Приложение 4 к Публичной оферте. Поручение на обработку персональных данных

Редакция № 1 от 03.11.2026

Настоящее Приложение является поручением оператора на обработку персональных данных в понимании ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Клиент (далее — Оператор) поручает, а ООО «Аметист Кэпитал» (далее — Обработчик) принимает на себя обработку персональных данных на условиях ниже.

1. Предмет и роли

1.1. Оператор определяет цели и состав обрабатываемых персональных данных и несёт ответственность перед субъектами персональных данных. Обработчик действует только по поручению Оператора и не определяет самостоятельно цели обработки этих данных.

1.2. Обработчик отвечает перед Оператором за нарушение условий поручения (ч. 5 ст. 6 Закона). Оператор отвечает перед субъектами.

2. Цель обработки

2.1. Обработка осуществляется исключительно для предоставления Оператору функций Сервиса «Финклиника»: управленческий учёт операций, продаж и расчётов с контрагентами, учёт сотрудников и расчёт фонда оплаты труда, формирование отчётов, обеспечение доступа Пользователей Оператора, резервное копирование и восстановление, техническая поддержка.

2.2. Обработчик не использует поручаемые данные в собственных целях (маркетинг, профилирование, обучение моделей, перепродажа), а также не объединяет их с данными других операторов.

3. Категории субъектов и персональных данных

3.1. Специальные категории персональных данных (ст. 10 Закона), биометрические персональные данные (ст. 11 Закона) и сведения, составляющие врачебную тайну, не передаются и не обрабатываются Обработчиком (п. 8.4 Оферты).

3.2. Оператор самостоятельно определяет объём загружаемых данных исходя из принципа минимизации (ч. 5 ст. 5 Закона).

3.3. Если Оператор передаёт данные пациентов в составе выгрузки МИС, он обязан настроить интеграцию так, чтобы не передавались фамилия, имя, отчество, контактные данные, диагнозы и иные сведения, позволяющие установить состояние здоровья. Передача таких сведений допускается только после письменного согласования отдельного поручения, определяющего уровень защищённости информационной системы персональных данных не ниже третьего.

4. Перечень действий

4.1. Обработчику поручается совершать с персональными данными следующие действия: сбор (получение от Оператора и из его внешних систем), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление доступа Пользователям Оператора, передача лицам, указанным в п. 6.1, блокирование, удаление, уничтожение.

4.2. Обработка осуществляется с использованием средств автоматизации; передача по сети Интернет допускается с использованием защищённых каналов.

5. Обязанности Обработчика

5.1. Обработчик обязуется:

1) обрабатывать данные только по документированным указаниям Оператора, к которым относятся настоящее Приложение и действия Пользователей Оператора в Сервисе;

2) соблюдать конфиденциальность и обеспечивать безопасность данных при их обработке, в том числе принимать правовые, организационные и технические меры, указанные в ст. 19 Закона и в Приложении 5;

3) обеспечить обработку персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона);

4) не осуществлять трансграничную передачу поручаемых данных;

5) обеспечить доступ к данным только работникам, которым он необходим, и связать их обязательствами о неразглашении;

6) привлекать иных лиц (субобработчиков) только на условиях, указанных в разделе 6;

7) не позднее 24 часов с момента выявления уведомить Оператора по электронной почте, указанной при регистрации, о случаях, предусмотренных ч. 3.1 ст. 21 Закона: неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов;

8) в течение 72 часов с момента выявления направить Оператору сведения о предполагаемых причинах, вреде и принятых мерах и сведения о лице, уполномоченном на взаимодействие с Оператором, а после завершения расследования — его результаты;

9) оказывать Оператору содействие в ответах на запросы субъектов и надзорных органов, передавая информацию о данных субъекта в разумный срок, не превышающий 5 рабочих дней с получения запроса Оператора; запросы субъектов, поступившие Обработчику напрямую, перенаправлять Оператору в течение 3 рабочих дней, не отвечая по существу, если иное не требует закон;

10) по требованию Оператора подтверждать принятие мер, указанных в Приложении 5, и предоставлять информацию, необходимую для подтверждения исполнения обязательств, в том числе допускать аудит в порядке п. 8.2;

11) по завершении поручения удалить данные в порядке раздела 7.

5.2. Если поручение Оператора нарушает законодательство, Обработчик вправе приостановить его исполнение и уведомить Оператора.

6. Субобработчики

6.1. Оператор даёт общее согласие на привлечение субобработчиков из следующих категорий; актуальный перечень (наименование, функция, место обработки) публикуется по адресу https://finclinica.ru/legal/subprocessors:

6.2. Обработчик заключает с субобработчиком договор, налагающий те же обязанности по конфиденциальности и защите, что и настоящее Приложение, и отвечает перед Оператором за действия субобработчика.

6.3. Об изменении перечня субобработчиков Обработчик уведомляет Оператора не менее чем за 10 календарных дней. Оператор вправе возразить по обоснованным причинам и отказаться от Договора без штрафных санкций.

7. Хранение, возврат и уничтожение

7.1. Данные хранятся в течение срока действия Договора. Оператор вправе в любой момент удалить данные Организации самостоятельно через профиль в Сервисе.

7.2. После прекращения Договора Обработчик хранит данные 30 календарных дней для возможности экспорта, затем удаляет их из рабочих систем (в срок до 30 дней), а из резервных копий — по истечении срока их хранения, но не позднее [90] дней.

7.3. По письменному запросу Оператора Обработчик выдаёт акт (уведомление) об уничтожении персональных данных. Подтверждение уничтожения оформляется с учётом требований Роскомнадзора к подтверждению уничтожения персональных данных.

8. Контроль

8.1. Оператор вправе запросить письменное подтверждение выполнения обязательств Обработчика не чаще одного раза в год.

8.2. Аудит на месте проводится по согласованию сторон, не чаще одного раза в год, за счёт Оператора, без нарушения безопасности иных клиентов Обработчика. Достаточным подтверждением является предоставление описания мер защиты (Приложение 5) и сведений о результатах проверок.

9. Обязанности Оператора

9.1. Оператор гарантирует, что:

1) имеет правовые основания для обработки персональных данных, переданных Обработчику, и для их передачи;

2) уведомил субъектов в части, в которой это требуется законом (в том числе работников — о передаче данных в Сервис и обработчике, а контрагентов — при наличии такой обязанности);

3) получил необходимые согласия, когда они требуются;

4) указал Обработчика и категории лиц, осуществляющих обработку по его поручению, в своих документах и, при необходимости, в уведомлении Роскомнадзора;

5) самостоятельно рассматривает обращения субъектов;

6) не загружает данные, запрещённые п. 8.4 Оферты.

9.2. Оператор самостоятельно управляет ролями и доступом своих Пользователей и отвечает за их действия.

10. Заключительные положения

10.1. Поручение действует с момента акцепта Оферты и до исполнения обязательств по разделу 7.

10.2. Контактное лицо Обработчика по вопросам обработки персональных данных: ответственный за организацию обработки персональных данных, info@amethystcapital.ru.