Поручение на обработку персональных данных

(ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»)

Версия: poruchenie-v1.0.3-2026-11-01

Редакция от 1 ноября 2026 г. Опубликовано: https://prokatapp.ru/poruchenie/

Действует с момента публикации (01.11.2026). Заменяет редакцию poruchenie-v1.0.2-2026-11-01. Изменения: добавлены условия обработки при использовании функции «Проверить по базам» (п. 2.3, 3 «ж», 4.1, 4.3, 5.2 «е», 5.4, 6.11, 7.8, 8.7, 9.5). Для Операторов, которые не включают эту функцию, условия Поручения не меняются.

Настоящее Поручение является неотъемлемой частью договора на предоставление доступа к сервису PROкат, заключённого путём акцепта Публичной оферты (https://prokatapp.ru/oferta/, редакция от 01.11.2026, далее — Оферта), и принимается отдельной отметкой при регистрации кабинета.

1. Стороны и термины

1.1. Оператор — Заказчик по Оферте (индивидуальный предприниматель, юридическое лицо или плательщик НПД), владелец кабинета в сервисе PROкат, который сам определяет цели обработки персональных данных своих клиентов и является их оператором.

1.2. Обработчик — плательщик налога на профессиональный доход (самозанятый): ФИО и ИНН, сайт https://prokatapp.ru, Исполнитель по Оферте, предоставляющий доступ к сервису PROкат (далее — Сервис).

1.3. Субъекты — физические лица, с которыми Оператор заключает или намерен заключить договоры проката (аренды), их представители, а также контактные лица, указанные в договоре (далее — Клиенты Оператора).

1.4. Обработчик не является стороной договоров проката (аренды) между Оператором и Клиентами Оператора и не определяет цели обработки их персональных данных.

1.5. Термины «персональные данные», «обработка», «оператор» и иные используются в значении ст. 3 152-ФЗ.

2. Предмет

2.1. Оператор поручает, а Обработчик осуществляет обработку персональных данных Клиентов Оператора исключительно в объёме, необходимом для работы Сервиса, на условиях настоящего Поручения.

2.2. Согласие Клиентов Оператора на обработку, если оно требуется, получает Оператор. Обработчик согласия Клиентов не получает (ч. 4 ст. 6 152-ФЗ). Ответственность перед Клиентами за действия Обработчика несёт Оператор; Обработчик отвечает перед Оператором (ч. 5 ст. 6 152-ФЗ).

2.3. Поручение возмездно: его исполнение входит в стоимость доступа к Сервису по Оферте; отдельная плата за обработку персональных данных не взимается. Плата за функцию «Проверить по базам» (раздел 3 «ж») — это плата за использование функции Сервиса по тарифам Оферты, а не плата за предоставление сведений о Субъекте.

3. Цели обработки

Обработчик обрабатывает персональные данные Клиентов Оператора только для следующих целей Оператора:

а) ведение в Сервисе учёта бронирований, выдачи и возврата имущества, платежей и залогов по договорам Оператора;

б) формирование, хранение и предоставление Оператору и Клиенту текстов договоров, актов, листов подписания;

в) обеспечение подписания документов простой электронной подписью: отправка одноразовых кодов, проверка кода, фиксация событий подписания;

г) отправка Клиентам по команде Оператора сервисных сообщений (код подписи, ссылка на договор, напоминание о сроке и возврате);

д) резервное копирование и восстановление данных кабинета Оператора;

е) выгрузка данных Оператору по его запросу, удаление данных по его указанию;

ж) проверка благонадёжности и статуса стороны договора проката (аренды) перед выдачей ей имущества — функция «Проверить по базам»: проверка действительности паспорта, наличия исполнительных производств, сведений о розыске (ФСИН России, МВД России) и сведений о банкротстве физического лица. Проверка выполняется только по указанию Оператора (запуск функции в кабинете по конкретному Клиенту) и только в отношении Клиента, который является стороной заключаемого или заключённого с Оператором договора; результат показывается только в кабинете Оператора.

