Соглашение об обработке данных

1. Общие положения

1.1. Настоящее Соглашение об обработке данных (далее СОД) заключается между Заказчиком как контролёром данных и Оператором Majevski, MB (код юридического лица 304720404, адрес местонахождения Smalinės g. 21-3, LT-06225, Vilnius, Lietuva) как обработчиком данных. СОД является неотъемлемой частью Договора (пункты 1.2 и 21.1 Условий) и устанавливает условия, указанные в части 3 статьи 28 Регламента (ЕС) 2016/679 (Общий регламент по защите данных, GDPR; далее Регламент).

1.2. СОД заключается в электронной форме: Заказчик принимает его вместе с Условиями предоставления услуг в порядке, установленном пунктами 1.4 и 1.7 Условий. Электронная форма соответствует требованию части 9 статьи 28 Регламента, поэтому отдельное подписание СОД не требуется. С момента публикации настоящей версии СОД Оператор вместе с принятием Условий фиксирует, какую версию СОД принял Заказчик; для Заказчика, принявшего Условия ранее, применимая к нему версия СОД определяется по дате принятия Условий (пункт 1.5 Условий).

1.3. Понятия, определённые в разделе 2 Условий (например, Сервис, Учётная запись, Пользователь, Владелец, Член команды, Клиент, Данные Клиентов, Контент Заказчика, Страница записи, План, SMS-шлюз, Ссылка на календарь, Профиль DEK, Показатель надёжности, Рабочий день, Экспортируемые данные и Субобработчик), используются в настоящем СОД в том же значении. «Premium SMS» означает функцию Сервиса, определённую в пункте 14.10 Условий. Понятия «персональные данные», «обработка», «субъект данных» и «нарушение безопасности персональных данных» используются в значении, определённом в статье 4 Регламента. Ссылки на Условия означают версию Условий, применимую к Заказчику.

1.4. «Обрабатываемые данные» означают Данные Клиентов, обрабатываемые в Сервисе данные Членов команды и иные персональные данные, которые Заказчик или Пользователи вместе с ними вводят, импортируют, синхронизируют или получают через Сервис (например, SMS-сообщения лиц, которые не являются Клиентами, пункт 14.7 Условий), когда Оператор обрабатывает их от имени Заказчика, а также указанные в разделе 18 настоящего СОД данные аккаунта asms.lt Заказчика. Обрабатываемыми данными не считаются данные, которые Оператор обрабатывает как самостоятельный контролёр данных (раздел 3 настоящего СОД). В настоящем СОД Субобработчиком считается также иной обработчик данных, которого Оператор привлекает для обработки иных Обрабатываемых данных (пункт 2.23 Условий).

1.5. По вопросам обработки Данных Клиентов согласно статье 28 Регламента СОД имеет преимущественную силу перед Условиями в объёме, установленном подпунктом 3 пункта 33.6 Условий. СОД, включая его предыдущие версии, не изменяет пределы ответственности, установленные разделами 25 и 26 Условий, а также установленные разделами 24 и 30 Условий обязательства и сроки в отношении доступности Сервиса, резервного копирования, предоставления и удаления данных. Если по этим вопросам СОД повторяет Условия или ссылается на них, применяются Условия.

1.6. Заказчик как контролёр данных решает, какие Обрабатываемые данные и в каких целях обрабатывать в Сервисе, обязан иметь правовое основание для их обработки и передачи Оператору, информировать субъектов данных (пункты 11.3 и 11.4 Условий), обеспечивать соответствие своих указаний законодательству и рассматривать запросы субъектов данных. Заказчик вправе давать указания (раздел 2 настоящего СОД), получать информацию и проводить аудит (раздел 10 настоящего СОД), а также выбирать возврат или удаление данных (раздел 12 настоящего СОД) и отвечает за действия Пользователей в Учётной записи (пункты 5.2 и 5.3 Условий).

2. Указания и пределы обработки

2.1. Оператор обрабатывает Обрабатываемые данные только по документально оформленным указаниям Заказчика, включая указания в отношении передачи данных в третьи страны (раздел 7 настоящего СОД), и только в целях, описанных в разделах 15 и 18 настоящего СОД, за исключением случаев, указанных в пунктах 2.5 и 12.6 настоящего СОД.

2.2. Документально оформленные указания Заказчика составляют: 1) указание, предусмотренное пунктом 21.3 Условий, которое Заказчик даёт, принимая Условия; 2) настоящее СОД; 3) выбранные Заказчиком в Учётной записи настройки и используемые Пользователями функции Сервиса (например, правила уведомлений, настройки Страницы записи, подключение аккаунта asms.lt и синхронизация контактов, включение функции Premium SMS, Ссылки на календарь, импорт, кампании и удаление записей); 4) запросы Владельца, поданные согласно Условиям и настоящему СОД (например, согласно пунктам 30.4, 30.7 и 30.9 Условий); 5) индивидуальные указания, которые Оператор согласился исполнять согласно пункту 2.3 настоящего СОД.

2.3. Указание, выходящее за рамки стандартной работы Сервиса, указанной в пункте 21.3 Условий (индивидуальное указание), Владелец направляет по электронной почте pagalba@majevski.com с адреса электронной почты Владельца (пункт 32.3 Условий). Оператор в разумный срок отвечает, будет ли он исполнять указание. Оператор не обязан исполнять индивидуальное указание, для исполнения которого потребовалось бы изменить работу Сервиса или которое невозможно реализовать средствами Сервиса. К индивидуальным указаниям применяется подпункт 6 пункта 26.1 Условий.

2.4. Если, по мнению Оператора, указание Заказчика нарушает Регламент или иные нормы права Европейского союза или государства-члена о защите данных, Оператор незамедлительно информирует об этом Заказчика и может не исполнять это указание, пока Заказчик его не изменит или не отменит либо пока стороны в письменной форме не согласуют, что указание является законным. Если Заказчик требует исполнить указание, которое Оператор обоснованно считает незаконным, Оператор не обязан его исполнять и может расторгнуть Договор в порядке, установленном пунктом 29.3 Условий, а если такое требование является существенным нарушением Договора, в порядке, установленном пунктом 29.4 Условий. Настоящий пункт не означает, что Оператор проверяет законность указаний Заказчика, и не перекладывает на Оператора обязанности Заказчика как контролёра данных.

2.5. Если обработку Обрабатываемых данных требует применимое к Оператору право Европейского союза или государства-члена, Оператор до начала обработки информирует Заказчика о таком правовом требовании, за исключением случаев, когда такое информирование запрещено этим правом по важным причинам общественного интереса. По запросу государственного органа Оператор раскрывает только те Обрабатываемые данные, которые обязан раскрыть, и, если это допускается, заранее информирует об этом Заказчика (пункты 20.7 и 23.3 Условий).

2.6. Оператор не использует Обрабатываемые данные для собственного маркетинга, не продаёт их и не передаёт третьим лицам для их собственных целей, за исключением случаев, когда этого требует законодательство (пункт 21.6 Условий), и не использует их для обучения моделей искусственного интеллекта без указания Заказчика (пункт 6.5 Условий). В собственных целях Оператор может обрабатывать Данные Клиентов только в случаях, указанных в разделе 3 и пункте 12.6 настоящего СОД (пункт 22.3 Условий).

2.7. Электронные письма всех Заказчиков отправляются через общую инфраструктуру отправки Сервиса, поэтому повторная отправка на несуществующие адреса вредит доставке уведомлений всех Заказчиков (пункт 15.3 Условий). Если на адрес, с которого Оператор отправляет письма, приходит сообщение почтового сервера получателя о недоставке, в котором указано, что адрес не существует, Сервис регистрирует это сообщение и отключает отправку электронных писем на этот адрес во всех Учётных записях, в которых есть не удалённый Клиент с тем же адресом электронной почты, независимо от того, письмо какого Заказчика было отклонено, а статус адреса электронной почты такого Клиента отмечается как неработающий. Сообщения о временной недоставке также регистрируются во всех таких Учётных записях, однако отправка не отключается. Если почтовый сервер получателя отклоняет письмо уже в момент отправки, отправка отключается только в той Учётной записи, письмо из которой было отклонено. Принимая Условия и настоящее СОД, Заказчик даёт Оператору указание обрабатывать адреса электронной почты его Клиентов таким образом и соглашается с тем, чтобы сообщения о недоставке писем, отправленных его Клиентам, использовались также для отключения отправки на адреса электронной почты Клиентов других Заказчиков (пункты 15.3 и 21.3 Условий).

3. Обработка данных Оператором как самостоятельным контролёром данных

3.1. Оператор как самостоятельный контролёр данных обрабатывает данные аккаунтов и расчётов Заказчика, Пользователей и плательщиков, данные Профиля DEK, данные о защите от злоупотреблений и данные технических журналов, а также данные посетителей сайта и Страниц записи, собранные с их согласия (файлы cookie и аналитика) (пункт 21.2 Условий). К такой обработке настоящее СОД не применяется: она описана в Политике конфиденциальности и Политике cookie, а за её соответствие законодательству отвечает Оператор.

3.2. Данные Клиентов Оператор как самостоятельный контролёр данных обрабатывает только в целях, указанных в пунктах 17.4, 17.5 и 21.4 Условий и описанных в пунктах 3.3, 3.4, 3.5 и 3.6 настоящего СОД, включая использование имени, фамилии и языка Клиента из карточки клиента Заказчика для создания Профиля DEK. Заказчик согласен с тем, чтобы Данные Клиентов для этих целей раскрывались Оператору, за исключением данных о количестве, указанных в пункте 17.4 Условий, если Заказчик решил их не передавать (пункт 21.3 Условий). Кроме того, Оператор непосредственно с устройств посетителей сайта Сервиса и Страниц записи (включая Клиентов) получает данные технических журналов (например, IP-адрес, который записывается в журнал аудита при онлайн-бронировании, изменении языка уведомлений или отказе от электронных писем) и, с согласия посетителей, данные аналитики (пункт 3.7 настоящего СОД); такие данные не являются Данными Клиентов, и Оператор обрабатывает их как самостоятельный контролёр данных (пункты 2.9 и 21.2 Условий).

