Настоящее Соглашение определяет условия обработки сервисом Motrix (далее — «Обработчик») персональных данных, которые компания-пользователь сервиса (далее — «Оператор») вносит в систему: данные её клиентов, водителей, представителей и сотрудников. Соглашение является неотъемлемой частью Условий использования и принимается вместе с ними.
Кратко. Владельцем данных своих клиентов остаётся автосервис. Motrix обрабатывает их только по его поручению и только для того, чтобы система работала: хранение, отображение, отправка уведомлений, печать документов. Мы не используем данные клиентов автосервиса в своих целях и не передаём их другим компаниям.
1.1. Оператор — компания, зарегистрированная в сервисе. Она определяет цели и состав обрабатываемых данных, получает согласия субъектов и отвечает перед ними за законность обработки.
1.2. Обработчик — владелец сервиса Motrix. Он обрабатывает данные исключительно по поручению Оператора, в объёме и на условиях настоящего Соглашения.
1.3. В отношении данных самих сотрудников Оператора, необходимых для входа в систему (имя, e-mail, телефон), Обработчик выступает самостоятельным оператором — см. Политику конфиденциальности.
2.1. Обработчик по поручению Оператора совершает следующие действия: сбор (через интерфейсы и публичные формы записи), запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (в объёме п. 5), блокирование, удаление и уничтожение персональных данных.
2.2. Обработка ведётся смешанным способом с использованием средств автоматизации.
| Субъекты | Категории данных |
|---|---|
| Клиенты Оператора (физические лица), представители контрагентов | ФИО, телефоны, e-mail, адрес, паспортные данные (если Оператор их вносит), сведения об автомобиле (марка, модель, VIN, госномер, пробег), история обращений и работ, финансовые расчёты по заказам |
| Лица, записавшиеся через публичную форму | имя, телефон, e-mail, данные об автомобиле, выбранные услуги, дата и время визита, комментарий |
| Сотрудники Оператора | ФИО, должность, контактные данные, график работы, сведения о начислениях, которые Оператор внёс в систему |
Специальные категории и биометрические персональные данные Обработчиком не запрашиваются. Если Оператор вносит их самостоятельно (например, в свободный комментарий), ответственность за законность такой обработки несёт Оператор.
Обработчик не использует данные субъектов Оператора для собственного маркетинга, не обогащает ими свои базы и не обучает на них модели искусственного интеллекта.
5.1. Для оказания услуг Обработчик привлекает поставщиков инфраструктуры и связи. Их перечень по категориям:
| Категория | Назначение | Расположение |
|---|---|---|
| Хостинг и хранилище файлов | размещение приложения и файлов Оператора | Российская Федерация |
| Провайдеры SMS и электронной почты | доставка уведомлений субъектам | по стране Оператора |
| Мессенджеры и телефония | только при подключении Оператором соответствующей интеграции | определяется провайдером |
| Провайдеры ИИ-помощника | только при использовании Оператором ИИ-функций | определяется провайдером |
5.2. Поимённый перечень привлечённых лиц с указанием назначения, категорий передаваемых данных и территории обработки опубликован в Реестре субобработчиков и является приложением к настоящему Соглашению.
5.3. Обработчик обеспечивает, чтобы привлечённые лица соблюдали конфиденциальность и требования безопасности не ниже установленных настоящим Соглашением, и отвечает перед Оператором за их действия как за свои собственные.
5.4. О привлечении нового субобработчика или замене действующего Обработчик уведомляет Оператора не менее чем за 30 календарных дней. В течение этого срока Оператор вправе заявить мотивированное возражение; порядок его рассмотрения и последствия описаны в разделе 4 Реестра субобработчиков.
5.5. Интеграции, которые Оператор подключает самостоятельно в разделе «Настройки → Интеграции», активируются его волей; передача данных в них производится по его поручению.
Полный перечень технических и организационных мер приведён в описании мер защиты данных; оно является приложением к настоящему Соглашению и выполняет роль Приложения II к стандартным договорным условиям Европейской комиссии.
7.1. Данные обрабатываются в течение срока действия договора между Оператором и Обработчиком.
7.2. После прекращения договора данные хранятся 90 календарных дней для возможности выгрузки, после чего удаляются безвозвратно, включая резервные копии по мере их ротации.
7.3. По письменному указанию Оператора данные конкретного субъекта удаляются в срок не более 30 календарных дней.
Обработчик обеспечивает Оператору технические средства для самостоятельного исполнения запросов субъектов: просмотр, изменение и удаление карточек, выгрузку данных в машиночитаемом виде, отзыв согласий. При обращении субъекта напрямую к Обработчику последний перенаправляет обращение Оператору и уведомляет об этом субъекта.
