B2B-оферта SaaS и поручение на обработку данных

Исполнитель — владелец платформы LARNES, указанный на странице «Реквизиты и контакты». Заказчик — юридическое лицо или индивидуальный предприниматель, который управляет сетью, школой или образовательным центром и заключает договор для предпринимательской либо профессиональной деятельности.

Оферта регулирует только B2B-доступ к организационному контуру LARNES. Она не распространяется на самостоятельного педагога в личном контуре репетитора, семейный B2C-доступ, образовательные услуги Исполнителя, согласия субъектов персональных данных, согласие на рекламу или правила потребительских платежей.

Если закупка Заказчика требует отдельного договора, конкурсной процедуры, ЕИС, ЭДО, усиленной электронной подписи или специальных условий по Федеральным законам № 44-ФЗ либо № 223-ФЗ, стороны заключают отдельный документ. Настоящая оферта не заменяет обязательную закупочную процедуру.

Платформа — сайт, программное обеспечение, API и ролевые кабинеты LARNES. Организационный контур — изолированная область Заказчика с филиалами, пользователями и данными. Заказ — согласованный сторонами документ или запись, определяющие тариф, срок, цену, модули и дату начала доступа.

Администратор Заказчика — указанный Заказчиком пользователь, который управляет организационным контуром, сотрудниками, филиалами, ролями и подключёнными функциями. Пользователи Заказчика — представители, сотрудники и привлечённые лица, которым Заказчик законно предоставляет рабочий доступ.

Данные Заказчика — сведения и материалы, которые Заказчик или его пользователи создают, загружают, импортируют либо получают в организационном контуре, включая персональные данные, обрабатываемые по Приложению № 1.

Настоящая оферта действует. Подтверждаемый онлайн-акцепт в интерфейсе LARNES пока недоступен; до его включения договор заключается отдельным договором или заказом. Открытие страницы, регистрация аккаунта, вход, тестирование, загрузка данных, переписка или оплата сами по себе не являются акцептом настоящей оферты.

До включения онлайн-акцепта договор заключается только путём подписания сторонами отдельного договора или Заказа, который прямо присоединяет настоящую оферту и Приложение № 1. До такого заключения Заказчик не вправе загружать в LARNES персональные данные третьих лиц.

Условия онлайн-акцепта, показываемые до подключения, позволяют определить Заказчика, уполномоченного представителя, его должность и основание полномочий, редакцию документов, тариф и момент принятия. Молчание, заранее отмеченная отметка и действия неуполномоченного пользователя акцептом не являются.

Лицо, подписывающее договор или Заказ, гарантирует наличие полномочий. Исполнитель вправе запросить сведения ЕГРЮЛ или ЕГРИП, доверенность, машиночитаемую доверенность либо последующее одобрение руководителя до активации организационного контура.

Исполнитель предоставляет удалённый доступ к доступным модулям LARNES, а Заказчик использует их для организации собственных учебных и операционных процессов. Конкретный состав, лимиты и срок доступа определяются Заказом и текущими возможностями выбранного тарифа.

Организационному контуру могут быть доступны:

• филиалы, сотрудники, педагоги, дети, семьи, группы, направления, расписание, занятия, посещаемость и оценки;
• домашние задания, учебные программы, прогресс и classroom/QR-сценарии;
• CRM, лиды, задачи, договорные шаблоны и экземпляры документов;
• внутренний учёт начислений, оплат и балансов, таблицы и аналитические представления;
• интеграции и иные модули, прямо включённые в Заказе или настройках Заказчика.

LARNES предоставляет программный инструмент и не становится стороной договоров Заказчика с учениками, родителями, сотрудниками или педагогами. Внутренние записи об оплатах не являются банковским переводом, кассовым чеком или приёмом денег Исполнителем.

Доступ к SaaS, CRM и аналитике не является образовательной услугой Исполнителя. Заказчик самостоятельно отвечает за содержание и законность своей образовательной деятельности, лицензии, квалификацию работников, договоры с семьями и обязательные уведомления.

Доступ предоставляется через индивидуальные аккаунты. Заказчик назначает администраторов, выдаёт минимально необходимые роли, своевременно отключает уволенных или отстранённых пользователей и не допускает совместного использования паролей и кодов подтверждения.

