Поручение на обработку персональных данных в Нивелио

Редакция от 30 октября 2026 года.

1 Стороны и предмет

1.1. Организация или иной заказчик, размещающий в Нивелио персональные данные для собственных целей, далее - Заказчик, поручает [[НАИМЕНОВАНИЕ_ИЛИ_ФИО_ОПЕРАТОРА]], ИНН [[ИНН]], ОГРН/ОГРНИП [[ОГРН_ОГРНИП_ИЛИ_НЕ_ПРИМЕНИМО]], адрес [[АДРЕС_ОПЕРАТОРА]], далее - Исполнитель, обработку данных в соответствии с частью 3 статьи 6 Закона № 152-ФЗ и настоящим Поручением.

1.2. Поручение является частью Оферты и применяется с момента его принятия уполномоченным представителем Заказчика до предоставления доступа к рабочему пространству и загрузки персональных данных. Данные и полномочия Заказчика фиксируются в заказе/договоре и аккаунте организации. Обычное приглашение сотрудника не наделяет его правом принять поручение от имени работодателя.

1.3. Заказчик определяет законные цели и основания обработки данных сотрудников, клиентов и других лиц. Исполнитель выполняет только предусмотренные поручением операции и законные документированные указания Заказчика. В отношении собственных целей аккаунта, платежей и безопасности Исполнитель действует в роли, описанной в его политике.

2 Цели субъекты и данные

2.1. Цели: организация совместной работы и исполнения задач; учёт персонала и назначений; учёт оборудования, отправок и связанных операций; подготовка разрешённых рабочих документов; импорт и экспорт в пределах подключённых функций; отправка необходимых уведомлений по этим операциям; хранение, резервирование и восстановление таких данных. Обработка допустима только в пределах модулей, действительно подключённых Заказчиком.

2.2. Категории субъектов: сотрудники и уполномоченные пользователи Заказчика, представители контрагентов, клиенты - физические лица и иные лица, участвующие в конкретной разрешённой операции. Включение новой категории, например соискателей или несовершеннолетних, требует отдельной оценки цели, основания и условий обработки.

2.3. Состав обычных данных: ФИО, рабочие телефоны и email, должность и роль, подразделение, дата приёма на работу, начало и окончание действия пропуска, программы обучения и сроки их прохождения, связь с задачей или операцией, сведения о назначениях и выполненных действиях, допустимая фотография, необходимые комментарии, идентификаторы записей, история изменений и разрешённые вложения, относящиеся к этим целям. Для служебных уведомлений - адрес получателя и минимальное содержание события.

2.4. Не поручаются обработка паспортных реквизитов и сканов, СНИЛС, ИНН сотрудников как личных идентификаторов, специальные категории по статье 10 и данные для биометрического установления личности по статье 11 Закона № 152-ФЗ. Реквизиты контрагентов в разрешённых хозяйственных документах оцениваются по конкретной цели, а не по запрету личных идентификаторов сотрудников.

2.5. Фотографии не разрешается использовать для биометрической идентификации на основании одного этого Поручения. Заказчик обязан отдельно оценить использование изображений при установлении личности, в том числе для пропусков, и обеспечить необходимую форму согласия либо иное законное основание до такой обработки.

3 Разрешённые операции и ограничения

3.1. Исполнитель вправе выполнять сбор посредством предоставленных форм и импорта, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование для отображения и расчётов внутри разрешённой функции, предоставление доступа уполномоченным пользователям и согласованным обработчикам, экспорт по команде Заказчика, блокирование, удаление и уничтожение.

3.2. Обработка выполняется автоматизированно. Доступ человека допускается по установленной процедуре поддержки, безопасности, исполнения указания Заказчика или закона. Исполнитель не обязан и не получает права просматривать все загруженные данные для поиска коммерчески полезной информации.

3.3. Запрещены использование клиентских данных для собственной рекламы, продажа баз, публикация неопределённому кругу лиц, обучение внешних моделей искусственного интеллекта и передача в не согласованные интеграции. Новая цель не вводится односторонним обновлением текста Поручения.

3.4. Сообщения от имени Заказчика могут направляться только законным получателям. Наличие в сервисе технического средства рассылки не доказывает рекламного согласия адресата. Подтверждение такого основания обеспечивает Заказчик, если именно он определяет цель рассылки.

