Войти
Вернуться на главную

СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ (DPA)

Последнее обновление: 23 октября 2026 г.

Настоящее Соглашение об обработке персональных данных (далее — «DPA») является дополнением и неотъемлемой частью Пользовательского соглашения ReplyBuddy (или иного применимого соглашения, далее — «Соглашение») между Клиентом (как определено в Соглашении) и PRIME RADIANT LLC (ООО «Прайм Радиант») (далее — «Компания»), обществом с ограниченной ответственностью, зарегистрированным в Республике Армения (рег. № 286.110.1498160, ИНН 02938343).

Используя услуги ReplyBuddy или выражая согласие с Соглашением, Клиент заключает настоящее DPA от своего имени и, если это требуется в соответствии с применимым Законодательством о защите персональных данных, от имени и в интересах своих Аффилированных лиц. Настоящее DPA отражает договоренность сторон в отношении обработки Персональных данных Компанией от имени Клиента в процессе предоставления Услуг.

Толкование. Термины, написанные с заглавной буквы и не определенные в настоящем DPA, имеют значения, установленные в Соглашении. В случае любого противоречия между настоящим DPA и Соглашением положения настоящего DPA имеют преимущественную силу в части такого противоречия. Термин «включая» означает «включая, помимо прочего».

1. ОПРЕДЕЛЕНИЯ

Для целей настоящего DPA применяются следующие термины и определения.

1.1. «Аффилированное лицо» означает любое лицо, которое прямо или косвенно контролирует сторону, контролируется ею или находится под общим с ней контролем, где под «контролем» понимается владение не менее чем пятьюдесятью процентами (50%) долей участия или голосующих акций лица.

1.2. «Персональные данные Клиента» означают любые Персональные данные, которые Клиент (или конечные пользователи Клиента) предоставляет или передает в Сервис либо которые собираются Компанией от имени Клиента для обработки в рамках Соглашения. Персональные данные Клиента могут включать, например, сообщения в социальных сетях, расшифровки чатов, черновики контента, контактную информацию лидов или клиентов (например, имена и юзернеймы) и иные данные, относящиеся к лицам, с которыми Клиент взаимодействует посредством Сервиса.

1.3. «Авторизованный субподрядчик» (субобработчик, Sub-Processor) означает любое третье лицо (включая любое Аффилированное лицо Компании), привлеченное Компанией для обработки Персональных данных Клиента в целях содействия Компании в выполнении ее обязательств по Соглашению или настоящему DPA. Авторизованные субподрядчики, действующие на дату вступления в силу настоящего DPA, перечислены в Приложении B или на веб-сайте Компании, как описано в разделе 4.2.

1.4. «Данные учетной записи Компании» означают Персональные данные, относящиеся к взаимоотношениям Клиента с Компанией, которые могут включать имена и контактную информацию сотрудников или представителей Клиента, уполномоченных использовать Сервис или администрировать его, платежную информацию и иные сведения, необходимые для управления учетной записью и ведения деятельности. Данные учетной записи Компании также включают любые данные, которые Компания должна обрабатывать для верификации личности, предотвращения мошенничества или соблюдения юридических обязательств в рамках взаимоотношений с Клиентом.

1.5. «Данные об использовании Компании» означают данные, относящиеся к использованию Клиентом Сервиса и собираемые Компанией в целях поддержки, мониторинга и улучшения Сервиса. Данные об использовании Компании могут включать файлы журналов (логов) и метаданные, например временные метки и количество сообщений, метрики использования, данные о производительности и иную техническую информацию (например, IP-адреса или сведения об устройствах), которая сама по себе не обязательно позволяет идентифицировать лиц. Данные об использовании Компании используются для оптимизации и поддержания производительности и безопасности Сервиса, а также для предотвращения злоупотреблений Сервисом.

