Поручение на обработку персональных данных

Приложение № 1 к Договору-оферте на предоставление доступа к сервису «ЕВМИАС CRM»

Редакция 1.4.1 от 9 ноября 2026 г.

1. Стороны и предмет

1.1. Лицензиат (ветеринарная клиника; далее — «Оператор») поручает, а Лицензиар — владелец сервиса «ЕВМИАС CRM», реквизиты которого приведены в разделе 11 настоящего Поручения (далее — «Обработчик»), принимает на себя обработку персональных данных, которые Оператор и его пользователи вносят в сервис «ЕВМИАС CRM» (далее — «Сервис»), на условиях настоящего Поручения (ч. 3 ст. 6 152-ФЗ).

1.2. Оператор самостоятельно определяет цели и состав обработки. Обработчик обрабатывает данные исключительно в объёме и целях, определённых настоящим Поручением, и не использует их в собственных целях, в том числе для обучения моделей искусственного интеллекта.

1.3. Ответственность перед субъектами персональных данных несёт Оператор; Обработчик отвечает перед Оператором (ч. 5 ст. 6 152-ФЗ). Обработчик не обязан получать согласия субъектов — их наличие обеспечивает Оператор.

1.4. Настоящее Поручение является неотъемлемой частью Договора-оферты (https://evmias.tech/ru/legal/oferta) и действует с момента его акцепта Оператором.

2. Перечень персональных данных

2.1. Данные клиентов Оператора (владельцев животных): фамилия, имя, отчество; серия и номер паспорта; номер телефона (в том числе номер, указанный клиентом в мобильном приложении «ЕВМИАС»); адрес электронной почты; адрес; тип клиента, скидка, источник обращения; отметка о согласии на рекламные сообщения; заметки, вносимые Оператором; сведения о балансе, авансах и расчётах за услуги Оператора (без платёжных реквизитов карт); история уведомлений и сообщений, направленных клиенту.

2.2. Связанные с клиентами данные о животных: кличка, вид, порода, пол, дата рождения, вес, номер чипа, фотографии; медицинские записи о животных (осмотры, диагнозы, назначения, вакцинации, лабораторные исследования и результаты); записи на приём.

2.3. Файлы и документы, загружаемые Оператором, включая автоматически распознанный текст документов, который может содержать любые данные, имеющиеся в загруженном документе.

2.4. Отзывы клиентов (имя и контакт автора, содержание).

2.5. Данные пользователей мобильного приложения «ЕВМИАС», привязавших аккаунт к карточке клиента Оператора или записавшихся к Оператору через приложение, — в объёме карточки клиента (п. 2.1–2.2), включая изменения, которые пользователь вносит в приложении.

2.6. Сведения из истории животного, к которой владелец открыл Оператору доступ для чтения, — на срок такого доступа.

3. Перечень действий и способы обработки

Сбор (через интерфейсы Сервиса, из мобильного приложения «ЕВМИАС» и импортом из сторонних систем по инициативе Оператора), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление доступа пользователям Оператора и привязанным пользователям приложения «ЕВМИАС», предоставление другим ветеринарным клиникам доступа для чтения к записям о животном по указанию его владельца в приложении «ЕВМИАС», доставка сообщений Оператора его клиентам), обезличивание (в том числе для ИИ-функций), блокирование, удаление, уничтожение — автоматизированная обработка.

4. Цели обработки

Предоставление Оператору функциональности Сервиса: ведение учёта клиентов и животных, медицинской документации, расписания и записей на приём (включая онлайн-запись через приложение «ЕВМИАС»), расчётов с клиентами, склада, уведомлений и сообщений клиентам (в том числе массовых — со ссылкой для отказа от рассылки в каждом рекламном письме), отзывов, отчётности, импорта и выгрузки данных, ИИ-функций (ассистент, распознавание документов, сводки, аналитика); предоставление владельцам животных — пользователям приложения «ЕВМИАС» — сведений об их животных, в том числе для обработки ИИ-ассистентом приложения по запросу владельца, и доступа к этим сведениям другим клиникам по указанию владельца; а также обеспечение сохранности данных (резервное копирование) и безопасности Сервиса.

5. Конфиденциальность и безопасность

5.1. Обработчик обязуется соблюдать конфиденциальность персональных данных: не раскрывать их третьим лицам и не распространять без указания Оператора, если иное не предусмотрено федеральным законом.

5.2. Обработчик обеспечивает безопасность данных при их обработке и принимает меры, предусмотренные ст. 19 152-ФЗ, в том числе:

• определение угроз безопасности и уровня защищённости (постановление Правительства РФ № 1119; состав мер — приказ ФСТЭК России № 21);
• шифрование каналов передачи данных (TLS);
• хранение паролей в виде криптографических хэшей, ключей доступа — вне исходного кода;
• ролевое разграничение доступа (доступ к данным Оператора имеют только его пользователи в пределах назначенных ролей);
• изоляцию данных разных операторов;
• ограничение доступа к файлам;
• журналирование действий с данными (аудит-журнал изменений);
• регулярное резервное копирование и контроль восстановимости;
• ограничение доступа персонала Обработчика к данным (по служебной необходимости — поддержка по обращению Оператора, проверка отзывов и карточек клиник, расследование инцидентов — с обязательствами о конфиденциальности);
• обнаружение, предотвращение и ликвидацию последствий компьютерных атак.

