СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

платформы «Loyalka»

Приложение № 3 к Лицензионному договору-оферте

Редакция 10 от 19.09.2026 г.

Дата публикации: 21.09.2026

Вступает в силу: 21.09.2026

Архив редакций: https://loyalka.ru/legal/archive

Ответственный за организацию обработки персональных данных со стороны Лицензиара: Армизонов Владислав Александрович, генеральный директор, privacy@loyalka.ru.

1. Предмет Соглашения

1.1. Настоящее Соглашение об обработке персональных данных (далее — «Соглашение», «СОПД») является неотъемлемой частью Лицензионного договора-оферты (далее — «Договор») и определяет условия обработки персональных данных Конечных пользователей Лицензиаром по поручению Лицензиата.

1.2. Лицензиат является оператором персональных данных Конечных пользователей в рамках своей Программы лояльности: он самостоятельно определяет цели и состав обрабатываемых данных (п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — «Закон о персональных данных»).

1.3. Статус оператора, реквизиты Лицензиата и поручение на обработку по настоящему Соглашению определяются на уровне отдельного Бизнеса Лицензиата (юридического лица, индивидуального предпринимателя, самозанятого или иного лица). В отношении каждого Бизнеса Лицензиат выступает самостоятельным оператором, а настоящее Соглашение действует применительно к такому Бизнесу.

1.4. Бизнес-аккаунт с несколькими Бизнесами. Если Бизнес-аккаунт содержит несколько Бизнесов, принадлежащих разным Лицензиатам, настоящее Соглашение считается заключённым отдельно с каждым Лицензиатом в отношении принадлежащего ему Бизнеса. Действия владельца Бизнес-аккаунта в отношении конкретного Бизнеса считаются действиями Лицензиата, которому этот Бизнес принадлежит. Лицензиат обеспечивает, чтобы доступ к персональным данным Конечных пользователей его Бизнеса предоставлялся только уполномоченным им лицам. Персональные данные Конечных пользователей одного Бизнеса не объединяются с персональными данными Конечных пользователей другого Бизнеса и не доступны в интерфейсе другого Бизнеса.

1.5. Лицензиар выступает в качестве лица, обрабатывающего персональные данные по поручению Лицензиата (обработчика), в соответствии с ч. 3 ст. 6 Закона о персональных данных.

1.6. Настоящее Соглашение распространяется исключительно на обработку персональных данных, осуществляемую Лицензиаром по поручению Лицензиата. Обработка персональных данных, осуществляемая Лицензиаром самостоятельно как оператором (в том числе аутентификация по номеру телефона, направление SMS-кодов, обеспечение функционирования Платформы, аналитика использования Платформы), регулируется Политикой конфиденциальности и не является предметом настоящего Соглашения.

1.7. Настоящее Соглашение вступает в силу с момента акцепта Договора и действует в течение всего срока действия Договора.

2. Состав персональных данных

2.1. Лицензиар обрабатывает по поручению Лицензиата следующие категории персональных данных Конечных пользователей:

2.2. Номер телефона Конечного пользователя не передаётся Лицензиату и не обрабатывается по его поручению. Номер телефона обрабатывается Лицензиаром самостоятельно как оператором в целях аутентификации, направления SMS-кодов и технической доставки сообщений (вне предмета настоящего Соглашения).

2.3. Специальные категории персональных данных (ст. 10 Закона о персональных данных) и биометрические персональные данные (ст. 11 Закона о персональных данных) по поручению Лицензиата не обрабатываются.

3. Цели, перечень действий и правовые основания обработки

3.1. Лицензиар обрабатывает персональные данные Конечных пользователей по поручению Лицензиата исключительно в следующих целях: обеспечение участия Конечных пользователей в Программах лояльности Лицензиата; учёт начислений Баллов, штампов и Бонусов; обеспечение функционирования реферальной системы (при её включении Лицензиатом); формирование истории активности для отображения Лицензиату; направление сервисных уведомлений; техническая доставка информационных и рекламных рассылок Лицензиата (при наличии отдельного согласия Конечного пользователя; содержание рассылки определяется Лицензиатом).

3.2. Перечень действий (операций) с персональными данными, осуществляемых Лицензиаром по поручению Лицензиата: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации.

