно для личных, семейных или домашних нужд.

2. Предмет и инструкции

1. Заказчик поручает Обработчику обрабатывать переданные данные только для предоставления функций Верента, выбранных Заказчиком.
2. Документированными инструкциями являются настоящий DPA, условия заказа, настройки кабинета, действия уполномоченных пользователей и законные письменные обращения Заказчика.
3. Если инструкция, по мнению Обработчика, нарушает закон или настоящее DPA, Обработчик вправе приостановить её исполнение, уведомить Заказчика и запросить уточнение.
4. В части обработки персональных данных по поручению настоящее DPA имеет приоритет перед общими условиями договора.

3. Субъекты и персональные данные

Могут обрабатываться обычные персональные данные:

Субъекты	Возможные данные
Работники и представители Заказчика	ФИО, должность, рабочие контакты, роль, сведения о полномочиях
Контрагенты и их представители	ФИО, ИНН ИП/самозанятого, должность, контакты, сведения договоров и переписки
Иные лица в документах Заказчика	Обычные ПД, законно включённые Заказчиком в анализируемый документ

Не допускаются специальные категории ПД, биометрические ПД, сведения о судимости, государственная тайна, медицинские документы, данные несовершеннолетних, паспортные данные и СНИЛС. Если Заказчику необходима обработка таких данных, она допускается только после отдельного письменного согласования, оценки оснований, изменения уведомлений и технического режима.

При случайном обнаружении запрещённых данных Обработчик вправе остановить обработку, изолировать или удалить соответствующий документ и уведомить Заказчика. Такие действия не означают согласование регулярной обработки запрещённых данных.

4. Цели обработки

Обработчик вправе обрабатывать данные только для:

1. приёма, временного хранения, извлечения текста и автоматизированного анализа документов;
2. подготовки факторов риска, объяснений и альтернативных формулировок;
3. выполнения импорта, мониторинга, отчёта или API-запроса Заказчика;
4. предоставления результата уполномоченным пользователям Заказчика;
5. обеспечения безопасности, учёта использования и исполнения запросов Заказчика.

Использование данных для рекламы, продажи, обучения моделей или пополнения общей базы знаний без отдельного основания запрещено.

5. Перечень действий

Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа уполномоченным пользователям Заказчика, блокирование, удаление, уничтожение и обезличивание, если это требуется для исполнения поручения.

6. Обязанности Заказчика

Заказчик обязан:

1. определить законные цели, объём и сроки обработки;
2. иметь согласия субъектов либо иные законные основания для обработки и поручения;
3. информировать субъектов о привлечении Обработчика, когда это требуется;
4. передавать только необходимые данные и соблюдать запреты раздела 3;
5. обрабатывать запросы субъектов и направлять Обработчику конкретные инструкции;
6. не поручать действия, противоречащие закону.

Заказчик отвечает за правомерность сбора и передачи данных, а также за свои инструкции.

7. Обязанности Обработчика

Обработчик обязуется:

1. обрабатывать данные только по документированным инструкциям и соблюдать конфиденциальность;
2. выполнять применимые требования статьи 18.1, части 5 статьи 18 и статьи 19 152-ФЗ;
3. принимать необходимые организационные и технические меры защиты;
4. по запросу предоставлять документы и сведения, подтверждающие принятые меры;
5. содействовать Заказчику в рассмотрении запросов субъектов и инцидентов;
6. не раскрывать данные третьим лицам, кроме утверждённых субобработчиков и случаев, установленных законом;
7. после прекращения поручения удалить или вернуть данные в предусмотренном настоящим DPA порядке;
8. без неоправданной задержки сообщить Заказчику, если запрос субъекта, государственного органа или иное обстоятельство требует его участия.

8. Субобработчики и место обработки

1. Принимая DPA, Заказчик разрешает привлечение для размещения инфраструктуры ООО «Таймвеб», ИНН 7810945525, ОГРН 1227800052215. Данные размещаются в Российской Федерации.
2. AI/LLM, embeddings, reranking и OCR выполняются на узлах, контролируемых Обработчиком и расположенных в Российской Федерации. Удалённый узел не считается внешним SaaS AI-провайдером, если он находится под контролем Обработчика и не принадлежит самостоятельному лицу, получающему доступ к данным. Любое самостоятельное лицо с доступом к данным должно быть оформлено как субобработчик до начала обработки.
3. Документы Заказчика не передаются Яндекс Метрике, платёжному провайдеру или поставщикам рекламных сообщений.
4. Заказчик разрешает привлечение новых субобработчиков после их проверки и уведомления Заказчика не менее чем за 30 календарных дней. Если в этот срок поступившее обоснованное возражение нельзя устранить, Заказчик вправе прекратить затронутую функцию либо соответствующую часть договора до начала доступа нового субобработчика. За неиспользованный предоплаченный период затронутой функции производится пропорциональный возврат, если Обработчик не предложил равноценную замену без нового субобработчика.
5. Трансграничная передача по поручению не осуществляется.

