Допсоглашение об ИТ-аутсорсинге банка по 350-ФЗ: образец

Когда использовать соглашение

Образец предназначен для кредитной организации и российской аккредитованной ИТ-компании. Стороны уже заключили договор на обслуживание информационной системы. В системе подрядчика, находящейся в России, обрабатывается информация ограниченного доступа, включая сведения об операциях клиентов и персональные данные. Стороны приводят условия договора в соответствие с будущей статьёй 30.2 Закона о банках.

В модели до вступления Закона № 350-ФЗ в силу банк уже поручил обработку на принадлежащих подрядчику на законном основании системах. Это нужно подтвердить договором, поручением и документами об исполнении. Если прежний договор предусматривал только подготовительные услуги, а фактическое поручение оформляется впервые, проверьте правила нового запуска. Для иностранного банка действует статья 30.3 и требуется другой документ.

До подписания сопоставьте функции контрагента с исключениями статьи 30.2. Если у него несколько ролей, разделите услуги и источники данных. Одна договорная формулировка не должна автоматически распространять правила банковского архива на отдельный платёжный процесс.

Правовая основа

Статья 1 Закона № 350-ФЗ меняет статью 26 Закона о банках и вводит статью 30.2. Часть 9 новой статьи требует согласовать порядок ежеквартальной отчётности, информирования об инцидентах, ответственность за разглашение и порядок уведомления о намерении расторгнуть договор. Части 5-8 регулируют защиту сведений, операционный аудит, предупреждение и передачу данных при прекращении отношений.

Если в состав сведений входят персональные данные, применяется часть 3 статьи 6 Закона № 152-ФЗ. В поручении согласуются перечни данных и операций, цели, конфиденциальность, требования к защите и обязанность предоставить подтверждения. Соглашение предусматривает обязанность подрядчика уведомлять банк о случаях, указанных в части 3.1 статьи 21 Закона № 152-ФЗ.

Срок подписания и сроки исполнения

Закон вступает в силу 3 ноября 2027 года. Для подпадающих под часть 2 статьи 14 Закона № 350-ФЗ договоров предусмотрено 180 дней со дня вступления закона в силу на обновление условий. Для операционного аудита и направления его результатов по части 3 той же статьи предусмотрен один год. Стороны согласовывают внутренние сроки так, чтобы подрядчик успел пройти аудит, а банк получил результаты.

Не смешивайте переходный срок с периодом ожидания для нового поручения. Если изменяются обработчик, системы или объём операций, оцените, какой порядок применяется к изменению. Для нового поручения по статье 30.2 учитываются предварительное уведомление, аудит и истечение 60 дней при отсутствии препятствующего решения регулятора.

В договоре отделите дату вступления допсоглашения в силу от момента расширения доступа. До наступления законных оснований можно согласовывать состав отчёта, проверять экспорт на тестовых данных и назначать ответственных. Доступ к сведениям клиентов определяется применимым режимом обработки и действующими документами.

Госпошлина и форма

Для заключения дополнительного соглашения госпошлина не предусмотрена. Проверьте форму основного договора и полномочия подписантов. Приложения о данных, целевых показателях и технической передаче должны быть согласованы в форме, позволяющей установить их содержание и принадлежность к соглашению. Если основной договор подписан электронно, согласуйте, как подписываются приложения и меняются контактные каналы.

Что заполнить в приложениях

В первом приложении определите системы, компоненты и размещение, отдельно обозначьте архив и резервные копии. Укажите состав данных по категориям, действия и цели. Если оператором персональных данных выступает банк, его поручение должно быть достаточно конкретным для контроля фактической обработки.

Во втором приложении зафиксируйте показатели, источники измерений и сроки отчёта. Доступность, время восстановления и сроки обработки заявок лучше считать по заранее установленной методике. Включите описание отклонений и сроков устранения. Для инцидентов предусмотрите круглосуточный маршрут, резервный способ связи и подтверждение получения первичного уведомления.

Третье приложение описывает выход из сервиса. Укажите формат выгрузки, состав журналов и архивов, канал передачи, контроль целостности и процедуру тестового восстановления. Условия должны позволять банку принять сведения до прекращения договора. Разделите подтверждённую передачу, прекращение доступа и удаление копий с учётом применимых обязательных сроков хранения.

Как согласовать соглашение с основным договором

Сверьте условия о конфиденциальности, сроках уведомления и возврате данных с основным договором и приложениями. Если прежний договор разрешал сообщать об инциденте на следующий рабочий день, нужно явно определить приоритет нового двухчасового порядка. То же касается условий о немедленном прекращении доступа при уведомлении о расторжении. Для выхода из сервиса требуется возможность сохранить и передать сведения до прекращения договора.

Отдельно зафиксируйте, какие контактные данные можно обновлять оперативным уведомлением и какие изменения требуют соглашения сторон. Замена телефона дежурной службы и добавление новой категории клиентских данных имеют разные последствия. Для первого важна непрерывность связи, для второго - согласование поручения и проверка правовых условий доступа.

Типичные ошибки

Самая частая проблема - оставить в соглашении широкое разрешение подрядчику обрабатывать «любые данные». Так невозможно проверить, вышел ли он за пределы поручения, где хранятся резервные копии и кому видны сведения. Уточните операции по конкретным компонентам и укажите, как согласовывается изменение.

Двухчасовой срок нельзя считать с даты утверждения итогового отчёта по расследованию. Отсчёт идёт с выявления инцидента подрядчиком. Для него нужен реально доступный способ направить первичное сообщение даже при недоступности основного сервиса.

План передачи не стоит оставлять до расторжения. Если формат выгрузки не проверен, банк рискует получить файлы, которые невозможно импортировать или проверить в срок. Предусмотрите испытание и акт приёма с перечнем переданных материалов.

Связанные документы

Условия конфиденциальности можно сверить с образцом соглашения о неразглашении между организациями. Для самостоятельного спора после нарушения пригодится образец иска о взыскании убытков после утечки.

Сфера новых требований, переходный период и подготовка выхода разобраны в статье об обновлении договоров ИТ-аутсорсинга банка по Закону № 350-ФЗ.

Подготовить проект соглашения можно в «Документах Про». Заполните приложения вместе с ответственными за данные, эксплуатацию и информационную безопасность. Перед использованием проверьте вступившую в силу редакцию норм и применимые требования Банка России.