Договор-поручение на обработку персональных данных

(Приложение № 1 к Публичной оферте «Автозаказ»)

Редакция: v1.2 Дата редакции: 2026-07-22 Место публикации: https://aiopssprint.ru/autozakaz/dpa.html

Преамбула

Настоящий Договор-поручение (далее - «Поручение») заключается в соответствии со ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - «152-ФЗ») между:

Заказчиком по основному Договору на оказание услуг «Автозаказ» (Публичная оферта v1.2 от 2026-07-22), являющимся Оператором персональных данных в значении 152-ФЗ (далее - «Оператор»), с одной стороны, и

Индивидуальным предпринимателем Тухбатуллиной Еленой Сергеевной (ИНН 165014444775, ОГРНИП 325169000128387), выступающей в роли Лица, осуществляющего обработку персональных данных по поручению Оператора (далее - «Обработчик»), с другой стороны,

совместно именуемых «Стороны».

Настоящее Поручение является неотъемлемой частью Публичной оферты на оказание услуг «Автозаказ» v1.2 (далее - «Основной договор») и применяется в случае фактической передачи Оператором Обработчику персональных данных третьих лиц в ходе исполнения Основного договора.

1. Предмет Поручения

1.1. Оператор поручает, а Обработчик принимает на себя обязательство осуществлять обработку персональных данных физических лиц (далее - «ПД»), полученных Обработчиком из учётной системы Оператора через API маркетплейса-партнёра (МойСклад и иных, далее - «Маркетплейс») в ходе исполнения Основного договора, исключительно в целях и в пределах, установленных настоящим Поручением.

1.2. Поручение не предполагает плановой передачи ПД от Оператора Обработчику. Услуга строится на обработке товароучётных показателей (продажи, остатки, поставки, заказы поставщику, себестоимость, кратность упаковки) и наименований товарных позиций и контрагентов, а не на обработке сведений о физических лицах. Настоящее Поручение применяется к ситуациям технически неустранимого присутствия ПД в данных, получаемых через API Маркетплейса (например, поля с ФИО в карточках контрагентов, контакты в карточках поставщиков, поля «комментарий» с произвольным текстом в документах поставок и продаж).

1.3. С момента фактического получения Обработчиком ПД от Оператора через API Маркетплейса настоящее Поручение считается заключённым и действующим в отношении соответствующего объёма ПД.

2. Цели обработки

2.1. Обработка ПД по настоящему Поручению осуществляется исключительно в следующих целях:

• технический приём данных из учётной системы Оператора через API Маркетплейса в рамках оказания Услуги по Основному договору - по команде Оператора и в фоне по расписанию, пока приложение установлено;
• отбор из полученного набора данных только тех полей, которые необходимы для расчёта, и отказ от сохранения остальных полей; автоматическая очистка текста загружаемых Оператором прайс-листов и счетов от ПД до его сохранения;
• последующее хранение показателей, не относящихся к ПД, и наименований контрагентов в объёме и на срок, установленные п. 5.2.

2.2. Обработка ПД в любых иных целях, включая маркетинговые, аналитические в отношении субъектов ПД, передачу третьим лицам, в том числе передачу в AI-сервис, - запрещена.

3. Перечень и категории обрабатываемых ПД

3.1. Категории субъектов ПД, чьи данные могут быть получены Обработчиком через API Маркетплейса:

• работники Оператора;
• клиенты и посетители Оператора;
• представители контрагентов Оператора (юридических лиц и индивидуальных предпринимателей), в том числе поставщиков.

3.2. Состав ПД, возможный к получению:

• фамилия, имя, отчество;
• контактные данные: номер телефона, адрес электронной почты;
• идентификаторы в мессенджерах;
• сведения о трудовой деятельности (для работников Оператора);
• иные ПД, технически возвращаемые API Маркетплейса в составе карточек контрагентов, поставок, продаж, заказов.

3.3. Запрещённые к передаче категории: - специальные категории ПД (раса, политические взгляды, состояние здоровья и др.); - биометрические ПД; - сведения о судимости; - ПД несовершеннолетних.

При обнаружении в полученных данных указанных категорий Обработчик обязан немедленно прекратить обработку, уничтожить соответствующие данные и уведомить Оператора в течение 24 часов.

