Поручение на обработку персональных данных

Приложение к Лицензионному договору-оферте на использование системы YouCo CRM (https://youcocrm.ru/legal/offer).

Редакция 1.3 от 06.09.2026. Действует с момента публикации на сайте https://youcocrm.ru/legal/dpa.

Настоящее Поручение заключено в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») между:

• Оператором — Лицензиатом по Лицензионному договору (юридическим лицом или индивидуальным предпринимателем, использующим систему YouCo CRM), который определяет цели и состав обработки персональных данных своих клиентов, сотрудников и контрагентов и вносит их в Систему; и
• Обработчиком — Индивидуальным предпринимателем Стрелковым Виталием Игоревичем (ИНН 631896668219, ОГРНИП 319631300144011; г. Самара, Московское шоссе, д. 17; mail@youcocrm.ru), правообладателем Системы, который обрабатывает такие данные по поручению Оператора.

Поручение принимается Оператором одновременно с акцептом Лицензионного договора и действует в течение всего срока его действия. Термины, не определённые здесь, имеют значение, данное в Лицензионном договоре и Политике в отношении обработки персональных данных (https://youcocrm.ru/legal/privacy).

1. Предмет

1.1. Оператор поручает, а Обработчик принимает на себя обработку персональных данных субъектов, указанных в разделе 3, в целях и объёме, необходимых для предоставления Оператору функций Системы в соответствии с Лицензионным договором.

1.2. Обработчик не становится оператором в отношении поручаемых данных, не определяет цели их обработки и не использует их в собственных целях, за исключением обезличенных и агрегированных сведений (пункт 12.2 Лицензионного договора) и данных, оператором которых Обработчик является самостоятельно (учётные данные Пользователей — раздел 4.4 Политики).

1.3. Оператор подтверждает, что вправе поручить обработку Обработчику: субъекты уведомлены или дали согласие на обработку в системе, предоставляемой третьим лицом, либо такая обработка не требует согласия по закону.

2. Цели обработки, поручаемой Обработчику

2.1. Обеспечение работы Системы для Оператора: ведение клиентской базы и карточек автомобилей; учёт заказов, услуг и оплат; онлайн-запись и напоминания; программа лояльности; отправка Оператором сообщений клиентам через подключённые каналы; приём и хранение переписки; телефония и записи разговоров; кадровый и зарплатный учёт сотрудников Оператора; документы для контрагентов; отчёты и аналитика; распознавание госномеров по фотографиям; расшифровка и оценка разговоров (при включённом модуле); резервное копирование и восстановление данных; техническая поддержка Оператора.

3. Субъекты и состав персональных данных

3.1. Клиенты Оператора (физические лица — заказчики услуг, владельцы и водители автомобилей, представители контрагентов): фамилия, имя, отчество или имя; телефон; идентификаторы и имена в мессенджерах (Telegram, WhatsApp, MAX, Авито, иные подключённые); адрес электронной почты; комментарии и заметки сотрудников; признак и дата согласия на рекламные сообщения; сведения об автомобилях (госномер, история номеров, VIN, марка, модель, год, класс, комментарии); фотографии и видео автомобиля при приёмке, осмотре и выдаче, включая снимки для распознавания госномера; история записей, заказов, услуг, оплат, скидок, бонусных баллов и сертификатов; переписка и файлы из подключённых каналов; записи, расшифровки и оценки телефонных разговоров; отзывы и оценки; события посещения мини-приложения записи.

3.2. Сотрудники и представители Оператора (Пользователи и иные работники, учитываемые в Системе): ФИО, телефон, должность, роль и права, дата рождения, паспортные данные, ИНН, сведения о графике, нормах, отработанном времени, ставках, начислениях и выплатах, KPI и оценках, фотографии; идентификатор Telegram для уведомлений; журнал действий в Системе.

3.3. Представители контрагентов Оператора (юридические лица и ИП): ФИО, должность, телефон, электронная почта, подпись в документах.

3.4. Оператор вправе не вносить часть перечисленных данных; конкретный состав определяется тем, что Оператор фактически вносит в Систему.

3.5. Запрещено вносить в Систему специальные категории персональных данных (о здоровье, расовой и национальной принадлежности, политических и религиозных взглядах, интимной жизни, судимости) и биометрические персональные данные, а также данные, полученные незаконно. Свободные текстовые поля и переписка используются Оператором так, чтобы такие сведения в них не попадали; Обработчик их не анализирует и не отвечает за их появление.

