Поручение на обработку
персональных данных

Поручение на обработку персональных данных (Поручение) является неотъемлемой частью Договора на оказание услуг Подписки на Сервис Mindbox (Договор), заключенного между Заказчиком и Исполнителем (ООО «Майндбокс»), и устанавливает порядок обработки Исполнителем персональных данных по поручению Заказчика.

Перечень персональных данных: Исполнитель обрабатывает персональные данные, которые Заказчик передает в Сервис, в том числе, фамилия, имя, отчество; пол; e-mail; телефон; дата рождения; IP-адреса; файлы cookie, данные устройства, с которого осуществляется просмотр сайта, мобильного приложения; другие данные, предоставленные Заказчиком, а также идентификаторы, присваиваемые Сервисом.

Заказчик не передает и не поручает обрабатывать Исполнителю специальные категории персональных данных и биометрические персональные данные Клиентов (статьи 10, 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
Перечень действий (операций) с персональными данными: сбор, получение, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение. Передача (предоставление, доступ) выполняются по распоряжению Заказчика, в том числе путем совершения авторизованных Заказчиком распорядительных действий в Сервисе.
Цель обработки: предоставление Сервиса для проведения Заказчиком маркетинговых кампаний, направления рассылок и осуществления иных действий в рамках функциональных возможностей Сервиса, а также оказания Дополнительных услуг.
Срок действия Поручения: до даты прекращения Договора.
При обработке персональных данных Клиентов Исполнитель обязан соблюдать свою Политику персональных данных (Политика), опубликованную по адресу: mindbox.ru/documents/policy. Заказчик подтверждает, что ознакомлен с действующей на момент подписания Договора Политикой и обязуется отслеживать изменения в Политике, а также учитывать и соблюдать Политику при работе с Сервисом.
Исполнитель вправе поручить (субпоручение) обработку персональных данных третьему лицу в пределах настоящего Поручения.
Юридически значимые инструкции Заказчика в отношении персональных данных Клиентов подтверждаются действиями в интерфейсе Сервиса и считаются надлежащим способом направления инструкций в рамках Поручения.
Если Исполнитель получает обращение субъекта персональных данных, Исполнитель перенаправляет такое обращение Заказчику. Исполнитель вправе не рассматривать и не отвечать по существу обращения, за исключением случаев, прямо предусмотренных законодательством Российской Федерации.
Исполнитель обязуется действовать в строгом соответствии с обоснованными указаниями Заказчика в отношении обработки персональных данных (направляемыми письменно, по Средствам коммуникации или путем совершения распорядительных действий в интерфейсе Сервиса) и только в той степени и таким образом, которые необходимы для исполнения Договора, а также:
- соблюдать конфиденциальность персональных данных;
- обеспечивать принятие мер, необходимых и достаточных для выполнения обязанностей, предусмотренных ст. 18.1 152-ФЗ, в том числе назначить лицо, ответственное за организацию обработки персональных данных, издать документы, определяющие политику Исполнителя в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений, осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных требованиям 152-ФЗ, оценку вреда, который может быть причинен субъектам персональных данных, ознакомить работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, опубликовать документ, определяющий политику Исполнителя в отношении обработки персональных данных, сведения о реализуемых требованиях к защите персональных данных;
- в соответствии с ч. 5 ст. 18 152-ФЗ при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных Законом о персональных данных;
- по запросу Заказчика в течение срока действия Поручения, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения Поручения требований, установленных в соответствии с ч. 3 ст. 6 152-ФЗ;
- исполнять требования к защите обрабатываемых персональных данных в соответствии со ст. 19 152-ФЗ, то есть принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. Обеспечение безопасности персональных данных достигается, в частности:
  - определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
  - применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
  - применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
  - оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
  - учетом машинных носителей персональных данных;
  - обнаружением фактов несанкционированного доступа к персональным данным и принятием необходимых мер для устранения нарушений;
  - восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
  - установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
  - контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
  - назначением лица, ответственного за обеспечение безопасности персональных данных в информационных системах;
  - ознакомлением и обучением работников, осуществляющих обработку персональных данных правилам и условиям обработки персональных данных и требованиям к безопасности персональных данных.
Реагирование на инциденты: Исполнитель обязуется уведомлять Заказчика о случаях, предусмотренных ч. 3.1 ст. 21 152-ФЗ, а именно о фактах неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных:
- в течение 24 часов с момента обнаружения инцидента — о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, о контактном лице, уполномоченном на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом,
- в течение 72 часов с момента обнаружения инцидента — о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

Дата публикации: 24 марта 2026 г.
Дата вступления в силу: 1 апреля 2026 г.
Адрес размещения: mindbox.ru/documents/dpa

Общество с ограниченной ответственностью «Майндбокс»
125124, г. Москва, ул. Правды, д. 26, этаж 12, помещение XXX
ИНН: 7713688880
ОГРН: 1097746380380