Правила обработки информации, полученной в ходе оказания услуг Заказчику (Поручение на обработку ПДн)

Настоящие Правила являются неотъемлемой частью Договора и определяют порядок обработки персональных данных (ПДн) компанией ITF-Россия (далее — Исполнитель) по поручению Заказчика (далее — Оператор).

Хранение аутентификационных данных (доступов)

1. Доступы, полученные от Оператора, хранятся исключительно на серверах и компьютерах, принадлежащих Исполнителю, или в коммерческих облачных сервисах, арендуемых Исполнителем.
2. Доступы хранятся в зашифрованном виде в системе, требующей обязательной авторизации.
3. Доступ к системе хранения доступов имеют только сотрудники Исполнителя, непосредственно задействованные в оказании услуг. Передача доступов третьим лицам запрещена.
4. В случае компрометации или увольнения сотрудника Исполнитель обязуется незамедлительно заблокировать его учётную запись и, при необходимости, инициировать смену доступов совместно с Оператором.

Обработка и защита персональных данных Оператора

1. Исполнитель обрабатывает ПДн, доступные в файловой системе и базах данных сайта, исключительно в целях исполнения Договора (техническое обслуживание, диагностика, восстановление работоспособности, резервное копирование).
2. Исполнитель принимает правовые, организационные и технические меры для защиты ПДн от неправомерного доступа, уничтожения, блокирования и иных неправомерных действий в соответствии со ст. 19 152-ФЗ.
3. Исполнитель обязуется не выгружать и не извлекать ПДн Оператора за пределы периметра его информационной системы, за исключением случаев, прямо согласованных с Оператором (например, создание резервной копии на инфраструктуре Исполнителя по отдельной услуге).

Конфиденциальность и неразглашение

1. Исполнитель обязуется не использовать ПДн Оператора для собственных нужд и не раскрывать их содержание третьим лицам, кроме случаев, предусмотренных законодательством РФ.
2. Сотрудники Исполнителя, имеющие доступ к ПДн, подписывают обязательство о неразглашении конфиденциальной информации.

4. Уничтожение данных

1. Информация, полученная от Оператора в ходе выполнения Договора (включая доступы, дампы баз данных, резервные копии), уничтожается в инфраструктуре Исполнителя в течение 30 календарных дней с момента прекращения договорных отношений или по письменному требованию Оператора в иной срок.
2. Уничтожение производится способом, исключающим возможность восстановления (перезапись, физическое уничтожение носителя).
3. Факт уничтожения подтверждается Актом, который направляется Оператору.
4. По желанию Заказчика Исполнитель может оказывать услугу долгосрочного хранения информации. Состав, условия, стоимость и ответственность за хранение определяются отдельным соглашением.

Взаимодействие с Оператором

1. Исполнитель незамедлительно уведомляет Оператора о любом факте несанкционированного доступа к ПДн, инцидентах безопасности или подозрениях на них.
2. Исполнитель оказывает содействие Оператору в расследовании инцидентов и выполнении требований Роскомнадзора в рамках обрабатываемых ПДн.