Поручение на обработку персональных данных

1. Роли сторон

1.1. Клиент Brele Finance является оператором персональных данных, которые он или его пользователи загружают в workspace (далее — «Данные клиента»). ООО «БРЕЛЕ» является лицом, осуществляющим обработку по поручению Клиента.

1.2. Клиент определяет цели и состав Данных клиента, обеспечивает законные основания обработки и информирование субъектов. Brele обрабатывает данные только по документированным указаниям Клиента, содержащимся в договоре, настройках и обращениях уполномоченных пользователей.

2. Цель, категории данных и субъектов

Цель поручения — предоставление функциональности управленческого финансового учёта, проектов, загрузки команды, отчётности, интеграций, поддержки, резервного копирования и информационной безопасности.

Категории субъектов: работники и подрядчики Клиента, его представители, клиенты и контрагенты.

Категории данных: ФИО, рабочие контакты, должность и роль; сведения о занятости и трудозатратах; реквизиты контрагентов; данные банковских операций, назначений платежа, счетов и остатков; сведения о проектах, договорах, счетах и актах; идентификаторы, журналы действий и иные данные, которые Клиент решил загрузить в пределах назначения Программы.

Специальные категории, биометрические данные и сведения, составляющие государственную тайну, не входят в поручение и не должны загружаться.

3. Перечень операций

Сбор через интерфейс и интеграции, запись, систематизация, накопление, хранение, уточнение, извлечение, сопоставление, расчёт и формирование отчётов, предоставление пользователям Клиента, обезличивание, блокирование, удаление и уничтожение. Обработка автоматизированная, с передачей по защищённым сетям.

4. Обязанности Brele

• соблюдать конфиденциальность и обрабатывать данные только для исполнения поручения;
• обеспечивать локализацию баз с данными российских граждан на территории РФ;
• применять правовые, организационные и технические меры защиты;
• допускать к данным только лиц, связанных обязанностью конфиденциальности;
• помогать Клиенту отвечать на законные запросы субъектов и государственных органов;
• предоставлять информацию, подтверждающую выполнение поручения;
• после окончания поручения вернуть доступный экспорт и удалить данные в установленные сроки.

5. Меры безопасности

Brele определяет актуальные угрозы, разграничивает права и применяет многофакторную аутентификацию для привилегированного доступа, защищённые каналы, журналирование, резервное копирование, управление уязвимостями и секретами, контроль подрядчиков, антивирусную защиту и план восстановления. Конкретный состав мер уточняется по уровню защищённости и модели угроз.

6. Привлечение обработчиков

Клиент разрешает привлекать провайдеров российского хостинга, резервного копирования, доставки почты и технической поддержки при условии письменных обязательств не менее строгих, чем в этом приложении. Brele остаётся ответственным перед Клиентом за исполнение поручения такими лицами. Информация о существенной замене обработчика сообщается заранее; обоснованное возражение стороны стараются урегулировать добросовестно.

7. Инциденты

При выявлении неправомерного или случайного доступа Brele уведомляет Клиента без неоправданной задержки и, насколько возможно, не позднее 24 часов после подтверждения инцидента. Уведомление содержит характер события, известные категории данных и субъектов, вероятные последствия, принятые меры и контакт для взаимодействия. Brele содействует Клиенту в выполнении обязательных уведомлений.

8. Запросы субъектов и аудит

Если запрос субъекта поступил Brele напрямую по поводу Данных клиента, Brele переадресует его Клиенту, если закон не требует иного. Не чаще одного раза в год Клиент вправе запросить разумно необходимое документальное подтверждение мер защиты. Выездной аудит допускается при подтверждённом существенном инциденте, с соблюдением конфиденциальности и без доступа к данным других клиентов.

9. Срок и удаление

Поручение действует в течение лицензионного договора. После его прекращения Brele сохраняет доступ к экспорту до 30 календарных дней, затем удаляет данные из рабочей системы. Остаточные копии удаляются по циклу резервного копирования, не позднее 90 дней, если закон не требует хранения. В течение этого срока они изолированы от обычного использования.

10. Приоритет условий

При противоречии между этим приложением и общими условиями Оферты в вопросах обработки Данных клиента применяются условия приложения. Остальные положения Оферты сохраняют силу.