1.6. «Законодательство о защите персональных данных» означает все законы и нормативные акты, применимые к обработке Персональных данных по Соглашению, включая в применимых случаях: Федеральный закон РФ № 152-ФЗ «О персональных данных»; Общий регламент ЕС по защите данных 2016/679 («EU GDPR»); EU GDPR в редакции, инкорпорированной в законодательство Соединенного Королевства («UK GDPR»); Федеральный закон Швейцарии о защите данных; Закон Калифорнии о защите конфиденциальности потребителей («CCPA») с изменениями (включая Закон Калифорнии о правах на неприкосновенность частной жизни, CPRA); а также любые иные применимые законы о защите данных или конфиденциальности. Термины «Персональные данные», «Субъект данных», «обработка», «Оператор» (контролер, Controller), «Обработчик» (лицо, осуществляющее обработку персональных данных по поручению оператора, Processor), «Утечка персональных данных» и другие связанные термины имеют значения, установленные GDPR и/или Федеральным законом № 152-ФЗ в зависимости от контекста, а термин «Сервис-провайдер» (Service Provider) — значение, установленное CCPA.

1.7. «Стандартные договорные условия» (СДУ, SCCs) означают в совокупности: (i) стандартные договорные условия передачи персональных данных в третьи страны в соответствии с GDPR, утвержденные Решением Европейской комиссии 2021/914 от 4 июня 2021 г. («СДУ ЕС»); и (ii) Дополнение о международной передаче данных Соединенного Королевства, выпущенное Офисом Комиссара по информации Соединенного Королевства (ICO) («Дополнение Великобритании»), которое вместе с СДУ ЕС образует «СДУ Великобритании». Ссылки на СДУ означают модули и положения, соответствующие отношениям сторон, как указано в разделе 6 настоящего DPA.

1.8. «Услуги» (Сервис) означают платформу программного обеспечения как услуги (SaaS) и связанные с ней услуги, предоставляемые Компанией Клиенту по Соглашению. В частности, ReplyBuddy предоставляет SaaS-платформу, обеспечивающую автоматизацию коммуникаций с клиентами и работу ИИ-агентов в платформах обмена сообщениями (таких как Telegram, Instagram*, Avito, MAX, ВКонтакте и других поддерживаемых каналах), управление сделками в CRM и рассылки («Платформа ReplyBuddy»).

  • Деятельность Meta Platforms, Inc. по реализации социальных сетей Facebook и Instagram признана экстремистской и запрещена на территории Российской Федерации.

2. ОТНОШЕНИЯ СТОРОН; ОБЪЕМ ОБРАБОТКИ

2.1. Роли сторон
В отношениях между сторонами применительно к обработке Персональных данных Клиента стороны признают, что Клиент выступает Оператором (контролером) данных (или Обработчиком, действующим по поручению другого оператора), а Компания выступает Обработчиком данных, действующим по поручению Клиента. Это означает, что Клиент определяет цели и средства обработки Персональных данных Клиента, а Компания обрабатывает такие данные только на основании задокументированных инструкций Клиента, как описано в настоящем DPA и Соглашении. Если Клиент является Обработчиком, действующим по поручению стороннего Оператора, Компания является субобработчиком Клиента, и Клиент гарантирует, что уполномочен соответствующим Оператором (Операторами) назначить Компанию субобработчиком и заключить настоящее DPA.

2.2. Обязательства Клиента
Клиент при использовании Сервиса обеспечивает соответствие своих инструкций по обработке Персональных данных (включая инструкции, изложенные в настоящем DPA и Соглашении) всему Законодательству о защите персональных данных. Клиент несет ответственность за получение всех необходимых согласий или наличие иных законных оснований для обработки Персональных данных, за точность и качество Персональных данных, предоставленных Компании, а также за то, чтобы использование Клиентом Сервиса (включая обработку Компанией) не привело к нарушению Компанией применимого законодательства. Клиент не предоставляет Компании и не делает доступными для нее Персональные данные, которые не являются необходимыми для использования Сервиса или которые Клиент не вправе передавать в соответствии с законом. Клиент возмещает Компании убытки по любым претензиям, возникшим в связи с обработкой Персональных данных в соответствии с инструкциями Клиента, нарушающими применимое законодательство или права третьих лиц.

