Приложение к Оферте DiDirect. Редакция: 1.0 — проект. Дата вступления в силу: [[ДАТА_ПУБЛИКАЦИИ]].
Статус документа. Проект договорного поручения. Он не разрешает обработку до появления законного основания, необходимых уведомлений, договоров с получателями и соответствующих процедур защиты и удаления.
1. Стороны и пределы поручения
1.1. Клиент, определённый в Оферте, поручает индивидуальному предпринимателю [[ФИО_ИП]], ИНН [[ИНН]], ОГРНИП [[ОГРНИП]] (далее — «DiDirect»), обработку перечисленных ниже данных для выполнения своих законных сценариев.
1.2. Клиент определяет цели взаимодействия с аудиторией, допустимое содержание и условия сценария. DiDirect действует только в пределах документированных законных указаний клиента, собственных обязательных требований закона и условий платформы.
1.3. Поручение составлено с учётом части 3 статьи 6 Закона № 152-ФЗ. Оно не подменяет согласие субъекта данных, если такое согласие необходимо для поручения обработки, и не создаёт основание для незаконно полученных данных.
1.4. Обработка сведений о собственной учётной записи клиента, договоре с ним, расчётах и безопасности DiDirect регулируется отдельно Политикой. Meta самостоятельно обрабатывает данные в рамках своей платформы; её роль определяется фактическими отношениями и применимыми документами, а не объявляется ролью подрядчика DiDirect этим Поручением.
1.5. Данные одного клиента не используются для другого клиента, собственной рекламы DiDirect, продажи, самостоятельного профилирования аудитории или обучения моделей. Эти ограничения распространяются также на производные сведения в пределах требований Meta.
2. Предмет обработки
2.1. Категории субъектов: лица, взаимодействующие с выбранными публикациями и профессиональным Instagram-профилем клиента, а также лица, данные которых клиент законно передал для соответствующего разрешённого сценария. Функция массового импорта произвольной базы аудитории этим Поручением не предоставляется.
2.2. Состав данных в необходимом объёме:
- Идентификатор пользователя платформы, доступное имя пользователя и сведения, необходимые для адресации ответа.
- Идентификаторы выбранной публикации, комментария и сообщения, соответствующие ссылки и время взаимодействия.
- Содержание связанного комментария и разрешённых сообщений, необходимых для сценария.
- Результат доступной проверки подписки на профиль клиента и иных законных условий, явно предусмотренных сценарием.
- Сведения о соответствии сценарию, состоянии выполнения, попытке отправки и результате, необходимые для исполнения и разрешения конкретной ошибки.
- Материалы и сведения профиля или публикации клиента, если они содержат персональные данные и необходимы для указанного взаимодействия.
2.3. Запрещено поручать целевой сбор специальных категорий, биометрических данных для установления личности, платёжных секретов и паролей аудитории. Случайно полученные избыточные сведения ограничиваются в обработке и удаляются при отсутствии законной обязанности сохранить их.
2.4. Цели: исполнение конкретного ожидаемого пользователем взаимодействия со сценарием клиента; проверка разрешённого условия; передача выбранного материала; отображение клиенту результата; рассмотрение связанных обращений и устранение ошибки. Совместимость отдельной цели с законом и правилами платформы проверяется до запуска сценария.
2.5. Операции: получение и запись, систематизация, накопление и хранение в установленный срок, уточнение, извлечение, сопоставление с правилами сценария, использование, предоставление уполномоченному клиенту и необходимому согласованному исполнителю, передача платформе для предусмотренного действия, блокирование и уничтожение. Распространение неопределённому кругу лиц не поручается.
2.6. Способы: автоматизированная обработка и необходимые действия уполномоченных лиц при поддержке, реализации прав и устранении нарушений. Постоянное ручное чтение всей переписки аудитории не является целью Поручения.
3. Указания и обязанности клиента
3.1. Документированными указаниями являются подтверждённые настройки и изменения сценария, выбор профиля и публикации, обращения уполномоченного клиента и согласованные документы. Указания не могут расширять предмет Поручения без соответствующего согласования и правовой проверки.
3.2. Клиент до начала обработки обеспечивает её законное основание, право поручить обработку DiDirect и необходимые согласия субъектов, если закон не допускает иного. Он сообщает аудитории сведения об операторе, целях, получателях и порядке реализации прав в требуемом объёме.
3.3. Одного согласия клиента с Офертой, наличия открытого профиля, комментария с условным словом или разрешения Instagram недостаточно для признания любой последующей обработки законной. Клиент должен учитывать основание каждой операции, включая первоначальное получение события и поручение его обработки.
