Приложение к договору между Znovu и брендом об оказании услуг (далее — «Договор»).
1. Общие положения
1.1 Настоящее Соглашение является неотъемлемой частью Договора между [юридическое название] (далее — «Исполнитель», AI-агентство Znovu) и брендом, который заказывает услуги (далее — «Заказчик»). Оно определяет, как Исполнитель обрабатывает персональные данные Конечных пользователей от имени Заказчика, и соответствует требованиям ст. 28 Регламента (ЕС) 2016/679 (GDPR).
1.2 Приложение, программа лояльности, push-уведомления и хранение клиентской базы Заказчика работают на платформе SalesBox. Обработка данных на уровне платформы регулируется соглашением об обработке данных SalesBox, соответствующим GDPR. Исполнитель оказывает услуги с использованием этой платформы и привлекает SalesBox в качестве Субобработчика (разд. 6).
1.3 Термины используются в значениях, определённых GDPR и Договором. В отношении Данных Конечных пользователей Заказчик является контролёром, Исполнитель — обработчиком.
1.4 В вопросах обработки персональных данных настоящее Соглашение имеет приоритет над Договором. Индивидуально подписанная Сторонами редакция имеет приоритет над настоящей.
2. Предмет и описание обработки
| Параметр | Описание |
|---|---|
| Субъекты | Конечные пользователи — покупатели Заказчика, которые пользуются его приложением и сайтом |
| Категории данных | имя, номер телефона, email, дата рождения, история заказов, бонусный баланс, участие в акциях, записи о согласиях, технические данные устройства, токены push-уведомлений — в пределах, доступных Исполнителю в кабинете Заказчика на платформе |
| Что не обрабатываем | данные платёжных карт; особые категории данных (ст. 9 GDPR) |
| Действия Исполнителя | просмотр, сегментация, настройка push-сценариев и программы лояльности, формирование аналитики и отчётов, псевдонимизация для AI-обработки |
| Цель | оказание услуг по Договору: запуск и ведение приложения Заказчика, повторные продажи через push-сценарии и лояльность, привлечение новых покупателей, еженедельная отчётность |
| Срок | срок действия Договора + период возврата и удаления (разд. 9) |
3. Обработка только по указаниям Заказчика
3.1 Исполнитель обрабатывает Данные Конечных пользователей только по документированным указаниям Заказчика, в том числе в отношении передачи за пределы ЕЭЗ. Такими указаниями являются: Договор и настоящее Соглашение; согласованные с Заказчиком стратегия и сценарии; письменные запросы Заказчика.
3.2 Если указание, по мнению Исполнителя, нарушает GDPR или иное законодательство, Исполнитель незамедлительно уведомляет об этом Заказчика и вправе его не исполнять.
3.3 Запрещается использовать Данные Конечных пользователей для:
- собственных рассылок, рекламы и ретаргетинга Исполнителя;
- предложений товаров и услуг Исполнителя или третьих лиц;
- продажи данных или предоставления доступа к ним рекламным сетям и брокерам данных;
- обучения моделей искусственного интеллекта, доступных другим клиентам Исполнителя;
- обмена данными между разными Заказчиками;
- любых иных самостоятельных целей Исполнителя.
3.4 Не является нарушением формирование агрегированной статистики, не позволяющей идентифицировать ни Конечного пользователя, ни Заказчика, а также обработка по законному требованию государственных органов — с уведомлением Заказчика, если закон этого не запрещает.
4. Обязанности Заказчика
4.1 Заказчик как контролёр:
- определяет правовые основания обработки и получает необходимые согласия Конечных пользователей, в частности на маркетинговые сообщения и рекламное отслеживание;
- размещает в приложении и на сайте собственную политику конфиденциальности;
- заключает с SalesBox договор и соглашение об обработке данных в отношении платформы или поручает Исполнителю сделать это от имени Заказчика;
- не загружает базы, полученные без законного основания;
- самостоятельно отвечает за сервисы, подключённые от собственного имени (п. 6.3).