Об инциденте, повлёкшем неправомерный доступ к данным Оператора, Обработчик уведомляет Оператора без неоправданной задержки — не позднее 24 часов с момента обнаружения — и передаёт сведения, необходимые Оператору для уведомления Роскомнадзора и субъектов.
Базы данных с персональными данными граждан Российской Федерации размещены на территории России (ч. 5 ст. 18 152-ФЗ). Трансграничная передача не осуществляется, за исключением интеграций, подключённых Оператором самостоятельно и по его воле.
Раздел применяется, если Оператор учреждён в Европейской экономической зоне, Великобритании или Швейцарии либо обрабатывает данные лиц, находящихся на этих территориях. В этом случае термины «Оператор» и «Обработчик» означают соответственно controller и processor в смысле ст. 4 Регламента (ЕС) 2016/679, а настоящее Соглашение является договором по ст. 28(3) Регламента.
11.1. Обработчик обрабатывает данные только по задокументированным указаниям Оператора, включая указания о трансграничной передаче. Если применимое право обязывает Обработчика к обработке помимо таких указаний, он уведомляет об этом Оператора до начала обработки, если только это уведомление не запрещено законом по соображениям общественного интереса.
11.2. Обработчик незамедлительно сообщает Оператору, если, по его мнению, полученное указание нарушает Регламент или иные нормы о защите данных.
11.3. Лица, допущенные Обработчиком к данным, связаны обязанностью соблюдать конфиденциальность; обязанность сохраняется после прекращения их отношений с Обработчиком.
11.4. Обработчик принимает меры по ст. 32 Регламента — их состав приведён в описании мер защиты данных — и содействует Оператору в исполнении обязанностей по ст. 32–36, включая оценку воздействия на защиту данных и предварительные консультации с надзорным органом.
11.5. Обработчик содействует Оператору в ответах на обращения субъектов данных по главе III Регламента соответствующими техническими средствами; порядок описан в разделе 8 настоящего Соглашения и в разделе 6 Уведомления для ЕЭЗ, Великобритании и Швейцарии.
11.6. Аудит. Обработчик предоставляет Оператору сведения, необходимые для подтверждения соблюдения обязанностей по ст. 28, и допускает проверки, проводимые Оператором или уполномоченным им аудитором. Проверка проводится не чаще одного раза в год — а также в любое время после подтверждённого инцидента, — по предварительному уведомлению не менее чем за 30 дней, в рабочее время, без нарушения работы Сервиса и без доступа к данным других клиентов. Разумные расходы Обработчика на содействие проверке, кроме проверки после инцидента, возмещаются Оператором.
11.7. Возврат и удаление. По окончании оказания услуг Обработчик по выбору Оператора возвращает или удаляет данные в сроки п. 7.2, за исключением случаев, когда их хранение предписано законом.
11.8. Трансграничная передача. Передача данных из Европейской экономической зоны в Российскую Федерацию и иным субобработчикам за её пределами осуществляется на основании стандартных договорных условий Европейской комиссии (Решение 2021/914), модуль «обработчик — обработчик» либо «контролёр — обработчик» в зависимости от роли Оператора, с применением UK Addendum для Великобритании и изменений, признанных FDPIC, для Швейцарии. Принятием настоящего Соглашения стороны считаются заключившими указанные стандартные договорные условия; Приложением I к ним служат разделы 3 и 4 настоящего Соглашения и Реестр субобработчиков, Приложением II — описание мер защиты данных.
11.9. Об инциденте Обработчик уведомляет Оператора в срок п. 9 настоящего Соглашения — этого достаточно, чтобы Оператор уложился в 72 часа, отведённые ему ст. 33 Регламента.
Раздел применяется, если Оператор подпадает под California Consumer Privacy Act либо под закон о защите данных потребителей иного штата.
12.1. Оператор выступает business либо controller, Обработчик — service provider либо processor. Данные передаются Обработчику исключительно для оказания услуг по договору и не являются продажей или передачей данных в значении применимого закона штата.
12.2. Обработчику запрещено: сохранять, использовать и раскрывать полученные данные вне прямых деловых отношений с Оператором и вне целей, указанных в договоре; продавать их и передавать для перекрёстной поведенческой рекламы; объединять их со сведениями из иных источников, кроме случаев, прямо разрешённых законом.
12.3. Обработчик подтверждает, что понимает установленные ограничения и будет их соблюдать, и обязуется уведомить Оператора, если утратит возможность выполнять свои обязанности по применимому закону штата.
12.4. Оператор вправе принять разумные меры для прекращения и устранения неразрешённого использования данных Обработчиком, включая проверку в порядке п. 11.6.