3.4. Клиент определяет законность материалов и рекламного характера сценария, соблюдает правила платформы, ограничения рекламы и права третьих лиц. В отношении применимого российского права он не поручает распространение рекламы на ресурсах, где она запрещена.
3.5. Клиент поддерживает достоверность своих сведений, управляет доступом команды, своевременно сообщает об отзыве согласия или прекращении основания и передаёт DiDirect необходимые законные указания на исправление, блокирование и удаление.
3.6. По обоснованному запросу клиент предоставляет соразмерные сведения, подтверждающие основание обработки и полномочия. Это не требует передачи лишних данных или паролей аудитории. При невозможности подтвердить основание соответствующая обработка приостанавливается.
4. Обязанности DiDirect
4.1. DiDirect соблюдает принципы обработки, конфиденциальность, требования части 5 статьи 18, статьи 18.1 и применимые требования защиты статьи 19 Закона № 152-ФЗ, в том числе в отношении обработки граждан Российской Федерации.
4.2. Применяются необходимые организационные и технические меры, соответствующие фактическим рискам: ограничение доступа по полномочиям, защита средств доступа, управление правами, регистрация значимых событий, контроль исполнителей и процедуры реагирования и удаления. Конкретная необходимая мера не исключается только потому, что она не перечислена в Поручении.
4.3. До допуска уполномоченные лица обязуются сохранять конфиденциальность и обрабатывать сведения только в необходимых пределах. DiDirect отделяет сведения разных клиентов и не допускает их использования вне соответствующего поручения.
4.4. DiDirect сообщает клиенту, если указание предположительно нарушает закон или правила платформы, и ограничивает затронутую обработку до разрешения вопроса. Оно не обязано исполнять неправомерное указание и не может ссылаться на такое указание для освобождения от собственных обязательных обязанностей.
4.5. DiDirect не создаёт для клиента право на данные или действие, которые платформа не предоставляет. При отсутствии сведений для проверки результат остаётся неопределённым и не заменяется положительным.
4.6. По запросу клиента, в том числе до начала обработки, DiDirect предоставляет необходимые документы и сведения, подтверждающие выполнение обязанностей по Поручению, в разумном согласованном порядке. Отказ в раскрытии чужих секретов сопровождается допустимым альтернативным подтверждением, а не общим отказом подтвердить соблюдение требований.
5. Привлечение других исполнителей
5.1. Для хранения, служебных коммуникаций и иных необходимых операций допускаются только исполнители, перечисленные в заполненном разделе 7 Политики, при наличии необходимого законного разрешения клиента и субъекта данных. Незаполненная строка не является согласованием неизвестного исполнителя.
5.2. До передачи данных с исполнителем заключается договор, ограничивающий цели, операции, получателей, дальнейшее привлечение лиц, меры защиты, сроки, удаление и помощь при обращениях. При передаче данных платформы соблюдаются также требования Meta к поставщикам технологий и их исполнителям.
5.3. DiDirect уведомляет клиента о планируемом существенном изменении состава исполнителей заранее, по общему договорному правилу не менее чем за 15 календарных дней. Клиент может заявить обоснованное возражение по вопросам защиты или законности. Когда необходимо специальное согласие, отсутствие возражения его не заменяет.
5.4. Если допустимый вариант не найден, затронутая обработка не начинается; клиент вправе прекратить соответствующий доступ с возвратом за неиспользованный период. При неотложном изменении для предотвращения ущерба используются только законно допустимые меры, о которых сообщается без неоправданной задержки.
5.5. DiDirect обеспечивает выполнение обязанностей привлечёнными исполнителями и не освобождается от обязанностей перед клиентом только фактом привлечения другого лица. Окончание отношений с исполнителем влечёт прекращение его доступа и удаление данных в надлежащий срок.
6. Локализация и международная передача
6.1. Место базы данных, получатели и территории обработки указываются в заполненной Политике. DiDirect соблюдает применимые требования локализации. Передача, для которой необходимые условия не выполнены, не осуществляется.
6.2. Клиент и DiDirect каждый в своей сфере выполняют применимые обязанности по трансграничной передаче, включая предварительное получение необходимых сведений, уведомления и исполнение запретов или ограничений. Разрешение клиента не отменяет законную обязанность DiDirect.
6.3. Использование иностранной платформы требует отдельной оценки конкретных потоков данных. Наличие соглашения Meta о международной передаче не заменяет соблюдение статьи 12 Закона № 152-ФЗ. Обязательные договорные условия платформы сохраняют силу в соответствующей сфере.
7. Запросы пользователей и уполномоченных лиц
7.1. DiDirect содействует клиенту в предоставлении информации, исправлении, блокировании, ограничении и уничтожении данных. Обращение пользователя не требует покупки подписки DiDirect.
