Пользовательское соглашение и поручение на обработку персональных данных

Термины и определения

Исполнитель / Обработчик — Каюкова Анастасия Андреевна, самозанятый, ИНН 245407282285, владелец платформы FloraBot.

Заказчик / Пользователь / Оператор — физическое лицо или юридическое лицо (салон цветов), зарегистрировавшееся в платформе FloraBot и использующее Сервис для управления заказами клиентов.

Платформа / Сервис — программное обеспечение FloraBot, включающее Telegram-бот для клиентов Заказчика и веб-интерфейс (админка) для управления заказами и клиентами.

Клиент / Покупатель / Подписчик — физическое лицо, использующее Telegram-бот Заказчика для заказа цветов или других услуг.

Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (ФИО, телефон, адрес доставки и т.д.).

ЦОД (Центр обработки данных) — Timeweb Cloud (ООО «ТАЙМВЭБ КЛАУД»), дата-центр в г. Москва, где физически хранятся персональные данные.

1. Предмет соглашения

1.1. Исполнитель предоставляет Заказчику доступ к платформе FloraBot для управления записями, заказами и коммуникацией с клиентами через Telegram-бот.

1.2. Заказчик использует Платформу для сбора и обработки персональных данных своих клиентов в целях организации заказов цветов, доставки, уведомлений и маркетинговых коммуникаций.

1.3. Начиная использование Сервиса, Заказчик соглашается с условиями настоящего Соглашения и автоматически признается Оператором персональных данных своих клиентов в соответствии с Федеральным законом № 152-ФЗ «О персональных данных».

1.4. Исполнитель действует исключительно в качестве Обработчика персональных данных по поручению Заказчика в соответствии с разделом 4 настоящего Соглашения.

1.5. Физическое хранение персональных данных осуществляется на серверах Timeweb Cloud (ООО «ТАЙМВЭБ КЛАУД»), расположенных в г. Москва, Российская Федерация.

2. Разделение ролей и ответственности

2.1. Заказчик является Оператором персональных данных

Заказчик:

• Самостоятельно определяет цели обработки персональных данных своих клиентов (заказ цветов, доставка, уведомления, рассылки)
• Определяет состав обрабатываемых персональных данных
• Получает согласия клиентов на обработку их персональных данных через Telegram-бот
• Несет полную ответственность перед клиентами и контролирующими органами (Роскомнадзор) за законность обработки персональных данных
• Не обязан уведомлять Роскомнадзор (если является ИП или микробизнесом до 15 человек и обрабатывает данные только для выполнения договоров с клиентами)
• Обязан разместить политику конфиденциальности на своем сайте, в Telegram-канале или в боте с указанием места хранения данных (Timeweb Cloud)

2.2. Исполнитель является Обработчиком персональных данных

Исполнитель:

• Обрабатывает персональные данные клиентов Заказчика исключительно по поручению Заказчика и только в рамках инструкций, установленных настоящим Соглашением
• Не определяет цели обработки персональных данных
• Не использует персональные данные клиентов Заказчика в своих целях
• Не передает персональные данные третьим лицам (за исключением случаев, предусмотренных законодательством)
• Несет ответственность за техническую защиту персональных данных
• Предоставляет Заказчику необходимые документы и информацию по запросу

2.3. Timeweb Cloud является ЦОД (местом физического хранения данных)

Timeweb Cloud:

• Предоставляет серверную инфраструктуру для размещения Платформы
• Обеспечивает физическую безопасность серверов
• Выполняет резервное копирование на уровне инфраструктуры
• Не имеет доступа к персональным данным клиентов Заказчика (данные зашифрованы)

3. Функционал платформы

3.1. Платформа FloraBot предоставляет Заказчику следующие возможности:

• Telegram-бот для приема заказов от клиентов
• Веб-интерфейс (админка) для управления заказами, клиентами и историей
• Автоматические уведомления клиентов о статусе заказа
• Инструменты для рассылки акций, скидок и напоминаний о важных датах
• Аналитический дашборд с агрегированной статистикой по заказам
• Логирование согласий клиентов на обработку персональных данных

3.2. Заказчик подтверждает, что все функции Платформы используются им законно и с соблюдением требований действующего законодательства о персональных данных.

