Приложение № 1 к оферте

Поручение на обработку персональных данных

Редакция от 31.10.2026. Действует с момента размещения на сайте.

Зачем этот документ. Подключая vibehoreca к своей iiko и указывая, кому отправлять сообщения, сеть остаётся оператором персональных данных своих работников, гостей и поставщиков, а vibehoreca становится лицом, обрабатывающим их по поручению. Часть 3 статьи 6 Федерального закона № 152-ФЗ требует, чтобы такое поручение было оформлено документом с перечнем действий, целями обработки и требованиями к защите данных. Настоящий документ и есть это поручение.

Настоящее Поручение является Приложением № 1 к публичной оферте о заключении договора возмездного оказания услуг по предоставлению доступа к сервису vibehoreca (далее — Оферта) и её неотъемлемой частью. Термины, определённые в Оферте, используются в настоящем Поручении в тех же значениях.

Поручение считается данным Заказчиком и принятым Исполнителем с момента акцепта Оферты в порядке её пункта 3.2 и действует в течение срока действия договора.

1. Стороны и предмет поручения

1.1. Оператор — Заказчик, то есть индивидуальный предприниматель или юридическое лицо, акцептовавшее Оферту и использующее Сервис для ведения своей деятельности.

1.2. Обработчик — Кот Максим Денисович, ИНН 352705796762, являющийся Исполнителем по Оферте.

1.3. Оператор поручает Обработчику, а Обработчик обязуется осуществлять обработку персональных данных, содержащихся в Учётной системе Оператора и иных указанных им источниках, а также персональных данных Получателей, на условиях настоящего Поручения в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (далее — Закон).

1.4. Обработчик осуществляет обработку персональных данных исключительно в объёме и на условиях настоящего Поручения и согласованных Оператором описаний Приложений (пункт 4.3 Оферты). Обработчик не определяет цели обработки, состав Получателей и источники данных и не обрабатывает персональные данные в собственных интересах.

1.5. Настоящее Поручение не является уступкой обязанностей Оператора. В соответствии с частью 5 статьи 6 Закона Оператор остаётся ответственным перед субъектами персональных данных за действия Обработчика; Обработчик несёт ответственность перед Оператором.

2. Категории субъектов и перечень персональных данных

2.1. Обработке подлежат персональные данные следующих категорий субъектов:

• работники и иные представители Оператора, сведения о которых содержатся в Учётной системе;
• Получатели — работники и иные представители Оператора, которым Приложения направляют сообщения;
• гости Оператора — если Оператор ведёт сведения о них в Учётной системе (например, в программе лояльности или при доставке);
• авторы отзывов о Точках Оператора, размещённых на картографических сервисах и иных площадках, указанных Оператором;
• контрагенты Оператора (поставщики и иные лица) и их представители.

2.2. Перечень персональных данных, обработка которых поручается, определяется составом данных Учётной системы и иных источников, которые Оператор указал для Приложений, и включает:

• в отношении работников — фамилию, имя, отчество, должность, Точку, сведения о сменах, а также сведения об операциях, совершённых работником в Учётной системе (продажи, возвраты, списания, отмены);
• в отношении Получателей — имя, идентификатор и имя пользователя в Канале доставки, номер телефона (если он используется для доставки), Точку и роль, историю направленных сообщений и ответов на них, в том числе подтверждений;
• в отношении гостей — имя, номер телефона, историю заказов и сведения об участии в программе лояльности в объёме, в котором они содержатся в Учётной системе;
• в отношении авторов отзывов — имя или псевдоним, указанные автором, текст, оценку и дату отзыва;
• в отношении контрагентов и их представителей — наименование или фамилию, имя, отчество, номер телефона, адрес электронной почты, идентификатор в мессенджере, а также сведения из переданных Оператором банковских выписок (плательщик или получатель, назначение платежа, сумма, дата);
• содержание Описаний задач и сообщений Приложений в части, содержащей перечисленные сведения.

2.3. Оператор обязуется не поручать Обработчику обработку специальных категорий персональных данных (часть 1 статьи 10 Закона) и биометрических персональных данных (статья 11 Закона). В частности, Оператор не указывает в качестве источника данных для Приложений сведения о состоянии здоровья работников, в том числе о медицинских осмотрах и медицинских книжках, а также изображения документов, удостоверяющих личность. Функциональные возможности Сервиса не предназначены для обработки таких данных. При нарушении Оператором настоящего пункта Обработчик не несёт ответственности за последствия обработки таких данных.

