Поручение на обработку персональных данных

Приложение к оферте сервиса Кирпич

Проект редакции от 25 сентября 2026 года

Настоящее поручение определяет обработку «Кирпичем» данных посетителей клиентских сайтов, контактов, представителей организаций и пользователей CRM. Оно применяется к каждому проекту, подключённому Заказчиком, и не передаёт Исполнителю право самостоятельно использовать клиентскую базу для иных целей.

1 Стороны и инструкции

1.1. Заказчик по оферте выступает оператором персональных данных либо лицом, надлежащим образом уполномоченным оператором поручить обработку. Индивидуальный предприниматель Алсаев Артём Вячеславович, ИНН 032357003419, ОГРНИП 325774600098925, выступает лицом, обрабатывающим данные по поручению, далее — Обработчик.

1.2. Адрес Обработчика для корреспонденции, предоставленный им: 109044, Российская Федерация, г. Москва, вн.тер.г. муниципальный округ Южнопортовый, пер. 3-й Крутицкий, д. 11, помещ. 7Н. Контакт по вопросам обработки и инцидентам: info@brick-agency.ru.

1.3. Оператор поручает обработку исключительно для своих проектов и в пределах функций, которые он включил. Инструкциями являются настоящее приложение, выбранные настройки проекта, созданные формы, сегменты и сценарии, разрешённые интеграции, команды уполномоченного пользователя и согласованные письменные обращения. Инструкции должны быть законными, понятными и относиться к договору.

1.4. Состав проекта, сайт, владелец аккаунта и его роль фиксируются в сервисе. Агентство обеспечивает наличие разрешения конечного оператора на привлечение Обработчика и передаёт его сведения по обоснованному запросу. Если полномочия отсутствуют либо инструкция явно противоречит закону, Обработчик сообщает об этом и приостанавливает затронутую обработку до устранения противоречия.

1.5. Обработчик не определяет вместо Оператора законное основание сбора, срок принятия маркетинговых решений, состав получателей его рекламы или необходимость согласия посетителей. При этом он самостоятельно исполняет установленные законом обязанности лица, которому поручена обработка; договор не исключает эти обязанности.

2 Субъекты и данные

2.1. Категории субъектов: посетители подключённого сайта; лица, заполняющие формы и квизы; потенциальные и действующие клиенты Оператора; контактные лица и представители организаций; сотрудники, сведения о которых поступают из CRM, включая ответственных менеджеров.

2.2. Данные посещения: идентификаторы посетителя и визита, временные отметки, последовательность событий, пути и названия страниц, источник перехода и UTM-метки, IP-адрес, User-Agent, тип устройства, время активности, глубина просмотра, события просмотра контента, видео, нажатия, формы и другие настроенные целевые события. Технические сведения запросов обрабатываются в необходимом для передачи и защиты объёме.

2.3. Данные контакта и обращения, если переданы Оператором или субъектом через его форму: имя, фамилия, должность, компания, email, телефон, содержание обращения, выбранные варианты ответов, заметки и теги. Дополнительные поля допускаются только в объёме, необходимом для заявленной цели, и не должны содержать запрещённые пунктом 2.5 категории.

2.4. Данные связи и CRM: идентификатор контакта, персональной ссылки, лида или сделки, связь с посетителем, название, этап, сумма и валюта сделки, сведения об ответственном, результаты настроенной синхронизации. Получение данных из CRM не означает передачу Обработчику всей базы без ограничения.

2.5. Поручение не распространяется на специальные категории персональных данных, биометрию для установления личности, государственную и иную специально охраняемую тайну, платёжные секреты и пароли посетителей. Обработка данных детей не предусмотрена стандартным сервисом. Для таких данных необходимы отдельное письменное соглашение и подтверждение допустимого режима до передачи; Обработчик вправе отказаться от их приёма.

3 Цели и операции

3.1. Цели: формирование отчётов о посещениях и рекламе; анализ пути к заявке и повторного интереса; настройка сегментов и персонализированного показа; приём обращений; проведение выбранных Оператором экспериментов; связывание событий с контактами и CRM; уведомление уполномоченных получателей о событиях проекта; поддержание и защита этих функций.

3.2. Разрешённые операции в автоматизированной форме и при необходимом участии уполномоченных специалистов: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, сопоставление в пределах проекта, передача в согласованные интеграции и уполномоченным получателям, предоставление доступа, блокирование, удаление и уничтожение. Обезличивание допускается только по инструкции или законному основанию и при соблюдении требований к невозможности обратного установления субъекта.

3.3. Не допускаются продажа данных, объединение баз разных клиентов для собственной рекламы, обучение внешних моделей на клиентских персональных данных, публикация индивидуальной истории и иные самостоятельные цели Обработчика без отдельного законного основания и согласования. Использование условного имени не считается достаточным обезличиванием.

