# Договор обработки персональных данных

**Шаблон для заполнения и подписания. Само скачивание не заключает договор.**

Версия: 18.10.2026. Приложение к договору услуг № **[номер]** от **[дата]**. До передачи данных стороны заполняют приложения и проверяют, что перечисленные меры действительно применены. Договор предназначен для проектов Selge Data, Selge Site и Selge Care, в которых Исполнитель обрабатывает персональные данные по поручению Заказчика.

## 1. Стороны и роли

**Заказчик — оператор (controller):** [полное наименование, регистрационный код, адрес]. Представитель и контакт по защите данных: [имя, email, телефон].

**Исполнитель — обработчик (processor):** ASTERUS GRUPP OÜ, регистрационный код 10927175, Эстония. Адрес: [юридический адрес]. Контакт: srtepanov@gmail.com, +372 512 4990. Представитель: [имя и основание полномочий].

Если Заказчик сам является обработчиком, он подтверждает полномочие привлечь Исполнителя как субобработчика и передаёт необходимые инструкции конечного оператора. Стороны сохраняют свои обязанности по GDPR независимо от названия роли в основном договоре.

## 2. Предмет и инструкции

Исполнитель выполняет только операции, цели, категории данных и сроки из приложения 1 и последующих документированных инструкций уполномоченного представителя Заказчика. Инструкции можно фиксировать в подписанном документе или согласованной переписке, позволяющей установить отправителя, содержание и дату.

Исполнитель не использует персональные данные для собственного маркетинга, обучения общедоступных моделей или иной самостоятельной цели. При обязательном по закону раскрытии предварительно уведомляет Заказчика, если это не запрещено законом. Если инструкция, по мнению Исполнителя, нарушает применимое законодательство о защите данных, Исполнитель незамедлительно сообщает об этом и приостанавливает спорную операцию до выяснения обстоятельств.

Заказчик определяет законное основание, обеспечивает необходимые уведомления людям, правомерность источника данных и минимальный объём передаваемых сведений. Исполнитель не получает разрешения расширять цели обработки.

## 3. Конфиденциальность и доступ

Доступ получают только лица, которым он нужен для согласованной задачи и которые связаны обязательством конфиденциальности или соответствующей обязанностью по закону. Исполнитель ограничивает права по принципу необходимого минимума, фиксирует предоставление и отзыв доступа. Обязанность конфиденциальности сохраняется после завершения проекта.

Пароли не передаются в открытой переписке вместе с файлами. Для сайтов используются персональные приглашения и отдельные учётные записи, когда это поддерживает система; постоянная передача главного аккаунта клиента не является стандартным способом доступа.

## 4. Технические и организационные меры

До получения данных Исполнитель применяет меры приложения 2 с учётом риска, характера и объёма обработки. Меры регулярно проверяются; существенное снижение защиты без согласования недопустимо. При необходимости стороны письменно согласуют дополнительные меры, оценку воздействия (DPIA) и условия работы с чувствительными данными.

Сведения о здоровье, биометрии для идентификации, судимостях, детях и другие категории повышенного риска не входят в обычный объём этого шаблона. Их нельзя передавать до отдельной оценки, проверки правового основания и согласования мер.

## 5. Субобработчики и ИИ

Привлечение нового субобработчика допускается только после предварительного конкретного письменного разрешения Заказчика в приложении 3 или отдельном согласовании. До передачи данных Исполнитель заключает применимый договор с защитой не ниже требуемой ст. 28 GDPR. Исполнитель остаётся ответственным перед Заказчиком за выполнение обязанностей субобработчиком.

ChatGPT (OpenAI) и Claude (Anthropic) **не разрешены для клиентских персональных данных по умолчанию**. Для их включения приложение 3 должно содержать конкретный продукт и тариф, юридическое лицо провайдера, цель и категории данных, страны обработки, DPA, сроки хранения, настройки использования для обучения, механизм международной передачи и дополнительные меры. Выключение обучения или оплата подписки сами по себе не являются достаточным основанием.

Для разработки допустимы синтетические и действительно анонимные примеры, не позволяющие установить личность. Замена идентификаторов при наличии возможности обратного сопоставления является псевдонимизацией, а не освобождением от GDPR.

## 6. Международная передача

Персональные данные нельзя передавать или делать доступными за пределами ЕЭЗ без документированных инструкций Заказчика и соблюдения главы V GDPR. Применяются действующее решение об адекватности либо соответствующие гарантии, включая подходящие стандартные договорные положения, оценку передачи и дополнительные меры, когда они необходимы. Одного этого договора для международной передачи недостаточно.

## 7. Запросы людей и помощь Заказчику

Исполнитель без неоправданной задержки, по возможности не позднее 5 рабочих дней, сообщает Заказчику о запросе субъекта данных и передаёт его содержание безопасным способом. Самостоятельно отвечает по существу только по инструкции или требованию закона; вправе направить человека к Заказчику.

С учётом характера обработки и доступной информации Исполнитель помогает Заказчику обеспечивать права людей, безопасность, уведомления о нарушениях, DPIA и предварительные консультации с надзорным органом по ст. 32–36 GDPR. Объём и порядок помощи согласуются так, чтобы не нарушить обязательные сроки.

## 8. Нарушение безопасности

Узнав о нарушении безопасности персональных данных, Исполнитель уведомляет Заказчика без неоправданной задержки; согласованный предельный срок первичного уведомления — 24 часа с момента обнаружения. Не нужно ждать завершения расследования.