3.3. Правовым основанием обработки Лицензиаром является поручение Лицензиата (ч. 3 ст. 6 Закона о персональных данных), оформленное настоящим Соглашением. Правовым основанием обработки Лицензиатом как оператором является исполнение Правил Программы лояльности и принятых Условий реферальной программы Бизнеса — договоров, стороной которых является Конечный пользователь (п. 5 ч. 1 ст. 6 Закона о персональных данных); отдельное согласие Конечного пользователя для этих целей не требуется. Платформа фиксирует присоединение Конечного пользователя к Правилам с указанием даты, версии и хэша текста. Для дополнительных целей применяется п. 5.1 настоящего Соглашения; требования к согласию на поручение обработки применяются независимо от договорного основания обработки самим Лицензиатом. Поручение обработки Лицензиару осуществляется с соблюдением части 3 статьи 6 Закона о персональных данных: с согласия субъекта, если иное не предусмотрено федеральным законом. Договорное основание обработки самим Лицензиатом не заменяет такого согласия в случаях, когда оно требуется; Лицензиат обеспечивает его получение и доказуемость отдельно от принятия Правил. Лицензиар как обработчик не обязан повторно получать согласие от своего имени (часть 4 статьи 6).

3.4. Лицензиар не вправе обрабатывать персональные данные Конечных пользователей в целях, не предусмотренных настоящим Соглашением, без предварительного письменного согласия Лицензиата.

4. Обязанности Лицензиара (обработчика)

4.1. Обрабатывать персональные данные исключительно в целях и в объёме, определённых настоящим Соглашением и поручением Лицензиата.

4.2. Обеспечивать конфиденциальность обрабатываемых персональных данных. Не раскрывать персональные данные третьим лицам без поручения Лицензиата, за исключением случаев, предусмотренных законодательством Российской Федерации.

4.3. Принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (ст. 19 Закона о персональных данных). Соблюдать также требования части 5 статьи 18 и статьи 18.1 Закона о персональных данных. До начала обработки и в течение срока поручения по запросу Лицензиата предоставлять документы и сведения, подтверждающие соблюдение этих требований.

4.4. Не передавать номер телефона Конечного пользователя Лицензиату. Лицензиат получает доступ к: уникальному коду клиента (clientCode), имени, городу (если указан), истории активности в рамках своей Программы лояльности, данным реферальной активности (при включении реферальной системы).

4.5. Уведомить Лицензиата об инциденте безопасности (утечке персональных данных, несанкционированном доступе), произошедшем на стороне Лицензиара, в течение 24 (двадцати четырёх) часов с момента обнаружения и предоставить сведения, необходимые Лицензиату для направления уведомлений в Роскомнадзор в сроки 24 и 72 часов. В отношении обработки, осуществляемой Лицензиаром как оператором (аутентификация, функционирование Платформы), Лицензиар направляет уведомления в Роскомнадзор самостоятельно.

4.6. По прекращении действия Договора по любому основанию (истечение срока, расторжение) или по требованию Лицензиата прекратить обработку персональных данных и уничтожить или обезличить персональные данные в сроки, предусмотренные разделом 8 настоящего Соглашения, если иное не предусмотрено законодательством. Отмена подписки сама по себе прекращения Договора не влечёт; последствия отмены подписки определяются п. 8.2 настоящего Соглашения.

4.7. Содействовать Лицензиату в обеспечении прав субъектов персональных данных (запрос, уточнение, блокирование, удаление) в течение 10 (десяти) рабочих дней с момента получения соответствующего обращения.

4.8. Предоставлять Лицензиату по запросу информацию об обработке персональных данных, необходимую для выполнения Лицензиатом обязанностей оператора.

4.9. Уведомлять Лицензиата о привлечении нового субподрядчика, обрабатывающего персональные данные Конечных пользователей, в порядке и сроки, предусмотренные разделом 6 настоящего Соглашения.

5. Обязанности Лицензиата (оператора)

5.1. Обеспечить наличие правового основания обработки персональных данных Конечных пользователей: для целей исполнения Правил Программы лояльности таким основанием является сам факт присоединения Конечного пользователя к Правилам (п. 5 ч. 1 ст. 6 Закона о персональных данных), фиксируемый инструментами Платформы. Для любых иных целей — самостоятельно получить согласие каждого Конечного пользователя, оформленное отдельным документом, отдельно от принятия Правил Программы и иных документов (ч. 1 ст. 9 Закона о персональных данных, Федеральный закон от 24.06.2025 № 156-ФЗ). Для участия Приглашающего учитывается также принятие Условий реферальной программы Бизнеса. При поручении обработки применяется п. 3.3 настоящего Соглашения.

5.2. Определять цели обработки персональных данных Конечных пользователей в рамках Программы лояльности. Цели обработки не могут выходить за пределы, установленные настоящим Соглашением.

