Соглашение об обработке данных

1. Предмет соглашения

Настоящее Соглашение об обработке данных (далее — DPA) регулирует порядок обработки, хранения и защиты данных Заказчика (далее — Данные) при использовании платформы Vertys, предоставляемой Самозанятым Титовым Владиславом Валерьевичем, ИНН 772352286285, действующим на основании ФЗ-422 от 27.11.2018 (далее — Исполнитель).

Под Данными в настоящем DPA понимаются: информация о рекламных кампаниях, показатели эффективности маркетинга, данные CRM-систем, а также иные сведения, предоставляемые Заказчиком для целей оказания услуг по анализу эффективности маркетинга.

Обработка персональных данных в составе Данных осуществляется в соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных». Правовым основанием обработки является исполнение договора, заключённого путём акцепта публичной Оферты, размещённой на сайте vertys.ru.

2. Цели обработки данных

Исполнитель обрабатывает Данные исключительно для следующих целей:

• Подключение источников данных (рекламные кабинеты, CRM) к платформе;
• Формирование дашбордов Mirror и отчётов;
• Генерация AI-гипотез и аналитических рекомендаций (Vera);
• Проведение еженедельных брифингов и трекинга спринтов;
• Формирование обезличенных бенчмарков по отраслям;
• Улучшение алгоритмов и качества работы платформы.

Исполнитель не использует Данные Заказчика для целей, не предусмотренных настоящим DPA, и не передаёт их третьим лицам, за исключением случаев, предусмотренных законодательством РФ.

3. Обязанности Исполнителя

Исполнитель обязуется:

• Обрабатывать Данные Заказчика строго в объёме и целях, определённых настоящим DPA;
• Обеспечить конфиденциальность Данных и не раскрывать их третьим лицам без письменного согласия Заказчика, за исключением требований законодательства РФ;
• Применять организационные и технические меры защиты в соответствии с разделом 5 настоящего DPA;
• Незамедлительно уведомить Заказчика о любом инциденте, связанном с нарушением безопасности Данных, в течение 48 часов с момента обнаружения;
• По запросу Заказчика предоставить подтверждение принятых мер защиты и информацию о местах хранения Данных;
• По прекращении действия договора — удалить или вернуть Данные Заказчику в течение 30 календарных дней (см. раздел 6).

4. Обязанности Заказчика

Заказчик обязуется:

• Предоставлять достоверные Данные, необходимые для оказания услуг по договору;
• Обеспечить законность сбора и передачи Данных Исполнителю, включая получение всех необходимых согласий субъектов персональных данных;
• Предоставлять доступ к рекламным кабинетам и CRM исключительно с правами чтения (viewer/read-only), если иное не согласовано сторонами письменно;
• Незамедлительно уведомить Исполнителя об изменении состава или характера Данных, если это влияет на режим их обработки;
• Не передавать Исполнителю специальные категории персональных данных (медицинские, биометрические и иные чувствительные данные), если это не требуется для оказания услуги.

5. Меры защиты данных

Исполнитель применяет следующие технические и организационные меры:

• Шифрование при передаче: все данные передаются по протоколу TLS 1.3;
• Изоляция данных: данные каждого Заказчика логически изолированы на уровне приложения и базы данных;
• Контроль доступа: доступ к Данным имеют только сотрудники Исполнителя, непосредственно участвующие в оказании услуги. Все действия с Данными логируются;
• Аутентификация: многофакторная аутентификация для доступа к инфраструктуре обработки Данных;
• Резервное копирование: ежедневное резервное копирование с хранением резервных копий не более 30 дней;
• Серверы на территории РФ: все Данные хранятся и обрабатываются на серверах, физически расположенных на территории Российской Федерации;
• Аудит безопасности: регулярный (не реже 1 раза в квартал) аудит систем безопасности и обновление программного обеспечения;
• NDA: все сотрудники и подрядчики Исполнителя, имеющие доступ к Данным, подписали соглашение о неразглашении (NDA).

6. Сроки хранения и порядок удаления

Данные Заказчика хранятся в течение всего срока действия договора плюс 30 календарных дней после его прекращения (период на случай восстановления доступа). По истечении 30 дней все Данные Заказчика безвозвратно удаляются из всех систем Исполнителя.

Заказчик вправе в любое время потребовать досрочного удаления Данных. В этом случае Исполнитель обязуется удалить Данные в течение 10 рабочих дней с момента получения письменного запроса на адрес vlad@vertys.ru.

Обезличенные и агрегированные данные, используемые для формирования отраслевых бенчмарков, не подлежат удалению, поскольку не позволяют идентифицировать конкретного Заказчика (соответствует ч. 2 ст. 6 152-ФЗ).

7. Субподрядчики

Для оказания услуг Исполнитель вправе привлекать субподрядчиков (поставщиков инфраструктурных услуг), при условии что:

• Субподрядчик обеспечивает уровень защиты Данных не ниже предусмотренного настоящим DPA;
• Субподрядчик обрабатывает Данные только по указанию Исполнителя и не использует их для собственных целей;
• Субподрядчик использует серверы на территории РФ (применимо к хранению и обработке Данных);
• Исполнитель несёт полную ответственность за действия субподрядчиков.

Актуальный перечень субподрядчиков предоставляется Заказчику по запросу.

8. Уведомление об инцидентах

В случае обнаружения инцидента, связанного с несанкционированным доступом, изменением, раскрытием или уничтожением Данных, Исполнитель обязуется:

• Уведомить Заказчика в течение 48 часов с момента обнаружения инцидента;
• Предоставить описание характера инцидента, категорий и примерного объёма затронутых Данных;
• Описать принятые и планируемые меры по устранению последствий инцидента;
• Назначить контактное лицо для взаимодействия по вопросам инцидента.

Уведомление направляется на адрес электронной почты, указанный Заказчиком при регистрации.

9. Ответственность сторон

За нарушение условий настоящего DPA стороны несут ответственность в соответствии с законодательством Российской Федерации.

Исполнитель несёт ответственность за действия своих сотрудников и субподрядчиков как за свои собственные.

Совокупная ответственность Исполнителя по любому иску, связанному с нарушением настоящего DPA, ограничена суммой, уплаченной Заказчиком за последние 3 (три) месяца использования платформы, за исключением случаев, когда ответственность не может быть ограничена в силу закона.

10. Срок действия и изменение DPA

Настоящее DPA вступает в силу с момента акцепта публичной Оферты и действует до полного удаления Данных Заказчика в соответствии с разделом 6.

Исполнитель оставляет за собой право вносить изменения в настоящее DPA. Актуальная версия всегда доступна по адресу vertys.ru/legal/dpa.

11. Реквизиты Исполнителя