Поручение на обработку данных

1. Предмет поручения

1.1. Настоящий документ (далее — «Поручение») определяет порядок обработки персональных данных Клиентов Пользователя (далее — «ПДн Клиентов») в рамках использования платформы LALAPAM (далее — «Платформа»).

1.2. Пользователь (далее — «Оператор») поручает LALAPAM (далее — «Обработчик») обработку персональных данных своих Клиентов в соответствии с условиями настоящего Поручения.

1.3. Обработка персональных данных осуществляется исключительно в рамках функциональности Платформы и в целях, определённых Оператором. Включение Оператором отдельных функций Платформы (AI-функции, Прямые каналы, приём платежей и др.) является документированным указанием Оператора на соответствующую обработку.

1.4. Правовым основанием для обработки является статья 6, часть 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ-152).

1.5. Настоящее Поручение не распространяется на обработку данных единой учётной записи Клиента на Платформе (регистрация, авторизация, журнал согласий, безопасность), в отношении которой LALAPAM выступает самостоятельным оператором персональных данных в соответствии с Политикой конфиденциальности.

2. Определения

• Оператор (Пользователь) — физическое или юридическое лицо (индивидуальный предприниматель, самозанятый), использующее Платформу LALAPAM для обслуживания своих Клиентов и определяющее цели и средства обработки их персональных данных.
• Обработчик (LALAPAM) — ИП Филипкин Денис Николаевич, предоставляющий SaaS-платформу LALAPAM и осуществляющий обработку персональных данных Клиентов по поручению Оператора.
• Клиент — физическое лицо, записывающееся на услуги, приобретающее товары или осуществляющее бронирование через Платформу Пользователя.
• Персональные данные Клиента — любая информация, относящаяся к Клиенту, предоставленная им при бронировании, покупке или ином взаимодействии с Платформой.
• AI-функции — функциональность Платформы, использующая большие языковые модели сторонних поставщиков, включая AI-агента для автоматизированного общения с Клиентами.
• Прямые каналы — функциональность отправки и приёма сообщений через принадлежащие Оператору учётные записи в сторонних мессенджерах, подключаемые Оператором к Платформе.

3. Категории данных Клиентов

3.1. В рамках настоящего Поручения Обработчик обрабатывает следующие категории персональных данных Клиентов:

• Имя, фамилия
• Номер телефона, адрес электронной почты (email)
• Telegram ID, ID МАКС, идентификаторы в иных мессенджерах, подключаемых к Платформе
• Данные заказов (наименования услуг, даты, суммы)
• Данные форм бронирования (произвольные поля, настроенные Пользователем)
• Содержимое переписки Клиента в каналах связи Платформы, включая диалоги с AI-агентом Оператора
• Краткие сведения о предпочтениях и истории обслуживания Клиента (память AI-агента), заметки Оператора о Клиенте
• Фотографии и файлы, прикреплённые к заказам
• История взаимодействий с Платформой

3.2. Оператор обязуется не вносить в свободные поля форм, заметки и инструкции AI-агента специальные категории персональных данных (о здоровье, религиозных убеждениях и т.п.) и биометрические данные. Сведения такого характера, сообщённые Клиентом по собственной инициативе в переписке, обрабатываются исключительно как содержимое соответствующей коммуникации.

4. Обязанности Обработчика (LALAPAM)

4.1. Обработчик обязуется:

• Обрабатывать данные Клиентов исключительно по документированным инструкциям Оператора (включая настройки функций Платформы, выполненные Оператором) и в целях, определённых настоящим Поручением.
• Обеспечить конфиденциальность обрабатываемых персональных данных.
• Принять технические и организационные меры защиты персональных данных, включая:
  • Шифрование данных при передаче (TLS/HTTPS)
  • Шифрование чувствительных данных в хранилище (включая учётные данные подключённых мессенджер-аккаунтов)
  • Ролевой контроль доступа и изоляцию данных организаций
  • Логирование операций с данными
  • Регулярное резервное копирование
• Уведомить Оператора об инциденте безопасности в течение 72 часов с момента обнаружения.
• Содействовать Оператору в реализации прав субъектов персональных данных (запросы на доступ, исправление, удаление).
• Удалить или вернуть все персональные данные Клиентов по запросу Оператора или при расторжении договора.
• Предоставить Оператору информацию, необходимую для демонстрации соблюдения обязательств по настоящему Поручению.
• Не привлекать субобработчиков без предварительного уведомления Оператора и поддерживать перечень субобработчиков (раздел 6) в актуальном состоянии.

