Приложение: поручение салона на обработку персональных данных

Редакция: 2026-08-10.1 Приложение к договору на предоставление доступа к OQNO

1. Стороны и роли

Заказчик по основному договору является оператором персональных данных своих клиентов, представителей и работников, цели обработки которых он определяет.

Индивидуальный предприниматель ИОФФЕ МАРК АЛЕКСАНДРОВИЧ, ИНН 332914927825, ОГРНИП 326330000053277 (далее, Обработчик), обрабатывает переданные или доступные через интеграцию данные по поручению Заказчика и только для исполнения договора.

Для данных аккаунта, платежей, поддержки и собственной безопасности OQNO остаётся самостоятельным оператором согласно публичной Политике.

2. Субъекты и данные

Поручение может охватывать:

• клиентов и потенциальных клиентов салона;
• работников, мастеров и представителей салона;
• пользователей подключённых салону каналов связи.

Перечень данных ограничивается именем или клиентской меткой, телефоном и email при наличии основания, идентификаторами CRM и мессенджера, username, текстом и временем сообщения, вложением в разрешённом формате, сведениями об услуге, мастере, филиале, свободном времени, записи и посещении, предпочтениями, сроком актуальности, статусом согласия, запретом на связь, действиями администратора и результатом обращения.

Данные о здоровье, биометрические данные, сведения о несовершеннолетних без участия законного представителя и иные специальные категории в поручение не входят. Их обработка возможна только по отдельному письменному приложению с указанием основания и дополнительных мер.

3. Цели

• принять и маршрутизировать обращение клиента;
• определить услугу, мастера, дату и предпочтения;
• прочитать разрешённые сведения CRM и доступные окна;
• подготовить проект ответа и передать его клиенту или администратору по

установленному режиму;

• вести SmartList и предложить освободившееся окно при наличии основания;
• зафиксировать действия, согласие, отказ, доставку и результат;
• обеспечить поддержку, безопасность, восстановление и аудит;
• сформировать отчёт Заказчику по его данным.

Реклама, реактивация старых клиентов, автоматический звонок и новая CRM-запись не входят в поручение, пока стороны не утвердят отдельные инструкции, канал, согласия и техническую готовность.

4. Операции

Обработчику поручаются сбор через подключённый канал, получение из CRM, запись, систематизация, накопление, хранение, уточнение, извлечение, сопоставление, использование, предоставление доступа уполномоченным пользователям, передача согласованному обработчику, обезличивание, блокирование, удаление и уничтожение.

Обработка автоматизированная, с участием человека в случаях, предусмотренных правилами салона, ограничениями OQNO или законом.

5. Инструкции Заказчика

Инструкциями считаются основной договор, это приложение, настройки салона, подтверждённые роли, включённые функции и письменные обращения уполномоченного лица. Устная просьба, сообщение от неизвестного аккаунта или настройка, противоречащая закону, инструкцией не считается.

Если инструкция, по мнению Обработчика, нарушает закон или создаёт угрозу, Обработчик приостанавливает её исполнение и сообщает Заказчику достаточную для решения причину.

6. Обязанности Заказчика

Заказчик:

• определяет законные цели и основания обработки;
• информирует субъектов и получает необходимые согласия;
• доказывает предварительное согласие на рекламу и соблюдает отказ;
• передаёт только необходимые и достоверные данные;
• назначает пользователей и своевременно отзывает доступ;
• отвечает на запросы субъектов и даёт Обработчику инструкции;
• не требует ставить диагноз, принимать медицинское решение или обходить

ограничение внешнего поставщика;

• сообщает о споре, отзыве или незаконно полученных данных без задержки.

7. Обязанности Обработчика

Обработчик:

• соблюдает цели, операции и документированные инструкции;
• обеспечивает конфиденциальность и доступ по рабочей необходимости;
• выполняет требования локализации и применимые меры защиты;
• предоставляет по запросу документы, подтверждающие принятые меры;
• ведёт журнал значимых операций и административного доступа;
• помогает с запросами субъектов, проверками и оценкой инцидента;
• не продаёт данные и не использует их для собственной рекламы;
• не обучает собственные или сторонние модели на сырых диалогах Заказчика;
• удаляет, возвращает или обезличивает данные после окончания поручения.