4. Перечень действий с ПД

4.1. Обработчик вправе совершать со ПД следующие действия:

• получение через API Маркетплейса;
• кратковременная запись и хранение в системах Обработчика на территории РФ;
• идентификация и немедленное обезличивание либо удаление;
• передача результатов обработки (только в обезличенном виде) Оператору обратно в составе расчёта «Автозаказ» через Личный кабинет, а если Оператор привязал Telegram-чат и включил утреннюю сводку - в виде одного сообщения в сутки с итоговыми числами, без наименований и ФИО. Запись в учётную систему Оператора производится Обработчиком только в двух случаях: (1) непроведённый черновик документа «Заказ поставщику», содержащий товарные позиции, количества, цены закупки и ссылку на контрагента-поставщика; (2) карточка контрагента-поставщика типа «юридическое лицо» с наименованием, которое задаёт Оператор. Запись выполняется по команде Оператора, а по поставщикам, для которых Оператор явно включил авто-подтверждение и задал потолок суммы, - автоматически в пределах заданных им ограничений (п. 2.3 Основного договора). Персональные данные физических лиц в создаваемые записи Обработчиком не записываются. Документы наружу, в том числе поставщикам Оператора, Обработчиком не направляются.

4.2. Обработчик не вправе:

• передавать ПД третьим лицам, включая внешний AI-сервис Anthropic (Claude). AI-сервис используется Обработчиком в двух местах: разрешение спорных случаев при сопоставлении прайс-листа поставщика с номенклатурой Оператора и разбор прайс-листа в формате PDF, когда таблицу не удалось собрать из текстового слоя файла. В обоих случаях передаётся текст прайс-листа поставщика после очистки от ПД (п. 4.3);
• использовать ПД для целей, не связанных с исполнением Основного договора;
• объединять ПД из выгрузок разных клиентов Обработчика;
• осуществлять профилирование субъектов ПД;
• принимать на основании ПД юридически значимые решения, затрагивающие субъектов ПД;
• изменять или удалять существующие данные в учётной системе Оператора, а равно создавать в ней любые записи, кроме прямо разрешённых п. 4.1 и совершаемых на условиях, там же описанных.

4.3. Внешний AI-сервис и ПД. Используемый Обработчиком AI-сервис Anthropic (Claude, юрисдикция США; запрос может передаваться через технический ретранслятор OpenRouter, Inc., США) не получает ПД в силу обязательной обработки данных на предварительном этапе:

• (i) автоматическая очистка текста строк прайс-листа и счёта от номеров телефонов, адресов электронной почты, фамилий с инициалами и ФИО рядом со словами-маркерами контактного лица; очистка выполняется до сохранения строки в базе Обработчика и до любой передачи во внешний сервис;
• (ii) исключение из запроса наименований контрагентов и поставщиков, числовых показателей учётной системы Оператора (остатки, продажи, себестоимость, суммы заказа) и сведений об аккаунте Оператора; расчёт заказа выполняется арифметическими формулами и к AI-сервису не обращается;
• (iii) при сопоставлении позиций - дополнительное ограничение состава запроса схемой: в запрос включаются только поля «наименование» и «артикул» товарной позиции, то есть строка прайс-листа и не более трёх подобранных к ней позиций номенклатуры Оператора. При разборе PDF в запрос идут текстовые строки файла поставщика вместе с напечатанными в них ценами и количествами поставщика; данных учётной системы Оператора в этом запросе нет;
• (iv) автоматические тесты в комплекте программного обеспечения, проверяющие отправляемый в AI-сервис запрос на отсутствие ПД; тесты прогоняются перед выпуском версии.

В случае выявления Обработчиком сбоя одной из ступеней фильтрации (i)-(iv), повлёкшего риск передачи ПД во внешний AI-сервис, Обработчик действует в порядке п. 6.3 настоящего Поручения.

5. Срок обработки и хранения

5.1. По общему правилу ПД, технически присутствующие в ответе API Маркетплейса (контактные поля карточек контрагентов, свободный текст в документах поставок и продаж), Обработчиком не сохраняются вовсе: из ответа API используются только поля, необходимые для расчёта (идентификаторы и наименования товарных позиций, количества, цены, идентификаторы и наименования контрагентов), остальное в базу Обработчика не записывается и уничтожается вместе с ответом API по завершении расчёта. Максимальный срок хранения таких ПД - 30 (тридцать) календарных дней с даты фактического получения; фактически он не превышает времени обработки одного запроса.

