Поручение обработки персональных данных внешнему обработчику и реестр обработчиков

Часть 1. Условия поручения обработки персональных данных (для включения в договор с исполнителем либо оформления отдельным приложением к нему)

Приложение № [номер] к договору от «[дата]» № [номер] между [полное наименование образовательной организации] (далее — Оператор) и [наименование исполнителя, адрес, ИНН/ОГРН] (далее — Обработчик)

УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПО ПОРУЧЕНИЮ ОПЕРАТОРА

0. Основание, по которому Оператор вправе поручить обработку указанному Обработчику (часть 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ): [реквизиты документа].
1. Оператор поручает Обработчику совершение следующих действий (операций) с персональными данными: [сведения — см. условие 1].
2. Перечень персональных данных, передаваемых для обработки: [сведения].
3. Категории субъектов персональных данных: [правовое основание].
4. Цель обработки: [конкретная цель, совпадающая с целью основного договора].
5. Обработчик обязан соблюдать конфиденциальность персональных данных и не раскрывать их третьим лицам без письменного согласия Оператора, за исключением случаев, предусмотренных федеральным законом.
6. Место хранения (серверов) обрабатываемых данных: [адрес/юрисдикция]. [сведения — см. условие 2].
7. Обработчик обязан выполнять требования части 5 статьи 18, статьи 18.1 и статьи 19 Федерального закона от 27.07.2006 № 152-ФЗ, соответствующие уровню защищённости, определённому Оператором [сведения — см. условие 3], обеспечивать безопасность персональных данных и по запросу Оператора, в том числе до начала обработки, предоставлять документы и информацию, подтверждающие принятые меры.
8. Обработчик обязан сообщить Оператору о ставшем ему известным факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, обрабатываемых по настоящему поручению, не позднее [срок или период], с описанием инцидента и предполагаемых причин.
9. Дополнительное условие Оператора (не входит в обязательный состав части 3 статьи 6 закона, включается школой для управления рисками): по завершении обработки, по достижении цели, при прекращении основного договора либо по требованию Оператора Обработчик обязан [сведения — см. условие 4] в срок не более [срок]. Состав документов, подтверждающих уничтожение, зависит от способа обработки Обработчиком (Требования, утверждённые приказом Роскомнадзора от 28.10.2022 № 179): если Обработчик обрабатывал персональные данные с использованием средств автоматизации (собственная информационная система, облачное хранение с автоматизированным доступом), Обработчик обязан представить Оператору ОБА документа — акт об уничтожении персональных данных по составу акта об уничтожении персональных данных и выгрузку из журнала регистрации событий этой информационной системы по составу документа «Форма выгрузки из журнала регистрации событий информационной системы (дополнение к акту об уничтожении при автоматизированной обработке)» настоящего комплекта — не позднее [срок, например: 10 рабочих дней] после уничтожения; одного акта недостаточно. Если Обработчик обрабатывал данные только на материальном носителе без автоматизации, достаточно акта об уничтожении. Оба документа или единственный применимый документ Оператор хранит не менее трёх лет с момента уничтожения персональных данных (пункт 8 тех же Требований).

[…] Полный текст документа доступен после оплаты.