Договор поручения на обработку персональных данных

1. Стороны

1.1. «Заказчик» — юридическое лицо или индивидуальный предприниматель, заключивший с Исполнителем договор на использование сервиса WonderScribe и являющийся оператором персональных данных в смысле п. 2 ст. 3 152-ФЗ в отношении персональных данных, передаваемых в Сервис.

1.2. «Исполнитель» — Индивидуальный предприниматель Максимкин Никита Сергеевич, ИНН 132897923389, ОГРНИП 318132600011407, регистрационный номер в реестре операторов ПДн Роскомнадзора № 52-25-214905, действующий по поручению Заказчика в смысле ч. 3 ст. 6 152-ФЗ.

1.3. Заказчик и Исполнитель далее совместно — «Стороны», по отдельности — «Сторона».

2. Предмет договора

2.1. Заказчик поручает, а Исполнитель принимает на себя обязательство по обработке персональных данных, передаваемых Заказчиком в сервис WonderScribe (далее — «Сервис»), исключительно в целях оказания услуг по автоматизированной транскрибации аудио- и видеоматериалов, формирования саммари, перевода и иных функций Сервиса, прямо предусмотренных Публичной офертой.

2.2. Заказчик является оператором персональных данных в отношении всех ПДн, передаваемых в Сервис. Исполнитель не определяет цели обработки и действует строго в рамках поручения Заказчика.

2.3. Настоящий договор является неотъемлемой частью Публичной оферты; в случае противоречий между настоящим DPA и Офертой в части обработки ПДн приоритет имеет настоящий DPA.

3. Категории субъектов и персональных данных

3.1. Категории субъектов ПДн:

• сотрудники, клиенты, контрагенты Заказчика, голоса или сведения о которых содержатся в загружаемых материалах;
• иные физические лица — участники записываемых онлайн-встреч (при использовании функции WonderScribe AI Meeting);
• уполномоченные представители Заказчика — пользователи учётных записей в Сервисе.

3.2. Категории обрабатываемых ПДн:

• идентификационные данные представителей Заказчика: ФИО (при указании), адрес электронной почты, телефон (при указании);
• аудио- и видеоконтент, содержащий голос, изображение и иные сведения о физических лицах;
• текстовые расшифровки, саммари и иные производные результаты автоматизированной обработки;
• при включении функции «Запоминание голосов спикеров» (раздел 7-bis Политики конфиденциальности) — биометрические данные в форме акустических отпечатков голоса (embeddings);
• технические данные: IP-адрес, cookie-идентификаторы, сведения об устройстве и браузере.

3.3. Исполнитель не обрабатывает специальные категории ПДн (раса, политические взгляды, состояние здоровья и т.д.), за исключением случаев, когда такие сведения присутствуют в содержании загружаемых материалов. В этих случаях Заказчик гарантирует наличие правовых оснований обработки в соответствии со ст. 10 152-ФЗ.

4. Перечень действий и срок обработки

4.1. Исполнитель совершает следующие действия с ПДн исключительно в объёме, необходимом для оказания услуг: сбор (приём загруженных материалов), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (только подрядчикам по разделу 7 настоящего DPA), обезличивание, блокирование, удаление, уничтожение.

4.2. Исполнитель обрабатывает ПДн с использованием средств автоматизации. Ручная (неавтоматизированная) обработка не осуществляется. Сотрудники Исполнителя не имеют доступа к содержимому загруженных материалов, за исключением случаев технической поддержки по обращению Заказчика с его явного согласия.

4.3. Срок обработки — в течение всего срока действия учётной записи Заказчика в Сервисе. Сроки хранения отдельных категорий данных определены разделом 6 Публичной оферты и разделом 8 Политики конфиденциальности.

5. Меры защиты персональных данных

5.1. Во исполнение требований ст. 19 152-ФЗ Исполнитель применяет следующие правовые, организационные и технические меры защиты ПДн:

• шифрование канала передачи данных (TLS 1.3);
• шифрование паролей учётных записей (bcrypt);
• контроль доступа на основе ролей (RBAC), JWT-токены с инвалидацией при смене пароля;
• защита от CSRF, SQL-инъекций, XSS, SSRF;
• ограничение количества попыток входа (brute-force lockout);
• журналирование доступа к данным (срок хранения логов — 90 дней);
• резервное копирование баз данных с ретенцией не более 30 дней;
• размещение инфраструктуры на территории Российской Федерации (Selectel/AEZA, Москва).