2.3. Обязательства Обработчика

Компания обрабатывает Персональные данные Клиента только в следующих целях:

  • предоставление, поддержка и обслуживание Сервиса в соответствии с Соглашением (включая автоматизацию переписки в платформах обмена сообщениями и социальных сетях, работу ИИ-агентов, формирование сообщений и рассылок и управление взаимодействиями Клиента в соответствии с его инструкциями);

(ii) выполнение инструкций и запросов Клиента в связи с Сервисом; и
(iii) соблюдение юридических обязательств Компании.
Компания не обрабатывает Персональные данные Клиента в каких-либо иных целях, кроме указанных в Соглашении, настоящем DPA или иным образом в задокументированных инструкциях Клиента. В частности, Компания не «продает» и не «передает» (sell / share в значении CCPA) Персональные данные Клиента и не использует их в собственных целях (например, для маркетинга или профилирования) или для обучения моделей искусственного интеллекта, за исключением случаев, когда это строго необходимо и допустимо для предоставления и улучшения Сервиса, и только с разрешения Клиента. Компания признает и соглашается, что ей запрещено в дальнейшем использовать или раскрывать Персональные данные Клиента в каких-либо целях, кроме предоставления Сервиса в соответствии с Соглашением и настоящим DPA.

2.4. Задокументированные инструкции
Заключая настоящее DPA, Клиент поручает Компании обрабатывать Персональные данные Клиента только в соответствии с Соглашением, настоящим DPA и любым применимым заказом или письменными инструкциями Клиента. Если Компания считает, что какая-либо инструкция Клиента нарушает Законодательство о защите персональных данных, она незамедлительно сообщает об этом Клиенту (если это не запрещено законом). Первоначальные инструкции Клиента Компании по обработке Персональных данных изложены в настоящем DPA, включая Приложение A. В дальнейшем Клиент вправе давать Компании дополнительные письменные инструкции, и стороны добросовестно взаимодействуют для их подтверждения и надлежащего выполнения.

2.5. Детали обработки
Предмет и срок обработки, характер и цели обработки, типы Персональных данных и категории Субъектов данных, затрагиваемых обработкой по настоящему DPA, подробно описаны в Приложении A (Детали обработки). Стороны соглашаются, что Приложение A точно отражает объем обработки Персональных данных Клиента Компанией по Соглашению.

2.6. Удаление или возврат данных
После прекращения или истечения срока действия Соглашения либо по письменному запросу Клиента Компания прекращает обработку Персональных данных Клиента и по выбору Клиента удаляет или возвращает Клиенту все Персональные данные Клиента, находящиеся в распоряжении или под контролем Компании (включая любые копии), в разумный срок, если применимое законодательство не требует их хранения. Если возврат или удаление определенных данных технически или юридически невозможны (например, если резервные копии помещены в защищенное хранилище в соответствии с требованиями законодательства), Компания (i) сообщает Клиенту о причинах и (ii) обеспечивает конфиденциальность таких данных и прекращает их активную обработку, а также удаляет такие данные при первой возможности. По запросу Клиента Компания предоставляет подтверждение удаления Персональных данных (например, подтверждение, предусмотренное пунктом 8.5 СДУ ЕС).

2.7. Соблюдение законодательства
Каждая сторона соблюдает все Законодательство о защите персональных данных, применимое к ней в ее роли по настоящему DPA. Клиент несет единоличную ответственность за законность обработки, а также за точность и правомерность Персональных данных Клиента, предоставленных Компании. Компания сообщает Клиенту, если, по ее мнению, инструкция Клиента нарушает применимое законодательство (без обязанности проводить юридическую проверку деятельности Клиента). Если применяется Федеральный закон РФ № 152-ФЗ, стороны соблюдают его требования, включая правила трансграничной передачи персональных данных (ст. 12) и правовые, организационные и технические меры защиты, предусмотренные ст. 19.

2.8. Условия для Сервис-провайдера по CCPA
В той мере, в какой к каким-либо Персональным данным Клиента применяется CCPA (Закон Калифорнии о защите конфиденциальности потребителей), стороны признают и соглашаются, что Компания является Сервис-провайдером (Service Provider) Клиента, а Клиент — Бизнесом (Business) (или Сервис-провайдером стороннего Бизнеса) в отношении таких данных. Компания подтверждает, что не будет продавать Персональные данные Клиента или передавать их для межконтекстной поведенческой рекламы, а также не будет хранить, использовать или раскрывать Персональные данные Клиента в каких-либо целях, кроме конкретной цели оказания Услуг или иных целей, разрешенных CCPA. Компания не объединяет Персональные данные Клиента с персональной информацией, получаемой из других источников, за исключением случаев, допускаемых CCPA. Компания понимает и соблюдает ограничения и обязанности, установленные CCPA для Сервис-провайдеров.

