ПРИЛОЖЕНИЕ №1 К ПУБЛИЧНОЙ ОФЕРТЕ «БЬЮТИСРМ»

Соглашение об обработке персональных данных по поручению
(ст. 28.1, 6.2 Федерального закона от 27.07.2006 № 152-ФЗ)
Оператор: Пользователь сервиса «БЬЮТИСРМ» (владелец салона/мастер) — определяется при акцепте Оферты.
Процессор: Самозанятый гражданин Норов Борис Борисович (ИНН 562200826907), именуемый «БЬЮТИСРМ» / «Лицензиар».
Вступление в силу: одновременно с акцептом Публичной оферты. Является её неотъемлемой частью.
Настоящее Соглашение заключается в соответствии со ст. 28.1 152-ФЗ и определяет условия, на которых Процессор осуществляет обработку персональных данных Клиентов Оператора по его поручению.

1. Статус сторон и правовая основа

1.1. Оператор (Пользователь) определяет цели и условия обработки персональных данных своих Клиентов, получает их согласия и несет полную ответственность за законность обработки.
1.2. Процессор (БЬЮТИСРМ) осуществляет обработку исключительно по поручению Оператора, в целях и объёме, необходимых для исполнения Лицензионного договора (Публичной оферты), и не имеет права использовать данные в собственных целях.
1.3. Поручение оформлено документально — настоящим Соглашением как Приложением №1 к Оферте (ст. 28.1 ч. 1 152-ФЗ).

2. Состав обрабатываемых персональных данных Клиентов

2.1. Обязательный минимум (для Основного согласия Клиента): фамилия, имя, отчество; номер контактного телефона; адрес электронной почты; дата рождения.
2.2. Дополнительные категории (только при наличии Дополнительного согласия Клиента): фото/видеоматериалы (портфолио); сведения о состоянии кожи/волос, аллергиях, противопоказаниях (здоровьесберегающие); данные для маркетинговых рассылок.
2.3. Технические данные (обрабатываются автоматически): история процедур (записи, посещения, примечания мастера); IP-адрес, логи действий в сервисе (для безопасности).
2.4. Иные категории данных обрабатываются только с явного письменного указания Оператора.

3. Цели обработки

3.1. Обеспечение функций Сервиса для Оператора: онлайн-запись, учёт клиентов, сервисные уведомления (подтверждение, напоминание, отмена), формирование отчётности.
3.2. Техническое обеспечение работы Сервиса (хостинг, резервное копирование, защита от сбоев).
3.3. Обработка для иных целей не допускается без отдельного письменного поручения Оператора.

4. Перечень действий с персональными данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) подрядчикам в объёме, необходимом для работы Сервиса, обезличивание, блокирование, удаление и уничтожение.

5. Обязанности Процессора

5.1. Обрабатывать данные только в целях и способами, предусмотренными Договором и настоящим Соглашением.
5.2. Не передавать данные третьим лицам без поручения Оператора, за исключением: подрядчиков, необходимых для оказания услуги (хостинг Timeweb, SMS/Email-шлюзы, платёжные шлюзы) — в минимально необходимом объёме; государственных органов — по основаниям закона.
5.3. Обеспечить защиту данных в соответствии с 152-ФЗ и подзаконными актами: шифрование при передаче и хранении, разграничение доступа (RBAC), изоляция баз данных каждого Оператора, логирование доступа, защита от НСД.
5.4. Принимать меры для обеспечения прав субъектов ПД: предоставление доступа к данным, исправление, удаление по запросу Оператора.
5.5. Уведомлять Оператора о фактах утечки/НСД не позднее 24 часов с момента обнаружения; при выявлении неправомерной передачи (распространения) ПДн — содействовать Оператору в уведомлении Роскомнадзора (в течение 72 часов с момента выявления) и в расследовании инцидента (ч. 3.1 ст. 21 152-ФЗ).
5.6. По окончании оказания услуг или при расторжении Договора — вернуть или уничтожить все ПД Клиентов в порядке п. 6.5 Оферты (операционные системы — 30 дней, резервные копии — 90 дней).
5.7. Не использовать ПД Клиентов в собственных рекламных/маркетинговых целях. Не обогащать профили из внешних источников.
5.8. Осуществлять обработку на территории РФ (инфраструктура Timeweb Cloud, ст. 18 152-ФЗ).

6. Обязанности Оператора

6.1. Самостоятельно получать законные согласия Клиентов на обработку их ПД (через бланки «Основное согласие» и «Дополнительное согласие» в Mini App/боте/бумажном виде) до передачи данных Процессору.
6.2. Обеспечивать достоверность и актуальность передаваемых данных.
6.3. Не передавать Процессору данные, по которым не получены необходимые согласия субъектов.
6.4. Информировать Процессора об отзыве согласия Клиентом или иных изменениях в правовой основе обработки.

7. Подрядчики Процессора (суб-процессоры)

Процессор привлекает следующих суб-процессоров для оказания услуг (обработка в минимально необходимом объёме, на условиях соглашений с требованиями 152-ФЗ):

Полный актуальный реестр суб-процессоров доступен в ЛК Пользователя.

8. Трансграничная передача

Обработка и хранение осуществляются исключительно на территории РФ. Трансграничная передача не производится. Взаимодействие с API Telegram/VK/Яндекс происходит через их российские контуры/прокси, данные не покидают пределы РФ.

9. Срок действия и порядок завершения

9.1. Соглашение действует с момента акцепта Оферты до полного исполнения обязательств по Договору и удаления данных.
9.2. При расторжении Договора Процессор удаляет данные в порядке п. 6.5 Оферты (операционные — 30 дней, резервные — 90 дней) и предоставляет Оператору письменное подтверждение уничтожения.

10. Ответственность сторон

10.1. Процессор отвечает за неисполнение обязанностей Процессора в соответствии с 152-ФЗ и ГК РФ (ущерб, упущенная выгода в пределах закона).
10.2. Оператор отвечает за законность получения согласий Клиентов, достоверность данных и своевременное информирование Процессора об изменениях.
10.3. Предел ответственности Процессора — стоимость Тарифа «Базовый» за 1 месяц (500 руб.), кроме умысла/грубой неосторожности.

11. Конфиденциальность

Стороны обязаны сохранять конфиденциальность условий настоящего Соглашения и сведений, полученных в связи с его исполнением, в течение 3 лет после прекращения действия.

12. Заключительные положения

12.1. Настоящее Соглашение регулируется законодательством РФ. Споры — Арбитражный суд по месту нахождения Лицензиара (досудебный порядок — 15 рабочих дней).
12.2. Изменения вступают в силу одновременно с изменениями Оферты (п. 7.1 Оферты).
12.3. Настоящее Соглашение является неотъемлемой частью Публичной оферты «БЬЮТИСРМ». Акцепт Оферты = акцепт настоящего Соглашения.

Соответствует ст. 28.1, 6.2, 9, 18 152-ФЗ; Постановлению Правительства РФ от 15.09.2008 № 687; рекомендациям Роскомнадзора по оформлению поручений.