Ответственный за организацию обработки персональных данных со стороны Лицензиара: Армизонов Владислав Александрович, генеральный директор, privacy@loyalka.ru.
1. Предмет Соглашения
1.1. Настоящее Соглашение об обработке персональных данных (далее — «Соглашение», «СОПД») является неотъемлемой частью Лицензионного договора-оферты (далее — «Договор») и определяет условия обработки персональных данных Конечных пользователей Лицензиаром по поручению Лицензиата. СОПД заключается между Лицензиаром и Лицензиатом. Конечный пользователь не является его стороной; СОПД не предъявляется ему для акцепта и не заменяет его согласий.
1.2. Лицензиат является оператором персональных данных участия, предоставляемых ему после подтверждения Конечным пользователем участия в конкретном Бизнесе: он определяет цели и состав обработки для исполнения Правил (п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — «Закон о персональных данных»). До подтверждения ему доступны только анонимная карта и операции в пределах п. 12.3 Договора, без данных аккаунта и таблицы соответствия. Если данные пользователя уже правомерно раскрыты этому Бизнесу, они не становятся анонимными при начале учёта в другой Программе. Принятие Правил одной Программы не открывает историю другой: новые данные по ней предоставляются только после принятия её Правил и в пределах действующего согласия. Порядок подтверждения Приглашающего в Системной реферальной программе определяется отдельно.
1.3. Статус оператора, реквизиты Лицензиата и поручение на обработку по настоящему Соглашению определяются на уровне отдельного Бизнеса Лицензиата (юридического лица, индивидуального предпринимателя, самозанятого или иного лица). В отношении каждого Бизнеса Лицензиат выступает самостоятельным оператором, а настоящее Соглашение действует применительно к такому Бизнесу.
1.4. Бизнес-аккаунт с несколькими Бизнесами. Если Бизнес-аккаунт содержит несколько Бизнесов, принадлежащих разным Лицензиатам, настоящее Соглашение считается заключённым отдельно с каждым Лицензиатом в отношении принадлежащего ему Бизнеса. Действия владельца Бизнес-аккаунта в отношении конкретного Бизнеса считаются действиями Лицензиата, которому этот Бизнес принадлежит. Лицензиат обеспечивает, чтобы доступ к персональным данным Конечных пользователей его Бизнеса предоставлялся только уполномоченным им лицам. Персональные данные Конечных пользователей одного Бизнеса не объединяются с персональными данными Конечных пользователей другого Бизнеса и не доступны в интерфейсе другого Бизнеса.
1.5. Лицензиар выступает в качестве лица, обрабатывающего персональные данные по поручению Лицензиата (обработчика), в соответствии с ч. 3 ст. 6 Закона о персональных данных. В отношении конкретного Конечного пользователя поручение начинает исполняться после подтверждения участия и получения согласия по п. 3.3, до предоставления Лицензиату охваченных им данных.
1.6. Настоящее Соглашение распространяется исключительно на обработку персональных данных, осуществляемую Лицензиаром по поручению Лицензиата. Обработка персональных данных, осуществляемая Лицензиаром самостоятельно как оператором (в том числе аутентификация по номеру телефона, направление SMS-кодов, обеспечение функционирования Платформы, аналитика использования Платформы), регулируется Политикой конфиденциальности и не является предметом настоящего Соглашения. К собственной обработке Лицензиара относится предварительный учёт по Пользовательскому соглашению: хранение связи карты с аккаунтом, учёт первоначальных и повторных операций, Баллов, штампов, Традиций, возникающих Бонусов и реферальной связи, отображение результата пользователю и направление уведомлений. После подтверждения собственные функции Лицензиара по аккаунту сохраняются; поручение охватывает только обработку для целей Лицензиата. Анонимная карта для Лицензиата не является заявлением об отсутствии персональных данных у Лицензиара.
1.7. Настоящее Соглашение вступает в силу с момента акцепта Договора и действует в течение всего срока действия Договора.