5.3. Не экспортировать персональные данные Конечных пользователей, полученные через Платформу, в сторонние системы без самостоятельного получения согласия каждого Конечного пользователя.

5.4. Уведомить Лицензиара об инциденте безопасности, произошедшем на стороне Лицензиата (в том числе по вине Сотрудников), в течение 24 (двадцати четырёх) часов с момента обнаружения. Как оператор персональных данных Конечных пользователей направить уведомление в Роскомнадзор в течение 24 (двадцати четырёх) часов и уведомление о результатах внутреннего расследования в течение 72 (семидесяти двух) часов (ч. 3.1 ст. 21 Закона о персональных данных) — в том числе если инцидент произошёл на стороне Лицензиара, с использованием сведений, предоставленных Лицензиаром в порядке п. 4.5 настоящего Соглашения.

5.5. Соблюдать требования Закона о персональных данных в отношении персональных данных Конечных пользователей, участвующих в Программах лояльности Лицензиата, в том числе подать уведомление о намерении осуществлять обработку персональных данных (ч. 1 ст. 22 Закона о персональных данных).

5.6. Обеспечить разграничение доступа Сотрудников к персональным данным Конечных пользователей и незамедлительно отзывать доступ при прекращении отношений с Сотрудником.

6. Привлечение субподрядчиков (субобработчиков)

6.1. Лицензиат настоящим даёт общее согласие на привлечение Лицензиаром субподрядчиков (субобработчиков) для обработки персональных данных в целях исполнения настоящего Соглашения на условиях, предусмотренных настоящим разделом.

6.2. Субподрядчик, обрабатывающий персональные данные Конечных пользователей по поручению Лицензиата:

6.3. При выполнении собственных функций оператора Лицензиар использует REDSMS для доставки SMS-кодов и сообщений, а Yandex Cloud GPT и, при включении, Timeweb LLM — для модерации контента. Эти операции регулируются Политикой конфиденциальности и не включаются в приведённый выше перечень субобработчиков данных участников по поручению Лицензиата.

6.4. Контент Лицензиата, передаваемый в сервисы модерации, может содержать косвенные персональные данные, внесённые Лицензиатом самостоятельно. Лицензиат обеспечивает правомерность включения таких сведений в Контент.

6.5. Кроме того, Лицензиар использует программное обеспечение, развёрнутое на собственной инфраструктуре (данные третьим лицам не передаются): Countly (продуктовая аналитика Лицензиара на основании единого необязательного согласия Конечного пользователя, управляемого одним переключателем в настройках; не входит в поручение Лицензиата); Sentry (мониторинг ошибок; сведения, позволяющие идентифицировать субъекта, редактируются до отправки); Chatwoot (обработка обращений в службу поддержки).

6.6. VK Pixel используется только внутри VK при доступе через VK Mini App. ООО «ВКонтакте» (ИНН 7842349892) выступает самостоятельным оператором данных, обрабатываемых этим сервисом. Персональные данные из VK Pixel Лицензиару не передаются и через Платформу Лицензиатам не предоставляются. Обработка VK Pixel не входит в поручение Лицензиата и не является обработкой субподрядчиком по настоящему Соглашению. Правовые основания самостоятельной обработки VK и обработки, инициируемой Лицензиаром, разграничены в пп. 6.5 и 13.4 Политики конфиденциальности; отдельная позиция согласия только по факту наличия этого сервиса не требуется.

6.7. При привлечении нового субподрядчика, обрабатывающего персональные данные Конечных пользователей, Лицензиар обеспечивает заключение с ним соглашения, предусматривающего обязательства по защите персональных данных не ниже установленных настоящим Соглашением. Актуальный перечень субподрядчиков публикуется в Политике конфиденциальности.

6.8. Уведомление о новом субподрядчике. Лицензиар уведомляет Лицензиата о привлечении нового субподрядчика, обрабатывающего персональные данные Конечных пользователей, а также о включении нового получателя таких данных, не позднее чем за 14 (четырнадцать) календарных дней до начала обработки — по электронной почте и через интерфейс Платформы. Лицензиат вправе в течение указанного срока заявить обоснованное возражение; при недостижении согласия Лицензиат вправе расторгнуть Договор с возвратом пропорциональной части вознаграждения за неиспользованный период.

7. Технические и организационные меры безопасности

7.1. Лицензиар применяет следующие меры для защиты персональных данных:

• шифрование данных при передаче (TLS);

• шифрование данных при хранении;

• разграничение доступа на основе ролей;

• логирование доступа к персональным данным;

• регулярное обновление программного обеспечения;

• определение угроз безопасности и уровня защищённости информационных систем персональных данных в соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 № 1119;

• назначение лица, ответственного за организацию обработки персональных данных (ст. 22.1 Закона о персональных данных), и утверждение локальных актов по вопросам обработки и защиты персональных данных;

• размещение инфраструктуры на территории Российской Федерации, в облачной инфраструктуре, соответствующей требованиям Закона о персональных данных.

