Поручение на обработку персональных данных

Приложение к публичной оферте на доступ к сервису GetVlad.

1. Кто есть кто

1.1. Клиент — компания или индивидуальный предприниматель, принявшие оферту GetVlad. Клиент — оператор персональных данных своих покупателей и сотрудников: он решает, зачем и какие данные обрабатывать.

1.2. Исполнитель — индивидуальный предприниматель Прокопович Татьяна Григорьевна (ИНН 470310200510, ОГРНИП 325784700330365), дальше — «мы». Мы обрабатываем эти данные по поручению Клиента (ч. 3 ст. 6 152-ФЗ) и только для того, чтобы работал сервис GetVlad.

1.3. Клиент даёт это поручение, когда принимает оферту. Поручение действует, пока действует договор, и после него — до удаления данных по разделу 9.

1.4. Согласие субъектов персональных данных мы не получаем: это делает Клиент, когда оно нужно (ч. 4 ст. 6 152-ФЗ).

2. Чьи данные и какие

2.1. Покупатели и потенциальные покупатели Клиента

• имя, телефон, e-mail — из CRM и телефонии Клиента;
• сделки и заказы: что, на какую сумму, на каком этапе, кто менеджер;
• звонки: дата, длительность, направление, номер;
• аудиозаписи разговоров и их расшифровки — всё, что человек сказал в разговоре.

2.2. Сотрудники Клиента

• имя, e-mail, телефон, внутренний номер в телефонии, идентификаторы в CRM;
• идентификатор и имя пользователя в Телеграме, если сотрудник подключил бот;
• записи и расшифровки его разговоров, оценки по чек-листу, ошибки и рекомендации;
• баллы, место в рейтинге, достижения, заказанные призы;
• переписка с ИИ-сотрудниками.

2.3. Чего в Сервисе быть не должно

Специальные категории (здоровье, религия, политические взгляды и т. п.) и биометрические данные Сервис не обрабатывает. Голос в записи мы не используем, чтобы установить личность человека, поэтому запись разговора здесь не является биометрическими данными (ст. 11 152-ФЗ). Если такие сведения случайно прозвучали в разговоре, они остаются в записи и расшифровке и удаляются вместе с ними.

3. Зачем

Только чтобы оказывать Клиенту услуги по оферте:

• считать показатели отдела продаж;
• распознавать разговоры и оценивать их по чек-листу Клиента;
• начислять баллы и вести рейтинг;
• распределять заявки между менеджерами и записывать ответственного в CRM, если Клиент это включил;
• присылать отчёты и разборы руководителям и менеджерам;
• отвечать на вопросы Пользователей через ИИ-сотрудников;
• разбирать сбои по обращению Клиента.

Для своих целей (реклама, обучение моделей ИИ, продажа) мы эти данные не используем.

4. Что мы делаем с данными

Сбор (получение из CRM и телефонии Клиента по ключам, которые он выдал), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление доступа) лицам из раздела 5, блокирование, удаление, уничтожение. Обработка автоматизированная.

5. Кого мы привлекаем

5.1. Клиент разрешает нам поручать часть обработки следующим лицам:

5.2. С каждым из них работаем на условиях, которые требуют хранить данные в тайне и защищать их.

5.3. О новом поставщике предупреждаем Клиента за 10 дней по e-mail или в кабинете. Если Клиент против, он может прекратить договор и получить деньги за неиспользованную часть Периода.

6. Передача за границу

6.1. Две функции требуют передачи данных за пределы России:

• оценка разговоров и ИИ-сотрудники — текст уходит в Anthropic, PBC (США). Аудио за границу не уходит: речь распознаётся в России;
• Телеграм-бот — сообщения проходят через серверы Телеграма за пределами России.

6.2. США не входят в перечень стран, обеспечивающих адекватную защиту прав субъектов персональных данных.

6.3. Принимая оферту, Клиент поручает нам такую передачу и соглашается на неё. Клиент как оператор:

• подаёт в Роскомнадзор уведомление о трансграничной передаче (ст. 12 152-ФЗ). Сведения о получателях для уведомления мы даём по запросу в течение 5 рабочих дней;
• проверяет, что у него есть законные основания на такую передачу, и сообщает о ней своим покупателям и сотрудникам там, где это требуется.