3. Цели обработки

3.1. Обработка персональных данных осуществляется Обработчиком исключительно в следующих целях:

• работа Приложений по согласованным Оператором описаниям: получение данных из Учётной системы и иных указанных Оператором источников, их проверка и расчёт показателей, формирование и направление сообщений Получателям;
• направление заказов поставщикам после подтверждения Получателем в порядке пункта 4.7 Оферты;
• хранение данных, их резервное копирование и восстановление;
• техническая поддержка Оператора, диагностика и устранение неисправностей Приложений;
• обеспечение безопасности данных и расследование инцидентов информационной безопасности.

3.2. Обработчик не вправе использовать поручаемые персональные данные для собственных целей, включая маркетинговые, а также передавать или предоставлять их третьим лицам, за исключением случаев, предусмотренных разделами 4 и 6 и законодательством Российской Федерации.

4. Перечень действий с персональными данными

4.1. Обработчику поручается совершение следующих действий (операций) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

4.2. Сбор персональных данных поручается Обработчику только в форме автоматизированного получения данных из Учётной системы Оператора и иных источников, указанных Оператором при согласовании Приложения. Обработчик не получает персональные данные непосредственно от субъектов, не взаимодействует с ними, кроме направления сообщений Получателям и заказов поставщикам по указанию Оператора, и не определяет перечень источников.

4.3. Правовое основание обработки определяет Оператор, в том числе в отношении работников, гостей, авторов отзывов и Получателей. Подключение Учётной системы к Сервису само по себе не является получением согласия субъектов: наличие правового основания Оператор обеспечивает самостоятельно, вне Сервиса.

4.4. Передача персональных данных поручается только Получателям и поставщикам — в составе сообщений и заказов, предусмотренных согласованными описаниями Приложений, — а также лицам, указанным в разделе 6. Распространение персональных данных Обработчику не поручается.

4.5. Обработка осуществляется с использованием средств автоматизации.

5. Требования к защите персональных данных

5.1. Обработчик обязан соблюдать конфиденциальность персональных данных и не раскрывать их третьим лицам без согласия Оператора, если иное не предусмотрено законодательством Российской Федерации.

5.2. Обработчик обеспечивает безопасность персональных данных при их обработке и принимает меры, предусмотренные статьёй 19 Закона, в том числе:

• определяет угрозы безопасности персональных данных при их обработке в информационной системе;
• применяет организационные и технические меры, направленные на выполнение требований к защите персональных данных, установленных Правительством Российской Федерации;
• предоставляет доступ к персональным данным только лицам, которым он необходим для исполнения обязанностей;
• обеспечивает, чтобы данные одного Оператора не были доступны другим заказчикам Сервиса;
• хранит ключи доступа к Учётной системе в защищённом виде и использует их только для работы Приложений Оператора;
• обеспечивает передачу данных между Сервисом, Учётной системой и Каналами доставки по защищённым протоколам;
• ведёт журнал срабатываний Приложений и направленных сообщений;
• выполняет резервное копирование не реже одного раза в сутки и обеспечивает возможность восстановления персональных данных, изменённых или уничтоженных вследствие несанкционированного доступа;
• осуществляет контроль за принимаемыми мерами и оценку их эффективности.

5.3. Обработка и хранение персональных данных, включая их запись, систематизацию, накопление, хранение, уточнение и извлечение, осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона).

5.4. Трансграничная передача персональных данных Обработчиком не осуществляется, за исключением направления сообщений Приложений Получателям через Канал доставки Telegram, инфраструктура которого находится за пределами Российской Федерации. Такое направление осуществляется только если Оператор выбрал этот Канал доставки для соответствующих Получателей. Выбирая его, Оператор поручает Обработчику указанную передачу, самостоятельно определяет, какие персональные данные включаются в сообщения, и исполняет обязанности оператора, предусмотренные статьёй 12 Закона, в том числе по уведомлению уполномоченного органа. Оператор вправе выбрать Канал доставки MAX либо исключить персональные данные из содержания сообщений.

5.5. Обработчик обеспечивает, чтобы лица, допущенные к обработке персональных данных, были ознакомлены с положениями законодательства о персональных данных и приняли на себя обязательство о неразглашении.

5.6. По письменному запросу Оператора Обработчик в течение 10 (десяти) рабочих дней предоставляет сведения о принимаемых мерах защиты персональных данных в объёме, не создающем угрозы безопасности Сервиса и не раскрывающем сведения о других операторах.

6. Привлечение третьих лиц

6.1. Оператор даёт Обработчику общее согласие на привлечение к обработке персональных данных следующих лиц:

• поставщик услуг облачной инфраструктуры и хостинга, размещающий серверы на территории Российской Федерации, — АО «Селектел»;
• ПАО Сбербанк — сервис автоматической обработки текстов GigaChat, используемый для разбора Описаний задач и формирования текста сообщений Приложений, в объёме данных, необходимом для этих целей;
• иные лица, привлечение которых необходимо для оказания услуг, — при условии соблюдения пунктов 6.2 и 6.3.

