Поручение на обработку персональных данных для клиентов Zapix

• Клиент Zapix является оператором персональных данных, когда самостоятельно определяет цели, состав и способы обработки данных своих клиентов, работников и иных лиц.
• Индивидуальный предприниматель Колнооченко Кирилл Владимирович, ИНН 263606744896, ОГРНИП 326265100077272, обрабатывает такие данные по документированному поручению Клиента в объёме, необходимом для предоставления SaaS Zapix.
• Поручение действует с момента акцепта оферты и до удаления данных после прекращения договора, кроме сведений, которые стороны обязаны хранить по закону.
• Для данных владельца аккаунта, пользователей CRM, плательщика и посетителей сайта Zapix самостоятельно определяет цели, описанные в Политике обработки персональных данных.

• Ведение клиентской базы, записей, расписания, услуг, сотрудников и истории взаимодействия по командам Клиента.
• Отображение, поиск, изменение и передача данных между уполномоченными пользователями одной компании с сохранением разграничения арендаторов.
• Доставка сервисных сообщений и обращений через каналы, которые Клиент отдельно подключил и настроил.
• Резервное копирование, восстановление, техническая поддержка, аудит безопасности и предотвращение злоупотреблений.
• Исполнение подтверждённых запросов Клиента и субъектов данных, включая выгрузку, уточнение, блокирование, удаление или уничтожение в применимой части.

• Субъекты: клиенты и потенциальные клиенты Клиента, его работники и исполнители, представители контрагентов и иные лица, сведения о которых Клиент законно вносит в CRM.
• Категории: ФИО, телефон, адрес электронной почты и другие контактные сведения; выбранные услуги; дата, время и статус записи; сообщения, комментарии и история взаимодействия; идентификаторы подключённого канала; сведения о сотруднике, ответственном за обслуживание.
• Специальные категории данных, биометрические данные, сведения о здоровье, диагнозе или лечении не входят в стандартное поручение. Клиент обязан не вносить их без отдельного письменного соглашения с Zapix и самостоятельной проверки законного основания и требуемого уровня защиты.
• Реквизиты банковских карт не передаются Zapix: они обрабатываются платёжным провайдером на его защищённой форме.

Обработка может выполняться с использованием автоматизации и без неё и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление строго определённым получателям, обезличивание, блокирование, удаление и уничтожение. Распространение и использование для самостоятельной рекламы Zapix поручением не разрешены.

• Настройки аккаунта, роли, действия уполномоченных пользователей, запросы через интерфейс и письменные обращения с подтверждённого адреса считаются документированными указаниями в пределах договора.
• Zapix обрабатывает данные только по таким указаниям и уведомляет Клиента, если указание, по обоснованному мнению Zapix, нарушает закон; исполнение приостанавливается до уточнения.
• Клиент отвечает за законность целей, достоверность указаний, информирование субъектов и наличие согласий либо иных оснований обработки и рассылок.

• Zapix обеспечивает конфиденциальность персональных данных и предоставляет доступ только лицам, которым он необходим для служебных обязанностей и которые приняли обязательства о неразглашении.
• Применяются разграничение доступа и ролей, изоляция данных компаний, аутентификация и управление сессиями, журналирование значимых действий, защита каналов передачи, резервное копирование, управление уязвимостями и восстановлением.
• Zapix принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Федерального закона № 152-ФЗ, с учётом актуальных угроз и применимого уровня защищённости.
• Первичная запись и основное хранение данных граждан Российской Федерации, собранных через Интернет, выполняются на сервере по адресу: Россия, г. Ставрополь, ул. Мостовая, д. 8.
• Российский пограничный виртуальный сервер АО «Селектел» расположен в сегменте ru-7a группы дата-центров «Берзарина» по адресу: 123060, г. Москва, ул. Берзарина, д. 36, стр. 3. Он принимает HTTPS-трафик, обрабатывает сетевые запросы и ограниченные технические журналы, но не содержит основную базу CRM.