3. КОНФИДЕНЦИАЛЬНОСТЬ

3.1. Обязательства по соблюдению конфиденциальности
Компания обеспечивает, чтобы любое лицо, уполномоченное ею на обработку Персональных данных Клиента (включая работников, агентов и субподрядчиков Компании), было связано обязательством конфиденциальности (в силу договора или закона) в отношении таких данных. Компания ограничивает доступ к Персональным данным Клиента исключительно лицами, которым такой доступ необходим для оказания Услуг и которые связаны указанными обязательствами конфиденциальности.

3.2. Ограничение раскрытия
Компания не раскрывает Персональные данные Клиента третьим лицам, за исключением случаев, когда это необходимо для предоставления Услуг (и допускается разделом 4 настоящего DPA о субподрядчиках) или требуется законом или иным нормативным актом. Если закон или юридически обязывающее требование обязывает Компанию раскрыть Персональные данные Клиента, Компания (если это не запрещено) уведомляет Клиента до такого раскрытия и действует в соответствии с разделом 8.2 настоящего DPA.

3.3. Разрешенное раскрытие
Независимо от изложенного выше Клиент соглашается, что Компания может раскрывать Персональные данные Клиента на ограниченной основе своим юридическим, финансовым или иным профессиональным консультантам (например, юристам, аудиторам) только в той мере, в какой это необходимо Компании для получения консультаций или защиты в связи с Сервисом либо для осуществления своих прав, при условии что такие консультанты связаны профессиональными или письменными обязательствами конфиденциальности.

4. АВТОРИЗОВАННЫЕ СУБПОДРЯДЧИКИ

4.1. Привлечение субподрядчиков

Клиент разрешает Компании привлекать Авторизованных субподрядчиков для обработки Персональных данных Клиента в связи с оказанием Услуг при условии, что:

  • Компания привлекает субподрядчиков на условиях их применимых пользовательских соглашений (terms of service) и, при наличии, их условий обработки данных; и
  • Компания несет ответственность за действия и бездействие своих субподрядчиков в том же объеме, в каком несла бы ее, оказывая Услуги самостоятельно.

Настоящим DPA Клиент предоставляет Компании общее письменное разрешение на привлечение субподрядчиков по мере необходимости для оказания Услуг.

4.2. Текущий список субподрядчиков
Компания ведет актуальный список Авторизованных субподрядчиков («Список субподрядчиков») в Приложении B к настоящему DPA. Клиент признает, что на дату вступления DPA в силу Компания использует для оказания Услуг сторонние инфраструктуры и провайдеров в качестве субподрядчиков, включая хостинг сервера (Hostinger), аутентификацию пользователей (Supabase), хранение файлов и резервных копий (Cloudflare), мониторинг (Grafana Labs), дежурную диагностику (Anysphere (Cursor)), отправку транзакционных писем (Resend), телефонию (Voximplant), API платформ обмена сообщениями (Telegram, Instagram*, Avito, MAX, ВКонтакте, Zalo и других, подключенных Клиентом), провайдеров коммерческих API моделей искусственного интеллекта и языковых моделей (таких как DeepSeek, OpenRouter, OpenAI, xAI, MiniMax и Groq) и платежных провайдеров (Lemon Squeezy и CloudPayments).

4.3. Обновление списка субподрядчиков
Компания поддерживает Список субподрядчиков в Приложении B в актуальном состоянии на своем веб-сайте и вправе привлекать или заменять провайдеров инфраструктуры и моделей ИИ для обеспечения непрерывности, надежности и безопасности Сервиса при условии, что такие провайдеры связаны надлежащими обязательствами по конфиденциальности и защите данных. Компания обновляет Список субподрядчиков при привлечении или замене субподрядчика. Такие изменения вступают в силу с момента публикации обновленного Списка субподрядчиков, и продолжение использования Клиентом Сервиса после публикации означает согласие с изменением. Клиент вправе заявить возражение в порядке, предусмотренном разделом 4.4.

4.4. Право Клиента на возражение
Если у Клиента есть разумные и добросовестные основания полагать, что обработка Персональных данных Клиента субподрядчиком нарушает применимое Законодательство о защите персональных данных, Клиент вправе письменно уведомить Компанию по адресу support@replybuddy.io. Стороны добросовестно обсуждают опасения Клиента. Если вопрос не удается урегулировать, Клиент вправе прекратить использование соответствующей Услуги и отменить продление Подписки на следующий расчетный период.

