ПОРУЧЕНИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
приложение к Публичной оферте FinRestore
Редакция от 16 августа 2026 года
1. Стороны и роли
1.1. Оператор — Заказчик по Публичной оферте FinRestore, самостоятельно определяющий цели и правовые основания обработки данных физических лиц и загружающий их документы.
1.2. Обработчик — индивидуальный предприниматель Пилипилиади Елена Игорьевна, ИНН 263206061158, ОГРНИП 326265100107180.
1.3. Оператор поручает Обработчику совершать с персональными данными действия, определённые настоящим Поручением.
1.4. Обработчик не определяет самостоятельную цель обработки данных субъекта кредитной истории и действует в соответствии с документированными инструкциями Оператора.
1.5. Акцепт Публичной оферты одновременно означает акцепт настоящего Поручения от имени Оператора.
2. Заверения Оператора
2.1. Оператор заверяет, что:
- является надлежащим оператором передаваемых данных либо законно действует по поручению другого оператора с правом привлечения Обработчика;
- определил конкретную и законную цель;
- имеет согласие субъекта либо иное основание, допускающее получение кредитного отчёта, его анализ и передачу Обработчику;
- выполнил обязанности по информированию субъекта;
- поручение не нарушает права субъекта и третьих лиц;
- срок и объём обработки соответствуют цели;
- Представитель, акцептовавший Поручение, обладает полномочиями.
2.2. По обоснованному запросу Обработчика Оператор предоставляет подтверждение правового основания в объёме, не раскрывающем избыточные данные.
2.3. Обработчик вправе приостановить обработку, если:
- имеются признаки незаконного получения отчёта;
- запрос несовместим с назначением Сервиса;
- Оператор не подтвердил полномочия;
- инструкция нарушает закон;
- обработка создаёт непосредственную угрозу безопасности.
3. Категории субъектов
3.1. Субъектами могут быть:
- клиенты и потенциальные клиенты Оператора;
- заёмщики;
- созаёмщики;
- поручители;
- субъекты кредитных историй;
- законные представители;
- иные физические лица, правомерно включённые в кредитный отчёт.
3.2. Оператор не вправе загружать данные иных лиц, если их обработка не необходима для заявленной цели.
4. Перечень данных
4.1. Поручение может охватывать:
- фамилию, имя, отчество;
- дату и место рождения;
- данные документа, удостоверяющего личность;
- ИНН, СНИЛС и иные идентификаторы;
- адреса, телефон и email;
- сведения о гражданстве, если они содержатся в отчёте;
- сведения о кредитных договорах и займах;
- сведения о кредиторах;
- даты заключения и прекращения обязательств;
- суммы, лимиты, остатки, платежи и задолженность;
- просрочки, статусы и события исполнения;
- сведения о залоге и поручительстве;
- сведения о запросах кредитной истории;
- сведения о кредитных заявках и решениях источников;
- сведения о банкротстве или взыскании, если они включены в отчёт;
- индивидуальный кредитный рейтинг, если он включён;
- производные аналитические показатели;
- комментарии и решения специалиста Оператора;
- идентификаторы документов, Кейсов и технических операций.
4.2. Обработчик не запрашивает данные, отсутствующие в документе или не предоставленные Оператором, кроме технических данных, создаваемых при обработке.
4.3. Оператор обязан минимизировать состав данных до необходимого объёма.
5. Запрещённые категории
5.1. Без отдельного письменного согласования запрещается загружать:
- сведения о здоровье;
- сведения об интимной жизни;
- сведения о расовой или национальной принадлежности;
- политические взгляды;
- религиозные или философские убеждения;
- биометрические данные, используемые для установления личности;
- государственную тайну;
- данные несовершеннолетних, если обработка не необходима и не обеспечено надлежащее основание.
5.2. Случайно обнаруженные избыточные специальные данные исключаются из дальнейшего использования или удаляются, если это технически возможно.