7.2. Обращение о данных по этому Поручению передаётся клиенту без неоправданной задержки, с договорным пределом 2 рабочих дня. При обязательном более коротком сроке или необходимости немедленного блокирования применяется соответствующее требование. Сообщается только необходимый состав сведений.
7.3. Клиент предоставляет законные указания в срок, позволяющий исполнить обязательные сроки. Отсутствие ответа клиента не позволяет DiDirect нарушить собственную обязанность, сохранить заведомо незаконные данные или отказать в принятии обращения.
7.4. Требования Meta и государственных органов проверяются на полномочия и применимость. Клиент уведомляется, если это допускается. Выполнение обязательного требования не зависит от получения дополнительного согласия клиента.
7.5. Запросы оформляются по контактам Политики. Личность и полномочия проверяются соразмерно угрозе раскрытия или удаления чужих данных; избыточное подтверждение не запрашивается.
8. Нарушения и реагирование
8.1. При установлении факта неправомерной или случайной передачи, предоставления, распространения или доступа к данным, затронутым Поручением, DiDirect уведомляет клиента без неоправданной задержки, по договорному правилу не позднее 12 часов после установления такого факта. Если применимое требование обязывает действовать быстрее, оно имеет приоритет.
8.2. Первичное уведомление включает известный характер события, затронутые категории и примерный объём, возможные последствия, принятые меры и контакт для взаимодействия. Отсутствие всех сведений не откладывает первичное уведомление; уточнения направляются по мере установления фактов.
8.3. Стороны содействуют расследованию, прекращению нарушения и уменьшению последствий. Клиент выполняет обязанности своего оператора перед субъектами и органами; DiDirect выполняет собственные, включая обязательства перед Meta. Для предусмотренного законом уведомления Роскомнадзора применяются установленные законом сроки, в том числе 24 и 72 часа для соответствующих уведомлений.
8.4. Поддержание конфиденциальности расследования не означает запрет обязательного уведомления. Сведения другого клиента, секреты доступа и лишние персональные данные в уведомление не включаются.
9. Сроки, возврат сведений и удаление
9.1. Поручение действует только пока сохраняются договор, законное основание и необходимость соответствующей обработки. Предельные сроки категорий установлены разделом 9 Политики и не продлеваются одним фактом действующей подписки.
9.2. После отключения профиля, прекращения Поручения, получения законного требования клиента, субъекта или Meta доступ и дальнейшая соответствующая обработка прекращаются, а данные платформы удаляются без неоправданной задержки, с пределом 7 календарных дней, если более короткий срок не обязателен.
9.3. Пока обработка остаётся законной, DiDirect по обоснованному запросу предоставляет относящиеся к клиенту доступные сведения в согласованном объёме и безопасном порядке. Право на получение копии не отменяет ограничений платформы и не откладывает обязательное удаление. Поручение не обещает несуществующую кнопку выгрузки или определённый формат экспорта.
9.4. Если обязательный закон требует сохранять отдельные сведения, DiDirect сообщает клиенту категорию, основание и срок, ограничивает доступ и дальнейшее использование. Общая формулировка «для безопасности» не разрешает хранить всю историю аудитории после прекращения Поручения.
9.5. Если резервные копии используются, удалённые данные исключаются из рабочей обработки, копии заменяются в пределах срока Политики, а восстановление сопровождается повторным применением требований удаления. Более строгое обязательное требование закона или Meta выполняется независимо от обычного цикла копирования.
9.6. Удаление подтверждается в предусмотренном законом порядке. По запросу клиент получает подтверждение выполнения с необходимыми исключениями и основаниями, без раскрытия чужих данных.
10. Проверка выполнения и ответственность
10.1. Клиент вправе запросить соразмерные подтверждения соблюдения Поручения и согласовать проверку при конкретном обоснованном риске. Стороны определяют безопасный порядок, не раскрывающий сведения других клиентов и не нарушающий работу сервиса. Нельзя отказать во всех подтверждениях только из-за их непубличности.
10.2. В отношениях с субъектом применяется распределение ответственности, установленное законом, включая часть 5 статьи 6 Закона № 152-ФЗ. В отношениях между сторонами каждая отвечает за собственные нарушения. Поручение не передаёт клиенту публично-правовую ответственность DiDirect и не лишает субъекта предусмотренных законом требований.
10.3. В части, не урегулированной Поручением, применяются Оферта и обязательные нормы. При противоречии правил обработки данные обрабатываются в законном объёме, соответствующем более строгому применимому требованию, а противоречие устраняется до расширения обработки.
10.4. Контакт DiDirect по исполнению Поручения: [[EMAIL_ДАННЫЕ]]. Адрес: [[АДРЕС_ИП]].