3.4. Направление уведомления на выбранный email и передача сведений в выбранную CRM выполняются по инструкции Оператора. Он проверяет полномочия получателя и достаточность защиты канала и ящика. Новая интеграция, меняющая получателя или территорию обработки, требует соответствующей оценки до включения.

4 Обязанности Оператора

4.1. До начала сбора определить цели, состав, основание и сроки обработки; опубликовать свою политику; получить необходимые согласия на обработку и поручение, когда это требуется законом; обеспечить возможность их отзыва. Оператор самостоятельно исполняет обязанность уведомления Роскомнадзора, если к нему не применяется установленное законом исключение.

4.2. Настроить ожидание согласия для целей, которые его требуют, не загружать лишние данные и не включать трекер в разделах, где стандартный режим недостаточен. Обработчик не считается получившим согласие посетителя только потому, что код установлен или в настройках отключено ожидание согласия.

4.3. Обеспечить актуальность данных, законность рекламных материалов, информирование о персонализации, ограничение доступа сотрудников и подрядчиков, а также документальное подтверждение своих полномочий. Не вводить персональные сведения в URL и технические метки, если это не необходимо и не предусмотрено заявленной целью.

4.4. Своевременно передавать требования субъектов, инструкции по исправлению, блокированию и удалению, сведения об отзыве согласия и достижении целей. При смене владельца сайта прекратить доступ неуполномоченных лиц и согласовать дальнейшую судьбу данных.

5 Обязанности Обработчика

5.1. Соблюдать принципы и правила Федерального закона № 152-ФЗ, конфиденциальность, требования локализации по части 5 статьи 18, меры по статье 18.1 и безопасность по статье 19. Выполнять только законные инструкции и ограничивать доступ лицами, которым он необходим для договора.

5.2. Определять применимые угрозы и необходимый уровень защищённости, назначать ответственных, поддерживать разграничение доступа, защиту каналов, учёт действий, резервирование и восстановление, управление изменениями, устранение уязвимостей и реагирование на инциденты. Меры соотносятся с фактической системой и обязательными требованиями, включая постановление Правительства РФ № 1119 и применимые требования ФСТЭК России.

5.3. Обеспечивать обязательства конфиденциальности у допущенных лиц и проверять предоставляемые им права. Доступ сотрудника поддержки предоставляется только для конкретной обоснованной задачи. Пароли, ключи и базы не передаются через общедоступные каналы.

5.4. До начала и во время обработки по обоснованному запросу Оператора предоставлять документы и сведения, подтверждающие принятые меры и выполнение требований поручения. Обычный срок ответа — не более 5 рабочих дней; если данные нужны для обязательного срока ответа государственному органу или субъекту, стороны обеспечивают передачу раньше с учётом такого срока.

5.5. Подтверждение может включать описание мер, выписки из регламентов, сведения о размещении, привлечённых обработчиках и выполнении удаления. Коммерческие секреты, сведения других клиентов и детали, раскрытие которых создаёт уязвимость, передаются в ограниченном объёме или иным безопасным способом. Это не является основанием отказать в подтверждении соблюдения обязательных требований.

5.6. Проверка Оператором проводится по согласованной программе без доступа к данным других клиентов и без нарушения работы сервиса. В первую очередь используются документы и удалённая проверка. Дополнительные работы согласуются отдельно, но плата за них не ставится условием исполнения обязательной обязанности предоставить предусмотренные законом подтверждения.

6 Привлечённые лица и передача за рубеж

6.1. Привлечение другого обработчика допускается только на основании разрешения Оператора и при возложении на него обязательств не менее строгих в отношении доверенных данных. Приложение с перечнем содержит юридическое наименование, функцию, категории передаваемых данных и страну обработки. Общее упоминание «партнёров» не является неограниченным разрешением передавать данные любым лицам.

6.2. До начала применения настоящего поручения стороны утверждают фактический перечень поставщиков размещения и почтовой доставки. Используемая инфраструктура Timeweb подлежит уточнению по договору: юридическое лицо, адреса размещения баз и условия доступа. Отсутствующие сведения нельзя заменять предположением о российском размещении.

6.3. О новом привлекаемом обработчике, меняющем согласованный перечень, Обработчик уведомляет заранее, как правило не менее чем за 15 календарных дней, и предоставляет сведения для оценки. При обоснованном возражении обработка у такого лица не начинается до урегулирования; при невозможности согласовать замену стороны прекращают затронутую функцию и рассчитываются за непредоставленный период по договору и закону.

6.4. Системы CRM и видеоплатформы, самостоятельно выбранные Оператором, являются указанными им получателями. Он проверяет свои договоры с ними. Если Обработчик сам привлекает такое лицо для исполнения своей части обработки, применяются пункты 6.1–6.3.

6.5. Трансграничная передача не разрешается автоматически установкой интеграции. До её начала определяются получатель, страна, состав данных и основание, выполняются требования статьи 12 Федерального закона № 152-ФЗ, включая уведомление и оценку, если они обязательны. При запрете или отсутствии законных условий соответствующая передача не производится.