5. Обязанности Оператора (Пользователя)

5.1. Оператор обязуется:

• Получить законное согласие Клиентов на обработку их персональных данных до начала использования Платформы, а для сообщений рекламного характера — предварительное согласие получателя в соответствии со ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» и ст. 44.1 Федерального закона от 07.07.2003 № 126-ФЗ «О связи».
• Обеспечить наличие правового основания для сбора и обработки данных Клиентов в соответствии с действующим законодательством, включая (при использовании соответствующих функций) основания для передачи данных поставщикам AI-моделей и операторам мессенджеров, в том числе трансграничной (раздел 7).
• Определить цели и объём обработки данных Клиентов.
• Исполнять обязанности оператора персональных данных, предусмотренные ФЗ-152, в отношении данных своих Клиентов (включая, при необходимости, уведомление уполномоченного органа об обработке и о трансграничной передаче персональных данных).
• Уведомить Обработчика о любых ограничениях в отношении обработки персональных данных.
• Незамедлительно сообщать Обработчику об обращениях субъектов персональных данных (запросы на удаление, доступ, исправление и т.д.).
• Учитывать отказы Клиентов от получения сообщений (в том числе зафиксированные автоматически по стоп-словам) и не возобновлять отправку без нового согласия.
• Нести полную ответственность за законность сбора данных Клиентов и за содержание направляемых Клиентам сообщений.
• Разместить собственную политику конфиденциальности для своих Клиентов.

6. Субобработчики

6.1. Обработчик привлекает следующих субобработчиков для выполнения отдельных функций Платформы:

6.2. Оператор уведомляется об изменении перечня субобработчиков не менее чем за 30 дней до внесения изменений (путём публикации обновлённой редакции настоящего Поручения и/или уведомления через каналы связи Платформы).

6.3. Оператор вправе возразить против привлечения нового субобработчика в течение указанного срока уведомления; при недостижении согласия Оператор вправе отказаться от использования соответствующей функции либо расторгнуть договор.

6.4. Отдельные сервисы подключаются Оператором самостоятельно на основании собственных договоров Оператора с такими сервисами (например, платёжный сервис ЮKassa для приёма платежей Клиентов, собственные учётные записи Оператора в мессенджерах). В отношении таких сервисов Обработчик осуществляет передачу данных по поручению Оператора, а условия обработки данных сервисом определяются договором Оператора с соответствующим сервисом; такие сервисы не являются субобработчиками Обработчика.

7. Трансграничная передача

7.1. Персональные данные Клиентов могут передаваться в юрисдикции, указанные в таблице субобработчиков (раздел 6), для выполнения соответствующих функций Платформы.

7.2. Включая AI-функции и (или) Прямые каналы, Оператор даёт Обработчику документированное указание на передачу данных Клиентов соответствующим субобработчикам, в том числе трансграничную (США — OpenAI, КНР — DeepSeek, ОАЭ — Telegram, иные юрисдикции — согласно разделу 6).

7.3. Оператор как оператор персональных данных своих Клиентов самостоятельно обеспечивает выполнение требований статьи 12 ФЗ-152 в отношении поручаемой трансграничной передачи (включая, при необходимости, уведомление уполномоченного органа и наличие правовых оснований передачи в страны, не обеспечивающие адекватную защиту прав субъектов персональных данных). Обработчик предоставляет Оператору сведения о юрисдикциях получателей (раздел 6) и по запросу — иную информацию, необходимую для исполнения этих требований.

7.4. Меры защиты при трансграничной передаче включают: шифрование данных, минимизацию передаваемых данных и наличие контрактных обязательств субобработчиков по защите персональных данных.