2. Состав персональных данных
2.1. После подтверждения участия и получения согласия по п. 3.3 Лицензиар обрабатывает по поручению Лицензиата следующие категории данных, включая охваченную согласием историю предварительного учёта:
Категория данных
Статус
Цель обработки
Уникальный код клиента (clientCode)
Обязательный
Идентификация Конечного пользователя в рамках Программы лояльности
Имя
Обязательное
Отображение в интерфейсе Лицензиата
Город
Опциональный
Отображение в интерфейсе Лицензиата (если указан Конечным пользователем)
История активности: даты операций, Баллы, штампы, Традиции, созданные и погашенные Бонусы, версии принятых условий
Автоматически
Обеспечение участия в Программе лояльности, создание и выдача наград
Данные реферальной активности (реферальные связи, реферальные Баллы, приветственные награды)
Автоматически
Обеспечение функционирования реферальной системы (при её доступности Лицензиату в соответствии с п. 3.7 Договора и включении Лицензиатом)
2.2. Номер телефона Конечного пользователя не передаётся Лицензиату и не обрабатывается по его поручению. Номер телефона обрабатывается Лицензиаром самостоятельно как оператором в целях аутентификации, направления SMS-кодов и технической доставки сообщений (вне предмета настоящего Соглашения).
2.3. Специальные категории персональных данных (ст. 10 Закона о персональных данных) и биометрические персональные данные (ст. 11 Закона о персональных данных) по поручению Лицензиата не обрабатываются.
3. Цели, перечень действий и правовые основания обработки
3.1. Лицензиар обрабатывает персональные данные Конечных пользователей по поручению Лицензиата исключительно в следующих целях: обеспечение участия Конечных пользователей в Программах лояльности Лицензиата; учёт начислений Баллов, штампов, Традиций и Бонусов; обеспечение функционирования реферальной системы (при её включении Лицензиатом); формирование истории активности для отображения Лицензиату; направление сервисных уведомлений; техническая доставка информационных и рекламных рассылок Лицензиата (при наличии отдельного согласия Конечного пользователя; содержание рассылки определяется Лицензиатом).
3.2. Перечень действий (операций) с персональными данными, осуществляемых Лицензиаром по поручению Лицензиата: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации.
3.3. Правовым основанием обработки Лицензиатом для исполнения принятых Правил Программы и Условий реферальной программы Бизнеса является п. 5 ч. 1 ст. 6 Закона о персональных данных. Для обработки Лицензиаром по поручению применяется ч. 3 ст. 6: до её начала Платформа отдельно от принятия Правил получает доказуемое согласие пользователя на предоставление данных указанному Лицензиату и поручение их обработки Лицензиару. Подтверждение участия проводится в авторизованной Платформе без дополнительного SMS. Согласие охватывает определённые в нём данные предварительных операций и последующего участия; оно не является основанием для предшествующей самостоятельной обработки Лицензиара. До подтверждения первая и последующие операции допускаются в режиме предварительного учёта по Пользовательскому соглашению, вне настоящего поручения. Фиксируются оператор и Бизнес, пользователь, дата и время, версия и хэш текста, подтверждающее действие и отзыв. Принятие Правил и предъявление QR-кода согласия не заменяют. В пределах действующего согласия для других Программ того же Бизнеса повторное согласие не требуется; другой оператор или Бизнес автоматически им не охватывается. Лицензиар как обработчик не получает дублирующее согласие от своего имени (ч. 4 ст. 6). Ранее полученные действующие согласия сохраняются в охваченных ими пределах. Для данных конкретной Программы до начала обработки по поручению также проверяется отдельный акцепт её Правил. Предварительная операция и уведомление со ссылкой на Правила акцептом не являются. Предоставление Правил и их принятие допускаются после предварительной операции; поручение начинает исполняться лишь при выполнении обоих условий — принятии Правил и наличии действующего согласия. Акцепт и согласие фиксируются раздельно, исходные даты операций сохраняются. Для использования системной реферальной награды Приглашающего подтверждением служат принятие Условий реферальной программы Бизнеса и наличие отдельного действующего согласия, охватывающего предоставление данных этому Бизнесу и поручение обработки Loyalka. Принятие Правил отдельной Программы лояльности для этого не требуется. Уже принятые Условия и действующее согласие учитываются без повторного действия.
