Приложение об обработке персональных данных

Кратко

• Роли. Вы (Клиент) — владелец данных: вы решаете, для чего и как они используются. Мы обрабатываем их только по вашему поручению.
• Цель. Только оказание Сервиса, техническая поддержка и безопасность. Мы не продаём ваши данные и не используем их в своих целях.
• Где. На серверах Contabo GmbH в Германии (Европейский союз). Резервные копии хранятся на сервере 7 дней, зашифрованные внешние (off-site) копии — до 35 дней.
• Кого мы привлекаем. Contabo GmbH, [провайдер внешних резервных копий] и [провайдер email-рассылки] (раздел 5). Fast AI по умолчанию выключен; если вы его включите, AI-провайдера вы выбираете сами и подключаете своим ключом.
• Биометрические данные. В облаке распознавание лиц выключено. Оно работает только в редакции on-premise, на ваших серверах.
• Данные детей. Получить согласие родителей несовершеннолетних и обеспечить правовое основание — ваша обязанность.
• Если произошёл инцидент. О нарушении, затрагивающем ваши данные, мы сообщим в течение 24 часов.
• Уход. После прекращения Договора данные удаляются в течение 30 дней; до этого вы их экспортируете. Из резервных копий они исчезают ещё в течение 35 дней.

Это — краткое изложение. Полный текст, имеющий юридическую силу, приведён ниже. При расхождении между ними преимущественную силу имеет полный текст.

Настоящее Приложение является неотъемлемой частью Договора, заключённого между [наименование компании] (далее — «Исполнитель») и Клиентом на основании Публичной оферты. Оно определяет, как в сервисе «Fast-CRM Облако» обрабатываются персональные данные (сведения, относящиеся к конкретному человеку) в составе Данных Клиента. Термины используются в значениях, установленных Офертой и Законом Республики Узбекистан от 2 июля 2019 года № ЗРУ-547 «О персональных данных» (далее — «Закон»).

1. Роли Сторон

1.1. Клиент является собственником и оператором базы персональных данных, которая ведётся в Сервисе: он определяет цели и средства обработки.

1.2. Исполнитель обрабатывает персональные данные в составе Данных Клиента только по поручению Клиента, от его имени и в соответствии с его документированными указаниями.

1.3. Документированными указаниями Клиента являются:

• Оферта и настоящее Приложение;
• настройки и действия Клиента и Пользователей на Платформе (внесение данных, подключение каналов, экспорт, удаление и другие);
• письменные запросы Клиента, направленные на адрес info@fastcrm.uz.

1.4. Если Исполнитель считает, что указание противоречит закону, он сообщает об этом Клиенту и вправе приостановить его выполнение.

1.5. Клиент отвечает за законность обработки: за наличие правового основания (согласие, уведомление) перед своими клиентами и другими людьми, за регистрацию базы данных, если этого требует закон, и за ответы на запросы субъектов данных (людей, к которым относятся данные).

2. Предмет, срок, характер и цель обработки

2.1. Предмет — обработка персональных данных в составе Данных Клиента при оказании Сервиса по Оферте.

2.2. Срок — срок действия Договора, период после него до удаления данных (согласно разделу 11 Оферты — до 30 (тридцати) дней) и срок хранения резервных копий: на сервере 7 (семь) дней, во внешних (off-site) копиях — до 35 (тридцати пяти) дней.

2.3. Характер — сбор (внесение в Сервис и получение из подключённых каналов), систематизация, хранение, изменение, дополнение, использование, передача по указанию Клиента, экспорт, обезличивание (анонимизация — приведение данных в вид, при котором их нельзя связать с конкретным человеком), уничтожение и создание резервных копий.

2.4. Цель — оказание Клиенту Сервиса (функций CRM), техническая поддержка по запросу Клиента, обеспечение безопасности Сервиса и восстановление данных после аварии.

3. Категории данных и субъектов

3.1. Категории субъектов: клиенты и потенциальные клиенты (лиды) Клиента, контактные лица контрагентов, работники и Пользователи Клиента, ученики и их родители (например, если Клиент — учебный центр), а также другие люди, данные которых Клиент вносит в Сервис или которые переписываются с Клиентом через подключённые каналы.

