ПОРУЧЕНИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ В CRM

Редакция от 03 октября 2026 года. Приложение к Оферте и договору с клиентом платформы «Я на Максимум».

1. Стороны, принятие и границы
Заказчик по договору является оператором данных своей клиентской базы, если иное не следует из закона. ИП Сагалаева Ярослава Александровна, ИНН 644651191241, ОГРНИП 325680000033874, адрес: 392522, Россия, Тамбовская область, Инжавинский район, д. Кандауровка, д. 4, e-mail: sagalaevayaroslava@yandex.ru, далее — Исполнитель, обрабатывает эти данные по поручению Заказчика.
Поручение применяется после предоставления настоящего текста Заказчику и его принятия вместе с договором либо отдельного согласования. Данные стороны-Заказчика определяются договором и подтвержденным аккаунтом; версия поручения и факт принятия подлежат фиксации.
Субъекты: физические лица, направившие клиенту заявку, зарегистрировавшиеся на продукт, записавшиеся на услугу, покупатели, подписчики его подключенных ботов и иные контакты, законно внесенные клиентом. Отдельно — посетители его ресурсов, если подключена аналитика на соответствующем основании.

2. Цели и состав данных
Цель — Допустимый состав в пределах фактической задачи
Учет контактов и заявок, запись, сопровождение заказа
Имя, e-mail, телефон, предоставленные ссылки на профили и диалоги, идентификаторы мессенджера/подписчика бота, содержание заявки, дата и статус записи
Работа продаж и согласованной команды
Статус контакта, интерес к продукту, ответственный, следующее действие, необходимые рабочие заметки, сведения о заказе и статусе оплаты
Связь по обращению, запись и договор
Контакт и необходимые для сообщения сведения; через выбранный внешний канал либо подключенный сервис отправки
Атрибуция и аналитика при наличии основания
UTM, URL/referrer в необходимом объеме, даты событий, tracking ID, ClientID, click ID, события регистрации/заказа/оплаты и их связь с контактом
Паспортные данные, специальные категории ПД и биометрия не входят в стандартное поручение. Содержание заметок должно быть связано с задачей; сведения о здоровье, интимной жизни и другие специальные категории нельзя включать без отдельного согласования и надлежащего основания.
Посещения без канала связи не становятся автоматически рабочими контактами CRM. Технические идентификаторы не считаются автоматически обезличенными; IP не служит единственным ключом объединения людей. Первое известное касание и первая регистрация — разные события; интерфейс и отчеты не должны подменять одно другим.

3. Источники и операции
Источники: формы и сайты Заказчика, Tilda, подключенные боты, системы бронирования, заказов и платежей, разрешенный импорт. GetCourse и другие системы могут быть источниками только после реализации, подключения и согласования соответствующей интеграции. Само упоминание сервиса не гарантирует готового адаптера.
Разрешенные операции: сбор через согласованные формы и интеграции, запись, систематизация, накопление, хранение, уточнение, извлечение, использование для указанных целей, сопоставление событий в рамках базы одного Заказчика, предоставление доступа его уполномоченным пользователям и согласованной команде Исполнителя, блокирование, удаление, уничтожение и резервное копирование в необходимом объеме.
Передача подключенному сервису допускается только в пределах выбранной интеграции, необходимого состава данных и надлежащего основания. Включение нового получателя или цели требует предварительного согласования. Объединение баз разных Заказчиков, перепродажа, использование для рекламы Исполнителя и обучение моделей на базе Заказчика не разрешены этим поручением.

4. Связь с контактом и рекламные сообщения
Карточка может открывать внешний диалог или почтовое приложение по ссылке. Это не является собственным внутренним чатом CRM и не означает получения Платформой всей переписки. Для подключенных ботов/e-mail-сервисов объем обработки определяется фактическим сценарием отправки и возвращаемыми результатами.
Заказчик обеспечивает основание сбора, обработки и поручения; согласие субъекта на поручение требуется, если федеральный закон не предусматривает иное. Договор с Исполнителем, подключение API или приемка оферты владельцем аккаунта не заменяют согласия посетителей в тех случаях, когда они необходимы.
Рекламные сообщения требуют самостоятельного предварительного согласия адресата в предусмотренных законом случаях и прекращаются по требованию. Подтверждение записи или ответ на обращение не следует смешивать с рекламой. Наличие телефона, email, ссылки на профиль или идентификатора подписчика не является рекламным согласием.

