---
id: personal-data-processing-instruction-template
title: Шаблон поручения компании на обработку персональных данных в RevRoute
type: contract-template
status: draft
version: "0.1"
created: 2026-10-12
updated: 2026-10-12
---

# Шаблон поручения компании на обработку персональных данных в RevRoute

## Инструкция составителю

Этот документ оформляет обработку, которую компания поручает RevRoute для своей партнёрской программы. Он становится приложением к договору компании с RevRoute либо отдельным соглашением сторон. Поручение не заменяет правового основания компании для получения данных и не распространяется автоматически на собственные цели RevRoute или банка.

Перед подписанием заполните все `[[TBD: …]]`, согласуйте приложение с фактическими полями, интеграциями и местами обработки, удалите эту инструкцию и редакторские подсказки. Для каждой строки реестра определите одну цель, минимальный состав данных, операции и срок. Не включайте неподключённых подрядчиков или функции. Не обещайте технические меры, которые ещё не внедрены.

Проверьте согласие субъекта на поручение другому лицу, если федеральный закон не предусматривает иное. Для обработки по поручению RevRoute не должен повторно получать это согласие от того же субъекта. Основания обработки компанией и основания поручения фиксируются отдельно; одного заявления «данные нужны для договора» недостаточно для описания всей цепочки получателей.

Правовая основа: [Закон №152-ФЗ, часть 3 статьи 6, часть 5 статьи 18, статьи 18.1, 19 и 21](https://mintrud.gov.ru/docs/laws/130). Договорные сроки уведомления об инциденте и предоставления документов ниже необходимо согласовать с технической командой до подписания.

## Поручение на обработку персональных данных

Приложение № `[[TBD: номер]]` к договору `[[TBD: наименование, номер и дата либо редакция оферты и сведения об акцепте]]`.

**Компания — оператор персональных данных:** `[[TBD: полное наименование или Ф. И. О. ИП, ИНН, ОГРН/ОГРНИП, адрес, представитель и основание полномочий]]`, далее — «Компания».

**RevRoute — лицо, осуществляющее обработку по поручению:** ИП Марчук Александр Михайлович, ИНН 372003235617, ОГРНИП 326760000015703, адрес: `[[TBD: актуальный адрес по реквизитам договора]]`, далее — «Исполнитель».

Компания и Исполнитель совместно именуются «Стороны».

### 1. Предмет и границы поручения

1.1. Компания поручает, а Исполнитель принимает на себя обработку персональных данных в объёме, для целей, посредством операций и в системах, указанных в приложении 1. Компания определяет цели и состав порученной обработки; Исполнитель действует в пределах настоящего поручения и правомерных документированных указаний Компании.

1.2. Поручение действует для программы `[[TBD: название и идентификатор/адрес программы]]` с `[[TBD: дата или определённое событие начала]]` до `[[TBD: срок либо событие прекращения]]`. Обработка начинается после согласования приложения 1, организации необходимых мер защиты и подтверждения Компанией правовых оснований.

1.3. Дополнительные категории данных, операции, цели, получатели, системы или территории включаются в поручение по согласованию Сторон до начала соответствующей обработки. Изменение настроек интерфейса само по себе не расширяет это поручение.

1.4. Исполнитель не использует порученные данные для собственной рекламы, формирования чужих клиентских баз или иной цели, не предусмотренной приложением 1. Доступ к техническим данным для защиты порученной обработки осуществляется в пределах согласованных операций и мер.

1.5. Собственные цели Исполнителя, например ведение его учётных записей, исполнение его договорных и законных обязанностей, разграничиваются в приложении 2. По таким целям Исполнитель самостоятельно определяет и обеспечивает применимые основания и обязанности оператора. Данные из порученного массива не переходят в обработку для собственных целей автоматически.

### 2. Обязанности Компании

2.1. Компания обеспечивает правомерность получения, обработки и предоставления данных, необходимое информирование субъектов, согласие на поручение при его обязательности и возможность подтвердить соответствующие основания. Акцепт партнёрской оферты не считается согласием клиента или иного лица на обработку его данных.

