Договор об обработке персональных данных с подрядчиком

Договор об обработке персональных данных с подрядчиком заключают, когда данные ваших клиентов фактически оказываются в чужих руках: у хостера, сервиса рассылок, колл-центра, службы доставки или подрядчика по аналитике. Готовый образец Word оформляет это поручение письменно и разделяет, кто за что отвечает.

⚖️ Зачем нужен

Владельцем данных остаётесь вы — именно вы определяете цель обработки и отвечаете перед людьми, чьи данные собраны. Подрядчик выступает распорядителем: действует только в пределах вашего поручения и не вправе решать самостоятельно, что с данными делать. Без договора эта граница не зафиксирована, и любое использование данных подрядчиком в собственных целях формально ничем не ограничено.

Документ решает и обратную задачу — даёт вам рычаги: право контролировать, как подрядчик хранит данные, требовать подтверждения уничтожения после завершения работ и получить уведомление, если произойдёт утечка.

📋 Что регулирует

• Пределы поручения — распорядитель обрабатывает данные исключительно с целью, в объёме и способом, определёнными договором и вашими документально оформленными инструкциями, и не определяет цель самостоятельно.
• Запрет собственных целей — подрядчик не использует данные для себя и не передаёт их третьим лицам без вашего письменного согласия.
• Субраспорядители — привлечь субподрядчика можно только с вашего предварительного письменного согласия, с возложением на него не меньших обязанностей, и отвечает подрядчик за него как за себя.
• Уведомление об утечке — безотлагательно, в определённый вами срок, с указанием характера нарушения, ориентировочных категорий и количества пострадавших лиц и записей, вероятных последствий и принятых мер.
• Меры защиты — ограничение доступа кругом нужных лиц с идентификацией и аутентификацией, защита от потери и несанкционированного доступа, возможность восстановить доступ после технического сбоя, контроль за режимом защиты.
• Контроль и проверки — вы вправе получать информацию об обработке и принятых мерах, а подрядчик — содействовать проверкам, порядок и сроки которых согласовываются, чтобы не останавливать работу.
• Обязанность возразить — если ваша инструкция, по мнению подрядчика, противоречит законодательству о защите данных, он обязан вас об этом уведомить.
• Завершение — после окончания работ данные возвращаются и копии уничтожаются либо просто уничтожаются — на ваш выбор, с подтверждением уничтожения по требованию.

🎯 Чем отличается от политики конфиденциальности

Политика конфиденциальности адресована человеку: она объясняет посетителю сайта, что с его данными происходит. Этот документ адресован бизнесу — это двусторонний договор между вами и вашим подрядчиком, который человек никогда не увидит. Он не заменяет политику и не дублирует её: политика описывает обработку в целом, а договор оформляет конкретное звено — передачу данных тому, кто выполняет для вас работу. Если ваш подрядчик обрабатывает данные клиентов из Европейского Союза, понадобится двуязычная редакция по европейскому регламенту.

🤝 Когда и с кем заключать

Договор подписывают в связи с основным договором — на хостинг, разработку, маркетинг, доставку, бухгалтерские или колл-центровые услуги — и он становится его неотъемлемой частью в части обработки данных. Срок обработки не может превышать срока основного договора, если вы не установите иное. Самые частые контрагенты: хостинг-провайдеры и облачные сервисы, сервисы рассылок, платёжные системы, службы доставки, подрядчики по аналитике и рекламе, внешняя бухгалтерия, колл-центры.

📦 Что входит в комплект

Готовый шаблон Word содержит договор и одно приложение:

• Договор об обработке персональных данных с подрядчиком — основной текст.
• Приложение №1 — Описание обработки персональных данных: таблица на восемь характеристик (цель, категории субъектов, состав данных, действия по обработке, срок, место обработки и хранения, привлечённые субраспорядители, особые требования к защите). Именно оно и является вашей документально оформленной инструкцией.

📄 Формат

Файл .docx на шесть страниц: четырнадцать разделов, блок реквизитов и подписей обеих сторон и лист приложения. Договор составлен в двух экземплярах одинаковой юридической силы — по одному для каждой стороны. Заполняются данные владельца и распорядителя, реквизиты основного договора, в связи с которым передаются данные, и таблица приложения.

👤 Кому подходит

Владельцам сайтов и интернет-магазинов, передающим данные клиентов подрядчикам; компаниям, заказывающим рассылки, аналитику или колл-центр; агентствам и студиям, которые сами выступают распорядителями и хотят зафиксировать пределы своей ответственности. Пригодится в обе стороны: и когда вы поручаете обработку, и когда её поручают вам.

🔗 Связанные документы

• Политика конфиденциальности для сайта — когда выбрать: нужен документ для посетителя, а не договор с подрядчиком.
• Положение об обработке и защите персональных данных работников — когда выбрать: данные обрабатываются внутри компании, в отношении персонала.
• Политика конфиденциальности GDPR — когда выбрать: среди субъектов данных есть жители Европейского Союза.