Поручение на обработку персональных данных Покупателей

1. Стороны

1. Контролёр — Продавец, акцептовавший Публичную оферту Tamkarum и являющийся самостоятельным оператором персональных данных Покупателей в смысле ФЗ-152. Контролёр самостоятельно определяет цели и средства обработки персональных данных своих Покупателей.
2. Процессор — Индивидуальный предприниматель Василенко Анна Евгеньевна (полные реквизиты — раздел 10 настоящего Поручения). Процессор обрабатывает персональные данные Покупателей исключительно по поручению Контролёра.
3. Контролёр определяет цели и средства обработки персональных данных Покупателей. Процессор обрабатывает персональные данные исключительно в объёме и в порядке, установленных настоящим Поручением, и не использует их в собственных целях, за исключением случаев, прямо предусмотренных настоящим Поручением.
4. Настоящее Поручение оформлено в соответствии с требованиями части 3 статьи 6 ФЗ-152 о том, что обработка персональных данных может быть поручена оператором другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.

2. Предмет Поручения

Контролёр поручает Процессору обработку перечисленных ниже категорий персональных данных Покупателей в целях, объёме и в порядке, установленных настоящим разделом.

2.1. Категории субъектов

Субъектами персональных данных, обрабатываемых Процессором по настоящему Поручению, являются Покупатели — физические лица, оформляющие заказы в Витрине Контролёра, размещённой в Сервисе Tamkarum.

2.2. Состав обрабатываемых персональных данных

Состав обрабатываемых данных ограничен сведениями, технологически необходимыми для оформления Заказа Покупателем и передачи сведений о Заказе соответствующему Продавцу. Процессор не обрабатывает платёжные реквизиты Покупателей, поскольку расчёты между Покупателем и Контролёром осуществляются вне функционала Сервиса.

1. 2.2.1. имя (либо фамилия, имя и отчество — если предоставлено Покупателем);
2. 2.2.2. контактный номер телефона;
3. 2.2.3. адрес электронной почты (если предоставлен);
4. 2.2.4. адрес доставки (если применимо);
5. 2.2.5. сведения о заказах: состав, сумма, статус, история;
6. 2.2.6. сведения о выбранном Покупателем способе расчёта с Контролёром (например, «оплата при получении»), указанные Покупателем при оформлении Заказа; платёжные реквизиты Покупателя (номера банковских карт, маска карты, CVV/CVC-код и иные сведения об инструменте оплаты) Процессором не обрабатываются;
7. 2.2.7. переписка между Покупателем и Контролёром, осуществляемая средствами Сервиса в рамках обработки заказа;
8. 2.2.8. технические данные: IP-адрес, идентификатор сессии, сведения о браузере и устройстве (User-Agent).

Процессор не обрабатывает по настоящему Поручению специальных категорий персональных данных (статья 10 ФЗ-152), биометрических персональных данных (статья 11 ФЗ-152) и персональных данных несовершеннолетних.

2.3. Цели обработки

1. обеспечение технической возможности оформления Заказов в Витрине Контролёра и передача сведений о Заказе Контролёру для его дальнейшей обработки;
2. доставка Покупателю сервисных уведомлений (подтверждение Заказа, изменение статуса, уведомления о готовности к выдаче, иные транзакционные уведомления);
3. обеспечение функционирования системы переписки между Покупателем и Контролёром в рамках обработки Заказа;
4. аналитика функционирования Сервиса и улучшение его качества на основе обезличенных данных, не позволяющих идентифицировать конкретного Покупателя;
5. предотвращение мошенничества, обеспечение информационной безопасности Сервиса и расследование инцидентов.

2.4. Перечень действий с персональными данными

Процессор совершает с персональными данными Покупателей следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) третьим лицам, указанным в разделе 5 настоящего Поручения, обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется как с использованием средств автоматизации, так и без использования таковых.

3. Обязательства Процессора

Процессор обязуется:

1. обрабатывать персональные данные Покупателей исключительно в целях и в объёме, определённых настоящим Поручением, и не использовать их в собственных целях, за исключением действий, технологически необходимых для функционирования Сервиса;
2. обеспечить конфиденциальность обрабатываемых персональных данных Покупателей в соответствии со статьёй 7 ФЗ-152;
3. обеспечить применение надлежащих организационных и технических мер защиты персональных данных в соответствии с требованиями:
   1. статьи 19 ФЗ-152;
   2. Постановления Правительства Российской Федерации от 1 ноября 2012 года № 1119 (требования к уровню защищённости УЗ-4);
   3. Приказа Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 18 февраля 2013 года № 21 (состав и содержание организационных и технических мер защиты);
4. не передавать персональные данные Покупателей третьим лицам, за исключением получателей, перечисленных в разделе 5 настоящего Поручения и в Политике обработки персональных данных;
5. обеспечить локализацию обработки персональных данных Покупателей на территории Российской Федерации в соответствии с частью 5 статьи 18 ФЗ-152;
6. обеспечение надлежащей квалификации и ознакомления с режимом конфиденциальности всех сотрудников и привлекаемых лиц, имеющих доступ к персональным данным Покупателей, в том числе под условие заключения письменных обязательств о неразглашении в соответствии со статьёй 19 ФЗ-152 и статьёй 88 Трудового кодекса Российской Федерации;
7. по письменному запросу Контролёра предоставить сведения об осуществляемой обработке персональных данных Покупателей в срок до 10 (десяти) рабочих дней с момента поступления запроса;
8. содействовать Контролёру в исполнении обязанностей оператора, установленных ФЗ-152, в том числе в части ответов на обращения субъектов персональных данных и подготовки уведомлений уполномоченных органов.

