СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

платформы «Loyalka»

Приложение № 3 к Лицензионному договору-оферте

Редакция 5 от 30.08.2026 г.

Дата публикации: 30.08.2026

Вступает в силу: 30.08.2026

Архив редакций: https://loyalka.ru/legal/archive

Ответственный за организацию обработки персональных данных со стороны Лицензиара: Армизонов Владислав Александрович, генеральный директор, privacy@loyalka.ru.

1. Предмет Соглашения

1.1. Настоящее Соглашение об обработке персональных данных (далее — «Соглашение», «СОПД») является неотъемлемой частью Лицензионного договора-оферты (далее — «Договор») и определяет условия обработки персональных данных Конечных пользователей Лицензиаром по поручению Лицензиата.

1.2. Лицензиат является оператором персональных данных Конечных пользователей в рамках своей Программы лояльности: он самостоятельно определяет цели и состав обрабатываемых данных (п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — «Закон о персональных данных»).

1.3. Статус оператора, реквизиты Лицензиата и поручение на обработку по настоящему Соглашению определяются на уровне отдельного Бизнеса Лицензиата (юридического лица, индивидуального предпринимателя, самозанятого или иного лица). В отношении каждого Бизнеса Лицензиат выступает самостоятельным оператором, а настоящее Соглашение действует применительно к такому Бизнесу.

1.4. Бизнес-аккаунт с несколькими Бизнесами. Если Бизнес-аккаунт содержит несколько Бизнесов, принадлежащих разным Лицензиатам, настоящее Соглашение считается заключённым отдельно с каждым Лицензиатом в отношении принадлежащего ему Бизнеса. Действия владельца Бизнес-аккаунта в отношении конкретного Бизнеса считаются действиями Лицензиата, которому этот Бизнес принадлежит. Лицензиат обеспечивает, чтобы доступ к персональным данным Конечных пользователей его Бизнеса предоставлялся только уполномоченным им лицам. Персональные данные Конечных пользователей одного Бизнеса не объединяются с персональными данными Конечных пользователей другого Бизнеса и не доступны в интерфейсе другого Бизнеса.

1.5. Лицензиар выступает в качестве лица, обрабатывающего персональные данные по поручению Лицензиата (обработчика), в соответствии с ч. 3 ст. 6 Закона о персональных данных.

1.6. Настоящее Соглашение распространяется исключительно на обработку персональных данных, осуществляемую Лицензиаром по поручению Лицензиата. Обработка персональных данных, осуществляемая Лицензиаром самостоятельно как оператором (в том числе аутентификация по номеру телефона, направление SMS-кодов, обеспечение функционирования Платформы, аналитика использования Платформы), регулируется Политикой конфиденциальности и не является предметом настоящего Соглашения.

1.7. Настоящее Соглашение вступает в силу с момента акцепта Договора и действует в течение всего срока действия Договора.

2. Состав персональных данных

2.1. Лицензиар обрабатывает по поручению Лицензиата следующие категории персональных данных Конечных пользователей:

2.2. Номер телефона Конечного пользователя не передаётся Лицензиату и не обрабатывается по его поручению. Номер телефона обрабатывается Лицензиаром самостоятельно как оператором в целях аутентификации, направления SMS-кодов и технической доставки сообщений (вне предмета настоящего Соглашения).

2.3. Специальные категории персональных данных (ст. 10 Закона о персональных данных) и биометрические персональные данные (ст. 11 Закона о персональных данных) по поручению Лицензиата не обрабатываются.

3. Цели, перечень действий и правовые основания обработки

3.1. Лицензиар обрабатывает персональные данные Конечных пользователей по поручению Лицензиата исключительно в следующих целях: обеспечение участия Конечных пользователей в Программах лояльности Лицензиата; учёт начислений Баллов, штампов и Бонусов; обеспечение функционирования реферальной системы (при её включении Лицензиатом); формирование истории активности для отображения Лицензиату; направление сервисных уведомлений; техническая доставка информационных и рекламных рассылок Лицензиата (при наличии отдельного согласия Конечного пользователя; содержание рассылки определяется Лицензиатом); автоматизированная модерация контента Лицензиата.

