Приложение № 2 к Договору о предоставлении доступа к сервису «Дворум»
Редакция от 15.08.2026 · версия 1.0
Внимание на терминологию. В Политике «Оператор» — это Дворум. В настоящем Поручении «Оператор» — Заказчик, а Дворум выступает Обработчиком. Так требует статья 6 Закона: оператором является тот, кто определяет цели обработки. Разные роли в разных документах — это не ошибка, а суть гибридной модели; см. раздел 3 Политики.
Стороны
Оператор — [[НАИМЕНОВАНИЕ ЗАКАЗЧИКА]], ИНН [[ИНН ЗАКАЗЧИКА]], управляющая организация, товарищество собственников жилья или иное лицо, осуществляющее управление Объектом.
Обработчик — Гураевский Максим Дмитриевич, ИНН 773461056607, правообладатель сервиса «Дворум».
1. Предмет
1.1. Оператор поручает, а Обработчик принимает на себя обработку персональных данных субъектов, указанных в разделе 3, в объёме, в целях и способами, определёнными настоящим Поручением, в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).
1.2. Поручение является неотъемлемой частью Договора и действует в течение срока его действия.
1.3. Обработчик обрабатывает персональные данные исключительно по поручению Оператора и не определяет самостоятельно целей их обработки.
2. Правовой статус сторон
2.1. Оператор:
- определяет цели и состав обработки;
- обеспечивает наличие правовых оснований обработки, включая получение согласий субъектов, если они требуются;
- обеспечивает уведомление субъектов об обработке;
- отвечает перед субъектами персональных данных за действия Обработчика (часть 5 статьи 6 Закона).
2.2. Обработчик:
- обрабатывает данные в пределах настоящего Поручения;
- соблюдает конфиденциальность и обеспечивает безопасность данных;
- не обязан получать согласие субъектов — эта обязанность лежит на Операторе (часть 4 статьи 6 Закона);
- отвечает перед Оператором.
2.3. В отношении данных учётных записей пользователей — адреса электронной почты, пароля, имени, номера телефона, изображения профиля, языка интерфейса и параметров уведомлений — Обработчик выступает самостоятельным оператором и действует на основании собственной Политики. Настоящее Поручение на эти данные не распространяется.
3. Категории субъектов и персональных данных
3.1. Категории субъектов:
- собственники помещений и лица, проживающие на Объекте;
- представители Оператора, использующие Сервис;
- сотрудники охраны Объекта;
- гости, водители и курьеры, сведения о которых внесены для оформления пропуска;
- лица, включённые в списки доступа Объекта.
3.2. Категории персональных данных:
| Группа | Состав |
|---|---|
| Сведения о проживании | принадлежность к Объекту и помещению, роль, номер договора управления |
| Пропускной режим | ФИО гостя или водителя, государственный регистрационный знак, марка транспортного средства, служба доставки, дата и время въезда и выезда |
| Списки доступа | государственный регистрационный знак либо ФИО, комментарий, сведения о том, кем внесена запись |
| Обслуживание | содержание обращений и приложенные фотографии, переписка, оценка исполнения |
| Приборы учёта | заводские номера, показания по периодам |
| Начисления | файлы счетов, суммы, сведения об оплате |
| Общие ресурсы | брони с указанием помещения и времени |
| Контент | объявления жителей, результаты голосований |
3.3. Специальные категории персональных данных (статья 10 Закона) и биометрические персональные данные (статья 11 Закона) обработке не подлежат. Оператор обязуется не размещать такие данные в Сервисе.
3.4. Обработчик не запрашивает и не обрабатывает паспортные данные, СНИЛС, ИНН физических лиц, сведения о доходах и банковских счетах физических лиц.
4. Цели обработки
Обработка осуществляется исключительно в следующих целях:
- организация пропускного режима на Объекте и ведение журнала проездов;
- приём и обработка обращений жителей к Оператору;
- приём показаний приборов учёта и доведение счетов до жителей;
- бронирование общих ресурсов Объекта;
- информирование жителей и проведение опросов;
- размещение объявлений жителей с предварительной модерацией.
