Поручение на обработку персональных данных

1. Стороны и предмет

Настоящее Поручение на обработку персональных данных (далее — «Поручение», DPA) является приложением к Оферте и неотъемлемой частью Договора между Клиентом и Исполнителем. Поручение определяет условия обработки персональных данных, которые Клиент передаёт Исполнителю при использовании Сервиса.

Оператор

Клиент — лицо, акцептовавшее Оферту. Клиент определяет цели обработки, состав персональных данных, содержание анкет и правовые основания обработки.

Обработчик

Индивидуальный предприниматель Дружинин Олег Константинович, ИНН 390504542209, ОГРНИП 315392600036963, адрес: 236023, Калининград, пер. Щорса, д. 11, кв. 4 (бренд AllForm, all-form.ru).

Договор

Оферта, акцептованная Клиентом, вместе с настоящим Поручением и иными документами, указанными в Оферте.

Версия

1.0 от 26.10.2026.

Исполнитель обрабатывает персональные данные по поручению оператора на основании части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), в объёме, целях, способами и в сроки, определённые настоящим Поручением, исключительно для исполнения Договора.

Поручение акцептуется одновременно с Офертой — регистрацией в Сервисе, оплатой тарифа либо началом использования Сервиса. При регистрации и перед первой оплатой Клиент подтверждает принятие Оферты и Поручения отдельным действием (отметкой в форме). Версия Поручения фиксируется в журнале акцептов.

Правовое основание обработки персональных данных со стороны Клиента определяется Клиентом самостоятельно (согласие субъектов, исполнение договора, требования закона). Исполнитель не получает согласие за Клиента (часть 4 статьи 6 152-ФЗ) и не определяет цели обработки.

По данным клиентских опросов, ответов, приглашений, лидов, собираемых в опросах, и учётных данных участников, приглашённых Клиентом, Исполнитель выступает обработчиком. По сведениям о Клиенте и его представителе, биллингу, обращениям в поддержку, не связанным с опросами Клиента, техническим данным и информационной безопасности Исполнитель выступает самостоятельным оператором и обрабатывает их в соответствии с Политикой обработки персональных данных; эти данные в предмет настоящего Поручения не входят.

Реквизиты для документов: Индивидуальный предприниматель Дружинин Олег Константинович, ИНН 390504542209, ОГРНИП 315392600036963, 236023, Калининград, пер. Щорса, д. 11, кв. 4; р/с 40802810500001504244 в АО «ТБанк», БИК 044525974, к/с 30101810145250000974.

2. Перечень персональных данных и субъектов

Исполнитель обрабатывает по поручению следующие категории персональных данных и категории субъектов:

2.1. Данные аккаунта и участников

• имя, адрес электронной почты, номер телефона (если указан), должность, наименование организации, ИНН и ОГРН организации (если указаны);
• роль и права участника;
• хеш пароля, настройки Аккаунта и опросов.

Субъекты: представители, работники и участники Клиента, а также лица, приглашённые Клиентом в Аккаунт.

Технические данные (IP-адрес, user-agent, дата и время входа, журналы безопасности) обрабатываются Исполнителем как самостоятельным оператором и в перечень не входят.

2.2. Ответы респондентов

• ответы на вопросы анкеты, включая свободный текст;
• идентификатор ответа, время, статус прохождения и иные метаданные прохождения (без IP-адреса в составе ответа);
• адреса электронной почты приглашённых респондентов и статус приглашения.

Субъекты: респонденты — лица, проходящие опрос Клиента.

2.3. Лиды

• имя, адрес электронной почты и (или) номер телефона, комментарий;
• метаданные согласия: дата и время, IP-адрес, версия текста, значение отметки;
• источник заявки.

Субъекты: лица, оставившие контактные данные в опросе Клиента. Лиды, оставленные на сайте all-form.ru вне опросов Клиента, обрабатываются Исполнителем как самостоятельным оператором и в перечень не входят.

2.4. Обращения в поддержку по опросам

• переписка, вложения и контактные данные обратившегося лица;
• сведения об обращении, его статусе и результатах рассмотрения.

Субъекты: представители Клиента, респонденты и иные лица, обратившиеся по вопросам опросов Клиента. Обращения, не связанные с опросами Клиента, обрабатываются Исполнителем как самостоятельным оператором.

