Договор-поручение на обработку персональных данных

1. Стороны и роли

1. 1.1.Настоящий договор-поручение является неотъемлемой частью публичной оферты (sardoba.uz/legal/offer) и считается заключённым одновременно с её акцептом.
2. 1.2.Гостиница, акцептовавшая оферту (далее — «Собственник»), является собственником базы персональных данных гостей: она определяет цели и состав обрабатываемых данных.
3. 1.3.{{ЮРЛИЦО}} (далее — «Оператор») обрабатывает персональные данные гостей исключительно по поручению Собственника и в пределах, установленных настоящим договором.
4. 1.4.Оператор не определяет цели обработки самостоятельно и не использует данные гостей в собственных интересах.
5. 1.5.В отношении персональных данных сотрудников Собственника, необходимых для доступа к сервису, Оператор действует как самостоятельный собственник базы персональных данных на условиях Политики конфиденциальности (sardoba.uz/legal/privacy).

2. Предмет поручения

1. 2.1.Собственник поручает, а Оператор принимает на себя обработку персональных данных гостей с использованием средств автоматизации в объёме, необходимом для функционирования сервиса Sardoba PMS.
2. 2.2.Обработка включает: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу получателям, указанным в разделе 5, блокирование, обезличивание и уничтожение.
3. 2.3.Обработка осуществляется в целях: ведения учёта бронирований и размещения, расчётов с гостями, направления уведомлений по бронированию, исполнения обязанностей Собственника, установленных законодательством, и формирования отчётности для Собственника.
4. 2.4.Оператор не осуществляет обработку в целях, не указанных в пункте 2.3, без письменного указания Собственника.

3. Состав данных и категории субъектов

Категории субъектов: гости Собственника и лица, оформляющие бронирование в их пользу.

Состав данных определяется Собственником и, как правило, включает:

• —фамилию, имя, при наличии — отчество;
• —номер телефона и адрес электронной почты;
• —сведения о документе, удостоверяющем личность, и гражданство;
• —даты пребывания, номер комнаты, состав услуг;
• —сведения о платежах: сумма, дата, способ, статус;
• —изображения документов, если Собственник загружает их в сервис;
• —переписку с гостем в подключённых каналах связи.

Оператор не запрашивает и не требует внесения особых категорий персональных данных. Если Собственник вносит их по своей инициативе, ответственность за правомерность такой обработки лежит на Собственнике.

4. Обязанности Оператора

1. 4.1.Обрабатывать персональные данные только по документированным указаниям Собственника, включая указания, выраженные через действия в интерфейсе сервиса.
2. 4.2.Обеспечить конфиденциальность персональных данных и не раскрывать их третьим лицам, кроме случаев, предусмотренных разделом 5 и законодательством.
3. 4.3.Обеспечить, чтобы работники Оператора, имеющие доступ к персональным данным, были связаны обязательством конфиденциальности и получали доступ только в объёме служебной необходимости.
4. 4.4.Принимать правовые, организационные и технические меры защиты персональных данных, включая: шифрование при передаче, хранение паролей в виде необратимых хешей, разграничение доступа по ролям, ведение журнала обращений к данным, размещение изображений документов в закрытых хранилищах с выдачей по временным ссылкам, ежедневное резервное копирование.
5. 4.5.Уведомлять Собственника о фактах несанкционированного доступа к персональным данным без неоправданной задержки после установления факта, с указанием характера инцидента, затронутых категорий данных, предполагаемых последствий и принятых мер.
6. 4.6.Оказывать Собственнику содействие в ответе на обращения субъектов персональных данных: предоставлять сведения об обрабатываемых данных, исполнять указания об уточнении, блокировании и уничтожении.
7. 4.7.Вести журнал согласий и их отзывов, обеспечивая Собственнику доступ к нему.
8. 4.8.Не осуществлять трансграничную передачу персональных данных иначе как на условиях раздела 6.

5. Привлечение иных операторов

1. 5.1.Собственник даёт Оператору общее согласие на привлечение иных операторов (субоператоров) для выполнения отдельных действий по обработке.
2. 5.2.Актуальный перечень субоператоров опубликован в Политике конфиденциальности (sardoba.uz/legal/privacy, раздел 5) и является частью настоящего договора.
3. 5.3.Оператор обязан возложить на каждого субоператора обязанности не менее строгие, чем установленные настоящим договором, и отвечает перед Собственником за действия субоператора как за свои собственные.
4. 5.4.О намерении привлечь нового субоператора, обрабатывающего персональные данные гостей, Оператор уведомляет Собственника не менее чем за 30 календарных дней. Собственник вправе в этот срок заявить мотивированное возражение; при недостижении согласия Собственник вправе расторгнуть договор без применения к нему санкций.

6. Локализация и трансграничная передача

1. 6.1.Обработка персональных данных граждан Республики Узбекистан осуществляется с соблюдением требований к размещению технических средств, установленных законодательством Республики Узбекистан в действующей редакции.
2. 6.2.Трансграничная передача допускается только в государства, обеспечивающие адекватный уровень защиты персональных данных, по перечню, утверждённому постановлением Кабинета Министров Республики Узбекистан № 415, либо на ином законном основании.
3. 6.3.Обработка данных функциями искусственного интеллекта осуществляется на вычислительных мощностях, размещённых в европейских регионах, включённых в указанный перечень, с отключённым сохранением запросов у поставщика и без использования данных для обучения моделей.
4. 6.4.Оператор ведёт учёт трансграничных передач и предоставляет сведения о них Собственнику по запросу.

7. Контроль и отчётность

1. 7.1.Оператор предоставляет Собственнику по письменному запросу сведения, необходимые для подтверждения соблюдения настоящего договора, не чаще одного раза в календарный год, если иное не вызвано инцидентом или требованием государственного органа.
2. 7.2.Проверка проводится в согласованные сторонами сроки и в порядке, не нарушающем конфиденциальность данных других заказчиков Оператора.
3. 7.3.Расходы на проведение проверки, инициированной Собственником, несёт Собственник, за исключением случая, когда проверка выявила существенное нарушение со стороны Оператора.

8. Возврат и уничтожение данных

1. 8.1.При прекращении договора Собственник вправе в течение 30 календарных дней выгрузить персональные данные в машиночитаемом формате средствами сервиса.
2. 8.2.По истечении этого срока либо по письменному указанию Собственника Оператор уничтожает персональные данные, за исключением сведений, хранение которых прямо предписано законодательством.
3. 8.3.Уничтожение данных в резервных копиях производится по мере истечения срока хранения копий, не превышающего 30 календарных дней. До уничтожения такие данные не используются ни для каких целей, кроме восстановления после сбоя.
4. 8.4.По требованию Собственника Оператор подтверждает факт уничтожения письменно.

9. Ответственность

1. 9.1.Собственник отвечает за правомерность обработки: наличие согласия субъектов, полноту их информирования, достоверность и актуальность вносимых данных, соблюдение установленных им же сроков хранения.
2. 9.2.Оператор отвечает за соблюдение указаний Собственника и мер защиты, установленных разделом 4.
3. 9.3.Ограничение ответственности, предусмотренное пунктом 8.2 публичной оферты, не применяется к нарушениям Оператором обязанностей по настоящему договору.
4. 9.4.Сторона, по вине которой другая сторона понесла расходы в связи с претензией субъекта персональных данных или предписанием государственного органа, возмещает их в полном объёме.

10. Срок действия

Договор действует с момента акцепта публичной оферты и до полного прекращения обработки персональных данных гостей Оператором, включая период после расторжения оферты, необходимый для выгрузки и уничтожения данных.