6.6. hCaptcha, используемая при регистрации собственного пользователя «Кирпича», относится к обработке данных самим сервисом как оператором, а не разрешает передавать hCaptcha историю посетителей клиентских сайтов. Эти потоки не смешиваются.

7 Инциденты и запросы субъектов

7.1. При обнаружении неправомерной или случайной передачи, предоставления, распространения или доступа к порученным данным, повлёкших нарушение прав субъектов, Обработчик без неоправданной задержки сообщает Оператору; договорный предельный срок первого сообщения — 12 часов с момента обнаружения. Предварительная неполнота информации не является основанием ждать окончания расследования.

7.2. Первое сообщение содержит известные обстоятельства и время, затронутые проекты и категории данных, вероятные последствия, уже принятые меры и контакт для взаимодействия. Обновления передаются по мере получения информации. Доступные результаты расследования предоставляются не позднее 60 часов с момента обнаружения, чтобы Оператор мог исполнить установленные законом обязанности; дополнительные сведения передаются без задержки после их получения.

7.3. Оператор самостоятельно определяет и выполняет свои уведомления Роскомнадзору и субъектам, когда они обязательны. Обработчик оказывает необходимое содействие, сохраняет допустимые доказательства и принимает меры локализовать инцидент. Эти пункты не ограничивают прямые обязанности Обработчика по закону.

7.4. Запрос субъекта, относящийся к порученным данным, передаётся Оператору без неоправданной задержки, обычно не позднее одного рабочего дня. Обработчик не раскрывает данные без проверки полномочий и не даёт самостоятельного ответа по существу вместо Оператора, кроме прямо предусмотренных законом случаев или согласованной инструкции.

7.5. Оператор передаёт исполнимую инструкцию с идентификаторами, необходимыми для поиска. Обработчик помогает получить, уточнить, заблокировать или удалить сведения в срок, позволяющий выполнить закон. Сам по себе переход по персональной ссылке или совпадение имени не удостоверяет личность заявителя.

8 Сроки и завершение обработки

8.1. Поручение действует с начала законно настроенной обработки до её завершения, включая необходимый период возврата и удаления данных. Отмена платного тарифа не прекращает автоматически поручение для проекта, который продолжает работать в бесплатном режиме.

8.2. По умолчанию исходные события, визиты, ответы виджетов и журналы сценариев очищаются после 90 дней. Для продолжающегося эксперимента необходимые исходные записи могут храниться до завершения наблюдения и фиксации результата. Оператор обязан завершать утратившие цель эксперименты; это исключение не разрешает бессрочно сохранять все исходные данные.

8.3. Контакты, связи, настройки и результаты, не подпадающие под очистку исходных событий, хранятся только пока нужны для согласованной цели. Конкретные сроки задаются Оператором в инструкции с учётом закона и возможностей сервиса. Если автоматического инструмента нет, применяется проверяемая обработка обращения в поддержку; отсутствие кнопки не отменяет требование об удалении.

8.4. По завершении поручения Обработчик по выбору Оператора возвращает доступные данные в машиночитаемом формате и удаляет оставшиеся экземпляры либо уничтожает их, кроме сведений, обязательное хранение которых прямо предусмотрено законом. Оператор направляет запрос на выгрузку до команды необратимого удаления. Обработчик не обязан создавать новый формат отчёта или восстанавливать уже законно удалённые записи.

8.5. Удаление из рабочих систем и резервных копий выполняется в обязательные сроки, как правило не более 30 дней после наступления соответствующего основания, если закон не устанавливает иной срок. Текущая ротация резервных копий рассчитана примерно на 7 дней. Копии изолируются от обычной обработки; восстановление сопровождается повторным применением ранее полученных требований об удалении.

8.6. Обработчик подтверждает выполненные действия, указывая объём, дату и законные исключения, если они есть. Документы, подтверждающие удаление, оформляются в применимом установленном порядке. До уничтожения сохраняется конфиденциальность и защита оставшихся экземпляров.

9 Ответственность и приоритет

9.1. Оператор отвечает перед субъектами за законность определённых им целей, исходных оснований и своих инструкций. Обработчик отвечает перед Оператором за исполнение поручения и собственные нарушения в предусмотренном законом порядке. Это распределение не отменяет ответственность, которую закон прямо возлагает на каждое лицо перед субъектом или государством.

9.2. Гарантии и ограничения ответственности оферты применяются только в допустимой законом части. Условие о передаче всей ответственности за безопасность Оператору отсутствует. Потери, возникшие из-за незаконных материалов или неправомерно переданных Оператором данных, рассматриваются с учётом раздела 10 оферты и фактического вклада сторон.

9.3. В вопросах обработки порученных данных настоящее приложение имеет приоритет перед общими описаниями функций. Изменение состава данных, целей, получателей или территории не может вводиться задним числом. Изменение, требующее нового согласия или инструкции, применяется после их законного получения.