Редакция от 15.10.2026
Приложение к договору-оферте MyITsystem · в соответствии с ч. 3 ст. 6 Федерального закона № 152-ФЗ
1.1. Заказчик (Оператор) — юридическое лицо или индивидуальный предприниматель, акцептовавший оферту MyITsystem и самостоятельно определяющий цели и состав обработки персональных данных физических лиц в своём рабочем пространстве. Исполнитель (Лицо, обрабатывающее данные по поручению) — Пинигин Алексей Анатольевич, ИНН 381505080200 (далее — «Обработчик»).
1.2. Заказчик поручает Обработчику осуществлять исключительно предусмотренные настоящим документом операции с данными для предоставления и технического сопровождения функциональности Сервиса. Настоящее соглашение является документированным поручением в смысле ч. 3 ст. 6 152-ФЗ и действует с момента акцепта оферты.
1.3. В отношении сведений, собираемых Обработчиком для собственных целей (регистрация, собственные платёжные документы, защита учётной записи), он действует как самостоятельный оператор; соответствующие операции не входят в настоящее поручение и описываются отдельной публичной Политикой.
2.1. Субъекты: работники Заказчика, его руководители, уполномоченные представители, лица, на которых оформляются машиночитаемые доверенности, и другие лица, сведения о которых Заказчик вправе учитывать в пределах функционала Сервиса.
2.2. Перечень: фамилия, имя, отчество, должность, подразделение, корпоративные контакты, сведения о трудовых событиях в объёме учёта, табельный идентификатор (если добавлен), дата рождения, пол, ИНН, СНИЛС, реквизиты удостоверения личности; сведения о доверителях и представителях в МЧД; сведения о выданных устройствах и связанных событиях; пользовательские документы и файлы в карточке сотрудника — исключительно в пределах разрешённого функционала.
2.3. Заказчику запрещено загружать специальные категории данных по ст. 10 152-ФЗ, биометрические данные, сведения о несовершеннолетних, медицинские документы, личные банковские реквизиты и закрытые ключи электронной подписи, если отдельный документированный режим такой обработки не согласован сторонами и не обеспечен необходимыми правовыми и техническими мерами. Наличие скана документа само по себе не означает биометрическую обработку: она оценивается по фактической цели и технологии использования.
2.4. Заказчик обязан минимизировать состав загружаемых файлов, удалять из них ненужные сведения и не использовать произвольные поля как место хранения запрещённых категорий данных.
3.1. Единственная цель поручения — техническое обеспечение учёта IT-активов, сотрудников, сертификатов и МЧД клиента, доступа уполномоченных пользователей, резервного копирования и техподдержки, выполняемых исключительно в интересах и по документированным указаниям Заказчика.
3.2. Операции: получение по защищённому интерфейсу, запись, систематизация, накопление, хранение, уточнение, извлечение, использование для формирования разрешённых Заказчиком карточек и отчётов, предоставление доступа уполномоченным пользователям Заказчика, резервное копирование, восстановление, блокирование, удаление и уничтожение. Распространение неопределённому кругу лиц, самостоятельный маркетинг, продажа, профилирование и обучение ИИ-моделей на клиентских данных не допускаются.
3.3. Обработка осуществляется преимущественно автоматизированным способом в инфраструктуре, заявленной как размещённой в РФ, при соблюдении требований ч. 5 ст. 18 152-ФЗ. Трансграничная передача и доступ из-за рубежа возможны только по предварительному документированному разрешению Заказчика после выполнения обязательных требований законодательства РФ, включая ст. 12 152-ФЗ, если они применимы.
6.1. Меры должны быть документированы в применимой модели угроз и организационно-распорядительных документах. Обработчик обязуется обеспечивать применимый уровень защищённости ИСПДн, исходя из фактических категорий данных, угроз, объёма субъектов и роли сторон. Публичное перечисление технологий не подменяет их фактическое внедрение.
6.2. Обработчик контролирует административный доступ, использует защищённые соединения, безопасную аутентификацию и хранение паролей, разделение клиентских областей и журналы событий, обеспечивает резервные копии и проверяемое восстановление. Конкретный набор и периодичность мероприятий закрепляются во внутренних регламентах и подтверждаются по п. 5.5.
6.3. Заказчик вправе не чаще одного раза в 12 месяцев направлять письменный запрос о соблюдении требований или провести согласованную дистанционную оценку. Очный/технический аудит требует отдельного согласования времени, объёма, мер конфиденциальности и не может создавать риск для других клиентов. Дополнительный аудит допустим при обоснованном признаке серьёзного нарушения.
7.1. Для базовой инфраструктуры допускаются предварительно указанные в Приложении А субобработчики. Для привлечения нового субобработчика или существенного изменения его роли Обработчик предварительно уведомляет Заказчика не позднее чем за 10 календарных дней; при мотивированном возражении Заказчика стороны согласуют замену либо прекращение соответствующих услуг с удалением/возвратом данных. Молчание Заказчика не отменяет обязательных требований закона.
