Соглашение о поручении обработки персональных данных (DPA)

Редакция от 19 апреля 2026 г. (версия 2026.04, вступает в силу 2026-04-19)

Настоящее Соглашение заключается в соответствии со ст. 6 ч. 3 152-ФЗ между Оператором (Заказчиком по Публичной оферте /offer) и Обработчиком — ИП Федоровым Сергеем Игоревичем (ИНН 524930398970), далее — Нотифлоу.

Соглашение действует в отношении обработки ПДн конечных пользователей Оператора, поступающих в сервис Нотифлоу через виджеты, мессенджер-каналы, email-каналы, CRM-интеграции.

1. Предмет поручения

1.1. Оператор поручает Нотифлоу обработку ПДн для оказания услуг по Публичной оферте.

1.2. Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (в объеме, необходимом для работы интеграций), обезличивание, блокирование, удаление.

1.3. Способы: автоматизированная обработка.

2. Категории данных и субъектов

2.1. Субъекты: конечные пользователи Оператора — посетители сайтов, отправители сообщений в мессенджерах и email, контакты в CRM.

2.2. Категории данных: идентификаторы (cookie-ID, IP, мессенджер-ID, email), контактные данные (имя, email, телефон), содержимое переписки и вложений, поведенческие данные, ответы на формы и опросы, маркетинговые атрибуты, технические метаданные.

2.3. Оператор обязуется не передавать специальные категории ПДн (ст. 10) и биометрические данные (ст. 11).

3. Обязательства Нотифлоу

3.1. Обрабатывать данные исключительно в целях раздела 1 и в необходимом объеме.

3.2. Обеспечить конфиденциальность обрабатываемых данных.

3.3. Применять меры защиты по разделу 15 Политики ПДн (/privacy-policy), соответствующие ПП № 1119.

3.4. Хранить первичную запись данных субъектов — граждан РФ — в БД на территории РФ (ч. 5 ст. 18).

3.5. Уведомлять Оператора о нарушении безопасности в срок не более 12 часов с момента обнаружения на email кабинета и на security@notiflow.ru.

3.6. По запросу Оператора предоставлять сведения об обрабатываемых данных, содействовать в выполнении требований субъектов (ст. 14) и в уведомлении Роскомнадзора.

3.7. Удалять данные Оператора в течение 30 дней после расторжения договора, за исключением требуемого законом хранения. Экспорт в машиночитаемом формате — в период действия договора и 30 дней после.

3.8. Отвечать на запросы Оператора об обработке, мерах безопасности и обработчиках в срок не более 10 рабочих дней.

4. Привлечение субобработчиков

4.1. Оператор дает общее согласие на привлечение субобработчиков.

4.2. Актуальный перечень — /subprocessors, обновляется не реже квартала и при добавлении — не позднее 10 рабочих дней до передачи.

4.3. Оператор вправе заявить возражение против нового субобработчика в 10 рабочих дней. Нотифлоу предложит альтернативу либо Оператор вправе расторгнуть договор с возвратом.

4.4. Договоры с субобработчиками предусматривают уровень защиты не ниже настоящего Соглашения.

5. Трансграничная передача

5.1. Нотифлоу не осуществляет трансграничную передачу по собственной инициативе, за исключением технического транспорта иностранных мессенджеров (позиция Минцифры от 03.07.2025).

5.2. Если Оператор самостоятельно подключает интеграции с иностранными сервисами (SMTP, CRM), Оператор несет ответственность за получение согласий субъектов по ст. 12 152-ФЗ.

6. Обязательства Оператора

Оператор обязуется: получать согласия субъектов, включая на передачу Нотифлоу; разместить собственную политику ПДн на сайте с указанием Нотифлоу как обработчика; обеспечить уведомление о записи диалогов; не собирать данные сверх согласий; уведомлять Роскомнадзор об инциденте (ст. 21), если обязанность возникает в отношении Оператора.

7. Аудит

7.1. Не чаще одного раза в календарный год — письменный запрос с перечнем вопросов.

7.2. Срок ответа — 30 рабочих дней с подтверждающими документами, не содержащими коммерческой тайны.

7.3. По отдельному соглашению — независимый аудит.

8. Ответственность

8.1. Каждая сторона несет ответственность за нарушения 152-ФЗ в рамках своих обязательств.

8.2. Ограничение — раздел 9 Пользовательского соглашения, кроме случаев грубой неосторожности или умысла.

9. Срок действия

С момента начала использования Сервиса до полного удаления данных Оператора.

10. Заключительные положения

Соглашение является публичной офертой и считается принятым при начале использования Сервиса. Изменения — по разделу 11 Пользовательского соглашения.