7.2. Лицензиар обязуется поддерживать уровень защиты, соответствующий характеру обрабатываемых данных и требованиям ст. 19 Закона о персональных данных.

7.3. Лицензиат вправе запросить у Лицензиара подтверждение соблюдения технических и организационных мер защиты, предусмотренных настоящим Соглашением. Лицензиар предоставляет запрашиваемую информацию в разумные сроки. При необходимости стороны согласовывают порядок проведения аудита.

8. Сроки хранения и порядок удаления

8.1. При активном Бизнес-аккаунте Лицензиата персональные данные Конечных пользователей хранятся и обновляются в течение всего срока действия Договора.

8.2. При просроченной оплате подписки, отмене подписки или ограничении Бизнес-аккаунта персональные данные Конечных пользователей сохраняются до возобновления подписки, снятия ограничения или удаления Бизнес-аккаунта. При просроченной оплате и после отмены подписки обработка в целях учёта участия, начисления Баллов и штампов и создания Бонусов продолжается в объёме, соответствующем бесплатному Тарифу Лицензиата. При ограничении Бизнес-аккаунта (SUSPENDED) и при архивации Бизнеса обработка в целях создания новых обязательств (начисление Баллов и штампов, создание Бонусов) приостанавливается в соответствии с условиями Договора.

8.3. При архивации Бизнеса Лицензиатом персональные данные Конечных пользователей сохраняются; новые начисления и создание Бонусов недоступны; накопленные Баллы и штампы и существующие Бонусы сохраняются.

8.4. При удалении Бизнес-аккаунта Лицензиата персональные данные Конечных пользователей удаляются в течение 6 (шести) месяцев после перехода Бизнес-аккаунта в статус «удалён» или до реализации Конечным пользователем права на удаление данных (что наступит ранее); обезличенные статистические данные (количество визитов, начислений) могут сохраняться в объёме, не позволяющем идентифицировать субъекта. Из указанного срока удаления исключаются сведения в минимальном объёме, необходимые для исполнения сохраняющихся Бонусов и рассмотрения связанных с ними требований: они хранятся до исполнения или прекращения соответствующего обязательства и завершения рассмотрения предъявленных требований при наличии законного основания. Версии Правил и Условий, записи об их принятии и сведения об Организаторе хранятся отдельно в сроки по пп. 6.8 и 6.9 Договора. Эти исключения не разрешают хранить весь профиль или продолжать рекламную обработку.

8.5. При удалении аккаунта Конечным пользователем удаление является незамедлительным и необратимым (аккаунт помечается удалённым, идентификаторы входа освобождаются, профиль обезличивается); полное уничтожение персональных данных осуществляется в течение 30 (тридцати) дней. Записи о принятых Конечным пользователем версиях Правил Программы и Условий реферальной программы Бизнеса сохраняются в обезличенном виде, не позволяющем идентифицировать субъекта, в течение срока, предусмотренного п. 6.8 Договора. Лицензиат уведомляется о выходе Конечного пользователя из Программы лояльности без раскрытия причины удаления и персональных данных. При удалении аккаунта по инициативе Лицензиара применяются пп. 12.6–12.7 Пользовательского соглашения: для подтверждения и исполнения сохраняющихся Бонусов на законном основании сохраняются минимально необходимые сведения до исполнения или прекращения обязательства и завершения рассмотрения предъявленных требований. Остальные данные уничтожаются в течение 30 календарных дней после удаления аккаунта.

8.6. Отзыв дополнительных согласий (в том числе на аналитику и рассылки) не влечёт удаления аккаунта или прекращения обработки, необходимой для исполнения Правил и Условий реферальной программы Бизнеса. Последствия отзыва согласия, необходимого для использования Платформы, определяются Пользовательским соглашением; при наличии самостоятельного законного основания обработка продолжается только в необходимом объёме. Отзыв согласия сам по себе не означает требования удалить аккаунт.

8.7. При прекращении действия Договора по любому основанию обработка персональных данных Конечных пользователей осуществляется в порядке, аналогичном удалению Бизнес-аккаунта (п. 8.4 настоящего Соглашения).

