Поручение на обработку персональных данных

Приложение № 1 к Публичной оферте – договору о предоставлении доступа к сервису «Солвент»

Редакция от 08.11.2026

1. Стороны и основание

1.1. Заказчик, акцептовавший Публичную оферту – договор о предоставлении доступа к сервису «Солвент» (далее – Договор), является оператором персональных данных, которые его Пользователи вносят в Сервис (далее – Оператор).

1.2. Общество с ограниченной ответственностью «Айон» (ООО «Айон»), ОГРН [ОГРН], ИНН [ИНН], адрес: [юридический адрес], является лицом, осуществляющим обработку персональных данных по поручению Оператора (далее – Обработчик), в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон).

1.3. Настоящее Поручение является неотъемлемой частью Договора, считается заключенным одновременно с Договором и действует до исполнения Обработчиком обязанностей по уничтожению персональных данных по разделу 8.

1.4. Термины используются в значениях, установленных Договором и Законом. Инцидент – неправомерная или случайная передача (предоставление, распространение, доступ) персональных данных, повлекшая нарушение прав субъектов персональных данных.

2. Категории субъектов персональных данных

1. граждане – клиенты Оператора, в том числе граждане-должники и лица, обратившиеся к Оператору за юридической помощью;
2. супруги и бывшие супруги клиентов;
3. дети, иные члены семей и иждивенцы клиентов;
4. кредиторы – физические лица, представители и работники кредиторов – юридических лиц;
5. поручители, созаемщики, залогодатели, иные лица, связанные с обязательствами клиентов;
6. финансовые (арбитражные) управляющие;
7. контрагенты по сделкам клиентов, приобретатели имущества;
8. представители, свидетели и иные участники судебных и внесудебных процедур;
9. Пользователи Оператора – в объеме сведений, указанных в Делах (ответственный юрист, исполнитель задачи), а также в объеме сведений, внесенных Руководителем для создания Учетной записи до дачи Пользователем согласия Обработчику.

3. Перечень персональных данных

3.1. Персональные данные:

• фамилия, имя, отчество, в том числе прежние; дата и место рождения; пол; гражданство;
• реквизиты документа, удостоверяющего личность, и иных документов; СНИЛС; ИНН;
• адрес регистрации и фактического проживания; номер телефона; адрес электронной почты;
• семейное положение; сведения о браке, его расторжении, брачном договоре, разделе имущества; сведения о детях и иждивенцах;
• сведения об образовании, месте работы и должности, статусе индивидуального предпринимателя, самозанятого, участии в юридических лицах;
• сведения о доходах, в том числе о заработной плате, пенсиях, пособиях, социальных выплатах;
• сведения о счетах, вкладах, банковских картах, остатках и движении денежных средств;
• сведения об имуществе и имущественных правах, сделках с имуществом;
• сведения о задолженности, кредитных и иных договорах, кредитной истории, исполнительных производствах, судебных делах;
• иные сведения, содержащиеся в документах дела, необходимые для ведения дела о банкротстве гражданина;
• копии (электронные образы) документов, содержащих перечисленные сведения.

3.2. Специальные категории персональных данных (статья 10 Закона): сведения о состоянии здоровья – наличие, группа и срок инвалидности, реквизиты и содержание документов об инвалидности, иные сведения о состоянии здоровья субъекта или членов его семьи в объеме, необходимом для расчетов и обоснования позиции по делу (определение размера средств, исключаемых из конкурсной массы, состава имущества, иных обстоятельств дела).

3.3. Изображения лица в копиях документов не используются для установления личности и не обрабатываются Обработчиком как биометрические персональные данные.

3.4. Оператор не вносит в Сервис биометрические персональные данные, а также иные сведения, не относящиеся к целям, указанным в разделе 4.

4. Цели обработки

4.1. Обработка осуществляется в целях обеспечения Оператору возможности вести с использованием Сервиса дела о банкротстве граждан и связанные с ними дела своих клиентов: хранение и систематизация анкет, документов и сведений по делам; контроль сроков; формирование черновиков процессуальных и иных документов и расчетов; предоставление доступа Пользователям Оператора в соответствии с установленными Оператором правами; выгрузка данных по запросу Оператора.

4.2. Обработчик не определяет цели обработки и не обрабатывает персональные данные в собственных целях, в том числе для аналитики, обучения моделей и рекламы.

