Как составить договор оказания услуг на предоставление телеграм-бота с админ-панелью: распределение ответственности за персональные данные и права на интеллектуальную собственность

Кто является оператором персональных данных и как оформить обработку по поручению

Закон распределяет роли так: оператором остаётся заказчик (организация, чьи сотрудники загружаются), а исполнитель (владелец бота и админки) обрабатывает данные только по поручению оператора. Это прямо следует из нормы о поручении обработки:

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных
— ч. 3 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

Именно заказчик, загружая через админку сведения о своих сотрудниках, определяет цели и состав обработки, то есть остаётся оператором. Исполнитель, предоставляющий лишь техническую инфраструктуру и обрабатывающий данные по заданию заказчика, является лицом, действующим по поручению оператора. Чтобы такая модель была непротиворечивой, поручение должно быть оформлено договором — в вашем случае достаточно включить соответствующий раздел в сам договор оказания услуг, отдельный договор не обязателен.

Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных
— ч. 1 ст. 22 ФЗ № 152-ФЗ

Уведомить Роскомнадзор обязан оператор (заказчик), а не исполнитель, — поскольку обработка персональных данных сотрудников осуществляется по поручению заказчика. Однако важная для вас норма о локализации обязывает хранить данные граждан РФ на территории России:

При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются
— ч. 5 ст. 18 ФЗ № 152-ФЗ

Поскольку Telegram как инфраструктура доставки сообщений не является местом хранения персональных данных в вашей базе, ключевое требование — чтобы серверы (и база данных админ-панели), где вы храните загруженные ФИО, должности, телефоны и почты, физически размещались в РФ. Этот факт нужно прямо зафиксировать в договоре (реквизиты серверов/ЦОД), иначе появится риск нарушения ч. 5 ст. 18.

Вывод по вопросу об операторе: оператором персональных данных остаётся заказчик; исполнитель обрабатывает данные только по его поручению на основании договора, не передаёт их третьим лицам и удаляет после расторжения. В договоре прямо указывают: заказчик — оператор, исполнитель — лицо, обрабатывающее ПДн по поручению.

Ответственность заказчика за согласия сотрудников и правомерность загрузки данных

Заказчик, выступая оператором, несёт бремя доказывания законности обработки и получения согласий:

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора
— ч. 3 ст. 9 ФЗ № 152-ФЗ

Поскольку сотрудники — это работники заказчика, передача их персональных данных третьему лицу (исполнителю) возможна только с их письменного согласия, что прямо закреплено трудовым законодательством:

не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) не сообщать персональные данные работника в коммерческих целях без его письменного согласия; предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности)
— ст. 88 ТК РФ

Это означает: заказчик, загружая в админ-панель данные работников, обязан до загрузки получить письменное согласие каждого работника на передачу его данных исполнителю. Требование к содержанию такого согласия (включая указание лица, обрабатывающего по поручению) закреплено в ст. 9:

наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных. 5. Порядок получения в форме электронного документа согласия субъекта персональных данных на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, устанавливается Правительством Российской Федерации. 6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных. 7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни. 8.
— п. 6 ч. 4 ст. 9 ФЗ № 152-ФЗ

В договоре заказчику следует дать заверение о том, что согласия получены и данные он вправе загружать. Юридически это оформляется как заверения об обстоятельствах, за недостоверность которых наступает ответственность:

Сторона, которая при заключении договора либо до или после его заключения дала другой стороне недостоверные заверения об обстоятельствах, имеющих значение для заключения договора, его исполнения или прекращения (в том числе относящихся к предмету договора, полномочиям на его заключение, соответствию договора применимому к нему праву, наличию необходимых лицензий и разрешений, своему финансовому состоянию либо относящихся к третьему лицу), обязана возместить другой стороне по ее требованию убытки, причиненные недостоверностью таких заверений, или уплатить предусмотренную договором неустойку
— ст. 431.2 ГК РФ, п. 1

При этом доказывать получение согласий обязан именно заказчик как оператор (ч. 3 ст. 9). Исполнитель, обрабатывающий данные по поручению, не является оператором и не несёт этой обязанности — но только если это прямо распределено в договоре. Дополнительно можно включить условие о возмещении потерь исполнителя на случай предъявления требований третьими лицами (работниками или Роскомнадзором) из-за незаконной загрузки данных заказчиком:

