Поручение на обработку данных в CRM

Договорное приложение для клиентов CRM

Редакция от 24.10.2026. Документ регулирует обработку чужих персональных данных, которые клиент правомерно загружает в закрытую CRM LumberInventory на Timbermarket.ru. Он является отдельным приложением к соглашению о сервисе и принимается уполномоченным лицом до загрузки таких данных.

1 Стороны и пределы поручения

Оператор данных клиента — организация, ИП или иное лицо, указанное в реквизитах рабочей области CRM, далее Клиент. Лицо, обрабатывающее данные по поручению, — ИП Нестеров Сергей Павлович, ИНН 353001184282, ОГРНИП 318784700046368, г. Санкт-Петербург, пер. Лыжный, д. 2, email nest.s.p@mail.ru, далее Исполнитель.

При принятии фиксируются наименование или ФИО Клиента, ИНН при наличии, адрес и контакт для обращений, рабочая область, представитель и основание его полномочий. Само наличие аккаунта сотрудника не подтверждает полномочия поручить обработку всей клиентской базы компании.

Для данных аккаунта, платежей за собственные услуги и безопасности сайта Исполнитель остается самостоятельным оператором. Настоящее поручение не смешивает эти цели с хозяйственным учетом Клиента.

2 Цели и состав

Цели поручения: учет деловых контактов, заказов, отгрузок и задач Клиента; предоставление доступа его уполномоченным сотрудникам; выполнение выбранных им операций, техническая поддержка, резервирование и восстановление данных.

Субъекты: клиенты и поставщики — физические лица и ИП, их представители, представители юридических лиц, сотрудники и пользователи рабочей области. Допустимые данные: ФИО или имя, рабочий email и телефон, должность и деловая роль, реквизиты ИП, необходимые контакты получателя и адрес доставки, состав и состояние заказа, сведения о взаимодействии и назначенных задачах, служебные идентификаторы.

Свободный текст и вложения ограничиваются этим составом и указанными целями. Поручение не разрешает хранение паспортных сканов, медицинских данных, специальных категорий, биометрии для установления личности, банковских паролей, полных карточных реквизитов и сведений, не необходимых для функций CRM. Кадровый и медицинский учет этим документом не вводится.

3 Основания и инструкции Клиента

Клиент определяет законные основания сбора и передачи данных. Он получает согласие субъекта на поручение обработки, когда оно требуется частью 3 статьи 6 Закона № 152-ФЗ, либо подтверждает применимое исключение. Принятие этого договора не является согласием клиентов и сотрудников Клиента.

Инструкции выражаются в пределах этого поручения через действия уполномоченных пользователей в CRM и согласованные обращения. Исполнитель не исполняет указание, явно нарушающее закон; сообщает причину и при необходимости приостанавливает только соответствующую операцию.

Клиент управляет составом сотрудников и их правами, своевременно отзывает доступ у выбывших лиц, соблюдает минимизацию данных и определяет необходимые сроки. Обработка для рекламы Клиента требует его самостоятельного законного основания; функция отправки сообщения не подтверждает наличие согласия адресата.

4 Операции и конфиденциальность

Разрешены сбор в пределах технической загрузки, запись, систематизация, накопление, хранение, уточнение, извлечение, использование для функций CRM, предоставление доступа уполномоченным лицам Клиента, блокирование, удаление и уничтожение. Обработка преимущественно автоматизированная; технический доступ сотрудников Исполнителя допускается в минимальном объеме для конкретной задачи и учитывается.

Исполнитель соблюдает конфиденциальность, не раскрывает базу другим клиентам и не использует ее для собственных продаж, рекламы или обучения сторонних моделей без самостоятельного законного основания и отдельного согласования. Открытая публикация данных людей не входит в поручение. Вывод товарных остатков на витрину не должен выводить сведения о покупателях и внутренних сделках.

