Приложение № 1

Поручение на обработку персональных данных

СТАТУС: шаблон. Все поля [ЗАПОЛНИТЬ] должны быть заполнены до публикации или подписания.

К договору, заключенному путем акцепта Публичной оферты РоверонCRM. Заказчик — оператор; Исполнитель — лицо, осуществляющее обработку по поручению оператора.

1. Предмет и пределы поручения

1.1. Заказчик поручает Исполнителю обрабатывать персональные данные исключительно для предоставления, поддержки, защиты, резервного копирования и прекращения доступа к РоверонCRM. Исполнитель не определяет самостоятельные цели в отношении клиентских данных.

1.2. Инструкциями Заказчика являются настоящий документ, настройки аккаунта и документированные обращения, не противоречащие договору и закону. При незаконности инструкции Исполнитель уведомляет Заказчика и вправе приостановить ее исполнение.

2. Субъекты и данные

Категория субъектов	Примерный перечень данных
Клиенты и потенциальные клиенты сервиса	ФИО; телефон; email; адрес при необходимости; согласия и предпочтения связи; обращения.
Владельцы/пользователи имущества	Сведения об автомобиле или ином объекте: марка, модель, VIN, госномер, пробег; связь с субъектом.
Контактные лица контрагентов сервиса	ФИО; должность; организация; телефон; email.
Иные лица, данные которых законно внесены Заказчиком	Только категории, явно предусмотренные настройками и договором: [ЗАПОЛНИТЬ].

Не допускается загрузка специальных категорий персональных данных, биометрических данных, данных детей, медицинских сведений и копий документов, удостоверяющих личность, если стороны заранее письменно не согласовали отдельные цели, основания и меры защиты.

3. Операции и способы обработки

Сбор через интерфейсы по инструкции Заказчика, получение, запись, систематизация, накопление, хранение, уточнение, извлечение, использование для функций CRM, предоставление уполномоченным пользователям Заказчика, блокирование, удаление и уничтожение. Обработка автоматизированная и смешанная в объеме технической поддержки.

4. Обязанности Исполнителя

Соблюдать конфиденциальность и допускать только работников, которым доступ необходим.
Обеспечивать безопасность данных и выполнять применимые требования статей 18.1 и 19 № 152-ФЗ.
Обеспечивать локализацию первичного сбора персональных данных граждан РФ в применимых случаях.
По запросу Заказчика предоставлять документы и информацию, подтверждающие меры, до начала и в течение обработки.
Содействовать рассмотрению запросов субъектов и выполнению обязанностей по уточнению, блокированию и удалению.
Вести учет доступов и существенных операций в пределах технических возможностей, заявленных в документации.
Уведомлять Заказчика об инцидентах по Приложению № 2.
После прекращения поручения вернуть доступную выгрузку и удалить данные в согласованные сроки.

5. Субобработчики

5.1. Заказчик дает общее разрешение на привлечение перечисленных субобработчиков при условии возложения на них не менее строгих обязанностей. Исполнитель остается ответственным перед Заказчиком за исполнение поручения привлеченными лицами.

Субобработчик	Функция	Место обработки	Данные
[ХОСТИНГ]	Инфраструктура и резервные копии	[РФ, адрес ЦОД]	Данные платформы
[EMAIL/SMS]	Сервисные уведомления	[ЗАПОЛНИТЬ]	Контакты и содержание уведомления
[ПОДДЕРЖКА/МОНИТОРИНГ]	Диагностика и обращения	[ЗАПОЛНИТЬ]	Технические данные, минимально необходимый контекст

5.2. О новом субобработчике Исполнитель уведомляет не менее чем за [15] дней. Заказчик вправе представить мотивированное возражение, связанное с риском для данных. Стороны ищут разумную замену; при невозможности Заказчик вправе прекратить затронутую услугу.

6. Меры защиты

Идентификация, аутентификация и разграничение доступа; принцип минимальных полномочий.
Защита каналов связи; управление секретами и административными доступами.
Регистрация событий безопасности, выгрузок и административных действий.
Резервное копирование и проверка восстановления.
Управление уязвимостями, обновлениями и вредоносным кодом.
Процедуры допуска работников, обязательства конфиденциальности и прекращение доступа.
Оценка применимых уровней защищенности и реализация мер по модели угроз.

7. Запросы и проверки

7.1. Исполнитель без неоправданной задержки пересылает Заказчику запрос субъекта, относящийся к клиентским данным, и не отвечает по существу без инструкции, если закон не требует иного.

7.2. Не чаще одного раза в год Заказчик вправе запросить разумный комплект подтверждений. Выездная проверка допускается при существенном инциденте или требовании органа по предварительному соглашению, без доступа к данным других заказчиков и конфиденциальным механизмам безопасности.

8. Инциденты

Исполнитель уведомляет Заказчика без неоправданной задержки, но не позднее [4] часов с подтверждения неправомерной или случайной передачи, предоставления, распространения либо доступа. Предварительность сообщения не означает признания вины. Содержание и обновления определены Регламентом инцидентов.

9. Срок и удаление

Поручение действует в течение договора и периода контролируемой выгрузки/удаления. Основные данные удаляются не позднее [30] дней после окончания периода выгрузки; резервные копии — по циклу не более [ЗАПОЛНИТЬ] дней с изоляцией от обычного использования.

10. Ответственность и приоритет

Стороны отвечают в соответствии с законом и договором. При противоречии по вопросам обработки персональных данных настоящее Поручение имеет приоритет над общими условиями Оферты.

Шаблон для юридической проверки • версия 1.0 • 25.08.2026