2.5. Данные, которые не обрабатываются по умолчанию

Исполнитель не обрабатывает биометрические персональные данные, специальные категории персональных данных (раса и национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь, судимость), паспортные данные, СНИЛС, ИНН физического лица, дату рождения и адрес регистрации. Сбор таких данных через Сервис по умолчанию запрещён. Если Клиент располагает законным основанием (статья 10 152-ФЗ) и письменно согласовал такой сбор с Исполнителем, соответствующие данные включаются в перечень отдельной редакцией Поручения; без такого согласования Клиент нарушает Поручение, и Исполнитель вправе удалить такие данные и приостановить доступ к опросу. Данные банковских карт обрабатываются исключительно банком-эквайером и Исполнителю не передаются.

Перечень категорий данных является исчерпывающим. Его расширение допускается только новой редакцией Поручения.

3. Перечень действий и способы обработки

Исполнитель совершает следующие действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

Обработка осуществляется автоматизированным способом с использованием средств автоматизации в информационных системах персональных данных «Веб-кабинет», «Публичный контур опросов», «Административная панель», «База данных PostgreSQL», «Резервные копии», «Почтовый outbox и журнал отправки». Отдельные операции, например рассмотрение письменных обращений, могут выполняться без использования средств автоматизации.

Распространение персональных данных не осуществляется: Исполнитель не раскрывает данные неопределённому кругу лиц и не публикует ответы или цитаты без отдельного письменного поручения Клиента и необходимых согласий субъектов (статья 10.1 152-ФЗ).

Передача данных допускается только субобработчикам, указанным в разделе 6, а также уполномоченным органам по законному требованию; в последнем случае Исполнитель уведомляет Клиента, если это не запрещено законом. Передача осуществляется по защищённым каналам связи.

Способы обработки: хранение в базах данных и объектном хранилище на территории Российской Федерации, передача по сети «Интернет» с использованием шифрования, резервное копирование. Запись персональных данных на личные устройства работников и подрядчиков не допускается.

4. Цели обработки

Персональные данные обрабатываются исключительно в целях исполнения Договора с Клиентом: создание, настройка, публикация и закрытие опросов; приём, хранение и отображение ответов; формирование статистики и выгрузок в объёме тарифа; направление приглашений и сервисных писем; техническая поддержка; обеспечение работоспособности и безопасности Сервиса.

Исполнитель не использует персональные данные в собственных целях: для маркетинга и рекламы, профилирования, обучения моделей, формирования бенчмарков, продажи или публикации данных. Такое использование допускается только после обезличивания и отдельного письменного согласования с Клиентом. Исполнитель не принимает решений, порождающих юридические последствия для субъектов персональных данных.

Сроки хранения: ответы респондентов — 24 месяца с даты получения ответа; сокращение срока — по письменному запросу Клиента; приглашения — 30 дней после принятия или истечения срока действия; выгрузки — 7 дней после формирования; данные Аккаунта — пока Аккаунт активен и 30 дней после удаления, в резервных копиях — до 90 дней; документы биллинга — 5 лет; журналы доступа и безопасности — 12 месяцев, журналы веб-сервера — 6 месяцев; акты об уничтожении — 3 года. По истечении срока данные уничтожаются.

5. Обязанности обработчика

Исполнитель обязуется:

1. Обрабатывать данные только по поручению. Обрабатывать персональные данные в объёме, целях и способами, определённых Поручением, не определять цели обработки самостоятельно и не совершать действий, выходящих за пределы поручения. Исполнитель соблюдает 152-ФЗ, иные нормативные правовые акты о персональных данных и условия Договора.
2. Обеспечивать конфиденциальность. Не разглашать персональные данные и не передавать их третьим лицам, кроме случаев, предусмотренных Поручением и законом. Работники и подрядчики, имеющие доступ к данным, подписывают обязательства о неразглашении; доступ предоставляется по ролям и в минимально необходимом объёме. Обязанность конфиденциальности сохраняется после прекращения Поручения.
3. Соблюдать локализацию (часть 5 статьи 18 152-ФЗ). Осуществлять запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации. Иностранные облачные сервисы и базы данных для обработки не используются (раздел 7).
4. Соблюдать статью 18.1 152-ФЗ. Иметь назначенного ответственного за организацию обработки персональных данных, политику обработки, локальные акты, внутренний контроль, акт оценки вреда и программу обучения работников. Документы предоставляются Клиенту по запросу.
5. Обеспечивать безопасность (статья 19 152-ФЗ). Принимать правовые, организационные и технические меры, включая уровень защищённости не ниже УЗ-3, шифрование каналов передачи, разграничение доступа, журналирование событий, резервное копирование и уничтожение данных по регламенту (раздел 8).
6. Предоставлять документы по запросу оператора. В течение срока действия Поручения, в том числе до начала обработки, предоставлять Клиенту документы и информацию, подтверждающие принятие мер защиты, в срок не более 5 рабочих дней с даты запроса. При большом объёме запроса срок может быть продлён до 10 рабочих дней с уведомлением Клиента.
7. Помогать в ответах субъектам. По запросу Клиента предоставлять сведения, необходимые для ответа субъекту (статьи 14, 20 152-ФЗ), в срок не более 5 рабочих дней. Обращения субъектов, поступившие напрямую, Исполнитель направляет Клиенту в течение 3 рабочих дней и не отвечает субъекту от имени Клиента, если Клиент не поручил иное. Исполнитель содействует уточнению, блокированию и уничтожению данных по требованию Клиента.
8. Уведомлять об инцидентах. Не позднее 2 часов с момента обнаружения инцидента уведомить Клиента по адресам, указанным в Аккаунте, и на security@all-form.ru, сообщив факт инцидента, предполагаемые причины, предполагаемый вред, принятые меры и контактное лицо. Исполнитель содействует уведомлению Роскомнадзора в течение 24 часов и 72 часов (часть 3.1 статьи 21 152-ФЗ), предоставляет сведения о результатах внутреннего расследования и лицах, чьи действия стали причиной инцидента, ведёт журнал инцидентов и не скрывает инциденты.
9. Удалять и возвращать данные по окончании. По окончании обработки вернуть Клиенту данные в машиночитаемом формате и уничтожить их в срок, установленный разделом 9, с оформлением акта об уничтожении по приказу Роскомнадзора от 28.10.2022 № 179.
10. Привлекать субобработчиков только по правилам Поручения. Передавать данные субобработчикам только из перечня (раздел 6), заключать с ними договоры по части 3 статьи 6 152-ФЗ и нести перед Клиентом ответственность за их действия.
11. Соблюдать срок действия Поручения. Обрабатывать данные в течение срока, установленного разделом 9, и прекратить обработку при прекращении Договора, за исключением случаев, когда хранение обязательно по закону.

Исполнитель не перекладывает на субъекта персональных данных ответственность за обработку и не ссылается на согласие, полученное Клиентом, как на основание собственных действий, выходящих за пределы Поручения.

6. Субобработчики

Для оказания услуг Исполнитель привлекает субобработчиков. Перечень является исчерпывающим на дату настоящей редакции:

Timeweb Cloud

Хостинг приложения, управляемая база данных PostgreSQL, объектное хранилище, резервные копии. Обрабатывает все категории данных, указанные в разделе 2. Размещение — Российская Федерация (центры обработки данных на территории Российской Федерации). Статус: действует.

АО «ТБанк»

Интернет-эквайринг, приём платежей банковской картой и через систему быстрых платежей. Обрабатывает платёжные данные, сумму, дату и идентификатор платежа, имя плательщика, адрес электронной почты и номер телефона для чека, ИНН покупателя-организации. Данные банковских карт обрабатываются только банком. Размещение — Российская Федерация. Статус: привлекается при подключении онлайн-оплаты; на дату редакции оплата производится по счёту.

ООО «Клаудкассир»

Формирование кассовых чеков и передача фискальных документов оператору фискальных данных (сервис «Чеки Т-Бизнеса»). Обрабатывает данные чека: наименование услуги, сумму, адрес электронной почты или номер телефона покупателя, ИНН покупателя, адрес сайта. Размещение — Российская Федерация. Статус: подключается вместе с онлайн-оплатой.

Провайдер электронной почты (ESP)

Отправка приглашений и сервисных писем, журнал доставки. Обрабатывает адреса электронной почты получателей, содержание письма и метаданные доставки. Размещение — только Российская Федерация. Статус: будет определён; до привлечения провайдера письма направляются средствами Исполнителя.

Оператор фискальных данных привлекается только при использовании собственной или облачной контрольно-кассовой техники; при его подключении он будет включён в новую редакцию перечня. Иностранные субобработчики не привлекаются.

