Соглашение об обработке данных (DPA)
DPA применяется автоматически, когда Caylen обрабатывает CRM-данные лидов, покупателей, сотрудников или иных физических лиц по поручению Заказчика.
1. Стороны и роли
Заказчик определяет цели, перечень и законность обработки и выступает собственником и/или оператором базы. Исполнитель Caylen — лицо, указанное в счёте, чеке, индивидуальном договоре или платёжных документах Заказчика, — действует как оператор/третье лицо по документированным инструкциям Заказчика. Реквизиты такого документа являются неотъемлемой частью DPA. Для собственных биллинговых, аккаунтных и защитных целей Caylen может действовать самостоятельным оператором.
2. Предмет поручения
Характер обработки: получение webhook, обращение к CRM, извлечение минимально необходимых полей, нормализация и SHA-256-хэширование контактов, mapping этапа, постановка в очередь, передача события Meta, журналирование, отчёты, диагностика и backfill. Цель — техническое соединение CRM с Meta Conversions API и отображение результата.
Категории субъектов: лиды, покупатели, представители и сотрудники Заказчика. Данные: имя, телефон, email, ID, этап, сумма, валюта, время и рекламные/технические идентификаторы. Чувствительные и детские данные запрещены.
3. Инструкции Заказчика
Инструкциями являются Оферта, настройки кабинета, mapping, выбранный Dataset/Pixel, письменные обращения и согласованные технические задания. Caylen вправе не исполнять незаконную, небезопасную или противоречивую инструкцию и уведомить Заказчика.
4. Обязанности Заказчика
Заказчик гарантирует законное основание, необходимый и достаточный состав данных, уведомления субъектов, доказательства согласий на передачу третьим лицам и трансграничную передачу, обработку запросов субъектов, контроль сотрудников и корректность CRM/Meta. Заказчик не поручает обработку специальных категорий без отдельного соглашения.
5. Обязанности Caylen
Caylen обрабатывает данные только для услуги и защиты системы, обеспечивает конфиденциальность допущенных лиц, применяет разумные технические и организационные меры, ведёт журналы, помогает Заказчику исполнить законный запрос субъекта и после прекращения удаляет или обезличивает данные по установленным срокам.
6. Безопасность
Минимальные меры: HTTPS, AES-256-GCM для активной конфигурации и истории, scrypt для паролей, разграничение доступа, rate limit, безопасные cookie, идемпотентность, мониторинг, журналы действий и минимизация отображения токенов. Заказчик отвечает за безопасность своих CRM, Meta, устройств и сотрудников.
7. Субподрядчики
Заказчик предоставляет общее разрешение на поставщиков из реестра. Caylen публикует существенное добавление или замену не менее чем за 14 дней, когда это практически возможно. Обоснованное возражение направляется до вступления изменения в силу. Если разумной альтернативы нет, Заказчик может прекратить затронутую услугу; начисленная плата не аннулируется.
8. Трансграничная передача
Заказчик поручает передачу необходимого объёма внешним поставщикам в указанных странах и подтверждает наличие согласий субъектов. Стороны выполняют обязательные требования права Республики Казахстан; DPA не отменяет требования о местонахождении основной электронной базы.
9. Инциденты
Caylen уведомляет Заказчика без неоправданной задержки после подтверждения инцидента, затрагивающего его данные, и сообщает известные категории, последствия и меры. Caylen взаимодействует с уполномоченным органом в установленный срок, включая один рабочий день, когда применимо. Заказчик отвечает за уведомления, относящиеся к его роли собственника/оператора, при содействии Caylen.
10. Запросы субъектов и органов
Если Caylen получает запрос по CRM-данным, он вправе перенаправить его Заказчику. Техническая помощь в стандартном объёме включена; сложная выборка, восстановление или массовая операция может оплачиваться отдельно. Caylen вправе раскрыть данные по обязательному законному требованию и, если разрешено, уведомить Заказчика.
11. Удаление, возврат и аудит
Доступная выгрузка запрашивается до прекращения или в течение 10 календарных дней после него. Журналы событий удаляются не позднее 730 дней, краткосрочные записи — раньше. Доказательства договора, безопасности и обязательные документы хранятся законный срок. Аудит осуществляется документами и ответами Caylen не чаще одного раза в год, с сохранением безопасности других клиентов; выездной аудит оплачивается Заказчиком и предварительно согласуется.
12. Ответственность и приоритет
Заказчик возмещает подтверждённые расходы из-за отсутствия оснований, согласий или незаконной инструкции. Ограничения ответственности Оферты применяются к DPA. При противоречии по вопросам обработки DPA имеет приоритет над Офертой, а императивный закон — над обоими документами.