Стороны обязательства, действуя при осуществлении ими предпринимательской деятельности, могут своим соглашением предусмотреть обязанность одной стороны возместить имущественные потери другой стороны, возникшие в случае наступления определенных в таком соглашении обстоятельств и не связанные с нарушением обязательства его стороной (потери, вызванные невозможностью исполнения обязательства, предъявлением требований третьими лицами или органами государственной власти к стороне или к третьему лицу, указанному в соглашении, и т.п.). Соглашением сторон должен быть определен размер возмещения таких потерь или порядок его определения
— п. 1 ст. 406.1 ГК РФ

Вывод по вопросу о согласиях: заказчик отвечает за то, что согласия работников получены и что он вправе загружать данные. В договоре это фиксируется через заверения об обстоятельствах (ст. 431.2 ГК РФ) и условие о возмещении потерь (ст. 406.1 ГК РФ), чтобы переложить на заказчика риски, связанные с незаконной передачей данных сотрудников.

Обязанности исполнителя по защите, нераскрытию третьим лицам и удалению данных, и обязательные условия поручения

Исполнитель, даже будучи лишь обработчиком по поручению, обязан соблюдать принципы и правила обработки и принимать меры защиты (ч. 3 ст. 6, ст. 19 ФЗ № 152-ФЗ):

Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных
— ст. 19 ФЗ № 152-ФЗ, п. 1

В договоре необходимо зафиксировать перечень мер безопасности, которые исполнитель принимает (шифрование, разграничение доступа, логирование), — это одновременно обоснует соответствие ст. 19 и станет основанием для уведомления оператора (заказчика) в реестр Роскомнадзора. Условие о нераскрытии данных третьим лицам базируется на режиме конфиденциальности получателей данных работников:

не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) не сообщать персональные данные работника в коммерческих целях без его письменного согласия; предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности)
— ст. 88 ТК РФ

Что касается удаления после расторжения, закон прямо обязывает оператора прекратить обработку и уничтожить данные при достижении цели обработки:

В случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных
— ч. 4, 5 ст. 21 ФЗ № 152-ФЗ

Поскольку поручение на обработку прекращается с прекращением договора, а цель обработки (обеспечение работы бота для сотрудников) перестаёт достигаться, исполнитель обязан по окончании договора уничтожить загруженные данные. В договоре следует установить конкретный срок удаления (например, 30 дней с даты расторжения, с письменным подтверждением уничтожения) и уточнить, что делает заказчик с данными, оставшимися в его доступе.

Вывод по вопросу об обязанностях исполнителя: исполнитель хранит данные на своих серверах (обязательно в РФ), не передаёт их третьим лицам, принимает меры защиты по ст. 19 ФЗ № 152-ФЗ и обязан уничтожить данные в установленный договором срок после расторжения — это прямо корреспондирует ч. 4–5 ст. 21 ФЗ № 152-ФЗ.

Интеллектуальная собственность: кому принадлежат бот и админ-панель

Телеграм-бот и админ-панель являются программами для ЭВМ и охраняются как литературные произведения:

Авторские права на все виды программ для ЭВМ (в том числе на операционные системы и программные комплексы), которые могут быть выражены на любом языке и в любой форме, включая исходный текст и объектный код, охраняются так же, как авторские права на произведения литературы
— ст. 1261 ГК РФ

Гражданин или юридическое лицо, обладающие исключительным правом на результат интеллектуальной деятельности или на средство индивидуализации (правообладатель), вправе использовать такой результат или такое средство по своему усмотрению любым не противоречащим закону способом. Правообладатель может распоряжаться исключительным правом на результат интеллектуальной деятельности или на средство индивидуализации (статья 1233), если настоящим Кодексом не предусмотрено иное. Правообладатель может по своему усмотрению разрешать или запрещать другим лицам использование результата интеллектуальной деятельности или средства индивидуализации. Отсутствие запрета не считается согласием (разрешением)
— п. 1 ст. 1229 ГК РФ

