Приложение 1 к Условиям — Договор обработки данных (DPA)

Версия от 22.10.2026

Дата обновления: 22 октября 2026

Перевод для сведения. Это перевод французской версии Договора; при расхождениях действует французская.

Заключён на основании статьи 28 Регламента (ЕС) 2016/679 («GDPR») между Клиентом («Контролёр») и OUTLINE SASU — компанией, которая управляет Socialoop («Обработчик»). Если Клиент — SMM-специалист, действующий от имени своих клиентов, он сам является их обработчиком, а OUTLINE — его субобработчиком; SMM-специалист обязуется включить равноценные обязательства в свои договоры с клиентами. Он гарантирует, что получил от каждого из своих клиентов предварительное письменное разрешение, конкретное или общее, на привлечение OUTLINE и субобработчиков из Приложения Б (ст. 28(2) GDPR), и по запросу предоставляет своим клиентам сведения из настоящего Договора, необходимые им для контроля.

1. Описание обработки

2. Указания

Обработчик обрабатывает данные только по документированным указаниям Контролёра: это Условия, настоящий DPA и выбор, сделанный в сервисе (источники контента, режим публикации, утверждения, правки). Обработчик сообщает Контролёру, если указание, по его мнению, противоречит GDPR.

3. Конфиденциальность

Лица, допущенные к обработке данных (команда OUTLINE, редакторы), связаны обязательством конфиденциальности и получают доступ к данным только в необходимой мере.

4. Безопасность

Обработчик применяет меры, описанные в Приложении А, и поддерживает их на современном уровне.

5. Субобработчики

Контролёр даёт общее разрешение на привлечение субобработчиков, перечисленных в Приложении Б. Обработчик сообщает Клиенту о каждом добавлении или замене не менее чем за 30 дней (в боте или по электронной почте); Клиент может возразить по обоснованной причине, связанной с защитой данных, и, если договориться не удалось, расторгнуть договор без штрафа. Обработчик возлагает на каждого субобработчика равноценные обязательства и остаётся ответственным за их исполнение.

6. Передача за пределы ЕС

Передача данных за пределы Европейской экономической зоны осуществляется на основании решения о достаточности защиты (в том числе EU-U.S. Data Privacy Framework для сертифицированных получателей) или стандартных договорных условий Европейской комиссии (решение 2021/914), к которым при необходимости добавляются дополнительные меры.

7. Содействие

Обработчик по мере возможности помогает Контролёру: отвечать на запросы субъектов данных (в том числе удаляя контент или публикацию по запросу через бота), обеспечивать безопасность, проводить оценку воздействия на защиту данных, если она требуется, и консультироваться с надзорным органом. Любой запрос, полученный напрямую от субъекта данных, без промедления передаётся Клиенту.

8. Нарушение безопасности данных

Обработчик уведомляет Контролёра о любом нарушении безопасности персональных данных не позднее чем через 48 часов после того, как узнал о нём, и сообщает имеющиеся сведения (характер нарушения, категории и примерное число затронутых субъектов, вероятные последствия, принятые или предлагаемые меры).

9. Окончание обработки

Рабочие копии удаляются в сроки, указанные в Политике конфиденциальности (30 дней после публикации, 60 дней для неиспользованного материала). После окончания договора Обработчик удаляет данные не позднее чем через 30 дней, если закон не требует их хранить; по запросу, направленному до окончания договора, он передаёт Клиенту копию созданного контента. Оригиналы в любом случае остаются в хранилищах Клиента.

10. Аудит

Обработчик предоставляет сведения, необходимые, чтобы подтвердить соблюдение настоящего DPA. Клиент может провести аудит за свой счёт раз в год, предупредив за 30 дней, без доступа к данным других клиентов; в первую очередь это может быть письменный опросник.

11. Ответственность

Контролёр гарантирует, что у него есть правовое основание для поручаемой обработки и что он уведомил субъектов данных, в частности людей, которых можно узнать на изображениях. Ответственность каждой стороны определяется статьёй 82 GDPR и разделом 9 Условий.

Приложение А — Меры безопасности

• Сервер и база данных в Европейском союзе; доступ администратора только по SSH-ключу; файрвол открывает только необходимые порты; автоматические обновления безопасности.
• Токены доступа к соцсетям хранятся в зашифрованном виде; секреты — вне исходного кода.
• Шифрование при передаче (HTTPS/TLS) для обмена с API и для страниц сервиса.
• Страницы плана открываются по длинной случайной ссылке с ограниченным сроком действия; временные ссылки на изображения удаляются после публикации.
• Технические журналы без имён и содержимого; хранятся 30 дней.
• Автоматическое удаление рабочих копий в согласованные сроки.
• Резервные копии шифруются до помещения в облако: ежедневные хранятся 30 дней, ежемесячные — 6 месяцев; проверка восстановления — раз в месяц.
• Доступ команды — только по необходимости; обязательство конфиденциальности.
• Автоматическое оповещение администратора при ошибке публикации или инциденте.

Приложение Б — Субобработчики

Telegram (Telegram FZ-LLC) не является субобработчиком OUTLINE: это мессенджер, который Клиент выбрал для общения с ботом; он обрабатывает сообщения как самостоятельный контролёр по своей политике конфиденциальности и не заключает договоров обработки данных с разработчиками ботов.