5.2. Исполнитель назначил лицо, ответственное за организацию обработки персональных данных, в соответствии с п. 1 ч. 1 ст. 18.1 152-ФЗ. Контакты ответственного: support@wonderscribe.pro.

5.3. Перечень мер защиты может уточняться Исполнителем без изменения настоящего DPA, при условии что уровень защиты не снижается.

6. Конфиденциальность

6.1. Исполнитель и привлечённые им лица, имеющие доступ к ПДн, обязаны соблюдать конфиденциальность таких данных и не передавать их третьим лицам, кроме случаев, прямо предусмотренных настоящим DPA или законодательством Российской Федерации.

6.2. Обязанность конфиденциальности действует бессрочно, в том числе после прекращения настоящего DPA и Публичной оферты.

6.3. Содержание загружаемых материалов и результаты их обработки не используются Исполнителем для каких-либо целей, кроме оказания услуг Заказчику. Исполнитель вправе использовать обезличенные технические метаданные (характеристики аудиосигнала, статистика качества распознавания) для улучшения алгоритмов Сервиса.

7. Привлечение подрядчиков (sub-processors)

7.1. Заказчик настоящим даёт общее согласие Исполнителю на привлечение третьих лиц (подрядчиков, sub-processors) для целей оказания услуг, при условии что такие подрядчики:

• обеспечивают уровень защиты ПДн не ниже установленного настоящим DPA;
• обрабатывают ПДн исключительно в объёме, необходимом для оказания услуг Исполнителю;
• имеют документально оформленные обязательства по конфиденциальности.

7.2. Актуальный перечень подрядчиков:

• ООО «НКО ЮMoney» (ЮKassa), ИНН 7750005725 — приём платежей, формирование чеков 54-ФЗ.
• ООО «Яндекс», ИНН 7736207543 — Яндекс.Метрика (обезличенная веб-аналитика).
• Selectel / AEZA — размещение инфраструктуры на территории РФ.
• Groq, Inc. — резервный fallback для генерации саммари (используется только при недоступности основного LLM-сервера).

7.3. Полный актуальный перечень публикуется в разделе 7.6 Политики конфиденциальности и обновляется Исполнителем самостоятельно. При существенном изменении состава подрядчиков (добавление нового подрядчика, обрабатывающего содержание загружаемых материалов) Исполнитель уведомляет Заказчика по электронной почте не позднее чем за 30 календарных дней до начала обработки таким подрядчиком. Заказчик вправе мотивированно возразить в течение 14 календарных дней; при невозможности устранения возражения Стороны вправе расторгнуть договор без штрафных санкций.

7.4. Трансграничная передача ПДн не осуществляется. Обработка через зарубежных подрядчиков (Groq, Inc.) применяется только к обезличенному текстовому контенту без идентификаторов субъектов; полная остановка использования такого подрядчика возможна по запросу Заказчика.

8. Уведомление об инцидентах безопасности

8.1. При обнаружении инцидента, повлекшего неправомерную или случайную передачу (предоставление, распространение, доступ) ПДн Заказчика, Исполнитель уведомляет Заказчика по электронной почте, указанной в реквизитах учётной записи, в срок не позднее 24 часов с момента обнаружения инцидента.

8.2. Уведомление содержит:

• описание инцидента и его предполагаемые причины;
• категории и приблизительное количество затронутых субъектов и данных;
• принятые и планируемые меры по локализации и устранению последствий;
• контакты ответственного лица Исполнителя для оперативной связи.

8.3. Исполнитель самостоятельно уведомляет Роскомнадзор в сроки и в порядке, установленных ст. 21 ч. 3.1 152-ФЗ (в редакции ФЗ № 266-ФЗ). При необходимости Стороны согласовывают распределение обязанностей по уведомлению субъектов ПДн.

8.4. Исполнитель оказывает Заказчику разумное содействие при расследовании инцидента, в том числе предоставляет журналы доступа и иные технические сведения, необходимые для исполнения Заказчиком обязанностей оператора.