6. Цели
6.1. Обработчик вправе использовать данные исключительно для:
- приёма загруженного документа;
- проверки формата и целостности;
- извлечения текста и структуры;
- классификации разделов;
- нормализации сведений;
- сопоставления обязательств, запросов, заявок и платежей;
- выявления технических расхождений;
- формирования структурированного Кейса;
- формирования проекта информационно-аналитического описания;
- предоставления результата Оператору;
- хранения Кейса в течение согласованного срока;
- обеспечения безопасности;
- исправления технических ошибок;
- исполнения запроса Оператора или субъекта через Оператора;
- расследования инцидентов.
6.2. Данные не могут использоваться для:
- рекламы;
- продажи;
- формирования самостоятельной базы потенциальных заёмщиков;
- обучения публичных моделей;
- принятия Обработчиком кредитного решения;
- передачи кредиторам или БКИ от имени Оператора;
- любой цели, не указанной в Поручении.
7. Операции и способы
7.1. Обработчику поручаются:
- получение;
- запись;
- систематизация;
- накопление;
- временное хранение;
- извлечение;
- уточнение;
- сопоставление;
- использование;
- минимизация и псевдонимизация;
- предоставление доступа уполномоченным лицам;
- передача субобработчикам в пределах Поручения;
- блокирование;
- удаление;
- уничтожение.
7.2. Обработка осуществляется автоматизированным и смешанным способом.
7.3. Распространение неопределённому кругу лиц не поручается.
8. Инструкции
8.1. Документированными инструкциями признаются:
- настоящее Поручение;
- действия уполномоченного Представителя в интерфейсе;
- письменные обращения с подтверждённого email;
- настройки хранения и удаления;
- обязательные требования закона.
8.2. Обработчик исполняет только технически поддерживаемые и законные инструкции.
8.3. Если инструкция, по мнению Обработчика, нарушает закон, её исполнение приостанавливается до уточнения.
9. Исходный отчёт
9.1. Исходный отчёт размещается на российском VPS в защищённой рабочей области.
9.2. Он используется только для обработки конкретного Кейса.
9.3. Исходный отчёт удаляется:
- после успешного создания Кейса;
- после окончательной технической ошибки;
- после отмены операции;
- после timeout;
- в любом случае не позднее 24 часов с момента загрузки.
9.4. Исходный отчёт не предназначен для долговременного архивного хранения в FinRestore.
9.5. Оператор самостоятельно хранит оригинал, если это необходимо для его деятельности.
10. Кейс
10.1. После обработки формируется Кейс, который может содержать структурированные персональные данные и производные аналитические сведения.
10.2. Кейс хранится до наиболее раннего события:
- удаления Оператором;
- прекращения правового основания;
- истечения трёх лет с последней активности.
10.3. Удаление Кейса инициирует удаление из активной базы и рабочих хранилищ.
10.4. Остаточная копия может сохраняться в резервной копии не более 30 дней.
10.5. По письменной инструкции Оператора Обработчик может заблокировать Кейс на период проверки правового основания.
11. Yandex AI Studio
11.1. Для отдельных операций Обработчик вправе привлекать ООО «Яндекс.Облако».
11.2. Сведения о субобработчике:
ООО «Яндекс.Облако» ОГРН 1187746678580 ИНН 7704458262 Адрес: 119021, г. Москва, ул. Льва Толстого, д. 16, помещение 528.
11.3. Цель — автоматизированный анализ минимизированных фрагментов и формирование проекта структурированного или текстового результата.
11.4. Операции:
- получение модельного запроса;
- вычислительная обработка;
- формирование ответа;
- передача ответа Обработчику;
- обработка ограниченных технических метаданных.
11.5. Перед запросом выполняется минимизация прямых идентификаторов в объёме, допускаемом задачей.
11.6. Полный исходный PDF не направляется модели, если обработка может быть выполнена по извлечённым фрагментам.
11.7. На каждом поддерживаемом вызове устанавливается x-data-logging-enabled: false; содержание запроса и ответа не сохраняется в серверных журналах.
