Поручение на обработку персональных данных

Приложение к Соглашению об использовании сервиса MotoFlowX.

Редакция от 27.10.2026.

1. Стороны и цели

Клиент, являющийся оператором персональных данных в отношении данных, которые он размещает в MotoFlowX для собственных целей, поручает их обработку ИП Бобровой Полине Александровне, ИНН 540300086872, ОГРНИП 326547600192970. Адрес: Новосибирская область, город Новосибирск. Контакт: support@motoflowx.ru.

Настоящее Поручение является приложением и неотъемлемой частью Соглашения об использовании сервиса MotoFlowX в случаях, когда Клиент передаёт Поставщику персональные данные третьих лиц для обработки по поручению. Поставщик обрабатывает порученные данные только в целях и пределах настоящего Поручения, Соглашения и законных документированных указаний Клиента. Приложение принимается уполномоченным Клиентом в составе Соглашения до первой передачи порученных данных. Поставщик фиксирует принятую редакцию и факт принятия. Действия пользователей являются указаниями в пределах уже принятого Поручения и не заменяют его заключения.

Наименование роли стороны не изменяет её фактический статус. Если в отношении отдельной операции Поставщик самостоятельно определяет цели обработки, такая операция не считается обработкой исключительно по настоящему Поручению и должна иметь самостоятельное правовое основание.

Цель --- обеспечение работы организации клиента: обращения потенциальных учеников, учёт обучения, занятий, расписания, сотрудников и инструкторов, связанных договорных/финансовых записей и коммуникаций в объёме включённых функций. Общий демонстрационный кабинет не предназначен для реальной клиентской базы.

2. Субъекты, данные и операции

Категории субъектов: потенциальные, действующие и бывшие ученики в пределах законного срока обработки; законные представители учеников, если соответствующий сценарий используется; сотрудники и инструкторы Клиента; представители и контактные лица Клиента; представители и контактные лица контрагентов.

Перечень персональных данных, которые MotoFlowX фактически позволяет вносить в пределах включённых функций (по состоянию на 26.10.2026):

Источник перечня — фактические поля и функции программы; перечень не требует собирать каждую категорию.

Перечень описывает категории, которые программа технически позволяет вносить, и не требует собирать каждую из них. Клиент обязан соблюдать принцип достаточности и не вносить данные, не необходимые для его законной цели.

Вложения и документы допускаются только в рамках фактически реализованных функций и при наличии у Клиента правового основания и необходимости соответствующей обработки.

Настоящее Поручение в обычной редакции не предусматривает обработку специальных категорий персональных данных и не предусматривает биометрические персональные данные в целях установления личности (биометрическая обработка в коде не выполняется). При этом MotoFlowX позволяет загрузить файл медицинской справки (медицинской комиссии) ученика — как сотруднику школы, так и самому ученику через MotoBT. Сведения медицинской справки относятся к сведениям о состоянии здоровья. Загружая такой файл или разрешая его загрузку ученику, Клиент подтверждает наличие основания по ст. 10 №152-ФЗ: письменного согласия ученика (законного представителя) либо требования закона. Поставщик только хранит файл и предоставляет к нему доступ уполномоченным пользователям Клиента и самому ученику. Содержание файла Поставщик не анализирует и нейросети не передаёт.

Паспортные данные и копии документов, данные несовершеннолетних, специальные категории персональных данных и иные сведения со специальным режимом не считаются автоматически разрешёнными настоящим Поручением. Паспортные данные ученика и файлы паспорта фактически хранятся в программе (см. перечень выше); до использования соответствующего сценария Клиентом отдельно проверяются необходимость, правовое основание, состав данных и необходимые меры защиты. Используя эти поля, Клиент подтверждает, что паспортные данные нужны ему для заключения и исполнения договора с учеником или для исполнения требований закона. Данные несовершеннолетних Клиент обрабатывает с участием их законных представителей.

Операции: сбор через разрешённые формы, запись, систематизация, накопление, хранение, уточнение, извлечение, использование для функций сервиса, доступ уполномоченных пользователей, выгрузка по инструкции, блокирование, удаление и уничтожение. Продажа базы, собственная реклама, обучение сторонних AI-моделей и публичное распространение не разрешены.

