Юридический документ · ст. 6 ч. 3 152-ФЗ

Договор-поручение на обработку персональных данных

Условия обработки персональных данных посетителей вашего сайта сервисом Ghostless по поручению Оператора (вас) согласно ст. 6 ч. 3 152-ФЗ.

Редакция от 26 мая 2026

1. Предмет договора-поручения

1.1. Оператор поручает, а Поручаемая сторона (далее — «Обработчик») обязуется обрабатывать персональные данные (далее — «ПДн») посетителей веб-сайта Оператора (далее — «Сайт») в составе, целях и способами, определёнными настоящим договором-поручением, для целей предоставления Оператору услуг по работе subscription consent-widget'a.

1.2. Настоящее поручение заключается на основании ст. 6 ч. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» в порядке акцепта оферты (см. п. 9 ниже).

1.3. Активация виджета на Сайте Оператора и/или начало использования его функций означает безусловный акцепт Оператором всех условий настоящего договора-поручения.

2. Перечень обрабатываемых персональных данных

Обработчик обрабатывает следующие категории ПДн посетителей Сайта Оператора:

# Категория данных Описание Цель сбора
1 IP-адрес IPv4/IPv6 источника HTTP-запроса Аудит-trail согласий (доказательство факта получения согласия по ст. 9 ч. 3 152-ФЗ)
2 User-Agent браузера Идентификатор клиентского программного обеспечения Forensics при споре «давал ли посетитель согласие»
3 URL страницы Адрес страницы Сайта, на которой получено согласие Доказательство какая именно политика была согласована
4 Анонимный visitor_id Случайный идентификатор из localStorage браузера Tracking повторных решений того же посетителя
5 Категории согласия (necessary / preferences / analytics / marketing) Какие категории cookies разрешены Реализация selective tracking по решению посетителя
6 Решение посетителя (полное согласие / только необходимые / отказ) Бинарное решение Реализация cookie-policy на Сайте
7 Имена полей форм (без значений) При срабатывании form-consent — SHA256 от sorted списка имён Tracking «эта же форма submit'нулась N раз» без раскрытия contents
8 Дата и время записи TIMESTAMPTZ Хронологический аудит

Обработчик НЕ собирает:

  • значения полей форм Сайта (email, телефон, имя и пр.) — privacy by design;
  • содержимое страниц Сайта;
  • cookies сторонних сервисов;
  • специальные категории ПДн (ст. 10 152-ФЗ);
  • биометрические ПДн (ст. 11 152-ФЗ).

3. Перечень действий с персональными данными

Обработчик совершает следующие действия с указанными выше ПДн:

  • сбор (приём HTTP-запросов от виджета на Сайте Оператора);
  • запись в журнал согласий в базе данных Обработчика на сервере в Российской Федерации;
  • систематизация (упорядочение записей по widget_id, given_at);
  • накопление (хранение всех записей за весь срок ст. 8.4 152-ФЗ);
  • хранение на территории Российской Федерации в течение 5 (пяти) лет с момента записи согласно ст. 8.4 152-ФЗ (требование о ведении журнала согласий);
  • извлечение (предоставление Оператору доступа к выгрузке в формате PDF / CSV через личный кабинет);
  • обезличивание при формировании выгрузок третьим лицам (последний октет IPv4 заменяется на × согласно принципу минимизации ст. 5 ч. 5 152-ФЗ);
  • удаление по запросу Оператора или автоматически по истечении 5-летнего срока (предусмотренного ст. 8.4 152-ФЗ).

Обработчик НЕ:

  • передаёт ПДн третьим лицам;
  • использует ПДн для своих собственных целей (таргетированной рекламы, аналитики, продажи);
  • осуществляет трансграничную передачу ПДн (хранение строго в РФ согласно ст. 18 ч. 5 152-ФЗ).

4. Цели обработки персональных данных

4.1. Обработка ПДн осуществляется исключительно в следующих целях:

  1. Выполнение требований ст. 9 152-ФЗ к получению согласия посетителей Сайта на обработку их ПДн.
  2. Ведение журнала согласий (cookies + form consents) согласно ст. 8.4 152-ФЗ.
  3. Формирование отчётов Оператору о согласиях посетителей (для предъявления в Роскомнадзор при проверке).
  4. Реализация технических средств виджета (отображение баннера, блокировка трекеров до согласия — prior consent по ст. 9, инжекция privacy footer / form consent checkbox).
  5. Аудит и compliance-мониторинг (weekly compliance health-scan, monthly certificate generation).