11.8. Модельные запросы не используются Обработчиком для самостоятельного обучения моделей.
11.9. Обработка выполняется в дата-центрах на территории Российской Федерации без перенаправления иностранным лицам.
11.10. Обработка ООО «Яндекс.Облако» осуществляется на основании договора и соглашения об обработке данных.
12. Хостинг и почта
12.1. Обработчик вправе привлекать:
ООО «Бегет» ОГРН 1077847645590 ИНН 7801451618 Юридический адрес: 195112, г. Санкт-Петербург, пл. Карла Фаберже, д. 8Б, офис 726А.
12.2. Цели:
- предоставление VPS;
- хранение рабочей базы;
- резервное копирование;
- передача служебной электронной почты;
- обеспечение сетевой доступности.
12.3. По письменным сведениям ООО «Бегет»:
- сервер размещён в РФ в дата-центре DataLine по адресу: г. Санкт-Петербург, территория ЦОД, ул. Жукова, д. 43, стр. 2;
- услуги ЦОД предоставляет АО «СЕВЕРЕН-ТЕЛЕКОМ», ОГРН 1037835033598, ИНН 7816181675;
- резервные копии, если услуга включена, размещаются в дата-центре «Миран»: г. Санкт-Петербург, Евпаторийский пер., д. 7, лит. А;
- хранение, резервное копирование и иная обработка за пределами РФ не осуществляются.
12.4. Основную базу создаёт и администрирует Обработчик.
12.5. Доступ работников провайдера допускается только в объёме, необходимом для поддержки, безопасности или исполнения закона.
13. Субобработчики
13.1. Оператор разрешает привлечение перечисленных в Поручении субобработчиков.
13.2. Новый субобработчик, получающий доступ к данным Кейса или содержанию модельного запроса, может быть привлечён после:
- проверки его роли и территории;
- заключения договора;
- возложения требований конфиденциальности и безопасности;
- обновления документов;
- уведомления Оператора через сайт, Аккаунт или email.
13.3. Если новый субобработчик предполагает трансграничную передачу, он не подключается без отдельного изменения Поручения и выполнения требований закона.
13.4. Платёжные и фискальные лица могут привлекаться без передачи данных кредитного отчёта.
14. Локализация и трансграничная передача
14.1. Первичная запись, систематизация, накопление, хранение и извлечение данных граждан РФ осуществляются с использованием баз на территории Российской Федерации.
14.2. В рамках Поручения трансграничная передача не осуществляется.
14.3. Обработчик не вправе без изменения Поручения:
- направлять данные в иностранный модельный API;
- подключать иностранный MCP или RAG;
- хранить резервные копии за пределами РФ;
- предоставлять иностранному лицу удалённый доступ к содержанию.
15. Конфиденциальность
15.1. Обработчик обеспечивает конфиденциальность.
15.2. Работники и подрядчики получают доступ только при производственной необходимости.
15.3. Лица с доступом принимают обязательство о неразглашении либо несут соответствующую обязанность по закону или договору.
15.4. Доступ прекращается после утраты необходимости.
15.5. Содержание отчётов и Кейсов не раскрывается другим клиентам FinRestore.
16. Безопасность
16.1. Обработчик принимает меры, включая:
- контроль и разграничение доступа;
- уникальные учётные записи;
- аутентификацию;
- защищённые соединения;
- ограничение административных прав;
- обновление компонентов;
- резервное копирование;
- журналирование событий безопасности;
- контроль целостности;
- управление уязвимостями;
- защиту API-ключей;
- минимизацию журналов;
- реагирование на инциденты;
- проверку восстановления;
- удаление временных файлов.
16.2. Содержимое отчёта, модельного запроса и ответа не включается в обычные application logs.
16.3. В техническом журнале могут сохраняться время, идентификатор операции, модель, статус, число токенов, длительность, request ID, версия приложения и факт отключённого серверного логирования.