7.2. С субобработчиком оформляется надлежащее письменное поручение, устанавливающее конфиденциальность, локализацию, требования защиты, содействие и ответственность не ниже предусмотренных настоящим соглашением. Обработчик отвечает перед Заказчиком за надлежащее исполнение привлечёнными им субобработчиками принятых обязательств в пределах законодательства и договора.
8.1. Если выявлена неправомерная или случайная передача, предоставление, распространение или доступ к данным Заказчика либо иной инцидент с признаками нарушения безопасности, Обработчик без необоснованной задержки, но не позднее 12 часов рабочего времени с момента выявления (рабочее время — будни с 10:00 до 18:00 по московскому времени) направляет первичное сообщение на контакт безопасности Заказчика, указанный в личном кабинете или договорной переписке.
8.2. Сообщение, насколько доступно на момент отправки, содержит характер события, момент обнаружения, затронутые контуры и категории данных, возможный масштаб, уже принятые меры, контакт ответственного. Недостающие сведения передаются по мере расследования; результаты предварительного расследования — по возможности в течение 48 часов с момента обнаружения, с последующими обновлениями.
8.3. Заказчик как оператор клиентских данных оценивает обязанность и организует уведомление Роскомнадзора по ч. 3.1 ст. 21 152-ФЗ (24 часа и 72 часа), а Обработчик незамедлительно предоставляет информацию и содействие. Если MyITsystem выступает самостоятельным оператором затронутого массива, соответствующие обязанности исполняются им самостоятельно.
9.1. Обработчик, получив запрос субъекта о данных, контролируемых Заказчиком, по возможности направляет его Заказчику без излишнего раскрытия личных сведений; решение по существу принимает Заказчик, за исключением прямых законных обязанностей Обработчика.
9.2. По мотивированному запросу Заказчика Обработчик содействует исполнению прав субъектов и запросов регулятора, если необходимые операции недоступны Заказчику самостоятельно. Дополнительные нестандартные работы могут тарифицироваться по предварительному согласованию, но обязательное по закону содействие не ставится в зависимость от незаконных условий.
10.1. Поручение действует в период действия договора; его прекращение не отменяет обязанности по конфиденциальности и безопасному уничтожению оставшихся данных.
10.2. При расторжении Заказчик до блокировки вправе самостоятельно выгрузить доступные данные; если доступ недоступен, Обработчик по подтверждённому запросу организует передачу машиночитаемой выгрузки в технически доступном формате с надлежащей проверкой полномочий и без раскрытия данных иных клиентов.
10.3. Данные из активных систем удаляются не позднее 30 календарных дней с даты прекращения договора, если только Заказчик письменно не требует более раннего удаления при наличии технической и правовой возможности либо закон не требует иного. Из резервных копий они исключаются по циклу ротации, но не позднее 12 месяцев после прекращения договора; до этого доступ строго ограничен, а резервные копии используются только для восстановления, защиты и обязательных законных целей.
10.4. При восстановлении старой резервной копии удалённые данные повторно удаляются без промедления. Если хранение отдельного объёма обязательно по закону, стороны документируют правовое основание и ограничивают дальнейшую обработку соответствующей целью. Факт уничтожения документально подтверждается в применимых случаях с соблюдением приказа Роскомнадзора № 179.
11.1. Заказчик отвечает за правомерность целей, оснований и состава вводимых данных, своих пользователей и их полномочий. Обработчик отвечает за исполнение обязанностей лица, обрабатывающего данные по поручению, в том числе применимых требований конфиденциальности и безопасности. Распределение обязанностей не исключает ответственность сторон перед субъектами и государством в случаях, предусмотренных законом.
11.2. Требования о возмещении документально подтверждённого прямого ущерба разрешаются по договору-оферте и применимому законодательству; ограничения не действуют там, где закон прямо не допускает их применения, включая заранее установленное освобождение от ответственности за умышленное нарушение.
11.3. При конфликте положений настоящего соглашения и оферты по вопросам обработки данных по поручению приоритет имеют положения настоящего соглашения; императивные нормы законодательства имеют приоритет над обоими документами. Изменения, ухудшающие обязательные гарантии защиты, не применяются вопреки закону.
| Участник | Роль / доступ | Место обработки | Основание |
|---|---|---|---|
| Пинигин А. А. / MyITsystem | Лицо, обрабатывающее данные по поручению; администрирование, хранение, техподдержка | Российская Федерация | Оферта + настоящее поручение |
| Beget (ООО «Бегет»), https://beget.com/ru/details | Размещение, вычисления, хранение и резервирование в пределах договора | Российская Федерация | Договор оказания услуг хостинга |
| Иных субобработчиков нет | — | — | — |
| Заказчик | Оператор клиентского массива | По его внутренним правилам | Договор и применимое право |
Контакт Заказчика по инцидентам: адрес электронной почты администратора, указанный при регистрации. Контакт Обработчика по инцидентам: pd@myitsystem.ru, +7 908 676-38-53 (по рабочим дням с 10:00 до 18:00 по московскому времени).