AI Ops Sprint Товаровед / Договор-поручение на обработку ПД

Договор-поручение на обработку персональных данных

(Приложение № 1 к Публичной оферте «Товаровед»)

Редакция: v1.2 Дата редакции: 2026-09-07 Место публикации: https://aiopssprint.ru/tovaroved/dpa.html

Что изменилось в v1.2: описание порядка обработки приведено к фактическому. Пункт 4.3 изложен в новой редакции: внешние AI-сервисы Обработчиком не используются, генеративные модели не применяются, ни ПД, ни обезличенные агрегаты в такие сервисы не передаются. Прежняя редакция п. 4.3 описывала четырёхступенчатую фильтрацию данных перед отправкой во внешний AI-сервис Anthropic (Claude, юрисдикция США), которой в действительности нет. В соответствие приведены п. 2.2, п. 4.2 (перечень запретов) и п. 7.2 (обязанности Обработчика); из п. 6.3 исключено упоминание сбоя фильтрации перед отправкой в AI-сервис как основания уведомления об инциденте - прочие основания уведомления и сроки сохранены полностью. В п. 4.4 исправлено утверждение о том, что адрес электронной почты в интерфейс Личного кабинета не выводится. Состав получаемых ПД (раздел 3), сроки (раздел 5), меры защиты (раздел 6) и объём ответственности (раздел 8) не изменены.

Редакция v1.1 от 2026-09-07 (описание веб-аналитики Личного кабинета: п. 4.4 с перечнем ПД, попадающих в запись, и перечнем маскируемого; уточнения п. 2.2 и п. 4.2 в части исключения из общего запрета передачи третьим лицам) полностью включена в настоящую редакцию.

Преамбула

Настоящий Договор-поручение (далее - «Поручение») заключается в соответствии со ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - «152-ФЗ») между:

Заказчиком по основному Договору на оказание услуг «Товаровед» (Публичная оферта, размещённая по адресу https://aiopssprint.ru/tovaroved/oferta.html, в редакции, действующей на момент акцепта), являющимся Оператором персональных данных в значении 152-ФЗ (далее - «Оператор»), с одной стороны, и

Индивидуальным предпринимателем Тухбатуллиной Еленой Сергеевной (ИНН 165014444775, ОГРНИП 325169000128387), выступающей в роли Лица, осуществляющего обработку персональных данных по поручению Оператора (далее - «Обработчик»), с другой стороны,

совместно именуемых «Стороны».

Настоящее Поручение является неотъемлемой частью Публичной оферты на оказание услуг «Товаровед» в действующей редакции (далее - «Основной договор») и применяется в случае фактической передачи Оператором Обработчику персональных данных третьих лиц в ходе исполнения Основного договора.

1. Предмет Поручения

1.1. Оператор поручает, а Обработчик принимает на себя обязательство осуществлять обработку персональных данных физических лиц (далее - «ПД»), полученных Обработчиком из учётной системы Оператора через API маркетплейса-партнёра (МойСклад и иных, далее - «Маркетплейс») исключительно в режиме чтения в ходе исполнения Основного договора, исключительно в целях и в пределах, установленных настоящим Поручением.

1.2. Поручение не предполагает плановой передачи ПД от Оператора Обработчику. Услуга строится на обработке агрегированных товароучётных показателей (продажи, остатки, поставки, себестоимость, категории). Настоящее Поручение применяется к ситуациям технически неустранимого присутствия ПД в данных, получаемых через API Маркетплейса (например, поля с ФИО в карточках контрагентов, контакты в карточках поставщиков, поля «комментарий» с произвольным текстом в документах поставок и продаж).

1.3. С момента фактического получения Обработчиком ПД от Оператора через API Маркетплейса настоящее Поручение считается заключённым и действующим в отношении соответствующего объёма ПД.

2. Цели обработки

2.1. Обработка ПД по настоящему Поручению осуществляется исключительно в следующих целях:

2.2. Обработка ПД в любых иных целях, включая маркетинговые, аналитические в отношении субъектов ПД и передачу третьим лицам, - запрещена, за исключением случая, прямо описанного в п. 4.4 настоящего Поручения (запись интерфейса Личного кабинета средствами веб-аналитики). Внешние сервисы искусственного интеллекта Обработчиком не используются, и передача ПД в такие сервисы не производится (п. 4.3).

