Приложение № 2 к Публичной оферте
Публикуется по адресу https://crmpm.ru/legal/dpa
Редакция № 1 от 5 июля 2026 г.
1. Стороны и порядок заключения
1.1. Оператор — Лицензиат по Публичной оферте, размещённой по адресу https://crmpm.ru/legal/oferta.
1.2. Обработчик — ИП Цабров Роман Анатольевич, ОГРНИП 320645100001872, ИНН 644306088308, адрес: Саратовская обл., г. Маркс, 11 линия, д. 22, эл. почта privacy@crmpm.ru.
1.3. Акцепт Оферты одновременно означает присоединение Оператора к настоящему Поручению. Отдельного подписания не требуется. По письменному запросу Оператора Обработчик подписывает Поручение в форме отдельного двустороннего документа на бумажном носителе.
1.4. Поручение действует в течение срока действия договора между сторонами.
1.5. Оператор подтверждает, что получил от субъектов персональных данных согласия на поручение обработки их данных Обработчику, включая указание в согласии наименования (фамилии, имени, отчества) и адреса Обработчика, как того требует п. 6 ч. 4 ст. 9 152-ФЗ. Типовая форма такого согласия предоставлена Обработчиком и размещена по адресу https://crmpm.ru/legal/consent-carwash.
2. Цели обработки
(обязательный элемент — п. 3 ч. 3 ст. 6 152-ФЗ)
Обработчик обрабатывает персональные данные исключительно в следующих целях:
2.1. обеспечение функционирования программы для ЭВМ «CRM Правильные мойки» и предоставление Оператору доступа к ней;
2.2. учёт заказов, транспортных средств, клиентов и визитов Оператора;
2.3. учёт рабочих смен, начислений и выплат работникам Оператора;
2.4. формирование отчётности и аналитики для Оператора;
2.5. техническая поддержка Оператора, диагностика и устранение неисправностей;
2.6. резервное копирование и восстановление данных Оператора.
2.7. Обработчик не вправе обрабатывать персональные данные в собственных интересах, в том числе в маркетинговых и рекламных целях, не вправе объединять базы данных разных Операторов и не вправе передавать данные третьим лицам иначе, чем предусмотрено разделом 6.
3. Перечень персональных данных
(обязательный элемент — п. 1 ч. 3 ст. 6 152-ФЗ)
| Категория субъектов | Персональные данные |
|---|---|
| Клиенты Оператора (посетители автомойки) | фамилия, имя, отчество; номер телефона; адрес электронной почты; государственный регистрационный знак транспортного средства; марка, модель, класс, цвет транспортного средства; история заказов, услуг и платежей; сумма бонусного баланса; комментарии и отметки, внесённые Оператором |
| Работники Оператора | фамилия, имя, отчество; должность; номер телефона; логин и данные авторизации; сведения о сменах, отработанном времени, начисленной и выплаченной заработной плате, удержаниях и премиях |
| Представители контрагентов Оператора | фамилия, имя, отчество; должность; номер телефона; адрес электронной почты |
3.2. Обработчик не обрабатывает по настоящему Поручению специальные категории персональных данных и биометрические персональные данные. Оператор обязуется не вносить такие данные в Программу.
4. Перечень действий (операций)
(обязательный элемент — п. 2 ч. 3 ст. 6 152-ФЗ)
Сбор (в части получения от Оператора и от субъектов через клиентский кабинет), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение, а также предоставление доступа Оператору и уполномоченным им лицам.
4.2. Обработка осуществляется автоматизированным способом с использованием средств вычислительной техники.
4.3. Распространение персональных данных Обработчиком не осуществляется.
5. Конфиденциальность
(обязательный элемент — п. 4 ч. 3 ст. 6 152-ФЗ)
5.1. Обработчик обязуется не раскрывать третьим лицам и не распространять персональные данные без согласия Оператора, за исключением случаев, предусмотренных федеральным законом.
5.2. Доступ работников и подрядчиков Обработчика к персональным данным Оператора:
а) предоставляется в минимально необходимом объёме и только для целей раздела 2;
б) фиксируется в журнале действий;
в) предоставляется только лицам, подписавшим обязательство о неразглашении.
5.3. Обязанность соблюдать конфиденциальность действует бессрочно и сохраняется после прекращения Поручения.
6. Привлечение третьих лиц
6.1. Обработчик вправе привлекать к обработке следующих лиц:
| Лицо | Роль | Реквизиты |
|---|---|---|
| АО «Селектел» | размещение серверного оборудования, хранение данных и резервных копий (объектное хранилище S3), договор № 611230 | ИНН 7810962785, ОГРН 1247800067790, 196006, г. Санкт-Петербург, ул. Цветочная, д. 21, лит. А; пул размещения SPB-4, г. Санкт-Петербург, Российская Федерация |
6.2. Обработчик уведомляет Оператора об изменении перечня привлекаемых лиц не менее чем за 15 календарных дней путём публикации новой редакции Поручения. При несогласии Оператор вправе расторгнуть договор без применения санкций.
6.3. Обработчик отвечает перед Оператором за действия привлечённых лиц как за свои собственные.