4. Уведомление об инцидентах безопасности персональных данных

1. 4.1. При выявлении факта неправомерной или случайной передачи персональных данных Покупателей Процессор уведомляет Контролёра в течение 24 (двадцати четырёх) часов с момента выявления инцидента, предоставляя первичные сведения о характере и масштабе инцидента в формате, пригодном для пересылки в Роскомнадзор.
2. 4.2. Уведомление в Роскомнадзор о факте инцидента (часть 3.1 статьи 21 ФЗ-152, 24 часа) и о результатах внутреннего расследования (часть 3.2 статьи 21 ФЗ-152, 72 часа) направляется Контролёром самостоятельно как оператором персональных данных. Процессор обеспечивает Контролёра технической поддержкой и сведениями, необходимыми для подготовки указанных уведомлений.
3. 4.3. Процессор уведомляет Контролёра о ходе внутреннего расследования по запросу Контролёра, но не позднее 48 (сорока восьми) часов с момента получения такого запроса.
4. Уведомление, направляемое Процессором Контролёру по пунктам 4.1 и 4.3 настоящего раздела, направляется на адрес электронной почты Контролёра, указанный при регистрации в Сервисе, и содержит:
   1. описание характера инцидента и категорий затронутых персональных данных;
   2. предполагаемые последствия инцидента;
   3. меры, принятые Процессором для устранения последствий инцидента и минимизации его негативного воздействия.
5. Процессор ведёт внутренний журнал инцидентов безопасности персональных данных. Сведения о таких инцидентах в части, касающейся Покупателей Контролёра, предоставляются Контролёру по письменному запросу в порядке раздела 8 настоящего Поручения.

5. Привлечение субпроцессоров (третьих лиц)

Контролёр заранее даёт согласие Процессору на привлечение следующих категорий субпроцессоров, обеспечивающих функционирование Сервиса и обработку персональных данных Покупателей в технологических целях, перечисленных в разделе 2 настоящего Поручения. Перечень ограничен инфраструктурными провайдерами и провайдером почтовой доставки сервисных уведомлений; платёжные провайдеры и операторы фискальных данных не привлекаются, поскольку Процессор не участвует в расчётах между Покупателем и Контролёром:

1. ООО «Облачные технологии» (Cloud.ru, ИНН 7736207543) — хостинг-провайдер, обеспечивающий размещение серверной инфраструктуры Сервиса на территории Российской Федерации;
2. ООО «Регистратор доменных имён РЕГ.РУ» (REG.RU, ИНН 7733568767, ОГРН 1067746823099) — провайдер почтовой и хостинговой инфраструктуры, обеспечивающий доставку Покупателям и Пользователям сервисных email-уведомлений; обработка осуществляется на территории Российской Федерации.

Процессор обеспечивает заключение с каждым субпроцессором договора, содержащего обязательства по обеспечению конфиденциальности и защите персональных данных Покупателей не ниже установленных настоящим Поручением.

Процессор уведомляет Контролёра о привлечении нового субпроцессора либо об изменении состава ранее привлечённых субпроцессоров путём публикации обновлённого перечня в настоящем Поручении и в Политике обработки персональных данных не менее чем за 30 (тридцать) календарных дней до начала обработки персональных данных Покупателей новым субпроцессором. Контролёр вправе в течение указанного срока заявить мотивированное возражение против привлечения конкретного субпроцессора; в случае невозможности дальнейшего исполнения Поручения без привлечения такого субпроцессора Контролёр вправе расторгнуть Публичную оферту в одностороннем внесудебном порядке.

6. Реализация прав субъектов персональных данных

1. Покупатели вправе обращаться с реализацией своих прав, предусмотренных главой 3 ФЗ-152 (доступ к персональным данным, их уточнение, блокирование, уничтожение, отзыв согласия и иные права), либо непосредственно к Контролёру, либо к Процессору по адресу legal@tamkarum.ru.
2. Процессор перенаправляет полученные напрямую от Покупателя запросы Контролёру в течение 1 (одного) рабочего дня с момента их получения и оказывает Контролёру содействие в подготовке ответов в объёме, технически доступном Процессору в рамках функционала Сервиса.
3. Сроки ответа на запросы субъектов персональных данных установлены статьями 14, 20 и 21 ФЗ-152. Ответ субъекту персональных данных предоставляется Контролёром как оператором, если иное прямо не согласовано Сторонами в письменной форме.
4. Процессор не отвечает по существу на запросы субъектов персональных данных по обстоятельствам, относящимся исключительно к коммерческой деятельности Контролёра, в том числе по вопросам качества товаров и услуг, реализуемых Контролёром, исполнения договоров с Покупателями, ведения переписки, обработки заказов и расчётов между Контролёром и Покупателем.