Для правообладателя (исполнителя) решающее значение имеет то, кто фактически разрабатывал ПО: штатные работники создают служебное произведение, исключительные права на которое по общему правилу принадлежат работодателю:

Исключительное право на служебное произведение принадлежит работодателю, если трудовым или гражданско-правовым договором между работодателем и автором не предусмотрено иное. (В редакции Федерального закона от 12.03.2014 № 35-ФЗ) Если работодатель в течение трех лет со дня, когда служебное произведение было предоставлено в его распоряжение, не начнет использование этого произведения, не передаст исключительное право на него другому лицу или не сообщит автору о сохранении произведения в тайне, исключительное право на служебное произведение возвращается автору. (В редакции Федерального закона от 12.03.2014 № 35-ФЗ) Если работодатель в срок, предусмотренный в абзаце втором настоящего пункта, начнет использование служебного произведения или передаст исключительное право другому лицу, автор имеет право на вознаграждение. Автор приобретает указанное право на вознаграждение и в случае, когда работодатель принял решение о сохранении служебного произведения в тайне и по этой причине не начал использование этого произведения в указанный срок. Размер вознаграждения, условия и порядок его выплаты работодателем определяются договором между ним и работником
— п. 2 ст. 1295 ГК РФ

Внешним подрядчикам права могут принадлежать, если договором не предусмотрено иное (причём по договору авторского заказа право по умолчанию у заказчика, а при подряде, не предусматривавшем создание ПО, — у исполнителя):

Исключительное право на программу для ЭВМ, базу данных или иное произведение, созданные по договору, предметом которого было создание такого произведения (по заказу), принадлежит заказчику, если договором между подрядчиком (исполнителем) и заказчиком не предусмотрено иное. 2. В случае, если исключительное право на произведение в соответствии с пунктом 1 настоящей статьи принадлежит заказчику, подрядчик (исполнитель) вправе, поскольку договором не предусмотрено иное, использовать такое произведение для собственных нужд на условиях безвозмездной простой (неисключительной) лицензии в течение всего срока действия исключительного права. 3. В случае, когда в соответствии с договором между подрядчиком (исполнителем) и заказчиком исключительное право на произведение принадлежит подрядчику (исполнителю), заказчик вправе использовать такое произведение в целях, для достижения которых был заключен соответствующий договор, на условиях безвозмездной простой (неисключительной) лицензии в течение всего срока действия исключительного права, если договором не предусмотрено иное
— п. 1, 3 ст. 1296 ГК РФ

Исключительное право на программу для ЭВМ, базу данных или иное произведение, созданные при выполнении договора подряда либо договора на выполнение научно-исследовательских, опытно-конструкторских или технологических работ, которые прямо не предусматривали создание такого произведения, принадлежит подрядчику (исполнителю), если договором между ним и заказчиком не предусмотрено иное
— ст. 1297 ГК РФ, п. 1

Для целей договора с вашим заказчиком важно зафиксировать, что исключительное право на бот и админ-панель принадлежит исполнителю. Если ПО разрабатывалось работниками — подтверждением служат трудовые договоры/должностные инструкции (ст. 1295 ГК РФ); если подрядчиками — в договорах с ними должно быть прямо указано, что исключительное право переходит к вам (иначе по ст. 1296 п. 1 право останется у подрядчика-заказчика заказа).

Вывод по вопросу о принадлежности: бот и админ-панель — программы для ЭВМ, исключительное право на них остаётся у исполнителя. Чтобы это право не «утекло», нужно подтвердить, что оно перешло исполнителю от разработчиков (служебное произведение по ст. 1295 или условие в договорах с подрядчиками по ст. 1296, 1297 ГК РФ).