3. Перечень и категории обрабатываемых ПД

3.1. Категории субъектов ПД, чьи данные могут быть получены Обработчиком через API Маркетплейса:

3.2. Состав ПД, возможный к получению:

3.3. Запрещённые к передаче категории: - специальные категории ПД (раса, политические взгляды, состояние здоровья и др.); - биометрические ПД; - сведения о судимости; - ПД несовершеннолетних.

При обнаружении в полученных данных указанных категорий Обработчик обязан немедленно прекратить обработку, уничтожить соответствующие данные и уведомить Оператора в течение 24 часов.

4. Перечень действий с ПД

4.1. Обработчик вправе совершать со ПД следующие действия:

4.2. Обработчик не вправе:

4.3. Внешние AI-сервисы не используются. Аналитика «Товаровед» формируется программным обеспечением Обработчика детерминированным расчётом: классификация ассортимента, показатели оборачиваемости и отдачи на вложенный в запас рубль, перечни неликвида и дефектуры и рекомендованные действия вычисляются по фиксированным правилам из числовых товароучётных показателей учётной системы Оператора, а текстовые формулировки отчёта собираются программой из этих же вычисленных чисел по заданным шаблонам.

Генеративные модели (большие языковые модели) Обработчиком при исполнении Основного договора не применяются, обращений к внешним AI-сервисам его программное обеспечение не выполняет. Соответственно, во внешние AI-сервисы не передаются ни ПД, ни обезличенные агрегаты, и трансграничной передачи ПД в такие сервисы не происходит.

Если Обработчик начнёт применять генеративные модели при исполнении Основного договора, он публикует новую редакцию настоящего Поручения с описанием состава передаваемых данных, применяемых мер обезличивания и юрисдикции оператора соответствующего сервиса до начала такого применения.

4.4. Веб-аналитика Личного кабинета. В интерфейсе приложения «Товаровед» Обработчик применяет Яндекс.Метрику (ООО «ЯНДЕКС», обработка на серверах на территории Российской Федерации), счётчик № 110064687, с включённой опцией Вебвизор - записью действий пользователя в интерфейсе.

Запись воспроизводит страницу Личного кабинета в том виде, в каком её видел пользователь. В интерфейс Личного кабинета выводятся и, следовательно, попадают в запись следующие ПД из числа перечисленных в п. 3.2:

Не выводятся в интерфейс Личного кабинета и по этой причине в запись не попадают: номер телефона и адрес электронной почты работников, клиентов и представителей контрагентов Оператора, а также иные ПД из п. 3.2, кроме прямо перечисленных выше.

При этом в интерфейсе Личного кабинета выводится и в запись попадает адрес электронной почты службы поддержки самого Обработчика - support@aiopssprint.ru: он показан текстом на четырёх экранах состояний («Сессия истекла», «„Товаровед“ не установлен», «Каталог загружен - данных для разбора пока нет», «Отчёт временно недоступен»); на экране «Не удалось рассчитать разбор» вместо адреса выводится кнопка «Написать в поддержку», и сам адрес в разметку не попадает и маскировкой не закрыт. Этот адрес принадлежит Обработчику, ПД по настоящему Поручению не является и субъектов ПД Оператора не идентифицирует.

Маскируются в записи технически (разметка ym-hide-content): денежные значения в таблицах отчёта, денежные подписи на графиках, плитка «Сумма закупа» и текстовые выводы блока перекрёстных наблюдений.

Не маскируются: наименования товаров, категорий, складов и контрагентов; ФИО, должности работников Оператора и наименования отделов; идентификатор в Telegram; текстовые выводы под графиками (кроме блока перекрёстных наблюдений), в том числе выводы блоков «Сколько денег уйдёт на закуп» и «Где застряли деньги», в которых называются поставщик и денежные суммы; заголовок и подзаголовок карточки диагноза и карточек рекомендаций; плитки сводки над отчётом. Обработчик не заявляет о полном скрытии сведений Оператора в записях Вебвизора.

