Приложение № 2. Поручение на обработку персональных данных

Редакция 31 августа 2026 г.

Поручение на обработку персональных данных

Приложение № 2 к оферте «Помощник РОПа»

Поручение на обработку персональных данных

(приложение № 2 к Оферте ИП Балахнина М. В. о предоставлении доступа к сервису «Помощник РОПа»; акцептуется Оператором одновременно с акцептом Оферты)

г. […] · «__» ________ 2026 г.

Оператор: […] (наименование, ОГРН/ИНН, адрес) — далее «Оператор», в лице […], действующего на основании […].

Обработчик: […] (наше юрлицо: наименование, ОГРН/ИНН, адрес) — далее «Обработчик», в лице […], действующего на основании […].

Оператор поручает, а Обработчик принимает на себя обработку персональных данных на условиях настоящего Поручения, в соответствии с ч.3 ст.6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Предмет

1.1. Обработчик обрабатывает персональные данные, оператором которых является Оператор, по поручению и в интересах Оператора, исключительно в целях, указанных в разделе 3.

1.2. Оператор остаётся оператором персональных данных и несёт ответственность перед субъектами; Обработчик несёт ответственность перед Оператором за соблюдение настоящего Поручения (ч.3 ст.6).

1.3. Согласие субъектов на передачу данных Обработчику обеспечивает Оператор; отдельного согласия на поручение не требуется, если обработка ведётся в целях исполнения договора с субъектом.

1.4. Если Оператор получает от субъектов согласие в письменной форме, оно обязано содержать наименование (Ф.И.О.) и адрес Обработчика как лица, осуществляющего обработку по поручению (ч.4 ст.9 152-ФЗ). Реквизиты Обработчика для указания — раздел 9. Обеспечение этого условия — обязанность Оператора.

2. Перечень персональных данных

Обработчик обрабатывает следующие категории ПДн клиентов и контрагентов Оператора, содержащиеся в CRM-системе Оператора (Bitrix24):

  • фамилия, имя, отчество;
  • номера телефонов;
  • адреса электронной почты;
  • содержание деловой переписки (письма, сообщения открытых линий, комментарии);
  • должность и место работы, наименование организации;
  • идентификаторы записей в CRM Оператора (сделок, лидов, контактов, компаний, задач) и идентификаторы пользователей;
  • содержание комментариев и сведения о сделках;
  • метаданные телефонных вызовов (дата, время, длительность, направление, номер);
  • идентификаторы в мессенджерах — если Оператор настроил доставку отчётов в мессенджер;
  • аудиозаписи и текстовые расшифровки телефонных разговоров сотрудников Оператора с клиентами, а также результаты их автоматического анализа.

Запись голоса обрабатывается исключительно для контроля качества и аналитики продаж (разбор содержания разговора) и не используется для установления личности — то есть не является биометрическими персональными данными в смысле ст.11 152-ФЗ.

3. Цели и перечень действий (операций)

3.1. Цель: аналитика работы отдела продаж Оператора (оценка качества звонков, выявление возражений, контроль воронки и конверсий, формирование отчётов руководителю).

3.2. Действия, которые Обработчик вправе совершать: сбор (получение, чтение) данных из CRM Оператора, запись, систематизация, накопление, хранение, извлечение, использование, транскрибация аудиозаписей, автоматический анализ содержания, изменение (маскирование контактных данных в текстах), предоставление доступа привлечённым лицам в пределах раздела 3-бис, формирование аналитических отчётов и их передача уполномоченным сотрудникам Оператора, создание задачи в CRM Оператора по прямому действию его пользователя (п. 3.3), блокирование, удаление (уничтожение).

3.3. Доступ Обработчика к CRM Оператора — на чтение, за исключением создания задач (дел), выполняемого исключительно по прямому действию пользователя Оператора в интерфейсе Сервиса. Иных операций записи Обработчик не выполняет; данные в системе Оператора не изменяет и не удаляет. Операции создания задач фиксируются Обработчиком в журнале с возможностью отмены.

3.4. Обработчик не вправе обрабатывать данные в иных целях и не передаёт их третьим лицам, кроме случаев, прямо предусмотренных законом или письменным указанием Оператора.

3-бис. Привлекаемые лица (субобработчики)

3-бис.1. Для автоматического анализа содержания разговоров Обработчик привлекает ООО «1С-Битрикс» (сервис VibeCode / Bitrix24 AI) — при обработке текст расшифровки передаётся в этот сервис. Данное привлечение осуществляется только с письменного согласия Оператора (одного поручения недостаточно — ч.3 ст.6): Оператор, подписывая настоящее Поручение, даёт согласие на указанного субобработчика (либо отказывает, и тогда соответствующая обработка не выполняется). 3-бис.2. К обработке привлекаются также хостинг-провайдер продуктивного контура и провайдер площадки резервного копирования; актуальный перечень привлечённых лиц с указанием их наименования и территории размещения ведётся приложением к настоящему Поручению.