5.2. Исключение - наименование контрагента. Наименование контрагента-поставщика в том виде, в каком оно записано в учётной системе Оператора, Обработчик сохраняет на срок действия Основного договора: без него невозможно сгруппировать заказ по поставщику и показать поставщика в Личном кабинете. Если поставщик Оператора - индивидуальный предприниматель, его наименование может совпадать с ФИО. Такое наименование во внешние сервисы не передаётся (п. 4.3) и уничтожается в порядке п. 5.4. Иные ПД представителей контрагентов Обработчик не запрашивает и не сохраняет.

5.2.1. ПД, обнаруженные в тексте загруженного Оператором прайс-листа или счёта поставщика, удаляются из текста до его сохранения в базе Обработчика (п. 4.3 (i)) и не хранятся ни одного дня.

5.3. По окончании срока, указанного в п. 5.1, либо по требованию Оператора (направленному по электронной почте), Обработчик обязан: - удалить ПД из всех своих систем и резервных копий; - направить Оператору акт об уничтожении в течение 5 (пяти) рабочих дней с момента уничтожения.

5.4. Прекращение Основного договора по любому основанию влечёт обязанность Обработчика уничтожить все ПД в течение 30 (тридцати) календарных дней. Реквизиты доступа к учётной системе Оператора (API-токены), а также ПД, использовавшиеся для идентификации аккаунта и связи, уничтожаются в сокращённый срок - 7 (семи) календарных дней с даты прекращения.

6. Требования к защите ПД

6.1. Обработчик обеспечивает выполнение требований ч. 5 ст. 18 и ст. 19 152-ФЗ, в том числе:

• локализацию хранения и обработки ПД граждан РФ на серверах российского хостинг-провайдера Timeweb, расположенных на территории Российской Федерации;
• шифрование ПД при передаче по открытым каналам связи (TLS 1.2+);
• шифрование реквизитов доступа к учётной системе Оператора при хранении - на уровне приложения, алгоритмом AES-256-GCM, с возможностью смены ключа без потери доступа к ранее сохранённым данным;
• изоляцию данных Операторов друг от друга на уровне строк базы данных (Row-Level Security в PostgreSQL);
• разграничение доступа к ПД: доступ предоставляется только ИП Тухбатуллиной Е.С. и явно допущенным привлечённым лицам, подписавшим соглашение о неразглашении; доступ к серверам осуществляется по ключам SSH, служебные секреты (ключи шифрования, ключи внешних сервисов) хранятся в окружении сервера, вне репозитория кода;
• журналирование (audit log) операций с ПД: дата и время, идентификатор аккаунта Оператора и исполнившего процесса, вид операции, категория данных, объём в количестве записей. Фактически записываются три вида операций: получение (приём реквизитов доступа и наименования аккаунта при установке), блокирование обработки (приостановка подписки или удаление приложения) и уничтожение (отдельно по реквизитам доступа, по всему массиву данных и по прайс-листам с истёкшим сроком хранения). Содержимое ПД в журнал не записывается: у журнала нет полей свободного текста, а технические ссылки перед записью проверяются и заменяются на отметку об изъятии, если похожи на адрес электронной почты, номер телефона или произвольную фразу. Срок хранения журнала - 3 (три) года, по истечении записи удаляются автоматически;
• автоматическое уничтожение данных по расписанию: сроки, указанные в п. 5.4, отрабатывает периодическая задача, а не ручная операция; сбой задачи фиксируется и приводит к уведомлению Обработчика.

6.2. Обработчик применяет уровень защищённости 4 в значении Постановления Правительства РФ от 01.11.2012 № 1119 как минимально достаточный для обрабатываемых категорий ПД. Перечень и состав используемых средств защиты информации оформляется отдельным внутренним документом Обработчика «Положение об организационных и технических мерах защиты ПД».

6.3. Уведомление об инциденте. В случае выявления неправомерного или случайного доступа к ПД, их уничтожения, изменения, блокирования, копирования, распространения, иных неправомерных действий, в том числе сбоя фильтрации, повлёкшего риск передачи ПД во внешний AI-сервис, Обработчик обязан:

• уведомить Оператора по электронной почте и в Telegram в течение 24 (двадцати четырёх) часов с момента обнаружения инцидента;
• направить уведомление в Роскомнадзор в порядке, установленном Приказом Роскомнадзора от 14.11.2022 № 187 (первичное - в течение 24 часов, расширенное по итогам расследования - в течение 72 часов);
• оказать Оператору необходимое содействие в работе с обращениями субъектов ПД и государственных органов.