Приложение учеников MotoBT: через интерфейсы портала ученика (версии 1 и 2) и моста школ MotoBT получает и передаёт данные, перечисленные в п. 6.6 Политики, в том числе профиль ученика, расписание, документы и файлы документов, оценки занятий. Подключение MotoBT и приглашение в него учеников и сотрудников являются указанием Клиента в пределах настоящего Поручения.

Документированные указания Клиента могут выражаться действиями его уполномоченных пользователей через предусмотренные функции MotoFlowX и обращениями на support@motoflowx.ru после необходимой проверки полномочий.

Если указание Клиента, по обоснованной оценке Поставщика, противоречит законодательству о персональных данных или выходит за пределы Поручения, Поставщик сообщает об этом Клиенту и вправе приостановить соответствующую операцию в необходимой части до получения законного и исполнимого указания. Доступ к данным других организаций без законного основания не допускается.

3. Обязанности сторон

Клиент обеспечивает основания, информирование и согласия, где требуются; определяет доступы, корректность данных, сроки и инструкции. Принятие приложения не является согласием за учеников или сотрудников. Внешние интеграции, публикация, SMS и ИИ-функции требуют оценки получателя и основания Клиентом. Доступ к SMS и ИИ определяется режимом организации (платный доступ). ИИ-функции передают данные во внешний сервис нейросети (нейросеть Яндекса (YandexGPT, SpeechKit), данные обрабатываются в России), по умолчанию включены, и Клиент вправе отключить их в «Настройках организации» (п. 6.4 Политики). Оплата функции сама по себе не является согласием на передачу персональных данных внешнему исполнителю.

Поставщик соблюдает конфиденциальность, принципы и правила обработки, требования ч. 5 ст. 18, ст. 18.1 и ст. 19 №152-ФЗ в применимом объёме, принимает необходимые меры безопасности. По запросу клиента до начала и в течение обработки предоставляет сведения и документы, подтверждающие выполнение предусмотренных законом требований, без раскрытия секретов и чужих данных.

Поставщик вправе привлекать иных лиц к выполнению отдельных технических функций, если это необходимо для работы MotoFlowX и допускается законом и настоящим Поручением. До передачи порученных данных привлечённому лицу Поставщик обеспечивает надлежащее договорное основание, ограничивает обработку необходимой целью и объёмом и устанавливает требования к конфиденциальности и безопасности.

До предоставления порученных данных новому привлечённому обработчику или существенного изменения его функций Поставщик не менее чем за 10 календарных дней сообщает Клиенту на контакт администратора и в интерфейсе MotoFlowX: - сведения о лице; - поручаемые функции; - категории данных; - места обработки; - меры защиты. Клиент вправе в этот срок возразить. При возражении Поставщик не передаёт данные этой организации новому лицу, если функция может работать без него. Если без него функция работать не может, Клиент вправе отключить функцию или прекратить Соглашение без штрафов. Отсутствие возражения в указанный срок считается согласованием.

Замена исполнителя в связи с требованием закона, угрозой безопасности или прекращением работы прежнего исполнителя допускается с уведомлением в разумный срок. Обработка у нового исполнителя должна вестись на территории Российской Федерации с не меньшим уровнем защиты.

Текущие исполнители и допустимые функции раскрываются до принятия Поручения. Их включение в перечень означает согласование Клиентом раскрытого объёма.

Клиент обеспечивает согласие субъектов на поручение там, где оно требуется ч. 3 ст. 6 Федерального закона №152-ФЗ, либо наличие предусмотренного законом исключения. Согласование обработчика Клиентом не заменяет необходимого основания в отношениях с субъектом. Привлечение иных лиц не снимает с Поставщика договорных и установленных законом обязанностей.

Размещение приложения и базы данных: Timeweb (АО «ТаймВэб»); хранение загруженных файлов: Yandex Cloud (ООО «ЯНДЕКС.ОБЛАКО»). Остальные получатели и обработчики данных с их функциями и составом передаваемых данных приведены в таблице п. 6.3 Политики в редакции от 26.10.2026; этот перечень является раскрытым объёмом для целей предыдущих абзацев. Он не разрешает передачу данных другим лицам или для новых целей.

Право лица на программу, домен, сервер или инфраструктуру само по себе не предоставляет ему право доступа к порученным персональным данным. Любой технический доступ требует отдельного надлежащего основания и ограничения необходимым объёмом.