3.2. Категории данных:

• идентификационные и контактные данные (имя, телефон, электронная почта, адрес);
• сведения о сделках, заказах и платежах;
• переписка и сообщения из подключённых каналов;
• если включена телефония, — записи о звонках и аудиозаписи звонков;
• файлы и документы;
• иные данные, которые Клиент вносит в созданные им поля.

3.3. Специальные персональные данные (например, о состоянии здоровья) Клиент вносит в Сервис только при наличии правового основания.

3.4. За правовое основание для обработки данных о несовершеннолетних (лицах младше 18 лет), в том числе за согласие их родителей или иных законных представителей в случаях, когда этого требует закон, отвечает Клиент. Такие данные Исполнитель также обрабатывает только по указанию Клиента.

3.5. Биометрические данные не входят в предмет обработки в «Fast-CRM Облако». Биометрические данные должны храниться в Узбекистане (ЗРУ-1125, требует проверки), поэтому распознавание лиц и учёт посещаемости по лицу в облачной редакции выключены. Эти функции предлагаются только в редакции on-premise: в ней данные остаются на собственных серверах Клиента. Клиент не вносит в облачный Сервис биометрические данные для установления личности.

4. Обязанности Исполнителя

4.1. Исполнитель:

• обрабатывает персональные данные только по документированным указаниям Клиента и в целях, указанных в пункте 2.4, не использует их в собственных целях и не продаёт их;
• предоставляет доступ к данным только работникам, которым он необходим для выполнения служебных обязанностей и которые приняли обязательство о конфиденциальности;
• применяет организационные и технические меры безопасности, описанные в Политике конфиденциальности: шифрование при передаче (HTTPS/TLS), доступ на основе ролей, хранение паролей только в виде хеша (необратимого шифра), двухфакторную аутентификацию, хранение ключей и токенов интеграций в зашифрованном виде, журнал действий, ежедневные резервные копии и шифрование внешних (off-site) копий;
• помогает Клиенту в разумном объёме выполнять запросы людей с помощью средств Сервиса (поиск, редактирование, удаление, экспорт); запросы, поступившие непосредственно Исполнителю, без задержки передаёт Клиенту;
• если это не запрещено законом, сообщает Клиенту о запросах государственных органов в отношении Данных Клиента;
• оказывает Клиенту разумное содействие в исполнении его обязанностей по Закону, предоставляя необходимые сведения.

4.2. О нарушении безопасности, затрагивающем Данные Клиента, Исполнитель уведомляет Клиента без неоправданной задержки и не позднее 24 (двадцати четырёх) часов с момента обнаружения нарушения. Уведомление содержит известные сведения: что произошло, какие данные и сколько людей затронуто (примерно), возможные последствия и принятые меры. Остальные сведения направляются по мере их выяснения.

4.3. Уведомление уполномоченного государственного органа и субъектов — обязанность Клиента как оператора (сроки по закону: по ЗРУ-1125 — 24 и 72 часа, требует проверки). Исполнитель помогает Клиенту, предоставляя необходимые сведения, и исполняет обязанности по уведомлению, которые закон возлагает на него самого.

4.4. После прекращения Договора Исполнитель предоставляет Клиенту возможность экспортировать данные в срок, предусмотренный разделом 11 Оферты, после чего уничтожает их. Уничтоженные данные исчезают из резервных копий на сервере в течение 7 (семи) дней, а из внешних (off-site) копий — в течение 35 (тридцати пяти) дней. Исключение составляют данные, хранение которых обязательно по закону.

5. Субпроцессоры

5.1. Клиент даёт Исполнителю общее разрешение на привлечение субпроцессоров (других компаний, которых привлекает Исполнитель и которые обрабатывают Данные Клиента).

5.2. Субпроцессоры облачного Сервиса:

• Contabo GmbH (Федеративная Республика Германия) — серверы (хостинг) и резервные копии на сервере;
• [провайдер внешних резервных копий] — хранение внешних (off-site) резервных копий; копии шифруются до того, как покидают сервер, и провайдер не может прочитать их содержимое;
• [провайдер email-рассылки] — отправка системных писем (коды подтверждения, восстановление пароля): адрес электронной почты Пользователя и текст письма.