16.4. Применяется разделение ответственности: провайдеры защищают свою инфраструктуру, Обработчик — приложение и сервер, Оператор — законность, рабочие места и действия своих пользователей.
17. Запросы субъектов
17.1. Ответственным перед субъектом остаётся Оператор.
17.2. При получении запроса непосредственно Обработчик:
- проверяет, относится ли запрос к данным по поручению;
- сообщает заявителю о возможности обращения к Оператору;
- уведомляет Оператора, если допустимо;
- не раскрывает данные без подтверждения личности и полномочий.
17.3. По запросу Оператора Обработчик содействует поиску, выгрузке, уточнению, блокированию, удалению и подтверждению действий.
17.4. Оператор направляет запрос с подтверждённого email и указывает идентификатор Кейса, требование и основание.
17.5. Обработчик оказывает доступное содействие в течение пяти рабочих дней, если иной срок не обусловлен срочностью или законом.
18. Инциденты
18.1. Инцидентом признаётся подтверждённая неправомерная или случайная передача, доступ, утрата, изменение, уничтожение или раскрытие данных, повлекшие нарушение прав субъекта либо существенный риск.
18.2. Обработчик уведомляет Оператора без неоправданной задержки, но не позднее 12 часов с момента, когда Обработчику стало известно о подтверждённом инциденте в его зоне ответственности.
18.3. Первоначальное уведомление включает доступные сведения о времени, характере, категориях данных и субъектов, предполагаемом масштабе, последствиях, мерах и контакте ответственного.
18.4. Недостающая информация предоставляется по мере расследования.
18.5. Обработчик содействует подготовке уведомлений государственным органам и субъектам.
18.6. Если событие произошло у субобработчика, срок для Обработчика исчисляется с момента получения достаточной информации от него.
18.7. Оператор незамедлительно уведомляет Обработчика об инцидентах на своей стороне.
19. Подтверждение соблюдения
19.1. По обоснованному запросу Оператора Обработчик предоставляет документы и информацию, подтверждающие:
- наличие политики и процедур;
- меры конфиденциальности;
- размещение в РФ;
- привлечение заявленных субобработчиков;
- договоры поручения;
- порядок удаления;
- меры реагирования.
19.2. Срок предоставления — до 10 рабочих дней, если запрос не требует значительного объёма подготовки.
19.3. Конфигурация защиты может раскрываться ограниченно или под обязательством конфиденциальности.
19.4. Оператор не вправе проводить сканирование инфраструктуры без письменного разрешения.
20. Ответственность
20.1. Оператор отвечает перед субъектом за законность цели, основания и инструкций.
20.2. Обработчик отвечает перед Оператором за обработку с нарушением Поручения в пределах закона и Договора.
20.3. Оператор возмещает документально подтверждённые потери Обработчика, возникшие вследствие отсутствия правового основания, незаконного получения отчёта, недостоверного заверения о полномочиях или незаконной инструкции.
20.4. Обработчик не отвечает за содержание отчёта БКИ и решения Оператора.
21. Прекращение Поручения
21.1. Поручение действует в течение Договора и периода хранения данных.
21.2. После прекращения Договора:
- новые обработки Кейсов не выполняются;
- Оператор может удалить Кейсы;
- оставшиеся данные удаляются из активной системы не позднее 30 календарных дней, если иное не предусмотрено Договором;
- резервные копии перезаписываются не позднее 30 дней после удаления;
- обязательные учётные и доказательственные сведения сохраняются в заблокированном виде.
21.3. По запросу Оператора Обработчик подтверждает завершение удаления в применимом объёме.
21.4. Обязательства по конфиденциальности и ответственности сохраняются после прекращения.
22. Контакты Обработчика
ИП Пилипилиади Елена Игорьевна ИНН 263206061158 ОГРНИП 326265100107180 Адрес: 357502, Ставропольский край, г. Пятигорск, ул. Ермолова, д. 32а Email: info@finrestore.ru Телефон: +7 (961) 455-50-50.