3.3. Общий Показатель надёжности по нескольким предприятиям (пункт 17.4 Условий). Для этой цели используется только количество состоявшихся визитов, неявок и поздних изменений Клиентов Заказчика, связанных с Профилем DEK, без дат визитов, услуг, заметок и названия Заказчика. По умолчанию эти данные передаются; Заказчик может в настройках Сервиса отказаться от их передачи, и в таком случае ему не показывается и общий показатель. Данные о количестве из удалённых Учётных записей и удалённых карточек Клиентов в общий показатель не включаются.

3.4. Защита от злоупотреблений (пункты 17.5, 17.7 и 21.6 Условий). Информация о подозрительных действиях, включая IP-адреса и хеш-значения адресов электронной почты, может передаваться в управляемую Оператором базу данных угроз M Blacklist (пункт 7.8 Условий), данные которой используются также для защиты от злоупотреблений других связанных с Оператором услуг. При проверке запросов IP-адрес, хеш-значение адреса электронной почты и домен электронной почты могут сверяться с этой базой данных или её копией в Сервисе. Список подтверждённых угроз (IP-адреса и их диапазоны, хеш-значения адресов электронной почты и домены электронной почты, без имён и адресов электронной почты) M Blacklist публикует в открытом доступе, чтобы им для защиты своих услуг могли пользоваться и другие сайты; подробнее это описано в Политике конфиденциальности. В случае подтверждённой угрозы Сервис может автоматически отклонить вход, создание Учётной записи, отправку ссылки для восстановления пароля или одноразового кода либо бронирование. Заказчик или Клиент может сообщить о блокировке, которую считает необоснованной, в порядке, установленном пунктом 17.7 Условий. Эти данные Оператор обрабатывает на основании законного интереса в обеспечении безопасности Сервиса и его пользователей.

3.5. Статистика (пункт 21.4 Условий). Оператор может составлять и использовать обобщённую обезличенную статистику, по которой невозможно установить Заказчика, Клиента или иное лицо, а также показатели использования Сервиса Заказчиком.

3.6. Профиль DEK (пункты 3.7, 17.3 и 17.4 Условий). Данные Профиля DEK, включая одноразовые коды, которые Оператор отправляет Клиентам от своего имени (пункт 15.1 Условий), Оператор обрабатывает как самостоятельный контролёр данных. Обновление адреса электронной почты и номера телефона связанного Клиента в карточке клиента Заказчика и отображение визитов Клиента в его Профиле DEK являются обработкой Обрабатываемых данных по указанию Заказчика (пункты 15.4 и 15.5 настоящего СОД). При окончательном удалении записей Заказчика данные Профиля DEK не удаляются, однако их связь с окончательно удалёнными записями устраняется (пункт 30.9 Условий).

3.7. Аналитика на Страницах записи (пункт 21.6 Условий). На Страницах записи Оператор как самостоятельный контролёр данных может использовать средства аналитики (например, Google Analytics или nda.lt) для оценки использования Сервиса и совершенствования Сервиса, но только если посетитель дал согласие на аналитические файлы cookie и аналогичные технологии в окне согласия на cookie, которое показывает Сервис. На Странице записи Заказчика эти средства используются только в том случае, если Владелец сам явно принял Условия версии 2.1 или более поздней версии при создании Учётной записи или в Сервисе; одного уведомления об изменении Условий для этого недостаточно. На страницах управления визитами и других страницах, адрес которых содержит ключ доступа, Оператор эти средства не использует, а там, где их использует, настраивает их так, чтобы они не получали ни ссылок на управление визитами, ни других ключей доступа, ни Данных Клиентов, которые посетитель вводит или выбирает в формах. Собственные средства рекламы или ремаркетинга (например, Meta Pixel или Google Ads) Оператор на Страницах записи не устанавливает, если только Заказчик не попросит об этом в письменной форме; в таком случае роли и ответственность сторон устанавливаются отдельным соглашением в форме, указанной в пункте 2.21 Условий. Помимо Google Analytics, на Страницах записи Оператор может использовать только такое средство аналитики, которое он отметил как допустимое для использования там, а такую отметку присваивает только средству, настроенному так, чтобы не фиксировать место клика, текст элементов, на которые нажимают, и ссылки, по которым переходят (их адреса и надписи), не записывать сеансы и не создавать тепловые карты; если nda.lt используется на Страницах записи, эта система аналитики может получать указанные в Политике конфиденциальности данные о просмотрах страниц и иные данные аналитики, включая адрес страницы, не содержащий ссылок на управление визитами или иных ключей доступа, но не получает место клика, текст элементов, на которые нажимают, а также адреса и надписи ссылок, по которым переходят. Данные аналитики не являются Данными Клиентов, и Заказчик их не получает.

3.8. За соответствие законодательству обработки, указанной в настоящем разделе, отвечает Оператор как контролёр данных; к взаимной ответственности сторон применяются разделы 25 и 26 Условий. Заказчик информирует Клиентов об этой обработке в своём уведомлении о конфиденциальности (пункт 11.4 Условий) и может использовать для этого шаблон уведомления для клиентов Оператора.

4. Конфиденциальность

4.1. Оператор обеспечивает, чтобы лица, которых он уполномочивает обрабатывать Обрабатываемые данные, приняли на себя обязательство соблюдать конфиденциальность или на них распространялась соответствующая установленная законом обязанность соблюдать конфиденциальность и чтобы они обрабатывали Обрабатываемые данные только согласно настоящему СОД и только в той мере, в какой это необходимо для предоставления Сервиса, исполнения Договора и в целях, указанных в пункте 21.5 Условий (статья 29 и часть 4 статьи 32 Регламента).

4.2. Обязанность Субобработчиков соблюдать конфиденциальность устанавливается договорами, указанными в пункте 6.2 настоящего СОД.

4.3. Обязанность соблюдать конфиденциальность Обрабатываемых данных действует бессрочно, в том числе после удаления данных, и не прекращается по истечении срока, указанного в пункте 23.4 Условий.

5. Безопасность обработки

5.1. С учётом уровня развития технологий, стоимости внедрения, характера, объёма, контекста и целей обработки, а также рисков для прав и свобод субъектов данных Оператор применяет технические и организационные меры, указанные в разделе 16 настоящего СОД (статья 32 Регламента). Заметки и значения дополнительных полей хранятся с применением этих мер, однако без дополнительного шифрования отдельных полей (пункт 12.4 Условий).

5.2. Меры в разделе 16 настоящего СОД описаны в том виде, в каком они существуют на день публикации настоящей версии СОД. Оператор может изменять и обновлять их, если общий уровень защиты Обрабатываемых данных не снижается. Изменение, которым указанная мера отменяется без замены её равноценной мерой, считается изменением СОД, к которому применяется раздел 31 Условий. Оператор пересматривает меры при существенном изменении работы Сервиса или состава Субобработчиков, после нарушения безопасности персональных данных и не реже одного раза в 12 месяцев.

5.3. Заказчик отвечает за безопасность своих устройств, доступов Пользователей для входа, Ссылок на календарь и иных контролируемых им средств (пункт 16.14 настоящего СОД; пункты 5.3, 5.5 и 18.1 Условий). Прежде чем начать обрабатывать в Сервисе персональные данные особых категорий или иные чувствительные данные, Заказчик оценивает, соответствуют ли меры, указанные в разделе 16 настоящего СОД, включая их ограничения, указанные в пункте 16.13, риску такой обработки (пункты 12.2 и 12.4 Условий). Принимая СОД, Заказчик подтверждает, что ознакомился с мерами, указанными в разделе 16 настоящего СОД, и их ограничениями и, с учётом риска своей обработки, считает их надлежащими или применяет дополнительные собственные меры.

6. Субобработчики

6.1. Принимая Условия и настоящее СОД, Заказчик даёт Оператору общее письменное разрешение привлекать Субобработчиков (часть 2 статьи 28 Регламента; пункт 33.1 Условий). Субобработчики, привлечённые на день публикации настоящей версии СОД, их местонахождение, оказываемые ими услуги и обрабатываемые ими данные указаны в разделе 17 настоящего СОД (пункт 7.7 Условий).

6.2. Оператор привлекает только таких Субобработчиков, которые предоставляют достаточные гарантии реализации надлежащих технических и организационных мер, и только на основании письменного, в том числе электронного, договора об обработке данных (часть 4 статьи 28 Регламента). Поставщики хостинга заключают такие договоры на своих стандартных условиях, которые отличаются от настоящего СОД: в них может быть предусмотрен более короткий срок уведомления о смене их поставщиков услуг, аудит без доступа к их системам или платная помощь и могут отсутствовать положения об удалении данных после прекращения договора или о передаче данных в третьи страны. Заказчик подтверждает, что проинформирован об этом. Такие различия не изменяют обязанностей Оператора перед Заказчиком по настоящему СОД; например, Обрабатываемые данные с серверов Субобработчиков Оператор удаляет сам (раздел 12 настоящего СОД).

6.3. Оператор остаётся ответственным перед Заказчиком за исполнение Субобработчиком своих обязанностей по защите данных и сообщает Заказчику об известном ему существенном неисполнении Субобработчиком таких обязанностей, влияющем на Обрабатываемые данные; ответственность определяется согласно разделу 13 настоящего СОД.

6.4. О намерении привлечь нового Субобработчика или заменить Субобработчика Оператор уведомляет Заказчика не менее чем за 30 дней, за исключением случаев, когда замена необходима немедленно по соображениям безопасности или в связи с прекращением деятельности поставщика; в таком случае Оператор уведомляет как можно скорее (пункт 21.7 Условий). Уведомление направляется по адресу электронной почты Владельца и, когда это возможно, размещается в Сервисе (пункты 32.1 и 32.2 Условий); в нём указываются наименование Субобработчика, государство его местонахождения, оказываемая услуга, обрабатываемые данные и планируемая дата замены.

6.5. Заказчик в течение 14 дней с момента получения уведомления (пункт 32.2 Условий) может заявить обоснованное возражение по электронной почте pagalba@majevski.com с адреса электронной почты Владельца (пункт 32.3 Условий). Стороны стремятся договориться о решении; если в течение 14 дней с момента получения возражения стороны не договорятся, Заказчик может расторгнуть Договор и получить пропорциональную часть платы за неиспользованный оплаченный период (пункты 21.7 и 10.4 Условий). Поскольку одни и те же Субобработчики привлекаются для всех Заказчиков, Оператор может осуществить замену в указанный в уведомлении день и в том случае, если возражение заявлено. Если в течение 14 дней с момента получения уведомления возражение не заявлено, считается, что Заказчик не возражает против замены.