4. Перечень персональных данных

4.1. Состав определяется полями, которые Оператор заполняет в Сервисе, в пределах:

— фамилия, имя, отчество; дата рождения (если Оператор её вносит);

— паспортные данные: серия, номер, кем и когда выдан, код подразделения; адрес регистрации; адрес использования имущества или доставки;

— номер телефона; иные контакты, указанные Оператором;

— изображения страниц паспорта и иные фото (только если Оператор их загружает и получил на это согласие Клиента);

— изображение подписи, выполненной на экране;

— сведения о договорах, бронированиях, выданном имуществе, платежах, залогах, задолженности, пенях;

— данные подписания: телефон, хэш одноразового кода (сам код не хранится), время отправки и ввода кода, идентификатор и статус сообщения у провайдера, канал доставки (SMS или Telegram), IP-адрес, сведения о браузере/устройстве (User-Agent), хэши документов;

— журнал SMS и сообщений, отправленных Клиенту из Сервиса;

— результаты проверок по функции «Проверить по базам» (раздел 3 «ж»): действителен ли паспорт (да/нет или статус); есть или нет исполнительные производства (при наличии — сведения о них в объёме, необходимом для показа Оператору); есть ли сведения о розыске (ФСИН России, МВД России); есть ли сведения о банкротстве физического лица; дата, время и инициатор проверки.

4.2. Специальные категории (ст. 10 152-ФЗ) и биометрические персональные данные (ст. 11 152-ФЗ) по Поручению не обрабатываются. Фото паспорта и изображение подписи не используются для установления личности по биометрическим признакам. Оператор не вносит в Сервис такие данные.

4.3. По результатам проверок (раздел 3 «ж») Обработчик хранит только итог, нужный для показа Оператору (статусы да/нет и краткие сведения), и не сохраняет полные ответы внешнего сервиса («сырые» массивы данных) сверх этого объёма; технические журналы запросов не содержат паспортных данных в открытом виде. Сведения о судимости и иные специальные категории персональных данных функция не запрашивает и не обрабатывает.

5. Перечень действий (операций)

5.1. Сбор (приём данных, вносимых Оператором и Клиентом через Сервис), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) — только в случаях п. 5.2, блокирование, удаление, уничтожение.

5.2. Передача допускается только:

а) SMS-шлюзу ООО «СМС Аэро» (smsaero.ru): номер телефона и текст сообщения — для отправки кода подписи, ссылки на договор и сервисных сообщений; при выборе канала Telegram — номер телефона и код передаются через SMS Aero для доставки в Telegram; канал Telegram используется, только если его выбрал Оператор; данные при этом проходят через Telegram (иностранное лицо, инфраструктура за пределами РФ), что может быть трансграничной передачей (ст. 12 152-ФЗ) — решение об использовании канала и об уведомлении Роскомнадзора по ч. 3 ст. 12 принимает Оператор; без этого канала используется SMS;

б) через приложение-шлюз на телефоне Оператора или партнёрский телефон-шлюз («PROкат хаб»), если Оператор выбрал такой канал отправки SMS;

в) хостинг-провайдеру, на серверах которого размещён Сервис (центр обработки данных на территории РФ);

г) самому Оператору и Клиенту (договор и лист подписания по ссылке);

д) государственным органам и суду — только по указанию Оператора или по прямому требованию закона с уведомлением Оператора, если это не запрещено законом;

е) сервису API КЛИК (https://apiclick.ru; ИП Николаев А.А., ИНН 772746785259, ОГРНИП 321774600051550) — только при запуске Оператором функции «Проверить по базам» и только для выполнения проверки по указанию Оператора (раздел 3 «ж»): фамилия, имя, отчество, дата рождения, паспортные данные (серия, номер, при необходимости дата выдачи) — в объёме, который требует запрос соответствующей проверки (проверка паспорта, исполнительных производств ФССП России, розыска ФСИН России и МВД России, банкротства физического лица). Запросы направляет сервер Сервиса; ключ доступа к API КЛИК хранится только на сервере Сервиса и Оператору не передаётся; Оператор получает только результат проверки в своём кабинете.

5.3. Способ обработки — смешанный, с использованием средств автоматизации.

5.4. Привлечение иных лиц к обработке (субпоручение) — только с указанными в п. 5.2 лицами. Лицо по п. 5.2 «е» привлекается только в отношении данных тех Клиентов, по которым Оператор сам запустил проверку; если Оператор функцию не использует, данные этому лицу не передаются. О новом лице Обработчик уведомляет Оператора не позднее чем за 14 дней через кабинет или email; Оператор вправе отказаться от Оферты в этот срок.

6. Обязанности обработчика

Обработчик обязан:

6.1. Соблюдать принципы и правила обработки, предусмотренные 152-ФЗ, обрабатывать данные только в целях раздела 3 и только по указаниям Оператора, выраженным в настройках и действиях в Сервисе.

6.2. Соблюдать конфиденциальность персональных данных: не раскрывать и не распространять их без согласия Субъекта, если иное не предусмотрено федеральным законом (ст. 7 152-ФЗ).

6.3. Не использовать персональные данные Клиентов Оператора в собственных целях, в том числе для рекламы, рассылок, аналитики, продажи, составления баз, обучения моделей, проверки клиентов для третьих лиц; не объединять данные разных кабинетов.