3.4. Данные, обрабатываемые по настоящему поручению, Лицензиар не вправе использовать для иных целей без надлежащего правового основания и согласования с Лицензиатом. Самостоятельная обработка Лицензиара, прямо исключённая из предмета по п. 1.6, регулируется Пользовательским соглашением и Политикой конфиденциальности.
4. Обязанности Лицензиара (обработчика)
4.1. Обрабатывать персональные данные исключительно в целях и в объёме, определённых настоящим Соглашением и поручением Лицензиата.
4.2. Обеспечивать конфиденциальность обрабатываемых персональных данных. Не раскрывать персональные данные третьим лицам без поручения Лицензиата, за исключением случаев, предусмотренных законодательством Российской Федерации.
4.3. Принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (ст. 19 Закона о персональных данных). Соблюдать также требования части 5 статьи 18 и статьи 18.1 Закона о персональных данных. До начала обработки и в течение срока поручения по запросу Лицензиата предоставлять документы и сведения, подтверждающие соблюдение этих требований.
4.4. Не передавать номер телефона Конечного пользователя Лицензиату. Лицензиат получает доступ к: уникальному коду клиента (clientCode), имени, городу (если указан), истории активности в рамках своей Программы лояльности, данным реферальной активности (при включении реферальной системы). Этот доступ предоставляется после подтверждения и в пределах согласия. До подтверждения действуют ограничения п. 12.3 Договора, в том числе для API, поиска по QR-коду, аналитики и выгрузок.
4.5. Уведомить Лицензиата об инциденте безопасности (утечке персональных данных, несанкционированном доступе), произошедшем на стороне Лицензиара, без неоправданной задержки, но не позднее 24 (двадцати четырёх) часов с момента обнаружения, и предоставить сведения в сроки, позволяющие Лицензиату соблюсти сроки направления уведомлений в Роскомнадзор — 24 и 72 часа. Ожидание завершения внутреннего расследования не откладывает первоначальное уведомление. В отношении обработки, осуществляемой Лицензиаром как оператором (аутентификация, предварительный учёт, функционирование Платформы), Лицензиар направляет уведомления в Роскомнадзор самостоятельно.
4.6. По прекращении действия Договора по любому основанию (истечение срока, расторжение) или по требованию Лицензиата прекратить обработку персональных данных и уничтожить или обезличить персональные данные в сроки, предусмотренные разделом 8 настоящего Соглашения, если иное не предусмотрено законодательством. Отмена подписки сама по себе прекращения Договора не влечёт; последствия отмены подписки определяются п. 8.2 настоящего Соглашения. Указания Лицензиата не распространяются на самостоятельную обработку Лицензиара по п. 1.6; запрос на прекращение предварительного участия исполняется в порядке п. 12.5 Договора с уведомлением пользователя, отсрочкой и возможностью отмены запроса.
4.7. Содействовать Лицензиату в обеспечении прав субъектов персональных данных (запрос, уточнение, блокирование, удаление) в течение 10 (десяти) рабочих дней с момента получения соответствующего обращения.
4.8. Предоставлять Лицензиату по запросу информацию об обработке персональных данных, необходимую для выполнения Лицензиатом обязанностей оператора.
4.9. Уведомлять Лицензиата о привлечении нового субподрядчика, обрабатывающего персональные данные Конечных пользователей, в порядке и сроки, предусмотренные разделом 6 настоящего Соглашения.
5. Обязанности Лицензиата (оператора)
5.1. Обеспечить наличие правового основания обработки персональных данных Конечных пользователей: для целей исполнения Правил Программы лояльности таким основанием является сам факт присоединения Конечного пользователя к Правилам (п. 5 ч. 1 ст. 6 Закона о персональных данных), фиксируемый инструментами Платформы. Для иных целей — самостоятельно обеспечить предусмотренное законом основание обработки; если им служит согласие, получить его отдельным документом, отдельно от принятия Правил Программы и иных документов (ч. 1 ст. 9 Закона о персональных данных). Для участия Приглашающего учитывается также принятие Условий реферальной программы Бизнеса. При поручении обработки применяется п. 3.3 настоящего Соглашения. Отсутствие согласия на поручение не запрещает самостоятельный предварительный учёт Лицензиара. Оно исключает раскрытие данных аккаунта Лицензиату и начало обработки по его поручению до подтверждения по п. 3.3.