4 Обязанности Заказчика

4.1. До размещения данных Заказчик определяет законное основание и необходимый объём обработки, информирует субъектов и, когда это требуется, получает надлежащее согласие, включая обработку/передачу конкретным лицам и письменную форму для предусмотренных законом случаев. Заказчик не использует согласие своего администратора вместо согласий других субъектов.

4.2. Заказчик выполняет собственные обязанности по уведомлению Роскомнадзора, локальным актам, обращениям субъектов, срокам хранения и разграничению прав. Он назначает лиц, уполномоченных давать указания Исполнителю, поддерживает актуальные контакты и немедленно отзывает доступ у лиц, утративших полномочия.

4.3. Заказчик не загружает избыточные данные и запрещённые сведения, проверяет свободный текст и вложения, определяет сроки хранения и своевременно сообщает об исправлении, отзыве и необходимости уничтожения. При изменении своей цели он проверяет, соответствует ли ей действующее поручение.

4.4. Данные, выгруженные Заказчиком на собственные устройства или переданные им в другую систему, далее обрабатываются под его контролем. Исполнитель продолжает отвечать за свои операции и не освобождается от них фактом экспорта.

5 Обязанности Исполнителя

5.1. Исполнитель соблюдает принципы и правила Закона № 152-ФЗ, конфиденциальность по статье 7, требования части 5 статьи 18 и статьи 18.1, принимает меры защиты по статье 19 с учётом применимых требований к информационным системам персональных данных.

5.2. Обеспечивает разделение данных организаций, доступ по полномочиям, защиту соединений, управление доступом сотрудников и подрядчиков, безопасное резервирование, регистрацию значимых событий, реагирование на инциденты и контроль выполнения согласованных мер. Утверждённые внутренние меры должны соответствовать фактическим угрозам и уровню защищённости.

5.3. По обоснованному запросу Заказчика предоставляет документы и информацию, подтверждающие меры и соблюдение Поручения, в течение 10 рабочих дней, а при срочном требовании регулятора - в необходимый более короткий срок. Конфиденциальные материалы могут предоставляться защищённо с ограничением дальнейшего распространения; это не основание отказать в необходимом подтверждении.

5.4. Организует выполнение законных указаний по исправлению, ограничению доступа, блокированию и уничтожению. Если указание явно противоречит закону, немедленно уведомляет Заказчика и не исполняет незаконную часть. При обязательном запросе государственного органа предоставляет только требуемый объём и информирует Заказчика, если это не запрещено законом.

6 Инфраструктура и привлечённые лица

6.1. Согласованные лица для инфраструктурных операций:

• ООО «Бегет», ИНН 7801451618, адрес: 195112, г. Санкт-Петербург, пл. Карла Фаберже, д. 8Б, офис 726А - основная инфраструктура; размещение Российская Федерация, регион Санкт-Петербург, ru1;
• ООО «Селектел», ИНН 7842393933, адрес: 196084, г. Санкт-Петербург, ул. Цветочная, д. 21, литера А - резервные копии S3; размещение Российская Федерация, регион Санкт-Петербург, пул ru-3;
• ООО «Бегет» (реквизиты указаны выше); объектное хранилище в Российской Федерации, регион Санкт-Петербург, ru1 - основные загружаемые файлы;
• ООО «Бегет» (реквизиты указаны выше); сервис почтовой доставки Beget - необходимые служебные письма;

Привлечение иных непосредственных обработчиков для исполнения настоящего Поручения не предусмотрено. Изменение состава привлечённых лиц осуществляется в порядке пункта 6.3.

S3 - технология облачного хранилища, в котором файлы сохраняются как отдельные объекты с управляемым доступом. Резервные копии создаются для восстановления после сбоя; они не становятся публичными из-за размещения в облаке. Настройку доступа и срока удаления обеспечивает Исполнитель.

6.2. Их доступ ограничивается технической функцией и необходимым составом сведений. Исполнитель закрепляет обязательства конфиденциальности, защиты, подтверждения мер и уведомления об инцидентах и отвечает перед Заказчиком за свои обязанности при привлечении этих лиц.

6.3. О новой замене или добавлении получателя, существенно влияющем на обработку, Исполнитель информирует Заказчика не менее чем за 30 календарных дней до передачи. При мотивированном возражении стороны согласуют альтернативу или прекращение соответствующей обработки с возможностью вывоза данных. Новая трансграничная передача и новые цели требуют предварительного явного согласования и выполнения закона; молчание Заказчика не заменяет необходимых согласий субъектов.