Исполнитель вправе обновлять интерфейс, исправлять ошибки и развивать функции без ухудшения оплаченного основного назначения сервиса. Существенное прекращение оплаченного модуля требует предварительного уведомления и соразмерного решения по неиспользованной части доступа.

Плановые работы и аварийное обслуживание могут временно ограничить доступ. Исполнитель принимает разумные меры для восстановления сервиса и информирует Заказчика по доступному каналу, если сбой существенно влияет на работу.

Поддержка предоставляется по каналам и в часы, опубликованные на странице «Реквизиты и контакты», если Заказом не установлен расширенный уровень обслуживания.

Цена, период доступа, порядок оплаты, лимиты и подключённые модули указываются в Заказе или отдельном договоре. Если эти условия не согласованы, платный доступ по настоящей оферте не возникает.

Счёт, акт или иной первичный документ формируется в порядке, согласованном сторонами. Налоговый режим и применимость НДС определяются законодательством и реквизитами Исполнителя на дату расчёта.

Просрочка оплаты может повлечь приостановление платных функций после уведомления и предоставления разумного срока для устранения нарушения. Приостановление не отменяет обязанностей по конфиденциальности, возврату данных и оплате уже предоставленного периода.

Заказчик обязан:

• предоставлять достоверные реквизиты и сведения о представителях, администраторах и полномочиях;
• использовать Платформу законно, только для собственной деятельности и в пределах Заказа;
• обеспечить законные основания для данных учеников, детей, родителей, лидов, сотрудников и педагогов;
• выдать субъектам обязательную информацию, получить необходимые согласия и исполнять их запросы как оператор;
• не вносить избыточные, специальные или биометрические данные, если их обработка письменно не согласована и не обеспечена законом;
• контролировать роли, приглашения, интеграции, экспорт и действия своих пользователей;
• незамедлительно сообщать о компрометации аккаунта, ошибочном доступе и предполагаемом инциденте.

Заказчик отвечает за свои инструкции, материалы и действия пользователей Заказчика. Техническая возможность внести данные не означает подтверждение законности, достаточности согласия или полномочий со стороны Исполнителя.

При ручном вводе контакта и приёме заявки из подключённой формы Заказчик подтверждает наличие применимого законного основания и указывает доступную ссылку на уведомление либо иной подтверждающий документ. LARNES сохраняет утверждение Заказчика вместе с минимальными техническими сведениями об источнике и времени получения, но не свидетельствует о согласии субъекта и не проверяет его действительность. Заказчик остаётся обязанным информировать субъектов и получать согласия, когда они требуются законом.

Исполнитель предоставляет согласованный доступ, поддерживает ролевое и контурное разграничение, исправляет подтверждённые существенные ошибки в разумный срок и сообщает о важных изменениях сервиса.

Исполнитель не использует Данные Заказчика для собственной рекламы, продажи данных, обучения публичных моделей или деятельности, несовместимой с поручением. Обезличенная техническая статистика может использоваться для безопасности и улучшения сервиса, если обратная идентификация субъектов исключена.

Исполнитель вправе временно ограничить опасную операцию или доступ, если это необходимо для исполнения закона, предотвращения инцидента, защиты других клиентов или прекращения существенного нарушения. По возможности Заказчику сообщаются причина и условия восстановления.

Исключительные права на код, интерфейсы, дизайн, товарные обозначения и собственные материалы LARNES сохраняются за их правообладателями. Заказчик получает на срок договора ограниченное, неисключительное и непередаваемое право использовать Платформу через предусмотренный интерфейс.

Права на Данные Заказчика и его материалы сохраняются у Заказчика или соответствующего правообладателя. Заказчик предоставляет Исполнителю только право технически хранить, воспроизводить, преобразовывать, передавать и показывать их в объёме, необходимом для оказания сервиса и исполнения поручения.

Запрещены перепродажа доступа, извлечение существенной части баз LARNES, обход ограничений, декомпиляция вне прямо разрешённых законом случаев и использование Платформы для создания конкурирующего сервиса путём копирования её охраняемых элементов.

Каждая сторона защищает непубличные деловые, технические и договорные сведения другой стороны не слабее собственных сопоставимых сведений и раскрывает их только работникам и подрядчикам, которым доступ необходим и которые связаны обязанностью конфиденциальности.

