Эти аспекты обсудите с юристами до подписания договора, а не после инцидента.
152-ФЗ о персональных данных требует включить в договор поручение на обработку персональных данных. Специалисты подрядчика при любой модели получают доступ к вашим системам, а значит, и к персональным данным сотрудников и клиентов. Закон требует прямо прописать в договоре, что подрядчик обязуется обрабатывать эти данные только в ваших целях.
При аутстаффинге доступ к данным и системам контролируете вы сами. При аутсорсинге подрядчик организует процесс самостоятельно, поэтому письменное поручение на обработку ПДн становится главным инструментом, которым можно зафиксировать его ответственность.
Рекомендация Минцифры России: фиксировать в договоре передачу исходного кода и документации. Это простой, но действенный способ снизить риск зависимости от поставщика ещё на этапе подписания контракта.
Что должно быть в договоре в любом случае: NDA с финансовой ответственностью за утечку, сегментация доступа по принципу минимальных привилегий и чётко прописанный порядок возврата данных при расторжении.