6.4. Передача данных сторонним обработчикам не расширяет пределы Поручения. Российское расположение сервера не разрешает не согласованный доступ иностранного получателя. При сборе данных граждан РФ соблюдаются требования локализации.

7 Обращения субъектов

7.1. Заказчик организует рассмотрение требований по данным, в отношении которых он определяет цели. Исполнитель помогает установить состав обрабатываемых сведений, выполняет необходимые действия и предоставляет подтверждение.

7.2. Полученное непосредственно Исполнителем обращение по данным Заказчика передаётся его уполномоченному контакту не позднее 1 рабочего дня после установления принадлежности. Исполнитель не отвечает за Заказчика по вопросам, в которых не определяет цели, и одновременно исполняет применимые собственные обязанности по закону.

7.3. Законные указания исполняются без неоправданной задержки, обычно не позднее 3 рабочих дней с их получения. Для блокирования, рекламного отказа и других срочных случаев используется более короткий необходимый срок. Договорный срок не может продлевать установленный законом срок ответа или уничтожения.

8 Инциденты

8.1. При обнаружении инцидента, затрагивающего данные Заказчика, Исполнитель уведомляет его без неоправданной задержки, но не позднее 6 часов с выявления, по подтверждённым контактам организации. Отсутствие окончательных выводов не откладывает первое сообщение.

8.2. Сообщение содержит доступные на тот момент сведения: характер события, время обнаружения, затронутые системы и категории данных/субъектов, предполагаемые последствия, принятые меры и контакт ответственного. Далее информация уточняется; сведения для отчётности по расследованию передаются по мере появления, с учётом законных сроков.

8.3. Заказчик выполняет обязанности оператора по уведомлению Роскомнадзора при наличии условий статьи 21: в течение 24 часов с выявления инцидента и в течение 72 часов с выявления - о результатах расследования. Если собственные обязанности уведомления возникают у Исполнителя, он исполняет их самостоятельно. Уведомление Заказчика не заменяет обязательное уведомление Роскомнадзора.

9 Сроки возврат и уничтожение

9.1. Поручение действует в течение предоставления сервиса и необходимого завершения обработки. Отключение отдельного модуля само по себе не означает прекращение хранения его данных, если Заказчик сохранил такую договорную функцию и действующее основание. При отсутствии цели хранение прекращается.

9.2. Заказчик может дать законное указание об экспорте и уничтожении до окончания договора. Исполнитель предоставляет доступный экспорт в согласованном формате или объясняет пределы существующего способа выгрузки. Если нужная выгрузка не доступна через интерфейс, Заказчик обращается в поддержку, а Исполнитель организует её в пределах законных обязанностей и согласованного предмета услуги.

9.3. При прекращении договора и поручения стороны организуют возврат/выгрузку и уничтожение данных не позднее 30 календарных дней с прекращения цели, если специальный законный срок не требует более раннего действия. Срок для экспорта согласуется внутри этого периода и не продлевает срок уничтожения.

9.4. Уничтожение охватывает активные базы, хранилища файлов, реплики и копии у привлечённых лиц. Для резервных копий действует предельный обычный цикл 30 календарных дней. Необходимое блокирование и объективная невозможность уничтожения в срок оформляются по части 6 статьи 21; это исключение, а не обычное право держать копии полгода.

9.5. После восстановления из копии применяются актуальные указания по удалению и ограничениям, прежде чем данные возвращаются в обычную работу. Уничтожение подтверждается актом и, для автоматизированной обработки, необходимой выгрузкой из журнала по действующим требованиям Роскомнадзор. По запросу Заказчик получает соответствующее подтверждение.

9.6. Отдельно могут оставаться лишь данные, которые Исполнитель обязан сохранять на собственном законном основании, например платёжный документ или материал конкретного спора. В таком случае он определяет свою роль, ограничивает состав, сообщает основание и не использует сохранённое для продолжения работы организации.

10 Ответственность и связь

10.1. Каждая сторона отвечает за нарушение собственных обязанностей. Заверения Заказчика о законности данных не исключают ответственность Исполнителя за ненадлежащую защиту, выход за пределы поручения или неисполнение законного указания. Ответственность перед субъектом определяется законом и не отменяется договором между сторонами.

10.2. Контакт Исполнителя: official@nivelio.ru. Контакт Заказчика: подтверждённый адрес уполномоченного лица в договоре/настройках организации. Изменения существенных условий поручения применяются после надлежащего согласования; обязательные нормы закона имеют приоритет.