# Политика конфиденциальности и обработки персональных данных

Редакция: 1.0 — проект. Дата вступления в силу: [[ДАТА_ПУБЛИКАЦИИ]].

**Статус документа.** Это проект для согласования. До заполнения реквизитов, перечня получателей данных и утверждения процедур обработки он не описывает условия публичного запуска DiDirect. Незавершённые поля обозначены двойными квадратными скобками.

## 1. Оператор и область действия

1.1. Индивидуальный предприниматель [[ФИО_ИП]], ИНН [[ИНН]], ОГРНИП [[ОГРНИП]], адрес для юридически значимой корреспонденции [[АДРЕС_ИП]] (далее — «Оператор»), предоставляет сервис DiDirect на сайте [[ДОМЕН]].

1.2. Контакт по вопросам персональных данных и удаления: [[EMAIL_ДАННЫЕ]]. Контакт службы поддержки: [[EMAIL_ПОДДЕРЖКА]]. Обращения по вопросам безопасности: [[EMAIL_БЕЗОПАСНОСТЬ]].

1.3. Политика распространяется на посетителей сайта, владельцев и участников рабочих пространств, представителей клиентов, лиц, обращающихся в поддержку, и пользователей Instagram, чьи данные обрабатываются при исполнении сценариев клиента.

1.4. Политика определяет цели, состав, основания, сроки и условия обработки данных. Она не является согласием на рекламную рассылку или разрешением использовать любые данные для любых целей. Ознакомление с Политикой, регистрация, оплата и предоставление согласия — самостоятельные действия с разными правовыми последствиями.

1.5. Обработка регулируется Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», иными применимыми нормативными актами и условиями платформ, через которые получены данные. Обязательные права субъектов данных сохраняются независимо от положений договора с клиентом.

## 2. Роли DiDirect, клиента и Instagram

2.1. В отношении регистрации в DiDirect, управления собственными договорными отношениями, расчётов, обращений и защиты сервиса Оператор самостоятельно определяет цели обработки и действует как оператор персональных данных.

2.2. Клиент определяет цели взаимодействия со своей аудиторией, содержание сообщений, условия сценариев и материалы. В части обработки данных аудитории по его указаниям DiDirect действует в пределах [поручения на обработку персональных данных](/data-processing). Клиент обеспечивает законность сбора и право поручить обработку, информирует аудиторию и получает необходимые согласия в предусмотренных законом случаях.

2.3. Разграничение обязанностей с клиентом не исключает собственных обязанностей DiDirect по закону и условиям Meta. В частности, договорное наименование стороны «обработчиком» не изменяет её фактическую роль и обязательства в отношениях с платформой.

2.4. Instagram и Meta самостоятельно управляют своей платформой и обрабатывают данные в соответствии со своими документами. DiDirect не является их подразделением, официальным представителем или сервисом, которому Meta гарантирует доступность отдельных функций.

## 3. Какие данные, для чего и на каком основании обрабатываются

3.1. Обрабатываются только данные, необходимые для конкретной цели. Отдельные сведения могут отсутствовать, если функция не используется или платформа не предоставляет соответствующий доступ.

