Отдельный документ Конфиденциальность и коммерческая тайна

Сведения и основания охраны

1.1. Конфиденциальными признаются переданные для заказа непубличные сведения о системах, исходном коде, конфигурации, сетях, уязвимостях, учётных записях, бизнес-процессах, ценах и контрагентах, а также материалы и содержание консультаций. Охрана распространяется на сведения, конфиденциальный характер которых следует из содержания и обстоятельств передачи, даже без специальной отметки.

1.2. Режим коммерческой тайны применяется к сведениям, в отношении которых обладатель выполнил необходимые меры статьи 10 Федерального закона от 29.07.2004 № 98-ФЗ. Настоящее соглашение не заменяет определение перечня сведений, ограничение и учёт доступа, договорное регулирование и маркировку носителей у обладателя. Отсутствие полного режима коммерческой тайны не прекращает договорную конфиденциальность. Статья 10 Закона № 98-ФЗ.

1.3. Конфиденциальность не распространяется на законно общедоступные сведения, независимо разработанные сведения и сведения, законно полученные без обязанности неразглашения. Сторона, ссылающаяся на исключение, подтверждает соответствующее основание. Собственное неправомерное раскрытие не делает информацию свободной от охраны.

1.4. При обязательном раскрытии по закону передаётся необходимый объём уполномоченному получателю. Другая сторона уведомляется, если уведомление не запрещено. Договор не ограничивает право на судебную защиту и обращение в компетентные органы.

Минимизация доступа и передача материалов

2.1. Принцип Zero Trust реализуется проверкой полномочий и доступа: для конкретной задачи, определённому лицу, в минимальном объёме и на ограниченный срок.

2.2. Анализ выполняется по необходимым выгрузкам либо в согласованном режиме чтения. Исходные файлы и рабочие копии разграничиваются; изменение действующей системы требует отдельного задания, разрешения, резервирования и процедуры восстановления.

2.3. Заказчик удаляет из материалов избыточные персональные данные и действующие секреты. Простое хэширование адреса электронной почты или замена имени не считается автоматически достаточным обезличиванием: при сохранении возможности определить человека применяются требования к персональным данным.

2.4. Если для задания необходимы персональные данные третьих лиц, стороны до передачи оформляют поручение обработки по части 3 статьи 6 Закона № 152-ФЗ либо устанавливают иное надлежащее основание. Поручение определяет цели, данные, операции, меры защиты, подтверждение исполнения, сообщения об инцидентах, возврат и уничтожение. Настоящее NDA такого поручения не заменяет.

2.5. Конфиденциальные файлы передаются через согласованный защищённый канал с проверкой адресата. При использовании архивов применяется AES-256 или согласованная равноценная защита; пароль передаётся по отдельному каналу. Для временной ссылки срок доступности составляет не более 24 часов, после чего при необходимости создаётся новая ссылка для того же адресата. Истечение ссылки не означает уничтожение уже загруженных копий. Правило канала применяется, когда стороны его согласовали. Кабинет клиента для обмена на этапе кассы не обязателен: достаточны почта, ЭДО или иной указанный в заказе канал.

2.6. Материалы хранятся на защищённых носителях с шифрованием и контролем доступа. Не допускаются общие публичные ссылки, размещение в публичных репозиториях, неучтённое копирование в личные облака и передача действующих секретов в журналы, формы сайта или чат с внешней моделью.

2.7. Привлечение иных специалистов и внешних сервисов с доступом к содержанию заказа требует предварительного письменного согласования и надлежащего оформления обработки данных. Исполнитель не использует материалы для обучения общедоступных моделей, других заказов, портфолио или собственных продуктов без отдельного разрешения обладателя.

Инциденты

3.1. При обнаружении несанкционированного доступа, ошибочно полученных действующих секретов или избыточных персональных данных Исполнитель прекращает соответствующую обработку, изолирует материалы и ограничивает доступ. Активные секреты подлежат отзыву или смене их обладателем.

3.2. Первичное уведомление Заказчику направляется без неоправданной задержки, не позднее одного часа с момента обнаружения Исполнителем. Оно содержит известные факты, затронутые материалы, уже принятые меры и контакт для взаимодействия; отсутствие полной картины не задерживает первое сообщение.

3.3. Исполнитель сохраняет минимально необходимые доказательства инцидента в ограниченном доступе и согласует законный возврат или уничтожение ошибочно полученных материалов. Автоматическое уничтожение всех цифровых следов до оценки обязанностей по расследованию не производится.

3.4. Срок сообщения Заказчику не заменяет уведомление Роскомнадзора обязанным оператором. При наличии предусмотренного частью 3.1 статьи 21 Закона № 152-ФЗ инцидента соблюдаются установленные законом сроки 24 и 72 часа от его выявления; для данных клиентов Заказчика стороны действуют также по поручению обработки.

Возврат, хранение и ответственность

4.1. Оперативные копии исходных конфиденциальных материалов возвращаются либо уничтожаются не позднее 30 календарных дней после завершения заказа, если иной необходимый срок не согласован законно. Договор, акт, расчётные документы и минимальные доказательства исполнения хранятся отдельно по соответствующему основанию.

4.2. Законно сохраняемые материалы остаются конфиденциальными и не используются в иных целях. Резервные копии выводятся из обычного использования, удаляются по установленному циклу в пределах применимых сроков и не восстанавливаются в рабочую обработку без учёта ранее принятых решений об удалении.

4.3. Обязанность договорного неразглашения действует пять лет после завершения заказа. Для охраняемой законом тайны и персональных данных применяются также соответствующие сроки и условия охраны, в том числе после истечения договорного срока.

4.4. Публикация имени, фотографии, наименования клиента, отзыва или примера работ требует отдельного разрешения; распространение персональных данных оформляется с учётом статьи 10.1 Закона № 152-ФЗ. Молчание и оплата такого разрешения не создают.

4.5. Общий предел стоимости делового заказа не применяется к нарушениям конфиденциальности и защиты персональных данных. Ответственность и доказывание определяются законом и договором.