Как оформить право пользования заказчика: лицензия на срок, без передачи исходников

Заказчику предоставляется только право использования ПО на срок договора — это лицензионный договор, при котором исключительное право не переходит:

Правообладатель может распорядиться принадлежащим ему исключительным правом на результат интеллектуальной деятельности или на средство индивидуализации любым не противоречащим закону и существу такого исключительного права способом, в том числе путем его отчуждения по договору другому лицу (договор об отчуждении исключительного права) или предоставления другому лицу права использования соответствующих результата интеллектуальной деятельности или средства индивидуализации в установленных договором пределах (лицензионный договор). Заключение лицензионного договора не влечет за собой переход исключительного права к лицензиату
— п. 1 ст. 1233 ГК РФ

По лицензионному договору одна сторона - обладатель исключительного права на результат интеллектуальной деятельности или на средство индивидуализации (лицензиар) предоставляет или обязуется предоставить другой стороне (лицензиату) право использования такого результата или такого средства в предусмотренных договором пределах. Лицензиат может использовать результат интеллектуальной деятельности или средство индивидуализации только в пределах тех прав и теми способами, которые предусмотрены лицензионным договором. Право использования результата интеллектуальной деятельности или средства индивидуализации, прямо не указанное в лицензионном договоре, не считается предоставленным лицензиату
— п. 1 ст. 1235 ГК РФ

Лицензионный договор требует письменной формы, указания территории и срока, а также предмета и способов использования:

Лицензионный договор заключается в письменной форме, если настоящим Кодексом не предусмотрено иное. Несоблюдение письменной формы влечет недействительность лицензионного договора. Предоставление права использования результата интеллектуальной деятельности или средства индивидуализации по лицензионному договору подлежит государственной регистрации в случаях и в порядке, которые предусмотрены статьей 1232 настоящего Кодекса. (Пункт в редакции Федерального закона от 12.03.2014 № 35-ФЗ) 3. В лицензионном договоре должна быть указана территория, на которой допускается использование результата интеллектуальной деятельности или средства индивидуализации. Если территория, на которой допускается использование такого результата или такого средства, в договоре не указана, лицензиат вправе осуществлять их использование на всей территории Российской Федерации. 4. Срок, на который заключается лицензионный договор, не может превышать срок действия исключительного права на результат интеллектуальной деятельности или на средство индивидуализации. В случае, когда в лицензионном договоре срок его действия не определен, договор считается заключенным на пять лет, если настоящим Кодексом не предусмотрено иное. В случае прекращения исключительного права лицензионный договор прекращается
— п. 3, 4 ст. 1235 ГК РФ

Лицензионный договор должен предусматривать: 1) предмет договора путем указания на результат интеллектуальной деятельности или на средство индивидуализации, право использования которых предоставляется по договору, с указанием в соответствующих случаях номера документа, удостоверяющего исключительное право на такой результат или на такое средство (патент, свидетельство); (В редакции Федерального закона от 12.03.2014 № 35-ФЗ) 2) способы использования результата интеллектуальной деятельности или средства индивидуализации
— п. 6 ст. 1235 ГК РФ

предоставление лицензиату права использования результата интеллектуальной деятельности или средства индивидуализации с сохранением за лицензиаром права выдачи лицензий другим лицам (простая (неисключительная) лицензия); 2) предоставление лицензиату права использования результата интеллектуальной деятельности или средства индивидуализации без сохранения за лицензиаром права выдачи лицензий другим лицам (исключительная лицензия)
— ст. 1236 ГК РФ, п. 1

Для вашей схемы это означает: внутри договора оказания услуг следует выделить лицензионный раздел, прямо указав, что заказчику предоставляется простая (неисключительная) лицензия на использование бота и админ-панели только в пределах их функционального назначения (обслуживание собственных сотрудников), на срок действия договора. Не указывайте исходники и не предоставляйте права на переработку/модификацию ПО — право использования, прямо не указанное в договоре, не считается предоставленным (п. 1 ст. 1235).

Важно ограничить и право пользователя на изменения ПО. По умолчанию закон даёт правомерному пользователю право вносить изменения в программу только для её функционирования и исправления ошибок:

Лицо, правомерно владеющее экземпляром программы для ЭВМ или экземпляром базы данных (пользователь), вправе без разрешения автора или иного правообладателя и без выплаты дополнительного вознаграждения: 1) осуществлять действия, необходимые для функционирования программы для ЭВМ или базы данных (в том числе в ходе использования в соответствии с их назначением), включая запись и хранение в памяти ЭВМ (одной ЭВМ или одного пользователя сети), внесение в программу для ЭВМ или базу данных изменений исключительно в целях их функционирования на технических средствах пользователя, исправление явных ошибок, если иное не предусмотрено договором с правообладателем
— п. 1 ст. 1280 ГК РФ

Если вы хотите исключить даже такое право у заказчика (или оставить его, но с условиями), это нужно прямо оговорить в договоре, поскольку диспозитивная норма ст. 1280 действует «если иное не предусмотрено договором».

