Документы

Поручение на обработку персональных данных

Редакция от 15 августа 2026 г. · Действует с момента публикации

1. Общие положения

1.1. Настоящее Поручение на обработку персональных данных (далее — «Поручение») заключается между Компанией, использующей сервис OliFlow (далее — «Компания», «Оператор»), и Администрацией Сервиса — гражданином Российской Федерации Подобед Сергей Александрович, ИНН 772590737722 (далее — «Администрация», «Обработчик»), — в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1.2. Поручение является неотъемлемой частью Пользовательского соглашения. Акцептом Поручения признаётся начало использования Сервиса Компанией (в том числе проставление отметки о согласии при первом входе Администратора Компании).

2. Роли сторон

2.1. Компания является оператором персональных данных своих сотрудников: она определяет цели и состав данных, вносимых в Сервис.

2.2. Администрация является лицом, осуществляющим обработку персональных данных по поручению оператора, и обрабатывает данные исключительно в целях и объёме, определённых настоящим Поручением.

3. Предмет Поручения

3.1. Компания поручает Администрации обработку персональных данных своих сотрудников исключительно в целях предоставления Компании функциональности Сервиса: управление задачами и проектами, целями (OKR), базой знаний, обучением и командой.

3.2. Администрация не вправе использовать переданные данные в собственных целях, объединять их с данными других Компаний или передавать третьим лицам, за исключением случаев, прямо предусмотренных Поручением или законодательством.

4. Состав персональных данных

4.1. Обработке по Поручению подлежат данные сотрудников Компании:

• фамилия, имя, отчество;
• должность, подразделение, руководитель;
• адрес электронной почты (если указан);
• сведения о компетенциях, назначенных курсах и результатах обучения, участии в опросах и оценках;
• рабочий контент, связанный с сотрудником: задачи, цели, комментарии, документы.

4.2. Компания обязуется не вносить в Сервис специальные категории персональных данных (статья 10 Закона № 152-ФЗ), биометрические данные (статья 11 Закона № 152-ФЗ), а также данные, избыточные по отношению к целям обработки (п. 3.1).

5. Перечень действий с данными

5.1. Администрация совершает с персональными данными следующие действия с использованием средств автоматизации: сбор (через интерфейс Сервиса), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение.

6. Обязанности Обработчика

6.1. Администрация обязуется:

• соблюдать конфиденциальность персональных данных;
• обеспечивать безопасность данных в соответствии со статьёй 19 Закона № 152-ФЗ: защищённое соединение (HTTPS/TLS), хранение паролей в виде bcrypt-хешей, разграничение прав доступа, изоляция данных Компаний, ежедневное резервное копирование, ограниченный доступ к серверной инфраструктуре;
• хранить и обрабатывать данные только на серверах на территории Российской Федерации, не осуществлять трансграничную передачу;
• не привлекать иных субобработчиков, кроме указанных в разделе 8, без предварительного уведомления Компании;
• содействовать Компании в исполнении запросов субъектов персональных данных;
• по требованию Компании предоставлять сведения о принимаемых мерах защиты;
• прекратить обработку и уничтожить данные в порядке, установленном разделом 10.

7. Обязанности Компании

7.1. Компания обязуется:

• обеспечить законное основание обработки данных своих сотрудников (согласие либо иное основание, предусмотренное статьёй 6 Закона № 152-ФЗ) до внесения данных в Сервис;
• вносить только достоверные данные и поддерживать их актуальность;
• исполнять обязанности оператора, предусмотренные Законом № 152-ФЗ, включая при необходимости уведомление Роскомнадзора об обработке персональных данных;
• соблюдать ограничения по составу данных (п. 4.2);
• самостоятельно отвечать на запросы своих сотрудников как субъектов персональных данных.

8. Субобработчики

8.1. Для работы Сервиса привлекается хостинг-провайдер (аренда серверных мощностей на территории Российской Федерации). Администрация обязует такое привлекаемое лицо соблюдать конфиденциальность персональных данных и требования Федерального закона № 152-ФЗ.

8.2. Для работы функций Сервиса на основе искусственного интеллекта привлекаются поставщики ИИ-сервисов: GigaChat, YandexGPT, Cloud.ru. Все они — российские; обработка запросов происходит на территории Российской Федерации, трансграничная передача не осуществляется, иностранные модели не применяются. Условия обработки:

• обращение к модели происходит только по явному действию Пользователя Компании; фоновой обработки данных моделями Сервис не ведёт;
• передаётся фрагмент данных, необходимый для запрошенной функции, и только в пределах прав доступа вызвавшего Пользователя;
• данные опросов и оценок передаются обезличенно и только при достижении порога анонимности соответствующего инструмента;
• служебный журнал обращений хранит метаданные вызова (дата, инициатор, вид функции, поставщик, объём) и не хранит содержание запросов и ответов.

8.3. Для сбора обезличенной статистики использования веб-приложения привлекается ООО «Яндекс» (Российская Федерация, сервис Яндекс.Метрика). Обработка происходит на территории Российской Федерации. Условия обработки:

• передаются данные об использовании интерфейса: открытые разделы, переходы, клики, прокрутка, длительность работы, а также код Компании;
• содержимое экранов и полей ввода не передаётся: запись действий ведётся с запретом записи содержимого страниц, поэтому данные Компании — задачи, оценки, документы, имена Пользователей — в систему аналитики не попадают;
• идентификаторы Пользователей (имя, логин, адрес электронной почты, id) не передаются;
• Компания вправе отказаться от аналитики в веб-приложении: по её запросу счётчик не загружается, и запросы к сервису аналитики от её Пользователей не отправляются.

8.4. О привлечении новых субобработчиков Администрация уведомляет Компании не менее чем за 14 (четырнадцать) календарных дней. При несогласии Компания вправе прекратить использование Сервиса с удалением данных по разделу 10.

9. Инциденты безопасности

9.1. При выявлении неправомерной передачи (предоставления, распространения, доступа) персональных данных Администрация уведомляет Компанию без необоснованной задержки, но не позднее 24 (двадцати четырёх) часов с момента выявления.

9.2. Администрация содействует Компании в исполнении её обязанностей по уведомлению Роскомнадзора об инциденте в сроки, установленные частью 3.1 статьи 21 Закона № 152-ФЗ.

10. Срок действия и удаление данных

10.1. Поручение действует в течение всего периода использования Сервиса Компанией.

10.2. При прекращении использования Сервиса Администрация по запросу Компании предоставляет экспорт её данных, после чего удаляет данные Компании из рабочей базы; из резервных копий данные удаляются не позднее 14 (четырнадцати) дней в порядке плановой ротации.

11. Ответственность

11.1. Ответственность перед субъектами персональных данных несёт Компания как оператор. Администрация отвечает перед Компанией за соблюдение условий настоящего Поручения.

11.2. Ограничение ответственности Администрации определяется разделом 14 Пользовательского соглашения.

12. Контакты

По вопросам исполнения Поручения: support@oliflow.ru.

Администрация Сервиса: гражданин Российской Федерации Подобед Сергей Александрович, ИНН 772590737722.