3.2. Перечень действий (операций) с персональными данными, осуществляемых Лицензиаром по поручению Лицензиата: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации.

3.3. Правовым основанием обработки является поручение Лицензиата (ч. 3 ст. 6 Закона о персональных данных), оформленное настоящим Соглашением. Лицензиат обязан обеспечить получение согласия Конечных пользователей на обработку персональных данных в соответствии с Законом о персональных данных и Федеральным законом от 24.06.2025 № 156-ФЗ. Платформа предоставляет инструменты для получения и фиксации такого согласия; согласие на обработку данных Лицензиатом предоставляется Конечным пользователем при присоединении к Программе лояльности.

3.4. Лицензиар не вправе обрабатывать персональные данные Конечных пользователей в целях, не предусмотренных настоящим Соглашением, без предварительного письменного согласия Лицензиата.

4. Обязанности Лицензиара (обработчика)

4.1. Обрабатывать персональные данные исключительно в целях и в объёме, определённых настоящим Соглашением и поручением Лицензиата.

4.2. Обеспечивать конфиденциальность обрабатываемых персональных данных. Не раскрывать персональные данные третьим лицам без поручения Лицензиата, за исключением случаев, предусмотренных законодательством Российской Федерации.

4.3. Принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (ст. 19 Закона о персональных данных).

4.4. Не передавать номер телефона Конечного пользователя Лицензиату. Лицензиат получает доступ к: уникальному коду клиента (clientCode), имени, городу (если указан), истории активности в рамках своей Программы лояльности, данным реферальной активности (при включении реферальной системы).

4.5. Уведомить Лицензиата об инциденте безопасности (утечке персональных данных, несанкционированном доступе), произошедшем на стороне Лицензиара, в течение 24 (двадцати четырёх) часов с момента обнаружения и предоставить сведения, необходимые Лицензиату для направления уведомлений в Роскомнадзор в сроки 24 и 72 часов. В отношении обработки, осуществляемой Лицензиаром как оператором (аутентификация, функционирование Платформы), Лицензиар направляет уведомления в Роскомнадзор самостоятельно.

4.6. По прекращении действия Договора по любому основанию (истечение срока, расторжение) или по требованию Лицензиата прекратить обработку персональных данных и уничтожить или обезличить персональные данные в сроки, предусмотренные разделом 8 настоящего Соглашения, если иное не предусмотрено законодательством. Отмена подписки сама по себе прекращения Договора не влечёт; последствия отмены подписки определяются п. 8.2 настоящего Соглашения.

4.7. Содействовать Лицензиату в обеспечении прав субъектов персональных данных (запрос, уточнение, блокирование, удаление) в течение 10 (десяти) рабочих дней с момента получения соответствующего обращения.

4.8. Предоставлять Лицензиату по запросу информацию об обработке персональных данных, необходимую для выполнения Лицензиатом обязанностей оператора.

4.9. Уведомлять Лицензиата о привлечении нового субподрядчика, обрабатывающего персональные данные Конечных пользователей, в порядке и сроки, предусмотренные разделом 6 настоящего Соглашения.

5. Обязанности Лицензиата (оператора)

5.1. Обеспечить получение согласия Конечных пользователей на обработку персональных данных в соответствии с Законом о персональных данных и Федеральным законом от 24.06.2025 № 156-ФЗ, используя инструменты Платформы.

5.2. Определять цели обработки персональных данных Конечных пользователей в рамках Программы лояльности. Цели обработки не могут выходить за пределы, установленные настоящим Соглашением.

5.3. Не экспортировать персональные данные Конечных пользователей, полученные через Платформу, в сторонние системы без самостоятельного получения согласия каждого Конечного пользователя.

