Поручение на обработку персональных данных

Редакция от 02.11.2026. Действует с 02.11.2026.

Приложение № 1 к публичной оферте на подписку Kvexo CRM (kvexo.pro/offer).

Настоящее Поручение — неотъемлемая часть договора, заключённого акцептом публичной оферты на подписку Kvexo CRM (далее — Договор), между Заказчиком (далее — Оператор) и индивидуальным предпринимателем Ярукиной Натальей Владимировной, ОГРНИП 326169000245596, ИНН 165715401995 (далее — Обработчик).

Поручение составлено по части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Термины, не определённые здесь, понимаются так, как они определены в Законе и в Договоре.

1. Предмет

1.1. Оператор поручает Обработчику обработку персональных данных, которые Оператор и его сотрудники вносят в сервис Kvexo CRM (далее — Сервис), а Обработчик обрабатывает их от имени и в интересах Оператора.

1.2. Оператор определяет цели обработки, состав персональных данных и сроки их хранения. Обработчик действует по этому Поручению и по указаниям Оператора, которые тот даёт настройками и действиями в Сервисе.

1.3. Отдельное вознаграждение за исполнение Поручения не выплачивается: оно входит в цену Договора.

2. Цель обработки

2.1. Обработка ведётся с одной целью — исполнение Договора: хранение персональных данных в Сервисе и предоставление Оператору функций Сервиса для ведения его деятельности, в том числе учёта клиентов и автомобилей, заказов, оплат, записи на посты, склада, расчётов с сотрудниками, оформления документов и переписки с клиентами.

2.2. Обработчик не обрабатывает персональные данные в собственных целях и не передаёт их третьим лицам, кроме случаев, указанных в разделах 6 и 9.

3. Субъекты и состав персональных данных

3.1. Категории субъектов:

• клиенты Оператора — физические лица, и представители клиентов — организаций;
• сотрудники и исполнители Оператора, сведения о которых Оператор ведёт в Сервисе, в том числе Пользователи — те из них, кому Оператор дал доступ к Сервису;
• представители поставщиков и иных контрагентов Оператора.

3.2. Персональные данные клиентов и их представителей:

• фамилия, имя, отчество;
• номер телефона, адрес электронной почты, имя пользователя в мессенджерах;
• адрес;
• должность представителя организации;
• сведения об автомобилях: марка, модель, год выпуска, государственный номер, VIN или номер кузова, пробег;
• сведения об обращениях, работах, запчастях, оплатах, скидках;
• сведения о согласиях и подписанных документах, в том числе изображение подписи, выполненной на экране устройства;
• фотографии автомобиля, сделанные при приёмке;
• переписка с Оператором, если Оператор подключил обмен сообщениями;
• заметки, которые сотрудники Оператора вносят в карточку.

3.3. Персональные данные сотрудников и исполнителей Оператора: фамилия, имя, должность, номер телефона, адрес электронной почты, сведения о выполненных работах, начислениях и выплатах. Для Пользователей — также учётные данные и сведения о входах: адрес электронной почты, имя, роль, филиал, дата и время входа, IP-адрес, сведения о браузере и устройстве. Эти данные обрабатываются по Поручению в том объёме, который нужен Оператору, чтобы управлять доступом своих сотрудников и видеть их входы.

3.3.1. Для безопасности доступа к Сервису и для исполнения требований закона Обработчик обрабатывает учётные данные Пользователей и сведения о входах как самостоятельный оператор — по своей Политике обработки персональных данных (kvexo.pro/privacy). На эту обработку Поручение не распространяется.

3.4. Специальные категории персональных данных и биометрические персональные данные по этому Поручению не обрабатываются. Оператор обязуется не вносить их в Сервис.

4. Действия и способы обработки

4.1. Перечень действий: запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в случаях из разделов 6 и 9, обезличивание, блокирование, удаление, уничтожение.

4.2. Сбор персональных данных у субъектов ведёт Оператор. Обработчик у субъектов данные не собирает.

4.3. Способ обработки — автоматизированная обработка с передачей по сети Интернет по защищённым каналам связи.

