Приложение № 2. Поручение на обработку персональных данных

1. Роли

Лицензиат — оператор персональных данных, содержащихся в загружаемых документах. Лицензиар (ООО «Парсек Лабс») — лицо, осуществляющее обработку по поручению оператора (далее — Обработчик).

2. Субъекты и данные

Субъекты: индивидуальные предприниматели, руководители и подписанты организаций, физические лица — покупатели и получатели, чьи данные указаны в документах. Данные: ФИО, ИНН физического лица или ИП, адрес, должность, подпись (изображение), иные сведения, указанные в документе. Специальные и биометрические категории обработке не подлежат; изображение подписи используется только в составе документа и не применяется для идентификации.

3. Цель и действия

Цель: извлечение структурированных данных из документов и передача результата Лицензиату. Действия: запись, хранение, извлечение, использование, передача Лицензиату, удаление, уничтожение — автоматизированным способом.

4. Сроки хранения

Исходные файлы — от 0 часов до 7 дней, результаты — от 7 до 90 дней по выбору Лицензиата в консоли. По истечении срока данные уничтожаются без возможности восстановления; резервные копии перезаписываются в течение 14 дней.

5. Меры защиты

• обработка и хранение только в дата-центрах на территории РФ;
• шифрование TLS 1.3 при передаче и AES-256 при хранении, раздельные ключи шифрования для клиентов;
• модели распознавания работают в инфраструктуре Обработчика; передача документов сторонним ИИ-сервисам не производится;
• доступ сотрудников к содержимому документов запрещён, кроме случаев разбора обращения по письменному запросу Лицензиата; все обращения журналируются;
• определение уровня защищённости ИСПДн согласно ПП РФ № 1119, модель угроз, ежегодный внутренний аудит.

6. Инциденты

Обработчик уведомляет Лицензиата об инциденте с персональными данными в течение 12 часов с момента выявления и предоставляет сведения, необходимые для уведомления Роскомнадзора в сроки ч. 3.1 ст. 21 152-ФЗ.

7. Обучение моделей

Документы и результаты Лицензиата не используются для обучения и улучшения моделей без отдельного письменного согласия Лицензиата. При наличии согласия данные предварительно обезличиваются.

8. Субобработчики

9. Аудит

По запросу Лицензиата Обработчик предоставляет документы о принятых мерах защиты в течение 10 рабочих дней. Корпоративным клиентам доступен аудит на площадке по отдельному соглашению.