Обязанность не применяется к общедоступным сведениям, законно полученным от третьего лица, независимо разработанным данным и раскрытию по обязательному требованию закона. Получившая требование сторона, если это не запрещено, заранее уведомляет другую сторону и ограничивает раскрытие требуемым объёмом.

Условия конфиденциальности действуют в течение договора и пять лет после его прекращения, а для персональных данных и охраняемой законом тайны — пока сохраняется соответствующий правовой режим.

Стороны отвечают за доказанные нарушения в соответствии с законодательством Российской Федерации. Сторона возмещает документально подтверждённый реальный ущерб, причинно связанный с её нарушением; упущенная выгода и косвенные потери не возмещаются в пределах, допускаемых законом.

Исполнитель не отвечает за незаконные инструкции Заказчика, недостоверные данные, ошибочно выданные Заказчиком роли, содержание его договоров и материалов, действия сторонних систем, подключённых Заказчиком, либо недоступность связи на стороне Заказчика.

Ограничения ответственности не применяются к умышленному нарушению, обязанности оплатить услуги, незаконному использованию интеллектуальной собственности, нарушению конфиденциальности и ответственности, которую закон прямо запрещает ограничивать.

Обычная программная ошибка сама по себе не является обстоятельством непреодолимой силы. Форс-мажор освобождает от ответственности только при чрезвычайности, непредотвратимости, причинной связи и своевременном уведомлении другой стороны.

Договор действует с даты, указанной в подписанном Заказе или отдельном договоре, в течение согласованного периода. Продление допускается только способом, прямо согласованным сторонами; само продолжение просмотра публичной страницы договор не продлевает.

Сторона вправе отказаться от договора при существенном нарушении другой стороны, если нарушение не устранено в течение 15 календарных дней после письменного уведомления, кроме случаев, требующих немедленного ограничения по закону или безопасности.

После прекращения блокируется новый ввод данных, Заказчику предоставляется согласованный экспорт, а данные возвращаются или удаляются по Приложению № 1. Положения об оплате, интеллектуальных правах, конфиденциальности, ответственности и разрешении споров сохраняются в необходимой части.

Исполнитель публикует новую редакцию заранее и сообщает о существенных изменениях по доступному подтверждённому каналу. Новая редакция не изменяет уже заключённый договор до её надлежащего включения в договор или нового акцепта, если он требуется.

Уведомления направляются через интерфейс, подтверждённый e-mail, ЭДО или по адресам из реквизитов сторон. Юридически значимые сообщения Исполнителю принимаются по контактам на странице «Реквизиты и контакты».

При противоречии применяются в следующем порядке: отдельный подписанный договор, Заказ, настоящее тело оферты, Приложение № 1 — для вопросов обработки по поручению, пользовательское соглашение — для общих правил интерфейса. Специальные условия Приложения № 1 имеют приоритет в его предмете.

К отношениям сторон применяется право Российской Федерации. Стороны сначала направляют письменную претензию и предоставляют 15 рабочих дней для ответа, если законом не установлен иной обязательный срок.

Неурегулированный спор рассматривается компетентным арбитражным судом по правилам процессуального законодательства Российской Федерации. Условие не изменяет исключительную подсудность и полномочия государственных органов.

При расхождении русской и английской редакций юридически приоритетна русская редакция.

Настоящее Приложение является неотъемлемой частью B2B SaaS-оферты и договором-поручением по ч. 3 ст. 6 Федерального закона № 152-ФЗ. Оно действует только вместе с заключённым договором и в пределах активного организационного контура Заказчика.

Заказчик поручает Исполнителю обработку описанных ниже персональных данных исключительно по документированным инструкциям Заказчика, настоящему Приложению, настройкам уполномоченного администратора и обязательным требованиям закона.

Поручение не заменяет согласия родителей, работников, клиентов или иных субъектов, не создаёт согласия на распространение и не включает рекламную обработку. Получение оснований и исполнение обязанностей оператора перед субъектами остаются за Заказчиком.

Заказчик является оператором данных своих учеников, детей, родителей и представителей, лидов и клиентов, работников, педагогов, плательщиков и иных лиц, внесённых им в организационный контур. Он определяет цели, основания, состав данных, пользователей и сроки в пределах закона.