5.4. Уведомить Лицензиара об инциденте безопасности, произошедшем на стороне Лицензиата (в том числе по вине Сотрудников), в течение 24 (двадцати четырёх) часов с момента обнаружения. Как оператор персональных данных Конечных пользователей направить уведомление в Роскомнадзор в течение 24 (двадцати четырёх) часов и уведомление о результатах внутреннего расследования в течение 72 (семидесяти двух) часов (ч. 3.1 ст. 21 Закона о персональных данных) — в том числе если инцидент произошёл на стороне Лицензиара, с использованием сведений, предоставленных Лицензиаром в порядке п. 4.5 настоящего Соглашения.

5.5. Соблюдать требования Закона о персональных данных в отношении персональных данных Конечных пользователей, участвующих в Программах лояльности Лицензиата, в том числе подать уведомление о намерении осуществлять обработку персональных данных (ч. 1 ст. 22 Закона о персональных данных).

5.6. Обеспечить разграничение доступа Сотрудников к персональным данным Конечных пользователей и незамедлительно отзывать доступ при прекращении отношений с Сотрудником.

6. Привлечение субподрядчиков (субобработчиков)

6.1. Лицензиат настоящим даёт общее согласие на привлечение Лицензиаром субподрядчиков (субобработчиков) для обработки персональных данных в целях исполнения настоящего Соглашения на условиях, предусмотренных настоящим разделом.

6.2. Актуальный перечень субподрядчиков, обрабатывающих персональные данные Конечных пользователей по поручению Лицензиата:

6.3. REDSMS также используется Лицензиаром как оператором для направления SMS-кодов аутентификации. Указанная обработка не является предметом настоящего Соглашения и регулируется Политикой конфиденциальности.

6.4. Контент Лицензиата, передаваемый в сервисы модерации, может содержать косвенные персональные данные, внесённые Лицензиатом самостоятельно. Лицензиат обеспечивает правомерность включения таких сведений в Контент.

6.5. Кроме того, Лицензиар использует программное обеспечение, развёрнутое на собственной инфраструктуре (данные третьим лицам не передаются): Countly (продуктовая аналитика); Sentry (мониторинг ошибок; сведения, позволяющие идентифицировать субъекта, редактируются до отправки); Chatwoot (обработка обращений в службу поддержки).

6.6. VK Pixel (оператор — ООО «ВКонтакте», ИНН 7842349892) используется для обезличенной аналитики событий при доступе Конечных пользователей через VK Mini App. ООО «ВКонтакте» выступает самостоятельным оператором в отношении передаваемых обезличенных данных; передача осуществляется при наличии соответствующей позиции согласия Конечного пользователя и не является обработкой по поручению Лицензиата.

6.7. При привлечении нового субподрядчика, обрабатывающего персональные данные Конечных пользователей, Лицензиар обеспечивает заключение с ним соглашения, предусматривающего обязательства по защите персональных данных не ниже установленных настоящим Соглашением. Актуальный перечень субподрядчиков публикуется в Политике конфиденциальности.

6.8. Уведомление о новом субподрядчике. Лицензиар уведомляет Лицензиата о привлечении нового субподрядчика, обрабатывающего персональные данные Конечных пользователей, а также о включении нового получателя таких данных, не позднее чем за 14 (четырнадцать) календарных дней до начала обработки — по электронной почте и через интерфейс Платформы. Лицензиат вправе в течение указанного срока заявить обоснованное возражение; при недостижении согласия Лицензиат вправе расторгнуть Договор с возвратом пропорциональной части вознаграждения за неиспользованный период.

7. Технические и организационные меры безопасности

7.1. Лицензиар применяет следующие меры для защиты персональных данных:

• шифрование данных при передаче (TLS);
• шифрование данных при хранении;
• разграничение доступа на основе ролей;
• логирование доступа к персональным данным;
• регулярное обновление программного обеспечения;
• определение угроз безопасности и уровня защищённости информационных систем персональных данных в соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
• назначение лица, ответственного за организацию обработки персональных данных (ст. 22.1 Закона о персональных данных), и утверждение локальных актов по вопросам обработки и защиты персональных данных;
• размещение инфраструктуры на территории Российской Федерации, в облачной инфраструктуре, соответствующей требованиям Закона о персональных данных.

