Поручение на обработку персональных данных

Приложение № 2 к Договору о предоставлении доступа к сервису «Дворум» (Dvorum) · для объектов в Республике Армения

Редакция от 06.10.2026 · версия 1.0

Внимание на терминологию. В Политике Дворум называется «Оператором». Закон Республики Армения «О защите персональных данных» делит роли иначе: тот, кто организует обработку и определяет её цели, — обработчик (մշակող), а тот, кому он поручил обработку, — уполномоченное лицо (լիազորված անձ). По данным Объекта обработчик — Заказчик, уполномоченное лицо — Исполнитель. Чтобы не путать эти роли с российским Поручением, где «Обработчиком» назван Дворум, стороны в настоящем Поручении называются так же, как в Договоре и Условиях: Заказчик и Исполнитель.

Стороны

Заказчик — [[НАИМЕНОВАНИЕ ЗАКАЗЧИКА]], учётный номер налогоплательщика (ՀՎՀՀ) [[ՀՎՀՀ ЗАКАЗЧИКА]], кондоминиум, уполномоченный или доверительный управляющий либо иное лицо, зарегистрированное в Республике Армения и осуществляющее управление Объектом. В отношении данных, указанных в разделе 3, Заказчик — обработчик персональных данных (մշակող) в смысле пункта 5 части 1 статьи 3 Закона.

Исполнитель — Гураевский Максим Дмитриевич, гражданин Российской Федерации, ИНН 773461056607, правообладатель сервиса «Дворум». В отношении данных, указанных в разделе 3, Исполнитель — уполномоченное лицо (լիազորված անձ) в смысле пункта 16 части 1 статьи 3 Закона.

1. Предмет

1.1. Заказчик поручает, а Исполнитель принимает на себя обработку персональных данных субъектов, указанных в разделе 3, на основаниях, в объёме, в целях и способами, определёнными настоящим Поручением, в соответствии со статьёй 14 Закона Республики Армения от 18.05.2015 № ՀՕ-49-Ն «О защите персональных данных» (далее — Закон).

1.2. Поручение дано в письменной форме, является неотъемлемой частью Договора и действует в течение срока его действия.

1.3. Исполнитель обрабатывает персональные данные исключительно в пределах настоящего Поручения (часть 3 статьи 14 Закона) и не определяет самостоятельно целей их обработки.

2. Правовой статус сторон

2.1. Заказчик:

• определяет цели и состав обработки;
• обеспечивает наличие правовых оснований обработки, включая получение согласий субъектов, если они требуются, и основание передачи данных в Российскую Федерацию (раздел 6);
• обеспечивает информирование субъектов, данные которых получены не от них самих (часть 4 статьи 18 Закона), — в том числе через обязанность, установленную пунктом 4.4 Условий;
• отвечает за обработку в пределах Поручения (часть 3 статьи 14 Закона).

2.2. Исполнитель:

• обрабатывает данные в пределах настоящего Поручения;
• соблюдает конфиденциальность и обеспечивает безопасность данных;
• не получает согласий субъектов на обработку данных по настоящему Поручению — эта обязанность лежит на Заказчике;
• отвечает перед Заказчиком.

2.3. Если указание Заказчика не соответствует требованиям Закона, Исполнитель письменно сообщает об этом Заказчику и отказывается от его исполнения (часть 3 статьи 14 Закона).

2.4. В отношении данных учётных записей Пользователей — адреса электронной почты, пароля, имени, номера телефона, изображения профиля, языка интерфейса и параметров уведомлений — Исполнитель является обработчиком (մշակող), сам определяет цели и состав обработки и действует на основании собственной Политики и согласий, которые собирает сам. Настоящее Поручение на эти данные не распространяется.

3. Категории субъектов и персональных данных

3.1. Категории субъектов:

• собственники помещений и лица, проживающие на Объекте;
• представители Заказчика, использующие Сервис;
• сотрудники охраны Объекта;
• гости, водители и курьеры, сведения о которых внесены для оформления пропуска или заявки на заезд транспорта;
• лица, включённые в списки доступа Объекта;
• сотрудники организаций-арендаторов, в том числе держатели карт доступа, и контактные лица организаций-арендаторов;
• посетители Объекта;
• работники подрядчиков, сведения о которых внесены в допуск на работы.