6.4. Пока Клиент не готов к передаче, он может выключить в настройках проекта оценку разговоров и ИИ-сотрудников и не пользоваться ботом.

6.5. Что мы делаем со своей стороны: передаём только текст, без которого задачу не решить; канал зашифрован; по условиям Anthropic для API данные не используются для обучения моделей.

7. Наши обязанности

7.1. Обрабатывать данные только по этому поручению и сохранять их конфиденциальность.

7.2. Хранить данные граждан России первично на сервере в России (ч. 5 ст. 18 152-ФЗ). Выполнять требования ст. 18.1 и 19 152-ФЗ.

7.3. Защищать данные. Меры, которые применяем сейчас:

• доступ к сайту, кабинету и программным интерфейсам — только по HTTPS;
• пароли — в виде хэша (scrypt);
• роли внутри проекта: менеджер видит только свои звонки и оценки;
• ключи доступа к CRM и телефонии не показываются целиком и не пишутся в журналы;
• резервные копии — ежедневно и в зашифрованном виде;
• к серверу имеем доступ только мы;
• меры подбираем под 4-й уровень защищённости по Постановлению Правительства РФ № 1119 от 01.11.2012.

7.4. Помогать Клиенту отвечать на запросы субъектов: найти, исправить, выгрузить или удалить данные конкретного человека в течение 5 рабочих дней после просьбы Клиента. Если субъект обратился к нам напрямую, передаём обращение Клиенту в течение 2 рабочих дней.

7.5. Об утечке или неправомерной передаче данных сообщаем Клиенту без задержки, не позже 24 часов с момента, когда узнали. В течение 48 часов присылаем, что выяснили: что произошло, чьи данные затронуты, что сделали. Этого хватит, чтобы Клиент уложился в сроки ч. 3.1 ст. 21 152-ФЗ.

7.6. По запросу Клиента в течение 10 рабочих дней даём сведения и документы о том, как выполняем это поручение и защищаем данные.

7.7. Не поручать обработку никому, кроме лиц из раздела 5.

8. Обязанности Клиента

8.1. Иметь законные основания на обработку данных, которые попадают в Сервис, и на поручение их нам. В частности:

• предупреждать покупателей, что разговоры записываются;
• предупреждать сотрудников, что их разговоры записываются и оцениваются, и получить их согласие, где оно нужно по закону.

8.2. Не принимать решения, которые влекут для сотрудника юридические последствия (взыскание, увольнение, лишение премии), только на основании автоматической оценки (ст. 16 152-ФЗ, ст. 86 ТК РФ). Оценку проверяет человек. В Сервисе для этого есть оспаривание и ручная правка оценки.

8.3. Не загружать в Сервис специальные категории персональных данных.

8.4. Подать уведомления в Роскомнадзор, которые требуются от оператора (ст. 12 и 22 152-ФЗ).

8.5. Сообщать нам об указаниях субъектов, которые требуют наших действий (удалить, исправить).

9. Сколько храним и как удаляем

9.1. Аудиозаписи разговоров — 90 дней с момента, когда мы их получили, потом удаляем. Расшифровка и оценка остаются.

9.2. Служебные журналы обмена с CRM и телефонией — 30 дней.

9.3. Остальные данные — пока действует договор.

9.4. По указанию Клиента удаляем отдельные записи или все данные проекта раньше, в течение 10 рабочих дней. Весь проект владелец может удалить и сам, в настройках кабинета; тогда данные удаляются сразу.

9.5. После прекращения договора или приостановки Сервиса без оплаты ждём 30 дней (за это время Клиент может оплатить или попросить выгрузку), затем удаляем данные проекта. Из резервных копий данные уходят по мере их обновления, не позже чем через 90 дней.

9.6. По запросу Клиента подтверждаем удаление письменно.

10. Ответственность

10.1. Перед субъектами персональных данных за обработку отвечает Клиент как оператор. Мы отвечаем перед Клиентом (ч. 5 ст. 6 152-ФЗ).

10.2. Наша ответственность перед Клиентом — в пределах, установленных офертой (раздел 13), кроме умышленного нарушения.

10.3. Если нарушение произошло из-за того, что Клиент не выполнил раздел 8, отвечает Клиент.

Вопросы по документу: hello@getvlad.ru