6.6. Субобработчики согласно своим условиям обработки данных могут привлекать своих поставщиков услуг. Сроки, указанные в пунктах 6.4 и 6.5 настоящего СОД, применяются только к Субобработчикам, привлекаемым Оператором (пункт 2.23 Условий), а не к их поставщикам услуг, поскольку о смене таких поставщиков Оператор узнаёт от Субобработчиков. Оператор хранит ссылки на перечни поставщиков услуг Субобработчиков и по запросу Заказчика в разумный срок предоставляет имеющуюся информацию о таких поставщиках, государствах их местонахождения и основаниях передачи. Получив от Субобработчика уведомление о новом поставщике услуг в третьей стране, который может обрабатывать Обрабатываемые данные, Оператор без неоправданной задержки сообщает об этом Заказчику способом, указанным в пункте 6.4 настоящего СОД, а Заказчик может заявить возражение и воспользоваться правами, указанными в пункте 6.5 настоящего СОД.

7. Передача данных в третьи страны

7.1. База данных Сервиса, загруженные Заказчиком файлы, их резервные копии, а также данные систем 1e.lt и asms.lt хранятся на серверах в Европейском союзе (пункт 7.7 Условий; раздел 17 настоящего СОД). Оператор сам не передаёт Обрабатываемые данные в государства, находящиеся за пределами Европейской экономической зоны (третьи страны), и не давал Субобработчикам указаний это делать, за исключением доставки SMS-сообщений через Субобработчика, указанного в пункте 17.7 настоящего СОД (пункт 7.5 настоящего СОД).

7.2. Субобработчики для оказания своих услуг могут привлекать поставщиков услуг, находящихся в том числе в третьих странах, а запросы, передаваемые через сеть доставки контента Субобработчика, могут обрабатываться и в других государствах (пункт 17.3 настоящего СОД). Принимая настоящее СОД, Заказчик разрешает такую передачу данных только в той мере, в какой к ней применяется основание для передачи, предусмотренное главой V Регламента (например, решение Европейской комиссии о достаточном уровне защиты или стандартные положения о защите данных). Не во всех условиях обработки данных Субобработчиков есть отдельные положения о такой передаче (пункт 6.2 настоящего СОД). Информацию о таких поставщиках и основаниях передачи Оператор предоставляет в порядке, установленном пунктом 6.6 настоящего СОД.

7.3. Если Оператор намерен привлечь Субобработчика, который обрабатывал бы Обрабатываемые данные в третьей стране, он делает это, только обеспечив основание для передачи, предусмотренное главой V Регламента (например, решение Европейской комиссии о достаточном уровне защиты или стандартные положения о защите данных), и сообщает об этом в порядке, установленном пунктом 6.4 настоящего СОД, указывая государство и основание передачи.

7.4. Раскрытие данных выбранным Заказчиком услугам (календарным сервисам Google, Apple, Microsoft или иным календарным сервисам с подпиской на Ссылки на календарь, оператору мобильной связи Заказчика, платформам онлайн-встреч и сервисам сбора отзывов), а также поставщикам услуг электронной почты получателей является раскрытием данных по указанию Заказчика. Поставщики этих услуг не являются Субобработчиками Оператора и могут обрабатывать данные в том числе за пределами Европейской экономической зоны; за законность такого раскрытия и передачи отвечает Заказчик (пункты 7.4, 18.2 и 18.5 Условий). К предоставляемой Оператором услуге SMS-шлюза asms.lt применяется раздел 18 настоящего СОД.

7.5. Доставка SMS-сообщений. Одноразовые коды подтверждения номера телефона (пункт 15.12 настоящего СОД) и, после включения Владельцем функции Premium SMS, SMS-сообщения Заказчика Клиентам (пункт 14.10 Условий; пункт 15.7 настоящего СОД) Оператор отправляет через Субобработчика, указанного в пункте 17.7 настоящего СОД и учреждённого в Латвии (Европейский союз). Чтобы сообщение дошло до получателя, этот Субобработчик передаёт номер телефона и текст сообщения своим телекоммуникационным партнёрам, которые, как указывает сам Субобработчик в своей политике конфиденциальности, могут находиться и за пределами Европейской экономической зоны; к такой передаче Субобработчик, как он сам указывает, применяет гарантии, предусмотренные главой V Регламента. Иной передачи Обрабатываемых данных в третьи страны Оператор не поручал. Включая функцию подтверждения номера телефона на Странице записи, запрашивая подтверждение номера в Учётной записи или включая функцию Premium SMS, Заказчик знает об этом и разрешает такую передачу на условиях, установленных пунктом 7.2 настоящего СОД.

8. Помощь в исполнении запросов субъектов данных

8.1. Запросы Клиентов и иных субъектов данных в отношении Обрабатываемых данных рассматривает Заказчик (пункт 3.3 Условий). С учётом характера обработки Оператор помогает Заказчику выполнять обязанности, установленные главой III Регламента, средствами, указанными в настоящем разделе.

8.2. В Сервисе Заказчик может сам: 1) просматривать карточки Клиентов, их визиты, хранящуюся в Учётной записи историю уведомлений и, если это доступно на его Плане, SMS-переписку; 2) исправлять данные карточек Клиентов с учётом того, что адрес электронной почты и номер телефона связанного Клиента обновляются по Профилю DEK (пункт 17.3 Условий), а также изменять у визитов время, продолжительность, услуги, статус, внутренние заметки и ссылку на онлайн-встречу; 3) изменять отметки о согласиях Клиентов; 4) удалять карточки Клиентов и некоторые иные записи (пункт 12.7 настоящего СОД); удалённая карточка Клиента больше не показывается в списке Клиентов, в поиске и в экспорте, а её данные (имя, фамилия, номер телефона, адрес электронной почты, заметки карточки и значения дополнительных полей) больше не показываются Пользователям там, где показываются визиты: в календаре, в информации о визите, в списке визитов на сегодня на начальной странице, в Ссылках на календарь, в сводках и в уведомлениях о новых бронированиях; однако визиты, правила повторяющихся визитов и SMS-сообщения в Сервисе удалить нельзя, поэтому визиты удалённого Клиента сохраняются и отображаются с отметкой «Удалённый клиент», SMS-переписка сохраняется и отображается по номеру телефона, а в отчётах такие визиты учитываются без данных Клиента (подпункт 8 пункта 16.13 настоящего СОД); 5) экспортировать Данные Клиентов с помощью функции самостоятельного экспорта, если она доступна на Плане Заказчика (пункт 30.4 Условий). От маркетинговых электронных писем Клиенты могут отказаться по ссылке, содержащейся в каждом таком письме (пункт 16.3 Условий).

8.3. По запросу Владельца Оператор: 1) предоставляет Экспортируемые данные в порядке и в сроки, установленные пунктом 30.4 Условий; 2) раньше окончательно удаляет данные удалённых записей о Клиентах в порядке, установленном пунктом 30.9 Условий, и способом, указанным в пункте 12.7 настоящего СОД; 3) в разумный срок, с учётом срока, установленного частью 3 статьи 12 Регламента, предоставляет имеющуюся информацию, которая необходима Заказчику для ответа на запрос субъекта данных и которую Заказчик не может получить в Сервисе; 4) помогает Заказчику исполнить запрос субъекта данных об удалении данных: если это технически возможно, удаляет указанные Владельцем конкретные визиты, правила повторяющихся визитов или SMS-сообщения, которые Заказчик не может удалить в Сервисе, а также контакты или сообщения в аккаунте asms.lt Заказчика; настоящий подпункт не изменяет обязательства и сроки удаления, установленные разделом 30 Условий.

8.4. Если Оператор непосредственно получает запрос субъекта данных в отношении Обрабатываемых данных и из него можно установить, какому Заказчику он адресован, Оператор без неоправданной задержки пересылает запрос Заказчику по адресу электронной почты Владельца и предлагает лицу обратиться к Заказчику (пункт 3.3 Условий). Оператор сам не отвечает на такой запрос по существу, если только Заказчик не даст ему такое указание. Запросы в отношении данных, которые Оператор обрабатывает как самостоятельный контролёр данных, Оператор рассматривает сам согласно Политике конфиденциальности.

8.5. За ответ субъекту данных и соблюдение сроков, установленных статьёй 12 Регламента, отвечает Заказчик; помощь Оператора эти сроки не продлевает.

9. Нарушения, оценка воздействия и иная помощь

9.1. С учётом характера обработки и имеющейся информации Оператор помогает Заказчику обеспечивать выполнение обязанностей, установленных статьями 32–36 Регламента: применяет меры, указанные в разделе 16 настоящего СОД, и по запросу Заказчика предоставляет информацию о них и о Субобработчиках.

9.2. Узнав, в том числе от Субобработчика, о нарушении безопасности персональных данных, связанном или возможно связанном с Обрабатываемыми данными Заказчика, Оператор без неоправданной задержки сообщает о нём Заказчику письмом на адрес электронной почты Владельца и, когда это возможно, уведомлением в Сервисе. Срочные уведомления о безопасности Оператор может направлять и другим Пользователям (пункт 32.1 Условий).

9.3. В сообщении, насколько такая информация известна на соответствующий момент, указываются: 1) характер нарушения, включая, если возможно, категории и приблизительное количество затронутых субъектов данных, а также категории и приблизительное количество затронутых записей персональных данных; 2) контактные данные для получения дополнительной информации: адрес электронной почты pagalba@majevski.com; 3) вероятные последствия нарушения; 4) меры, которые Оператор принял или предлагает принять для устранения нарушения и уменьшения его возможных негативных последствий. Если предоставить всю информацию одновременно невозможно, она предоставляется поэтапно без дальнейшей неоправданной задержки.

9.4. Оператор документирует каждое нарушение, указанное в пункте 9.2 настоящего СОД (связанные с ним факты, его последствия и принятые меры по исправлению), и по запросу Заказчика предоставляет эту информацию. Оператор принимает разумные меры для локализации нарушения и уменьшения его последствий, например приостанавливает отправку уведомлений, ограничивает доступ или отключает интеграцию (пункты 14.3, 15.4 и 28.1 Условий).