3.2. Категории персональных данных:

3.3. Персональные данные особой категории и биометрические персональные данные (статьи 12 и 13 Закона) обработке не подлежат. Заказчик обязуется не размещать такие данные в Сервисе.

3.4. Исполнитель не запрашивает паспортные данные и номера идентификационных документов физических лиц, учётные номера налогоплательщиков — физических лиц, сведения о доходах и банковских счетах физических лиц. Такие сведения обрабатываются только в объёме, в каком их вносят пользователи Заказчика: сведения о документе работника подрядчика в допуске на работы, реквизиты организаций-арендаторов и подрядчиков, являющихся индивидуальными предпринимателями.

4. Цели и правовые основания обработки

4.1. Обработка осуществляется исключительно в следующих целях:

• организация пропускного режима на Объекте и ведение журнала проездов;
• приём и обработка обращений жителей к Заказчику;
• приём показаний приборов учёта и доведение счетов до жителей;
• бронирование общих ресурсов Объекта;
• информирование жителей и проведение опросов;
• размещение объявлений жителей с предварительной модерацией;
• ведение журнала посетителей Объекта;
• выпуск и блокирование карт доступа сотрудников организаций-арендаторов;
• согласование заездов транспорта и допусков подрядчиков на работы;
• учёт организаций-арендаторов, их контактных лиц и участия сотрудников, направление уведомлений контактным лицам.

4.2. Правовое основание обработки данных, указанных в разделе 3, — согласие субъекта (пункт 1 части 1 статьи 8 и статья 9 Закона) либо прямое указание закона, которые обеспечивает Заказчик. Основание обработки данных лиц, не являющихся Пользователями, — гостей, посетителей, водителей, работников подрядчиков, лиц из списков доступа, держателей карт без учётной записи — Заказчик определяет сам; подписывая Поручение, Заказчик подтверждает, что такое основание у него есть.

4.3. Согласие, которое Исполнитель собирает при подключении сотрудника к организации-арендатору (согласие 5 Согласий), даётся Исполнителю и относится к его участию в организации; оно не заменяет оснований Заказчика по пункту 4.2.

5. Перечень действий и сроки обработки

5.1. Исполнитель вправе совершать: сбор, запись, ввод, систематизацию, организацию, хранение, использование, изменение, восстановление, передачу, исправление, блокирование и уничтожение.

5.2. Обработка осуществляется как с использованием средств автоматизации, так и без их использования.

5.3. Исполнитель не вправе:

• использовать данные в собственных целях, включая маркетинговые и аналитические;
• передавать данные лицам, кроме указанных в пункте 7.1;
• объединять базы данных разных Заказчиков;
• принимать решения, порождающие юридические последствия для субъектов, исключительно на основании автоматизированной обработки.

5.4. Сроки обработки:

5.5. Срок хранения журнала посетителей определяет Заказчик; Исполнитель устанавливает его по письменному указанию Заказчика. По истечении срока данные удаляются автоматически. Данные, срок которых определён прекращением Договора, обрабатываются в порядке раздела 14.

6. Место обработки и передача в Российскую Федерацию

6.1. Персональные данные хранятся и обрабатываются на серверах, расположенных в городе Москве (Российская Федерация). Серверы приложения, системы управления базами данных, объектное хранилище и резервные копии размещены на территории Российской Федерации.

6.2. Для субъектов, находящихся в Республике Армения, это означает передачу персональных данных в другое государство — Российскую Федерацию — в смысле статьи 27 Закона. Поручая Исполнителю обработку, Заказчик обеспечивает основание такой передачи, предусмотренное частью 1 статьи 27 Закона.

6.3. На дату настоящей редакции Российская Федерация включена в перечень государств, обеспечивающих достаточный уровень защиты персональных данных, утверждённый решением руководителя Агентства по защите персональных данных от 08.07.2024 № ԱՏՊՊ-001/24 (пункт 43 приложения), — то есть в официально опубликованный перечень уполномоченного органа, предусмотренный пунктом 2 части 2 статьи 27 Закона.