2.2. Компания передаёт только данные из приложения 1 и не включает избыточные сведения. Специальные категории, биометрические данные и сведения несовершеннолетних не передаются в рамках настоящего поручения, если Стороны не согласовали отдельный обеспеченный законом и технически поддерживаемый процесс.

2.3. Компания назначает контактное лицо, уполномоченное давать указания, рассматривать обращения и координировать инциденты: `[[TBD: Ф. И. О., должность, адрес электронной почты, телефон и резервный контакт]]`.

2.4. Компания исполняет собственные обязанности по уведомлению уполномоченного органа, предоставлению субъектам информации и реализации их прав. Компания своевременно сообщает Исполнителю об уточнении, отзыве согласия, прекращении основания, необходимости блокирования или уничтожения конкретных данных с указанием объёма и правового основания действия.

### 3. Обязанности Исполнителя

3.1. Исполнитель соблюдает принципы и правила обработки персональных данных, конфиденциальность и требования настоящего поручения. Доступ предоставляется только уполномоченным лицам в необходимом объёме, с обязательством сохранять конфиденциальность и с учётом ролей доступа.

3.2. Исполнитель выполняет применимые к порученной обработке требования части 5 статьи 18 и статьи 18.1 Закона №152-ФЗ; принимает необходимые правовые, организационные и технические меры защиты по статье 19. Состав мер и распределение обязанностей определены в приложении 1 и согласованном описании защиты `[[TBD: название, редакция и место хранения документа]]`.

3.3. Для данных граждан Российской Федерации при сборе не допускаются запись, систематизация, накопление, хранение, уточнение, извлечение с использованием баз данных за пределами Российской Федерации, кроме предусмотренных законом исключений. Места основной базы, файлового хранилища, резервных копий и иных систем, обрабатывающих порученные данные, указаны в приложении 1. Согласие субъекта само по себе не отменяет требования локализации.

3.4. Исполнитель обеспечивает предусмотренные для соответствующей системы меры: разграничение доступа, регистрацию существенных действий, защиту учётных данных, контроль доступов подрядчиков, резервирование и восстановление, предотвращение несанкционированного доступа, выявление инцидентов и проверку эффективности защиты. Конкретные меры, уровень защищённости и применимые требования нормативных актов определяются для фактических систем; настоящий перечень не заменяет такое определение.

3.5. По запросу Компании в течение срока действия поручения, в том числе до начала обработки, Исполнитель предоставляет документы и иную информацию, подтверждающие принятие мер и соблюдение требований, в срок `[[TBD: срок, начало отсчёта и вид дней]]`. Когда сведения необходимы для обязательного ответа или уведомления Компании, Стороны применяют срок, позволяющий исполнить законную обязанность. Конфиденциальность технической информации обеспечивается при передаче; она не является основанием полностью отказать в подтверждении мер.

3.6. Исполнитель помогает Компании в уточнении, блокировании, выгрузке, прекращении обработки и уничтожении данных, а также в подготовке ответов субъектам и уполномоченному органу в пределах своей части процесса. Полученное напрямую обращение по порученной обработке передаётся Компании в срок `[[TBD: срок и канал]]`; Исполнитель не расширяет обработку и не требует повторного согласия субъекта для исполнения этого поручения.

3.7. Если указание Компании выходит за пределы поручения или нарушает требования закона, Исполнитель сообщает об этом Компании и приостанавливает соответствующую операцию до правомерного уточнения. Исполнение остальных допустимых операций продолжается, если это возможно и не создаёт риска для данных.

### 4. Подрядчики и иные получатели

4.1. Лица, которым предоставляется доступ или поручается часть обработки, перечисляются в приложении 1 с наименованием, адресом, ролью, целью, категориями данных и местом обработки. Привлечение нового лица или изменение его роли согласуется с Компанией до предоставления доступа. Компания обеспечивает необходимые основания соответствующей цепочки.