6.2. При привлечении третьих лиц Обработчик обязан возложить на них обязанности, эквивалентные предусмотренным настоящим Поручением, и остаётся ответственным перед Оператором за их действия как за свои собственные.

6.3. Обработчик уведомляет Оператора о привлечении нового лица, обрабатывающего персональные данные, не позднее чем за 15 (пятнадцать) календарных дней путём размещения сведений на сайте vibehoreca.ru и направления уведомления на адрес электронной почты Оператора. При несогласии Оператор вправе отказаться от договора в порядке пункта 14.2 Оферты.

6.4. Правообладатели Учётной системы и Каналов доставки не являются лицами, которым Обработчик поручает обработку персональных данных: Оператор пользуется их сервисами на основании собственных договоров с ними, а Обработчик получает данные из Учётной системы и направляет сообщения в Каналы доставки по указанию Оператора.

7. Взаимодействие по запросам субъектов и инцидентам

7.1. Обязанности по получению согласий субъектов персональных данных, их информированию, рассмотрению их обращений, а также по уведомлению уполномоченного органа о начале обработки персональных данных исполняет Оператор. Обработчик такие согласия не получает.

7.2. При получении обращения субъекта персональных данных, в том числе Получателя или автора отзыва, или запроса уполномоченного органа, относящегося к персональным данным, обрабатываемым по настоящему Поручению, Обработчик в течение 3 (трёх) рабочих дней перенаправляет его Оператору и самостоятельно по существу не отвечает.

7.3. По мотивированному запросу Оператора Обработчик оказывает содействие в исполнении обязанностей Оператора перед субъектами персональных данных: предоставляет сведения об обрабатываемых данных, обеспечивает их уточнение, блокирование или уничтожение, исключает Получателя из рассылки — в течение 10 (десяти) рабочих дней с даты получения запроса, если законом не установлен более короткий срок.

7.4. При обнаружении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, в том числе направления сообщения не тому Получателю, а равно при выявлении инцидента, создающего угрозу такой передачи, Обработчик уведомляет Оператора незамедлительно, но не позднее 24 (двадцати четырёх) часов с момента обнаружения, с указанием известных обстоятельств инцидента, предполагаемого объёма затронутых данных и принимаемых мер. Уведомление уполномоченного органа в порядке части 3.1 статьи 21 Закона осуществляет Оператор.

7.5. Обработчик оказывает Оператору разумное содействие в расследовании инцидента и предоставляет имеющиеся сведения из журналов Сервиса.

8. Срок действия и прекращение обработки

8.1. Поручение действует с момента акцепта Оферты и до прекращения договора, если Оператор не отозвал его ранее.

8.2. Оператор вправе в любое время отозвать Поручение, направив уведомление Обработчику. Отзыв Поручения делает невозможным оказание услуг по Оферте и влечёт прекращение договора в порядке её пункта 14.2.

8.3. По прекращении договора Обработчик прекращает обращения к Учётной системе, прекращает обработку персональных данных и уничтожает их в сроки, установленные пунктом 9.6 Оферты: основные данные — по истечении 30 (тридцати) календарных дней с даты прекращения договора, данные в резервных копиях — по мере их штатной ротации, но не позднее 90 (девяноста) календарных дней с той же даты.

8.4. В течение 30 (тридцати) календарных дней с даты прекращения договора Оператор вправе запросить выгрузку данных в порядке пункта 9.5 Оферты.

8.5. По письменному запросу Оператора Обработчик направляет уведомление об уничтожении персональных данных с указанием даты уничтожения и перечня уничтоженных категорий данных в течение 10 (десяти) рабочих дней после фактического уничтожения.

9. Ответственность Сторон

9.1. Обработчик несёт ответственность перед Оператором за нарушение требований настоящего Поручения и Закона в пределах, установленных разделом 12 Оферты.

9.2. Оператор несёт ответственность за правомерность поручения обработки персональных данных Обработчику, включая наличие правовых оснований обработки и согласий субъектов, за выбор источников данных, Получателей и Каналов доставки, за достоверность и актуальность данных, а также за исполнение иных обязанностей оператора, установленных Законом.

9.3. Обработчик не несёт ответственности за последствия обработки персональных данных, поручённой Оператором с нарушением пункта 2.3, а также за действия Получателей и иных представителей Оператора с полученными сообщениями.

10. Изменение Поручения

10.1. Изменение настоящего Поручения производится в порядке, установленном пунктами 14.5–14.7 Оферты.

10.2. Действующая редакция размещена по адресу https://vibehoreca.ru/legal/dpa.html. Предыдущие редакции предоставляются по запросу Оператора.