6.4. Перечень пересматривается не реже одного раза в год (часть 5 статьи 27 Закона). Если Российская Федерация будет из него исключена, Исполнитель уведомляет Заказчика в течение 5 рабочих дней со дня опубликования изменений. Дальнейшая передача в этом случае требует разрешения уполномоченного органа (части 3 и 4 статьи 27 Закона), за которым обращается Заказчик; Исполнитель предоставляет сведения для заявления. Если разрешение не получено, Заказчик вправе отказаться от Договора без применения санкций.

7. Лица, которым могут передаваться данные

7.1. Персональные данные, обрабатываемые по настоящему Поручению, могут передаваться:

• самому Заказчику и уполномоченным им лицам — представителям Заказчика, сотрудникам охраны, администраторам организаций-арендаторов — в объёме, определяемом их ролью в Сервисе;
• лицам, привлечённым Исполнителем к обработке, — по пункту 7.2;
• государственным органам — по основаниям и в порядке, установленным законом.

7.2. Заказчик даёт Исполнителю общее согласие на привлечение к обработке третьих лиц при условии соблюдения пунктов 7.3–7.5. На дату настоящей редакции привлечены:

7.3. Исполнитель обязан возложить на привлекаемое лицо обязанности, не менее строгие, чем предусмотренные настоящим Поручением, и отвечает за его действия как за свои собственные.

7.4. Об изменении состава привлечённых лиц Исполнитель уведомляет Заказчика не менее чем за 30 календарных дней до начала передачи. Заказчик вправе в этот срок направить мотивированное возражение; при недостижении согласия Заказчик вправе отказаться от Договора без применения санкций.

7.5. Привлечение лица, обрабатывающего данные за пределами Российской Федерации, допускается только после изменения раздела 6 настоящего Поручения.

8. Каналы доставки уведомлений

8.1. Помимо электронной почты Исполнитель доставляет уведомления Пользователю по дополнительным каналам, которые Пользователь подключает добровольно:

8.2. Обе функции подключаются Пользователем самостоятельно, с получением отдельного согласия, которое собирает Исполнитель в момент подключения. Сервис полностью работоспособен без них.

8.3. Уведомление формируется из данных, хранящихся на серверах в городе Москве, и направляется самому Пользователю; базы данных Сервиса в каналы доставки не выгружаются. Мессенджер и служба доставки push-уведомлений служат средством доставки сообщения Пользователю, а не получателями его данных: Исполнитель не передаёт им данные для их собственных целей.

9. Конфиденциальность

9.1. Исполнитель обеспечивает конфиденциальность персональных данных и не раскрывает их третьим лицам без поручения Заказчика, за исключением случаев, предусмотренных законом.

9.2. Доступ к данным предоставляется исключительно лицам, которым он необходим для исполнения Договора, и в минимально необходимом объёме.

9.3. Лица, допущенные к обработке, предупреждены о конфиденциальности и об ответственности за её нарушение.

9.4. Обязанность соблюдать конфиденциальность действует бессрочно и сохраняется после прекращения Договора (часть 7 статьи 19 Закона).

10. Меры защиты персональных данных

10.1. Исполнитель принимает правовые, организационные и технические меры защиты персональных данных от случайной утраты, неправомерного доступа, использования, уничтожения, изменения, блокирования, копирования и распространения.

10.2. Технические меры:

• передача данных по протоколу TLS (HTTPS);
• хранение паролей исключительно в виде необратимых хеш-значений;
• хранение служебных токенов доступа в виде хеш-значений;
• разграничение доступа по ролям;
• изоляция данных различных Объектов на уровне запросов к базе данных — сведения одного Объекта недоступны пользователям другого;
• ограничение частоты запросов к операциям входа и восстановления доступа;
• ведение журнала действий представителей Заказчика;
• ведение журнала проездов через пункты контроля доступа;
• регулярное резервное копирование с хранением копий на территории Российской Федерации.

10.3. Организационные меры: назначение лица, ответственного за организацию обработки; принятие внутренних актов; оценка вреда, который может быть причинён субъектам; определение угроз безопасности; допуск к данным только тех лиц, которым это необходимо для выполнения их функций.

10.4. По запросу Заказчика Исполнитель предоставляет сведения о принятых мерах.

11. Содействие Заказчику

11.1. Исполнитель оказывает Заказчику содействие в исполнении его обязанностей перед субъектами персональных данных и уполномоченным органом.