5 Защита и исполнители инфраструктуры

Исполнитель выполняет требования части 5 статьи 18, статьи 18.1 и статьи 19 Закона № 152-ФЗ в применимой части. Он обеспечивает российское размещение баз при сборе данных граждан РФ, разграничение рабочих областей и ролей, защищенную передачу, учет доступа, резервирование, обновления и меры реагирования соразмерно угрозам.

Требования к защищенности определяются с учетом Постановления Правительства РФ № 1119 и применимых требований ФСТЭК России. Уровень защищенности не объявляется формально без оценки состава данных, угроз и информационной системы.

Привлечение другого лица к обработке данных по поручению допускается после раскрытия Клиенту его наименования, роли, мест обработки и состава доступа и получения необходимого согласования. Исполнитель устанавливает для такого лица не менее строгие обязательства и отвечает перед Клиентом за исполнение поручения. Общая фраза о «любых партнерах» не является разрешением неограниченной передачи.

Трансграничная передача по этому поручению не производится без отдельного согласования и исполнения требований закона. Использование иностранного резервирования, мониторинга или удаленного доступа оценивается по фактической передаче данных, а не названию поставщика.

6 Подтверждения и обращения

До начала обработки и в течение поручения Исполнитель по запросу Клиента предоставляет документы и сведения, подтверждающие меры и соблюдение установленных требований, в объеме, не раскрывающем чужую тайну и не создающем новых угроз безопасности. Предлагаемый срок — 5 рабочих дней, если обязательный срок или обстоятельства требуют быстрее, применяется более короткий срок.

Обращения субъектов по данным Клиента передаются Клиенту без неоправданной задержки, не позднее следующего рабочего дня. Исполнитель помогает уточнить, выгрузить, ограничить и удалить данные в пределах своих функций. Клиент отвечает субъекту как оператор; Исполнитель самостоятельно выполняет свои прямые обязанности, когда они возникают.

7 Инциденты

Исполнитель уведомляет Клиента о выявленном факте неправомерной или случайной передачи, предоставления, распространения либо доступа, повлекшем нарушение прав субъектов, без промедления, не позднее 6 часов после обнаружения. Это договорный внутренний срок, установленный для обеспечения законных сроков уведомления оператором.

Уведомление содержит известные обстоятельства, предполагаемый состав и масштаб данных, возможные последствия, принятые меры и контакт ответственного. Неизвестные сведения дополняются по мере установления. Исполнитель сохраняет доказательства, ограничивает нарушение и помогает Клиенту выполнить уведомление Роскомнадзора в предусмотренные законом 24 и 72 часа с момента выявления соответствующего инцидента.

8 Прекращение и ответственность

Поручение действует в период предоставления CRM в соответствующей рабочей области. Клиент может запросить доступную выгрузку до закрытия либо вместе с запросом прекращения. Исполнитель обеспечивает выгрузку в согласованном машиночитаемом формате в течение 10 рабочих дней, если более короткий срок не требуется законом или обоснованной срочной ситуацией.

После прекращения поручения Исполнитель удаляет или возвращает данные по инструкции Клиента, а оставшиеся копии уничтожает не позднее 30 календарных дней, если закон или правомерная отдельная инструкция не устанавливают иного. Сохранение для самостоятельной обязательной цели обосновывается отдельно, ограничивается этой целью и не разрешает продолжение обычного использования базы.

Резервные копии не используются для возврата удаленных данных в активную обработку. При объективной невозможности уничтожения в срок применяются блокирование и порядок части 6 статьи 21 Закона № 152-ФЗ. Исполнитель предоставляет подтверждение завершения удаления по запросу Клиента.

Клиент несет предусмотренную законом ответственность перед субъектом за порученную обработку. Исполнитель отвечает перед Клиентом за нарушение поручения и самостоятельно исполняет применимые к нему прямые обязанности закона. Положение не освобождает Исполнителя от ответственности за собственные нарушения.