5. Перечень действий и способы обработки

5.1. Обработчик совершает по поручению Оператора следующие действия: запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и удаление по командам Пользователей, извлечение, использование исключительно для выполнения функций Сервиса, передача (предоставление, доступ) Пользователям Оператора и лицам, привлеченным в соответствии с разделом 7, блокирование, уничтожение.

5.2. Обработка осуществляется с использованием средств автоматизации. Распространение персональных данных и их трансграничная передача не осуществляются.

5.3. Указаниями Оператора являются условия Договора и настоящего Поручения, команды Пользователей в Сервисе и письменные указания Оператора, направленные по электронной почте. Обработчик уведомляет Оператора, если указание, по его мнению, противоречит Закону.

6. Обязанности Обработчика

6.1. Соблюдать принципы и правила обработки персональных данных, предусмотренные Законом, и обрабатывать персональные данные только в соответствии с настоящим Поручением.

6.2. Соблюдать конфиденциальность персональных данных: не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом; предоставлять доступ к персональным данным только работникам, которым он необходим для исполнения Поручения, принявшим обязательство о неразглашении и ознакомленным с требованиями законодательства о персональных данных; работникам Обработчика доступ к содержанию Данных Заказчика предоставляется только в случаях, указанных в пункте 13.3 Договора, с регистрацией в журнале.

6.3. Обеспечивать безопасность персональных данных при их обработке и выполнять требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Закона, в том числе:

• определять угрозы безопасности персональных данных при их обработке в информационной системе Сервиса;
• обеспечивать уровень защищенности персональных данных, установленный в соответствии с требованиями Правительства Российской Федерации с учетом обработки специальных категорий персональных данных ([уровень защищенности: УЗ-__]), и применять соответствующие организационные и технические меры;
• применять средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия;
• оценивать эффективность принимаемых мер до ввода в эксплуатацию информационной системы и ее изменений;
• вести учет машинных носителей персональных данных;
• разграничивать доступ, в том числе логически изолировать данные Оператора от данных других Заказчиков, регистрировать и учитывать действия с персональными данными в информационной системе;
• шифровать передачу данных по сетям общего пользования (TLS) и [хранимые данные и резервные копии – указать механизм];
• обнаруживать факты несанкционированного доступа, реагировать на компьютерные инциденты и восстанавливать персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа;
• выполнять резервное копирование в соответствии с пунктом 10.3 Договора;
• контролировать принимаемые меры и уровень защищенности информационной системы.

6.4. Соблюдать требования части 5 статьи 18 Закона: осуществлять запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации ([наименование ЦОД, город]).

6.5. Соблюдать требования статьи 18.1 Закона: назначить лицо, ответственное за организацию обработки персональных данных; издать локальные акты по вопросам обработки и защиты персональных данных; осуществлять внутренний контроль; проводить оценку вреда; знакомить работников с требованиями законодательства и локальными актами.

6.6. По запросу Оператора в течение срока действия Поручения, в том числе до начала обработки персональных данных, в течение 10 (десяти) рабочих дней с даты получения запроса предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения Поручения требований, установленных статьей 6 Закона и настоящим Поручением, в том числе: выписки из локальных актов, сведения об уровне защищенности, сведения о применяемых средствах защиты информации и их сертификатах, результаты оценки эффективности мер, сведения о привлеченных лицах. Сведения, раскрытие которых может снизить уровень защищенности, предоставляются в обобщенном виде или для ознакомления.

6.7. Уведомлять Оператора о случаях, предусмотренных частью 3.1 статьи 21 Закона:

• незамедлительно, но не позднее [12 (двенадцати)] часов с момента выявления Инцидента, – о произошедшем Инциденте, его предполагаемых причинах, предполагаемом вреде (категории и примерное число субъектов и записей), принятых мерах по устранению последствий, а также о лице, уполномоченном на взаимодействие по вопросам Инцидента;
• не позднее [48 (сорока восьми)] часов с момента выявления Инцидента – о результатах внутреннего расследования и о лицах, действия которых стали причиной Инцидента (при наличии).