В первичном сообщении указываются известные факты, затронутые системы, категории и примерное количество записей и людей, время обнаружения, вероятные последствия, принятые меры и контакт ответственного. Неизвестные сведения дополняются по мере установления. Исполнитель сохраняет доказательства, ограничивает ущерб и документирует действия, не раскрывая лишних данных.

Обязанность решить вопрос об уведомлении AKI и людей остаётся у оператора: в частности, ст. 33 GDPR предусматривает срок 72 часа для уведомления органа, когда уведомление требуется; для сообщения людям применяется отдельный критерий высокого риска. Уведомление Исполнителя Заказчику не заменяет эти действия.

## 9. Возврат, удаление и окончание работ

По выбору Заказчика Исполнитель возвращает данные и удаляет оставшиеся копии либо удаляет их без возврата. По умолчанию рабочие копии удаляются не позднее 30 календарных дней после завершения проекта. Конкретная дата завершения и выбора фиксируется в приложении 1; при досрочном прекращении Заказчик даёт инструкции по возврату/удалению.

Срок относится также к временным файлам, выгрузкам, вложениям под контролем Исполнителя и согласованным резервным копиям. Если технически нельзя удалить отдельный объект из резервной копии, копия изолируется от обычного использования и уничтожается/перезаписывается в пределах того же согласованного срока; восстановление не должно возвращать удалённые данные в рабочую обработку.

Исключения допускаются при установленной законом обязанности хранения с фиксацией основания, объёма и срока, либо по новому правомерному письменному поручению до истечения срока. По запросу Исполнитель подтверждает удаление. Бухгалтерские документы хранятся отдельно в необходимом законном объёме; это не основание сохранять всю клиентскую базу.

## 10. Проверка и ответственность

Исполнитель предоставляет необходимую информацию для подтверждения выполнения ст. 28 GDPR и допускает соразмерные аудиты и инспекции Заказчика или его независимого аудитора с обязательством конфиденциальности. Плановые проверки согласуются заранее; при инциденте или запросе надзорного органа допускается ускоренный порядок. Защита данных других клиентов сохраняется. Условия стоимости и организации проверки не должны препятствовать обязательным правам контроля.

Стороны документируют нарушения и устраняют выявленные недостатки. Договор не ограничивает обязательные права субъектов, полномочия надзорных органов или ответственность, установленную законом. Применяется право Эстонии в пределах, допускаемых GDPR. При конфликте с основным договором по вопросам защиты данных применяются эти условия.

## Приложение 1. Описание обработки — заполнить до начала

| Поле | Согласованные сведения |
|---|---|
| Направление и конкретная задача | [Selge Data / Site / Care; что делаем] |
| Цель и разрешённые операции | [сбор из файлов, нормализация, очистка, расчёты, графики, обслуживание; лишнее исключить] |
| Категории людей | [клиенты / представители / сотрудники; уточнить] |
| Поля и категории данных | [точный перечень; не «все данные»] |
| Источник и законное основание Заказчика | [указать] |
| Системы и место обработки | [рабочий компьютер; иные системы перечислить] |
| Начало / окончание обработки | [даты или определимый момент] |
| Возврат либо удаление | [выбор; защищённый способ возврата; дата удаления, максимум 30 дней по умолчанию] |
| Канал передачи и уполномоченные контакты | [указать] |
| Дополнительные риски и ограничения | [указать, в т. ч. чувствительные категории, если отдельно согласованы] |

## Приложение 2. Меры — подтвердить фактическое выполнение

- Отдельная защищённая папка проекта, доступ только уполномоченным лицам; шифрование рабочего диска, блокировка экрана, актуальные обновления ОС и защита устройства.
- Уникальные пароли в менеджере; MFA для почты, хостинга и доступов клиента, где поддерживается; отзыв доступов в конце работы.
- Передача через согласованный защищённый канал; при использовании зашифрованного архива ключ передаётся другим каналом. Клиентские файлы не размещаются в публичном GitHub или общедоступной ссылке.
- Только минимальные данные; отдельные синтетические примеры для демонстраций и разработки; ручная проверка результата.
- Резервирование при необходимости согласовано: [место, шифрование, доступ, периодичность, проверка восстановления]. Резервные копии включены в правила удаления.
- Журнал выдачи доступов, инструкций, инцидентов и удаления; ежемесячная проверка истёкших сроков. Дата проверки и ответственный: [заполнить].
- ИИ не получает персональные данные без выполненного приложения 3. Запрет на сохранение секретов в запросах и истории чата.

**Незаполненный пункт означает требование к внедрению, а не подтверждение, что мера уже действует.**

## Приложение 3. Разрешённые субобработчики

По умолчанию список для клиентских персональных данных пуст. Провайдер публичного сайта SELGE не становится автоматически разрешённым получателем файлов клиента.

| Провайдер, продукт/тариф и юридическое лицо | Операции и категории данных | Страны и механизм передачи | DPA, хранение и меры | Письменное разрешение Заказчика, дата |
|---|---|---|---|---|
| [заполнить при необходимости] | | | | |

## Подписи

Заказчик: [имя, должность, дата, подпись].

ASTERUS GRUPP OÜ: [имя, должность, дата, подпись].

### Официальная основа

[GDPR, в частности ст. 28, 32–36 и глава V](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng); [EDPB о ролях и договоре](https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_en); [официальные типовые условия ЕС 2021/915 для отношений controller–processor](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32021D0915). Этот самостоятельно составленный шаблон не является дословной копией официальных SCC и сам по себе не служит механизмом международной передачи.