7.2. Лицензиар обязуется поддерживать уровень защиты, соответствующий характеру обрабатываемых данных и требованиям ст. 19 Закона о персональных данных.

7.3. Лицензиат вправе запросить у Лицензиара подтверждение соблюдения технических и организационных мер защиты, предусмотренных настоящим Соглашением. Лицензиар предоставляет запрашиваемую информацию в разумные сроки. При необходимости стороны согласовывают порядок проведения аудита.

8. Сроки хранения и порядок удаления

8.1. При активном Бизнес-аккаунте Лицензиата персональные данные Конечных пользователей хранятся и обновляются в течение всего срока действия Договора.

8.2. При просроченной оплате подписки, отмене подписки или ограничении Бизнес-аккаунта персональные данные Конечных пользователей сохраняются до возобновления подписки, снятия ограничения или удаления Бизнес-аккаунта. При просроченной оплате и после отмены подписки обработка в целях учёта участия, начисления Баллов и штампов и создания Бонусов продолжается в объёме, соответствующем бесплатному Тарифу Лицензиата. При ограничении Бизнес-аккаунта (SUSPENDED) и при архивации Бизнеса обработка в целях создания новых обязательств (начисление Баллов и штампов, создание Бонусов) приостанавливается в соответствии с условиями Договора.

8.3. При архивации Бизнеса Лицензиатом персональные данные Конечных пользователей сохраняются; новые начисления и создание Бонусов недоступны; накопленные Баллы и штампы и существующие Бонусы сохраняются.

8.4. При удалении Бизнес-аккаунта Лицензиата персональные данные Конечных пользователей удаляются в течение 6 (шести) месяцев после перехода Бизнес-аккаунта в статус «удалён» или до реализации Конечным пользователем права на удаление данных (что наступит ранее); обезличенные статистические данные (количество визитов, начислений) могут сохраняться в объёме, не позволяющем идентифицировать субъекта.

8.5. При удалении аккаунта Конечным пользователем удаление является незамедлительным и необратимым (аккаунт помечается удалённым, идентификаторы входа освобождаются, профиль обезличивается); полное уничтожение персональных данных осуществляется в течение 30 (тридцати) дней. Записи о принятых Конечным пользователем версиях Правил Программы и Условий реферальной программы Бизнеса сохраняются в обезличенном виде, не позволяющем идентифицировать субъекта, в течение срока, предусмотренного п. 6.8 Договора. Лицензиат уведомляется о выходе Конечного пользователя из Программы лояльности без раскрытия причины удаления и персональных данных.

8.6. При отзыве согласия Конечным пользователем его аккаунт подлежит удалению в порядке, предусмотренном Пользовательским соглашением. Лицензиар вправе продолжить обработку при наличии иных оснований, предусмотренных пп. 2–11 ч. 1 ст. 6 Закона о персональных данных, в объёме, необходимом для соответствующего основания.

8.7. При прекращении действия Договора по любому основанию обработка персональных данных Конечных пользователей осуществляется в порядке, аналогичном удалению Бизнес-аккаунта (п. 8.4 настоящего Соглашения).

8.8. Удаление осуществляется путём необратимого обезличивания или уничтожения. Уничтожение персональных данных осуществляется в порядке и с подтверждением уничтожения, предусмотренными требованиями уполномоченного органа по защите прав субъектов персональных данных (в том числе Приказом Роскомнадзора от 28.10.2022 № 179); составляется акт уничтожения персональных данных.

9. Место обработки и трансграничная передача

9.1. Персональные данные Конечных пользователей обрабатываются и хранятся на территории Российской Федерации. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных).

