Поручение на обработку персональных данных

Редакция 1.2 от 03.10.2026

Приложение 1 к Публичной оферте. Принимая оферту, Лицензиат (далее — Студия) как оператор персональных данных поручает Индивидуальный предприниматель Варлаков Роман Анатольевич (далее — Обработчик) обработку персональных данных в соответствии с ч. 3 ст. 6 Федерального закона № 152-ФЗ «О персональных данных» на условиях ниже.

1. Чьи данные и какие

1.1. Субъекты: клиенты Студии, её сотрудники (администраторы, тренеры), лица, приглашённые Студией.

1.2. Перечень данных:

ФИО, телефон, email, дата рождения, пол, фотография, идентификатор чата Telegram;
абонементы, продажи, оплаты, задолженности, возвраты, посещения, записи на занятия и аренду, заметки;
для сотрудников — роль, расписание работы, зарплатная схема, начисления и выплаты;
анкета клиента: рост, вес, возраст, цели, уровень активности, тип телосложения;
замеры тела: вес, процент жира, мышечная масса, вода, висцеральный жир, объёмы;
сведения о состоянии здоровья — противопоказания, травмы, медицинские заметки, давление, пульс (специальная категория, ст. 10 152-ФЗ) — только если Студия их вносит;
история изменений анкеты и замеров, сообщения уведомлений.

2. Цели

Ведение клиентской базы, расписания, учёта абонементов, посещений и оплат, расчёт зарплат, онлайн-запись, уведомления клиентов и сотрудников, поиск и аналитика по данным Студии (в том числе с помощью ИИ-функций), импорт и выгрузка данных — то есть предоставление Студии функций Сервиса по оферте.

3. Действия

Сбор (через CRM, публичную запись, бот и импорт), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление доступа) пользователям Студии и каналам уведомлений, подключённым Студией, просмотр и изменение в целях технической поддержки, обезличивание, блокирование, удаление, уничтожение — автоматизированно.

4. Обязанности Обработчика

обрабатывать данные только по поручению Студии и только для целей раздела 2; не использовать их в своих целях, кроме обезличенной статистики работы Сервиса;
соблюдать конфиденциальность и принципы обработки (ст. 5 152-ФЗ);
хранить данные в базах данных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ);
принимать меры защиты по ст. 19 152-ФЗ (раздел 7);
по запросу Студии в течение 10 рабочих дней предоставлять сведения и документы о выполнении поручения (ч. 3 ст. 6 152-ФЗ);
помогать Студии отвечать на запросы субъектов: передавать полученные напрямую обращения Студии в течение 3 рабочих дней, предоставлять выгрузку, обезличивать данные клиента;
уведомлять Студию о выявленном инциденте с персональными данными её субъектов не позднее 24 часов с момента выявления, сообщать о причинах и принятых мерах, чтобы Студия могла уведомить Роскомнадзор (ч. 3.1 ст. 21 152-ФЗ);
не привлекать других лиц к обработке, кроме перечисленных в разделе 8, без уведомления Студии.

5. Обязанности Студии

иметь законное основание для обработки данных своих клиентов и сотрудников, в том числе получать их согласия, а для сведений о здоровье — согласие в письменной форме (п. 1 ч. 2 ст. 10 152-ФЗ); вносить такие сведения только когда они нужны для оказания услуги;
сообщать субъектам, что их данные обрабатываются в сервисе «Релати» (можно ссылаться на Политику);
при необходимости направить в Роскомнадзор уведомление об обработке персональных данных (ст. 22 152-ФЗ);
управлять доступом своих сотрудников: выдавать роли по необходимости, отзывать доступ уволенным;
отвечать на запросы субъектов, исполнять требования об уточнении и уничтожении — для этого в CRM есть редактирование карточки, выгрузка и обезличивание клиента владельцем;
не загружать данные, собранные с нарушением закона, и не подключать каналы связи, не отвечающие требованиям закона.

6. Доступ службы поддержки

6.1. Студия поручает Обработчику просмотр и изменение персональных данных в целях технической поддержки: по обращению Студии или пользователя с указанием номера обращения либо описанием его сути; при сбое Сервиса или инциденте информационной безопасности; по требованию закона или уполномоченного государственного органа.

6.2. Доступ получают только уполномоченные работники Обработчика, принявшие обязательство о конфиденциальности, и только в объёме, необходимом для соответствующего основания.

6.3. Каждый вход журналируется с указанием работника Обработчика, пользователя, под аккаунтом которого выполнен вход, основания, времени начала и окончания доступа и совершённых изменяющих действий. Журнал хранится 12 месяцев, доступен Студии в разделе «Управление» → «Доступ поддержки» и предоставляется ей в виде выписки по письменному запросу.