8.8. Удаление осуществляется путём необратимого обезличивания или уничтожения. Уничтожение персональных данных осуществляется в порядке и с подтверждением уничтожения, предусмотренными требованиями уполномоченного органа по защите прав субъектов персональных данных (в том числе Приказом Роскомнадзора от 28.10.2022 № 179); составляется акт уничтожения персональных данных.

9. Место обработки и трансграничная передача

9.1. Персональные данные Конечных пользователей обрабатываются и хранятся на территории Российской Федерации. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных).

9.2. Трансграничная передача персональных данных не осуществляется. Все субподрядчики, указанные в разделе 6 настоящего Соглашения, являются российскими юридическими лицами и осуществляют обработку на территории Российской Федерации.

10. Обезличивание персональных данных

10.1. Лицензиар вправе по поручению Лицензиата формировать агрегированные статистические показатели его Программ: количество визитов и начислений, средние показатели, конверсию реферальной системы. Использование исходных персональных данных в собственных целях Лицензиара требует самостоятельного правового основания и раскрытия соответствующей цели в Политике конфиденциальности. Настоящее поручение не разрешает использовать данные участия для обучения моделей модерации контента.

10.2. При обезличивании применяются меры, исключающие определение принадлежности данных конкретному субъекту без дополнительной информации. Пока такая информация сохраняется либо возможна косвенная идентификация, к данным продолжают применяться требования законодательства о персональных данных.

10.3. Для собственных аналитических целей без идентификации участников Лицензиар использует только агрегированные статистические сведения, не позволяющие прямо или косвенно определить конкретного субъекта. Замена имени или номера телефона идентификатором сама по себе не исключает данные из режима персональных данных.

10.4. После прекращения Договора Лицензиар вправе использовать и предоставлять третьим лицам только агрегированные статистические сведения, отвечающие условиям п. 10.3, без возможности идентификации участников. Исходные записи и таблицы соответствия идентификаторов в такую статистику не включаются.

10.5. Лицензиат вправе использовать обезличенные статистические данные своей Программы лояльности (количество визитов, начислений, средние показатели), предоставляемые Платформой, в том числе после удаления аккаунтов отдельных Конечных пользователей.

10.6. Обезличивание, осуществляемое в целях удаления персональных данных (п. 8.8 настоящего Соглашения), является необратимым и исключает любую возможность восстановления персональных данных.

11. Обеспечение прав субъектов персональных данных

11.1. Лицензиар содействует Лицензиату в обеспечении прав Конечных пользователей, предусмотренных Законом о персональных данных, включая: право на получение информации об обработке персональных данных; право на уточнение, блокирование и удаление персональных данных; право на отзыв согласия на обработку.

11.2. Запросы Конечных пользователей, направленные Лицензиару, обрабатываются Лицензиаром самостоятельно в части данных, обрабатываемых Лицензиаром как оператором (аутентификация, функционирование Платформы). Запросы в части данных, обрабатываемых по поручению Лицензиата (история активности в Программе лояльности), перенаправляются Лицензиату или обрабатываются Лицензиаром по согласованию с Лицензиатом.

11.3. Срок рассмотрения обращения субъекта — 10 (десять) рабочих дней с момента получения. Стороны обеспечивают взаимодействие в сроки, позволяющие соблюсти указанный срок.

12. Ответственность

12.1. Лицензиар несёт ответственность за нарушение условий настоящего Соглашения в части обработки персональных данных по поручению Лицензиата в пределах, предусмотренных Договором и законодательством Российской Федерации.

12.2. Лицензиат отвечает за наличие и доказуемость правового основания обработки: принятого договора, согласия в случаях, когда оно требуется, либо иного предусмотренного законом основания, а также за соблюдение требований к поручению обработки и определение её целей.

12.3. В случае привлечения одной из сторон к ответственности перед уполномоченными органами или субъектами персональных данных вследствие нарушения настоящего Соглашения другой стороной виновная сторона обязана возместить убытки в порядке регресса.

13. Заключительные положения

13.1. Настоящее Соглашение является неотъемлемой частью Договора и вступает в силу с момента акцепта Договора.

13.2. Лицензиар вправе в одностороннем порядке изменять настоящее Соглашение в порядке, предусмотренном Договором для изменения его приложений. Существенное изменение настоящего Соглашения, затрагивающее цели, состав обрабатываемых данных, перечень действий или состав субподрядчиков, требует повторного подтверждения Лицензиатом в интерфейсе Платформы.

13.3. Вопросы, не урегулированные настоящим Соглашением, регулируются Договором, Политикой конфиденциальности и законодательством Российской Федерации.

13.4. Настоящее Соглашение составлено в соответствии с требованиями ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».