4.5. Отсутствие отказа от прав
Продолжение использования Клиентом Сервиса после публикации обновленного Списка субподрядчиков означает согласие с новым субподрядчиком без ущерба для права Клиента на возражение по разделу 4.4. Компания вправе продолжать привлекать субподрядчиков, уже привлеченных на дату вступления в силу настоящего DPA, которых Клиент настоящим принимает.

4.6. Ответственность и соблюдение требований
Компания несет ответственность за любые действия, ошибки или бездействие своих субподрядчиков, повлекшие нарушение Компанией ее обязательств по настоящему DPA, как за свои собственные.

4.7. Условия работы с субподрядчиками
В той мере, в какой это требуется применимым законодательством (например, пунктом 9(c) СДУ ЕС), Компания по запросу Клиента предоставляет Клиенту условия использования и, при их наличии, условия обработки данных, на которых Компания привлекает Авторизованных субподрядчиков, либо ссылки на них.

4.8. Стандартные договорные условия
Если применяются СДУ, принятие Клиентом настоящего DPA считается предварительным письменным согласием Клиента на привлечение субподрядчиков Компании и на дальнейшую передачу Компанией Персональных данных таким субподрядчикам, как этого требует пункт 9 СДУ ЕС (общее письменное разрешение). Список субподрядчиков (включая обновления, опубликованные в соответствии с настоящим разделом 4) отвечает требованиям Приложения III к СДУ ЕС о списке субобработчиков.

5. БЕЗОПАСНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Меры безопасности
Компания внедряет и поддерживает надлежащие технические и организационные меры для защиты Персональных данных от случайного или неправомерного уничтожения, утраты, изменения, несанкционированного раскрытия или доступа, как того требуют ст. 32 GDPR, ст. 19 Федерального закона РФ № 152-ФЗ (в применимых случаях) и иное применимое законодательство. При оценке надлежащего уровня безопасности Компания учитывает современный уровень технологий, затраты на внедрение, характер, объем, контекст и цели обработки, а также риски для Субъектов данных. Применяемые Компанией меры указаны в Приложении C (Технические и организационные меры безопасности) и состоят в следующем: шифрование данных при передаче с использованием TLS; доступ к производственным системам только для уполномоченного персонала; ежедневное резервное копирование базы данных в Cloudflare R2 (с шифрованием при хранении на стороне провайдера хранилища) со сроком хранения копий 30 дней; журналирование и мониторинг приложения с помощью Grafana; установка обновлений программного обеспечения; а также в применимых случаях меры, предусмотренные ст. 19 Федерального закона РФ № 152-ФЗ.

5.2. Конфиденциальность обработки
Компания обеспечивает, чтобы любое лицо, действующее под ее руководством и имеющее доступ к Персональным данным Клиента, было связано надлежащими обязательствами конфиденциальности (см. раздел 3.1). Субподрядчики привлекаются в порядке, описанном в разделе 4.1.

5.3. Уведомление об утечке персональных данных
Если Компании станет известно об Утечке персональных данных (в значении GDPR), затрагивающей Персональные данные Клиента, Компания уведомляет Клиента без неоправданной задержки и в любом случае в течение 24 часов с момента, когда ей стало известно об Утечке персональных данных. Уведомление может быть направлено назначенному контактному лицу Клиента по электронной почте или иным прямым способом и включает в известной на момент уведомления мере всю доступную информацию, разумно необходимую Клиенту для выполнения обязанностей по уведомлению надзорных органов или затронутых Субъектов данных, в том числе: описание характера утечки, категории и примерный объем затронутых данных, выявленные и возможные последствия, а также меры, принятые или предлагаемые Компанией для устранения утечки. Компания предоставляет дополнительную информацию по мере ее появления, в том числе сведения, разумно необходимые Клиенту для соблюдения 72-часового срока представления дополнительной информации, установленного ч. 3.1 ст. 21 Федерального закона РФ № 152-ФЗ. Компания незамедлительно принимает разумные меры для локализации, расследования и смягчения последствий любой Утечки персональных данных. По запросу Клиента Компания добросовестно сотрудничает с Клиентом и содействует ему в уведомлении компетентного надзорного органа и/или затронутых Субъектов данных, как того требует закон. Обязательства по настоящему разделу 5.3 не применяются к инцидентам, вызванным Клиентом или любым лицом, действующим от его имени.

