Договор-поручение на обработку ПД
Обязателен при передаче обработки подрядчику. Ответственность перед субъектом всё равно остаётся на вас.
ч. 3 ст. 6 152-ФЗ
3 документа в этой группе
Договоры и поручения на обработку данных
Как только к данным получает доступ кто-то снаружи - CRM, сервис рассылок, хостинг, внешняя бухгалтерия, колл-трекинг - между вами и подрядчиком нужен не просто NDA, а поручение на обработку с конкретным содержанием.
Что обязательно должно быть в поручении
Ст. 6 п. 3 152-ФЗ прямо перечисляет, что определяется в поручении оператора: перечень персональных данных, перечень действий с ними, цели обработки, обязанность соблюдать конфиденциальность, требования ст. 18 ч. 5 и ст. 18.1, обязанность по запросу предоставлять документы и информацию о принятых мерах, требования к защите по ст. 19 и обязанность уведомлять об инцидентах. Ключевое здесь: перед человеком отвечает оператор, а подрядчик отвечает перед оператором. Общий пункт про конфиденциальность этого не заменяет.
Что входит в группу
Соглашение о трансграничной передаче ПД
Для зарубежных сервисов и площадок - вместе с уведомлением в РКН.
ст. 12 152-ФЗ
Типовые условия договора об обработке ПД
Готовый блок, который вставляется в любой ваш договор с контрагентом.
ч. 3 ст. 6 152-ФЗ
Кому это нужно
- Все, кто использует CRM, сервисы рассылок, колл-трекинг, аналитику
- Компании на внешней бухгалтерии или кадровом аутсорсинге
- Те, кто размещается на стороннем хостинге или в облаке
- Заказчики разработки и поддержки сайта, у подрядчика есть доступ к базе
Собрать эти документы под свою организацию
Конструктор задаёт вопросы о вашей деятельности и подставляет реквизиты в готовые файлы .docx. В комплект входит вся группа целиком и ещё 54 документов, которые подключаются по мере необходимости - в инструкции отмечено, что нужно сразу, а что позже.
Частые вопросы
Достаточно ли NDA с подрядчиком?
NDA закрывает конфиденциальность, но не заменяет поручение: в нём нет перечня данных, перечня действий, целей обработки и обязанностей по безопасности, которых требует ст. 6 п. 3 152-ФЗ.
Нужно ли поручение с хостинг-провайдером?
Если на его инфраструктуре фактически лежат персональные данные - да. Заодно это удобный повод письменно зафиксировать, где физически размещены базы, резервные копии и логи.
Кто отвечает, если данные утекли у подрядчика?
Перед субъектом персональных данных отвечает оператор, а лицо, которому поручена обработка, отвечает перед оператором. Поэтому в договоре важны и срок уведомления об инциденте, и право запрашивать подтверждающие документы.
Другие группы документов
Базовый пакет оператора
8 док.
Уведомления и cookie
3 док.
Положения и перечни
4 док.
Информационная безопасность
8 док.
Согласия и обязательства
4 док.
Регламенты и инструкции
10 док.
Формы запросов субъектов
5 док.
Журналы учёта
6 док.
Приказы и должностные
4 док.
Инструкции по внедрению
2 док.
Весь комплект из 57 документов →