| Цель | Категории данных | Правовое основание |
| --- | --- | --- |
| Создание учётной записи и предоставление доступа | Имя, email, идентификатор учётной записи, подтверждение email, данные для проверки входа и настройки дополнительной защиты, время и сведения о подтверждённых редакциях документов регистрации | Заключение и исполнение договора по инициативе пользователя; применимые обязанности по защите данных |
| Управление рабочим пространством и командой | Имена и email участников и приглашённых лиц, роли, сведения о принятии приглашений и действиях в пространстве | Исполнение договора; законные интересы в управлении доступом при соблюдении прав участников; согласие, если оно требуется для конкретной операции |
| Подключение профессионального Instagram-профиля | Идентификатор и имя профиля, тип и статус подключения, предоставленные разрешения, срок доступа, сведения, позволяющие сервису действовать в рамках разрешений | Исполнение договора с клиентом, его подтверждённые полномочия и разрешения платформы; для данных третьих лиц — отдельное применимое основание |
| Выполнение сценариев клиента | Идентификаторы пользователей и публикаций, имя пользователя, содержание связанных комментариев и сообщений, время взаимодействия, результат проверки подписки или другого доступного условия, статус ответа | Основание, обеспеченное клиентом для соответствующего взаимодействия, и его законное поручение; согласие субъекта в случаях, когда оно необходимо |
| Отображение выбранных публикаций | Ссылки, изображения или обложки, подписи и идентификаторы постов и Reels, предоставленные платформой или клиентом | Исполнение договора и разрешённый платформой доступ; права клиента на соответствующие материалы |
| Поддержка и рассмотрение обращений | Контакты заявителя, содержание обращения и необходимые подтверждающие сведения | Исполнение договора, рассмотрение обращения или выполнение установленной законом обязанности |
| Защита сервиса и расследование нарушений | IP-адрес, сведения о браузере и устройстве, время и результаты входов, сессии, значимые действия и события безопасности | Обязанности по обеспечению безопасности; законные интересы Оператора и пользователей при соблюдении их прав |
| Оплата и исполнение финансовых обязанностей, если приобретён платный доступ | Реквизиты плательщика, сумма, период подписки, идентификатор и статус платежа, сведения о возврате, расчётные и налоговые документы | Исполнение договора и обязанности, предусмотренные налоговым и иным законодательством |

3.2. Полные реквизиты банковской карты и код её подтверждения не должны передаваться через поддержку DiDirect. Если оплата проводится через платёжного партнёра, обработка платёжных реквизитов осуществляется в его платёжной форме на условиях этого партнёра. Состав сведений, доступных DiDirect, указывается в разделе 7 после выбора партнёра.

3.3. Подтверждение доступа к Instagram разрешает действия в пределах предоставленных платформой полномочий. Оно само по себе не заменяет основание обработки данных аудитории и не является её согласием на рекламу.

3.4. Публичный комментарий, наличие открытого профиля, подписка на профиль или получение бесплатного материала не считаются универсальным разрешением на последующие рекламные сообщения, передачу данных неопределённому кругу лиц или использование данных вне заявленной цели.

3.5. Сервис не предназначен для сбора сведений о здоровье, интимной жизни, религии, политических взглядах, биометрических данных для установления личности либо платёжных секретов аудитории. Клиент не должен запрашивать такие сведения через сценарии. Если они случайно поступили, их дальнейшее использование ограничивается и принимаются меры к удалению, если закон не требует иного.

## 4. Источники и способы обработки

4.1. Источники данных: сам пользователь; уполномоченный клиент или участник его команды; официальный интерфейс Instagram API; платёжный партнёр при расчётах; события использования сайта и сведения, необходимые для его защиты.

4.2. DiDirect подключается к Instagram через официальный вход и разрешения Instagram. Пароль от Instagram вводится на стороне платформы; DiDirect не запрашивает его и не принимает через поддержку. Полученные разрешения можно отозвать.

4.3. В пределах заявленных целей выполняются сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление определённым получателям, блокирование и уничтожение данных. Обработка осуществляется с использованием средств автоматизации; отдельные обращения и проверки могут обрабатываться уполномоченными лицами без них.

4.4. Доступ к частным сообщениям ограничивается взаимодействиями, доступными подключённому профессиональному профилю через предоставленные разрешения и необходимыми для работы сценариев. Политика не даёт разрешения собирать произвольную переписку других аккаунтов или обходить ограничения Instagram.

## 5. Автоматические ответы и проверка условий

5.1. Клиент задаёт слово или фразу, публикацию, ответы и условия выдачи материала. DiDirect сопоставляет доступное событие со сценарием и использует результат проверки для предусмотренного клиентом ответа.

5.2. Проверка подписки, если она доступна, относится к указанному в сценарии подключённому профилю и конкретному взаимодействию. Она не означает получение полного списка подписок пользователя. Недоступность или ошибка проверки не трактуются как выполнение условия.

5.3. Пользователь может обратиться к клиенту для уточнения результата и к Оператору по вопросам обработки его данных. Если решение затрагивает права или законные интересы пользователя и подпадает под ограничения автоматизированного принятия решений, применяются предусмотренные законом основания и гарантии; сценарий не может использоваться для обхода этих требований.

