Поручение на обработку клиентской базы

1. Назначение и роли

Это поручение является частью договора между Клиентом и ИП Gruzovozi. Оно применяется, когда CRM обрабатывает по указанию Клиента персональные данные его сотрудников, водителей, заказчиков, перевозчиков, представителей контрагентов и других лиц.

Клиент является собственником и (или) оператором данных в смысле применимого законодательства и определяет цель, состав, срок и права доступа. ИП Gruzovozi является третьим лицом и техническим оператором, действующим по документированным указаниям Клиента.

2. Предмет, срок и характер обработки

Обработка выполняется в течение действия доступа к CRM и ограниченного периода выгрузки после закрытия. Технические операции могут включать получение, запись, систематизацию, хранение, поиск, отображение, изменение по команде пользователя, формирование документов, резервное копирование, экспорт, ограничение и удаление.

Цель — работа функций CRM, которые выбрал Клиент: заявки, расчёты, рейсы, транспорт, водители, склад, документы, платежи, задачи, отчёты, помощник и приглашение пользователей.

3. Категории лиц и данных

Клиент не поручает обработку биометрических, медицинских данных, данных о судимости, ключей электронной подписи или иной специальной тайны, если такая функция прямо не согласована отдельным документом.

4. Указания Клиента

Настройки, действия уполномоченных пользователей, импорт, выбранные интеграции и письменные обращения владельца компании считаются документированными указаниями в пределах договора. Оператор не обязан выполнять указание, которое очевидно нарушает закон или безопасность других компаний; он сообщает Клиенту причину отказа.

5. Обязанности Клиента

• иметь законное основание для сбора и передачи данных;
• предоставлять субъектам необходимую информацию и получать согласия;
• загружать только необходимые и достоверные сведения;
• выдавать минимальные права сотрудникам и своевременно их отзывать;
• не передавать пароли и секреты через обычные поля, чат или поддержку;
• самостоятельно определять обязательные сроки хранения своих деловых документов;
• отвечать на обращения субъектов, а при необходимости поручать Оператору техническое содействие.

6. Обязанности Оператора

• обрабатывать клиентские данные только для предоставления CRM и по указаниям Клиента;
• не продавать и не использовать базу в собственных коммерческих целях;
• обеспечить конфиденциальность сотрудников и подрядчиков с доступом;
• применять меры безопасности из приложения к этому поручению;
• помогать с доступом, исправлением, экспортом, ограничением и удалением;
• уведомлять об инцидентах и новых поставщиках обработки;
• после прекращения договора вернуть данные через экспорт и удалить их по установленному графику.

7. Техническая изоляция

• отдельный каталог данных на компанию;
• отдельный ключ данных, защищённый мастер-ключом установки;
• конфигурация и мастер-ключ вне публичного каталога сайта;
• серверная проверка прав на каждое защищённое действие;
• закрытие старых сессий при архивировании компании;
• изоляционные тесты двух компаний и проверка намеренно снятой защиты.

8. Доступ сотрудников Оператора

Постоянный просмотр клиентской базы сотрудниками Оператора запрещён. Для поддержки сначала используются обезличенные сведения, код ошибки и технический журнал. Просмотр содержимого допускается только по отдельному разрешению владельца с указанной целью и сроком.

Действия поддержки фиксируются. Неотложный доступ без предварительного разрешения допустим только для прекращения активной атаки, утечки или разрушения данных; Клиент уведомляется без неоправданной задержки.

9. Поставщики обработки

Оператор вправе привлечь хостинг, доставку служебной почты, резервное копирование или модель ИИ только после проверки условий, ограничения цели и включения поставщика в публичный реестр. Поставщик получает минимальный объём и связан обязанностями не слабее применимых положений этого поручения.

О плановом новом поставщике, который получает клиентские персональные данные, Клиент уведомляется не менее чем за 30 календарных дней. Клиент может обоснованно возразить; стороны ищут вариант без этого поставщика или прекращают затронутую функцию.

10. Место обработки и трансграничная передача

Основная база персональных данных хранится на территории Республики Казахстан. Трансграничная передача не входит в общее поручение. Она допускается только для отдельно включённой функции после раскрытия страны, поставщика, цели, категории данных и законного основания.

11. Инциденты

Оператор сообщает Клиенту о подтверждённом нарушении безопасности клиентской базы не позднее 24 часов после подтверждения. Первое сообщение может быть предварительным и содержит известные категории данных, вероятные последствия, принятые меры и контакт для связи. По мере расследования сведения дополняются.

Клиент отвечает за обязательные уведомления субъектов и государственных органов, если закон не возлагает эту обязанность непосредственно на Оператора. Оператор предоставляет доступные технические сведения.

12. Запросы субъектов

Если человек обращается к Оператору по поводу записи в клиентской базе, Оператор направляет запрос Клиенту, если это не запрещено законом. По команде Клиента Оператор предоставляет техническую возможность найти, исправить, ограничить, экспортировать или удалить запись.

13. Проверка соблюдения

Не чаще одного раза в год Клиент может запросить описание мер, результаты относящихся к сервису тестов и перечень поставщиков. Проверка не должна раскрывать данные других компаний, секреты защиты или создавать угрозу сервису.

Очная независимая проверка согласуется заранее, проводится квалифицированным проверяющим под обязательством конфиденциальности и обычно оплачивается Клиентом, кроме случая подтверждённого существенного нарушения Оператора.

14. Возврат и удаление

Владелец компании может получить потоковую выгрузку с манифестом и контрольными суммами. Пароли, сессии, мастер-ключи и сведения других компаний не выгружаются.

После закрытия доступ прекращается сразу, повторная выгрузка доступна 30 дней, рабочая база затем удаляется или обезличивается. Резервные копии очищаются не позднее 90 дней. Исключение — данные, которые должны сохраняться по закону; они блокируются для обычного использования.

15. Приложение: минимальные меры безопасности

16. Контакты