Поручение на обработку персональных данных

Редакция 1. Дата вступления в силу: 28 августа 2026 года.

Настоящее Поручение является неотъемлемой частью оферты на сервис «Вход для сайтов» и определяет условия обработки ИНДИВИДУАЛЬНЫЙ ПРЕДПРИНИМАТЕЛЬ ЧУРИЛОВ АРТУР ЕВГЕНЬЕВИЧ (далее — «Обработчик») персональных данных посетителей сайта Арендатора (далее — «Оператор»).

Поручение действует с момента подключения сайта к сервису входа, на всех тарифах, включая бесплатный, и не требует отдельного подписания. По письменному запросу Арендатора на тарифах «Студия» и «По договору» Исполнитель предоставляет подписанный экземпляр на бумаге с приложением, в котором указан адрес площадки размещения.

1. Роли сторон

Оператором персональных данных посетителей сайта является Арендатор. Он определяет цели и состав обрабатываемых данных, обеспечивает правовое основание обработки и отвечает перед субъектом персональных данных.

Обработчик обрабатывает персональные данные посетителей исключительно по поручению Оператора, в объёме настоящего документа и не в своих интересах. Обработчик не обязан получать согласие субъекта персональных данных (часть 3 статьи 6 152-ФЗ) и не вправе определять цели обработки.

Обработчик отвечает перед Оператором. Перед субъектом персональных данных за действия Обработчика отвечает Оператор.

2. Цели обработки

Обработка совершается исключительно в следующих целях:

• идентификация и аутентификация посетителя на сайте Оператора;
• заведение и ведение учётной записи посетителя, восстановление доступа к ней;
• защита учётной записи: второй фактор, распознавание нового устройства, противодействие подбору и автоматической регистрации;
• передача сайту Оператора сведений о вошедшем в объёме, разрешённом Оператором;
• ведение журнала событий входа и предоставление его Оператору;
• исполнение обязанностей по приёму платежей, если Оператор подключил Кассу.

Обработка в любых иных целях, включая обучение моделей, рекламный таргетинг, профилирование и передачу данных третьим лицам сверх приложения 4, настоящим Поручением не разрешена и Обработчиком не производится.

3. Обязанности Обработчика

• соблюдать конфиденциальность персональных данных и не раскрывать их третьим лицам без согласия Оператора, кроме случаев, предусмотренных законом (статья 7 152-ФЗ);
• обеспечивать безопасность персональных данных при обработке и принимать меры, предусмотренные статьёй 19 152-ФЗ; перечень применяемых мер — в приложении 3;
• обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 152-ФЗ);
• обрабатывать данные только в объёме приложений 1 и 2 и только в целях раздела 2;
• обеспечивать доступ к данным только тем работникам, которым он необходим, под обязательством о неразглашении;
• по запросу Оператора предоставлять сведения об обработке, необходимые для ответа субъекту персональных данных или уполномоченному органу, — в течение 5 (пяти) рабочих дней;
• по указанию Оператора уточнять, блокировать, обезличивать или уничтожать персональные данные конкретного субъекта; средства для выгрузки и удаления учётной записи доступны Оператору в кабинете самостоятельно и круглосуточно;
• незамедлительно, но не позднее 12 (двенадцати) часов с момента выявления, уведомлять Оператора о неправомерной или случайной передаче персональных данных, повлёкшей их уничтожение, изменение, блокирование, копирование, предоставление или распространение, а также о фактах несанкционированного доступа. Срок установлен так, чтобы Оператор успел исполнить собственную обязанность уведомить Роскомнадзор в течение 24 часов (часть 3.1 статьи 21 152-ФЗ); сведения о результатах внутреннего расследования передаются Оператору в течение 48 часов;
• уведомлять Оператора о полученных от субъектов персональных данных обращениях, поступивших напрямую Обработчику, в течение 3 (трёх) рабочих дней, не отвечая на них по существу самостоятельно.

4. Обязанности Оператора

• обеспечить правовое основание обработки и, если оно требуется, получение согласия субъекта;
• опубликовать политику обработки персональных данных и указать ссылку на неё в кабинете — форма входа показывает её посетителю;
• подать уведомление об обработке персональных данных в Роскомнадзор, указав в нём в том числе сведения о трансграничной передаче, если для его сайта применимы лица из приложения 4;
• не передавать через сервис входа специальные категории и биометрические персональные данные;
• самостоятельно рассматривать обращения субъектов персональных данных.

5. Срок обработки и уничтожение

Обработка производится в течение срока действия договора. При прекращении договора данные хранятся ещё 30 (тридцать) календарных дней для выгрузки Оператором, после чего уничтожаются.

По письменному требованию Оператора данные уничтожаются досрочно — в течение 10 (десяти) рабочих дней. По требованию Оператора Обработчик подтверждает уничтожение письменно, с указанием даты и объёма.