5.4. Отсутствие признания вины
Уведомление Компании об Утечке персональных данных или ее реагирование на нее в соответствии с настоящим разделом не считаются признанием Компанией какой-либо вины или ответственности в связи с утечкой.

5.5. Дополнительные меры безопасности
Клиент несет ответственность за ознакомление с предоставляемой Компанией информацией о безопасности данных и за самостоятельную оценку того, отвечает ли Сервис требованиям и юридическим обязательствам Клиента. Клиент также отвечает за надлежащую настройку и использование Сервиса и за принятие собственных мер для поддержания надлежащей безопасности и контроля доступа при использовании Сервиса (например, защиту учетных данных, использование защищенных сетей для доступа к Сервису и надлежащее управление интеграциями и настройками, находящимися под контролем Клиента).

6. МЕЖДУНАРОДНАЯ ПЕРЕДАЧА ДАННЫХ

6.1. Размещение и передача данных
Клиент признает, что Компания зарегистрирована в Республике Армения и что оказание Услуг может включать передачу Персональных данных Клиента в Европейский союз (Литву), Армению, США, Китай, Японию и другие юрисдикции за пределами Европейской экономической зоны (ЕЭЗ), Соединенного Королевства или Швейцарии. Если к Персональным данным Клиента применяется GDPR, такая передача осуществляется на основании Стандартных договорных условий, предусмотренных настоящим разделом 6. Передача персональных данных из Российской Федерации осуществляется с соблюдением ст. 12 Федерального закона РФ № 152-ФЗ.

6.2. Передача из ЕЭЗ

В отношении передачи Персональных данных из ЕЭЗ (или иной передачи, подпадающей под EU GDPR) Компании в страну, не признанную Европейской комиссией обеспечивающей адекватный уровень защиты, стороны соглашаются, что такие данные передаются на основании СДУ ЕС, которые настоящим включаются в настоящее DPA посредством ссылки и считаются подписанными сторонами. СДУ ЕС заполняются следующим образом:

Применяется Модуль 2 (от оператора к обработчику) или, если применимо, Модуль 3 (от обработчика к обработчику) СДУ ЕС. Модуль 2 применяется, если Клиент является Оператором Персональных данных Клиента, а Компания — Обработчиком; Модуль 3 применяется, если Клиент является Обработчиком Персональных данных Клиента, действующим по поручению стороннего Оператора, а Компания — субобработчиком. Во избежание сомнений Модуль 1 (от оператора к оператору) может применяться только к Данным учетной записи Компании и Данным об использовании Компании в соответствии с разделом 9 ниже и не применяется к Персональным данным Клиента, обрабатываемым от имени Клиента.
В пункте 7 (Положение о присоединении) факультативное положение не применяется.
В пункте 9 (Привлечение субобработчиков) применяется Вариант 2 (общее письменное разрешение). Об изменениях субобработчиков Клиент информируется путем публикации обновленного Списка субподрядчиков, как описано в разделе 4.3 настоящего DPA.
В пункте 11 (Средства правовой защиты) факультативное положение не применяется.
В пункте 17 (Применимое право) применяется Вариант 1. Стороны выбирают право Ирландии (поскольку Ирландия является государством — членом ЕС, допускающим права третьих лиц-выгодоприобретателей) в качестве права, регулирующего СДУ.
В пункте 18 (Выбор суда и юрисдикции) стороны выбирают суды Ирландии для разрешения споров, возникающих из СДУ.
Приложение I.A (Список сторон), Приложение I.B (Описание передачи) и Приложение II (Технические и организационные меры) к СДУ ЕС изложены соответственно в Приложении B и Приложении C к настоящему DPA.
Приложение I.C (Компетентный надзорный орган): компетентным надзорным органом является надзорный орган государства — члена ЕС, в котором учрежден Клиент (как экспортер данных), либо, если Клиент не учрежден в ЕЭЗ, надзорный орган, определяемый по месту нахождения представителя Клиента в соответствии со ст. 27 GDPR.
Заключая настоящее DPA, стороны считаются взаимно подписавшими СДУ ЕС, включая приложения к ним.