5.4. Запрещены сценарии, использующие данные для оценки права на кредит, работу, жильё, страхование или иные значимые блага, а также для дискриминации, наблюдения либо незаконного профилирования.

## 6. Доступ команды и использование данных

6.1. Данные аудитории соответствующего клиента предоставляются уполномоченным участникам его рабочего пространства в пределах их роли. Клиент отвечает за выдачу и своевременный отзыв полномочий своей команды.

6.2. Данные одного клиента не используются для сценариев другого клиента. Доступ со стороны Оператора и привлечённых исполнителей допускается только в необходимом объёме для обслуживания, безопасности, разрешения обращения или выполнения законной обязанности.

6.3. DiDirect не продаёт данные Instagram, не передаёт их рекламным брокерам и не использует их для собственных рекламных рассылок, построения самостоятельных аудиторных профилей либо обучения моделей искусственного интеллекта. Полученные из Instagram обобщённые и производные сведения также используются только в разрешённых платформой пределах.

6.4. Публикация имени, отзыва, переписки, изображения или логотипа клиента для продвижения DiDirect требует отдельного соответствующего разрешения и, когда необходимо, отдельного согласия на распространение персональных данных.

## 7. Получатели и привлечённые исполнители

7.1. Предоставление данных ограничено получателями, которым они необходимы для заявленной цели, и осуществляется при наличии правового основания. Конфиденциальность и требования к обработке закрепляются в применимых договорах.

| Получатель | Для чего | Сведения и территория обработки |
| --- | --- | --- |
| Клиент и его уполномоченная команда | Выполнение выбранных сценариев, рассмотрение результатов и обращений аудитории | Данные соответствующего рабочего пространства; территория доступа определяется клиентом и подлежит правовой оценке |
| Соответствующее юридическое лицо Meta, обслуживающее подключённый Instagram-профиль: [[META_ЮРЛИЦО]] | Авторизация, получение разрешённых событий, проверка доступных условий, отправка ответов | Идентификаторы, содержание разрешённых запросов и ответов, необходимые сведения о доступе; страны: [[META_СТРАНЫ]] |
| Поставщик размещения сервиса: [[ХОСТИНГ_ЮРЛИЦО]] | Размещение и обеспечение работы сервиса | Данные, необходимые для работы сервиса; страна и место базы данных: [[ХОСТИНГ_СТРАНА_И_МЕСТО]] |
| Поставщик служебной почты: [[ПОЧТА_ЮРЛИЦО]] | Подтверждение входа, восстановление доступа, приглашения и служебные уведомления | Email, необходимые сведения и содержание служебного письма; страны: [[ПОЧТА_СТРАНЫ]] |
| Платёжный партнёр: [[ПЛАТЕЖИ_ЮРЛИЦО]] | Приём платежей, возвраты, расчётные документы | Данные плательщика и расчёта в необходимом объёме; страны: [[ПЛАТЕЖИ_СТРАНЫ]] |
| Поставщик проверки скомпрометированных паролей: [[ПРОВЕРКА_ПАРОЛЕЙ_ЮРЛИЦО]] | Защита учётной записи при установке пароля | Ограниченные сведения для проверки совпадения; пароль, имя и email не направляются для этой проверки; страны: [[ПРОВЕРКА_ПАРОЛЕЙ_СТРАНЫ]] |

7.2. Привлечение и замена исполнителя не дают права расширять цели обработки. Информация о существенных изменениях получателей доводится до пользователей; в случаях, когда требуется новое согласие или иное действие, обработка в изменённых условиях не начинается до выполнения соответствующего требования.

7.3. Данные могут предоставляться уполномоченным государственным органам при наличии законного требования, а также профессиональным консультантам в строго необходимом объёме и при соблюдении конфиденциальности. Само поступление запроса не является достаточным основанием для раскрытия.

## 8. Локализация и трансграничная передача

8.1. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает соблюдение части 5 статьи 18 Закона № 152-ФЗ. Место соответствующей базы данных: [[МЕСТО_БАЗЫ_ДАННЫХ_РФ]]. Это поле заполняется на основании фактического размещения, а не юридического адреса поставщика.