Исполнитель является лицом, обрабатывающим эти данные по поручению Заказчика. Исполнитель не изменяет цели поручения и не определяет самостоятельно использование данных Заказчика.

Исполнитель остаётся самостоятельным оператором данных собственных представителей и пользователей для заключения договора, аутентификации, управления аккаунтом, информационной безопасности, поддержки, расчётов, защиты прав и исполнения обязанностей по закону. Такая обработка регулируется Политикой обработки персональных данных LARNES.

Если несколько организаций участвуют в одном процессе, Заказчик до передачи данных самостоятельно определяет их роли и обеспечивает законный обмен. Настоящее поручение не делает Исполнителя совместным оператором автоматически.

Поручение может охватывать следующие категории субъектов:

• представители, администраторы, сотрудники и педагоги Заказчика;
• действующие и потенциальные клиенты, лиды, родители, опекуны и иные представители;
• дети и совершеннолетние ученики;
• плательщики, контрагенты и контактные лица в договорах Заказчика;
• получатели приглашений и лица, указанные пользователями Заказчика в рабочих материалах.

Обрабатываемые категории данных:

• ФИО, дата рождения, пол, контактные данные, семейная или представительская связь;
• организация, филиал, должность, роль, рабочие права, статус доступа и история изменений;
• заявка, источник лида, ответственный, заметки, история CRM и коммуникаций;
• зачисление, группа, направление, программа, расписание, домашнее задание, прогресс, посещаемость, оценка и временные отметки;
• договорные шаблоны и экземпляры, начисления, оплаты, корректировки, баланс и внутренние учётные записи;
• идентификаторы аккаунта, приглашения, сессии, classroom/QR-устройства и событий безопасности;
• тексты, ссылки, изображения и иные сведения, которые Заказчик помещает в CRM, задачи, таблицы, rich-text, DOCX и другие свободные поля.

Поручение не разрешает загружать биометрические данные для идентификации, сведения о здоровье, интимной жизни, расовой или национальной принадлежности, политических, религиозных или философских убеждениях и иные специальные категории. Их обработка возможна только после отдельной письменной инструкции, проверки основания и внедрения необходимых мер; текущие функции LARNES для этого не предназначены.

Обработка допускается только для следующих целей:

• предоставление и администрирование организационного контура, филиалов, ролей и доступа;
• ведение CRM, заявок, договоров, групп, расписания, занятий, посещаемости, оценок и домашних заданий;
• отображение учебных программ, прогресса и classroom/QR-сценариев;
• внутренний учёт начислений, оплат и балансов без проведения банковских платежей Исполнителем;
• формирование доступных отчётов, таблиц и аналитических представлений Заказчика;
• импорт, экспорт, резервирование, восстановление, поддержка, диагностика и обеспечение безопасности этих функций.

Разрешённые операции: сбор по интерфейсам Заказчика, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, сопоставление внутри указанной цели, предоставление ролевого доступа, передача согласованному субобработчику, блокирование, обезличивание, удаление и уничтожение.

Обработка преимущественно автоматизированная. Неавтоматизированные действия допускаются при поддержке, проверке полномочий, импорте документов, исполнении запроса субъекта, аудите или реагировании на инцидент.

Исполнитель немедленно сообщает Заказчику, если инструкция, по его обоснованному мнению, нарушает законодательство о персональных данных, и приостанавливает спорную операцию до уточнения, кроме обязательного требования уполномоченного органа.

При сборе через интернет персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с использованием баз данных, находящихся в Российской Федерации, в соответствии с ч. 5 ст. 18 № 152-ФЗ. До подтверждения такой production-инфраструктуры Исполнитель не активирует приём данных третьих лиц по настоящему поручению.

Трансграничная передача не входит в поручение по умолчанию. Она допускается только после документированной инструкции Заказчика, выполнения требований ст. 12 № 152-ФЗ, обязательных уведомлений, оценки получателя и предварительного сообщения Заказчику.

Исполнитель привлекает хостинг-провайдера и иных субобработчиков только для необходимых функций, на основании договора с обязанностями не слабее настоящего Приложения. Исполнитель отвечает перед Заказчиком за выполнение субобработчиком порученных требований.

До активации обработки Исполнитель сообщает Заказчику актуальный перечень субобработчиков, их функции, место обработки и категории данных. О планируемой замене или добавлении Исполнитель уведомляет не менее чем за 10 рабочих дней; Заказчик может заявить обоснованное возражение по защите данных. Отключённые интеграции не считаются привлечёнными субобработчиками.