5. Перечень действий с персональными данными
5.1. Обработчик вправе совершать: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение.
5.2. Обработка осуществляется как с использованием средств автоматизации, так и без их использования.
5.3. Обработчик не вправе:
- использовать данные в собственных целях, включая маркетинговые и аналитические;
- передавать данные третьим лицам, кроме указанных в разделе 7;
- объединять базы данных разных Операторов;
- принимать решения, порождающие юридические последствия для субъектов, исключительно на основании автоматизированной обработки.
6. Место обработки
6.1. Обработка персональных данных граждан Российской Федерации, включая запись, систематизацию, накопление, хранение, уточнение и извлечение, осуществляется с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Закона.
6.2. Серверы приложения, системы управления базами данных, объектное хранилище и резервные копии размещены на территории Российской Федерации.
7. Привлечение третьих лиц
7.1. Оператор даёт Обработчику общее согласие на привлечение к обработке третьих лиц при условии соблюдения пунктов 7.2–7.4.
7.2. На дату настоящей редакции привлечены:
| Лицо | Что обрабатывается | Территория |
|---|---|---|
| ООО «Таймвэб.Клауд», ИНН 7810945525 | размещение серверов, баз данных, объектного хранилища | Российская Федерация |
| ООО «Яндекс.Облако» (Postbox) | адрес электронной почты и содержание письма | Российская Федерация |
7.3. Обработчик обязан возложить на привлекаемое лицо обязанности, не менее строгие, чем предусмотренные настоящим Поручением, и отвечает за его действия как за свои собственные.
7.4. Об изменении состава привлечённых лиц Обработчик уведомляет Оператора не менее чем за 30 календарных дней до начала передачи. Оператор вправе в этот срок направить мотивированное возражение; при недостижении согласия Оператор вправе расторгнуть Договор без применения санкций.
8. Трансграничная передача
8.1. Трансграничная передача осуществляется только по дополнительным функциям уведомления, подключаемым субъектом добровольно:
| Функция | Что передаётся | Получатель | Территория |
|---|---|---|---|
| Уведомления в Telegram | идентификатор чата, текст уведомления | Telegram Messenger | вне РФ |
| Push-уведомления | адрес подписки, зашифрованное содержимое | Google LLC, Apple Inc. | США |
8.2. Обе функции подключаются субъектом самостоятельно, с получением отдельного согласия на трансграничную передачу, которое собирает Обработчик в момент подключения. Сервис полностью работоспособен без них.
8.3. Первичная запись данных производится в базы данных на территории Российской Федерации; передача происходит после такой записи.
8.4. Иная трансграничная передача не осуществляется.
9. Конфиденциальность
9.1. Обработчик обеспечивает конфиденциальность персональных данных и не раскрывает их третьим лицам без поручения Оператора, за исключением случаев, предусмотренных законодательством Российской Федерации.
9.2. Доступ к данным предоставляется исключительно лицам, которым он необходим для исполнения Договора, и в минимально необходимом объёме.
9.3. Лица, допущенные к обработке, предупреждены о конфиденциальности и об ответственности за её нарушение.
9.4. Обязанность соблюдать конфиденциальность действует бессрочно и сохраняется после прекращения Договора.
10. Требования к защите персональных данных
10.1. Обработчик принимает меры, предусмотренные статьёй 19 Закона, постановлением Правительства Российской Федерации от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21.
10.2. Реализованные технические меры:
- передача данных по протоколу TLS (HTTPS);
- хранение паролей исключительно в виде необратимых хеш-значений;
- хранение служебных токенов доступа в виде хеш-значений;
- разграничение доступа по ролям;
- изоляция данных различных Объектов на уровне запросов к базе данных — сведения одного Объекта недоступны пользователям другого;
- ограничение частоты запросов к операциям входа и восстановления доступа;
- ведение журнала действий представителей Оператора;
- ведение журнала проездов через пункты контроля доступа;
- регулярное резервное копирование с хранением копий на территории Российской Федерации.
