Соглашение о поручении обработки персональных данных

Версия 1.0 • 17 сентября 2026 года • Шаблон отдельного соглашения; до заполнения обработка не поручена

Сторона, определяющая цели обработки: [полное наименование, адрес, регистрационные сведения], далее «Оператор». Исполнитель поручения: [полное наименование, адрес, регистрационные сведения], далее «Обработчик». Основание полномочий подписантов: [документы]. Ссылка на основной договор: [номер].

1. Разграничение ролей

Это соглашение применяется исключительно к обработке по документированным указаниям Оператора. Если получатель самостоятельно определяет иную цель, он не вправе прикрывать её этим поручением: требуются самостоятельное основание, информирование и соответствующие обязанности оператора. Подключение к платформе не переводит автоматически все обязанности Агентства на МИРА.

Оператор обеспечивает наличие применимого основания и необходимого согласия на поручение, если иное не предусмотрено законом. Для иностранного Обработчика учитываются специальные правила ответственности перед субъектом. Договор не ограничивает права субъекта и полномочия регулятора.

2. Обязательная спецификация до начала обработки

Цель: [одна конкретная цель, например техническое ведение реестра согласованных заявок]. Категории субъектов: [представители агентства / покупатели по отдельной спецификации]. Перечень данных по каждому полю: [закрытый список]. Операции: [получение, запись, хранение, уточнение, ограниченная передача, удаление — только необходимые]. Срок поручения: [начало, окончание / событие].

Основание обработки и передачи: [норма / договор / версия отдельного согласия]. Системы и место расположения баз: [фактические адреса / страны и ответственный]. Российский первичный контур при применимости ч. 5 ст. 18 № 152-ФЗ: [подтверждённое решение]. Субобработчики: [точные наименования, задачи, страны; либо отсутствуют].

Получатели за пределами РФ: [страна, лицо, цель, поля, меры защиты, статус уведомления и ограничений]. Незаполненный список не означает разрешение на передачу любому лицу. Иностранный сервис входа проверяется как отдельный участок обработки, а не считается нейтральным техническим элементом.

3. Инструкции и ограничения

Обработчик действует только в рамках спецификации и не меняет цель, состав данных, страну обработки или субобработчиков без согласования. Незаконное либо противоречивое указание приостанавливается в затронутой части с уведомлением Оператора; отсутствие ответа не разрешает нарушение.

Запрещены собственная реклама, перепродажа, публичные кейсы, обучение моделей и обогащение сторонних баз с использованием переданных данных без отдельного законного основания. Псевдонимизация не отменяет обязанности, если лицо остаётся определимым.

4. Защита и подтверждения

Обработчик обеспечивает конфиденциальность, минимальные ролевые права, индивидуальные средства доступа, безопасную передачу и хранение, журналирование доступа и изменений, управление уязвимостями, резервирование и проверяемое удаление в объёме требований применимого закона и фактической системы. Необоснованно обещать конкретный класс защищённости без оценки нельзя.

По запросу Оператора предоставляются документы о принятых мерах и информация, необходимая для проверки соблюдения поручения, в том числе до начала обработки. Проверки согласуются так, чтобы не раскрывать чужие данные и секреты инфраструктуры. Оператор вправе приостановить обработку при существенном недостатке доказательств.

Субобработчик допускается лишь после предусмотренного спецификацией согласования с не менее строгими обязанностями. Обработчик сохраняет ответственность за исполнение своего поручения и содействие контролю.

5. Инциденты и обращения

Обработчик сообщает Оператору об обнаруженном инциденте без задержки, по договорному стандарту не позднее двенадцати часов после обнаружения. Первичное уведомление включает известные обстоятельства, категории данных, возможные последствия, уже принятые меры и контакт ответственного. Недостаток полной информации не откладывает первичное уведомление.

Стороны сохраняют доказательства, расследуют причины и помогают исполнить требования статьи 21 № 152-ФЗ в применимые сроки. Договорный стандарт не продлевает сроки, установленные законом. Уведомления субъектам и регулятору направляются надлежащим обязанным лицом.

Обращения субъектов передаются ответственному Оператору без задержки. Обработчик выполняет законные указания по доступу, исправлению, блокированию и удалению, сообщает о выполнении и не создаёт копии сверх согласованной цели.

6. Возврат, удаление и завершение

По окончании поручения данные возвращаются или удаляются по документированной инструкции, включая производные копии и резервные копии по согласованному жизненному циклу. Сроки по каждой категории: [таблица до запуска]. Доказательство удаления: [акт / журнал].

Если закон требует дальнейшего хранения, фиксируются конкретное основание, ограниченный состав, срок, доступ и режим запрета иной обработки. Не допускается бессрочное хранение «на всякий случай». Спор о платеже не даёт права удерживать данные субъекта в обход закона.

7. Ответственность и подписи

Ответственность распределяется по фактическим ролям и закону. Ограничение ответственности между Сторонами не устраняет обязанности перед субъектом или регулятором. Условия основного договора применяются, если не противоречат специальным обязанностям этого соглашения.

Оператор: [реквизиты, подпись, дата]. Обработчик: [реквизиты, подпись, дата]. Спецификация заполнена и согласована: [подписи]. До этого техническая передача не разрешена.