Порядок изменения перечня: новая редакция перечня публикуется в составе Поручения на сайте; Клиенты уведомляются по адресу электронной почты не позднее чем за 10 рабочих дней до вступления изменений в силу; Клиент вправе возразить. При возражении Исполнитель не привлекает субобработчика для данных этого Клиента либо стороны расторгают Договор в порядке раздела 9 Оферты. Привлечение иностранного субобработчика оформляется отдельной редакцией Поручения с уведомлением о трансграничной передаче (раздел 7).

Исполнитель заключает с каждым субобработчиком договор, содержащий условия по части 3 статьи 6 152-ФЗ, включая конфиденциальность, локализацию, меры защиты, уведомление об инцидентах и удаление данных. Ответственность за действия субобработчиков перед Клиентом несёт Исполнитель.

7. Локализация и трансграничная передача

Базы данных, объектное хранилище и резервные копии размещены на территории Российской Федерации. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ).

Трансграничная передача персональных данных не осуществляется. Иностранные облачные сервисы, базы данных и SaaS-решения для обработки данных не используются. Доступ работников и подрядчиков к данным предоставляется с территории Российской Федерации; удалённый доступ из-за рубежа и копирование данных за пределы Российской Федерации не допускаются.

Если трансграничная передача потребуется, Исполнитель опубликует отдельную редакцию Поручения, уведомит Клиентов и, при необходимости, направит уведомление в Роскомнадзор в порядке статьи 12 152-ФЗ. Клиент вправе возразить против такой передачи и расторгнуть Договор.

8. Меры защиты персональных данных

Исполнитель принимает следующие меры:

• определение уровня защищённости информационных систем персональных данных не ниже УЗ-3 в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
• применение мер, предусмотренных приказом ФСТЭК России от 18.02.2013 № 21, включая идентификацию и аутентификацию, управление доступом, регистрацию событий безопасности, антивирусную защиту и контроль целостности;
• разработку модели угроз, акта оценки вреда по приказу Роскомнадзора от 27.10.2022 № 178 и оценку эффективности принимаемых мер (пункт 4 части 2 статьи 19 152-ФЗ);
• шифрование данных при передаче по сети «Интернет» (TLS);
• разграничение доступа по ролям, уникальные учётные записи, минимально необходимый круг лиц с доступом к данным; двухфакторная аутентификация применяется к инфраструктуре и репозиторию, вход в административную панель — по именным учётным записям и паролям;
• журналирование административных действий в панели управления и запросов веб-сервера: журналы хранятся не менее 12 и 6 месяцев соответственно;
• резервное копирование с ограниченным доступом и ротацией: срок хранения копий — не более 90 дней, проверка восстановления;
• уничтожение персональных данных и носителей по регламенту (пункт 3.1 части 2 статьи 19 152-ФЗ) с оформлением акта по приказу Роскомнадзора от 28.10.2022 № 179;
• запрет хранения данных на личных устройствах, локальных дампов и выгрузок вне контролируемого контура, а также обучение работников и подрядчиков;
• взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) в порядке, установленном законодательством.

Уровень защищённости УЗ-3 определён для информационных систем, обрабатывающих обычные персональные данные. При изменении состава данных, угроз или законодательства меры пересматриваются. Приказ ФСТЭК России от 11.04.2025 № 117 применяется к информационным системам государственных органов, государственных унитарных предприятий и учреждений; для информационной системы Исполнителя он не применяется, однако требования такого клиента рассматриваются отдельно.

9. Срок действия и прекращение

Поручение действует с даты акцепта Оферты до прекращения Договора и завершения обработки персональных данных. Обработка осуществляется в течение срока оказания услуг и срока хранения, указанного в разделе 4.

Поручение прекращается при удалении Аккаунта, расторжении Договора, отказе Клиента от услуг, а также при прекращении использования Сервиса. Исполнитель вправе прекратить обработку при нарушении Клиентом Оферты или AUP, уведомив Клиента.

В течение 30 дней с даты получения обращения Клиента при прекращении Поручения Исполнитель предоставляет выгрузку данных в машиночитаемом формате (CSV, XLSX) и уничтожает персональные данные в основном хранилище; резервные копии удаляются в порядке ротации — в срок до 90 дней. Уничтожение выполняется силами Исполнителя по обращению Клиента; автоматически по расписанию удаляются только ответы по истечении срока хранения (24 месяца с даты получения).