4.2. Обработка ПДн для иных целей запрещена.

5. Сроки обработки персональных данных

5.1. Срок хранения записей журнала согласий — 5 (пять) лет с момента создания каждой записи согласно ст. 8.4 152-ФЗ (журнал согласий).

5.2. По окончании 5-летнего срока соответствующие записи автоматически удаляются Обработчиком (cron-задача очистки старше 5 лет — TODO Sub.X к 2031 году).

5.3. По запросу Оператора Обработчик удаляет журнал согласий раньше 5-летнего срока (это операторский выбор согласно п. 7.1 — Оператор отвечает за последствия раннего удаления перед посетителями и РКН).

5.4. При прекращении настоящего договора-поручения (см. п. 8) Обработчик обязан в течение 30 (тридцати) дней уничтожить ПДн или передать их Оператору (по выбору Оператора) согласно ст. 21 ч. 4 152-ФЗ.

6. Меры безопасности

Обработчик обязуется обеспечить безопасность ПДн в соответствии с ст. 19 152-ФЗ путём принятия следующих мер:

6.1 Технические меры

  • Локализация в РФ: все данные размещены на инфраструктуре в дата-центре на территории Российской Федерации согласно ст. 18 ч. 5 152-ФЗ.
  • Шифрование транспорта: все HTTP-запросы виджета и API защищены современным TLS.
  • Безопасное хранение паролей: пароли учётных записей Оператора хранятся в виде криптографических хешей; исходные пароли не сохраняются.
  • Защищённая авторизация: токены доступа передаются в httpOnly cookie с флагами Secure + SameSite.
  • Защита от инъекций: все запросы к БД параметризованы через ORM.
  • Privacy by design: значения полей форм НЕ собираются — только имена полей (для form-consent attribution).
  • IP-anonymization в выгрузках: в выгружаемых третьим лицам PDF/CSV отчётах последний октет IPv4 заменяется на ×.
  • Cascade delete: при удалении виджета — каскадное удаление связанных согласий.

6.2 Организационные меры

  • Принцип минимальных привилегий: доступ к БД ПДн ограничен уполномоченными лицами; авторизация через криптографические ключи.
  • Audit-logs: все действия с ПДн логируются с retention ≥ 1 год.
  • Incident response: при обнаружении утечки ПДн — уведомление Роскомнадзора в течение 24 часов согласно ст. 21 ч. 3.1 152-ФЗ + уведомление Оператора в течение того же срока.
  • Регулярные обновления: регулярные обновления компонентов инфраструктуры для устранения известных уязвимостей.

Детали реализации технических мер (версии протоколов, конфигурация firewall, конкретные алгоритмы хеширования) являются конфиденциальной информацией Обработчика и доступны аудиторам под NDA по запросу на security@ghostless.ru.

6.3 Документы

7. Права и обязанности сторон

7.1 Оператор обязуется:

7.1.1. Получить от посетителей своего Сайта согласие на обработку их ПДн в виде, соответствующем требованиям ст. 9 152-ФЗ. Виджет помогает технически (баннер, чекбокс, prior consent), но юридическая ответственность за получение согласия — на Операторе.

7.1.2. Опубликовать на своём Сайте Политику обработки ПДн согласно ст. 18.1 ч. 2 152-ФЗ.

7.1.3. Уведомить Роскомнадзор о намерении обрабатывать ПДн согласно ст. 22 ч. 1 152-ФЗ (форма Р20001 на pd.rkn.gov.ru).

7.1.4. Не использовать виджет для сбора ПДн третьих лиц без их согласия (например, для скрытого tracking).

7.1.5. Своевременно вносить плату за подписку (для тарифов Pro / Agency).

7.2 Обработчик обязуется:

7.2.1. Соблюдать конфиденциальность ПДн (ст. 7 152-ФЗ).

7.2.2. Не использовать ПДн посетителей Сайта Оператора в собственных целях.

7.2.3. Не передавать ПДн третьим лицам без согласия Оператора и/или субъекта ПДн.

7.2.4. Обеспечить меры безопасности ПДн согласно п. 6 настоящего договора-поручения.