Порученные данные при использовании ИИ-функций передаются во внешний сервис нейросети (нейросеть Яндекса (YandexGPT, SpeechKit), данные обрабатываются в России; состав данных — таблица п. 6.3 Политики). Пока ИИ-функции включены (по умолчанию они включены), такая передача происходит при каждом обращении к ним; Клиент как оператор определяет основание передачи и выполняет применимые требования законодательства Российской Федерации и вправе отключить ИИ-функции в «Настройках организации», после чего обращения к ним от имени организации отклоняются. Передача порученных данных за пределы Российской Федерации настоящим Поручением не разрешается; до неё отдельно определяются получатель, государство назначения и правовое основание.

Каналы Telegram, VK и MAX в CRM, запись и расшифровку звонков ВАТС, SMS, публикацию сведений на сайте школы и в виджетах (например, профилей и фотографий инструкторов, отзывов) Клиент включает сам. Включая их, Клиент как оператор обеспечивает: - информирование субъектов, в том числе предупреждение собеседника о записи звонка; - согласия, где они нужны, включая отдельное согласие на распространение персональных данных (ст. 10.1 №152-ФЗ) для публикуемых сведений; - требования ст. 12 №152-ФЗ при использовании Telegram, правообладатель и серверы которого находятся за пределами Российской Федерации. Поставщик выполняет такие действия как техническое исполнение указаний Клиента.

3.1. Гарантии и ответственность Клиента как оператора

Клиент заверяет и гарантирует, что каждое размещаемое в MotoFlowX сведение получено и обрабатывается им законно, а для него есть необходимые основания, согласия и уведомления, включая уведомление уполномоченного органа об обработке персональных данных, если оно требуется. Поставщик вправе полагаться на эти заверения (ст. 431.2 Гражданского кодекса РФ) и не обязан проверять наличие согласий.

Клиент возмещает Поставщику документально подтверждённые убытки, включая суммы штрафов, компенсаций, судебных расходов и расходов на исполнение предписаний, если они возникли вследствие: - недостоверности этих заверений; - отсутствия у Клиента законного основания обработки; - указаний Клиента, противоречащих закону; - иного нарушения Клиентом обязанностей оператора. Обязанность возмещения не применяется, если убытки вызваны нарушением со стороны Поставщика.

Поставщик содействует исполнению запросов субъектов, исправлению, выгрузке, блокированию и уничтожению, не использует базу для самостоятельных целей.

Поставщик ограничивает доступ к порученным данным лицами, которым он необходим для выполнения функций, и обеспечивает конфиденциальность в применимом объёме. Защита коммерческой тайны, секретов безопасности и данных других клиентов обеспечивается соразмерным способом предоставления подтверждающих сведений, например защищённым доступом или исключением чужих данных. Она не служит общим основанием отказать в документах и информации, предоставление которых обязательно по закону и настоящему Поручению.

4. Инциденты

При обнаружении признаков неправомерного или случайного доступа, передачи, предоставления или распространения порученных данных, требующих проверки возможного нарушения прав субъектов, Поставщик без неоправданной задержки направляет Клиенту первоначальное сообщение с доступными сведениями: время обнаружения, характер события, категории затронутых данных, предполагаемые причины и последствия, принятые меры и контакт для взаимодействия. Предварительный характер сведений обозначается явно. Подтверждение всех обстоятельств и завершение расследования не являются условием первого сообщения. Поставщик дополняет сведения по мере проверки, содействует расследованию и сохраняет относящиеся к событию доказательства на законном основании.

В случаях ч. 3.1 ст. 21 Федерального закона №152-ФЗ Клиент как оператор исполняет обязанности уведомления уполномоченного органа: первоначальное уведомление в течение 24 часов, результаты внутреннего расследования в течение 72 часов с момента выявления инцидента в порядке, установленном законом. Эти сроки не отсчитываются заново от письма Поставщика. Поставщик содействует своевременному исполнению и отдельно исполняет обязанности оператора по собственным данным. Канал сообщений — контакт администратора Клиента и support@motoflowx.ru; актуальность контактов обеспечивается сторонами.