5. Конфиденциальность и персонал
5.1 Доступ к Данным Конечных пользователей имеют только сотрудники и подрядчики Исполнителя, которым он необходим для исполнения Договора: стратег, performance-специалист, аналитик.
5.2 Все такие лица обязаны соблюдать конфиденциальность (NDA или трудовой договор).
5.3 Доступ предоставляется по ролям через учётную запись каждого лица и отзывается в день прекращения работы.
6. Субобработчики и сервисы Заказчика
6.1 Субобработчики Исполнителя. Заказчик предоставляет общее письменное разрешение на привлечение Субобработчиков, перечень которых приведён в Приложении Б. Исполнитель привлекает только поставщиков, которые обеспечивают соответствие GDPR, заключает с ними договоры с обязательствами по защите данных не ниже, чем в настоящем Соглашении, и отвечает перед Заказчиком за их действия как за собственные.
6.2 Платформа SalesBox. Технические и организационные меры защиты, место хранения данных, резервное копирование и удаление на уровне платформы определяются соглашением об обработке данных SalesBox. Исполнитель предоставляет его копию по запросу Заказчика.
6.3 Сервисы Заказчика. Рекламные кабинеты Meta и Google, Firebase-проект, эквайринг, SMS, мессенджеры, email и службы доставки, подключённые от имени Заказчика, являются поставщиками Заказчика. Исполнитель работает в них только по поручению Заказчика и не отвечает за их действия и условия.
6.4 Смена Субобработчиков. О добавлении или замене Субобработчика Исполнитель уведомляет Заказчика по email не менее чем за 14 дней. Заказчик может заявить обоснованное возражение в течение этого срока. Если Стороны не нашли решения, Заказчик вправе расторгнуть Договор до вступления изменений в силу.
7. Передача за пределы ЕЭЗ
7.1 Место хранения данных на платформе определяется соглашением об обработке данных SalesBox.
7.2 Часть команды Исполнителя и отдельные Субобработчики могут иметь доступ к данным из-за пределов ЕЭЗ. Для такой передачи применяются гарантии ст. 44–49 GDPR: Стандартные договорные положения, утверждённые Решением Европейской комиссии (ЕС) 2021/914, или сертификация поставщика в рамках EU-U.S. Data Privacy Framework.
7.3 В AI-сервисы Исполнитель передаёт только псевдонимизированные данные: без имён и номеров телефонов, с зашифрованными идентификаторами. Данные, переданные через API, не используются для обучения моделей.
8. Меры защиты и помощь Заказчику
8.1 Исполнитель применяет технические и организационные меры в соответствии со ст. 32 GDPR, приведённые в Приложении А.
8.2 С учётом характера обработки Исполнитель оказывает Заказчику разумную помощь в исполнении обязанностей по ст. 32–36 GDPR, в частности в оценке воздействия на защиту данных (DPIA).
8.3 По запросу Исполнитель предоставляет информацию, необходимую для подтверждения соблюдения настоящего Соглашения.
9. Возврат и удаление
9.1 Клиентская база, приложение и все креативы принадлежат Заказчику. Экспорт базы с платформы осуществляется в соответствии с условиями SalesBox; Исполнитель помогает Заказчику его получить.
9.2 После прекращения Договора Исполнитель в течение 30 дней удаляет копии Данных Конечных пользователей, которые хранил вне платформы (отчёты, выгрузки), и отзывает свои доступы к кабинетам Заказчика. Это не касается данных, которые Исполнитель обязан хранить по закону.
9.3 По письменному запросу Заказчика Исполнитель в течение 10 рабочих дней подтверждает удаление по email.
10. Запросы Конечных пользователей
10.1 Обращения Конечных пользователей относительно их прав (ст. 15–22 GDPR) рассматривает Заказчик.