4.2. Исполнитель оформляет отношения с привлечёнными обработчиками так, чтобы выполнялись применимые требования к поручению, защите, конфиденциальности, подтверждению мер, удалению и уведомлению об инцидентах. Исполнитель контролирует исполнение этих обязанностей и остаётся ответственным перед Компанией за свою часть порученной обработки.

4.3. Банк, выплатной сервис, оператор электронного документооборота или иной получатель не считается обработчиком по поручению только по факту подключения. Стороны определяют его фактическую роль и правовое основание передачи. Самостоятельные цели такого лица не охватываются настоящим поручением.

4.4. Трансграничная передача допускается только после отдельного согласования состава, цели, получателей и территорий и выполнения применимых требований статьи 12 Закона №152-ФЗ и требований локализации. По умолчанию в приложении 1 указывается отсутствие трансграничной передачи; это значение должно соответствовать фактическим системам, удалённому доступу и интеграциям.

### 5. Инциденты

5.1. При выявлении неправомерной или случайной передачи, предоставления, распространения или доступа, повлёкших нарушение прав субъектов, Исполнитель без неоправданной задержки уведомляет Компанию. Предельный договорный срок первого сообщения — `[[TBD: согласованный срок в часах; рекомендуется короткий срок, например 2 часа, после подтверждения технической готовности]]` с момента выявления. Сообщение направляется по каналу `[[TBD: круглосуточный рабочий канал и резервный способ]]`.

5.2. Первое сообщение включает известные сведения о времени и характере инцидента, затронутых системах и данных, предполагаемых причинах и вреде, принятых мерах и контактном лице. Отсутствие полного расследования не является основанием задерживать первое сообщение; неизвестные сведения обозначаются как уточняемые.

5.3. Исполнитель принимает меры по прекращению нарушения, сохранению доказательств и снижению последствий, предоставляет обновления и результаты расследования в срок `[[TBD: согласованный срок обновлений и отчёта]]`. Материалы включают установленные причины, охват, последствия, действия по устранению и сведения о причастных лицах, когда они установлены.

5.4. Договорные сроки обеспечивают возможность Компании исполнить применимые обязанности по части 3.1 статьи 21 Закона №152-ФЗ, включая сообщения уполномоченному органу в течение 24 и 72 часов. Они не изменяют начало отсчёта и обязательные сроки закона. Компания направляет свои обязательные уведомления; Исполнитель исполняет собственные обязанности в случаях, предусмотренных законом.

### 6. Прекращение обработки и судьба данных

6.1. Сроки хранения и события прекращения определяются по каждой цели в приложении 1. После завершения поручения Исполнитель по указанию Компании возвращает согласованный состав данных в формате `[[TBD: формат и защищённый способ передачи]]` и прекращает обработку, если иное основание не предусмотрено законом.

6.2. Порученные данные, включая копии у привлечённых обработчиков, уничтожаются в срок `[[TBD: срок и событие начала отсчёта]]`, позволяющий Компании исполнить обязательные сроки закона. Порядок удаления из резервных копий, ограничения доступа до удаления и исключения повторного использования при восстановлении описывается в приложении 1.

6.3. Исполнитель подтверждает уничтожение в форме и порядке, предусмотренных применимыми требованиями, и передаёт Компании подтверждение. Хранение на отдельном законном основании допускается только в необходимом объёме и на соответствующий срок; оно фиксируется отдельно с ограничением целей и доступа.

### 7. Ответственность и изменения

7.1. Компания как оператор несёт ответственность перед субъектами за порученную обработку в предусмотренном законом объёме. Исполнитель несёт ответственность перед Компанией за исполнение настоящего поручения. Обязательные положения закона об ответственности не изменяются этим соглашением.