9.5. Обязанности Заказчика как контролёра данных сообщать о нарушении безопасности персональных данных надзорному органу и субъектам данных (статьи 33 и 34 Регламента) остаются обязанностями Заказчика. Оператор помогает их выполнять, предоставляя имеющуюся информацию, однако не направляет от имени Заказчика уведомления органу или субъектам данных, если только стороны об этом не договорятся. Сообщение Оператора само по себе не означает признания Оператором своей вины. Заказчик незамедлительно сообщает Оператору о подозрении на несанкционированный доступ к Учётной записи (пункт 5.5 Условий).

9.6. Если Заказчик обрабатывает персональные данные особых категорий в большом объёме, он заранее сообщает об этом Оператору (пункт 12.2 Условий). По запросу Заказчика Оператор предоставляет имеющуюся информацию, необходимую для проведения оценки воздействия на защиту данных и, если требуется, предварительной консультации с надзорным органом (статьи 35 и 36 Регламента), включая информацию, указанную в разделах 15, 16 и 17 настоящего СОД, и ответы на обоснованные вопросы о работе Сервиса. Оценку воздействия на защиту данных проводит Заказчик.

10. Информация и аудит

10.1. Оператор предоставляет Заказчику информацию, необходимую для подтверждения выполнения обязанностей, установленных статьёй 28 Регламента и настоящим СОД: настоящее СОД (включая его разделы 15, 16, 17 и 18), указанные в пункте 21.5 Условий записи о входе в Учётную запись и в разумный срок письменные ответы на обоснованные вопросы или опросники Заказчика (пункт 10.6 настоящего СОД). Запросы направляются по электронной почте pagalba@majevski.com.

10.2. Если Заказчик считает, что информации, указанной в пункте 10.1 настоящего СОД, недостаточно, и в письменной форме указывает, какой информации не хватает, или этого требует надзорный орган, Заказчик может провести аудит, включая проверку, самостоятельно или через независимого аудитора, который принял на себя обязательство соблюдать конфиденциальность и не является конкурентом Оператора.

10.3. Аудит проводится не чаще одного раза в 12 месяцев, за исключением случаев, когда он проводится после нарушения безопасности персональных данных, связанного с Обрабатываемыми данными Заказчика, или по требованию надзорного органа. Об аудите Заказчик уведомляет по электронной почте pagalba@majevski.com не позднее чем за 30 дней, а в указанных исключительных случаях не позднее чем за 10 Рабочих дней или в более короткий срок, установленный надзорным органом, указывая объём и время проведения аудита и аудитора. Аудит проводится в Рабочие дни в рабочее время, дистанционно или в согласованном сторонами месте, так, чтобы не мешать предоставлению Сервиса, и длится не более 2 Рабочих дней, если стороны не договорятся об ином. Заказчик оплачивает свои расходы и расходы аудитора, а затраты собственного рабочего времени в пределах установленной настоящим пунктом продолжительности аудита Оператор не перекладывает на Заказчика. Аудитор знакомится с работой Сервиса, настройками и записями, связанными с Обрабатываемыми данными Заказчика, которые ему показывает Оператор, однако не получает прямого доступа к серверам и базе данных Сервиса, к данным других Заказчиков, к коммерческой тайне Оператора сверх необходимого для цели аудита, а также к помещениям или системам поставщиков хостинга: права их клиентов на аудит ограничены их условиями, поэтому о них Оператор предоставляет информацию, полученную от них.

10.4. Отчёт об аудите или его выводы предоставляются также Оператору, который может представить свои замечания. Информация, полученная в ходе аудита, является конфиденциальной, однако может быть предоставлена надзорному органу. Если аудит выявляет, что Оператор не исполняет настоящее СОД, Оператор в разумный срок устраняет недостатки; если нарушение является существенным и не устраняется в срок, указанный в пункте 29.5 Условий, Заказчик имеет указанное в этом пункте право расторгнуть Договор.

10.5. Оператор сотрудничает с надзорным органом, когда этого требует законодательство (статья 31 Регламента).

10.6. Помощь, указанную в разделах 8, 9 и 10 настоящего СОД, Оператор оказывает безвозмездно в той мере, в какой она оказывается с помощью функций Сервиса, действиями, указанными в пункте 8.3 настоящего СОД, путём предоставления уже имеющейся информации или ответа не более чем на один опросник Заказчика в течение 12 месяцев, а также во всех случаях, когда помощь необходима в связи с нарушением Оператором настоящего СОД или нарушением безопасности персональных данных у Оператора или Субобработчика. Иную помощь, требующую более значительных затрат Оператора (например, дополнительные опросники, встречи или часть аудита, превышающую продолжительность, установленную пунктом 10.3 настоящего СОД), Оператор оказывает за разумное вознаграждение, о котором стороны заранее договариваются по электронной почте. За предоставление и удаление данных, предусмотренные разделом 30 Условий, вознаграждение не взимается.

11. Доступ Оператора к Учётной записи

11.1. К входу уполномоченных Оператором лиц в Учётную запись применяется пункт 21.5 Условий. Входить с правами Пользователя можно только в той мере, в какой это необходимо для оказания поддержки по запросу Заказчика, расследования и исправления ошибки, реагирования на инцидент безопасности или злоупотребление либо выполнения требований законодательства. Каждый такой вход фиксируется (какой аккаунт администратора Оператора, когда, с какой целью и с правами какого Пользователя), записи хранятся 13 месяцев с момента их создания и по запросу Заказчика предоставляются ему (пункты 21.5 и 30.8 Условий). О входе Владелец информируется в порядке, установленном пунктом 21.5 Условий.

11.2. В целях, указанных в пункте 21.5 Условий, и для исполнения Договора уполномоченные Оператором лица могут обрабатывать данные Учётной записи с помощью средств администрирования Сервиса или непосредственно в базе данных, не входя в Учётную запись; к таким действиям требования о фиксации, хранении и уведомлении, указанные в пункте 11.1 настоящего СОД, не применяются (пункт 21.5 Условий). Если это необходимо для расследования ошибки, технического обслуживания или предоставления данных, указанных в пункте 30.4 Условий, они могут сделать копию базы данных Сервиса или её части, включая Обрабатываемые данные, на устройстве Оператора; такая копия используется только для этой цели и удаляется, когда в ней больше нет необходимости, но не позднее чем через 14 дней после её создания. К таким лицам и копиям применяется раздел 4 настоящего СОД.

12. Возврат и удаление данных

12.1. К возврату и удалению Обрабатываемых данных применяется раздел 30 Условий. Настоящий раздел кратко излагает его и указывает, как он применяется к Обрабатываемым данным; в случае несоответствия применяются Условия (подпункт 3 пункта 33.6 Условий).

12.2. Заказчик выбирает возврат данных, направляя запрос о получении Экспортируемых данных согласно пункту 30.4 Условий в течение срока действия Договора, в течение переходного периода, указанного в пункте 30.5 Условий, или в течение 30-дневного периода получения данных, указанного в пункте 30.6 Условий. Данные предоставляются безвозмездно (пункт 30.1 Условий), а данные, указанные в пункте 30.3 Условий, не предоставляются. Перечень Экспортируемых данных, указанный в пункте 30.2 Условий, является исчерпывающим, поэтому Оператор не обязан возвращать иные Обрабатываемые данные (например, значения дополнительных полей визитов, способ оплаты, события доставки и переходов по ссылкам); они удаляются в порядке, установленном пунктами 12.3, 12.4 и 12.5 настоящего СОД.

12.3. По истечении периода получения данных Оператор не позднее чем через 60 дней удаляет Экспортируемые данные, иные Данные Клиентов и Контент Заказчика из активных систем Сервиса и сообщает об этом Владельцу по электронной почте. Если запрос согласно пункту 30.4 Условий получен в период получения данных, данные не удаляются, пока Оператор его не исполнит. По запросу Заказчика данные удаляются, не дожидаясь окончания периода получения данных (пункты 30.6 и 30.7 Условий).

12.4. Активные системы Сервиса (пункты 7.8 и 30.7 Условий) включают и управляемые Оператором данные на серверах Субобработчиков: базу данных Сервиса, загруженные файлы, почтовый ящик Оператора, в который поступают сообщения о недоставке и ответы на приглашения в календаре, и систему 1e.lt. Поэтому хранящиеся в этих системах Обрабатываемые данные, включая хранящиеся в системе 1e.lt списки Заказчика и кампаний, содержание и статистику кампаний, удаляются вместе с иными Обрабатываемыми данными в порядке, установленном пунктом 12.3 настоящего СОД. Технические журналы, хранимые Субобработчиками по их собственным правилам (например, журналы отправки почтовых серверов), Субобработчики удаляют в установленные ими сроки; к резервным копиям применяется пункт 12.5 настоящего СОД.

12.5. В резервных копиях данные сохраняются до обычной перезаписи этих копий, но не более 90 дней с момента удаления из активных систем, и в течение этого времени используются только для восстановления после инцидента; если копия восстанавливается, уже удалённые данные удаляются повторно. Удалённые данные не восстанавливаются (пункт 30.7 Условий).

12.6. Оператор может хранить Обрабатываемые данные дольше только в случаях, указанных в пункте 30.8 Условий, то есть в той мере, в какой этого требует законодательство или в какой это необходимо для предъявления или защиты правовых требований. По запросу Заказчика Оператор указывает правовой акт или правовое требование, в связи с которыми данные хранятся дольше. Такие данные обрабатываются только для этой цели, и к ним и далее применяется раздел 4 настоящего СОД. Обобщённая обезличенная статистика может храниться и далее (пункты 21.4 и 30.8 Условий).