5.2. Определять цели обработки персональных данных Конечных пользователей в рамках Программы лояльности. Цели обработки не могут выходить за пределы, установленные настоящим Соглашением.
5.3. Не экспортировать персональные данные Конечных пользователей, полученные через Платформу, в сторонние системы без самостоятельного получения согласия каждого Конечного пользователя.
5.4. Уведомить Лицензиара об инциденте безопасности, произошедшем на стороне Лицензиата (в том числе по вине Сотрудников), в течение 24 (двадцати четырёх) часов с момента обнаружения. Как оператор персональных данных Конечных пользователей направить уведомление в Роскомнадзор в течение 24 (двадцати четырёх) часов и уведомление о результатах внутреннего расследования в течение 72 (семидесяти двух) часов (ч. 3.1 ст. 21 Закона о персональных данных) — в том числе если инцидент произошёл на стороне Лицензиара, с использованием сведений, предоставленных Лицензиаром в порядке п. 4.5 настоящего Соглашения.
5.5. Соблюдать требования Закона о персональных данных в отношении персональных данных Конечных пользователей, участвующих в Программах лояльности Лицензиата, в том числе подать уведомление о намерении осуществлять обработку персональных данных (ч. 1 ст. 22 Закона о персональных данных).
5.6. Обеспечить разграничение доступа Сотрудников к персональным данным Конечных пользователей и незамедлительно отзывать доступ при прекращении отношений с Сотрудником.
6. Привлечение субподрядчиков (субобработчиков)
6.1. Лицензиат настоящим даёт общее согласие на привлечение Лицензиаром субподрядчиков (субобработчиков) для обработки персональных данных в целях исполнения настоящего Соглашения на условиях, предусмотренных настоящим разделом.
6.2. Loyalka самостоятельно администрирует инфраструктуру Timeweb Cloud, предоставляемую ООО «ТАЙМВЭБ.КЛАУД». Персональные данные Платформы размещает и обрабатывает Лицензиар; доступ поставщика инфраструктуры к их содержимому не предоставляется. Если состав услуг предусматривает выполнение поставщиком операций с персональными данными по поручению Лицензиара, включая хранение или резервное копирование, до начала такой обработки Лицензиар обеспечивает надлежащее оформление поручения и необходимое правовое основание. Такая обработка не разрешается только фактом использования инфраструктуры. Привлечение субобработчика осуществляется в порядке настоящего раздела; согласие Лицензиата не заменяет необходимого согласия субъекта.
6.3. При выполнении собственных функций оператора Лицензиар использует REDSMS для доставки SMS-кодов и сообщений, а Yandex Cloud GPT и, при включении, Timeweb LLM — для модерации контента. Эти операции регулируются Политикой конфиденциальности и не включаются в состав субобработчиков данных участников по поручению Лицензиата.
6.4. Контент Лицензиата, передаваемый в сервисы модерации, может содержать косвенные персональные данные, внесённые Лицензиатом самостоятельно. Лицензиат обеспечивает правомерность включения таких сведений в Контент.
6.5. Лицензиар использует программное обеспечение на самостоятельно администрируемой инфраструктуре; данные не передаются его разработчикам: Countly — продуктовая аналитика Лицензиара по единому необязательному согласию и с одним переключателем в настройках, вне поручения Лицензиата; Sentry — мониторинг ошибок с удалением идентифицирующих сведений из отправляемых событий; Chatwoot — поддержка пользователей. Порядок использования инфраструктуры определяется п. 6.2.
