Поручение на обработку персональных данных

Редакция от 01.06.2026

Сервис DropAgent — dropagent.ru

Настоящее Поручение на обработку персональных данных (далее — «Поручение») определяет условия обработки персональных данных, передаваемых Оператором (Пользователем сервиса DropAgent) Обработчику (ИП Арапов Олег Юрьевич, ИНН 744609897621, ОГРНИП 309744621700020, далее — «DropAgent» или «Обработчик») при использовании сервиса DropAgent.

Настоящее Поручение является приложением и неотъемлемой частью Пользовательского соглашения, размещённого по адресу https://dropagent.ru/legal/terms (далее — «Соглашение»), и заключается в порядке акцепта в соответствии со ст. 437–438 Гражданского кодекса Российской Федерации.

Поручение разработано в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»).

1. Термины и определения

1.1. Сервис — программное обеспечение DropAgent, доступное через веб-интерфейс по адресу https://dropagent.ru, поддомены тенантов в зоне *.dropagent.ru, а также через Telegram-бот.

1.2. Оператор — Пользователь Сервиса (юридическое лицо, индивидуальный предприниматель или физическое лицо), создавший Тенант и принявший настоящее Поручение, выступающий оператором персональных данных в значении п. 2 ст. 3 152-ФЗ.

1.3. Обработчик — ИП Арапов Олег Юрьевич (DropAgent), осуществляющий обработку персональных данных по поручению Оператора в значении ч. 3 ст. 6 152-ФЗ.

1.4. Субъект ПД — физическое лицо, к которому относятся персональные данные, передаваемые Оператором в Сервис: клиенты Оператора, исполнители, сотрудники, контактные лица, получатели рассылок, посетители публичных форм Оператора.

1.5. Персональные данные — любая информация, относящаяся к Субъекту ПД, передаваемая Оператором в Сервис в любой форме (ручной ввод, загрузка файлов, импорт из интегрированных источников, автоматический сбор через публичные формы Оператора).

1.6. Тенант — изолированное рабочее пространство Оператора в Сервисе.

1.7. Соглашение — Пользовательское соглашение, размещённое по адресу https://dropagent.ru/legal/terms.

1.8. Иные термины, не определённые в настоящем Поручении, используются в значении, установленном Соглашением и 152-ФЗ.

2. Предмет Поручения

2.1. Оператор поручает Обработчику, а Обработчик обязуется осуществлять обработку персональных данных Субъектов ПД, переданных Оператором в Сервис, исключительно в целях обеспечения функционирования Сервиса и оказания Оператору услуг по Соглашению.

2.2. Перечень действий по обработке персональных данных приведён в разделе 5 настоящего Поручения.

2.3. Обработчик осуществляет обработку персональных данных от имени Оператора и под его контролем. Цели обработки определяются Оператором самостоятельно и должны соответствовать целям, ради которых Субъект ПД предоставил согласие.

2.4. Оператор сохраняет права и обязанности оператора персональных данных по 152-ФЗ в полном объёме, включая, но не ограничиваясь: получение согласий Субъектов ПД, ответ на их запросы, рассмотрение жалоб, взаимодействие с уполномоченными органами.

2.5. Обработчик не определяет цели обработки персональных данных Субъектов ПД Оператора, не использует такие данные в собственных целях и не передаёт их третьим лицам иначе как в случаях, прямо предусмотренных настоящим Поручением.

3. Заверения и обязанности Оператора

3.1. Оператор заявляет и гарантирует, что:

является надлежащим оператором персональных данных в значении 152-ФЗ в отношении передаваемых в Сервис данных;
получил все необходимые согласия Субъектов ПД на обработку их персональных данных в объёме, целях и способах, обеспечивающих правомерность обработки через Сервис, либо имеет иные законные основания обработки, предусмотренные ст. 6 152-ФЗ;
довёл до сведения Субъектов ПД информацию об Обработчике как о лице, осуществляющем обработку по поручению Оператора, в случаях, когда такая обязанность установлена 152-ФЗ;
передаваемые в Сервис данные собраны и обрабатываются законно, добросовестно и в объёме, соответствующем заявленным целям обработки.