7.2. Поручение и его приложения изменяются по согласованию Сторон с сохранением редакции и даты начала её применения. О смене инфраструктуры, подрядчиков или существенных мер защиты Исполнитель сообщает до соответствующего изменения, чтобы Компания могла проверить основания и исполнить свои обязанности.

7.3. Контакты Исполнителя для порученной обработки: `[[TBD: уполномоченное лицо, электронная почта, телефон, резервный канал]]`. Юридически значимые указания и подтверждения оформляются способом `[[TBD: согласованный способ, идентификация отправителя и хранение сообщений]]`.

Подписи либо сведения о подтверждаемом электронном заключении: `[[TBD: способ и подтверждение согласования обеими Сторонами]]`.

## Приложение 1 Реестр порученной обработки

> Заполнить по фактическому процессу. Приведённые названия строк — ориентиры; удалить неприменимые. Не оставлять общую цель «работа сервиса» или данные «любая информация».

| Поле | Значение для одного процесса |
| --- | --- |
| Идентификатор и название процесса | `[[TBD: например, учёт заявки партнёра / атрибуция клиентского события / подготовка реестра выплат]]` |
| Конкретная цель | `[[TBD]]` |
| Категории субъектов | `[[TBD: клиенты / партнёры НПД и ИП / представители организаций; выбрать применимые]]` |
| Исчерпывающий перечень данных | `[[TBD: названия полей; обосновать необходимость контактных данных вместо ID/статуса]]` |
| Источник и подтверждение основания | `[[TBD: форма, интеграция; основание Компании и основания поручения, место доказательств]]` |
| Перечень операций | `[[TBD: выбрать конкретные операции, включая предоставление доступа и удаление]]` |
| Системы и места обработки | `[[TBD: база, файлы, журналы, резервные копии, страна и адрес/идентификатор размещения]]` |
| Доступы | `[[TBD: роли Компании, Исполнителя, партнёра и подрядчиков; допустимый объём каждого доступа]]` |
| Привлечённые обработчики | `[[TBD: точное наименование, адрес, роль, данные, цель и место обработки; либо «не привлекаются»]]` |
| Иные получатели | `[[TBD: точное наименование, роль и основание; либо «не предусмотрены»]]` |
| Трансграничная передача | `[[TBD: «не осуществляется» после проверки либо отдельное согласованное описание]]` |
| Меры защиты и подтверждающие документы | `[[TBD: документ, редакция, ответственные и способы проверки]]` |
| Срок хранения и прекращение | `[[TBD: срок, событие начала и основания дальнейшего хранения при их наличии]]` |
| Возврат и уничтожение | `[[TBD: сроки, формат, резервные копии и подтверждение]]` |

## Приложение 2 Разграничение собственных целей

| Данные и цель | Ответственный оператор | Основание и документ | Граница с поручением |
| --- | --- | --- | --- |
| `[[TBD: собственная цель RevRoute; только фактически применимая]]` | Исполнитель | `[[TBD: основание, конкретная редакция политики/договора, срок]]` | `[[TBD: какие данные получены самостоятельно; исключить неразрешённое использование массива Компании]]` |
| `[[TBD: самостоятельная цель банка или иного получателя, если возникает]]` | `[[TBD: точное наименование]]` | `[[TBD]]` | `[[TBD: состав и основание передачи; собственная обработка получателем]]` |

## Проверка перед подписанием

- Заполнены обе стороны, привязка к договору, программа и срок поручения.
- Для каждой цели определены субъекты, конкретные поля, операции, системы и сроки.
- Подтверждены правовые основания Компании и основания поручения.
- Состав подрядчиков и собственных целей соответствует фактическому процессу.
- Размещение, защита, доказательства мер, обращения, удаление и резервные копии проверены ответственными.
- Каналы и сроки инцидентов позволяют исполнить обязанности Компании; техническая команда подтвердила готовность.
- Стороны сохранили принятую редакцию и доказательства её согласования.

> Черновик для согласования. Публикация шаблона не означает заключения поручения с компанией.