12.7. К записям, удалённым в течение срока действия Договора, применяется пункт 30.9 Условий: удалённые записи о Клиентах, услугах, категориях услуг и Членах команды хранятся в базе данных как удалённые до прекращения Договора, а по письменному запросу Владельца окончательно удаляются раньше, не позднее чем через 30 дней с момента получения запроса; иные удалённые записи окончательно удаляются из базы данных Сервиса сразу. Удалённого Клиента Сервис исключает из списка Заказчика в системе 1e.lt, однако его данные в списках предыдущих кампаний, а также содержание, статистика и список получателей удалённой кампании в системе 1e.lt удаляются вместе с иными данными в порядке, установленном пунктами 12.3 и 12.4 настоящего СОД, в том числе и тогда, когда данные записи Клиента по запросу Владельца окончательно удаляются раньше. Окончательное удаление данных из записи удалённого Клиента по письменному запросу Владельца Оператор выполняет с помощью средства администрирования, не входя в Учётную запись (пункт 21.5 Условий; пункт 11.2 настоящего СОД): удаляет из карточки имя, фамилию, номер телефона, адрес электронной почты, дату рождения, пол, заметки карточки, значения дополнительных полей, отметки о согласиях и связь с Профилем DEK, удаляет события переходов по ссылкам и недоставки электронных писем этого Клиента и адрес получателя в записях о его уведомлениях, включая тексты ошибок, в которых указан этот адрес, а также обеспечивает, чтобы адреса электронной почты Клиента больше не было в списке Заказчика в системе 1e.lt. В базе данных остаётся пустая запись карточки (идентификатор, даты создания, последнего изменения и удаления, источник записи, язык, дата последнего визита, количество состоявшихся визитов, неявок и поздних изменений и идентификатор контакта в аккаунте asms.lt Заказчика, если карточка была с ним связана или такой контакт найден по номеру телефона), чтобы визиты и далее отображались с отметкой «Удалённый клиент», а синхронизация контактов не создала Клиента заново; в записях об уведомлениях остаются их тип, канал, время и статус. При таком окончательном удалении данных не удаляются визиты этого Клиента с их заметками и значениями дополнительных полей визита, правила повторяющихся визитов, SMS-сообщения, а также контакты и сообщения в аккаунте asms.lt Заказчика: их Оператор удаляет, только если Владелец их укажет (подпункт 4 пункта 8.3 настоящего СОД). Записи журнала аудита не изменяются и удаляются в срок, указанный в пункте 16.7 настоящего СОД.

12.8. Оператор не удаляет данные, которые Заказчик раскрыл услугам, указанным в пункте 7.4 настоящего СОД. К данным аккаунта asms.lt Заказчика применяется пункт 18.4 настоящего СОД.

13. Ответственность

13.1. К ответственности сторон по настоящему СОД применяются разделы 25 и 26, а также пункты 7.5 и 33.1 Условий. Оператор остаётся ответственным перед Заказчиком за исполнение Субобработчиками своих обязанностей по защите данных (часть 4 статьи 28 Регламента) в пределах, установленных этими положениями Условий; к утрате данных применяется пункт 24.3 Условий.

13.2. Никакое положение настоящего СОД не ограничивает установленную законом ответственность сторон перед субъектами данных или надзорными органами согласно Регламенту (статьи 82 и 83 Регламента). К взаимным регрессным требованиям сторон применяется пункт 25.5 Условий.

13.3. К индивидуальным указаниям Заказчика и к нарушению Заказчиком настоящего СОД применяется подпункт 6 пункта 26.1 Условий. Пункт 26.1 Условий не применяется в той мере, в какой требование вызвано нарушением Оператором настоящего СОД или обработкой, осуществляемой Оператором как самостоятельным контролёром данных в целях, указанных в пунктах 17.4, 17.5, 21.4 и 21.6 Условий (пункт 26.2 Условий).

14. Заключительные положения

14.1. СОД действует в течение всего срока действия Договора, а после прекращения Договора до тех пор, пока Оператор или Субобработчики обрабатывают Обрабатываемые данные, включая их хранение в резервных копиях (раздел 12 настоящего СОД; пункт 29.8 Условий).

14.2. Настоящая версия СОД применяется к Заказчику с того дня, с которого к нему согласно пункту 1.7 Условий начинают применяться Условия версии 2.2: к Заказчикам, заключающим Договор начиная с 2026-09-24, и к Заказчикам, принявшим Условия версии 2.2 при создании Учётной записи, с момента создания Учётной записи, а к иным Заказчикам с того момента, когда Владелец в Сервисе явно подтверждает согласие с Условиями версии 2.2. Если Владелец не подтвердит их до 2026-10-24, применяется пункт 31.6 Условий. До этого момента к Заказчику применяется принятая им предыдущая версия СОД.

14.3. Оператор хранит предыдущие версии СОД вместе с датами их публикации и фиксирует или по дате принятия Условий определяет, какую версию СОД принял Заказчик (пункт 1.2 настоящего СОД). Предыдущая версия СОД Beta 1.0 остаётся доступной на сайте Сервиса. По запросу Заказчика Оператор безвозмездно предоставляет версию СОД, которая действовала для него в указанный момент (пункты 1.5 и 1.6 Условий).

14.4. СОД изменяется в порядке, установленном разделом 31 Условий; о каждом изменении СОД, за исключением изменений редакционного характера, Оператор сообщает Владельцу по электронной почте, даже если изменение согласно пункту 31.3 Условий вступает в силу раньше. Индивидуальные соглашения, изменяющие или дополняющие СОД, действительны, только если они заключены в форме, установленной пунктом 2.21 Условий. Перечень Субобработчиков изменяется в порядке, установленном пунктами 6.4 и 6.5 настоящего СОД, а меры безопасности в порядке, установленном пунктом 5.2 настоящего СОД.

14.5. К уведомлениям по настоящему СОД применяется раздел 32 Условий. По всем вопросам, связанным с настоящим СОД, Заказчик обращается по электронной почте pagalba@majevski.com. Оператор не назначил инспектора по защите данных.

14.6. СОД составлено на литовском языке и публикуется на литовском, английском, польском и русском языках. Текст на литовском языке является оригиналом, а версии на других языках являются его переводами. В случае расхождения между версиями применяется версия на литовском языке, за исключением случаев, когда несоответствие возникло вследствие ошибки перевода, а Заказчик, заключивший Договор на другом языке, добросовестно полагался на версию на этом языке; в таком случае в отношении Заказчика применяется версия, на языке которой он заключил Договор.

14.7. К СОД применяются право Литовской Республики и Регламент. Споры разрешаются в порядке, установленном разделом 34 Условий. Если какое-либо положение СОД признаётся недействительным или неприменимым, применяется пункт 33.7 Условий.

15. Описание обработки данных

15.1. Предмет обработки. Обработка Обрабатываемых данных при предоставлении Заказчику Сервиса, то есть функций бронирования визитов, календаря, карточек Клиентов, уведомлений и связанных с ними функций, которые Заказчик использует в своей предпринимательской или профессиональной деятельности.

15.2. Срок. Обработка осуществляется в течение срока действия Договора, переходного периода, указанного в пункте 30.5 Условий, периода получения данных, указанного в пункте 30.6 Условий, и до удаления данных согласно пункту 30.7 Условий, включая хранение в резервных копиях. В течение срока действия Договора записи хранятся, пока Заказчик их не удалит; визиты, правила повторяющихся визитов и SMS-сообщения, которые нельзя удалить в Сервисе, хранятся до прекращения Договора, если только Оператор не удалит их согласно пункту 8.3 настоящего СОД. К удалённым записям применяются пункт 30.9 Условий и пункт 12.7 настоящего СОД, а некоторые технические записи удаляются автоматически (пункт 16.11 настоящего СОД). Срок обработки данных аккаунта asms.lt Заказчика указан в пункте 18.2 настоящего СОД.

15.3. Периодичность. Обработка осуществляется непрерывно; автоматические процессы (напоминания, синхронизация, получение сообщений и обновление статусов визитов) выполняются периодически (пункт 7.2 Условий).

15.4. Карточки Клиентов. Создание, просмотр, поиск, изменение и удаление карточек Клиентов; импорт списков Клиентов (пункт 13.5 Условий); отбор Клиентов для кампаний по выбранным Заказчиком критериям; экспорт Данных Клиентов, если эта функция доступна на Плане Заказчика; обновление адреса электронной почты и номера телефона связанного Клиента по данным Профиля DEK (пункт 17.3 Условий).

15.5. Бронирования и визиты. Приём бронирований на Странице записи, на которой Клиент указывает имя, контакт, по которому ему направляются уведомления, и, по желанию, заметку, а новый Клиент может отметить согласие на получение маркетинговых уведомлений; связывание бронирования с существующей карточкой Клиента по номеру телефона или адресу электронной почты с заполнением только пустых полей карточки; календарь визитов, создание, перенос, отмена визитов, отметка их статусов и правила повторяющихся визитов; автоматическая отметка визитов, статус которых не изменён, как состоявшихся (пункт 17.1 Условий); страницы управления визитами, на которых Клиент может подтвердить, отменить или перенести визит и выбрать язык уведомлений; отображение визитов Клиента в его Профиле DEK (пункт 2.17 Условий).

15.6. Электронные письма. Отправка Клиентам по электронной почте уведомлений о визитах, напоминаний и иных автоматических уведомлений с адреса на домене Оператора от имени Заказчика, когда это применимо, с приложением файла календарного события и с указанием адреса электронной почты Владельца в качестве адреса для ответа (пункт 15.1 Условий); применение лимитов отправки (пункт 15.3 Условий); получение и автоматическая обработка сообщений о недоставке и, если эта функция включена, ответов на приглашения в календаре (пункт 15.6 Условий; пункт 2.7 настоящего СОД); запись истории уведомлений и переходов по ссылкам Сервиса в письмах.

15.7. SMS-сообщения. Отправка Клиентам уведомлений SMS-сообщениями через SMS-шлюз Заказчика (пункт 14.1 Условий) либо, после включения Владельцем функции Premium SMS, с имени отправителя Оператора «DEK» через Субобработчика, указанного в пункте 17.7 настоящего СОД (пункты 14.10–14.16 Условий), и хранение текстов этих сообщений в Учётной записи; на платном Плане после подключения аккаунта asms.lt периодическое получение и хранение в Учётной записи всех сообщений, поступивших на номер SMS-шлюза и отправленных через этот аккаунт, включая отправленные не через Сервис и лицам, которые не являются Клиентами (пункт 14.7 Условий); автоматическая обработка ответов Клиентов SMS-сообщением и изменение статуса визита (пункт 15.6 Условий), за исключением ответов, которые Сервис получает по прошествии более 24 часов с момента их написания, и визитов, созданных после написания ответа; синхронизация контактов с аккаунтом asms.lt, если Заказчик её включил и выбрал направление (пункт 14.8 Условий). Получение сообщений из аккаунта asms.lt и обработка ответов Клиентов осуществляются только для не удалённых и не приостановленных Учётных записей, План которых включает функцию SMS; после отключения аккаунта asms.lt в Сервисе отправка и получение сообщений и синхронизация контактов прекращаются. При отправке сообщений Premium SMS (автоматических уведомлений, тестовых сообщений редактора шаблонов, а если аккаунт asms.lt не подключён, также сообщений, написанных Пользователями) Субобработчику передаются номер телефона получателя и текст сообщения, принимается отчёт о доставке, который отображается в SMS-переписке в Учётной записи, подсчитываются части отправленных сообщений (пункт 14.12 Условий) и хранится запись без текста сообщения (пункт 16.11 настоящего СОД); ответить на эти сообщения Клиенты не могут (пункт 14.11 Условий). К обработке в аккаунте asms.lt Заказчика применяется раздел 18 настоящего СОД.