9.2. Трансграничная передача персональных данных не осуществляется. Все субподрядчики, указанные в разделе 6 настоящего Соглашения, являются российскими юридическими лицами и осуществляют обработку на территории Российской Федерации.

10. Обезличивание персональных данных

10.1. Лицензиар вправе обезличивать персональные данные Конечных пользователей в целях: формирования агрегированной аналитики использования Платформы (количество визитов, средние показатели Программ лояльности, конверсия реферальной системы и иные статистические показатели); улучшения качества Платформы и разработки новых функциональных возможностей; обучения и совершенствования моделей автоматизированной модерации контента.

10.2. Обезличивание осуществляется способом, исключающим возможность повторной идентификации субъекта персональных данных без использования дополнительной информации. Обезличенные данные не позволяют определить принадлежность данных конкретному Конечному пользователю ни прямо, ни косвенно.

10.3. Обезличенные данные не относятся к персональным данным в смысле пунктов 1 и 9 статьи 3 Закона о персональных данных и могут обрабатываться Лицензиаром без согласия субъекта и без поручения Лицензиата.

10.4. Лицензиар вправе использовать обезличенные данные для собственных аналитических целей, в том числе после прекращения действия Договора. Обезличенные данные могут предоставляться третьим лицам исключительно в агрегированном виде, без возможности идентификации субъектов.

10.5. Лицензиат вправе использовать обезличенные статистические данные своей Программы лояльности (количество визитов, начислений, средние показатели), предоставляемые Платформой, в том числе после удаления аккаунтов отдельных Конечных пользователей.

10.6. Обезличивание, осуществляемое в целях удаления персональных данных (п. 8.8 настоящего Соглашения), является необратимым и исключает любую возможность восстановления персональных данных.

11. Обеспечение прав субъектов персональных данных

11.1. Лицензиар содействует Лицензиату в обеспечении прав Конечных пользователей, предусмотренных Законом о персональных данных, включая: право на получение информации об обработке персональных данных; право на уточнение, блокирование и удаление персональных данных; право на отзыв согласия на обработку.

11.2. Запросы Конечных пользователей, направленные Лицензиару, обрабатываются Лицензиаром самостоятельно в части данных, обрабатываемых Лицензиаром как оператором (аутентификация, функционирование Платформы). Запросы в части данных, обрабатываемых по поручению Лицензиата (история активности в Программе лояльности), перенаправляются Лицензиату или обрабатываются Лицензиаром по согласованию с Лицензиатом.

11.3. Срок рассмотрения обращения субъекта — 10 (десять) рабочих дней с момента получения. Стороны обеспечивают взаимодействие в сроки, позволяющие соблюсти указанный срок.

12. Ответственность

12.1. Лицензиар несёт ответственность за нарушение условий настоящего Соглашения в части обработки персональных данных по поручению Лицензиата в пределах, предусмотренных Договором и законодательством Российской Федерации.

12.2. Лицензиат несёт ответственность за законность оснований обработки персональных данных (наличие согласия, соблюдение требований к его оформлению), а также за определение целей обработки.

12.3. В случае привлечения одной из сторон к ответственности перед уполномоченными органами или субъектами персональных данных вследствие нарушения настоящего Соглашения другой стороной виновная сторона обязана возместить убытки в порядке регресса.

13. Заключительные положения

13.1. Настоящее Соглашение является неотъемлемой частью Договора и вступает в силу с момента акцепта Договора.

13.2. Лицензиар вправе в одностороннем порядке изменять настоящее Соглашение в порядке, предусмотренном Договором для изменения его приложений. Существенное изменение настоящего Соглашения, затрагивающее цели, состав обрабатываемых данных, перечень действий или состав субподрядчиков, требует повторного подтверждения Лицензиатом в интерфейсе Платформы.

13.3. Вопросы, не урегулированные настоящим Соглашением, регулируются Договором, Политикой конфиденциальности и законодательством Российской Федерации.

13.4. Настоящее Соглашение составлено в соответствии с требованиями ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».