4. Перечень действий и способы обработки

4.1. Обработчик совершает с поручаемыми данными следующие действия: запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование (в целях раздела 2), передача (предоставление доступа Пользователям Оператора и доставка сообщений через каналы, выбранные Оператором), обезличивание, блокирование, удаление, уничтожение. Сбор данных осуществляет Оператор (через свои формы, мини-приложение записи, каналы связи и ввод сотрудников); Обработчик обеспечивает технические средства сбора.

4.2. Обработка автоматизированная, с использованием серверов Обработчика, размещённых на территории Российской Федерации (раздел 6.2 Политики). База данных, в которую записываются и в которой хранятся, обновляются и извлекаются данные граждан РФ, находится в Российской Федерации, что соответствует части 5 статьи 18 152-ФЗ; Оператор вправе ссылаться на это при подаче уведомления в Роскомнадзор.

4.3. Привлекаемые Обработчиком третьи лица (субобработчики). Оператор даёт согласие на привлечение Обработчиком для выполнения Поручения следующих категорий лиц:

Наименования, адреса и страны нахождения конкретных субобработчиков Обработчик предоставляет Оператору по письменному запросу в течение 5 рабочих дней (они нужны Оператору для уведомления Роскомнадзора); эти сведения конфиденциальны и не подлежат раскрытию третьим лицам.

4.4. Каналы связи, выбранные Оператором (Telegram, WhatsApp, MAX, Авито, ВКонтакте, операторы телефонии и АТС, иные), не являются субобработчиками Обработчика: Оператор подключает их от своего имени и передаёт им данные напрямую как самостоятельным операторам или обработчикам по своему поручению. Обработчик лишь технически обеспечивает обмен. Оператор самостоятельно оценивает законность передачи данных таким сервисам, включая трансграничную передачу (Telegram, WhatsApp — серверы за пределами РФ), и направляет в Роскомнадзор соответствующее уведомление.

4.5. Обработчик вправе заменять субобработчиков и привлекать новых, уведомив Оператора через Кабинет или Сайт не менее чем за 15 дней, при условии возложения на них обязанностей, аналогичных настоящему Поручению. Оператор, возражающий против нового субобработчика, вправе отказаться от Лицензионного договора с возвратом вознаграждения за неиспользованный период.

4.6. Трансграничная передача, инициируемая Оператором. Включение модуля «Оценка звонков» означает поручение Оператора передавать расшифровки разговоров поставщику языковой модели, находящемуся в США (государство, не входящее в перечень стран с адекватной защитой; наименование и адрес — по запросу, пункт 4.3). Оператор как оператор данных обязан до включения модуля получить необходимые согласия работников и клиентов и направить в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу (части 3, 5 статьи 12 152-ФЗ) и дождаться истечения срока рассмотрения. Обработчик передаёт расшифровки без идентификаторов из карточек клиентов и сотрудников; речь на самой записи может содержать сведения, названные собеседниками, — ответственность за них несёт Оператор. Модуль можно выключить в любой момент; после выключения передача прекращается немедленно.

5. Обязанности Обработчика

5.1. Обрабатывать данные только в целях, объёме и способами, установленными Поручением и функциями Системы, которые использует Оператор; не использовать данные в собственных целях и не передавать их третьим лицам, кроме указанных в разделе 4 и случаев, предусмотренных законом.

5.2. Обеспечивать конфиденциальность данных (статья 7 152-ФЗ) и их безопасность (статья 19 152-ФЗ) мерами, описанными в разделе 11 Политики, в том числе: изоляцию данных каждого Оператора при каждом запросе к базе; разграничение доступа по ролям с проверкой на сервере; хранение паролей в виде хэшей; шифрование каналов передачи; журналирование действий; ежедневное резервное копирование с шифрованием копий и хранением в РФ; ограничение доступа своего персонала к данным Оператора (только для поддержки по обращению Оператора или устранения сбоя).

5.3. Предоставлять Оператору средства для самостоятельного исполнения обязанностей оператора: поиск, уточнение, блокирование и удаление записей о субъекте; отметка согласия на рекламные сообщения и фильтрация рассылок по ней; выгрузка данных; журнал действий сотрудников; настройка ролей; отключение каналов и модулей.

5.4. Оказывать содействие Оператору при исполнении запросов субъектов и Роскомнадзора: по запросу Оператора предоставлять сведения об обработке данных субъекта в Системе в течение 5 рабочих дней; удалять данные, которые Оператор не может удалить штатными средствами, — в течение 7 рабочих дней с даты письменного требования.

