Поручение на обработку персональных данных

1.1.Работодатель — организация-клиент, которая получила доступ к сервису ДокОТ (prim.progwebs.ru) и вносит в него данные своих работников. Работодатель является оператором этих персональных данных.

1.2.Обработчик — <будет указано оператором> (далее — Обработчик), обеспечивающий работу сервиса ДокОТ. Реквизиты Обработчика указаны в конце документа.

1.3.Поручение даётся в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и вступает в силу с момента его принятия руководителем (владельцем) организации-клиента в личном кабинете — нажатием кнопки «Принять» под своей учётной записью — либо с момента подписания печатной формы, которую работодатель формирует в сервисе.

1.4.Поручение действует в течение срока доступа организации-клиента к сервису и прекращается вместе с ним.

2.1.Цели обработки: формирование документов по охране труда, пожарной безопасности, гражданской обороне и безопасности дорожного движения; учёт сроков обучения, проверки знаний, медицинских осмотров, выдачи средств индивидуальной защиты; формирование выгрузок для реестра обученных по охране труда.

2.2.Действия Обработчика: запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение; всё — с использованием средств автоматизации.

2.3.Обработчик не передаёт данные третьим лицам, не использует их в собственных целях, для рекламы и анализа поведения и не объединяет данные разных работодателей.

3.1.Субъекты: работники работодателя, а также лица, привлечённые к выполнению работ, которых работодатель внёс в сервис.

3.2.Данные: ФИО; должность, профессия и подразделение; дата рождения; дата приёма на работу; СНИЛС; сведения об инструктажах, стажировке, обучении и проверке знаний; сведения о направлениях на медицинские осмотры и датах их прохождения, о вакцинации; пол и номер полиса ОМС для бланков направлений; сведения о выдаче средств индивидуальной защиты; данные графика работы (табеля).

3.3.Работодатель вносит только те данные, которые нужны для указанных целей, и не вносит диагнозы, результаты медицинских заключений и биометрические данные.

4.1.Соблюдать принципы и правила обработки, предусмотренные Законом, и обрабатывать данные только по документированным указаниям работодателя, в том числе выраженным действиями пользователей работодателя в сервисе.

4.2.Соблюдать конфиденциальность данных; допускать к ним только лиц, которым доступ необходим для работы сервиса, и только при условии обязательства о неразглашении.

4.3.Принимать правовые, организационные и технические меры защиты по статье 19 Закона; перечень мер описан в документе «Меры защиты персональных данных».

4.4.Хранить данные работников граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона).

4.5.Не раскрывать данные третьим лицам, кроме случаев, когда это требуется законом либо делает сам работодатель.

4.6.Помогать работодателю выполнять запросы субъектов: по его требованию предоставить, уточнить, заблокировать или удалить данные; запросы, поступившие напрямую от работников, передавать работодателю.

4.7.Уведомлять работодателя об инциденте с персональными данными без неоправданной задержки, чтобы работодатель мог выполнить свои обязанности по части 3.1 статьи 21 Закона (уведомление Роскомнадзора в течение 24 часов и результаты расследования в течение 72 часов).

5.1.Иметь законное основание обработки данных работников (трудовое законодательство, согласие работника в случаях, когда оно требуется) и соблюдать требования главы 14 Трудового кодекса Российской Федерации о защите персональных данных работника.

5.2.Уведомить работников об обработке их данных и о поручении обработки сервису (при необходимости с использованием формы «Уведомление работников», которую можно сформировать в сервисе).

5.3.Самостоятельно определять, кому из пользователей организации предоставить доступ и в каком объёме; своевременно отключать пользователей, утративших право доступа.

5.4.Оценивать, нужно ли ему уведомление Роскомнадзора об обработке персональных данных, и выполнять его в случаях, предусмотренных статьёй 22 Закона.

6.1.Данные хранятся в течение срока доступа организации. Работодатель может удалить работников, компании и документы самостоятельно.

6.2.При прекращении доступа работодатель вправе выгрузить свои документы и данные. После удаления организации данные удаляются из базы сервиса; Обработчик не использует их для собственных нужд.

6.3.По требованию работодателя Обработчик подтверждает уничтожение данных.

7.1.Перед субъектами персональных данных за действия Обработчика отвечает работодатель; перед работодателем за нарушение поручения отвечает Обработчик (статья 6 Закона).

7.2.Обработчик вправе привлекать другое лицо для технической поддержки инфраструктуры только при условии, что оно принимает на себя те же обязательства; об изменении перечня таких лиц Обработчик сообщает работодателю в личном кабинете.

7.3.Работодатель вправе запросить сведения о мерах защиты, принятых Обработчиком.