Поручение на обработку персональных данных

Редакция от 19 октября 2026 года. Действует с [ДАТА_ВСТУПЛЕНИЯ].

1 Стороны и назначение

Клиент, определенный в оплаченном заказе и далее именуемый Оператором, поручает Индивидуальный предприниматель Ромашенко Роман Александрович, адрес г. Санкт-Петербург, набережная Дудергофского канала, д. 4, корп. 1, кв. 428, далее Обработчику, обработку персональных данных в передаваемых закупочных документах исключительно для исполнения договора Buyora.ai. Поручение является приложением к оферте https://buyora.ai/legal/offer и действует в отношении конкретной компании Клиента и ее пространства данных.

Для собственных данных посетителей, учетных записей и расчетов Обработчик может выступать самостоятельным оператором в пределах опубликованной Политики. Настоящее поручение не предоставляет ему самостоятельной цели использовать содержимое документов Клиента.

2 Предмет и объем

Цели: извлечение данных из заявок и КП, сопоставление позиций, подготовка сравнительных таблиц, проверка пользователями, сохранение и выгрузка результатов, техническая поддержка этих операций.

Категории субъектов: работники и представители Оператора, поставщиков и иных контрагентов, ИП, сведения о которых законно содержатся в переданных материалах.

Перечень персональных данных: ФИО, должность, рабочие email и телефон, реквизиты ИП и относящиеся к указанным лицам сведения о заявках и предложениях в необходимом для задачи объеме. Паспортные сведения, личные адреса, платежные карты, специальные категории, данные несовершеннолетних и биометрия для установления личности не включаются в поручение.

Операции: получение от Оператора, запись, систематизация, накопление, хранение, уточнение по его инструкции, извлечение, использование для согласованных целей, предоставление доступа уполномоченным пользователям, передача согласованным обработчикам, блокирование, удаление и уничтожение. Обработка автоматизированная или смешанная. Распространение неопределенному кругу лиц не поручается.

Срок: период исполнения договора и согласованный срок выгрузки, с учетом более коротких законных сроков прекращения и уничтожения данных. Дополнительные сроки хранения определяются только документированной инструкцией с законным основанием.

3 Обязанности Оператора

Оператор определяет и документирует правовое основание обработки каждой категории данных, обеспечивает информирование субъектов и получение согласия на поручение обработки, если закон не предусматривает иное, а также правомерность дальнейшей передачи конкретным получателям. Оператор предоставляет подтверждение основания по обоснованному запросу и не поручает заведомо неправомерные операции.

Оператор ограничивает объем загрузки необходимыми сведениями, управляет полномочиями своих пользователей и передает инструкции через администратора пространства или согласованные контакты. Подтверждение загрузки от имени компании является инструкцией компании, а не согласием каждого субъекта данных.

4 Обязанности Обработчика

Обработчик соблюдает принципы и правила Закона № 152-ФЗ, конфиденциальность и требования части 5 статьи 18, статьи 18.1 и статьи 19 указанного закона в применимых пределах; обеспечивает обработку только по документированным правомерным инструкциям Оператора.

Обработчик по запросу Оператора в течение срока поручения, в том числе до начала обработки, предоставляет документы и информацию, подтверждающие принятие необходимых мер и соблюдение требований. Ответ предоставляется без необоснованной задержки, как правило в течение пяти рабочих дней; при законном более коротком сроке — в этот срок.

Обработчик допускает к данным только лиц, которым доступ необходим и которые связаны обязательствами конфиденциальности, разграничивает доступ, учитывает значимые действия, обеспечивает защиту передачи и хранения, восстановление и удаление в соответствии с согласованными требованиями. Фактическая конфигурация мер и размещения фиксируется в карточке обработки, доступной Оператору.

Обработчик не использует документы для рекламы, публикации, пополнения общей базы или обучения своих либо чужих моделей на самостоятельных основаниях. Такая новая цель требует отдельного согласования и самостоятельной проверки законности; общего акцепта настоящего поручения недостаточно.

При выявлении неправомерной инструкции Обработчик уведомляет Оператора и приостанавливает соответствующие действия до устранения нарушения. Такое уведомление не снимает собственных обязанностей Обработчика, установленных законом.

