Поручение на обработку персональных данных

1. Роли сторон

1.1. В отношении персональных данных сотрудников клуба, игроков, родителей (законных представителей) и иных лиц, данные которых клуб вносит или организует через Платформу, клуб выступает оператором персональных данных.

1.2. Исполнитель обрабатывает такие данные по поручению клуба исключительно для предоставления функциональности Платформы, технической поддержки клубного контура, обеспечения безопасности, резервного копирования и исполнения документированных инструкций клуба. Биллинг и прямые отношения с представителем Заказчика относятся к самостоятельным целям Исполнителя и регулируются Политикой.

1.3. В отношении данных, которые Исполнитель собирает самостоятельно (регистрация клуба, оплата, обращения в поддержку, технические журналы), Исполнитель может выступать самостоятельным оператором в объёме, указанном в Политике конфиденциальности.

2. Предмет и цели обработки по поручению

2.1. Клуб поручает, а Исполнитель принимает на себя обработку персональных данных в целях:

• предоставления доступа к Платформе и её модулям;
• хранения, систематизации и отображения данных клуба;
• обеспечения ролевого доступа внутри клуба;
• резервного копирования и восстановления;
• обеспечения информационной безопасности;
• исполнения договора и применимых требований законодательства.

2.2. Обработка по поручению включает: сбор (в том числе получение непосредственно от субъекта через выданный клубом интерфейс), запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление доступа уполномоченным пользователям клуба, передачу согласованным субобработчикам, обезличивание, блокирование, удаление и уничтожение. Распространение и использование данных для собственных рекламных, исследовательских или обучающих целей Исполнителя в поручение не входят.

2.3. Документированными инструкциями клуба являются: акцепт Оферты и настоящего Поручения; выбранный тариф; настройки, команды и запросы клуба; загрузка данных; назначение ролей; а также действия уполномоченных клубом пользователей в предусмотренных интерфейсах Платформы. Акцепт образует постоянную инструкцию на обработку в пределах фактически используемой функциональности. Отдельное повторное юридическое подтверждение каждого модуля, операции или вида данных не требуется.

3. Категории данных и особые категории

3.1. Субъекты: спортсмены, включая несовершеннолетних; родители и законные представители; сотрудники, тренеры, врачи, подрядчики и иные лица, которых клуб добавляет в Платформу.

3.2. Обычные категории: ФИО, дата рождения, гражданство, контакты, фотография, сведения о команде и роли, посещаемость, спортивные показатели, статистика, результаты тестов, GPS- и нагрузочные показатели, договорные сроки, реквизиты паспорта, свидетельства о рождении, страхования и виз, загруженные документы, идентификаторы аккаунта, устройства и уведомлений.

3.3. Специальные категории: сведения о здоровье, заболеваниях, травмах, жалобах, анамнезе, обследованиях, диагнозах и кодах МКБ, лекарствах, лечении, реабилитации, ограничениях, группе крови, аллергиях, сне, боли, самочувствии, восстановлении и ответах wellness/readiness/RPE, когда по содержанию они позволяют сделать вывод о состоянии здоровья.

3.4. Клуб гарантирует наличие правовых оснований для поручения обработки, включая согласия, уведомления и разрешения, необходимые для особых категорий персональных данных (в том числе сведений о здоровье) и данных несовершеннолетних. Когда основанием является согласие на обработку сведений о здоровье, клуб оформляет его в письменной форме с реквизитами части 4 статьи 9 Федерального закона № 152-ФЗ; при получении согласия от представителя клуб проверяет его полномочия.

3.5. Исполнитель не проверяет каждое отдельное основание обработки, загруженный документ или согласие, если иное не согласовано сторонами отдельно.

4. Обязанности клуба (оператора)

• определять цели, объём и содержание обрабатываемых данных в рамках Платформы;
• документировать инструкции Исполнителю, определять сроки хранения и своевременно направлять команды на исправление, блокирование, выгрузку и уничтожение данных;
• получать необходимые согласия и уведомлять субъектов данных;
• направлять обязательные уведомления Роскомнадзору, включая отдельное уведомление о трансграничной передаче до передачи данных иностранному лицу через соответствующий канал;
• назначать уполномоченных пользователей и управлять доступом внутри клуба;
• не использовать Платформу для незаконной обработки или хранения данных;
• своевременно рассматривать обращения субъектов данных и, при необходимости, инициировать удаление или исправление данных через доступный функционал;
• до использования модулей «Медицина» и «Опросы состояния» обеспечить все необходимые правовые основания, уведомления, согласия и полномочия пользователей.