4. Поручение на обработку персональных данных

4.1. Общие положения

4.1.1. Настоящий раздел является Поручением на обработку персональных данных в соответствии с ч. 3 ст. 6 Федерального закона № 152-ФЗ «О персональных данных».

4.1.2. Заказчик поручает, а Исполнитель принимает поручение на обработку персональных данных клиентов Заказчика на условиях, изложенных в настоящем разделе.

4.1.3. Поручение вступает в силу с момента начала использования Сервиса Заказчиком и действует в течение всего срока использования Платформы.

4.2. Состав персональных данных

Исполнитель обрабатывает следующие персональные данные клиентов Заказчика:

• Фамилия, имя, отчество
• Номер телефона (включая Telegram ID)
• Адрес доставки
• История заказов (состав букета, сумма, дата, время)
• Информация о предпочтениях клиента (если предоставлена)
• Логи согласий на обработку персональных данных

4.3. Цели обработки

Обработка персональных данных осуществляется исключительно для следующих целей, определенных Заказчиком:

• Прием и обработка заказов цветов
• Организация доставки букетов
• Уведомление клиентов о статусе заказа
• Информирование об акциях, скидках и специальных предложениях (с согласия клиента)
• Напоминания о важных датах (дни рождения, годовщины) (с согласия клиента)
• Ведение истории заказов клиента
• Формирование аналитических отчетов для Заказчика

4.4. Действия с персональными данными

Исполнитель осуществляет следующие действия с персональными данными:

• Сбор (через Telegram-бот)
• Запись в базу данных
• Систематизация и хранение
• Извлечение и предоставление Заказчику через интерфейс админки
• Использование для автоматических уведомлений
• Уточнение (обновление, изменение) по запросу Заказчика
• Удаление по требованию Заказчика или клиента

4.5. Требования к защите персональных данных

Исполнитель обязуется применять следующие технические и организационные меры защиты:

Технические меры:

Место хранения:

• Все персональные данные хранятся на серверах Timeweb Cloud (ООО «ТАЙМВЭБ КЛАУД»)
• Физическое местоположение серверов: г. Москва, Российская Федерация
• ЦОД Timeweb Cloud соответствует требованиям ФЗ-152

Шифрование:

• Шифрование всех соединений с использованием протокола TLS 1.3
• Шифрование конфиденциальных данных при хранении в базе данных (AES-256)
• Ключи шифрования хранятся отдельно от зашифрованных данных

Контроль доступа:

• Доступ к серверам только по SSH-ключам (использование паролей отключено)
• Применяется двухфакторная аутентификация для критических операций
• Доступ к базе данных ограничен и предоставляется исключительно уполномоченным лицам Обработчика
• Timeweb Cloud не имеет доступа к расшифрованным персональным данным

Резервное копирование:

• Автоматические ежедневные бэкапы
• Хранение 30 последних копий
• Бэкапы хранятся на отдельном сервере Timeweb Cloud
• Регулярное тестирование восстановления из бэкапов

Сетевая безопасность:

• Установлен брандмауэр (firewall), блокирующий несанкционированные соединения
• Реализована защита от DDoS-атак на уровне Timeweb Cloud
• Открыты только необходимые порты (443 для HTTPS, 22 для SSH)

Логирование:

• Ведение журналов всех операций с персональными данными
• Логи защищены от изменения и удаления
• Хранение логов в течение 5 лет

Обновления:

• Регулярное обновление программного обеспечения для устранения уязвимостей
• Мониторинг бюллетеней безопасности

Организационные меры:

• Ограничение доступа: персональные данные обрабатывают только уполномоченные лица Обработчика
• Обязательство конфиденциальности
• Регулярный мониторинг безопасности системы
• Проверка логов на предмет подозрительной активности
• План действий при инцидентах безопасности

4.6. Обязанности Исполнителя (обработчика)

Исполнитель обязуется:

4.6.1. Обрабатывать персональные данные только по поручению Заказчика и только в рамках целей, указанных в п. 4.3 настоящего Соглашения.

