Соглашение об обработке данных

Настоящее Соглашение об обработке данных (DPA) заключается между Бизнес-аккаунтом (далее — «Контролёр») и Индивидуальный предприниматель Бакаев Мансур Масутович (ИП Бакаев М.М., ИНН 200407455173, ОГРНИП 325200000032670) (далее — «Процессор») и определяет условия обработки персональных данных клиентов Контролёра на Платформе ТакиТик.

DPA является неотъемлемой частью Публичной оферты и действует в течение всего срока использования Платформы.

Категории обрабатываемых данных:

• Идентификационные данные клиентов (ФИО, телефон, email).
• Данные бронирований (дата, время, услуга, стоимость).
• История визитов и предпочтения.
• Платёжная информация (без данных банковских карт).

ИП Бакаев М.М. как Процессор обязуется:

• Обрабатывать персональные данные исключительно по поручению и в интересах Контролёра.
• Не использовать данные клиентов Контролёра для собственных целей.
• Обеспечивать конфиденциальность персональных данных.
• Содействовать Контролёру в реализации прав субъектов данных.
• Уведомлять Контролёра об инцидентах безопасности в течение 24 часов.
• Удалить или вернуть все персональные данные по завершении обработки.

Для обеспечения безопасности персональных данных применяются следующие технические меры:

• Политика информационной безопасности: регулярно обновляемая внутренняя документация.
• Обучение: регулярное обучение сотрудников по защите данных.
• NDA: все сотрудники подписывают соглашение о неразглашении.
• Проверка сотрудников: background check при приёме на работу.
• Реагирование на инциденты: документированный план реагирования (IRP).
• Управление уязвимостями: регулярное сканирование и пентестинг.

Для предоставления услуг мы привлекаем следующих субпроцессоров:

Субпроцессор	Функция	Локация данных
Timeweb Cloud	Хостинг, хранение данных, S3	Россия
ЮKassa	Обработка платежей	Россия
SmsAero	SMS-уведомления (OTP)	Россия
Яндекс MapKit	Картографический сервис	Россия
Яндекс.Метрика	Веб-аналитика	Россия
DaData	Автодополнение адресов	Россия

О привлечении новых субпроцессоров Контролёр уведомляется за 30 дней. Контролёр вправе возразить против привлечения нового субпроцессора.

Со всеми субпроцессорами заключены соглашения об обработке данных, обеспечивающие не менее строгий уровень защиты.

Контролёр имеет право на проверку соблюдения Процессором условий DPA:

• Аудит документации: по запросу, не чаще 1 раза в год.
• Инспекция на месте: по предварительному согласованию (уведомление за 30 дней).
• Отчёты о безопасности: предоставляются по запросу.
• Результаты пентестов: summary-отчёты предоставляются по запросу (NDA).

Расходы на аудит несёт Контролёр, за исключением случаев выявления нарушений.

В случае инцидента безопасности, затрагивающего персональные данные:

1. Обнаружение: автоматические системы мониторинга + ручной мониторинг.
2. Уведомление Контролёра: в течение 24 часов после подтверждения инцидента.
3. Содержание уведомления: характер инцидента, затронутые данные, предпринятые меры, рекомендации.
4. Устранение: немедленные меры по локализации и устранению последствий.
5. Post-mortem: детальный отчёт в течение 72 часов.

Содействие в уведомлении Роскомнадзора и субъектов данных — по запросу Контролёра.

По завершении DPA (прекращение подписки, расторжение Соглашения):

• Экспорт: Контролёр может экспортировать все данные в формате JSON/CSV в течение 30 дней.
• Удаление: все персональные данные удаляются в течение 30 дней после завершения DPA.
• Бэкапы: данные из резервных копий удаляются в течение 90 дней.
• Подтверждение: сертификат удаления предоставляется по запросу.

Данные могут быть сохранены дольше, если это требуется действующим законодательством (бухгалтерская отчётность, налоговый учёт).

В случае реорганизации Процессора (в том числе преобразования из ИП в ООО), продажи бизнеса, слияния, присоединения или иной формы правопреемства:

• Все права и обязанности Процессора по настоящему DPA переходят к правопреемнику (новому Процессору) в полном объёме (ст. 58 ГК РФ).
• Правопреемник обязан обеспечить уровень защиты персональных данных не ниже, чем предусмотрен настоящим DPA.
• Контролёр уведомляется о передаче не менее чем за 30 дней.
• Контролёр вправе расторгнуть DPA в течение 30 дней с момента уведомления, если считает, что правопреемник не обеспечивает адекватный уровень защиты.
• Правопреемник подаёт уведомление об обработке персональных данных в Роскомнадзор (ст. 22 152-ФЗ).

В случае реорганизации Контролёра: DPA продолжает действовать в отношении правопреемника Контролёра на прежних условиях. Правопреемник Контролёра обязан уведомить Процессора о реорганизации.

Уступка прав (цессия): ни одна из сторон не вправе уступить права и обязанности по настоящему DPA без письменного согласия другой стороны, за исключением случаев универсального правопреемства при реорганизации.