11.2. Обращение субъекта, поступившее Исполнителю и относящееся к данным, обрабатываемым по настоящему Поручению, передаётся Заказчику не позднее одного рабочего дня со дня получения; субъект уведомляется о переадресации.

11.3. По указанию Заказчика Исполнитель в срок не более одного рабочего дня:

• предоставляет сведения об обрабатываемых данных субъекта;
• дополняет, исправляет, блокирует или уничтожает данные;
• прекращает обработку данных субъекта.

11.4. Сроки пунктов 11.2 и 11.3 установлены с учётом сроков, которые Закон даёт Заказчику: пять дней на предоставление сведений и мотивированный отказ, три рабочих дня на исправление, блокирование или уничтожение (статья 20 Закона), десять рабочих дней на уничтожение после отзыва согласия (часть 6 статьи 21 Закона).

11.5. Исполнитель предоставляет Заказчику сведения, необходимые для ответа на запрос уполномоченного органа (часть 3 статьи 20 Закона) и для уведомления уполномоченного органа об обработке (статья 23 Закона), — не позднее двух рабочих дней со дня запроса Заказчика.

12. Действия при инциденте

12.1. При утечке персональных данных из электронных систем Сервиса, а также при выявлении иных неправомерных действий с данными Исполнитель уведомляет Заказчика незамедлительно, но не позднее 12 часов с момента выявления.

12.2. Уведомление содержит: описание инцидента, предполагаемую причину, категории и примерный объём затронутых данных, предполагаемый вред, принятые меры.

12.3. Обязанность незамедлительно опубликовать сообщение об утечке и сообщить о ней Полиции Республики Армения и уполномоченному органу (часть 4 статьи 21 Закона) в отношении данных, обрабатываемых по Поручению, лежит на Заказчике как обработчике. Исполнитель предоставляет сведения для такого сообщения. Если утечка затрагивает и данные учётных записей, Исполнитель сообщает о ней сам в порядке своей Политики; стороны согласуют содержание сообщений.

12.4. Нарушение, допущенное Исполнителем, устраняется не позднее трёх рабочих дней с момента выявления (часть 3 статьи 21 Закона); если устранить его невозможно, данные уничтожаются по указанию Заказчика.

13. Проверка

13.1. Заказчик вправе не чаще одного раза в год запросить у Исполнителя письменные сведения о мерах защиты, а также копии внутренних документов по обработке персональных данных.

13.2. Исполнитель предоставляет ответ в срок не более 20 рабочих дней.

13.3. Проверка не должна создавать риска раскрытия данных иных Заказчиков и коммерческой тайны Исполнителя.

14. Прекращение поручения

14.1. При прекращении Договора Исполнитель прекращает обработку и в срок не более 30 календарных дней по выбору Заказчика возвращает данные в машиночитаемом формате либо уничтожает их.

14.2. Если Заказчик не сообщил о своём выборе в течение 30 дней с даты прекращения Договора, данные уничтожаются.

14.3. Об уничтожении составляется акт, копия которого направляется Заказчику.

14.4. Данные в резервных копиях уничтожаются по мере их ротации, но не позднее 30 календарных дней с даты прекращения Договора. До уничтожения на них распространяются обязательства по конфиденциальности и защите.

15. Ответственность

15.1. За обработку персональных данных в пределах Поручения отвечает Заказчик (часть 3 статьи 14 Закона).

15.2. Исполнитель отвечает перед Заказчиком за неисполнение настоящего Поручения.

15.3. Совокупная ответственность Исполнителя ограничена размером, установленным Договором, за исключением случаев умысла.

15.4. Исполнитель не отвечает за:

• отсутствие у Заказчика правовых оснований обработки и передачи данных в Российскую Федерацию;
• содержание данных, размещённых Заказчиком и его представителями, включая содержимое файлов счетов;
• действия пользователей, действующих под учётными записями, выданными Заказчиком.

16. Заключительные положения

16.1. Поручение вступает в силу с даты заключения Договора.

16.2. Изменения оформляются письменно. Актуальная редакция типовой формы — https://dvorum.com/am/legal/dpa.

16.3. К обработке персональных данных по настоящему Поручению применяется Закон. В остальном применяются положения Договора и право, применимое к Договору.

16.4. Поручение составлено на русском языке. Перевод на другой язык, если он предоставляется, носит справочный характер; при расхождении действует русский текст.