8.2. Использование Instagram предполагает взаимодействие с иностранной платформой. Если конкретные операции DiDirect составляют трансграничную передачу, они допускаются только после выполнения применимых требований статьи 12 Закона № 152-ФЗ, включая оценку получателя, необходимое уведомление Роскомнадзора и соблюдение установленных запретов и ограничений.

8.3. Страны и получатели таких передач указываются в разделе 7. Подключение платформы или согласие пользователя не отменяют требования локализации и обязательные процедуры трансграничной передачи.

8.4. До правовой проверки и заполнения сведений о получателях и территории обработки соответствующая интеграция не предлагается для публичного клиентского использования. Условия Meta о международной передаче данных сами по себе не подтверждают выполнение российских требований.

## 9. Сроки хранения и прекращение обработки

9.1. Данные хранятся не дольше, чем необходимо для заявленной цели, если иной срок не установлен законом. В таблице указаны предельные сроки проектируемых процедур; они должны быть утверждены и обеспечены до введения этой редакции в действие.

| Категория | Предельный срок и событие прекращения |
| --- | --- |
| Данные действующей учётной записи и команды | В период необходимых договорных отношений; после закрытия — удаление не позднее 30 календарных дней, кроме сведений, имеющих отдельное законное основание хранения |
| Разрешения доступа к Instagram | До отключения или отзыва; после получения соответствующего события дальнейшее использование прекращается, сохранённое средство доступа удаляется без неоправданной задержки |
| Содержание и персональные сведения из истории сценариев Instagram | Не более 90 календарных дней с взаимодействия при сохранении необходимости; раньше — по законному запросу, прекращению цели, отключению профиля или требованию Meta |
| Данные Instagram после отключения профиля или прекращения поручения | Удаление без неоправданной задержки, с договорным пределом 7 календарных дней, если применимый закон или условия платформы не требуют более быстрого действия |
| Сведения безопасности, не содержащие содержание сообщений аудитории | Не более 12 месяцев с события при сохранении необходимости; срок продлевается только для конкретного подтверждённого расследования или обязанности |
| Обращения в поддержку | Не более 12 месяцев после завершения обращения, если конкретный спор или обязательная норма не требуют другого срока; вложения и избыточные сведения удаляются раньше |
| Финансовые документы и сведения об исполнении договора | В течение обязательного срока по применимому законодательству; состав и срок по каждому виду документа определяются отдельно, без сохранения всей переписки аудитории |
| Резервные копии, если используются | Цикл замены не более 30 календарных дней; удалённые данные исключаются из дальнейшего использования, а после восстановления повторно удаляются. Более строгие законные или платформенные требования имеют приоритет |

9.2. Если закон требует сохранить отдельный документ, Оператор ограничивает его состав, доступ и дальнейшее использование соответствующей обязанностью. Сохранение расчётного документа не оправдывает сохранение сообщений, разрешений доступа или всей истории пользователя.

9.3. Необходимость хранения пересматривается при завершении цели, поступлении обращения, прекращении договора и изменении разрешений. Отсутствие обращения пользователя не является основанием для бессрочного хранения.

9.4. Прекращение оплаты подписки, отключение Instagram и закрытие учётной записи — разные действия. Порядок прекращения обработки и обращения за удалением изложен в [правилах удаления данных](/data-deletion).

## 10. Права и обращения субъектов данных

10.1. Вы вправе получить сведения об обработке и ознакомиться со своими данными, потребовать исправления, блокирования или уничтожения в предусмотренных законом случаях, отозвать согласие и обжаловать действия Оператора в Роскомнадзор или суд.

10.2. Направьте обращение на [[EMAIL_ДАННЫЕ]] или по адресу из раздела 1. Укажите суть требования, способ связи и сведения, позволяющие найти соответствующую учётную запись либо взаимодействие. Пользователю Instagram не требуется создавать платный аккаунт DiDirect для такого обращения.