15.8. Маркетинговые уведомления и кампании. Отправка по электронной почте поздравлений с днём рождения и именинами и приглашений снова забронировать визит Клиентам, в карточке которых отмечено согласие на получение маркетинговых уведомлений (пункт 16.1 Условий); отправка кампаний через систему отправки электронных писем Оператора 1e.lt, то есть передача адресов электронной почты, имён, фамилий и идентификаторов таких Клиентов в список Заказчика, а при отправке кампании выбранной группе Клиентов также в отдельный список этой кампании; отправка содержания кампании, отслеживание доставки, открытий и переходов по ссылкам согласно настройкам Оператора по умолчанию и отображение статистики в Учётной записи (пункты 16.2 и 16.5 Условий); получение отказов и их перенос в карточку Клиента (пункт 16.3 Условий); отправка запросов отзывов с указанной Заказчиком ссылкой (пункт 16.6 Условий). Ответы, полученные на адрес для ответа в кампаниях, Заказчику не пересылаются и в Сервисе не обрабатываются (пункт 15.1 Условий).

15.9. Ссылки на календарь. Предоставление данных о визитах Члена команды, включая имена и номера телефонов Клиентов, услуги, заметки, адреса и ссылки на онлайн-встречи, через Ссылки на календарь, на которые подписываются выбранные Заказчиком или Членами команды календарные сервисы (пункты 18.1 и 18.2 Условий).

15.10. Показатель надёжности. Подсчёт состоявшихся визитов, неявок и поздних изменений Клиента и отображение Показателя надёжности в Учётной записи Заказчика (пункт 17.1 Условий).

15.11. Члены команды и Пользователи. Обработка имён, контактов, должностей, фотографий, графиков работы и нерабочего времени Членов команды, включая указанную причину нерабочего времени; отображение имён и фотографий Членов команды на Странице записи; отправка Пользователям сводок визитов и уведомлений о новых бронированиях, в которых указываются имена Клиентов, услуги и время визитов.

15.12. Меры защиты. Ограничение частоты запросов и иные меры защиты в Учётной записи и на Странице записи, включая проверку IP-адреса, хеш-значения адреса электронной почты и домена электронной почты лица, осуществляющего бронирование, в базе данных M Blacklist (пункты 17.5 и 21.3 Условий; пункт 3.4 настоящего СОД). Если Заказчик включил эту функцию, Сервис подтверждает введённый на Странице записи номер мобильного телефона, а по запросу Заказчика подтверждает также номер Клиента, Члена команды или самого Заказчика. Номер подтверждается одноразовым кодом, отправляемым SMS-сообщением с имени отправителя Оператора «DEK» (пункт 15.1 Условий) через Субобработчика, указанного в пункте 17.7 настоящего СОД, либо, пока Оператор не пользуется услугой этого Субобработчика, через собственный аккаунт asms.lt Оператора, серверы которого размещает Субобработчик, указанный в пункте 17.3 настоящего СОД. На Странице записи с этой функцией номера стационарной связи не принимаются, а подтверждённый на Странице записи номер считается подтверждённым в сессии браузера посетителя в течение 24 часов. Сервис записывает доказательство подтверждения (номер, время, способ подтверждения, IP-адрес, браузер и запись, к которой относится доказательство) и отмечает запись как подтверждённую. С помощью средств администрирования Сервиса (пункт 11.2 настоящего СОД), например при сбое отправки SMS-сообщений, Оператор может отметить номер записи как подтверждённый или поручиться за номер на срок не более 7 дней, чтобы бронирование с этим номером было принято без кода; в таком внесённом вручную доказательстве указывается аккаунт администратора Оператора, который его внёс.

15.13. Техническая обработка и поддержка. Хранение Обрабатываемых данных в базе данных и на серверах Сервиса; уменьшение и перекодирование загружаемых изображений (пункт 13.6 Условий); резервные копии, создаваемые поставщиком хостинга (пункт 24.3 Условий); техническая поддержка, расследование и исправление ошибок, включая вход уполномоченных Оператором лиц в Учётную запись (пункт 21.5 Условий; раздел 11 настоящего СОД).

15.14. Предоставление и удаление данных. Предоставление Экспортируемых данных, переход к другому поставщику услуг и удаление данных (раздел 30 Условий; раздел 12 настоящего СОД).

15.15. Категории субъектов данных: 1) Клиенты, включая несовершеннолетних, если Заказчик обрабатывает их данные (пункт 12.6 Условий); 2) Члены команды, независимо от того, есть ли у них доступ для входа; 3) лица, которые не являются Клиентами, но отправляют SMS-сообщения на номер SMS-шлюза или получают сообщения с него (пункт 14.7 Условий); 4) Пользователи в той мере, в какой их данные связаны с Обрабатываемыми данными (например, кто создал визит или отправил сообщение); 5) иные лица, данные которых Заказчик или Пользователи записывают в заметках или иных полях свободного текста (например, представители Клиента).

15.16. Категории персональных данных: 1) данные карточек Клиентов: имя, фамилия, адрес электронной почты, номер телефона, дата рождения, пол, язык, заметки, значения дополнительных полей, отметки о согласиях и об отказе от маркетинговых уведомлений, статус адреса электронной почты, источник записи, количество состоявшихся визитов, неявок и поздних изменений, дата последнего визита, связь с Профилем DEK, отметка о подтверждении номера телефона и идентификаторы в системах 1e.lt и asms.lt; 2) данные визитов: дата, время, продолжительность, услуги, цена, способ оплаты, Член команды, филиал, статус, данные об отмене, заметки и внутренние заметки, значения дополнительных полей визита, ссылка на онлайн-встречу, ссылка на управление визитом и короткий код, правила повторяющихся визитов; 3) данные уведомлений: адрес электронной почты или номер телефона получателя, канал, тип, время, статус и ошибки, тексты SMS-сообщений, записи о сообщениях Premium SMS (количество частей сообщения, статус доставки с кодом сети мобильной связи и цена; пункт 16.11 настоящего СОД), сообщения о недоставке, переходы по ссылкам Сервиса и ответы на приглашения в календаре; 4) данные кампаний: контакты, включённые в списки, содержание кампаний, данные о доставке, открытиях, переходах по ссылкам и отказах; 5) данные Членов команды: имя, адрес электронной почты, номер телефона и отметка о его подтверждении, должность, фотография, график работы, нерабочее время и его причина, идентификатор Ссылки на календарь; 6) данные проверок безопасности: IP-адрес, хеш-значение адреса электронной почты и домен электронной почты лица, осуществляющего бронирование, доказательства подтверждения номеров телефонов (номер, время, способ подтверждения, IP-адрес, браузер и запись, к которой относится доказательство) и записи об SMS-сообщениях с кодами подтверждения, отправленных от имени Оператора (пункты 15.12 и 16.11 настоящего СОД).

15.17. Данные особых категорий. Заказчик по своему решению может обрабатывать в Сервисе персональные данные особых категорий, в частности данные о здоровье: в заметках, дополнительных полях (например, аллергии, противопоказания, заметки о здоровье, медицинские предупреждения, травмы или данные о слуховом аппарате), названиях услуг, SMS-сообщениях и причине нерабочего времени Членов команды. Сервис таких данных не требует, а Заказчик может обрабатывать их только с соблюдением раздела 12 Условий. Такие данные обрабатываются только в целях, указанных в настоящем разделе, с применением мер, указанных в разделе 16 настоящего СОД, и с учётом их ограничений; Заказчик может в настройках скрыть ненужные предлагаемые поля для всей Учётной записи.

15.18. Запрещённые и не обрабатываемые данные. В заметках, дополнительных и иных полях свободного текста запрещается хранить данные платёжных карт, пароли, персональные коды или номера документов, удостоверяющих личность, за исключением случаев, указанных в пункте 12.5 Условий. Сервис не обрабатывает данные платёжных средств Клиентов, поскольку Оператор не принимает платежи от Клиентов в пользу Заказчика (пункт 3.4 Условий).

16. Технические и организационные меры безопасности

16.1. Защита соединения. Доступ к Сервису осуществляется по зашифрованному соединению HTTPS (TLS): HTTP-запросы перенаправляются на HTTPS, а в ответах, формируемых приложением, отправляется заголовок HSTS. Соединения Сервиса с системами 1e.lt, asms.lt, M Blacklist, Stripe и VertexSMS устанавливаются по HTTPS с проверкой сертификата сервера.

16.2. Вход и аутентификация. Доступы Пользователей для входа являются персональными: Владелец создаёт и отключает их в Сервисе, а делиться данными для входа запрещается (пункт 5.4 Условий). Пароли должны состоять не менее чем из 8 символов и хранятся только в виде хеш-значений bcrypt. Количество попыток входа ограничивается по IP-адресу и по аккаунту, а сообщение о неудачном входе не раскрывает, что неверно: адрес электронной почты или пароль. Ссылка для восстановления пароля действительна 60 минут, используется один раз и хранится в виде хеш-значения, а после восстановления пароля токены запоминания входа этого Пользователя аннулируются. Сессионные файлы cookie передаются только по зашифрованному соединению, недоступны скриптам страницы и защищены настройкой SameSite; после входа идентификатор сессии заменяется. Отключённый или удалённый доступ для входа перестаёт действовать при следующем запросе. Запросы, изменяющие Обрабатываемые данные, защищены от подделки межсайтовых запросов (CSRF) токеном или подписью.