Вывод по вопросу о лицензии: заказчик получает простую (неисключительную) лицензию на использование бота и админ-панели только на срок договора, без передачи исключительного права и исходников; способы использования и запрет модификации фиксируются прямо в договоре (ст. 1235, 1236, 1280 ГК РФ).

Судьба прав на доработки, выполняемые по просьбе заказчика

Здесь возможны две ветки в зависимости от того, кто выполняет доработки и как они оформлены.

Ветка А — доработки выполняет сам исполнитель (штатные работники). Если доработки делаются работниками исполнителя в рамках их трудовых обязанностей, это служебное произведение, и исключительное право на доработки также принадлежит работодателю-исполнителю:

Исключительное право на служебное произведение принадлежит работодателю, если трудовым или гражданско-правовым договором между работодателем и автором не предусмотрено иное. (В редакции Федерального закона от 12.03.2014 № 35-ФЗ) Если работодатель в течение трех лет со дня, когда служебное произведение было предоставлено в его распоряжение, не начнет использование этого произведения, не передаст исключительное право на него другому лицу или не сообщит автору о сохранении произведения в тайне, исключительное право на служебное произведение возвращается автору. (В редакции Федерального закона от 12.03.2014 № 35-ФЗ) Если работодатель в срок, предусмотренный в абзаце втором настоящего пункта, начнет использование служебного произведения или передаст исключительное право другому лицу, автор имеет право на вознаграждение. Автор приобретает указанное право на вознаграждение и в случае, когда работодатель принял решение о сохранении служебного произведения в тайне и по этой причине не начал использование этого произведения в указанный срок. Размер вознаграждения, условия и порядок его выплаты работодателем определяются договором между ним и работником
— п. 2 ст. 1295 ГК РФ

В этом случае в договоре достаточно указать, что все изменения бота и админ-панели, выполненные исполнителем (в том числе по запросам заказчика), включаются в состав ПО и остаются в исключительной собственности исполнителя, а заказчик получает право пользования ими на тех же лицензионных условиях.

Ветка Б — доработки создаются специально «по заказу» заказчика. Если доработка сама выделяется в самостоятельный заказной объект (например, отдельный модуль, создаваемый по отдельному договору), по общему правилу исключительное право на созданный по заказу объект принадлежит заказчику:

Исключительное право на программу для ЭВМ, базу данных или иное произведение, созданные по договору, предметом которого было создание такого произведения (по заказу), принадлежит заказчику, если договором между подрядчиком (исполнителем) и заказчиком не предусмотрено иное. 2. В случае, если исключительное право на произведение в соответствии с пунктом 1 настоящей статьи принадлежит заказчику, подрядчик (исполнитель) вправе, поскольку договором не предусмотрено иное, использовать такое произведение для собственных нужд на условиях безвозмездной простой (неисключительной) лицензии в течение всего срока действия исключительного права. 3. В случае, когда в соответствии с договором между подрядчиком (исполнителем) и заказчиком исключительное право на произведение принадлежит подрядчику (исполнителю), заказчик вправе использовать такое произведение в целях, для достижения которых был заключен соответствующий договор, на условиях безвозмездной простой (неисключительной) лицензии в течение всего срока действия исключительного права, если договором не предусмотрено иное
— п. 1, 3 ст. 1296 ГК РФ

Чтобы право осталось у исполнителя, договор на доработки должен прямо предусмотреть иное — что исключительное право на доработки принадлежит исполнителю, а заказчик лишь получает лицензию (диспозитивность п. 1 ст. 1296 это допускает). Если же доработки делаются попутно в рамках договора подряда, прямо не предусматривавшего создание произведения, право по умолчанию у исполнителя:

Исключительное право на программу для ЭВМ, базу данных или иное произведение, созданные при выполнении договора подряда либо договора на выполнение научно-исследовательских, опытно-конструкторских или технологических работ, которые прямо не предусматривали создание такого произведения, принадлежит подрядчику (исполнителю), если договором между ним и заказчиком не предусмотрено иное
— ст. 1297 ГК РФ, п. 1

Вывод по вопросу о доработках: стройте договор по ветке А: все доработки под заказчика выполняет исполнитель, и они автоматически входят в состав ПО с сохранением исключительного права у исполнителя (ст. 1295, 1297 ГК РФ). Если стороны выделяют доработки в отдельный заказ (отдельный договор/спецификация), обязательно прописывайте в нём, что исключительное право остаётся у исполнителя, иначе по умолчанию оно перейдёт к заказчику (ст. 1296 ГК РФ).

Договорная форма и сублицензирование

Базовая конструкция — договор возмездного оказания услуг, в который интегрируются лицензионный и «персонально-данный» разделы:

По договору возмездного оказания услуг исполнитель обязуется по заданию заказчика оказать услуги (совершить определенные действия или осуществить определенную деятельность), а заказчик обязуется оплатить эти услуги
— п. 1 ст. 779 ГК РФ

Отдельно определите, вправе ли заказчик передавать ПО и данные третьим лицам (субаренда, группы компаний, аутсорсинг). По умолчанию сублицензия возможна только с письменного согласия лицензиара, а ответственность за действия сублицензиата несёт лицензиат:

При письменном согласии лицензиара лицензиат может по договору предоставить право использования результата интеллектуальной деятельности или средства индивидуализации другому лицу (сублицензионный договор). 2. По сублицензионному договору сублицензиату могут быть предоставлены права использования результата интеллектуальной деятельности или средства индивидуализации только в пределах тех прав и тех способов использования, которые предусмотрены лицензионным договором для лицензиата. 3. Сублицензионный договор, заключенный на срок, превышающий срок действия лицензионного договора, считается заключенным на срок действия лицензионного договора. 4. Ответственность перед лицензиаром за действия сублицензиата несет лицензиат
— ст. 1238 ГК РФ, п. 1

Рекомендуемое решение — прямой запрет заказчику на предоставление доступа к боту и админ-панели третьим лицам (включая аффилированные) без письменного согласия исполнителя, либо допущение сублицензии только для связанных лиц заказчика с сохранением его ответственности.

Вывод по вопросу о форме: договор строится как возмездное оказание услуг (гл. 39 ГК РФ) с вложенными лицензионным разделом и разделом о персональных данных; сублицензирование по умолчанию запрещено и допускается только с письменного согласия исполнителя (ст. 1238 ГК РФ), с сохранением ответственности заказчика за действия сублицензиата.

Риски и административная ответственность при ненадлежащей обработке персональных данных

Нарушение законодательства о персональных данных влечёт административную ответственность по ст. 13.11 КоАП РФ (обработка без согласия, обработка данных, не предусмотренных целями, ненадлежащая защита, невыполнение локализации и т.д. — с дифференцированными штрафами для граждан, должностных и юридических лиц). Ключевой инструмент снижения имущественных рисков исполнителя — закрепление в договоре статуса обработчика по поручению и заверений заказчика.

Проверьте на предмет «рамочной» защиты и то, что договор не подталкивает к переквалификации: если доработки будет фактически выполнять заказчик своими силами или исполнитель окажется под полным организационным контролем заказчика, возникает риск признания отношений иными, чем возмездное оказание услуг; этого избегают чётким разделением ролей (исполнитель — самостоятельный правообладатель и обработчик по поручению, заказчик — оператор и лицензиат).

Вывод по вопросу о рисках: ответственность за нарушение требований к обработке ПДн наступает по ст. 13.11 КоАП РФ; корректное оформление поручения (заказчик-оператор / исполнитель-обработчик) в совокупности с заверениями об обстоятельствах (ст. 431.2 ГК РФ) и условием о возмещении потерь (ст. 406.1 ГК РФ) перекладывает правовые и имущественные риски, связанные с законностью загружаемых данных, на заказчика.