Исполнитель обеспечивает конфиденциальность и допускает к данным только лиц, которым доступ необходим для работы, которые ознакомлены с требованиями защиты и связаны обязанностью неразглашения. Доступ прекращается при утрате служебной необходимости.

С учётом ст. 18.1 и 19 № 152-ФЗ Исполнитель применяет соразмерные меры, включая:

• локальные акты, распределение функций по защите данных, оценку вреда, угроз и уровня защищённости;
• контурное и ролевое разграничение, принцип минимальных прав, индивидуальную аутентификацию и отзыв сессий;
• хеширование паролей и одноразовых кодов, управление секретами и защищённую передачу данных;
• учёт событий безопасности, ограничение частоты запросов, контроль уязвимостей и обновлений;
• резервное копирование, проверку восстановления, обеспечение доступности и план реагирования;
• обнаружение неправомерного доступа, блокирование затронутой обработки, расследование и устранение последствий;
• регулярный внутренний контроль, обучение допущенных лиц и документирование удаления.

Конкретный набор мер определяется актуальными угрозами, характером данных и обязательными требованиями. Исполнитель по запросу предоставляет Заказчику достаточное описание мер без раскрытия секретов, ключей, уязвимостей и данных других клиентов.

Заказчик принимает решения по запросам субъектов как оператор. Если запрос о Данных Заказчика поступил Исполнителю, он без необоснованной задержки, обычно не позднее одного рабочего дня, направляет его Заказчику и не отвечает по существу без инструкции, кроме собственной операторской части или требования закона.

Исполнитель в пределах доступных функций помогает найти, выгрузить, уточнить, заблокировать, прекратить обработку, удалить или подтвердить уничтожение данных. Заказчик направляет проверенную инструкцию с учётом установленных законом сроков; Исполнитель сообщает о выполнении или техническом препятствии без необоснованной задержки.

Об обнаруженном нарушении безопасности Данных Заказчика Исполнитель направляет первичное уведомление не позднее 12 часов после обнаружения по согласованному каналу. Уведомление содержит известные обстоятельства, категории субъектов и данных, предполагаемые последствия, принятые меры и контакт для взаимодействия; недостающие сведения передаются по мере расследования.

Исполнитель сохраняет относящиеся к инциденту доказательства, принимает меры локализации и восстановления и содействует Заказчику в уведомлении Роскомнадзора и субъектов. Заказчик остаётся ответственным за собственное уведомление как оператор; Исполнитель отдельно исполняет обязанности по инциденту в своей операторской части.

Данные обрабатываются в течение договора и сроков, заданных законной инструкцией Заказчика. Заказчик обязан определить собственную retention-матрицу; Исполнитель не продлевает хранение произвольно и может потребовать уточнить противоречивый срок.

После прекращения договора Заказчик может в течение 30 календарных дней запросить доступный стандартный экспорт. По истечении этого периода Исполнитель удаляет или обезличивает рабочие копии в течение 30 календарных дней, если закон или документированный legal hold не требует сохранить ограниченный состав.

Резервные копии выводятся из обращения по циклу перезаписи не позднее 14 дней после удаления рабочих данных. До перезаписи они изолированы от обычного доступа и используются только для аварийного восстановления; восстановленные данные повторно подпадают под актуальное требование удаления.

По письменному запросу Исполнитель предоставляет документы и сведения, необходимые для подтверждения исполнения поручения: описание мер, сведения о субобработчиках, результат удаления, доступные журналы и ответы на обоснованный опросник — обычно в течение 10 рабочих дней.

Заказчик вправе не чаще одного раза в год провести дистанционный аудит относящихся к поручению мер, предварительно согласовав объём и сроки. Дополнительный аудит допускается при подтверждённом инциденте или требовании регулятора. Аудит не должен раскрывать данные других клиентов, секреты защиты или необоснованно нарушать работу; его расходы несёт Заказчик, кроме случая выявленного существенного нарушения Исполнителя.

Исполнитель уведомляет Заказчика, если по обязательному требованию закона не может выполнить возврат или удаление, указывает основание и ограничивает дальнейшую обработку хранением и защитой до прекращения обязанности.