10.3. Для защиты от удаления или раскрытия чужих данных может потребоваться подтверждение личности или полномочий. Запрашиваются только сведения, необходимые для конкретной проверки. Не направляйте пароль, коды входа, средства доступа к платформе или полную копию документа без обоснованного отдельного запроса.

10.4. Запрос об ознакомлении с данными рассматривается в срок до 10 рабочих дней; предусмотренное законом продление не превышает 5 рабочих дней и сопровождается мотивированным уведомлением. Для исправления, прекращения обработки и уничтожения применяются специальные сроки статей 20–21 Закона № 152-ФЗ; более короткое обязательное требование имеет приоритет.

10.5. При отзыве согласия прекращается обработка, основанная на нём. Если остаётся самостоятельное законное основание, Оператор сообщает о нём и сохраняет только необходимые сведения. Наличие договора с клиентом не позволяет автоматически отказать пользователю его аудитории в реализации прав.

10.6. Обращения о данных, обрабатываемых по поручению клиента, передаются соответствующему клиенту в необходимом объёме. DiDirect содействует исполнению и выполняет собственные обязанности; заявитель получает объяснение порядка рассмотрения. Обращение не отклоняется лишь потому, что пользователь не является клиентом DiDirect.

## 11. Конфиденциальность и безопасность

11.1. Оператор обязан применять соразмерные организационные и технические меры: ограничение и проверку доступа, защиту средств входа и разрешений подключения, регистрацию значимых событий, управление доступом команды и процедуры реагирования на нарушения.

11.2. Доступ уполномоченных лиц предоставляется по необходимости и с обязательством конфиденциальности. DiDirect не запрашивает пароли Instagram и не размещает сведения доступа в общедоступных документах.

11.3. При выявлении нарушения Оператор принимает меры к прекращению неправомерной обработки, снижению последствий и уведомлению соответствующих лиц, клиента, уполномоченных органов и Meta в случаях и сроки, установленные применимыми требованиями.

11.4. Обнаруженную проблему безопасности можно сообщить на [[EMAIL_БЕЗОПАСНОСТЬ]]. Меры защиты не являются гарантией отсутствия любых угроз и не ограничивают установленную законом ответственность Оператора.

## 12. Cookie, уведомления и новые функции

12.1. Для входа, сохранения сессии и защиты действий используются необходимые cookie. В текущей версии рекламная аналитика не подключена. Подробности приведены в [уведомлении о cookie](/cookies).

12.2. Служебные сообщения о регистрации, восстановлении доступа, безопасности, работе договора и расчётах отделяются от рекламы. Рекламные сообщения DiDirect возможны только при отдельном добровольном предварительном согласии, когда оно требуется, и с доступным способом отказа. Отказ от рекламы не препятствует использованию оплаченного сервиса.

12.3. Telegram не подключён в текущей версии. До появления такой интеграции её состав данных, получатели, условия проверки подписки и удаления будут отражены в обновлённых документах и соответствующем подключении. Эта Политика не разрешает заранее неизвестную обработку через будущие платформы.

## 13. Возраст и другие территории

13.1. Самостоятельная регистрация клиента предназначена для совершеннолетних дееспособных лиц и уполномоченных представителей организаций. Обработка данных несовершеннолетних из аудитории не исключается самим фактом такого ограничения; клиент обязан соблюдать соответствующие требования и не строить сценарии целевого сбора детских данных без необходимых оснований и гарантий.

13.2. При работе с лицами из других государств применяются также обязательные нормы, распространяющиеся на конкретную обработку. Документ не заменяет требуемые для отдельного рынка уведомления, представителей, согласия или механизмы международной передачи.

## 14. Изменения и контакты

14.1. Действующая редакция и дата её вступления в силу размещаются на общедоступной странице [[ДОМЕН]]/privacy. Существенные изменения сообщаются пользователям до начала соответствующей новой обработки. Новая редакция не распространяет ранее полученные согласия на несогласованные цели.

14.2. Оператор: ИП [[ФИО_ИП]], ИНН [[ИНН]], ОГРНИП [[ОГРНИП]]. Адрес: [[АДРЕС_ИП]]. Контакт по данным: [[EMAIL_ДАННЫЕ]].