6.4. Обеспечивать безопасность персональных данных при обработке и принимать меры, предусмотренные ст. 19 152-ФЗ, не ниже указанных в разделе 7.

6.5. Выполнять требования ч. 5 ст. 18 152-ФЗ (в ред. Федерального закона от 28.02.2025 № 23-ФЗ): не допускать записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения персональных данных граждан РФ с использованием баз данных, находящихся за пределами РФ; эти действия вести только с использованием баз данных на территории РФ.

6.6. Соблюдать требования ст. 18.1 152-ФЗ: принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами, при обработке по настоящему Поручению.

6.7. По запросу Оператора в течение срока действия Поручения, в том числе до начала обработки, в течение 10 рабочих дней предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных ст. 6 152-ФЗ для исполнения Поручения.

6.8. Уведомлять Оператора о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав Субъектов (ч. 3.1 ст. 21 152-ФЗ), — немедленно, не позднее 12 часов с момента выявления (выбор сторон: чтобы Оператор успел уведомить Роскомнадзор в течение 24 часов), с указанием известных причин, объёма данных и принятых мер; затем — результаты внутреннего расследования не позднее чем через 48 часов после первого уведомления.

6.9. Содействовать Оператору в ответах на запросы Субъектов и Роскомнадзора: по запросу Оператора в течение 3 рабочих дней предоставлять выгрузку, уточнять, блокировать или уничтожать данные конкретного Субъекта (технически Оператор может делать это и сам в Сервисе). Обращение Субъекта, поступившее Обработчику напрямую, Обработчик в течение 2 рабочих дней пересылает Оператору и не отвечает Субъекту по существу без указания Оператора.

6.10. Допускать к данным только себя и лиц, которым доступ необходим для исполнения Поручения и которые обязаны соблюдать конфиденциальность. Каждый вход в кабинет из админки Обработчика (поддержка) фиксируется в Истории кабинета.

6.11. По функции «Проверить по базам»: направлять запрос только по Клиенту, выбранному Оператором, и только после команды Оператора; не запускать проверки по своей инициативе; не использовать результаты проверок в собственных целях, не формировать из них общую базу, не показывать результаты другим кабинетам; фиксировать каждую проверку (дата, время, пользователь кабинета, вид проверки) в Истории кабинета.

7. Требования к защите персональных данных (ст. 19 152-фз; минимальный перечень)

Обработчик обязан обеспечивать безопасность персональных данных при их обработке и защищать их от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий (ч. 1 ст. 19 152-ФЗ), в том числе:

7.1. Передача данных только по защищённому соединению (HTTPS/TLS); доступ к API кабинета — по токену или сессии кабинета; ограничение числа попыток входа и блокировка по IP.

7.2. Отдельная база данных и отдельные учётные данные для каждого кабинета; доступ администратора — по логину и паролю, с журналом действий.

7.3. Одноразовые коды подписи хранятся только в виде хэша с солью; ссылки на документы — случайные, не индексируются.

7.4. Ежедневное резервное копирование на серверах в РФ с ограниченным сроком хранения копий (не более 14 копий).

7.5. Журналирование событий подписания, изменений бронирований и входов в кабинет.

7.6. Своевременная установка обновлений безопасности ПО серверов; хранение ключей и паролей доступа отдельно от данных, с ограниченными правами.

7.7. Оценка эффективности мер и учёт машинных носителей — в объёме, разумном для масштаба Сервиса. Уровень защищённости персональных данных при их обработке в информационной системе (постановление Правительства РФ от 01.11.2012 № 1119) определяет Оператор с учётом сведений, предоставленных Обработчиком.

7.8. Ключ доступа к API КЛИК хранится только на сервере Сервиса, отдельно от данных кабинетов, и не передаётся в браузер, приложения или Оператору; запросы к API КЛИК — только по защищённому соединению (HTTPS/TLS).

8. Обязанности оператора

8.1. Иметь законные основания для обработки и для поручения обработки Обработчику (ч. 3 ст. 6 152-ФЗ) и, если требуется, получать согласия Клиентов, в том числе на поручение обработки Обработчику, в том числе отдельные согласия на фото паспорта, изображение подписи и рекламные сообщения (шаблоны есть в Сервисе).

8.2. Опубликовать или иным образом обеспечить доступ Клиентов к своей политике обработки персональных данных и сообщать в ней о привлечении Обработчика.

8.3. Вносить в Сервис только данные, необходимые для заключения и исполнения договоров; не вносить специальные категории и биометрию.