5. Прекращение

После окончания пробного или оплаченного доступа без продления действует 90-дневный период ограниченного хранения собственной организации для просмотра, выгрузки и возможного возобновления доступа. Создание и изменение рабочих записей ограничиваются; просмотр и выгрузка сохраняются в соответствии с Соглашением. Запрос выгрузки может быть направлен на support@motoflowx.ru после проверки полномочий. Этот период не является разрешением продолжать обработку для иных целей.

В отношении порученных персональных данных этот период применяется только при наличии соответствующего договорного условия или законного указания Клиента и не отменяет обязанность прекратить обработку, заблокировать или уничтожить конкретные данные раньше, если это требуется законом или законным указанием Клиента.

Если доступ возобновлён до уничтожения и продолжение обработки является законным, обработка продолжается в пределах возобновлённого доступа и настоящего Поручения. По окончании применимого срока Поставщик прекращает обработку и уничтожает порученные данные либо возвращает их Клиенту и уничтожает оставшиеся копии, если иной порядок не требуется законом.

Владелец организации может в интерфейсе назначить удаление организации: порученные данные удаляются через 15 календарных дней после подтверждения, досрочно — по обращению владельца. Такое подтверждение считается указанием Клиента прекратить обработку и уничтожить порученные данные; до даты удаления владелец может его отменить.

Резервные копии создаются каждую ночь и хранятся 3 дня. Резервные копии включаются в процедуру прекращения обработки и уничтожения с учётом фактического цикла резервного копирования. Данные, подлежащие уничтожению, не возвращаются в рабочую обработку при восстановлении. Наличие восстанавливаемых персональных данных в доступной копии учитывается как сохранение данных, даже если копия не используется в обычной работе. Ротация копий сама по себе не отменяет законных сроков прекращения и уничтожения. Дата окончания 90-дневного периода не подтверждает автоматическое уничтожение. 90 дней отсчитываются от более поздней из дат окончания пробного и оплаченного доступа. Видеозаписи занятий удаляются автоматически через 30 дней (от первого показа ученику или от загрузки), журнал ошибок сервиса — через 30 дней. После удаления организации сохраняется только минимальное свидетельство удаления и принятия документов (хеши ссылок на организацию и пользователя, вид и хеш документа, вид и дата события) в течение 3 лет с даты удаления. Если Клиент использует действие «Обезличить» для ученика, персональные данные ученика удаляются, суммы, часы и даты занятий остаются, PDF подписанного договора по умолчанию сохраняется. Действия уполномоченных лиц и результат фиксируются отдельно.

Если уничтожение в установленный срок невозможно, Поставщик обеспечивает блокирование и уничтожение в порядке и пределах применимых требований закона, согласовывая действия с Клиентом. Блокирование или ограниченное хранение не обозначаются как завершённое уничтожение. Порядок должен исключать возвращение удалённых записей после восстановления и обеспечить уничтожение копий в применимый срок.

Уничтожение персональных данных подтверждается в случаях и порядке, установленных законодательством Российской Федерации. По обоснованному запросу Клиента Поставщик предоставляет относящееся к порученным данным подтверждение в применимом объёме. Удаление только из рабочей базы не считается завершённым уничтожением, пока в доступных копиях сохраняются восстанавливаемые персональные данные, относящиеся к уничтожению. Самостоятельное законное основание дальнейшего хранения конкретных сведений фиксируется отдельно и не подменяется общим заявлением об удалении всей базы.

Настоящее Поручение действует с момента его принятия уполномоченным Клиентом в составе Соглашения. Обработка начинается только при законной передаче соответствующих данных или получении предусмотренного указания и продолжается в пределах целей и оснований. Поручение сохраняет действие до прекращения соответствующей обработки и исполнения обязанностей по возврату, блокированию или уничтожению; одно прекращение функционального доступа его не завершает.

Каждая сторона несёт предусмотренную законом ответственность за обязанности, возложенные на неё законодательством, Соглашением и настоящим Поручением. Поручение не переносит на Поставщика обязанности Клиента как оператора по определению законных целей и оснований обработки и не освобождает Поставщика от обязанностей, непосредственно возложенных законом на лицо, осуществляющее обработку по поручению.

Обязанности конфиденциальности, безопасности и уничтожения, которые по своей природе или закону должны сохраняться после прекращения доступа, продолжают действовать в соответствующем объёме.