4.4. К действиям по этому Поручению относятся:

• доступ Обработчика и лица из строки 2 таблицы пункта 6.1 к данным Оператора для поддержки — в режиме просмотра, с записью причины в журнал. Журнал доступа к данным клиентов хранится 3 года. По запросу Оператора Обработчик передаёт ему выписку из этого журнала;
• настройка Учётной записи компании и загрузка в Сервис данных из файлов, которые передал Оператор, — при Внедрении, по заявке Оператора; при полном внедрении — также проверка того, как Оператор ведёт данные, и правка настроек в течение месяца сопровождения (пункт 7.3 оферты);
• администрирование серверов и баз данных Сервиса.

4.5. Файлы для Внедрения Оператор направляет на support@kvexo.pro. Почтовые ящики домена kvexo.pro размещены в сервисе из строки 3 таблицы пункта 6.1. После загрузки данных в Сервис Обработчик удаляет файлы из почты в течение 30 календарных дней. В чат поддержки файлы с персональными данными не направляются (пункт 2.2.1 оферты).

5. Обязанности Обработчика

Обработчик обязан:

5.1. Соблюдать принципы и правила обработки персональных данных, предусмотренные Законом.

5.2. Соблюдать конфиденциальность персональных данных (статья 7 Закона) и не раскрывать их третьим лицам без указания Оператора, кроме случаев, предусмотренных законом.

5.3. Обрабатывать персональные данные только для цели из раздела 2.

5.4. Использовать базы данных, находящиеся на территории Российской Федерации (часть 5 статьи 18 Закона). Базы данных Сервиса размещены на серверах лица из строки 4 таблицы пункта 6.1, резервные копии — в облаке лица из строки 1 и на серверах лица из строки 4; центры обработки данных обоих лиц находятся на территории Российской Федерации.

5.5. Принимать меры, предусмотренные статьёй 18.1 Закона, и обеспечивать безопасность персональных данных по статье 19 Закона, в том числе меры из раздела 7.

5.6. Уведомить Оператора о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав субъектов (часть 3.1 статьи 21 Закона), — не позднее 12 часов с момента, когда Обработчик выявил инцидент. В уведомлении Обработчик сообщает известные сведения: что произошло, какие данные и сколько записей затронуто, предполагаемые причины, предполагаемый вред, принятые меры, контактное лицо. Результаты внутреннего расследования Обработчик сообщает не позднее 48 часов с момента выявления. Уведомления направляются на адрес для сообщений об инцидентах, который Оператор указал в Сервисе, и на адреса электронной почты администраторов Учётной записи компании. Обработчик помогает Оператору подготовить уведомления в Роскомнадзор.

5.7. По запросу Оператора в течение срока действия Поручения, в том числе до начала обработки персональных данных, предоставить документы и сведения, подтверждающие принятие мер и соблюдение требований этого Поручения. Срок ответа — 10 рабочих дней.

5.8. Содействовать Оператору в исполнении запросов субъектов. В оплаченном периоде и в Пробном периоде Оператор пользуется функциями Сервиса сам: выгрузка всех данных клиента, обезличивание клиента, настройка срока хранения, журнал доступа к карточке клиента. В режиме «только чтение» и при приостановленном доступе Обработчик по запросу Оператора в поддержку в течение 2 рабочих дней сам выгружает данные субъекта, исправляет, блокирует или удаляет их (пункт 6.5.2 оферты).

5.9. Если запрос субъекта или государственного органа о данных Оператора поступил Обработчику — передать его Оператору в течение 3 рабочих дней и не отвечать на него по существу без указания Оператора, кроме случаев, когда ответ обязателен по закону.

5.10. Прекратить обработку и уничтожить персональные данные в порядке раздела 10.

6. Привлечение третьих лиц

6.1. Оператор согласен на привлечение Обработчиком следующих лиц:

6.2. Обработчик заключает с привлечённым лицом договор, который обязывает его соблюдать конфиденциальность, обеспечивать безопасность персональных данных и выполнять требования части 3 статьи 6 Закона. Обработчик отвечает перед Оператором за действия привлечённого лица как за свои.

