Соглашение об обработке персональных данных

Соглашение — неотъемлемая часть договора на использование сервиса Fury CRM, заключённого на условиях публичной оферты. Оно вступает в силу одновременно с договором и действует, пока действует договор и пока Исполнитель хранит персональные данные Заказчика.

Заказчик (оператор) — лицо, акцептовавшее оферту. Исполнитель (лицо, осуществляющее обработку по поручению оператора) — индивидуальный предприниматель Шаповалов Богдан Александрович, ИНН 310259778579, ОГРНИП 323310000007216.

1. Предмет

1.1. Заказчик поручает, а Исполнитель осуществляет обработку персональных данных, которые Заказчик и его сотрудники вносят в кабинет Fury CRM или получают через инструменты Сервиса (формы, квизы, виджеты, онлайн-запись, код отслеживания на сайте, интеграции с телефонией, мессенджерами, почтой, рекламными и иными системами, публичный API).

1.2. Оператором этих данных является Заказчик. Исполнитель обрабатывает их только в объёме и для целей, которые нужны для работы Сервиса, и только по документированным указаниям Заказчика. Указаниями считаются настройки кабинета, действия пользователей Заказчика в кабинете и подключённые им интеграции.

2. Цели обработки

Предоставление Заказчику Сервиса: ведение базы клиентов и сделок, приём и распределение обращений, коммуникации с клиентами Заказчика, телефония и запись звонков, аналитика рекламы и продаж, документы и счета, рассылки, задачи и отчётность, а также резервное копирование, техническая поддержка и обеспечение безопасности.

3. Категории субъектов и перечень данных

3.1. Субъекты: клиенты и потенциальные клиенты Заказчика, их представители, посетители сайтов Заказчика, контрагенты Заказчика, сотрудники Заказчика — пользователи кабинета.

3.2. Данные: ФИО, номера телефонов, адреса e-mail, аккаунты в мессенджерах и соцсетях, адреса, сведения о компании и должности, содержание обращений и переписки, записи и расшифровки телефонных разговоров, сведения о заказах, сделках, оплатах и документах, реквизиты, сведения о посещении сайтов Заказчика (cookie _crm_vid и _crm_sid, IP-адрес, сведения о браузере и устройстве, рекламные метки UTM, идентификатор Яндекс.Метрики), иные данные, которые Заказчик решит внести в кабинет.

3.3. Заказчик не вносит в Сервис специальные категории персональных данных (ст. 10 152-ФЗ) и биометрические персональные данные (ст. 11 152-ФЗ), если это не предусмотрено отдельным письменным соглашением сторон.

4. Действия с данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) — в том числе подключённым Заказчиком сервисам, обезличивание, блокирование, удаление, уничтожение. Обработка автоматизированная, с передачей по сети Интернет.

5. Обязанности Исполнителя

5.1. Соблюдать конфиденциальность данных, не раскрывать их третьим лицам и не использовать в собственных целях, кроме случаев, предусмотренных этим Соглашением и законом.

5.2. Соблюдать принципы и правила обработки, предусмотренные 152-ФЗ, и обеспечивать безопасность данных по статье 19 152-ФЗ и постановлению Правительства РФ от 01.11.2012 № 1119. Исполнитель:

• определил угрозы безопасности и уровень защищённости информационной системы, назначил ответственного за обработку и защиту персональных данных;
• хранит данные каждого кабинета в отдельной базе данных, разграничивает доступ своих работников, допускает к данным только тех, кому он нужен для работы, и обязывает их соблюдать конфиденциальность;
• передаёт данные только по защищённым каналам (TLS), шифрует резервные копии, хранит пароли в виде хеша, даёт возможность включить двухфакторную аутентификацию;
• ведёт журналы событий безопасности, регулярно обновляет программное обеспечение, делает резервные копии и умеет восстанавливать из них данные;
• контролирует принимаемые меры и их эффективность.

5.3. Обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

5.4. По запросу Заказчика в течение срока действия поручения, в том числе до начала обработки, предоставлять документы и иную информацию, подтверждающие принятие мер и выполнение требований статьи 6 152-ФЗ.

5.5. Уведомлять Заказчика о выявленном инциденте — неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных Заказчика — не позднее 12 часов с момента выявления, чтобы Заказчик мог уведомить Роскомнадзор в течение 24 часов. В течение 48 часов — сообщить известные результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента (если они установлены), чтобы Заказчик уложился в 72 часа (ч. 3.1 ст. 21 152-ФЗ). Уведомление направляется на e-mail владельца кабинета.