• Zapix вправе привлекать инфраструктурных, почтовых, уведомительных и иных технических обработчиков только в необходимом объёме и при возложении на них требований конфиденциальности, безопасности и обработки по поручению.
• Cloudflare, Inc. используется для DNS-обслуживания в США без передачи содержимого CRM в заявленной DNS-only конфигурации. Telegram Messenger Inc. используется для подключённых Telegram-ботов с передачей идентификаторов, сообщений и сведений о записи в Британские Виргинские острова, ОАЭ и Нидерланды. DigitalOcean, LLC обеспечивает защищённый инфраструктурный туннель к Telegram с заявленной географией: США, Нидерланды, Сингапур, Великобритания, Германия, Канада, Индия и Австралия.
• При включении Tailscale он используется только для защищённого административного доступа, аутентификации устройств, управления узлами и политиками доступа и резервного релейного соединения. В control plane передаются данные аккаунта администратора, сведения об устройствах/узлах, публичные ключи, IP-адреса, временные метки, конфигурация и сетевые метаданные; содержимое пользовательского трафика защищено сквозным шифрованием WireGuard.
• Для Tailscale заявлены США, Германия, Польша и Финляндия. Актуальный перечень обработчиков, их функции, место обработки и применимые страны раскрываются Клиенту до подключения и после существенного изменения. Для провайдеров с динамической маршрутизацией фактический маршрут зависит от конфигурации и аварийного переключения. Клиент вправе направить мотивированное возражение на legal@zapixapp.ru.
• Подключённый самим Клиентом банк, мессенджер или иной внешний канал может действовать как самостоятельный оператор по своим документам; Клиент отвечает за законность такого подключения.
• До подключения Telegram, Tailscale или иного иностранного сервиса Клиент обязан определить применимое правовое основание трансграничной передачи, надлежащим образом проинформировать субъектов и, когда основанием является согласие либо его получение требуется законом, получить отдельное, конкретное, предметное, информированное, сознательное и однозначное согласие с указанием получателей, стран, целей, состава данных и срока действия.
• Клиент обязан хранить доказательства наличия правового основания и полученных согласий и предоставить их Zapix по запросу. До выполнения этих требований иностранный канал не должен подключаться или использоваться.
• Zapix направил предусмотренное статьёй 12 Федерального закона № 152-ФЗ уведомление о намерении осуществлять трансграничную передачу; передача выполняется только в заявленных целях, объёме и странах с учётом решений и ограничений уполномоченного органа.

• Zapix предоставляет Клиенту доступные сведения, необходимые для ответа субъекту и подтверждения исполнения поручения.
• Запросы на доступ, исправление, ограничение, возражение, отзыв или удаление можно зарегистрировать в личном кабинете; Zapix выполняет подтверждённые действия после проверки личности и сроков обязательного хранения.
• Если субъект обращается непосредственно в Zapix по данным, оператором которых является Клиент, обращение передаётся Клиенту или обрабатывается по его подтверждённому указанию, если закон не требует иного.

• При выявлении неправомерного доступа или инцидента Zapix без необоснованной задержки сообщает Клиенту известные обстоятельства, затронутые категории, принятые меры и контакт для взаимодействия.
• Zapix содействует Клиенту в выполнении обязанностей по статье 21 Федерального закона № 152-ФЗ; обязанность уведомить Роскомнадзор распределяется по фактической роли сторон и закону.
• По разумному письменному запросу Zapix предоставляет описание мер и подтверждения соблюдения поручения без раскрытия секретов, данных других компаний и сведений, создающих угрозу безопасности.

• До прекращения доступа Клиент использует доступную выгрузку либо направляет подтверждённый запрос. Формат зависит от состава данных и технической возможности.
• После прекращения договора Zapix удаляет или обезличивает данные поручения после истечения согласованного периода восстановления, если хранение не требуется законом, спором, предотвращением злоупотреблений или законным удержанием.
• Резервные копии очищаются по плановому циклу и до этого срока защищаются и не используются для обычной обработки.