5 Привлечение иных обработчиков и иностранные получатели

Оператор разрешает привлекать только конкретных получателей, указанных в принятой им версии реестра https://buyora.ai/legal/ai-processors и карточке выбранного маршрута. В карточке указываются юридическое наименование, адрес и контакты получателя, роль, страны обработки, хранения и удаленного доступа, категории данных, цели, операции, сроки, условия удаления, обучения и дальнейшей передачи.

Обработчик обеспечивает договорные обязательства каждого привлеченного лица, соответствующие настоящему поручению и требованиям закона, и предоставляет подтверждение их наличия. Если условия зарубежного провайдера не позволяют обеспечить требуемый режим, такой маршрут для персональных данных не применяется. Самостоятельное обучение или иные независимые цели провайдера не считаются обработкой в рамках настоящего поручения.

Изменение получателя, страны или существенных параметров доводится до Оператора до начала новой передачи; при необходимости обеспечиваются новые согласия и уведомления. При несогласии Оператора соответствующая обработка прекращается, предлагаются правомерный иной маршрут либо прекращение затронутой услуги с расчетом непредоставленной части.

Трансграничная передача производится только после выполнения обязанностей по статье 12 Закона № 152-ФЗ соответствующими участниками. В уведомлениях и оценке защиты отражается фактическая цепочка, включая шлюз и конечный LLM-провайдер. Распределение действий между сторонами фиксируется в карточке; нельзя считать, что уведомление одной стороны автоматически освобождает другую от собственных обязанностей.

6 Обращения субъектов и инциденты

Обработчик помогает Оператору отвечать на запросы субъектов, уточнять, блокировать и уничтожать данные в законные сроки. Полученное напрямую обращение направляется Оператору не позднее следующего рабочего дня, если иной срок не требуется законом. Обработчик не препятствует самостоятельному осуществлению субъектом своих прав.

Об установленном факте неправомерной или случайной передачи, распространения или доступа, повлекшем нарушение прав субъектов, Обработчик сообщает Оператору без неоправданной задержки, но не позднее шести часов после выявления. Сообщение включает известные обстоятельства, затронутые категории и объем, предполагаемые последствия, принятые меры и контакт ответственного. Неполнота первоначальных сведений не задерживает сообщение; дополнения передаются по мере установления.

Для исполнения обязанностей Оператора Обработчик предоставляет материалы расследования и сведения о виновных лицах при наличии. Законные сроки уведомления Роскомнадзора, включая 24 и 72 часа по части 3.1 статьи 21, исчисляются с момента, установленного законом; договорный обмен не продлевает их. Собственные обязанности сторон исполняются каждой стороной самостоятельно.

7 Завершение и уничтожение

По окончании поручения Обработчик предоставляет согласованную выгрузку и прекращает дальнейшую обработку. Данные в основной системе и резервных копиях удаляются в пределах законных сроков; сторонним обработчикам направляются соответствующие инструкции. Сохранение отдельных сведений допускается только по самостоятельному законному основанию с ограничением доступа и цели.

Обработчик предоставляет подтверждение уничтожения, включая акт и применимую выгрузку из журнала регистрации событий, в соответствии с приказом Роскомнадзора от 28.10.2022 № 179. При технической невозможности удаления в установленный срок применяется блокирование и процедура части 6 статьи 21 Закона № 152-ФЗ; причина и сроки сообщаются Оператору.

8 Ответственность и контакты

Ответственность перед субъектом и между участниками определяется частями 5 и 6 статьи 6 Закона № 152-ФЗ и иными применимыми нормами. Настоящее поручение не устраняет ответственность Обработчика за собственные нарушения и не переносит все риски на Оператора.

Оператор и его уполномоченное лицо определены в заказе. Контакт Обработчика по данным: info@buyora.ai. Контакт по инцидентам: info@buyora.ai; оперативный телефон [ТЕЛЕФОН_ИНЦИДЕНТЫ]. Идентификатор принятой версии реестра и маршрута: [ВЕРСИЯ_РЕЕСТРА_И_МАРШРУТА].