Условия обработки персональных данных по поручению (DPA)

Редакция от «05» августа 2026 г.

1. Общие положения

1.1. Настоящие Условия (далее — «DPA») являются неотъемлемой частью Оферты для юридических лиц (https://h3llo.cloud/legal-entity-agreement, далее — «Соглашение») и применяются, когда Пользователь размещает на ресурсах Платформы информацию, содержащую персональные данные третьих лиц (клиентов, работников, пользователей Пользователя и иных субъектов).

1.2. В отношениях, регулируемых DPA, Пользователь выступает оператором персональных данных, самостоятельно определяющим цели, состав и правовые основания обработки, а Провайдер — лицом, осуществляющим обработку персональных данных по поручению оператора в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Акцепт Соглашения означает поручение Пользователя Провайдеру на обработку персональных данных на условиях DPA.

1.3. DPA не применяется к персональным данным, которые Провайдер обрабатывает в качестве самостоятельного оператора: данные представителей и контактных лиц Пользователя, учётные и платёжные сведения, данные посетителей Сайта. Такая обработка регулируется Политикой обработки персональных данных: https://h3llo.cloud/privacy-policy.

1.4. Термины с заглавной буквы применяются в значениях, установленных Соглашением.

2. Предмет и содержание поручения

2.1. Провайдер по поручению Пользователя совершает с персональными данными, размещёнными Пользователем на ресурсах Платформы, исключительно следующие действия: запись, хранение, резервное копирование, воспроизведение в памяти ЭВМ, передачу по сетям связи в рамках функционирования заказанных Сервисов, блокирование, удаление и уничтожение.

2.2. Цель обработки — оказание Пользователю услуг в соответствии с Соглашением. Провайдер не определяет цели и состав обрабатываемых персональных данных, не использует их в собственных целях, не раскрывает и не распространяет их, за исключением случаев, когда раскрытие обязательно в силу законодательства Российской Федерации.

2.3. Содержание размещаемых данных определяется Пользователем; Провайдер не осуществляет их предварительный просмотр и содержательную модерацию. Автоматизированный анализ в целях информационной безопасности проводится в порядке, предусмотренном Соглашением и AUP, без использования персональных данных в иных целях.

3. Гарантии Пользователя

3.1. Пользователь гарантирует, что обработка размещаемых персональных данных осуществляется им на законных основаниях: получены необходимые согласия субъектов либо имеются иные основания, предусмотренные статьёй 6 Федерального закона № 152-ФЗ, а субъекты уведомлены об обработке их данных с привлечением обработчика в случаях, когда такое уведомление требуется.

3.2. Размещение специальных категорий персональных данных и биометрических персональных данных допускается только при наличии у Пользователя предусмотренных законом оснований и при условии применения Пользователем дополнительных мер защиты, соответствующих категории данных; ответственность за соблюдение этих требований несёт Пользователь.

3.3. Пользователь самостоятельно исполняет обязанности оператора: уведомление Роскомнадзора об обработке, локализацию баз данных в соответствии с частью 5 статьи 18 Федерального закона № 152-ФЗ в части собственных систем, взаимодействие с субъектами и регулятором.

4. Обязанности Провайдера

4.1. Провайдер соблюдает конфиденциальность персональных данных (статья 7 Федерального закона № 152-ФЗ) и обеспечивает их безопасность при обработке.

4.2. Провайдер принимает правовые, организационные и технические меры, предусмотренные статьёй 19 Федерального закона № 152-ФЗ, включая: разграничение и контроль доступа, учёт машинных носителей, защиту каналов передачи данных с применением средств шифрования, антивирусную защиту, резервное копирование, регистрацию событий безопасности, сегментацию инфраструктуры, назначение ответственных лиц и обучение персонала, внутренние регламенты обработки.

4.3. Обработка персональных данных осуществляется с использованием инфраструктуры, размещённой на территории Российской Федерации. Трансграничная передача персональных данных Провайдером не осуществляется.

4.4. Доступ работников Провайдера к персональным данным предоставляется только в объёме, необходимом для исполнения Соглашения, при условии принятия обязательств о конфиденциальности.