9. Содействие в реализации прав субъектов ПДн

9.1. Исполнитель оказывает Заказчику разумное содействие в исполнении обязанностей оператора, предусмотренных ст. 14, 18, 20, 21 152-ФЗ, в том числе при:

• предоставлении субъекту ПДн информации об обработке его данных;
• уточнении, блокировании или уничтожении ПДн по запросу субъекта;
• экспорте данных в машиночитаемом формате;
• отзыве согласия субъектом ПДн.

9.2. При поступлении Исполнителю напрямую запроса от субъекта ПДн, чьи данные содержатся в загружаемых Заказчиком материалах, Исполнитель действует в порядке, предусмотренном разделом 11.5 Политики конфиденциальности: информирует заявителя о роли Исполнителя как обработчика по поручению и при наличии технической возможности перенаправляет запрос Заказчику.

10. Возврат и удаление данных по окончании обработки

10.1. По окончании оказания услуг (расторжение договора, удаление учётной записи) Исполнитель в течение 30 (тридцати) календарных дней:

• предоставляет Заказчику возможность экспорта всех данных через интерфейс Сервиса либо по письменному запросу — в виде структурированного архива;
• удаляет ПДн Заказчика из активной системы Сервиса (за исключением сведений, обязательных к хранению в силу закона — в частности, платёжных документов сроком 5 лет согласно ч. 2 ст. 9 ФЗ № 402-ФЗ «О бухгалтерском учёте»);
• удаляет ПДн из резервных копий по мере их естественной ротации (не более 30 дней с момента создания копии).

10.2. По письменному запросу Заказчика Исполнитель предоставляет письменное подтверждение факта удаления ПДн.

11. Аудит и контроль

11.1. Заказчик вправе один раз в календарный год направить Исполнителю письменный запрос с просьбой подтвердить выполнение мер защиты ПДн, предусмотренных настоящим DPA. Исполнитель отвечает в срок не более 30 календарных дней путём предоставления:

• письма с описанием применяемых мер защиты со ссылкой на актуальную редакцию Политики конфиденциальности;
• копий внутренних регламентов оператора ПДн (по запросу, без раскрытия коммерческой тайны);
• выписки из журнала обращений субъектов ПДн в обезличенной форме.

11.2. Физический аудит инфраструктуры Исполнителя проводится исключительно по согласованию Сторон, с предварительным уведомлением не менее чем за 30 календарных дней, в рабочее время и с возмещением Заказчиком разумных расходов Исполнителя на проведение такого аудита.

12. Ответственность Сторон

12.1. Стороны несут ответственность за нарушение требований законодательства о персональных данных в соответствии с законодательством Российской Федерации.

12.2. Общий размер ответственности Исполнителя по любым требованиям, связанным с настоящим DPA, ограничивается суммой фактически оплаченных Заказчиком услуг за последние 12 (двенадцать) календарных месяцев, предшествующих предъявлению претензии. Указанное ограничение не применяется к случаям умышленного нарушения Исполнителем обязанностей по защите ПДн.

12.3. Заказчик несёт ответственность за правомерность передачи ПДн в Сервис, наличие правовых оснований обработки, наличие согласий субъектов ПДн (включая участников записываемых онлайн-встреч), а также за иные обязанности оператора, не возложенные настоящим DPA на Исполнителя.

13. Срок действия и изменения

13.1. Настоящий DPA вступает в силу с момента акцепта Публичной оферты Заказчиком и действует до прекращения договорных отношений между Сторонами.

13.2. Обязанности конфиденциальности (раздел 6) и обязанности по уничтожению ПДн (раздел 10) сохраняют силу после прекращения настоящего DPA.

13.3. Исполнитель вправе в одностороннем порядке актуализировать настоящий DPA. Существенные изменения, ухудшающие положение Заказчика, доводятся до его сведения по электронной почте не позднее чем за 30 календарных дней до вступления в силу. Заказчик вправе мотивированно возразить; в случае недостижения согласия — расторгнуть договор без штрафных санкций.

14. Заключительные положения

14.1. Настоящий DPA применяется ко всем Заказчикам, использующим Сервис в коммерческих целях (юридические лица и индивидуальные предприниматели), независимо от того, был ли заключён индивидуальный подписанный экземпляр.

14.2. Индивидуальный подписанный экземпляр настоящего DPA предоставляется по запросу Заказчика, направленному на support@wonderscribe.pro. Срок подготовки — до 5 рабочих дней.

14.3. Применимое право — законодательство Российской Федерации. Подсудность — по месту регистрации Исполнителя.