8. Обработчики следующего уровня

Заказчик даёт общее разрешение на привлечение лиц из перечня https://oqno.tech/legal/subprocessors. Обработчик сообщает о новом лице или существенном изменении не позднее чем за десять рабочих дней до начала передачи, кроме срочной замены для устранения угрозы.

Заказчик вправе направить мотивированное возражение, связанное с защитой данных. Стороны ищут безопасную замену, ограничивают функцию либо прекращают затронутую часть договора. С каждым привлечённым обработчиком закрепляются обязанности по защите не слабее применимых условий этого поручения.

9. Локализация и иностранные получатели

Первичная обработка данных граждан РФ выполняется в российском контуре в объёме, требуемом законом. Иностранная передача допускается после письменной оценки, выполнения уведомительной процедуры и включения получателя в опубликованный перечень.

Если законное основание или уведомление отсутствует, функция, требующая такой передачи, остаётся выключенной. Согласие Заказчика с перечнем обработчиков не заменяет согласие субъекта или уведомление государственного органа, когда они требуются.

10. Безопасность

Обработчик применяет разграничение по салонам и ролям, защищённую передачу, серверное хранение секретов, шифрование интеграционных реквизитов, журнал административных действий, контроль повторных операций, резервное копирование после утверждения контура и регулярную проверку доступа.

Доступ к клиентским данным не предоставляется разработчикам и поддержке по умолчанию. Временный административный доступ требует рабочей причины, минимального объёма и записи в журнале.

11. Инциденты

Обработчик сообщает Заказчику о подтверждённой или обоснованно предполагаемой неправомерной или случайной передаче, доступе, изменении, утрате или уничтожении данных без неоправданной задержки, но не позднее 12 часов после выявления.

Первичное сообщение содержит известный характер инцидента, категории данных и субъектов, предполагаемые последствия, принятые меры, контакт ответственного и неопределённости. Обновление по расследованию направляется не позднее 48 часов после первичного сообщения либо раньше по запросу, чтобы Заказчик мог соблюсти сроки уведомления Роскомнадзора.

Обработчик сохраняет доказательства и не уведомляет клиента от имени Заказчика, если закон прямо не требует иного или Заказчик не дал письменную инструкцию.

12. Запросы субъектов и государственных органов

Если обращение поступило Обработчику, он регистрирует его и передаёт Заказчику в течение двух рабочих дней. По проверенной инструкции Обработчик выполняет поиск, выгрузку, исправление, ограничение или удаление в доступной части системы и предоставляет подтверждение.

Запрос государственного органа передаётся Заказчику, если закон не запрещает сообщать о нём. Обработчик раскрывает только требуемый объём.

13. Проверка выполнения

Не чаще одного раза в год, а также после существенного инцидента Заказчик может запросить актуальные политики, описание мер, результаты допустимых проверок и подтверждение удаления. Проверка не должна раскрывать данные других заказчиков, ключи, уязвимости или коммерческую тайну третьих лиц.

Очная или техническая проверка проводится по отдельному плану, с разумным сроком уведомления и за счёт Заказчика, если она не вызвана подтверждённым нарушением Обработчика.

14. Срок и удаление

Поручение действует в течение основного договора и до завершения возврата или удаления данных. После прекращения договора рабочие копии удаляются, возвращаются или обезличиваются в течение 30 календарных дней. Резервные копии изолируются от обычного использования и удаляются по циклу не позднее 90 календарных дней.

Данные могут сохраняться в обязательном объёме, если закон требует большего срока. В этом случае они блокируются для иных целей. По завершении Обработчик предоставляет акт или системное подтверждение уничтожения.

15. Ответственность

Заказчик отвечает перед субъектом за определение целей, законность источника, информирование и наличие основания. Обработчик отвечает перед Заказчиком за соблюдение поручения и требований к защите. Распределение ответственности не ограничивает права субъекта и полномочия государственного органа.

16. Контакты

Обработчик: ИП ИОФФЕ МАРК АЛЕКСАНДРОВИЧ ИНН: 332914927825 ОГРНИП: 326330000053277 Адрес: 601280, Владимирская область, Суздальский район, деревня Багриново, улица Партнеров, дом 3 Контакт по персональным данным: support@oqno.tech