5. Обязанности защиты и доступ
Исполнитель соблюдает принципы обработки и конфиденциальность, выполняет требования части 5 статьи 18, статьи 18.1 и статьи 19 закона № 152-ФЗ. Обеспечивает необходимые организационные и технические меры с учетом угроз: персональную аутентификацию, ограничение полномочий и клиентского доступа, защищенные соединения, контроль секретов, учет существенных действий, обновления и защиту резервных копий.
По запросу Заказчика до начала и в течение поручения Исполнитель предоставляет документы и сведения, подтверждающие принятые меры и соблюдение применимых требований. Работники допускаются только при необходимости для задания и с обязанностью конфиденциальности. Подрядчики и поставщики, получающие дальнейшее поручение, согласуются с Заказчиком и принимают необходимые обязанности. Роль администратора не разрешает произвольное использование базы.
Платформенные базы для предусмотренных законом операций сбора данных граждан РФ должны находиться в РФ. Внешний сервис проверяется отдельно; зарубежная передача не разрешается автоматически этим приложением. Передача CRM-данных в AI требует отдельного определения цели, состава и получателя; российский контур не отменяет требований к основанию и минимизации. Идентификаторы и контакты не направляются в зарубежный AI через автоматический резервный маршрут.

6. Сроки, права субъектов и окончание поручения
Поручение действует на период предоставления доступа и согласованных услуг, в части реально необходимых операций. Заказчик определяет законные сроки хранения своей базы; Исполнитель не сохраняет ее бессрочно. Сроки сырых аналитических событий и резервных копий согласуются отдельно до подключения этих операций.
По окончании поручения Заказчик выбирает возврат доступной выгрузки и/или удаление. Исполнитель выполняет действие не позднее 30 календарных дней с получения подтвержденного требования и окончания соответствующих услуг, если законом не установлен более короткий срок или самостоятельное обязательное основание хранения. Данные в резервных копиях исключаются из рабочего использования и удаляются по согласованному сроку ротации; при восстановлении повторно применяются подтвержденные требования удаления.
Данные, необходимые для обязательного учета, сохраняются только на самостоятельном законном основании и в ограниченном объеме. Удаление карточки в пользовательскую корзину не является немедленным уничтожением всех связанных событий и копий.
Исполнитель содействует Заказчику в исполнении законных требований субъектов об информации, исправлении, блокировании и уничтожении, передает обращение по назначению и выполняет инструкции в пределах установленных законом сроков. Если обращение касается собственных данных пользователя платформы, Исполнитель рассматривает его как самостоятельный оператор этих данных.

7. Инциденты и ответственность
О случаях, предусмотренных частью 3.1 статьи 21 закона № 152-ФЗ, Исполнитель уведомляет Заказчика без неоправданной задержки, не позднее 6 часов после выявления, передает известные факты, принятые меры и контакт ответственного; дополняет сведения по мере расследования. Внутренний срок не продлевает установленные законом сроки уведомления Роскомнадзора. Исполнитель содействует расследованию и сохраняет необходимые доказательства с ограниченным доступом.
Заказчик отвечает перед субъектом за действия обработчика в предусмотренном законом порядке; Исполнитель отвечает перед Заказчиком за соблюдение поручения и собственные нарушения. Это распределение не освобождает стороны от самостоятельных обязанностей и ответственности, установленных законом.
Правовая основа: части 3–5 статьи 6, статьи 18, 18.1, 19 и 21 закона № 152-ФЗ; для рекламных сообщений — статья 18 закона № 38-ФЗ.