10.3. Организационные меры: назначение лица, ответственного за организацию обработки; принятие внутренних актов; проведение оценки вреда, который может быть причинён субъектам; определение угроз безопасности и уровня защищённости.
10.4. Обработчик обеспечивает уровень защищённости персональных данных, соответствующий определённым им актуальным угрозам, и по запросу Оператора предоставляет сведения о принятых мерах.
11. Содействие Оператору
11.1. Обработчик оказывает Оператору содействие в исполнении его обязанностей перед субъектами персональных данных.
11.2. Обращение субъекта, поступившее Обработчику и относящееся к данным, обрабатываемым по настоящему Поручению, передаётся Оператору в срок не более 3 рабочих дней; субъект уведомляется о переадресации.
11.3. По указанию Оператора Обработчик в срок не более 5 рабочих дней:
- предоставляет сведения об обрабатываемых данных субъекта;
- уточняет, блокирует или уничтожает данные;
- прекращает обработку данных субъекта.
11.4. Обработчик предоставляет Оператору сведения, необходимые для подготовки уведомления в Роскомнадзор и для ответов на его запросы.
12. Действия при инциденте
12.1. При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение их прав, Обработчик уведомляет Оператора незамедлительно, но не позднее 12 часов с момента выявления.
12.2. Уведомление содержит: описание инцидента, предполагаемую причину, категории и примерный объём затронутых данных, предполагаемый вред, принятые меры.
12.3. Обработчик оказывает содействие Оператору в исполнении обязанности по уведомлению Роскомнадзора в сроки, установленные частью 3.1 статьи 21 Закона (24 часа — о факте, 72 часа — о результатах расследования).
12.4. Сроки в пункте 12.1 установлены короче законных намеренно: обязанность уведомить Роскомнадзор в течение 24 часов лежит на Операторе, и он должен успеть.
13. Проверка
13.1. Оператор вправе не чаще одного раза в год запросить у Обработчика письменные сведения о мерах защиты, а также копии внутренних документов по обработке персональных данных.
13.2. Обработчик предоставляет ответ в срок не более 20 рабочих дней.
13.3. Проверка не должна создавать риска раскрытия данных иных Операторов и коммерческой тайны Обработчика.
14. Прекращение поручения
14.1. При прекращении Договора Обработчик прекращает обработку и в срок не более 30 календарных дней по выбору Оператора возвращает данные в машиночитаемом формате либо уничтожает их.
14.2. Если Оператор не сообщил о своём выборе в течение 30 дней с даты прекращения Договора, данные уничтожаются.
14.3. Об уничтожении составляется акт, копия которого направляется Оператору.
14.4. Данные в резервных копиях уничтожаются по мере их ротации, но не позднее 30 календарных дней с даты прекращения Договора. До уничтожения на них распространяются обязательства по конфиденциальности и защите.
15. Ответственность
15.1. Оператор отвечает перед субъектами персональных данных за действия Обработчика (часть 5 статьи 6 Закона).
15.2. Обработчик отвечает перед Оператором за неисполнение настоящего Поручения.
15.3. Совокупная ответственность Обработчика ограничена размером, установленным Договором, за исключением случаев умысла и грубой неосторожности.
15.4. Обработчик не отвечает за:
- отсутствие у Оператора правовых оснований обработки;
- содержание данных, размещённых Оператором и его представителями, включая содержимое файлов счетов;
- действия пользователей, действующих под учётными записями, выданными Оператором.
16. Заключительные положения
16.1. Поручение вступает в силу с даты заключения Договора.
16.2. Изменения оформляются письменно. Актуальная редакция типовой формы — https://dvorum.com/legal/dpa.
16.3. В части, не урегулированной настоящим Поручением, применяются положения Договора и законодательство Российской Федерации.