Записи используются исключительно для диагностики неисправностей интерфейса и оценки того, какими разделами отчёта пользуется Оператор. Профилирование субъектов ПД на их основании не производится, объединение записей разных клиентов Обработчика не производится, передача записей иным третьим лицам не производится.

Оператор вправе потребовать прекращения записи интерфейса по своему аккаунту, направив письменное требование на адрес электронной почты Обработчика, указанный в реквизитах настоящего Поручения.

5. Срок обработки и хранения

5.1. Максимальный срок хранения полученных ПД Обработчиком - 30 (тридцать) календарных дней с даты фактического получения через API Маркетплейса, при условии, что более раннее уничтожение технически возможно.

5.2. По общему правилу Обработчик обязан выявить и удалить (либо обезличить) ПД в течение 3 (трёх) рабочих дней с момента поступления соответствующей порции данных.

5.3. По окончании срока, указанного в п. 5.1, либо по требованию Оператора (направленному по электронной почте), Обработчик обязан: - удалить ПД из всех своих систем и резервных копий; - направить Оператору акт об уничтожении в течение 5 (пяти) рабочих дней с момента уничтожения.

5.4. Прекращение Основного договора по любому основанию влечёт обязанность Обработчика уничтожить все ПД в течение 30 (тридцати) календарных дней.

6. Требования к защите ПД

6.1. Обработчик обеспечивает выполнение требований ч. 5 ст. 18 и ст. 19 152-ФЗ, в том числе:

6.2. Обработчик применяет уровень защищённости 4 в значении Постановления Правительства РФ от 01.11.2012 № 1119 как минимально достаточный для обрабатываемых категорий ПД. Перечень и состав используемых средств защиты информации оформляется отдельным внутренним документом Обработчика «Положение об организационных и технических мерах защиты ПД».

6.3. Уведомление об инциденте. В случае выявления неправомерного или случайного доступа к ПД, их уничтожения, изменения, блокирования, копирования, распространения, иных неправомерных действий Обработчик обязан:

7. Обязанности Сторон

7.1. Оператор обязуется:

7.2. Обработчик обязуется:

8. Ответственность

8.1. За нарушение требований 152-ФЗ Стороны несут ответственность в соответствии с законодательством РФ (КоАП РФ, УК РФ, ГК РФ).

8.2. Ответственность перед субъектом ПД за действия Обработчика несёт Оператор. Обработчик несёт ответственность перед Оператором в порядке регресса.

8.3. Финансовая ответственность Обработчика перед Оператором за нарушение требований настоящего Поручения, повлёкшее наложение на Оператора штрафов государственных органов или возмещение вреда субъектам ПД, ограничена суммой, фактически уплаченной Оператором за пользование Услугой по Основному договору за последние 12 (двенадцать) Расчётных периодов, предшествующих событию.

8.4. Ограничение, установленное п. 8.3, не применяется в случае умышленного нарушения Обработчиком требований настоящего Поручения, повлёкшего утечку ПД.

9. Срок действия Поручения

9.1. Поручение действует с момента фактического получения Обработчиком ПД из учётной системы Оператора через API Маркетплейса и до момента полного уничтожения ПД Обработчиком.

9.2. Прекращение Основного договора не прекращает обязательств Обработчика по уничтожению ПД (п. 5.4) и сохранению конфиденциальности.

10. Заключительные положения

10.1. Настоящее Поручение составлено в соответствии с требованиями ч. 3 ст. 6 152-ФЗ и регулирует отношения Сторон в части обработки ПД.

10.2. Во всём остальном, что не урегулировано настоящим Поручением, применяются положения Основного договора и законодательства РФ.

10.3. Контактные лица Сторон по вопросам обработки ПД:

10.4. Поручение принимается Оператором по факту: предоставление Оператором Обработчику API-доступа к учётной системе через Маркетплейс с правами на чтение карточек, содержащих ПД, в рамках исполнения Основного договора означает согласие Оператора с условиями настоящего Поручения в действующей редакции на момент предоставления доступа.

Реквизиты Обработчика

Индивидуальный предприниматель Тухбатуллина Елена Сергеевна

Дата редакции: 2026-09-07 Версия: 1.2 Документ опубликован по адресу: https://aiopssprint.ru/tovaroved/dpa.html