4.6.2. Не использовать персональные данные клиентов Заказчика в своих целях, включая, но не ограничиваясь:

• Маркетинговые рассылки от имени Исполнителя
• Продажа или передача данных третьим лицам
• Объединение баз данных разных Заказчиков для создания общей базы
• Анализ данных для собственных коммерческих целей (без согласия Заказчика)

4.6.3. Не передавать персональные данные третьим лицам, за исключением случаев:

• Прямого указания Заказчика
• Требования уполномоченных государственных органов в соответствии с законодательством РФ

4.6.4. Обеспечивать конфиденциальность персональных данных.

4.6.5. Предоставлять Заказчику по первому требованию:

• Копии персональных данных его клиентов
• Логи согласий на обработку персональных данных
• Документы, подтверждающие применяемые меры защиты
• Информацию о месте хранения данных (Timeweb Cloud)
• Любую иную информацию, необходимую для ответа на запросы клиентов

4.6.6. Немедленно уведомлять Заказчика в случае:

• Инцидента безопасности (утечка, несанкционированный доступ)
• Запроса от государственных органов
• Невозможности выполнения требований настоящего Поручения

4.6.7. По требованию Заказчика удалить персональные данные клиента в течение 3 (трех) рабочих дней с момента получения запроса.

4.6.8. При прекращении использования Сервиса Заказчиком:

• Предоставить полный экспорт всех персональных данных клиентов Заказчика
• Удалить все персональные данные из системы в течение 30 (тридцати) календарных дней

4.7. Обязанности Заказчика (оператора)

Заказчик обязуется:

4.7.1. Получать согласие клиентов на обработку их персональных данных до начала использования Telegram-бота.

4.7.2. Разместить политику конфиденциальности на своем сайте, в Telegram-канале или непосредственно в боте с указанием следующей информации:

• Наименование и реквизиты Заказчика как оператора ПДн
• Состав обрабатываемых персональных данных
• Цели обработки
• Место хранения данных: Timeweb Cloud (ООО «ТАЙМВЭБ КЛАУД»), г. Москва, РФ
• Права клиентов (доступ, изменение, удаление данных)
• Контакты Заказчика для обращений по вопросам персональных данных

4.7.3. Немедленно сообщать Исполнителю об отзыве согласия клиентом на обработку его персональных данных.

4.7.4. Нести ответственность перед клиентами за законность обработки персональных данных, включая получение необходимых согласий.

4.7.5. Гарантировать, что все персональные данные, передаваемые Исполнителю для обработки, получены законно с соблюдением требований Федерального закона № 152-ФЗ.

4.8. Срок хранения персональных данных

4.8.1. Персональные данные клиентов Заказчика хранятся в системе:

• До момента отзыва согласия клиентом + 3 (три) года
• До момента запроса Заказчика на удаление
• Но не более 5 (пяти) лет с момента последнего взаимодействия клиента с ботом

4.8.2. Бэкапы персональных данных хранятся в течение 30 (тридцати) календарных дней. Бэкапы старше 30 дней автоматически удаляются.

4.8.3. По истечении сроков хранения персональные данные подлежат уничтожению.