7.2.5. Предоставлять Оператору по запросу документы и информацию, подтверждающие соблюдение мер безопасности (audit-logs, скриншоты, sha256 checksum БД).

7.2.6. Уведомлять Оператора об инцидентах утечки/неправомерного доступа к ПДн в течение 24 часов с момента обнаружения.

7.2.7. По окончании срока действия настоящего договора-поручения — уничтожить ПДн в течение 30 дней или передать Оператору (по выбору Оператора).

8. Срок действия и прекращение договора-поручения

8.1. Настоящий договор-поручение вступает в силу с момента активации виджета на Сайте Оператора (акцепт) и действует:

  • бессрочно — пока подписка Оператора активна;
  • до прекращения подписки Оператором (через UI отмены подписки или email на hello@ghostless.ru);
  • до прекращения оказания услуг Обработчиком (с уведомлением Оператора за 30 дней).

8.2. При прекращении настоящего договора-поручения Обработчик:

  • прекращает обработку ПДн посетителей Сайта Оператора в течение 10 рабочих дней (ст. 21 ч. 5.1 152-ФЗ);
  • уничтожает ПДн в течение 30 дней (ст. 21 ч. 4) ИЛИ передаёт их Оператору в формате CSV/JSON (по выбору Оператора);
  • уведомляет Оператора о факте уничтожения / передачи в течение 5 рабочих дней.

8.3. Прекращение настоящего договора-поручения НЕ освобождает Обработчика от обязанности хранить уже полученные согласия в течение 5-летнего срока ст. 8.4 152-ФЗ, если Оператор сам не запросил их раннее удаление.

9. Порядок акцепта

9.1. Настоящий договор-поручение является публичной офертой в смысле ст. 437 ГК РФ.

9.2. Акцептом является:

  • активация виджета на Сайте Оператора через личный кабинет ghostless.ru;
  • проставление галочки «Согласен с условиями договора-поручения на обработку ПДн» при создании виджета через wizard.

9.3. Факт акцепта фиксируется в БД Обработчика (поле widget_installs.dpa_accepted_at + widget_installs.dpa_version) с указанием даты, IP-адреса и версии договора-поручения. По запросу Оператора Обработчик предоставляет выгрузку этого факта как доказательство согласия с настоящими условиями.

10. Ответственность сторон

10.1. Ответственность перед субъектами ПДн (посетителями Сайта Оператора) за действия Обработчика, осуществляющего обработку ПДн по поручению Оператора, несёт Оператор согласно ст. 6 ч. 5 152-ФЗ.

10.2. Обработчик несёт ответственность перед Оператором за нарушение условий настоящего договора-поручения, включая:

  • нарушение мер безопасности (п. 6);
  • нарушение конфиденциальности (п. 7.2.1);
  • нарушение целей обработки (п. 4);
  • задержку уведомления об инцидентах сверх 24 часов (п. 7.2.6).

10.3. Размер ответственности Обработчика перед Оператором ограничен стоимостью услуг подписки за последние 12 месяцев, предшествовавших возникновению ответственности.

11. Применимое право и порядок разрешения споров

11.1. К отношениям сторон применяется законодательство Российской Федерации.

11.2. Все споры передаются на рассмотрение в суд по месту нахождения Обработчика (Арбитражный суд Белгородской области для ИП / юр.лиц; суд общей юрисдикции для физических лиц по правилам подсудности).

11.3. Срок ответа на досудебную претензию — 30 (тридцать) календарных дней.

12. Связанные документы

  • Политика обработки персональных данных Обработчика (v1.1)
  • Публичная оферта на услуги сервиса Ghostless (v1.0)
  • 152-ФЗ статья 6 (условия обработки, поручение): https://internet.garant.ru/#/document/12148567/entry/6
  • 152-ФЗ статья 8.4 (журнал согласий, 5 лет): https://internet.garant.ru/#/document/12148567/entry/84
  • 152-ФЗ статья 9 (согласие): https://internet.garant.ru/#/document/12148567/entry/9
  • 152-ФЗ статья 18.1 (меры обеспечения): https://internet.garant.ru/#/document/12148567/entry/181
  • 152-ФЗ статья 19 (безопасность): https://internet.garant.ru/#/document/12148567/entry/19
  • 152-ФЗ статья 21 (прекращение обработки): https://internet.garant.ru/#/document/12148567/entry/21

Дата публикации: 26 мая 2026 г. Версия документа: 1.0