3-бис.3. Транскрибация аудиозаписей осуществляется программными средствами Обработчика на вычислительных мощностях дата-центров, расположенных на территории Российской Федерации (г. Москва), без привлечения сторонних облачных сервисов распознавания речи.

3-бис.4. Иные привлечённые лица допускаются к обработке только с предварительного письменного согласия Оператора.

4. Конфиденциальность

4.1. Обработчик обеспечивает конфиденциальность персональных данных и не раскрывает их третьим лицам без письменного согласия Оператора.

4.2. Обязанность конфиденциальности сохраняется и после прекращения настоящего Поручения.

4.3. Работники Обработчика, имеющие доступ к данным, предупреждены о конфиденциальности и несут соответствующие обязательства.

5. Требования к защите (ст. 19 152-ФЗ) — принимаемые меры

Обработчик применяет организационные и технические меры (проверяемы, не декларативны):

  • доступ к CRM Оператора — только на чтение (программный запрет записи на уровне кода);
  • маскирование номеров телефонов, адресов электронной почты и номеров карт в текстовых расшифровках при их сохранении;
  • разграничение доступа: ролевая модель и построчная изоляция — сотрудник видит только свои записи, Оператор — только свои данные, доступ к голосовым записям аудируется;
  • ограниченный срок хранения расшифровок (90 дней), после чего сырой текст вычищается;
  • защищённое хранение ключей доступа и токенов (в зашифрованном виде, не в открытом);
  • ссылки на записи звонков с токеном авторизации не логируются и не передаются в клиентский код без необходимости (при схеме прослушивания записи напрямую из портала Оператора);
  • уведомление Оператора о выявленных инцидентах, затрагивающих его данные, без необоснованной задержки.

5-бис. Уведомление об инцидентах и подтверждение мер

5-бис.1. Обработчик уведомляет Оператора о выявленном инциденте, повлёкшем неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, не позднее 12 часов с момента обнаружения, с указанием известных обстоятельств, категорий и предполагаемого объёма затронутых данных, и оказывает Оператору содействие в исполнении его обязанности, предусмотренной ч. 3.1 ст. 21 152-ФЗ. 5-бис.2. По письменному запросу Оператора Обработчик в течение 10 рабочих дней предоставляет сведения и документы, подтверждающие применение мер по обеспечению безопасности персональных данных (ст. 19 152-ФЗ) и соблюдение условий настоящего Поручения.

6. Локализация и трансграничная передача (ч.5 ст.18, ст.12 152-ФЗ)

6.1. Обработчик обязуется осуществлять запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, расположенных на территории Российской Федерации (ч.5 ст.18). Требование распространяется в том числе на текстовые расшифровки, результаты автоматического анализа и резервные копии.

6.2. Обработчик не осуществляет трансграничную передачу персональных данных. Обработчик не привлекает третьих лиц (субобработчиков) к обработке без предварительного письменного согласия Оператора.

При использовании сторонних сервисов (включая сервисы автоматической расшифровки и анализа) Обработчик обеспечивает соблюдение требований настоящего раздела либо получает согласие Оператора с раскрытием такого сервиса.

6.3. По запросу Оператора Обработчик предоставляет сведения и документы, подтверждающие соблюдение требований о локализации и о защите персональных данных.

7. Сроки хранения, удаление

7.1. Аудиозаписи удаляются Обработчиком сразу после успешной расшифровки — сохраняется только текст; бессрочное хранение аудио не допускается.

7.2. Текстовые расшифровки и результаты анализа хранятся не дольше цели обработки (ч.5 ст.5); для цели «контроль качества» — не более 90 дней, после чего вычищаются.

7.3. Поручение действует в течение срока действия договора, заключённого акцептом Оферты.

7.4. При прекращении договора Обработчик в течение […] дней удаляет или обезличивает переданные персональные данные и результаты их обработки, за исключением случаев, когда хранение предписано законом, и уведомляет Оператора об исполнении.

8. Ответственность

8.1. Перед субъектами персональных данных за действия Обработчика отвечает Оператор (ч.3 ст.6).

8.2. Перед Оператором за нарушение настоящего Поручения отвечает Обработчик.

8.3. Стороны несут ответственность в соответствии с законодательством РФ.

9. Реквизиты и подписи сторон

Оператор — Обработчик

[…] — […]

ОГРН/ИНН […] — ОГРН/ИНН […]

Адрес […] — Адрес […]

______________ / […] / — ______________ / […] /

← На главную