9. Безопасность

Обработчик применяет разграничение доступа и изоляцию клиентских контуров, журналирование, защищённые каналы, контроль инцидентов, резервное копирование и шифрование исходных пользовательских документов при хранении. Доступ предоставляется только лицам, которым он необходим для исполнения обязанностей.

10. Сроки хранения и удаление

1. Исходный файл и канонический текст хранятся до 72 часов неактивности, но не более 14 дней.
2. Кэш фрагментов хранится до 24 часов.
3. Производные текстовые результаты, включая объяснения, предлагаемые формулировки, последствия, резюме, сведения о сторонах и фрагменты доказательств, могут храниться до 365 дней для предоставления оплаченного результата, если Заказчик не запросил удаление ранее.
4. По инструкции Заказчика исходный документ ставится на немедленное удаление, а связанные текстовые результаты уничтожаются после технического льготного периода до 7 дней. Обезличенные и необходимые для биллинга записи могут сохраняться. Льготный период не применяется, если закон либо инструкция об устранении неправомерной обработки требует более короткого срока.
5. Данные в резервных копиях удаляются по документированному циклу ротации, не используются для обычной обработки и после восстановления повторно подпадают под действующие инструкции удаления.
6. До прекращения договора Заказчик вправе выгрузить доступные ему результаты штатными средствами Сервиса. После прекращения поручения Обработчик блокирует обычный доступ и удаляет данные поручения не позднее 30 календарных дней, кроме данных, которые закон требует сохранить, и резервных копий, удаляемых по циклу ротации.
7. Прекращение автопродления само по себе не прекращает поручение до окончания оплаченного периода.
8. Экспортируемые PDF, CSV и DOCX формируются по запросу и не хранятся как отдельные постоянные файлы на стороне Обработчика. После скачивания Заказчик самостоятельно определяет срок хранения копии.

11. Запросы субъектов

Обработчик не отвечает субъекту вместо Заказчика по данным поручения, если закон не требует иного. Получив обращение, Обработчик перенаправляет его Заказчику и по конкретной инструкции содействует поиску, блокированию, выгрузке или удалению данных.

12. Инциденты

1. Обработчик уведомляет Заказчика о выявленном инциденте, затрагивающем данные поручения, незамедлительно, но в любом случае не позднее 12 часов с момента выявления.
2. Уведомление содержит известные на момент направления сведения о характере инцидента, категориях данных и субъектов, возможных последствиях и принятых мерах.
3. Обработчик предоставляет доступные сведения, необходимые Заказчику для первичного уведомления Роскомнадзора в течение 24 часов, и последующие результаты внутреннего расследования в срок, позволяющий Заказчику направить итоговое уведомление в течение 72 часов с момента выявления инцидента. Обработчик продолжает предоставлять обновления и содействует Заказчику в исполнении его обязанностей перед Роскомнадзором и субъектами.

13. Проверка исполнения

Не чаще одного раза в год и дополнительно после существенного инцидента Заказчик вправе запросить разумно необходимые подтверждения исполнения DPA. Проверка не должна раскрывать данные других клиентов, секреты безопасности и коммерческую тайну. Очная проверка проводится по отдельному соглашению сторон и за счёт Заказчика, кроме случая, когда она выявила существенное нарушение Обработчика.

14. Ответственность и срок

1. Каждая сторона отвечает за свою зону обязанностей. Обработчик не отвечает за незаконные цели, отсутствие оснований или избыточные инструкции Заказчика.
2. DPA действует с момента акцепта до удаления данных поручения и завершения обязательств, сохраняющихся после прекращения договора.
3. Ограничения ответственности, установленные Офертой или индивидуальным договором, применяются к DPA, если иное не предусмотрено законом или прямо не согласовано сторонами.
4. Вопросы направляются на support@verenta.ru.