Уведомление направляется на адрес электронной почты Руководителя и [дополнительный канал: телефон / уведомление в кабинете руководителя]. Обработчик содействует Оператору в выполнении обязанности по уведомлению Роскомнадзора и принимает меры по устранению последствий Инцидента.

6.8. Не позднее 2 (двух) рабочих дней передавать Оператору поступившие Обработчику обращения и запросы субъектов персональных данных, касающиеся Данных Заказчика, и не отвечать на них по существу без указания Оператора. Обеспечивать Оператору техническую возможность исполнить требования статей 14, 20 и 21 Закона (поиск, выгрузка, уточнение, блокирование, уничтожение данных) в установленные Законом сроки; если такое действие невозможно выполнить средствами Сервиса, выполнять его по указанию Оператора в течение 3 (трех) рабочих дней.

6.9. Уведомлять Оператора о запросах государственных органов в отношении Данных Заказчика, если это не запрещено законом, и предоставлять данные таким органам только в случаях, предусмотренных федеральным законом.

7. Привлечение других лиц

7.1. Оператор дает согласие на привлечение Обработчиком для хранения данных [наименование хостинг-провайдера / ЦОД, ИНН, адрес]. Перечень привлеченных лиц размещается по адресу [адрес страницы с перечнем привлеченных лиц].

7.2. О привлечении нового лица Обработчик уведомляет Оператора не менее чем за 30 (тридцать) календарных дней. Оператор вправе возразить; при недостижении согласия Оператор вправе отказаться от Договора с возвратом части вознаграждения, пропорциональной неиспользованным дням оплаченного Расчетного периода.

7.3. Обработчик привлекает только лиц, обрабатывающих данные на территории Российской Федерации, на условиях не ниже установленных настоящим Поручением, и отвечает за их действия как за свои собственные.

8. Возврат и уничтожение персональных данных

8.1. После прекращения Договора Обработчик обеспечивает выгрузку и уничтожение персональных данных в порядке и сроки, установленные разделом 11 Договора.

8.2. При получении от Оператора указания об уничтожении персональных данных отдельного субъекта, если Оператор не может выполнить его средствами Сервиса, Обработчик уничтожает такие данные в течение 3 (трех) рабочих дней, а в резервных копиях – по истечении срока их хранения.

8.3. По запросу Оператора Обработчик предоставляет подтверждение уничтожения персональных данных, оформленное в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных.

9. Обязанности Оператора

9.1. Обеспечить наличие правовых оснований для обработки персональных данных, вносимых в Сервис (статьи 6 и 10 Закона), и для поручения их обработки Обработчику (часть 3 статьи 6 Закона), в том числе получить согласие субъекта в случаях, когда оно требуется. Если обработка сведений о состоянии здоровья осуществляется на основании согласия субъекта, согласие оформляется в письменной форме с указанием Обработчика как лица, осуществляющего обработку по поручению (пункт 1 части 2 статьи 10, пункт 6 части 4 статьи 9 Закона).

9.2. Вносить в Сервис только персональные данные, необходимые для целей, указанных в разделе 4.

9.3. Исполнять обязанности оператора, в том числе по уведомлению Роскомнадзора о намерении осуществлять обработку персональных данных (статья 22 Закона), информированию субъектов (часть 3 статьи 18 Закона), рассмотрению обращений субъектов и уведомлению Роскомнадзора об Инцидентах (часть 3.1 статьи 21 Закона).

9.4. Управлять доступом Пользователей и своевременно блокировать Учетные записи лиц, утративших право доступа.

9.5. Сообщать Обработчику об указаниях субъектов и Роскомнадзора, исполнение которых требует действий Обработчика.

10. Ответственность

10.1. Ответственность перед субъектами персональных данных за действия Обработчика несет Оператор. Обработчик несет ответственность перед Оператором (часть 5 статьи 6 Закона) в пределах, установленных разделом 12 Договора.

10.2. Оператор возмещает Обработчику имущественные потери, возникшие вследствие отсутствия у Оператора правовых оснований для обработки или поручения обработки персональных данных (пункт 12.5 Договора).

11. Заключительные положения

11.1. Во всем, что не урегулировано настоящим Поручением, применяются условия Договора. При противоречии в вопросах обработки персональных данных преимущество имеет Поручение.

11.2. Реквизиты Обработчика указаны в разделе 20 Договора; реквизиты Оператора – в Форме регистрации и Счете.