16.3. Права доступа. Роль Владельца имеет Пользователь, создавший Учётную запись, или Пользователь, которому Оператор предоставляет её по запросу Заказчика или в случае, указанном в пункте 5.8 Условий, а остальным Пользователям Заказчик предоставляет роль Менеджера, Регистратуры или Сотрудника; права ролей различаются. Пользователь с ролью Сотрудника видит и изменяет в календаре только свои визиты, однако видит всех Клиентов Учётной записи и отображаемую в их карточках историю визитов Клиента ко всем Членам команды, включая цены и заметки визитов (пункт 16.13 настоящего СОД). Экспортировать Данные Клиентов могут только Пользователи с ролью Владельца, Менеджера и Регистратуры, если функция экспорта доступна на Плане Заказчика, а экспорт фиксируется в журнале аудита.

16.4. Разделение данных Заказчиков. Данные всех Заказчиков хранятся в общей базе данных и разделяются программными средствами: каждая запись связана с Учётной записью, а Сервис выбирает данные по Учётной записи вошедшего Пользователя. Имена загруженных изображений формируются случайным образом, а файлы импорта Клиентов хранятся в закрытом от доступа через интернет каталоге, связываются с Учётной записью и удаляются после выполнения импорта.

16.5. Безопасность приложения. Запросы к базе данных выполняются с помощью подготовленных выражений, а выводимые на страницы данные экранируются. В ответах, формируемых приложением, отправляются заголовки безопасности (политика безопасности контента CSP, X-Frame-Options, X-Content-Type-Options и Referrer-Policy). Внутренние каталоги Сервиса и файлы конфигурации закрыты от доступа через интернет. Загружаемые изображения проверяются по содержимому, перекодируются и сохраняются под случайными именами, а в каталоге загруженных файлов программный код не выполняется. На страницах, адрес которых содержит персональную ссылку или ключ доступа, средства аналитики не загружаются, а браузеру указывается не передавать такой адрес другим сайтам. Устанавливаемое приложение Сервиса не сохраняет в своём кеше страницы, доступные после входа.

16.6. Шифрование и хеш-значения. API-ключ asms.lt Заказчика хранится в зашифрованном виде с использованием алгоритма AES-256-GCM (пункт 14.3 Условий). Пароли Пользователей, ссылки для восстановления пароля, токены запоминания входа и одноразовые коды хранятся только в виде хеш-значений, а в сообщениях о подозрительных действиях адреса электронной почты передаются только в виде хеш-значений. Иные Обрабатываемые данные, включая заметки, значения дополнительных полей и тексты SMS-сообщений, на уровне приложения дополнительно не шифруются (пункт 12.4 Условий).

16.7. Журналы действий. В журнале аудита фиксируются входы и неудачные попытки входа, создание, изменение, удаление, импорт и экспорт карточек Клиентов, совершаемые Пользователями создание и перенос визитов, изменение их услуг и статуса, онлайн-бронирования, ответы Клиентов SMS-сообщением или на приглашения в календаре, изменения настроек, Членов команды и доступов для входа, кампании, отправляемые Пользователями SMS-сообщения, подтверждения номеров телефонов, совершаемые Пользователями и вносимые вручную Оператором (последние с аккаунтом администратора Оператора, который их внёс; пункт 15.12 настоящего СОД), и входы Оператора в Учётную запись; в записи указываются действие и время, а в записи о действии, совершённом через браузер, также IP-адрес и, если действие совершил Пользователь, этот Пользователь. Основные действия, которые не фиксируются, указаны в пункте 16.13 настоящего СОД. Записи журнала аудита хранятся 90 дней, а файлы серверного журнала Сервиса (ошибки, предупреждения и иные технические события) 30 дней.

16.8. Доступ Оператора. Административная зона Оператора отделена от Учётных записей и недоступна лицам, не выполнившим вход, а попытки входа в неё ограничиваются и фиксируются. Уполномоченные Оператором лица могут войти в Учётную запись, только указав цель и пояснение; каждый такой вход фиксируется, о входе, осуществлённом не по запросу Заказчика, Владелец информируется в порядке, установленном пунктом 21.5 Условий, и с указанными в нём исключениями, а записи хранятся 13 месяцев (пункты 21.5 и 30.8 Условий; раздел 11 настоящего СОД).

16.9. Контроль отправки и злоупотреблений. К электронным письмам применяются лимиты отправки на одного получателя, на одного Заказчика и на весь Сервис, а Оператор может приостановить отправку электронных писем или SMS-сообщений (пункты 15.3 и 15.4 Условий). Если неясно, принял ли сообщение SMS-шлюз или Субобработчик, указанный в пункте 17.7 настоящего СОД, оно автоматически повторно не отправляется, в том числе другим способом отправки (пункты 14.5 и 14.13 Условий). Количество сообщений Premium SMS за календарный месяц ограничено (пункт 14.12 Условий). SMS-сообщения на номера стационарной связи не отправляются. Количество запросов на вход, создание Учётной записи, бронирование и одноразовые коды ограничивается, в форме создания Учётной записи используется средство обнаружения автоматизированных запросов (роботов), а для распознавания угроз используется база данных M Blacklist (пункт 3.4 настоящего СОД).

16.10. Резервные копии и восстановление. Резервные копии базы данных Сервиса и загруженных Заказчиком файлов автоматически создаёт поставщик хостинга Оператора с установленной им периодичностью и хранит их в течение установленного им срока; Оператор использует только такую услугу хостинга, в рамках которой создаются такие копии. После сбоя, вызванного Оператором или его поставщиком хостинга, Оператор, прилагая разумные усилия, восстанавливает данные из последней имеющейся резервной копии. Периодичность создания резервных копий, срок их хранения и восстановление всех данных не гарантируются (пункты 11.10 и 24.3 Условий).

16.11. Минимизация данных и сроки хранения. В форме Страницы записи обязательны только имя и контакт, по которому Клиенту направляются уведомления. Заказчик может скрыть дополнительные поля, предлагаемые для категории бизнеса. Текст электронных писем с автоматическими уведомлениями в базе данных Сервиса не хранится; записи об уведомлениях (получатель, канал, тип, время и статус) автоматически удаляются через 12 месяцев, записи об SMS-сообщениях с кодами подтверждения, отправленных от имени Оператора, и о сообщениях Premium SMS (номер получателя, запись, к которой относится сообщение, цель, поставщик, имя отправителя, количество частей сообщения, статус доставки с кодом сети мобильной связи, цена, время и IP-адрес запроса; текст сообщения в этих записях не хранится, а текст сообщения Premium SMS хранится в SMS-переписке в Учётной записи), и доказательства подтверждения номеров телефонов (пункт 15.12 настоящего СОД) через 12 месяцев, записи об одноразовых кодах (хеш-значение кода, контакт, IP-адрес и время) через 90 дней, записанные в базе данных Сервиса события недоставки и переходы по ссылкам Сервиса через 90 дней, неудавшиеся фоновые задания через 90 дней после неудачи. Полученные электронные письма с сообщениями о недоставке и ответами на приглашения в календаре, которые могут включать и содержимое возвращённого письма, хранятся в предназначенной для этого папке почтового ящика Оператора на сервере Субобработчика, указанного в пункте 17.2 настоящего СОД. Выполняемое ежечасно задание Сервиса автоматически удаляет из этой папки письма, с момента получения которых прошло более 90 дней, однако конкретный момент удаления не гарантируется; это удаление не распространяется на резервные копии Субобработчика (пункт 16.10 настоящего СОД) и на обрабатываемые им по своим правилам журналы почтовых серверов, а после прекращения Договора к этим письмам также применяются пункты 12.3 и 12.4 настоящего СОД. В журнале отправки Оператора адреса и номера получателей отображаются частично замаскированными и хранятся 14 дней. Записи удалённых Клиентов не используются для уведомлений, а по их правилам повторяющихся визитов новые визиты больше не создаются (пункт 30.9 Условий).

16.12. Инфраструктура и лица. Серверы Сервиса и систем 1e.lt и asms.lt находятся в инфраструктуре Субобработчиков, указанных в разделе 17 настоящего СОД, в Европейском союзе; физическую защиту серверов и обслуживание среды обеспечивают поставщики хостинга согласно своим условиям. К уполномоченным Оператором лицам применяются разделы 4 и 11 настоящего СОД.

16.13. Ограничения мер. На день публикации настоящей версии СОД: 1) в Сервисе нет двухфакторной аутентификации, а смена пароля не отключает устройства, на которых уже выполнен вход, поэтому, если Пользователь больше не работает или его данные для входа стали известны другим лицам, Заказчик отключает его доступ для входа; 2) Пользователи с ролью Сотрудника видят все карточки Клиентов Учётной записи, включая заметки, дополнительные поля и историю визитов Клиента ко всем Членам команды с ценами и заметками визитов, а скрыть эти данные для отдельных ролей нельзя; 3) в журнале аудита не фиксируется, кто просматривал Данные Клиентов, а также не фиксируются изменения внутренних заметок, продолжительности и ссылки на онлайн-встречу визита, автоматические изменения статусов визитов, совершаемые Клиентом подтверждения, отмены и переносы визита на странице управления визитом, создание карточки Клиента в окне визита или при онлайн-бронировании (фиксируется только визит или бронирование), дополнение карточек Клиентов при онлайн-бронировании, создание и изменения карточек Клиентов при синхронизации контактов с asms.lt, при обновлении контактов на основании Профиля DEK и при получении отказа в системе 1e.lt, добавление и удаление нерабочего времени Членов команды и нерабочих дней филиалов, а также удаление категорий услуг; 4) данные Заказчиков разделяются программными средствами, а не на уровне базы данных; 5) заметки и значения дополнительных полей отдельно не шифруются; 6) Ссылки на календарь и ссылки на управление визитами работают без входа в систему и не имеют срока действия, а ссылка на управление визитом работает и после удаления карточки Клиента, поэтому любой, у кого есть ссылка, может видеть соответствующие данные или управлять ими (пункт 18.1 Условий); 7) SMS-сообщения передаются в сети мобильной связи без дополнительного шифрования, применяемого Сервисом, а защита электронных писем при передаче зависит также от почтового сервера получателя; 8) визиты, правила повторяющихся визитов и SMS-сообщения Заказчик не может удалить в Учётной записи, поэтому после удаления карточки Клиента его визиты сохраняются и отображаются с отметкой «Удалённый клиент» вместе со временем, услугами, Членом команды, статусом, ценой, внутренними заметками, заметками визита (включая заметку, написанную Клиентом при бронировании), значениями дополнительных полей визита, ссылкой на онлайн-встречу и историей уведомлений (без текста ошибок доставки), SMS-переписка сохраняется и отображается по номеру телефона, в отчётах такие визиты учитываются без данных Клиента, а уже полученные календарными сервисами данные Ссылок на календарь изменяются только тогда, когда эти сервисы обновляют календарь, на который оформлена подписка (пункт 30.9 Условий); 9) действия уполномоченных Оператором лиц, совершаемые с помощью средств администрирования Сервиса или непосредственно в базе данных без входа в Учётную запись (пункт 11.2 настоящего СОД), в записях о входе, указанных в пункте 21.5 Условий, не фиксируются.