5.6. Помогать Заказчику отвечать на запросы субъектов и Роскомнадзора: в кабинете есть выгрузка данных клиента, обезличивание по запросу и автоматическое обезличивание по сроку хранения. Если запрос субъекта о данных Заказчика пришёл Исполнителю, Исполнитель в течение 3 рабочих дней передаёт его Заказчику и сам по нему не действует, кроме случаев, предусмотренных законом.

5.7. При прекращении договора удалить данные Заказчика в сроки из оферты и порядка удаления аккаунта: из рабочей базы — не позднее 30 дней, из резервных копий — по мере их перезаписи, не позднее 6 месяцев. До удаления Заказчик может выгрузить свои данные.

6. Привлечение третьих лиц

6.1. Заказчик соглашается, что Исполнитель привлекает для работы Сервиса следующих лиц:

6.2. Интеграции, которые Заказчик подключает сам (телефония, мессенджеры, почтовые и SMS-сервисы, платёжные системы, маркетплейсы, службы доставки, рекламные кабинеты и т. п.), являются его указанием передавать данные соответствующим сервисам. Отношения с ними Заказчик оформляет самостоятельно. Если такой сервис находится за рубежом (например, Telegram-бот компании, Google Таблицы), трансграничную передачу осуществляет Заказчик как оператор.

6.2.1. Уведомления бота Fury CRM в Telegram по умолчанию не содержат персональных данных (только тип события и ссылка в CRM). Если администратор Заказчика включает подробные уведомления (имена, телефоны, текст сообщений), это указание Заказчика передавать такие данные в Telegram; включение фиксируется в кабинете. Заказчик сам оценивает допустимость такой передачи с учётом ограничений на использование иностранных мессенджеров (ч. 8 ст. 10 Федерального закона № 149-ФЗ).

6.3. О замене или добавлении лиц из п. 6.1 Исполнитель сообщает новой редакцией этого Соглашения не позднее чем за 10 дней до изменения. Если Заказчик не согласен, он может отказаться от договора.

7. Трансграничная передача

7.1. Функции ИИ на моделях OpenAI выключены по умолчанию. Включая их в настройках кабинета, администратор Заказчика поручает Исполнителю передавать OpenAI данные, нужные для конкретного ответа, и подтверждает, что у Заказчика есть основания для такой передачи. Факт включения фиксируется: кто и когда включил. Выключить можно в любой момент. Без трансграничной передачи можно подключить российские модели (YandexGPT, GigaChat) своим ключом.

7.2. Пуш-уведомления (п. 6.1) передаются только на устройства сотрудников Заказчика, которые установили мобильное приложение и разрешили уведомления.

7.3. Исполнитель уведомляет Роскомнадзор о трансграничной передаче, которую осуществляет сам (ст. 12 152-ФЗ).

8. Обязанности Заказчика

8.1. Заказчик как оператор обеспечивает законные основания обработки: получает согласия субъектов там, где они нужны, публикует свою политику обработки персональных данных, уведомляет Роскомнадзор об обработке (ст. 22 152-ФЗ), отвечает на запросы субъектов и выполняет иные обязанности оператора.

8.2. Публичные инструменты Сервиса (формы, квизы, виджеты, онлайн-запись, обучение) по умолчанию показывают посетителю согласие на обработку данных со ссылкой на политику Заказчика. Ссылка на политику и текст согласия задаются в настройках кабинета (Настройки → Безопасность → «Персональные данные»). Заказчик отвечает за их правильность. Если своей политики нет, можно использовать шаблон из кабинета, заполнив в нём свои реквизиты.

8.3. Заказчик не отправляет через Сервис рекламные сообщения лицам, которые не давали согласия на их получение (ст. 18 Федерального закона «О рекламе»), и сам определяет, кому направлять рассылки.

8.4. Заказчик назначает доступ своим сотрудникам, следит за сохранностью паролей и своевременно отключает доступ уволенным сотрудникам.

9. Ответственность

Исполнитель отвечает перед Заказчиком за нарушение этого Соглашения, Заказчик отвечает перед субъектами персональных данных за действия Исполнителя (ч. 5 ст. 6 152-ФЗ). Ограничения ответственности из оферты не распространяются на умышленное нарушение конфиденциальности персональных данных.

10. Реквизиты и контакты Исполнителя