6.6. VK Pixel используется только внутри VK при доступе через VK Mini App. ООО «ВКонтакте» (ИНН 7842349892) выступает самостоятельным оператором данных, обрабатываемых этим сервисом. Персональные данные из VK Pixel Лицензиару не передаются и через Платформу Лицензиатам не предоставляются. Обработка VK Pixel не входит в поручение Лицензиата и не является обработкой субподрядчиком по настоящему Соглашению. Правовые основания самостоятельной обработки VK и обработки, инициируемой Лицензиаром, разграничены в пп. 6.5 и 13.4 Политики конфиденциальности; отдельная позиция согласия только по факту наличия этого сервиса не требуется.
6.7. При привлечении нового субподрядчика, обрабатывающего персональные данные Конечных пользователей, Лицензиар обеспечивает заключение с ним соглашения, предусматривающего обязательства по защите персональных данных не ниже установленных настоящим Соглашением. Актуальный перечень субподрядчиков публикуется в Политике конфиденциальности. Согласование субподрядчика Лицензиатом и уведомление о нём не заменяют согласия субъекта, когда оно требуется законом. До передачи данных субподрядчику проверяется охват такой обработки действующим согласием; при отсутствии необходимого основания передача не начинается.
6.8. Уведомление о новом субподрядчике. Лицензиар уведомляет Лицензиата о привлечении нового субподрядчика, обрабатывающего персональные данные Конечных пользователей, а также о включении нового получателя таких данных, не позднее чем за 14 (четырнадцать) календарных дней до начала обработки — по электронной почте и через интерфейс Платформы. Лицензиат вправе в течение указанного срока заявить обоснованное возражение; при недостижении согласия Лицензиат вправе расторгнуть Договор с возвратом пропорциональной части вознаграждения за неиспользованный период.
7. Технические и организационные меры безопасности
7.1. Лицензиар применяет следующие меры для защиты персональных данных:
шифрование данных при передаче (TLS);
шифрование данных при хранении;
разграничение доступа на основе ролей;
логирование доступа к персональным данным;
регулярное обновление программного обеспечения;
определение угроз безопасности и уровня защищённости информационных систем персональных данных в соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
назначение лица, ответственного за организацию обработки персональных данных (ст. 22.1 Закона о персональных данных), и утверждение локальных актов по вопросам обработки и защиты персональных данных;
размещение инфраструктуры на территории Российской Федерации, в облачной инфраструктуре, соответствующей требованиям Закона о персональных данных.
7.2. Лицензиар обязуется поддерживать уровень защиты, соответствующий характеру обрабатываемых данных и требованиям ст. 19 Закона о персональных данных.
7.3. Лицензиат вправе запросить у Лицензиара подтверждение соблюдения технических и организационных мер защиты, предусмотренных настоящим Соглашением. Лицензиар предоставляет запрашиваемую информацию в разумные сроки. При необходимости стороны согласовывают порядок проведения аудита.
8. Сроки хранения и порядок удаления
8.1. При активном Бизнес-аккаунте Лицензиата персональные данные Конечных пользователей хранятся и обновляются в течение всего срока действия Договора. Правила настоящего раздела относятся к обработке по поручению. До подтверждения срок самостоятельного предварительного учёта определяется Пользовательским соглашением и Политикой: отдельного срока ожидания нет, действуют обычные сроки Программ и правила удаления аккаунта. Подтверждение не начинает эти сроки заново.
8.2. При просроченной оплате подписки, отмене подписки или ограничении Бизнес-аккаунта персональные данные Конечных пользователей сохраняются до возобновления подписки, снятия ограничения или удаления Бизнес-аккаунта. При просроченной оплате и после отмены подписки обработка в целях учёта участия, начисления Баллов и штампов и создания Бонусов продолжается в объёме, соответствующем бесплатному Тарифу Лицензиата. При ограничении Бизнес-аккаунта (SUSPENDED) и при архивации Бизнеса обработка в целях создания новых обязательств (начисление Баллов и штампов, создание Бонусов) приостанавливается в соответствии с условиями Договора.
8.3. При архивации Бизнеса Лицензиатом персональные данные Конечных пользователей сохраняются; новые начисления и создание Бонусов недоступны; накопленные Баллы и штампы и существующие Бонусы сохраняются.