Записи журналов и бухгалтерские документы, хранение которых обязательно в силу закона, сохраняются в течение установленных законом сроков и обрабатываются исключительно в этих целях.

6. Привлечение третьих лиц

Оператор даёт Обработчику согласие на привлечение к обработке лиц, перечисленных в приложении 4, на условиях не менее строгих, чем установленные настоящим Поручением. Обработчик отвечает перед Оператором за действия привлечённых им лиц как за свои собственные.

Об изменении перечня Обработчик уведомляет Арендатора по адресу электронной почты его учётной записи не менее чем за 15 (пятнадцать) календарных дней до начала обработки новым лицом. Несогласный Арендатор вправе расторгнуть договор до истечения этого срока — это единственное последствие несогласия, и никакой платы за расторжение не взимается.

Приложение 1. Перечень персональных данных

Состав определяется способами входа, включёнными Оператором, и сведениями, которые посетитель сообщает сам:

• адрес электронной почты, номер телефона, отметка и способ их подтверждения;
• имя, фамилия, дата рождения, пол, изображение профиля — если Оператор их запрашивает;
• идентификатор учётной записи и служебные идентификаторы сессий;
• сведения о способе входа: провайдер, идентификатор пользователя у провайдера, адрес почты на момент привязки;
• средства подтверждения личности: криптографический хэш пароля, ключи доступа (passkey), секрет второго фактора, хэши одноразовых кодов, счётчики неудачных попыток;
• сведения об устройствах: идентификатор устройства, строка браузера, IP-адрес, даты первого и последнего входа;
• журнал событий: вход, выход, смена пароля, привязка и отвязка провайдера, факт ознакомления с документами Оператора при первом входе — с датой, IP-адресом и строкой браузера;
• при подключённой Кассе: адрес электронной почты для чека, суммы, даты и статусы платежей, идентификатор платежа у банка, срок оплаченного периода. Номер банковской карты Обработчику не передаётся и им не хранится.

Приложение 2. Перечень действий и способы обработки

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Способ обработки — автоматизированный, с использованием средств вычислительной техники. Передача осуществляется: сайту Оператора — в объёме, разрешённом Оператором; лицам из приложения 4 — в объёме, необходимом для их функции; уполномоченным органам — в случаях, предусмотренных законом.

Приложение 3. Требования к защите и применяемые меры

• Место обработки. Серверы и резервные копии размещаются в дата-центре на территории Российской Федерации: JSC Datacenter, г. Химки, Московская область.
• Изоляция аудиторий. Каждый сайт — отдельный арендатор; учётные записи посетителей одного сайта недоступны другому ни через интерфейс, ни через машинный доступ.
• Каналы связи. Передача данных — только по HTTPS; подключение сайта проверяется по заранее зарегистрированному адресу возврата.
• Хранение секретов. Пароли хранятся в виде криптографических хэшей, ключи внешних провайдеров, реквизиты эквайринга и идентификаторы для повторного списания — в зашифрованном виде.
• Доступ работников. Доступ предоставляется по необходимости, под обязательством о неразглашении; действия администраторов, включая вход в учётную запись от имени посетителя, записываются в журнал до их совершения.
• Противодействие подбору. Ограничение частоты запросов, ограничение попыток ввода кода и пароля, проверка пароля по базам утечек по префиксу хэша, проверка «человек ли ты» при аномальной частоте запросов кодов.
• Контроль состава. Ротация секретов подключения средствами кабинета, уведомление посетителя о входе с нового устройства, журнал событий, доступный Оператору.
• Резервное копирование с хранением копий на той же площадке и восстановлением на ней же.

Обработчик не проводил аттестацию информационной системы по требованиям, предъявляемым к обработке специальных категорий и биометрических персональных данных; передача таких данных через сервис входа не допускается.

Приложение 4. Лица, привлекаемые к обработке

Что не является привлечением третьего лица. Внешние провайдеры входа — Яндекс ID, VK ID, а в международном контуре также Google, Apple, GitHub, Telegram — выступают самостоятельными операторами: посетитель обращается к ним по собственному выбору, нажимая соответствующую кнопку, и их условия действуют между ними и посетителем. Обработчик получает от них только сведения, необходимые для входа.

Проверка пароля по базам утечек не является передачей персональных данных: наружу уходят пять шестнадцатеричных знаков хэша, по которым нельзя восстановить ни пароль, ни его владельца.

Использование лиц, помеченных как трансграничная передача, зависит от включённых Оператором способов входа. Обработчик по запросу подтверждает фактический состав для конкретного сайта — это может понадобиться при заполнении уведомления в Роскомнадзор.

Контакты

Вопросы по настоящему Поручению, запросы на подтверждение уничтожения и сведения для ответа субъектам — на адрес support@zerno.one.