7. Срок действия и прекращение

1. Настоящее Поручение действует с момента акцепта Контролёром Публичной оферты Tamkarum.
2. Поручение прекращается одновременно с прекращением Публичной оферты по любым основаниям, предусмотренным её разделом о расторжении.
3. После прекращения настоящего Поручения Процессор обязуется в срок до 30 (тридцати) календарных дней:
   1. уничтожить персональные данные Покупателей, обрабатывавшиеся по поручению Контролёра, в том числе обеспечить уничтожение резервных копий по достижении срока ротации; либо
   2. передать персональные данные Покупателей Контролёру в форме экспорта, если такая возможность предусмотрена функционалом Сервиса и Контролёр направил соответствующий письменный запрос на адрес legal@tamkarum.ru до прекращения Поручения либо в течение 10 (десяти) календарных дней с момента его прекращения.
4. Указанные в пункте 3 настоящего раздела действия не применяются к персональным данным Покупателей, обработка которых необходима для исполнения обязанностей Процессора, установленных законодательством Российской Федерации, в том числе законодательством о бухгалтерском учёте и налоговым законодательством в части документального оформления отношений Процессора с Контролёром. Такие данные хранятся Процессором в течение сроков, установленных соответствующими нормативными актами.

8. Аудит

1. Контролёр вправе не чаще 1 (одного) раза в календарный год запросить у Процессора сведения о состоянии обеспечения безопасности персональных данных Покупателей, в том числе:
   1. описание применяемых организационных и технических мер защиты;
   2. сведения об уровне защищённости информационной системы персональных данных;
   3. сведения о привлечённых субпроцессорах;
   4. сведения об инцидентах безопасности персональных данных Покупателей Контролёра за запрашиваемый период.
2. Запрос направляется в письменной форме на адрес legal@tamkarum.ru. Срок ответа — до 30 (тридцати) календарных дней с момента получения Процессором полного комплекта документов, позволяющего идентифицировать Контролёра и существо запроса.
3. Расходы на проведение независимой проверки (привлечение внешнего аудитора, осуществляющего деятельность в соответствии с законодательством Российской Федерации) несёт Контролёр. Привлечение внешнего аудитора осуществляется по предварительному письменному согласованию с Процессором в части объёма и порядка проведения проверки.
4. При проведении аудита стороны обеспечивают сохранение коммерческой тайны и иной охраняемой законом информации, а также непрерывность функционирования Сервиса и недопустимость нарушения прав иных пользователей Сервиса.

9. Ответственность

1. Стороны несут ответственность за нарушение условий настоящего Поручения в соответствии с законодательством Российской Федерации, в том числе:
   1. статья 13.11 Кодекса Российской Федерации об административных правонарушениях, включая части 12–14 указанной статьи в редакции Федерального закона от 30.05.2025 № 110-ФЗ, устанавливающие в отношении крупных утечек персональных данных оборотные штрафы в размере от 1 до 3 процентов годовой выручки оператора;
   2. статьи 23 и 24 ФЗ-152.
2. Совокупная ответственность Процессора перед Контролёром по основаниям настоящего Поручения ограничена суммой, фактически уплаченной Контролёром за Подписку Tamkarum за последний оплаченный Расчётный период, за исключением случаев нарушения Процессором требований законодательства о персональных данных, повлёкшего утечку или иное неправомерное распространение персональных данных Покупателей. В указанных случаях совокупная ответственность Процессора ограничена 12-кратной суммой оплаты Подписки Tamkarum за предшествующий 12-месячный период, но не менее 500 000 (пятисот тысяч) рублей.
3. Указанное в пункте 2 настоящего раздела ограничение не применяется в случаях, прямо установленных императивными нормами законодательства Российской Федерации.
4. Контролёр самостоятельно несёт ответственность как оператор персональных данных Покупателей за наличие надлежащего правового основания обработки персональных данных Покупателей, получение необходимых согласий, исполнение информационных обязанностей перед Покупателями, надлежащее оформление расчётных, налоговых и иных документов в соответствии со своим статусом (индивидуальный предприниматель, юридическое лицо или плательщик налога на профессиональный доход), а также за достоверность и актуальность поручаемых Процессору сведений.
5. Процессор не несёт ответственности за действия или бездействие Контролёра в отношении персональных данных Покупателей, за исполнение Контролёром расчётных и налоговых обязанностей в отношении Покупателей, а также за содержание поручаемых Контролёром данных, переписки и иных материалов, размещаемых Контролёром в Сервисе.

10. Реквизиты Процессора