6.3. Действующий перечень привлечённых лиц и его прежние редакции с датами публикуются на сайте Обработчика; ссылка на страницу перечня — в Политике (kvexo.pro/privacy). О привлечении нового лица либо об изменении того, что делает привлечённое лицо и где находятся данные, Обработчик сообщает Оператору не позднее чем за 14 календарных дней: изменением перечня на этой странице, письмом на адрес администратора Учётной записи компании и сообщением в Сервисе. Такая редакция перечня требует повторного подтверждения в Сервисе (пункты 14.4–14.4.4 оферты). Исправление наименования или адреса привлечённого лица публикуется без предварительного уведомления (пункт 14.4 оферты). Если Оператор возражает, он вправе до даты изменения отказаться от Договора.

6.4. Сервисы обмена сообщениями в мессенджерах и сервис отправки SMS Оператор подключает сам — по своему договору с их владельцами и по своему ключу доступа. Это сервисы Оператора. Они не являются лицами, привлечёнными Обработчиком. Данные в такие сервисы передаются по указанию Оператора. Условия их использования, включая возможную передачу данных за пределы Российской Федерации, Оператор оценивает сам (раздел 11А оферты).

7. Меры защиты

7.1. Обработчик применяет следующие меры:

• разграничение доступа по ролям; данные разных Операторов изолированы на уровне системы управления базами данных;
• вход по паролю длиной не менее 10 символов с проверкой по базе скомпрометированных паролей; блокировка после 10 неудачных попыток входа;
• второй фактор входа — обязателен для Обработчика и привлечённых им лиц, доступен сотрудникам Оператора;
• журнал входов; журнал доступа к персональным данным: просмотр карточки клиента, выгрузка, обезличивание, выдача документов, просмотр фотографий;
• ограничение массовой выгрузки и оповещение о нетипичной активности;
• передача данных только по защищённому протоколу (HTTPS);
• шифрование резервных копий;
• резервное копирование с хранением копий в неизменяемом виде 30 дней и регулярной проверкой восстановления;
• служебный доступ к серверам — только по ключам через защищённый канал;
• автоматическая установка обновлений безопасности;
• маскирование персональных данных в технических журналах.

7.2. Обработчик и привлечённые им лица получают доступ к данным Оператора только в случаях из пункта 4.4. Доступ для поддержки — только в режиме просмотра и с записью причины в журнал.

7.3. Уровень защищённости персональных данных при их обработке в Сервисе — четвёртый (подпункт «б» пункта 12 требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119): в Сервисе обрабатываются иные категории персональных данных субъектов, которые не являются сотрудниками оператора, число субъектов меньше 100 000, актуальны угрозы третьего типа. Если число субъектов превысит 100 000, Обработчик обеспечивает третий уровень защищённости (подпункт «д» пункта 11 тех же требований). Состав мер Обработчик определяет по приказу ФСТЭК России от 18.02.2013 № 21.

7.4. Оператор отвечает за меры на своей стороне: кому из сотрудников дан доступ и с какой ролью, сохранность их паролей, защита устройств, с которых они работают.

8. Обязанности Оператора

Оператор обязан:

8.1. Иметь законные основания для обработки персональных данных, которые он вносит в Сервис, и для поручения их обработки Обработчику и лицам из раздела 6, в том числе согласия субъектов там, где они нужны.

8.2. Сообщать субъектам сведения, предусмотренные Законом, и самостоятельно отвечать на их запросы.

8.3. Не вносить в Сервис специальные категории и биометрические персональные данные.

8.4. Самостоятельно исполнять обязанности оператора перед Роскомнадзором, включая уведомление об обработке персональных данных и уведомления об инцидентах.

8.5. Установить в Сервисе срок хранения персональных данных клиентов, соответствующий его целям. Срок хранения фотографий автомобиля установлен пунктом 10.3.1. Фотографии, которые нужны Оператору дольше, Оператор сохраняет у себя сам и сам отвечает за их дальнейшую обработку.

