Додаток 1 до Умов — Договір про обробку даних (DPA)

Версія від 22.10.2026

Дата оновлення: 22 жовтня 2026

Переклад для ознайомлення. Це переклад французької версії Договору; у разі розбіжностей діє французька.

Укладено на підставі статті 28 Регламенту (ЄС) 2016/679 («GDPR») між Клієнтом («Контролер») і OUTLINE SASU — компанією, яка керує Socialoop («Обробник»). Якщо Клієнт — SMM-спеціаліст, який діє від імені своїх клієнтів, він сам є їхнім обробником, а OUTLINE — його субобробником; SMM-спеціаліст зобов'язується включити рівноцінні зобов'язання до своїх договорів із клієнтами. Він гарантує, що отримав від кожного зі своїх клієнтів попередній письмовий дозвіл, конкретний або загальний, на залучення OUTLINE і субобробників, перелічених у Додатку Б (ст. 28(2) GDPR), і на запит надає своїм клієнтам відомості з цього Договору, потрібні їм для контролю.

1. Опис обробки

2. Вказівки

Обробник обробляє дані лише за документованими вказівками Контролера: це Умови, цей DPA і вибір, зроблений у сервісі (джерела контенту, режим публікації, затвердження, правки). Обробник повідомляє Контролера, якщо вказівка, на його думку, суперечить GDPR.

3. Конфіденційність

Особи, допущені до обробки даних (команда OUTLINE, редактори), зобов'язані зберігати конфіденційність і отримують доступ до даних лише в потрібному обсязі.

4. Безпека

Обробник застосовує заходи, описані в Додатку А, і підтримує їх на сучасному рівні.

5. Субобробники

Контролер надає загальний дозвіл на залучення субобробників, перелічених у Додатку Б. Обробник повідомляє Клієнта про кожне додавання чи заміну щонайменше за 30 днів (у боті або електронною поштою); Клієнт може заперечити з обґрунтованої причини, пов'язаної із захистом даних, і, якщо домовитися не вдалося, розірвати договір без штрафу. Обробник покладає на кожного субобробника рівноцінні зобов'язання й залишається відповідальним за їх виконання.

6. Передача за межі ЄС

Передача даних за межі Європейської економічної зони здійснюється на підставі рішення про достатність захисту (зокрема EU-U.S. Data Privacy Framework для сертифікованих одержувачів) або стандартних договірних умов Європейської комісії (рішення 2021/914), до яких за потреби додаються додаткові заходи.

7. Сприяння

Обробник у міру можливості допомагає Контролеру: відповідати на запити суб'єктів даних (зокрема видаляючи контент чи публікацію на запит через бота), забезпечувати безпеку, проводити оцінку впливу на захист даних, якщо вона потрібна, і консультуватися з наглядовим органом. Будь-який запит, отриманий безпосередньо від суб'єкта даних, без зволікання передається Клієнту.

8. Порушення безпеки даних

Обробник повідомляє Контролера про будь-яке порушення безпеки персональних даних не пізніше ніж через 48 годин після того, як дізнався про нього, і надає наявні відомості (характер порушення, категорії та приблизну кількість суб'єктів, яких воно стосується, ймовірні наслідки, вжиті або запропоновані заходи).

9. Завершення обробки

Робочі копії видаляються в строки, зазначені в Політиці конфіденційності (30 днів після публікації, 60 днів для невикористаного матеріалу). Після завершення договору Обробник видаляє дані не пізніше ніж через 30 днів, якщо закон не вимагає їх зберігати; на запит, надісланий до завершення договору, він передає Клієнту копію створеного контенту. Оригінали в будь-якому разі залишаються у сховищах Клієнта.

10. Аудит

Обробник надає відомості, потрібні, щоб підтвердити дотримання цього DPA. Клієнт може провести аудит за власний рахунок раз на рік, попередивши за 30 днів, без доступу до даних інших клієнтів; насамперед це може бути письмовий опитувальник.

11. Відповідальність

Контролер гарантує, що має правову підставу для доручених операцій з обробки і що повідомив суб'єктів даних, зокрема людей, яких можна впізнати на зображеннях. Відповідальність кожної сторони визначається статтею 82 GDPR і розділом 9 Умов.

Додаток А — Заходи безпеки

• Сервер і база даних у Європейському Союзі; доступ адміністратора лише за SSH-ключем; файрвол відкриває лише потрібні порти; автоматичні оновлення безпеки.
• Токени доступу до соцмереж зберігаються в зашифрованому вигляді; секрети — поза вихідним кодом.
• Шифрування під час передачі (HTTPS/TLS) для обміну з API і для сторінок сервісу.
• Сторінки плану відкриваються за довгим випадковим посиланням з обмеженим строком дії; тимчасові посилання на зображення видаляються після публікації.
• Технічні журнали без імен і вмісту; зберігаються 30 днів.
• Автоматичне видалення робочих копій в узгоджені строки.
• Резервні копії шифруються до розміщення в хмарі: щоденні зберігаються 30 днів, щомісячні — 6 місяців; перевірка відновлення — щомісяця.
• Доступ команди — лише за потреби; зобов'язання щодо конфіденційності.
• Автоматичне сповіщення адміністратора в разі помилки публікації чи інциденту.

Додаток Б — Субобробники

Telegram (Telegram FZ-LLC) не є субобробником OUTLINE: це месенджер, який Клієнт обрав для спілкування з ботом; він обробляє повідомлення як незалежний контролер за власною політикою конфіденційності й не укладає договорів про обробку даних із розробниками ботів.