5.5. Уведомлять Оператора о выявленном инциденте безопасности, затронувшем его данные (неправомерный доступ, утечка, утрата), незамедлительно и не позднее 24 часов с момента выявления, с последующим предоставлением сведений о причинах, объёме и принятых мерах, необходимых Оператору для уведомления Роскомнадзора (часть 3.1 статьи 21 152-ФЗ).

5.6. Незамедлительно переадресовывать Оператору обращения субъектов и государственных органов, касающиеся данных Оператора и поступившие Обработчику, если закон не обязывает Обработчика отвечать самостоятельно.

5.7. По окончании Лицензионного договора — хранить данные 90 дней для выгрузки Оператором, затем уничтожить (пункт 7.5 Лицензионного договора); по письменному требованию Оператора уничтожить данные раньше — в течение 30 дней с даты требования, с направлением подтверждения. Уничтожение выполняется удалением записей и файлов штатными средствами с последующей перезаписью резервных копий в порядке ротации (не более 30 дней).

5.8. По письменному запросу не чаще одного раза в год предоставлять Оператору описание применяемых мер защиты и подтверждение соответствия обработки Поручению; проведение Оператором проверок на площадке Обработчика не предусмотрено.

6. Обязанности Оператора

6.1. Обрабатывать данные на законных основаниях: получать согласия субъектов в требуемой форме (в том числе отдельные согласия на рекламные рассылки по статье 18 Федерального закона «О рекламе», согласия работников на обработку их данных в Системе); уведомлять клиентов о записи телефонных разговоров и о фото- и видеосъёмке автомобилей; разместить и соблюдать собственную политику обработки персональных данных; направить в Роскомнадзор уведомление об обработке персональных данных (статья 22 152-ФЗ), указав в нём в качестве лица, осуществляющего обработку по поручению, Обработчика, а при использовании каналов и модулей с обработкой за пределами РФ — уведомление о трансграничной передаче.

6.2. Вносить только данные, необходимые для целей своей деятельности; не вносить данные, указанные в пункте 3.5. В мини-приложении онлайн-записи клиенту Оператора показываются единые «Условия онлайн-записи и согласие на обработку персональных данных» (текст платформы, в который автоматически подставляются наименование, ИНН, адрес и контакты Оператора из его реквизитов в Системе); согласие выражается отдельной отметкой, фиксируется с редакцией текста, временем и идентификатором клиента и повторно не запрашивается до изменения текста. Оператор обязан поддерживать реквизиты в Системе актуальными; Оператор вправе дополнительно разместить собственные тексты в настройках мини-приложения. Обработчик не отвечает за содержание сведений, внесённых Оператором.

6.3. Управлять доступом своих Пользователей, своевременно отключать уволенных сотрудников, не передавать учётные записи третьим лицам.

6.4. Самостоятельно отвечать субъектам и Роскомнадзору на запросы, исполнять требования об уточнении, блокировании и уничтожении данных штатными средствами Системы, а при невозможности — направлять требование Обработчику (пункт 5.4).

6.5. Уведомлять Обработчика об отзыве субъектом согласия, если для исполнения отзыва требуются действия Обработчика, — в течение 5 рабочих дней.

6.6. Возмещать Обработчику убытки, включая административные штрафы и выплаты третьим лицам, возникшие из-за нарушения Оператором законодательства о персональных данных, о рекламе, о связи или условий Поручения, в течение 10 рабочих дней с даты получения требования с подтверждающими документами.

7. Ответственность

7.1. Обработчик отвечает перед Оператором за нарушение Поручения, произошедшее по его вине, в пределах, установленных разделом 10 Лицензионного договора. Обработчик не отвечает за: достоверность и законность данных, внесённых Оператором; действия Пользователей Оператора и лиц, получивших доступ по вине Оператора; действия каналов связи и сервисов, выбранных Оператором (пункт 4.4); отсутствие у Оператора оснований для обработки.

7.2. Ответственность перед субъектами персональных данных несёт Оператор как оператор; Обработчик отвечает перед Оператором в рамках Поручения (часть 5 статьи 6 152-ФЗ).

8. Срок действия

8.1. Поручение действует с момента акцепта Лицензионного договора до его прекращения и в части хранения и уничтожения данных — до завершения уничтожения. Изменяется в порядке раздела 13 Лицензионного договора.

8.2. Лицо, ответственное за организацию обработки персональных данных у Обработчика, — Индивидуальный предприниматель Стрелков Виталий Игоревич; контакт для вопросов Оператора по Поручению: mail@youcocrm.ru, тема письма «Поручение ПДн».