5.3. Провайдер искусственного интеллекта (AI) используется, только если Клиент сам включил ассистента Fast AI. По умолчанию Fast AI выключен. Провайдера Клиент выбирает сам и подключает своим API-ключом (ключом доступа, который выдаёт провайдер): например, Anthropic или любой сервис, совместимый с OpenAI (OpenAI-compatible). Этот провайдер работает на основании договора с Клиентом и, как и сервисы из пункта 5.4, является обработчиком Клиента; Исполнитель передаёт ему данные только по указанию Клиента. Клиент отвечает за выбор провайдера, передача данных в государство которого разрешена законом, а также за уведомление субъектов об обработке с помощью AI и, если этого требует закон, получение их согласия (ЗРУ-1115, требует проверки). Исполнитель рекомендует выбирать провайдеров, расположенных в государствах из перечня, указанного в пункте 6.2.

5.4. SMS, Telegram, Instagram, WhatsApp, Payme, Click, собственный почтовый сервер Клиента (SMTP) и другие подключения — это собственные учётные записи Клиента. Эти сервисы работают на основании договора с Клиентом и являются обработчиками Клиента, а не субпроцессорами Исполнителя. Исполнитель передаёт им данные только по указанию Клиента.

5.5. Перечень в пункте 5.2 является актуальным. Он также предоставляется по запросу на адрес info@fastcrm.uz.

5.6. Исполнитель уведомляет Клиента о привлечении нового субпроцессора не менее чем за 14 (четырнадцать) календарных дней по электронной почте или на Платформе. В течение этого срока Клиент может заявить мотивированное возражение. Если Стороны не достигли согласия, Клиент вправе расторгнуть Договор; в этом случае плата за неиспользованную часть Оплачиваемого периода возвращается.

5.7. Исполнитель возлагает на субпроцессоров обязательства по защите данных (в том числе через их стандартные условия) и отвечает за их действия в пределах, установленных Офертой.

6. Трансграничная передача

6.1. Данные Клиента хранятся на серверах компании Contabo GmbH в Федеративной Республике Германия. Это является передачей данных за пределы Узбекистана (трансграничной передачей). Принимая Оферту, Клиент поручает Исполнителю хранить данные на этих серверах.

6.2. Передача осуществляется по основаниям, предусмотренным законом. Германия включена в перечень государств, обеспечивающих надлежащую защиту прав субъектов персональных данных, утверждённый постановлением Кабинета Министров Республики Узбекистан от 29 июля 2026 года № 415 (требует проверки). Провайдеры внешних (off-site) резервных копий и системных писем также выбираются только из государств этого перечня.

6.3. Передача в Сторонние сервисы, включённые Клиентом, в том числе в сервисы в других государствах, осуществляется по указанию Клиента. Правовое основание такой передачи (при необходимости — согласие субъектов) обеспечивает Клиент.

7. Аудит

7.1. По запросу Клиента Исполнитель предоставляет сведения, подтверждающие соблюдение настоящего Приложения: описание мер безопасности и письменные ответы на разумные вопросы Клиента.

7.2. Если документов недостаточно, Клиент вправе не чаще одного раза в год за свой счёт провести аудит, письменно уведомив Исполнителя не менее чем за 30 (тридцать) календарных дней. Аудит проводится в рабочее время, без помех для работы Сервиса и без доступа к данным других клиентов — Клиентом или независимым аудитором, принявшим обязательство о конфиденциальности.

7.3. После нарушения безопасности или по требованию уполномоченного государственного органа может быть проведена дополнительная проверка.

7.4. Проведение аудита на объектах субпроцессоров регулируется их собственными правилами.

8. Ответственность и заключительные положения

8.1. Ответственность Сторон по настоящему Приложению определяется разделом 12 Оферты, включая установленные в нём ограничения.

8.2. Приложение действует в течение срока действия Договора и всего периода, пока Исполнитель обрабатывает Данные Клиента.

8.3. При расхождении между настоящим Приложением и Офертой по вопросам обработки персональных данных преимущественную силу имеет настоящее Приложение.

8.4. Приложение действует с [дата].