16.14. Меры Заказчика. Заказчик: 1) предоставляет Пользователям только роли, необходимые для их работы, и незамедлительно отключает ненужные доступы для входа (пункт 5.3 Условий); 2) обеспечивает, чтобы Пользователи использовали надёжные пароли, обеспечивали сохранность данных для входа и защищали свои устройства (пункт 5.5 Условий); 3) обращается со Ссылками на календарь как с паролями и обновляет их при утрате устройства или изменении состава Членов команды (пункт 18.1 Условий); 4) хранит в тайне API-ключ asms.lt и использует для SMS-шлюза только деловой номер телефона (пункты 14.3 и 14.7 Условий); 5) не хранит в заметках, дополнительных и иных полях свободного текста данные платёжных карт, пароли, персональные коды или номера документов, удостоверяющих личность, за исключением случаев, указанных в пункте 12.5 Условий; 6) скрывает ненужные предлагаемые поля и обрабатывает только данные о здоровье, необходимые для планирования визитов и оказания услуг (пункты 12.1 и 12.2 Условий); 7) насколько это позволяют доступные на его Плане функции Сервиса или порядок предоставления данных, установленный пунктом 30.4 Условий, регулярно сохраняет копию данных о визитах и Данных Клиентов (пункт 11.10 Условий); 8) незамедлительно сообщает Оператору о подозрении на несанкционированный доступ (пункт 5.5 Условий).

17. Перечень Субобработчиков

17.1. На день публикации настоящей версии СОД Оператор привлекает Субобработчиков, указанных в настоящем разделе. Перечень изменяется в порядке, установленном пунктами 6.4 и 6.5 настоящего СОД.

17.2. UAB „Interneto vizija“, код юридического лица 126350731, J. Kubiliaus g. 6, 08234 Vilnius, Литва. Услуга: хостинг серверов Сервиса (база данных и загруженные файлы), резервные копии, создаваемые поставщиком хостинга, и почтовые серверы, через которые отправляются электронные письма и принимаются сообщения о недоставке и ответы на приглашения в календаре. Обрабатываемые данные: все Обрабатываемые данные, хранящиеся в Сервисе, и электронные письма, отправляемые Клиентам. Местонахождение данных: Литва (Европейский союз).

17.3. Hostinger International Limited, 61 Lordou Vironos str., 6023 Larnaca, Кипр. Услуга: хостинг серверов системы отправки электронных писем Оператора 1e.lt и сеть доставки контента (CDN), через которую осуществляется доступ к системе 1e.lt, а также хостинг серверов услуги SMS-шлюза asms.lt Оператора. Обрабатываемые данные: в системе 1e.lt контакты, включённые в списки Заказчика и кампаний (адреса электронной почты, имена, фамилии и идентификаторы Клиентов), содержание кампаний, данные о доставке, открытиях, переходах по ссылкам и отказах, а также указываемые в настройках списков название Заказчика, адрес филиала и адрес электронной почты Владельца; в системе asms.lt контакты аккаунта asms.lt Заказчика, номера телефонов и тексты SMS-сообщений (раздел 18 настоящего СОД), а пока Оператор отправляет коды подтверждения через собственный аккаунт asms.lt (пункт 15.12 настоящего СОД), также номера телефонов получателей и тексты сообщений с этими кодами. Место хранения данных: Европейский союз; запросы, передаваемые через сеть доставки контента, могут обрабатываться и на узлах Hostinger, находящихся в других государствах (пункт 7.2 настоящего СОД).

17.4. Система отправки электронных писем 1e.lt и база данных угроз M Blacklist являются управляемыми Оператором системами и считаются частью Сервиса (пункт 7.8 Условий), поэтому не являются отдельными Субобработчиками; поставщики хостинга их серверов указаны в настоящем разделе. Данные M Blacklist Оператор обрабатывает как самостоятельный контролёр данных (пункт 3.4 настоящего СОД). Услуга SMS-шлюза asms.lt также является управляемой Оператором системой, однако не является частью Сервиса; к ней применяется раздел 18 настоящего СОД.

17.5. Субобработчиками не считаются: 1) Stripe, который обрабатывает данные расчётов Заказчика и не получает Данных Клиентов (пункты 2.23 и 9.2 Условий); 2) средства аналитики Google Analytics и nda.lt, которые Оператор использует как самостоятельный контролёр данных (пункт 3.7 настоящего СОД); 3) указанные в пункте 7.4 настоящего СОД выбранные Заказчиком услуги и поставщики услуг электронной почты получателей; 4) поставщик данных о праздниках и именинах, которому Сервис не передаёт персональные данные (пункт 18.6 Условий).

17.6. Перечни поставщиков услуг Субобработчиков публикуются в их условиях обработки данных; информацию о таких поставщиках и их смене Оператор предоставляет в порядке, установленном пунктом 6.6 настоящего СОД.

17.7. SIA VERTEX LV, регистрационный номер 50003866501, Mihoelsa iela 66-10, Daugavpils, LV-5401, Латвия (услуга VertexSMS). Услуга: отправка SMS-сообщений с имени отправителя Оператора: одноразовые коды для подтверждения номеров телефонов на Странице записи и в Учётной записи (номера Клиентов, Членов команды и Заказчика), если Заказчик использует эти функции (пункт 15.12 настоящего СОД), и, после включения Владельцем функции Premium SMS, SMS-сообщения Заказчика Клиентам, включая сообщения, написанные Пользователями (пункт 14.10 Условий; пункт 15.7 настоящего СОД). Обрабатываемые данные: номер телефона, текст сообщения (код или текст сообщения Заказчика), имя отправителя, время и отчёт о доставке с кодом сети мобильной связи. Местонахождение данных: Субобработчик учреждён в Латвии (Европейский союз); при доставке сообщения телекоммуникационные партнёры Субобработчика могут обрабатывать номер и текст сообщения в том числе за пределами Европейской экономической зоны с применением гарантий, указанных в политике конфиденциальности Субобработчика (https://vertexsms.com/en/privacy) (пункт 7.5 настоящего СОД). Хранение у Субобработчика: согласно его политике конфиденциальности данные о сообщениях по умолчанию хранятся два месяца.

18. Услуга SMS-шлюза asms.lt

18.1. Услугу SMS-шлюза asms.lt Заказчику предоставляет сам Оператор по отдельному договору (пункты 7.8 и 14.2 Условий). Персональные данные, которые Оператор как поставщик услуги asms.lt обрабатывает в аккаунте asms.lt Заказчика, он обрабатывает от имени Заказчика как обработчик данных. Пока к услуге asms.lt не применяется отдельное соглашение об обработке данных, такие данные считаются в настоящем СОД Обрабатываемыми данными, и к ним применяются настоящий раздел и разделы 1, 2, 4, 6, 7, 8, 9, 10, 13, 14 и 17 настоящего СОД. Разделы 3, 5, 11, 12, 15 и 16 настоящего СОД описывают Сервис и к данным аккаунта asms.lt не применяются, за исключением содержащихся в настоящем разделе ссылок на них.

18.2. Описание обработки. Предмет и характер: отправка и получение SMS-сообщений через Android-устройство и SIM-карту Заказчика, хранение сообщений и контактов в аккаунте asms.lt Заказчика и их предоставление через интерфейсы услуги asms.lt, в том числе Сервису (пункт 15.7 настоящего СОД). Цель: предоставить Заказчику возможность отправлять и получать SMS-сообщения с использованием своего делового номера телефона. Субъекты данных: Клиенты и иные лица, которые отправляют сообщения на номер SMS-шлюза, получают сообщения с него или записаны в контактах аккаунта asms.lt. Данные: номера телефонов, имена контактов и отметки об отказе от SMS-сообщений, тексты SMS-сообщений, время и статус их отправки и получения; тексты SMS-сообщений могут содержать и данные особых категорий (пункт 15.17 настоящего СОД). Срок: пока действует аккаунт asms.lt Заказчика и до возврата или удаления данных согласно пункту 18.4 настоящего СОД. Указания составляют используемые Заказчиком функции и настройки услуги asms.lt, а также функции Сервиса, которые Заказчик включил (пункты 14.7, 14.8 и 21.3 Условий).

18.3. Безопасность. К данным аккаунта asms.lt Заказчика Оператор применяет технические и организационные меры, указанные в статье 32 Регламента, с учётом критериев, указанных в пункте 5.1 настоящего СОД. Раздел 16 настоящего СОД описывает только меры Сервиса; информацию о мерах услуги asms.lt Оператор предоставляет по запросу Заказчика (пункт 10.1 настоящего СОД). Заказчик обеспечивает сохранность API-ключа asms.lt и своего устройства и использует для SMS-шлюза только деловой номер телефона (пункты 14.3 и 14.7 Условий).

18.4. Возврат, удаление и ответственность. Данные аккаунта asms.lt Заказчика не удаляются вместе с данными Сервиса согласно разделу 30 Условий, поскольку аккаунт asms.lt может использоваться и после прекращения Договора, а удаления между Сервисом и аккаунтом asms.lt не переносятся (пункт 14.8 Условий). После прекращения предоставления услуги asms.lt Оператор по выбору Владельца возвращает или удаляет данные аккаунта asms.lt, а если Владелец не сделает выбор в разумный срок, удаляет их, за исключением данных, хранение которых требуется законодательством. Настоящий раздел не ограничивает ответственность по договору об услуге asms.lt (пункт 7.8 Условий).