5. Обязанности Исполнителя (обработчика)

• обрабатывать данные только по документированным инструкциям клуба в рамках функциональности Платформы;
• сообщить клубу, если, по мнению Исполнителя, документированная инструкция явно нарушает применимое законодательство, и не исполнять её до устранения нарушения;
• соблюдать конфиденциальность, требования локализации, статьи 18.1 и 19 Федерального закона № 152-ФЗ и обеспечить допуск к данным только лиц, которым он необходим для исполнения обязанностей;
• по запросу клуба предоставлять документы и сведения, подтверждающие меры защиты и соблюдение настоящего Поручения;
• выявлять угрозы, применять разграничение доступа, регистрацию событий безопасности, резервное копирование, восстановление, управление уязвимостями и иные меры соразмерно установленному уровню защищённости информационной системы;
• не раскрывать данные третьим лицам, кроме случаев, предусмотренных договором, политикой или законом;
• содействовать клубу в выполнении запросов субъектов данных в разумных пределах;
• уведомить клуб о ставшем известным неправомерном или случайном доступе, предоставлении, распространении или иной утечке данных без неоправданной задержки, но не позднее 12 часов после подтверждения инцидента; предоставить первичную информацию, необходимую клубу для уведомления Роскомнадзора в течение 24 часов, и результаты внутреннего расследования — в срок, позволяющий клубу соблюсти 72-часовой срок;
• после прекращения поручения по выбору клуба вернуть доступную выгрузку и удалить данные, кроме сведений, хранение которых прямо требуется законом, с документальным подтверждением уничтожения.

6. Субобработчики и инфраструктура

6.1. Для данных клуба Исполнитель вправе привлекать только субобработчиков, необходимых для инфраструктуры и выбранных клубом каналов: ООО «Яндекс.Облако» / Yandex Cloud (серверы, база данных, объектное хранилище и резервное копирование), Yandex Mail/SMTP для служебной почты, а при включении push-уведомлений — Expo Push с последующей доставкой через Apple Push Notification service или Firebase Cloud Messaging.

6.2. ЮKassa обрабатывает платёжные данные Заказчика в рамках прямых отношений Исполнителя с Заказчиком и не должна получать медицинские или спортивные данные субъектов клуба.

6.3. Исполнитель обеспечивает для субобработчика обязанности по конфиденциальности и безопасности не слабее настоящего Поручения. Существенное изменение перечня доводится до клуба заранее; клуб вправе отключить необязательный канал или прекратить его использование. Трансграничный субобработчик привлекается только после выполнения применимых процедур трансграничной передачи оператором.

6.4. Регистрация push-токена, включение или использование уведомлений является функциональной инструкцией передать минимально необходимый технический идентификатор и содержание уведомления через Expo Push, Apple Push Notification service или Firebase Cloud Messaging. Отдельная юридическая галочка внутри Платформы не требуется. Клуб гарантирует, что до разрешения такого использования выполнил применимые обязанности по статье 12 Федерального закона № 152-ФЗ. Исполнитель не включает в push-текст сведения о здоровье и иные особые категории, если это не требуется явно выбранным клубом сценарием.

7. Локализация и трансграничная передача

7.1. При сборе персональных данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных на территории Российской Федерации. Основная серверная и базовая инфраструктура UTEAM размещается в Yandex Cloud в РФ.

7.2. Трансграничная передача через необязательные каналы уведомлений или при предоставлении персональных данных иному иностранному получателю допускается только при наличии правового основания, после выполнения требований статьи 12 Федерального закона № 152-ФЗ и в минимальном объёме. Сам по себе удалённый доступ российского оператора к собственной инфраструктуре из иностранного государства не считается в настоящем Поручении передачей иностранному лицу. Клуб обязан не давать инструкцию о передаче иностранному лицу до выполнения собственной обязанности как оператора. UTEAM не исполняет явно незаконную инструкцию и выполняет отдельную обязанность по данным, где является самостоятельным оператором.

8. Срок действия и удаление

8.1. Поручение действует на срок действия договора (оферты) и прекращается при его расторжении, если иное не требуется по закону.

8.2. До прекращения доступа клуб вправе запросить доступную техническую выгрузку. После прекращения договора рабочие данные удаляются не позднее 3 календарных дней. Резервные копии исключаются из активного оборота и удаляются по циклу ротации не позднее 14 календарных дней после удаления основных данных.

8.3. Исполнитель содействует исправлению, блокированию, прекращению обработки и уничтожению данных по документированному запросу клуба. Факт уничтожения подтверждается актом или выгрузкой из журнала в соответствии с требованиями Роскомнадзора.