5.3. Особенности ИИ-функций:

• обработка выполняется языковой моделью Claude компании Anthropic, PBC (США), запросы к которой передаются через OpenRouter, Inc. (США); изображения и документы распознаются той же моделью; данные не используются для обучения моделей, а тексты запросов и ответов OpenRouter не хранит;
• для ответа на общие вопросы ассистент может искать сведения в интернете; поиск по поручению OpenRouter выполняет Exa Labs, Inc. (США); поисковые запросы формирует модель, и ей запрещено включать в них персональные данные;
• в автоматических функциях (сводки, брифинги, интерпретация анализов, аналитика) ФИО клиентов, клички и контакты в модель не передаются, телефоны и адреса электронной почты маскируются;
• при помощи с импортом в модель передаются значения строк импорта, не прошедших проверку, в том числе ФИО клиентов; телефоны и адреса электронной почты маскируются;
• в режиме диалога с ассистентом в модель передаются текст, который вводит пользователь Оператора (в том числе продиктованные данные клиента), и сведения Сервиса, которые ассистент получает для ответа, включая ФИО и контакты клиентов и клички животных; из текста прикреплённых к диалогу файлов телефоны и адреса электронной почты удаляются. Оператор определяет допустимость использования этого режима своими пользователями;
• переписка с ассистентом хранится 12 месяцев с даты последнего сообщения в диалоге, прикреплённые к ней файлы — 30 дней.

6. Субобработчики и место обработки

6.1. Оператор даёт согласие на привлечение Обработчиком следующих лиц:

6.2. Обработчик соблюдает требования ч. 5 ст. 18 и ст. 18.1 152-ФЗ. Базы данных, используемые для обработки по настоящему Поручению, располагаются на территории Российской Федерации.

6.3. Сообщения и напоминания Оператора клиентам, пользующимся приложением «ЕВМИАС», доставляются также в виде уведомлений на их устройства через службы доставки уведомлений Google LLC и Apple Inc. (США). Этим службам передаётся только заголовок, называющий вид события («Новое сообщение от клиники», «Изменения по записи на приём» и т. п.); тексты сообщений, сведения о клиентах, животных, медицинских записях и счетах в уведомления не включаются. Такая передача осуществляется Обработчиком как оператором приложения «ЕВМИАС» на основании согласия пользователя приложения; Оператор поручает Обработчику доставку уведомлений этим способом.

6.4. Уведомления пользователям Оператора в браузер передаются через службы уведомлений производителей браузеров в зашифрованном виде; содержимое этим службам недоступно.

Данные Сервиса размещаются на серверах Contabo GmbH в Германии; данные для ИИ-функций передаются OpenRouter, Inc. и Anthropic, PBC (США) в объёме п. 5.3. Иной трансграничной передачи данных, обрабатываемых по настоящему Поручению, не осуществляется.

6.5. Замена или привлечение новых субобработчиков — с уведомлением Оператора через Сервис или по электронной почте не менее чем за 15 дней; при несогласии Оператор вправе расторгнуть Договор до вступления изменений в силу.

7. Инциденты

7.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа), утраты или изменения персональных данных, обрабатываемых по Поручению, Обработчик уведомляет Оператора незамедлительно, не позднее 12 часов с момента выявления — чтобы Оператор мог исполнить обязанность уведомления Роскомнадзора в течение 24 часов (ч. 3.1 ст. 21 152-ФЗ).

7.2. Уведомление содержит: описание инцидента и затронутых данных, предполагаемые причины и вред, принятые меры; контактное лицо. В течение 72 часов Обработчик предоставляет Оператору результаты внутреннего расследования.

7.3. Обработчик содействует Оператору в исполнении его обязанностей перед Роскомнадзором и субъектами (предоставление журналов, сведений о мерах).

8. Отчётность и содействие

8.1. По запросу Оператора в течение срока действия Поручения Обработчик предоставляет документы и иную информацию, подтверждающие принятие мер по ст. 19 152-ФЗ (описание мер защиты, сведения о субобработчиках, выгрузки из журналов в отношении данных Оператора).

8.2. Обработчик содействует Оператору в исполнении запросов субъектов (поиск, выгрузка, уточнение, блокирование, уничтожение данных субъекта) средствами Сервиса; запросы субъектов, поступившие напрямую Обработчику, перенаправляются Оператору без ответа по существу, о чём уведомляется субъект.

9. Срок, прекращение и судьба данных

9.1. Поручение действует в течение срока действия Договора.

9.2. При прекращении Договора Обработчик: в течение 30 дней обеспечивает Оператору возможность выгрузки данных в машиночитаемом формате; по истечении этого срока уничтожает данные (включая резервные копии — по циклу их ротации, не более 30 дополнительных дней) и по запросу направляет подтверждение уничтожения.

9.3. Не подлежат уничтожению сведения, хранение которых обязательно для Обработчика по закону (бухгалтерские документы о расчётах, журналы, предусмотренные законодательством), — они хранятся в течение установленных законом сроков с ограничением доступа.

10. Ответственность

10.1. Обработчик возмещает Оператору документально подтверждённый реальный ущерб, причинённый нарушением настоящего Поручения, с учётом ограничений ответственности, установленных Договором.

10.2. Оператор гарантирует наличие правовых оснований обработки поручаемых данных (включая согласия субъектов на обработку, на поручение обработки Обработчику и на получение рекламы); при нарушении этой гарантии применяется п. 12.4 Договора.

11. Реквизиты Обработчика

Сведения ниже заполняются перед публикацией редакции. Пока в таблице остаётся отметка «НЕ ЗАПОЛНЕНО», документ не является действующей редакцией и не подлежит размещению в открытом доступе.