10.2 Если обращение поступило Исполнителю, Исполнитель в течение 5 рабочих дней передаёт его Заказчику и по существу не отвечает (кроме сообщения заявителю, кому передано обращение).
10.3 Исполнитель оказывает разумную помощь, чтобы Заказчик исполнил запрос в сроки, установленные законом.
11. Инциденты
11.1 О нарушении безопасности Данных Конечных пользователей Заказчика Исполнитель уведомляет Заказчика по email без неоправданной задержки, не позднее 48 часов с момента обнаружения, — чтобы Заказчик мог уведомить надзорный орган в 72-часовой срок, предусмотренный ст. 33 GDPR. Это касается и нарушений, о которых Исполнителя уведомил Субобработчик.
11.2 Уведомление содержит (по мере наличия информации, с последующим дополнением): что произошло и когда обнаружено; категории и приблизительное количество Конечных пользователей и записей; вероятные последствия; принятые и запланированные меры; контакт ответственного лица.
11.3 Исполнитель принимает безотлагательные меры для минимизации последствий и сотрудничает с Заказчиком при уведомлении надзорного органа и Конечных пользователей.
11.4 Контакт: privacy@znovu.ai; ответственное лицо — Андрей Стахов, основатель.
12. Аудит
12.1 Раз в 12 месяцев Заказчик может направить опросник по безопасности. Исполнитель отвечает в течение 20 рабочих дней и при необходимости получает ответы от Субобработчиков.
12.2 Проверка на месте возможна после нарушения, затронувшего данные Заказчика, или по требованию надзорного органа; с уведомлением не менее чем за 30 дней; за счёт Заказчика.
13. Ответственность
13.1 Ответственность Сторон по настоящему Соглашению определяется Договором.
13.2 Исполнитель не отвечает за нарушения, вызванные указаниями или действиями Заказчика, его сотрудников или лиц с его доступами; сервисами Заказчика (п. 6.3); действиями с данными после их экспорта Заказчиком.
14. Срок действия и изменения
14.1 Соглашение действует в течение срока действия Договора и до завершения удаления данных согласно разд. 9.
14.2 Изменения настоящего Соглашения публикуются с уведомлением Заказчика за 30 дней и не могут снижать уровень защиты данных. Индивидуально подписанная редакция изменяется только по взаимному письменному согласию Сторон.
Приложение А. Технические и организационные меры Исполнителя
- Персональные доступы. Каждый сотрудник работает в собственной учётной записи; общие логины не используются.
- Минимальные права. Доступ — только по ролям и только тем, кому он нужен для конкретного Заказчика; отзыв доступов в день прекращения работы.
- Двухфакторная аутентификация во всех системах с доступом к данным Заказчика.
- Данные остаются на платформе. Выгрузки с персональными данными делаются только при необходимости, хранятся в защищённом хранилище и удаляются после использования.
- Шифрование при передаче — только по защищённым каналам (HTTPS / TLS).
- Псевдонимизация для AI. Перед передачей в AI-сервисы имена и номера телефонов исключаются, а идентификаторы шифруются.
- Конфиденциальность персонала. Сотрудники и подрядчики с доступом к данным обязаны соблюдать конфиденциальность.
- Реагирование на инциденты в соответствии с разд. 11.
- Меры на уровне платформы (хостинг, резервные копии, разграничение данных Заказчиков) — в соответствии с соглашением об обработке данных SalesBox.
Приложение Б. Субобработчики
| Субобработчик | Для чего |
|---|---|
| SalesBox (ООО «СЕЙЛЗБОКС») | платформа приложения, лояльности, push-уведомлений и хранения клиентской базы — по собственному соглашению об обработке данных, соответствующему GDPR |
| AI-сервисы (в частности OpenAI) | подготовка креативов, текстов и сценариев; только псевдонимизированные данные |
Актуальный перечень Субобработчиков Исполнитель предоставляет по запросу и уведомляет об изменениях в соответствии с п. 6.4.