8. Особенности обработки при использовании отдельных функций

8.1. AI-функции (AI-агент). При включении Оператором AI-агента:

• содержимое диалога Клиента и необходимый контекст (сведения об услугах, записях, предпочтениях Клиента) передаются поставщику AI-модели для формирования ответа;
• Платформа может формировать и хранить краткие сведения о предпочтениях и истории обслуживания Клиента (память AI-агента) в рамках организации Оператора; Оператор может просматривать, исправлять и удалять такие сведения средствами Платформы;
• Обработчик ведёт технический журнал обращений AI-агента (запрос к модели, контекст обращения, вызовы инструментов и их результаты, ответ модели) в целях обеспечения работоспособности функции, разбора инцидентов и улучшения качества моделей; сведения из журнала используются для дообучения моделей; номера телефонов и адреса электронной почты удаляются перед использованием;
• Оператор управляет AI-агентом (включение/отключение, инструкции, подключённые инструменты) и обязан контролировать существенные результаты его работы;
• ответы формируются автоматически; решения, порождающие юридические последствия для Клиента, на основании исключительно автоматизированной обработки не принимаются (создание и изменение записей происходит по волеизъявлению Клиента и/или под контролем Оператора).

8.2. Прямые каналы. При подключении Оператором собственных учётных записей мессенджеров:

• для доставки сообщения номер телефона Клиента и (или) его идентификатор передаются оператору соответствующего мессенджера;
• учётные данные (данные сессии) подключённой учётной записи хранятся Обработчиком в зашифрованном виде и используются исключительно для отправки и приёма сообщений по поручению Оператора;
• Обработчик применяет автоматическую обработку отказов получателей (стоп-слова): отказ Клиента фиксируется, дальнейшая отправка ему сообщений через соответствующий канал прекращается;
• Обработчик вправе применять квоты и лимиты отправки в целях снижения риска блокировки учётных записей и предотвращения массовых рассылок без согласия получателей;
• ответственность за законность рассылок, наличие согласий получателей и содержание сообщений несёт Оператор.

9. Реализация прав субъектов

9.1. При получении запроса от Клиента (на доступ, исправление или удаление персональных данных), Обработчик:

• Уведомляет Оператора о поступившем запросе в течение 48 часов.
• Содействует Оператору в исполнении запроса субъекта.
• Выполняет удаление персональных данных в течение 30 дней после получения подтверждения от Оператора.

10. Инциденты безопасности

10.1. Обработчик уведомляет Оператора о любом инциденте безопасности, затрагивающем персональные данные Клиентов, в течение 72 часов после обнаружения.

10.2. Уведомление об инциденте содержит: описание инцидента, категории и приблизительный объём затронутых данных, принятые меры по устранению и рекомендации по минимизации последствий.

10.3. Обработчик принимает все разумные меры для минимизации последствий инцидента безопасности.

11. Срок действия и расторжение

11.1. Настоящее Поручение действует на весь срок действия Пользовательского соглашения между Оператором и Обработчиком.

11.2. При расторжении Пользовательского соглашения Обработчик удаляет все персональные данные Клиентов в течение 30 дней.

11.3. По запросу Оператора Обработчик обеспечивает возврат данных в машиночитаемом формате до их удаления.

12. Ответственность

12.1. Каждая сторона несёт ответственность за нарушение своих обязательств по настоящему Поручению в соответствии с действующим законодательством Российской Федерации.

12.2. Обработчик не несёт ответственности за: незаконный сбор персональных данных Оператором; обработку данных, выходящую за рамки документированных инструкций Оператора; содержание сообщений и рассылок, направляемых Оператором или в соответствии с его настройками (включая автоматические правила, сценарии и AI-агента); несоблюдение Оператором организационных мер защиты и неправомерные действия работников и представителей Оператора; последствия ограничения или блокировки учётных записей Оператора сторонними сервисами и мессенджерами.

12.3. Ответственность Обработчика ограничена в соответствии с условиями Пользовательского соглашения.

13. Применимое право

13.1. Настоящее Поручение регулируется законодательством Российской Федерации.

13.2. К обработке персональных данных применяется Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

13.3. Споры, возникающие из настоящего Поручения, разрешаются в порядке, предусмотренном Пользовательским соглашением.

14. Контактная информация

14.1. Обработчик:

• Наименование: Индивидуальный предприниматель Филипкин Денис Николаевич
• ИНН: 731201040405
• Адрес: г. Ульяновск, ул. Кирова д. 6, кв. 225, 432048, Российская Федерация
• Email: support@lalapam.ru