Уничтожение оформляется актом по приказу Роскомнадзора от 28.10.2022 № 179. Копия акта предоставляется Клиенту по запросу; акт хранится 3 года. Данные считаются уничтоженными после истечения максимального срока жизни резервных копий (до 90 дней).

Если хранение обязательно по закону (например, документы биллинга — 5 лет) или действует приостановка уничтожения в связи с претензией, иском, проверкой, запросом Роскомнадзора либо открытым инцидентом, соответствующие данные хранятся изолированно, не используются в иных целях и уничтожаются после устранения основания.

10. Ответственность сторон и распределение ответственности перед субъектом

Перед субъектом персональных данных за обработку отвечает Клиент как оператор (часть 5 статьи 6 152-ФЗ). Исполнитель отвечает перед Клиентом за исполнение настоящего Поручения. Исполнитель не перекладывает на субъекта ответственность за свои действия.

Исполнитель возмещает Клиенту документально подтверждённый реальный ущерб, причинённый нарушением Поручения. Упущенная выгода не возмещается, кроме случаев умысла или грубой неосторожности. Ограничение ответственности, установленное разделом 13 Оферты, применяется к Поручению в части, не противоречащей императивным нормам.

Если на Клиента наложен административный штраф вследствие доказанного нарушения Исполнителем обязательств по Поручению, Исполнитель возмещает Клиенту сумму такого штрафа в порядке регресса.

Клиент отвечает за законность оснований обработки, содержание анкет, информирование субъектов и получение согласий, а также возмещает Исполнителю убытки, вызванные нарушением Клиентом Оферты, AUP или Поручения.

Исполнитель не отвечает за действия Клиента и третьих лиц, а также за последствия, вызванные недостоверностью данных, предоставленных Клиентом.

11. Аудит и запросы документов

Клиент вправе проводить документарную проверку соблюдения Поручения. По запросу Исполнитель предоставляет политику обработки персональных данных, локальные акты, модель угроз, акт оценки вреда, перечень субобработчиков, акты об уничтожении, сведения о мерах защиты и выписки из журналов в объёме, не раскрывающем данные других клиентов.

Срок предоставления документов — 5 рабочих дней с даты запроса; при большом объёме — до 10 рабочих дней с уведомлением Клиента. Проверка проводится не чаще одного раза в 12 месяцев, за исключением случаев инцидента, требования Роскомнадзора или суда.

Проверка проводится при условии заключения соглашения о конфиденциальности, без доступа к персональным данным других клиентов и без выезда на объекты инфраструктуры. Выездной аудит возможен по отдельному соглашению сторон. Исполнитель вправе запросить у Клиента подтверждение законности обработки при обоснованных сомнениях.

12. Изменение Поручения

Поручение может быть изменено Исполнителем. Новая редакция публикуется на сайте с указанием версии и даты вступления в силу. Существенные изменения (перечень данных, цели, перечень субобработчиков, сроки хранения, порядок удаления) вступают в силу не ранее чем через 10 рабочих дней после публикации, а Клиенты уведомляются по адресу электронной почты, указанному в Аккаунте; иные изменения вступают в силу с даты публикации.

Акцепт новой редакции происходит при регистрации, оплате либо продолжении использования Сервиса после вступления изменений в силу. При несогласии Клиент вправе возразить и расторгнуть Договор в порядке раздела 9 Оферты. Предыдущие редакции хранятся 3 года и предоставляются по запросу на privacy@all-form.ru.

Настоящее Поручение определяет все условия, предусмотренные частью 3 статьи 6 152-ФЗ: перечень персональных данных и субъектов (раздел 2), перечень действий и способы обработки (раздел 3), цели обработки (раздел 4), конфиденциальность, соблюдение части 5 статьи 18, статьи 18.1 и статьи 19 152-ФЗ, предоставление документов по запросу, помощь субъектам, уведомление об инцидентах и удаление данных (раздел 5), субобработчики (раздел 6), локализация и трансграничная передача (раздел 7), меры защиты (раздел 8), срок действия и прекращение (раздел 9), ответственность сторон (раздел 10), аудит (раздел 11) и порядок изменения (раздел 12).

Редакция 1.0 от 26.10.2026. Актуальная версия Поручения публикуется на сайте all-form.ru в разделе «Правовая информация»; реквизиты Исполнителя — на странице «Реквизиты».