3.2. Оператор обязуется:

не передавать в Сервис специальные категории персональных данных (ст. 10 152-ФЗ) и биометрические персональные данные (ст. 11 152-ФЗ), за исключением случаев, когда такая обработка прямо предусмотрена законодательством РФ и Оператор обеспечил соблюдение всех соответствующих требований самостоятельно;
определять цели и средства обработки персональных данных самостоятельно;
по запросу Субъекта ПД, поступившему через Обработчика, обеспечить предоставление информации, уточнение, блокирование или уничтожение персональных данных в установленные 152-ФЗ сроки;
незамедлительно уведомлять Обработчика об отзыве согласия Субъекта ПД, поступившем непосредственно к Оператору, если такой отзыв требует прекращения обработки в Сервисе;
предоставлять Субъектам ПД достоверные сведения о составе обрабатываемых данных, целях и способах их обработки;
не использовать Сервис в целях, нарушающих 152-ФЗ, иные нормативные правовые акты РФ или права третьих лиц.

3.3. Оператор несёт полную ответственность перед Субъектами ПД и уполномоченными государственными органами за обработку персональных данных, осуществляемую через Сервис. Обработчик не несёт ответственности за отсутствие или ненадлежащее оформление согласий Субъектов ПД, а также за иные действия (бездействие) Оператора, противоречащие 152-ФЗ.

4. Права и обязанности Обработчика

4.1. Обработчик обязуется:

обрабатывать персональные данные исключительно в целях и в объёме, определённых настоящим Поручением и Соглашением;
обеспечивать конфиденциальность персональных данных в соответствии со ст. 7 152-ФЗ;
принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в соответствии со ст. 19 152-ФЗ и Приказом ФСТЭК России от 18.02.2013 № 21;
размещать базы данных, в которых осуществляется хранение персональных данных граждан РФ, на серверах, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ);
не передавать персональные данные третьим лицам без поручения Оператора, за исключением лиц, привлечённых Обработчиком для обеспечения функционирования Сервиса (раздел 6) и случаев, прямо предусмотренных законодательством РФ;
по письменному запросу Оператора в разумный срок прекратить обработку и удалить (или вернуть) персональные данные Субъектов ПД, за исключением случаев, когда хранение требуется законодательством РФ;
уведомлять Оператора о любых известных нарушениях безопасности персональных данных в порядке раздела 7 настоящего Поручения;
не осуществлять трансграничную передачу персональных данных, за исключением случаев, прямо предусмотренных законодательством РФ.

4.2. Обработчик вправе:

привлекать к обработке персональных данных третьих лиц (хостинг-провайдеров, сервисы доставки email/SMS, платёжные системы, сервисы мониторинга, иных подрядчиков), при условии возложения на них обязанности соблюдать конфиденциальность и принимать меры защиты, эквивалентные предусмотренным настоящим Поручением. Перечень категорий привлекаемых лиц приведён в разделе 6;
осуществлять обработку обезличенных и агрегированных данных в целях анализа использования Сервиса, повышения качества и безопасности Сервиса без ограничения срока;
приостановить или прекратить обработку персональных данных Субъекта ПД в случае поступления мотивированного требования уполномоченного государственного органа или при наличии оснований полагать, что обработка нарушает законодательство РФ; в таких случаях Обработчик незамедлительно уведомляет Оператора;
использовать данные, относящиеся к учётной записи Оператора (контактные данные представителя, реквизиты юридического лица/ИП, биллинговые данные, телеметрия использования Сервиса), как собственный оператор персональных данных — в порядке, предусмотренном Политикой конфиденциальности (https://dropagent.ru/legal/privacy).

4.3. Обработчик не контролирует и не проверяет содержание персональных данных, передаваемых Оператором в Сервис, источник их получения, наличие и объём согласий Субъектов ПД.