5. Привлечение третьих лиц

5.1. Акцептом Соглашения Пользователь даёт общее согласие на привлечение Провайдером третьих лиц (операторов центров обработки данных, операторов связи, поставщиков инфраструктурных услуг) к обработке персональных данных при условии заключения с ними договоров, содержащих требования части 3 статьи 6 Федерального закона № 152-ФЗ, включая обязанности по конфиденциальности и обеспечению безопасности.

5.2. Ответственность перед Пользователем за действия привлечённых третьих лиц несёт Провайдер.

6. Инциденты

6.1. При выявлении инцидента, повлёкшего или создавшего угрозу неправомерной передачи (предоставления, распространения, доступа) персональных данных, обрабатываемых по поручению Пользователя, Провайдер уведомляет Пользователя не позднее 24 (двадцати четырёх) часов с момента выявления — через Панель управления и по электронной почте — с указанием известных обстоятельств: характера инцидента, предполагаемого состава затронутых данных, принятых мер.

6.2. Провайдер оказывает Пользователю содействие в исполнении его обязанностей оператора по уведомлению уполномоченного органа о произошедшем инциденте в сроки, установленные статьёй 21 Федерального закона № 152-ФЗ (первичное уведомление — 24 часа, результаты внутреннего расследования — 72 часа), предоставляя имеющиеся у Провайдера сведения по запросу.

6.3. Провайдер взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак в случаях, предусмотренных законодательством.

7. Права Пользователя

7.1. Пользователь вправе запрашивать у Провайдера сведения об обработке персональных данных по поручению: перечень выполняемых действий, применяемые меры защиты, категории привлекаемых третьих лиц. Ответ предоставляется в течение 10 (десяти) рабочих дней.

7.2. Пользователь вправе не чаще одного раза в календарный год, а также при инциденте, затронувшем его данные, провести документарную проверку соблюдения Провайдером условий DPA: запросить описания мер, применимые сертификаты и аттестаты, результаты внешних оценок. Проверка проводится без доступа в помещения и к инфраструктуре Провайдера, с соблюдением конфиденциальности и за счёт Пользователя.

7.3. Указания Пользователя в отношении обработки реализуются в пределах функциональных возможностей Сервисов (настройки хранения, резервного копирования, удаления через Панель управления и API).

8. Запросы субъектов персональных данных

8.1. При поступлении Провайдеру запроса субъекта, персональные данные которого обрабатываются по поручению Пользователя, Провайдер направляет запрос Пользователю в течение 3 (трёх) рабочих дней и информирует субъекта о передаче запроса оператору. Ответ субъекту по существу предоставляет Пользователь как оператор.

8.2. Провайдер оказывает Пользователю техническое содействие в исполнении запросов субъектов (предоставление, уточнение, блокирование, уничтожение данных) в пределах функциональных возможностей Сервисов.

9. Сроки обработки и уничтожение

9.1. Обработка персональных данных по поручению осуществляется в течение срока действия Соглашения и заказанных Сервисов.

9.2. При прекращении Соглашения, удалении ресурсов или отдельных данных применяется порядок, установленный пунктом 11.7 Соглашения: ресурсы удаляются, резервные копии доступны Пользователю в течение 30 (тридцати) календарных дней, после чего персональные данные уничтожаются безвозвратно без возможности восстановления. По письменному запросу Пользователя Провайдер подтверждает уничтожение.

10. Ответственность

10.1. Перед субъектами персональных данных ответственность несёт Пользователь как оператор. Провайдер отвечает перед Пользователем за неисполнение обязанностей, предусмотренных DPA, в пределах, установленных Соглашением.

10.2. Пользователь возмещает Провайдеру документально подтверждённые убытки, возникшие вследствие нарушения Пользователем гарантий раздела 3, включая суммы, взысканные с Провайдера субъектами персональных данных и уполномоченными органами.

11. Изменения

11.1. Изменения в DPA вносятся в порядке, установленном Соглашением: публикация новой редакции и уведомление Пользователей не менее чем за 10 (десять) календарных дней до вступления в силу, за исключением изменений, обусловленных требованиями законодательства.

---

Материал подготовлен для внутренней проработки и не заменяет заключение юриста, допущенного к практике в РФ.