8.4. При удалении Бизнес-аккаунта Лицензиата персональные данные Конечных пользователей удаляются в течение 6 (шести) месяцев после перехода Бизнес-аккаунта в статус «удалён» или до реализации Конечным пользователем права на удаление данных (что наступит ранее); обезличенные статистические данные (количество визитов, начислений) могут сохраняться в объёме, не позволяющем идентифицировать субъекта. Из указанного срока удаления исключаются сведения в минимальном объёме, необходимые для исполнения сохраняющихся Бонусов и рассмотрения связанных с ними требований: они хранятся до исполнения или прекращения соответствующего обязательства и завершения рассмотрения предъявленных требований при наличии законного основания. Версии Правил и Условий, записи об их принятии и сведения об Организаторе хранятся отдельно в сроки по пп. 6.8 и 6.9 Договора. Эти исключения не разрешают хранить весь профиль или продолжать рекламную обработку.
8.5. При удалении аккаунта Конечным пользователем удаление является незамедлительным и необратимым (аккаунт помечается удалённым, идентификаторы входа освобождаются, профиль обезличивается); полное уничтожение персональных данных осуществляется в течение 30 (тридцати) дней. Записи о принятых Конечным пользователем версиях Правил Программы и Условий реферальной программы Бизнеса сохраняются в обезличенном виде, не позволяющем идентифицировать субъекта, в течение срока, предусмотренного п. 6.8 Договора. Лицензиат уведомляется о выходе Конечного пользователя из Программы лояльности без раскрытия причины удаления и персональных данных. При удалении аккаунта по инициативе Лицензиара применяются пп. 12.6–12.7 Пользовательского соглашения: для подтверждения и исполнения сохраняющихся Бонусов на законном основании сохраняются минимально необходимые сведения до исполнения или прекращения обязательства и завершения рассмотрения предъявленных требований. Остальные данные уничтожаются в течение 30 календарных дней после удаления аккаунта.
8.6. Отзыв дополнительных согласий (в том числе на аналитику и рассылки) не влечёт удаления аккаунта или прекращения обработки, необходимой для исполнения Правил и Условий реферальной программы Бизнеса. Последствия отзыва согласия, необходимого для использования Платформы, определяются Пользовательским соглашением; при наличии самостоятельного законного основания обработка продолжается только в необходимом объёме. Отзыв согласия сам по себе не означает требования удалить аккаунт. Отзыв согласия не переводит ранее подтверждённое участие обратно в режим анонимной карты и не разрешает продолжать ту же обработку по поручению под видом предварительного учёта. Операции, для которых необходимо отозванное согласие, прекращаются до получения нового согласия либо возникновения иного применимого законного основания. Предъявление QR-кода согласие не восстанавливает; самостоятельная обработка Loyalka на другом законном основании и сохранение ранее возникших прав регулируются отдельно.
8.7. При прекращении действия Договора по любому основанию обработка персональных данных Конечных пользователей осуществляется в порядке, аналогичном удалению Бизнес-аккаунта (п. 8.4 настоящего Соглашения).
8.8. Удаление осуществляется путём необратимого обезличивания или уничтожения. Уничтожение персональных данных осуществляется в порядке и с подтверждением уничтожения, предусмотренными требованиями уполномоченного органа по защите прав субъектов персональных данных (в том числе Приказом Роскомнадзора от 28.10.2022 № 179); составляется акт уничтожения персональных данных.
9. Место обработки и трансграничная передача
9.1. Персональные данные Конечных пользователей обрабатываются и хранятся на территории Российской Федерации. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных).
9.2. Трансграничная передача персональных данных не осуществляется. Все субподрядчики, указанные в разделе 6 настоящего Соглашения, являются российскими юридическими лицами и осуществляют обработку на территории Российской Федерации.
10. Обезличивание персональных данных
10.1. Лицензиар вправе по поручению Лицензиата формировать агрегированные статистические показатели его Программ: количество визитов и начислений, средние показатели, конверсию реферальной системы. Использование исходных персональных данных в собственных целях Лицензиара требует самостоятельного правового основания и раскрытия соответствующей цели в Политике конфиденциальности. Настоящее поручение не разрешает использовать данные участия для обучения моделей модерации контента.