7. Обязанности Сторон

7.1. Оператор обязуется:

• обеспечить наличие у себя правовых оснований обработки ПД в соответствии с 152-ФЗ;
• получить, при необходимости, согласия субъектов ПД на передачу их данных Обработчику в целях, предусмотренных настоящим Поручением;
• предоставить Обработчику доступ к учётной системе через интерфейс Маркетплейса. Стороны учитывают, что объём прав доступа задаётся Маркетплейсом и на момент настоящей редакции Маркетплейс не предоставляет приложениям более узкого набора прав; Обработчик со своей стороны ограничивает использование доступа операциями, перечисленными в п. 4.1, и не совершает иных операций в учётной системе Оператора;
• информировать субъектов ПД об Обработчике как о лице, осуществляющем обработку по поручению (если применимо);
• незамедлительно уведомлять Обработчика об отзыве согласия субъекта ПД, поступившем Оператору, и об отзыве API-доступа через интерфейс Маркетплейса.

7.2. Обработчик обязуется:

• обрабатывать ПД исключительно в целях, определённых настоящим Поручением;
• соблюдать конфиденциальность ПД и обеспечивать их безопасность;
• выполнять требования, изложенные в разделе 6;
• обеспечивать многоступенчатую фильтрацию данных перед отправкой в любой внешний AI-сервис, исключающую попадание ПД во внешние системы (п. 4.3);
• незамедлительно прекращать обработку ПД по требованию Оператора либо при отзыве Оператором API-доступа;
• предоставлять Оператору по его запросу информацию об обработке ПД, в том числе об организационных и технических мерах защиты;
• содействовать Оператору в реализации прав субъектов ПД и в работе с проверками Роскомнадзора;
• не передавать ПД третьим лицам без письменного согласия Оператора;
• по окончании срока обработки уничтожать ПД и предоставлять акт об уничтожении.

8. Ответственность

8.1. За нарушение требований 152-ФЗ Стороны несут ответственность в соответствии с законодательством РФ (КоАП РФ, УК РФ, ГК РФ).

8.2. Ответственность перед субъектом ПД за действия Обработчика несёт Оператор. Обработчик несёт ответственность перед Оператором в порядке регресса.

8.3. Финансовая ответственность Обработчика перед Оператором за нарушение требований настоящего Поручения, повлёкшее наложение на Оператора штрафов государственных органов или возмещение вреда субъектам ПД, ограничена суммой, фактически уплаченной Оператором за пользование Услугой по Основному договору за последние 12 (двенадцать) Расчётных периодов, предшествующих событию.

8.4. Ограничение, установленное п. 8.3, не применяется в случае умышленного нарушения Обработчиком требований настоящего Поручения, повлёкшего утечку ПД.

9. Срок действия Поручения

9.1. Поручение действует с момента фактического получения Обработчиком ПД из учётной системы Оператора через API Маркетплейса и до момента полного уничтожения ПД Обработчиком.

9.2. Прекращение Основного договора не прекращает обязательств Обработчика по уничтожению ПД (п. 5.4) и сохранению конфиденциальности.

10. Заключительные положения

10.1. Настоящее Поручение составлено в соответствии с требованиями ч. 3 ст. 6 152-ФЗ и регулирует отношения Сторон в части обработки ПД.

10.2. Во всём остальном, что не урегулировано настоящим Поручением, применяются положения Основного договора и законодательства РФ.

10.3. Контактные лица Сторон по вопросам обработки ПД:

• Со стороны Оператора: ФИО и email указываются Заказчиком в Личном кабинете приложения.
• Со стороны Обработчика: Тухбатуллина Елена Сергеевна, email support@aiopssprint.ru.

10.4. Поручение принимается Оператором по факту: предоставление Оператором Обработчику API-доступа к учётной системе через Маркетплейс с правами на чтение карточек, содержащих ПД, в рамках исполнения Основного договора означает согласие Оператора с условиями настоящего Поручения в действующей редакции на момент предоставления доступа.

Реквизиты Обработчика

Индивидуальный предприниматель Тухбатуллина Елена Сергеевна

• ИНН: 165014444775
• ОГРНИП: 325169000128387
• Адрес регистрации: 423826, Россия, Республика Татарстан, г. Набережные Челны, ул. Шамиля Усманова, д. 108, кв. 215
• Электронная почта: support@aiopssprint.ru
• Регистрация в реестре операторов ПД Роскомнадзора: уведомление направлено в Роскомнадзор; реестровый номер будет указан в настоящем Поручении после включения Обработчика в реестр.

Дата редакции: 2026-07-22 Версия: 1.2 Документ опубликован по адресу: https://aiopssprint.ru/autozakaz/dpa.html