7. Локализация и требования ст. 18.1 152-ФЗ
(обязательный элемент — п. 5 ч. 3 ст. 6 152-ФЗ)
7.1. Обработчик обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Центр обработки данных: АО «Селектел», ИНН 7810962785, адрес: 196006, г. Санкт-Петербург, ул. Цветочная, д. 21, лит. А; договор № 611230, пул размещения SPB-4, г. Санкт-Петербург, Российская Федерация.
7.2. Обработчик обрабатывает персональные данные Оператора исключительно с использованием баз данных, находящихся на территории Российской Федерации.
7.3. Обработчик реализует меры, предусмотренные ст. 18.1 152-ФЗ: назначен ответственный за организацию обработки; изданы локальные акты; проведена оценка вреда субъектам; определён уровень защищённости информационной системы; разработана модель угроз; осуществляется внутренний контроль; работники ознакомлены с требованиями законодательства.
8. Требования к защите персональных данных
(обязательные элементы — пп. 7 и 8 ч. 3 ст. 6 152-ФЗ, требования ст. 19)
8.1. Обработчик обеспечивает безопасность персональных данных в соответствии со ст. 19 152-ФЗ, Постановлением Правительства РФ от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21, применяя в том числе:
- идентификацию и аутентификацию пользователей, разграничение прав доступа по ролям;
- шифрование каналов передачи данных (TLS);
- регистрацию событий безопасности и действий пользователей;
- антивирусную защиту и контроль целостности;
- резервное копирование данных;
- контроль установки обновлений и устранения уязвимостей;
- обнаружение фактов несанкционированного доступа и восстановление данных.
8.2. Установленный уровень защищённости информационной системы: УЗ-3. Акт определения уровня защищённости и модель угроз предоставляются Оператору по запросу.
9. Подтверждение принятых мер
(обязательный элемент — п. 6 ч. 3 ст. 6 152-ФЗ)
9.1. Обработчик обязуется по запросу Оператора в течение срока действия Поручения, в том числе до начала обработки, предоставлять документы и иную информацию, подтверждающие принятие мер, предусмотренных разделами 7 и 8.
9.2. Срок предоставления — 10 (десять) рабочих дней с даты получения письменного запроса.
9.3. Оператор вправе проводить проверку соблюдения Обработчиком условий Поручения не чаще одного раза в календарный год, уведомив Обработчика не менее чем за 30 календарных дней. Проверка проводится в форме запроса документов и письменных пояснений; выездная проверка — по отдельному соглашению сторон. Расходы на проведение проверки несёт Оператор.
10. Уведомление об инцидентах
(обязательный элемент — п. 9 ч. 3 ст. 6 152-ФЗ, отсылка к ч. 3.1 ст. 21)
10.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Обработчик уведомляет Оператора в течение 24 (двадцати четырёх) часов с момента выявления инцидента.
10.2. Уведомление направляется на адрес электронной почты Оператора, указанный в личном кабинете, и содержит: описание инцидента; предполагаемые причины; предполагаемый вред правам субъектов; категории и предположительный объём затронутых данных; принятые меры по устранению последствий; контактные данные лица, уполномоченного на взаимодействие.
10.3. В течение 72 (семидесяти двух) часов Обработчик направляет Оператору сведения о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при наличии).
10.4. Уведомление Роскомнадзора об инциденте в порядке ч. 3.1 ст. 21 152-ФЗ осуществляет Оператор — как лицо, отвечающее перед субъектами. Обработчик оказывает содействие и предоставляет необходимые сведения.
10.5. Обработчик самостоятельно исполняет обязанности по взаимодействию с ГосСОПКА, предусмотренные ч. 12 ст. 19 152-ФЗ, в отношении своей инфраструктуры.
11. Обращения субъектов персональных данных
11.1. Обработчик не отвечает на обращения субъектов персональных данных самостоятельно и не удовлетворяет их требования без указания Оператора.
11.2. Полученное обращение Обработчик перенаправляет Оператору в течение 3 (трёх) рабочих дней.
11.3. По письменному указанию Оператора Обработчик блокирует, уточняет или уничтожает персональные данные в течение 3 (трёх) рабочих дней и направляет подтверждение исполнения.
12. Прекращение обработки и судьба данных
12.1. При прекращении договора между сторонами Обработчик прекращает обработку персональных данных.
12.2. Данные Оператора хранятся 90 (девяносто) календарных дней с даты прекращения доступа, чтобы Оператор мог получить выгрузку в машиночитаемом формате (CSV / XLSX / JSON). По истечении срока данные уничтожаются без возможности восстановления, включая резервные копии, в срок не более 30 (тридцати) суток.
12.3. По письменному заявлению Оператора данные уничтожаются досрочно — в срок не более 3 (трёх) рабочих дней. Обработчик направляет Оператору акт об уничтожении персональных данных.
13. Ответственность
13.1. В соответствии с ч. 5 ст. 6 152-ФЗ перед субъектом персональных данных ответственность несёт Оператор; Обработчик несёт ответственность перед Оператором.
13.2. Обработчик возмещает Оператору документально подтверждённый реальный ущерб, причинённый нарушением настоящего Поручения. Размер ответственности Обработчика ограничен в соответствии с разделом 9 Публичной оферты.
13.3. Оператор отвечает за законность оснований обработки, полноту и актуальность собранных согласий субъектов, а также за состав данных, вносимых в Программу. Обработчик не проверяет наличие оснований обработки и не несёт ответственности за их отсутствие.