5. Перечень персональных данных и операций обработки

5.1. Категории Субъектов ПД, чьи данные могут обрабатываться Обработчиком по поручению Оператора:

клиенты (заказчики) Оператора, в том числе физические лица, оставляющие заявки через публичные формы Оператора;
исполнители (риелторы, агенты, сотрудники подрядных организаций), привлечённые Оператором;
сотрудники (менеджеры) Оператора, имеющие доступ к Тенанту;
получатели рассылок Оператора (контакты из адресных книг, импортированных через интеграции — см. п. 9.1);
партнёры Оператора, в том числе участники программ совместного использования подборок (sharer-ы — см. п. 9.3);
иные физические лица, чьи персональные данные содержатся в материалах, загруженных Оператором в Сервис (объявления, прайс-листы, фото, документы).

5.2. Категории персональных данных, обрабатываемых по поручению Оператора:

фамилия, имя, отчество (при наличии);
адрес электронной почты;
номер телефона;
идентификатор пользователя в мессенджере Telegram (tg_id), имя пользователя (username), отображаемое имя;
адрес проживания/нахождения объекта недвижимости (для CRM-операций Оператора);
реквизиты юридического лица или индивидуального предпринимателя (для контрагентов Оператора);
сведения об объектах недвижимости и сделках, в которых упоминаются Субъекты ПД;
содержание переписки с Субъектами ПД через интегрированные мессенджеры;
IP-адрес, идентификатор браузера (User-Agent), данные файлов cookie — при взаимодействии Субъектов ПД с публичными формами Оператора;
иные данные, добровольно загружаемые Оператором в Сервис.

5.3. Перечень действий с персональными данными, осуществляемых Обработчиком:

сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) — в пределах, необходимых для функционирования Сервиса, обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется как с использованием средств автоматизации, так и без использования таких средств.

5.4. Обработка персональных данных, относящихся к учётной записи самого Оператора (биллинг, аутентификация, телеметрия использования Сервиса), осуществляется Обработчиком как самостоятельным оператором персональных данных в порядке, предусмотренном Политикой конфиденциальности.

6. Конфиденциальность и безопасность

6.1. Обработчик обязуется обеспечивать конфиденциальность персональных данных в соответствии со ст. 7 152-ФЗ: не раскрывать персональные данные третьим лицам и не распространять их без согласия Оператора, если иное не предусмотрено законодательством РФ.

6.2. Обработчик применяет следующие меры защиты персональных данных:

шифрование каналов передачи данных (TLS/HTTPS) при взаимодействии между Субъектом ПД и Сервисом, между Сервисом и интегрированными внешними системами;
хранение паролей в виде криптографических хешей с использованием соли;
разграничение доступа на уровне Тенантов: данные одного Оператора недоступны другим Операторам;
ролевая модель доступа внутри Тенанта (администратор / менеджер / исполнитель);
журналирование действий (аудит-лог) с фиксацией IP-адреса, времени и идентификатора устройства для критических операций (регистрация, вход, смена пароля);
регулярное резервное копирование данных и проверка восстановимости резервных копий;
периодическое обновление программного обеспечения серверной инфраструктуры с устранением известных уязвимостей;
размещение баз данных на серверах, расположенных на территории Российской Федерации;
иные организационные и технические меры в соответствии со ст. 19 152-ФЗ и Приказом ФСТЭК России от 18.02.2013 № 21.

6.3. К обработке персональных данных Обработчик допускает только лиц, обязанных сохранять конфиденциальность персональных данных в силу трудового или гражданско-правового договора либо в силу закона.

6.4. Обработчик вправе привлекать к обработке следующие категории лиц (подобработчиков):

провайдеров серверной инфраструктуры (хостинг центров обработки данных, расположенных в Российской Федерации);
сервисы доставки уведомлений (email, SMS, push);
сервисы веб-аналитики;
платёжные системы (при подключении платных тарифов);
сервисы мониторинга работоспособности Сервиса.

Привлечение указанных лиц не требует отдельного согласия Оператора и осуществляется Обработчиком с возложением на них обязанности соблюдать конфиденциальность и меры защиты, эквивалентные настоящему Поручению.

7. Уведомления о нарушениях безопасности

7.1. В случае обнаружения нарушения безопасности персональных данных, в том числе неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения персональных данных, Обработчик уведомляет Оператора в течение 72 (семидесяти двух) часов с момента обнаружения такого нарушения.