8.4. Самостоятельно направлять в Роскомнадзор уведомление об обработке (ст. 22 152-ФЗ), если оно ему требуется, и уведомления по ч. 3.1 ст. 21 152-ФЗ.

8.5. Не направлять через Сервис рекламные сообщения без согласия получателя.

8.6. Хранить в тайне свои пароли и токены доступа; сообщать Обработчику о подозрении на их компрометацию.

8.7. Запускать функцию «Проверить по базам» только в отношении лица, которое является стороной заключаемого или заключённого с Оператором договора проката (аренды), и только на законном основании — для заключения и исполнения договора, в том числе на преддоговорной стадии (п. 5 ч. 1 ст. 6 152-ФЗ), или с согласием Клиента, если оно требуется; сообщать Клиенту о проверке (например, в договоре, политике Оператора или согласии). Запрещается проверять лиц, не связанных с договором (произвольный «пробив»), передавать результаты проверок третьим лицам и использовать их иначе как для решения о заключении договора и выдаче имущества. Решение о заключении договора и выдаче имущества принимает Оператор; результат проверки носит справочный характер. Ответственность за законность запуска проверки несёт Оператор (п. 10.3).

9. Сроки, возврат и уничтожение

9.1. Сроки хранения конкретных данных устанавливает Оператор (в том числе настройками автоудаления в Сервисе). По умолчанию в Сервисе: фото паспорта автоматически удаляется через 90 дней; прочие данные хранятся, пока действует Оферта или пока Оператор их не удалит.

9.2. При прекращении Оферты (расторжении, отказе) Обработчик:

а) в течение 14 дней со дня прекращения по запросу Оператора передаёт ему выгрузку данных кабинета (договоры, листы подписания, клиенты, брони, платежи) в машиночитаемом формате и PDF;

б) не позднее 30 дней со дня прекращения уничтожает персональные данные Клиентов Оператора в базе кабинета, а резервные копии — по истечении цикла их хранения, но не позднее 45 дней со дня прекращения;

в) по запросу Оператора выдаёт акт (уведомление) об уничтожении с перечнем уничтоженного и датой.

9.3. Если данные нужно хранить дольше в силу закона или для защиты прав Обработчика по Оферте (например, сведения о списаниях за подписанные договоры), Обработчик хранит только номер договора, дату подписания и сумму списания, без персональных данных Клиентов.

9.4. При отзыве Клиентом согласия или требовании об уничтожении решение принимает Оператор; Обработчик исполняет указание Оператора в сроки, позволяющие Оператору соблюсти ст. 21 152-ФЗ, но не позднее 3 рабочих дней с его получения.

9.5. Результаты проверок по разделу 3 «ж» хранятся в карточке Клиента, пока Оператор их не удалит или не удалит карточку Клиента, и уничтожаются вместе с данными кабинета по п. 9.2.

10. Ответственность

10.1. Обработчик отвечает перед Оператором за нарушение настоящего Поручения и 152-ФЗ при обработке по Поручению (ч. 5 ст. 6 152-ФЗ). Обработчик возмещает Оператору документально подтверждённый реальный ущерб, возникший по вине Обработчика, в том числе суммы, взысканные с Оператора по вине Обработчика.

10.2. Ограничение ответственности по п. 8 Оферты не применяется к умышленному нарушению Обработчиком конфиденциальности и запрета п. 6.3.

10.3. Обработчик не отвечает за последствия действий самого Оператора, его работников и лиц, получивших доступ с использованием его паролей и токенов, а также за законность оснований обработки, которые обеспечивает Оператор.

11. Срок действия

11.1. Поручение действует с момента его принятия Оператором (отметка при регистрации) и до прекращения Оферты, а в части раздела 9 и обязанности конфиденциальности — до полного исполнения обязательств по уничтожению данных.

11.2. Новая редакция Поручения публикуется не позднее чем за 14 дней до вступления в силу; продолжение использования Сервиса после этой даты означает её принятие, Оператор вправе в этот срок отказаться от Оферты.

12. Прочее

12.1. Уведомления — через кабинет Оператора и по email, указанным при регистрации; для Обработчика — показать email, Telegram — там же.

12.2. Принятие отметкой в форме регистрации с фиксацией версии, времени, IP-адреса и User-Agent признаётся сторонами заключением Поручения в электронной форме.

12.3. Применимое право — право РФ. Споры — по разделу 9 Оферты.

Обработчик: плательщик НПД (самозанятый): ФИО и ИНН, сайт https://prokatapp.ru. телефон — в разделе Связаться, показать email, Telegram — там же.

Оператор: данные из формы регистрации кабинета (наименование / ФИО, ИНН, ОГРН/ОГРНИП при наличии, email, телефон).