10.2. При обезличивании применяются меры, исключающие определение принадлежности данных конкретному субъекту без дополнительной информации. Пока такая информация сохраняется либо возможна косвенная идентификация, к данным продолжают применяться требования законодательства о персональных данных. Анонимная карта, отображаемая Лицензиату до подтверждения, не означает необратимого обезличивания: Лицензиар сохраняет соответствие аккаунту и применяет требования к защите персональных данных.
10.3. Для собственных аналитических целей без идентификации участников Лицензиар использует только агрегированные статистические сведения, не позволяющие прямо или косвенно определить конкретного субъекта. Замена имени или номера телефона идентификатором сама по себе не исключает данные из режима персональных данных.
10.4. После прекращения Договора Лицензиар вправе использовать и предоставлять третьим лицам только агрегированные статистические сведения, отвечающие условиям п. 10.3, без возможности идентификации участников. Исходные записи и таблицы соответствия идентификаторов в такую статистику не включаются.
10.5. Лицензиат вправе использовать обезличенные статистические данные своей Программы лояльности (количество визитов, начислений, средние показатели), предоставляемые Платформой, в том числе после удаления аккаунтов отдельных Конечных пользователей.
10.6. Обезличивание, осуществляемое в целях удаления персональных данных (п. 8.8 настоящего Соглашения), является необратимым и исключает любую возможность восстановления персональных данных.
11. Обеспечение прав субъектов персональных данных
11.1. Лицензиар содействует Лицензиату в обеспечении прав Конечных пользователей, предусмотренных Законом о персональных данных, включая: право на получение информации об обработке персональных данных; право на уточнение, блокирование и удаление персональных данных; право на отзыв согласия на обработку.
11.2. Запросы Конечных пользователей, направленные Лицензиару, обрабатываются Лицензиаром самостоятельно в части данных, обрабатываемых Лицензиаром как оператором (аутентификация, функционирование Платформы). Запросы в части данных, обрабатываемых по поручению Лицензиата (история активности в Программе лояльности), перенаправляются Лицензиату или обрабатываются Лицензиаром по согласованию с Лицензиатом. По вопросам самостоятельного предварительного учёта Лицензиар рассматривает обращения как оператор, без необходимости получения указаний Лицензиата.
11.3. Срок рассмотрения обращения субъекта — 10 (десять) рабочих дней с момента получения. Стороны обеспечивают взаимодействие в сроки, позволяющие соблюсти указанный срок.
12. Ответственность
12.1. Лицензиар несёт ответственность за нарушение условий настоящего Соглашения в части обработки персональных данных по поручению Лицензиата в пределах, предусмотренных Договором и законодательством Российской Федерации.
12.2. Лицензиат отвечает за наличие и доказуемость правового основания обработки: принятого договора, согласия в случаях, когда оно требуется, либо иного предусмотренного законом основания, а также за соблюдение требований к поручению обработки и определение её целей.
12.3. В случае привлечения одной из сторон к ответственности перед уполномоченными органами или субъектами персональных данных вследствие нарушения настоящего Соглашения другой стороной виновная сторона обязана возместить убытки в порядке регресса.
13. Заключительные положения
13.1. Настоящее Соглашение является неотъемлемой частью Договора и вступает в силу с момента акцепта Договора.
13.2. Лицензиар вправе в одностороннем порядке изменять настоящее Соглашение в порядке, предусмотренном Договором для изменения его приложений. Существенное изменение настоящего Соглашения, затрагивающее цели, состав обрабатываемых данных, перечень действий или состав субподрядчиков, требует повторного подтверждения Лицензиатом в интерфейсе Платформы.
13.3. Вопросы, не урегулированные настоящим Соглашением, регулируются Договором, Политикой конфиденциальности и законодательством Российской Федерации.
13.4. Настоящее Соглашение составлено в соответствии с требованиями ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