7.2. Уведомление направляется по адресу электронной почты, указанному Оператором при регистрации Тенанта, и содержит:

описание характера нарушения;
категории и приблизительное количество затронутых Субъектов ПД и записей персональных данных;
описание возможных последствий нарушения;
описание предпринятых или предлагаемых мер по устранению нарушения и минимизации его негативных последствий;
контактные данные ответственного за обработку персональных данных у Обработчика.

7.3. Оператор самостоятельно несёт обязанности по уведомлению уполномоченного органа (Роскомнадзора) и Субъектов ПД о нарушении безопасности персональных данных в случаях и порядке, предусмотренных ч. 3.1 ст. 21 152-ФЗ. Обработчик предоставляет Оператору всю информацию, необходимую для выполнения указанных обязанностей.

7.4. Обработчик ведёт внутренний учёт инцидентов безопасности персональных данных.

8. Срок действия и прекращение

8.1. Настоящее Поручение вступает в силу с момента акцепта Оператором при регистрации Тенанта либо с момента первого использования Сервиса Оператором после публикации новой редакции Поручения и действует в течение всего срока действия Соглашения.

8.2. Поручение прекращает действие в одном из следующих случаев:

расторжение Соглашения по любому основанию;
удаление учётной записи Оператора и Тенанта;
прекращение деятельности Сервиса.

8.3. С момента прекращения Поручения Обработчик прекращает обработку персональных данных Субъектов ПД Оператора, за исключением хранения, необходимого для выполнения обязанностей, предусмотренных законодательством РФ, а также для разрешения возможных споров с Оператором.

8.4. После расторжения Соглашения Обработчик удаляет персональные данные Субъектов ПД в течение 30 (тридцати) календарных дней, если иное не согласовано с Оператором или не требуется законодательством РФ. Обезличенные и агрегированные данные, не позволяющие идентифицировать Субъекта ПД, могут храниться без ограничения срока.

8.5. По мотивированному запросу Оператора, направленному до истечения срока, указанного в п. 8.4, Обработчик предоставляет Оператору возможность выгрузить персональные данные в машиночитаемом формате.

8.6. Записи об акцептах юридических документов (журнал акцептов), а также данные аудит-лога Сервиса хранятся в течение сроков, установленных Соглашением и Политикой конфиденциальности, как доказательство соблюдения Обработчиком и Оператором требований 152-ФЗ.

9. Особенности обработки по отдельным функциональностям Сервиса

9.1. Broadcaster и пользовательские аккаунты в мессенджерах

9.1.1. Функциональность Broadcaster позволяет Оператору импортировать контакты (в том числе из адресной книги подключённого аккаунта) и подключать пользовательские аккаунты Оператора в мессенджерах — Telegram (User-bot, через библиотеку Pyrogram), WhatsApp (через Evolution API), MAX (через библиотеку PyMax) и иные — для отправки рассылок и автоматизации коммуникаций по сетям электросвязи.

9.1.2. При использовании Broadcaster Оператор гарантирует, что:

обладает законными основаниями по 152-ФЗ для обработки персональных данных контактов, импортируемых из адресной книги или контактов подключённого аккаунта (согласие, исполнение договора, иные основания ст. 6 152-ФЗ);
довёл до сведения указанных контактов информацию об обработке их персональных данных, целях и способах обработки в объёме, требуемом 152-ФЗ;
самостоятельно обеспечивает соблюдение требований Федерального закона «О рекламе» при направлении сообщений рекламного характера, в том числе получение предварительного согласия каждого адресата (ч. 1 ст. 18 Закона от 13.03.2006 № 38-ФЗ «О рекламе»), и обязан доказать наличие такого согласия;
не осуществляет запрещённую автоматическую рассылку (автодозвон) без участия человека (ч. 2 ст. 18 Закона о рекламе) и обеспечивает маркировку и учёт рекламы (erid, ОРД, ЕРИР) в случаях, предусмотренных ст. 18.1 Закона о рекламе;
использует подключённый аккаунт в соответствии с условиями использования соответствующего мессенджера (Telegram, WhatsApp, MAX и др.) и несёт самостоятельную ответственность за возможные ограничения с их стороны (flood-wait, блокировки и т. п.);
действует как рекламораспространитель в понимании ст. 3 Закона о рекламе и несёт полную ответственность за правомерность рассылок перед получателями и контролирующими органами.