5. Права и обязанности сторон

5.1. Права Заказчика

Заказчик имеет право:

• Получить доступ ко всем персональным данным своих клиентов, хранящимся в Платформе
• Экспортировать данные в любой момент
• Требовать изменения или удаления персональных данных
• Запросить логи обработки персональных данных
• Требовать предоставления документов о месте хранения и мерах защиты данных
• Отозвать поручение на обработку персональных данных с соблюдением порядка прекращения использования Сервиса

5.2. Права Исполнителя

Исполнитель имеет право:

• Приостановить доступ к Сервису в случае нарушения Заказчиком условий настоящего Соглашения
• Изменять функционал Платформы с предварительным уведомлением Заказчика
• Проводить технические работы с временным ограничением доступа к Сервису (с уведомлением)

6. Ответственность сторон

6.1. Ответственность Заказчика

6.1.1. Заказчик несет полную ответственность перед своими клиентами за:

• Законность сбора персональных данных
• Получение необходимых согласий клиентов
• Соблюдение требований законодательства о персональных данных
• Предоставление клиентам информации об обработке их данных

6.1.2. В случае предъявления претензий или штрафов со стороны Роскомнадзора или клиентов, связанных с неполучением согласий, неправомерными целями обработки или нарушением прав клиентов, ответственность несет Заказчик.

6.2. Ответственность Исполнителя

6.2.1. Исполнитель несет ответственность перед Заказчиком за:

• Техническую защиту персональных данных в соответствии с мерами, указанными в п. 4.5
• Утрату или несанкционированное разглашение персональных данных по вине Исполнителя
• Нарушение условий Поручения (использование данных в своих целях, передача третьим лицам)

6.2.2. При возникновении инцидента безопасности (утечка данных) по вине Исполнителя, Исполнитель обязуется:

• Немедленно уведомить Заказчика (в течение 12 часов)
• Предоставить полную информацию об инциденте
• Принять меры по устранению последствий
• Содействовать Заказчику в уведомлении клиентов (если требуется)

6.2.3. Ответственность Исполнителя за утрату данных ограничена суммой фактически уплаченных Заказчиком средств за последние 3 месяца использования Сервиса. На этапе бесплатного использования Сервиса ответственность ограничена 10 000 (десятью тысячами) рублей.

7. Плата за использование сервиса

7.1. На дату начала использования Сервиса (этап тестирования) доступ к Платформе предоставляется бесплатно.

7.2. В дальнейшем Исполнитель вправе ввести платные тарифы. О введении платы Заказчик будет уведомлен не менее чем за 30 (тридцать) календарных дней.

7.3. Информация о тарифах будет размещена на сайте FloraBot или в интерфейсе админки.

8. Срок действия и прекращение соглашения

8.1. Настоящее Соглашение вступает в силу с момента начала использования Сервиса Заказчиком (регистрация в админке) и действует до момента прекращения использования Сервиса.

8.2. Заказчик вправе прекратить использование Сервиса в любой момент, направив уведомление на адрес support@florabot.ru.

8.3. При прекращении Соглашения:

• Исполнитель предоставляет полный экспорт данных Заказчика в течение 7 (семи) рабочих дней
• Все персональные данные клиентов Заказчика удаляются из системы в течение 30 (тридцати) календарных дней
• Бэкапы удаляются в течение 30 (тридцати) календарных дней

9. Конфиденциальность

9.1. Стороны обязуются сохранять конфиденциальность всей информации, полученной в рамках исполнения настоящего Соглашения.

9.2. Исполнитель не разглашает информацию о Заказчике, его клиентах и коммерческой деятельности третьим лицам, за исключением случаев, предусмотренных законодательством РФ.

10. Изменение соглашения

10.1. Исполнитель вправе вносить изменения в настоящее Соглашение.

10.2. О внесении изменений Заказчик уведомляется не менее чем за 7 (семь) календарных дней путем направления уведомления на адрес электронной почты, указанный при регистрации, или путем размещения уведомления в интерфейсе админки.

10.3. Продолжение использования Сервиса после вступления изменений в силу означает согласие Заказчика с новой редакцией Соглашения.

11. Контактные данные

Исполнитель / Обработчик:

Каюкова Анастасия Андреевна
Самозанятый, ИНН: 245407282285
Email: support@florabot.ru

Место хранения персональных данных:

Timeweb Cloud (ООО «ТАЙМВЭБ КЛАУД»)
Российская Федерация, г. Москва
Веб-сайт: https://timeweb.cloud

Согласие получено электронным способом при регистрации в админке.