6.4. Студия вправе отключить в настройках доступ по обращениям. В этом случае доступ допускается только для устранения сбоя или инцидента информационной безопасности. При отсутствии обращения Студии или пользователя доступ также допускается только для устранения сбоя или инцидента. О таком доступе Студия уведомляется в течение 24 часов.

6.5. При входе под аккаунтом пользователя работники Обработчика не вправе:

изменять пароль, способы входа, email или телефон пользователя;
удалять или обезличивать данные;
отправлять сообщения клиентам, включая рассылки, напоминания и уведомления;
проводить или возвращать оплаты и продажи;
выпускать API-токены.

Указанные действия допускаются только тогда, когда Студия прямо просит выполнить конкретное действие в обращении.

7. Меры защиты

Обработчик применяет следующие меры (ст. 19 152-ФЗ):

шифрование базы данных на диске (MySQL TDE: таблицы, журналы транзакций и бинарные журналы); ключ шифрования хранится отдельно от данных;
шифрование трафика (HTTPS, HSTS), резервных копий (AES-256) и канала к серверу ИИ-моделей (SSH);
изоляция данных разных студий и ролевая модель доступа (владелец, администратор, тренер, клиент); обезличивание данных клиента доступно только владельцу Студии;
хранение паролей, одноразовых кодов и токенов доступа только в виде хешей; cookie сессии с флагами HttpOnly и Secure; ограничение числа попыток ввода кода;
сетевой экран: снаружи доступны только веб-сервер и SSH; вход на сервер только по ключам; приложение подключается к базе под учётной записью без права менять структуру;
журналирование: история изменений анкеты и замеров клиента (кто и что изменил), журнал действий ИИ-ассистента, журнал запросов веб-сервера, журнал доступа службы поддержки;
ежедневное резервное копирование с хранением копии в другом месте и проверкой восстановления;
языковые модели и распознавание речи работают на собственном оборудовании Обработчика; данные Студии не передаются внешним ИИ-сервисам.

[УТОЧНИТЬ: локальные акты по ст. 18.1 152-ФЗ — приказ о назначении ответственного, положение об обработке ПДн, модель угроз, оценка вреда; уровень защищённости ИСПДн по ПП РФ № 1119 — для специальных категорий]

8. Привлекаемые лица

АО «Таймвэб» (Timeweb Cloud), Россия — размещение серверов, базы данных и объектного хранилища;
Telegram FZ-LLC (ОАЭ) — доставка уведомлений клиентам и сотрудникам, которые сами пользуются Telegram-ботом «Релати» (трансграничная передача на основании их согласия);
каналы связи, которые Студия подключает самостоятельно (например, WhatsApp через whapi.cloud), действуют по поручению и под ответственность Студии.

9. Срок и окончание

Если клиент самостоятельно удаляет аккаунт в «Релати», его персональные данные обезличиваются. В CRM Студии остаются учётные записи об абонементах, оплатах и посещениях без персональных данных, с пометкой «Удалённый пользователь».

Поручение действует, пока действует оферта. После её прекращения Студия может выгрузить данные в течение 30 дней; затем Обработчик уничтожает или обезличивает персональные данные Студии, кроме учётных записей людей, которые продолжают пользоваться «Релати» самостоятельно или в других студиях. Копии в резервных архивах удаляются при их плановой ротации. По запросу Студии Обработчик подтверждает уничтожение письменно.

10. Ответственность

Перед субъектами персональных данных за действия Обработчика отвечает Студия; Обработчик отвечает перед Студией (ч. 5 ст. 6 152-ФЗ) в пределах, установленных офертой.

Приложение. Образец согласия клиента студии на обработку сведений о здоровье

Студия может использовать этот образец, подписывая его с клиентом на бумаге или иным способом, обеспечивающим письменную форму.

Я, ____________ (ФИО), паспорт ____________, даю согласие ____________ (наименование студии, ИНН, адрес) на обработку сведений о состоянии моего здоровья (противопоказания, травмы, показатели давления и пульса, заметки тренера о самочувствии) и замеров тела в целях подбора безопасной программы тренировок. Обработка может проводиться с использованием сервиса «Релати» (ИП Варлаков Р. А., ИНН 550614771900) по поручению студии. Действия: сбор, запись, хранение, уточнение, использование, удаление. Согласие действует до окончания обслуживания или до отзыва письменным заявлением в студию. Дата ______ Подпись ______