9.1.3. Обработчик не контролирует источник и состав импортируемых контактов, не проверяет наличие согласий контактов и не несёт ответственности перед контактами или владельцами соответствующих мессенджеров (Telegram, WhatsApp, MAX и др.) за действия Оператора при использовании Broadcaster.

9.1.4. Оператор обязуется возместить Обработчику (ИП Арапов Олег Юрьевич) в полном объёме любые штрафы, убытки, претензии и расходы (включая расходы на юридическую защиту), понесённые Обработчиком вследствие нарушения Оператором требований законодательства о рекламе (38-ФЗ) или о персональных данных (152-ФЗ) при проведении исходящих рассылок через функциональность Broadcaster и иные каналы Сервиса.

9.2. Импорт прайс-листов и каталогов

9.2.1. Функциональность импорта прайс-листов позволяет Оператору загружать в Сервис данные об объектах недвижимости, в которых могут содержаться персональные данные третьих лиц (фамилии, имена, телефоны, email менеджеров застройщика, контактных лиц, собственников).

9.2.2. При использовании импорта Оператор подтверждает, что обладает законными основаниями обработки персональных данных третьих лиц, содержащихся в импортируемых материалах, и обеспечил наличие необходимых согласий или иных правовых оснований, предусмотренных ст. 6 152-ФЗ.

9.3. Shared collections (подборки с разделяемым доступом)

9.3.1. Функциональность shared collections позволяет Оператору либо привлечённым им внешним партнёрам (sharer-ам) создавать публичные ссылки на подборки объектов с указанием контактных данных лица, разместившего ссылку.

9.3.2. Sharer вводит свои персональные данные через интерфейс Сервиса и подтверждает согласие на их обработку в форме, предоставляемой Сервисом от имени Оператора. Оператор остаётся оператором персональных данных sharer-а; Обработчик предоставляет технические средства и пользовательский интерфейс для получения согласия.

9.4. Webform-заказы из публичного каталога

9.4.1. Сервис предоставляет Оператору публичную форму заказа (webform), встраиваемую на сайт Оператора или размещаемую на поддомене Тенанта, в которую посетитель вводит свои контактные данные.

9.4.2. Сервис предоставляет встроенный механизм получения согласия посетителя на обработку персональных данных, с указанием Оператора как получателя согласия и Обработчика — как лица, осуществляющего обработку по поручению Оператора.

9.4.3. Обработчик принимает и передаёт Оператору данные посетителя в составе оформленного заказа, не используя их в собственных целях.

9.5. Самостоятельная регистрация исполнителей (executor self-registration)

9.5.1. Сервис предоставляет Оператору публичную форму саморегистрации исполнителей, в которой кандидат вводит свои контактные данные и подтверждает согласие на их обработку Оператором с привлечением Обработчика.

9.5.2. Записанные таким образом данные становятся доступны Оператору в Тенанте для дальнейшей работы.

10. Применимое право и разрешение споров

10.1. Настоящее Поручение регулируется законодательством Российской Федерации.

10.2. Все споры, связанные с настоящим Поручением, подлежат разрешению путём переговоров. В случае недостижения согласия спор подлежит рассмотрению в суде по месту нахождения Обработчика в соответствии с подсудностью, установленной процессуальным законодательством РФ.

10.3. Если какое-либо положение настоящего Поручения будет признано недействительным или неприменимым, это не влияет на действительность остальных положений.

10.4. Изменения и дополнения к настоящему Поручению вносятся Обработчиком в одностороннем порядке путём публикации новой редакции по адресу https://dropagent.ru/legal/dpa. Продолжение использования Сервиса Оператором после даты вступления в силу новой редакции означает её акцепт.

Реквизиты Обработчика

ИП Арапов Олег Юрьевич ИНН: 744609897621 ОГРНИП: 309744621700020 Email: info@dropagent.ru Сайт: https://dropagent.ru