8.6. Поддерживать актуальным адрес электронной почты администратора Учётной записи компании: на него приходят уведомления по этому Поручению, в том числе об инцидентах.

9. Передача данных и трансграничная передача

9.1. Обработчик не передаёт персональные данные иностранным лицам: органам власти иностранных государств, иностранным физическим и юридическим лицам. Базы данных находятся в Российской Федерации.

9.2. Лицо из строки 2 таблицы пункта 6.1 — гражданин Российской Федерации. Оно работает дистанционно и может подключаться к Сервису, находясь за пределами Российской Федерации. Копии баз данных и выгрузки персональных данных вне серверов лица из строки 4 и облака лица из строки 1 не создаются и не хранятся.

9.3. Обработчик предоставляет персональные данные третьим лицам только:

• лицам из раздела 6;
• по указанию Оператора, данному настройками Сервиса;
• по требованию государственного органа в случаях, предусмотренных законом, — с уведомлением Оператора, если закон этого не запрещает.

10. Срок, прекращение обработки и уничтожение

10.1. Поручение действует с даты акцепта оферты, в том числе в Пробном периоде, и в течение всего срока Договора.

10.2. После прекращения Договора Обработчик хранит персональные данные 90 календарных дней и затем удаляет. В режиме «только чтение» и при приостановленном доступе Обработчик по запросу Оператора в течение 3 рабочих дней с даты запроса открывает администратору Учётной записи компании выгрузку в Сервисе на 72 часа; администратор скачивает данные сам (пункт 6.5.1 оферты). После прекращения Договора выгрузку в тот же срок готовит Обработчик и передаёт её администратору в порядке пункта 10.3 оферты. Выгрузка не зависит от оплаты. Если скачать данные в Сервисе невозможно, Обработчик передаёт выгрузку иным способом, который не раскрывает данные посторонним. По письменному требованию Оператора данные удаляются раньше.

10.3. Резервные копии, содержащие персональные данные, удаляются по мере их замены — не позднее 40 календарных дней после удаления данных из Сервиса.

10.3.1. Фотографии автомобиля, сделанные при приёмке. Оператор поручает Обработчику хранить их не менее 3 месяцев после закрытия сделки и затем удалять — в порядке пункта 10.4 оферты. Это указание Оператора о сроке хранения (пункт 1.2). О дне удаления Обработчик заранее сообщает письмом администратору Учётной записи компании и сообщением в сделке и даёт возможность скачать архив фотографий. Удаление фотографий Обработчик записывает в журнал и по запросу Оператора подтверждает в порядке пункта 10.4.

10.4. По запросу Оператора Обработчик в течение 10 рабочих дней с даты запроса, но не раньше удаления резервных копий с этими данными (пункт 10.3), передаёт ему подтверждение уничтожения: акт об уничтожении персональных данных и выгрузку из журнала регистрации событий Сервиса — по требованиям приказа Роскомнадзора от 28.10.2022 № 179. Если запрос пришёл раньше, Обработчик в тот же срок сообщает дату удаления данных из Сервиса и дату, не позднее которой будут удалены резервные копии, а акт передаёт после этой даты.

10.5. Обязательство о конфиденциальности действует и после прекращения Поручения.

11. Ответственность

11.1. Ответственность перед субъектом персональных данных за действия Обработчика несёт Оператор. Обработчик отвечает перед Оператором (часть 5 статьи 6 Закона).

11.2. Размер ответственности Обработчика определяется по разделу 13 оферты, включая предел из пункта 13.2 оферты.

11.3. Обработчик не отвечает за последствия того, что Оператор внёс в Сервис данные без законного основания или дал доступ к Сервису постороннему лицу.

11.4. Потери Обработчика от требований третьих лиц и государственных органов, вызванных данными и рассылками Оператора, возмещаются по пункту 11.5 оферты.

12. Контакты по вопросам персональных данных

Обработчик: info@kvexo.pro.

Оператор: адрес электронной почты администратора Учётной записи компании.