6.3. Передача из Соединенного Королевства
В отношении передачи Персональных данных из Соединенного Королевства (или иной передачи, подпадающей под UK GDPR) Компании в страну, не признанную властями Соединенного Королевства обеспечивающей адекватный уровень защиты, также применяются СДУ ЕС (Модуль 2 или 3, в зависимости от случая, как указано в разделе 6.2) в соответствии с разделом 6.2 с изменениями и в толковании Дополнения Великобритании, выпущенного на основании ст. 119A Закона Соединенного Королевства о защите данных 2018 г. («Дополнение Великобритании»). В частности, стороны признают, что: (a) Таблица 1 Дополнения Великобритании считается заполненной сведениями о сторонах и их ключевых контактах, указанными в Приложении B; (b) Таблица 2 считается заполненной посредством ссылки на СДУ ЕС, как указано в разделе 6.2 («Утвержденные СДУ ЕС»); (c) Таблица 3 считается заполненной информацией из Приложений B и C к настоящему DPA (содержащих сведения, требуемые Приложениями 1A, 1B и II к СДУ ЕС); и (d) в Таблице 4 стороны выбирают вариант «Ни одна из сторон» (то есть Дополнение прекращает действие одновременно с Утвержденными СДУ ЕС). Заполненное таким образом Дополнение Великобритании считается подписанным сторонами с даты вступления в силу настоящего DPA и включенным в него. Заключая настоящее DPA, стороны считаются ознакомившимися с Дополнением Великобритании в редакции ICO и принявшими его; оно приводится для справки в Приложении D.

6.4. Передача из Швейцарии
В отношении передачи Персональных данных из Швейцарии (подпадающей под действие швейцарского FADP) стороны соглашаются, что СДУ ЕС (Модуль 2 или 3, в зависимости от случая), включенные разделом 6.2 выше, применяются также со следующими изменениями: (a) ссылки на «GDPR» понимаются как ссылки на швейцарский FADP в части прав субъектов данных и замещаемых положений; (b) ссылки на «ЕС», «государство-член» и «надзорный орган» толкуются как включающие Швейцарию и Федерального уполномоченного Швейцарии по защите данных и информации (в той мере, в какой передача регулируется FADP); и (c) применимым правом и местом разрешения споров в отношении передач из Швейцарии являются право и суды Швейцарии.

6.5. Информация о передаче
Компания предоставляет по запросу информацию о своей практике передачи данных.

6.6. Раскрытие СДУ
Если надзорный орган по защите данных Клиента запросит копию СДУ или настоящего DPA, стороны соглашаются, что Компания вправе предоставить их такому органу в необходимом объеме.

6.7. Иерархия
В случае противоречия между каким-либо положением настоящего DPA и СДУ (в применимых случаях по настоящему разделу 6) в отношении передачи Персональных данных преимущественную силу имеют СДУ.

7. ПРАВА СУБЪЕКТОВ ДАННЫХ

7.1. Запросы субъектов данных
С учетом характера Услуг и обработки Компания посредством надлежащих технических и организационных мер и по мере возможности содействует Клиенту в выполнении обязанностей Клиента по реагированию на запросы физических лиц об осуществлении их прав по Законодательству о защите персональных данных (таких как права на доступ, уточнение (исправление), удаление, ограничение обработки, возражение или переносимость данных, а также права, предусмотренные Федеральным законом № 152-ФЗ, — в применимых случаях). Если Компания непосредственно получает от физического лица запрос («Запрос субъекта данных») в отношении Персональных данных, являющихся Персональными данными Клиента, Компания (i) незамедлительно уведомляет Клиента о запросе и (ii) воздерживается от самостоятельного ответа на запрос (если только этого не требует применимое законодательство; в таком случае Компания до ответа сообщает Клиенту о таком требовании, если это не запрещено законом).

7.2. Содействие и сроки
В той мере, в какой Клиент не может самостоятельно обработать Запрос субъекта данных с помощью Сервиса, Компания по запросу Клиента оказывает разумное дополнительное содействие в подготовке ответа Клиента на такой запрос. Компания оказывает такое содействие своевременно с учетом сроков ответа, установленных Законодательством о защите персональных данных. Клиент несет разумные расходы, связанные с таким содействием, в той мере, в какой это допускается законом (например, если требуемые усилия значительны и выходят за рамки обычной функциональности Сервиса).

8. СОТРУДНИЧЕСТВО, АУДИТ И СОБЛЮДЕНИЕ ТРЕБОВАНИЙ

8.1. Оценка воздействия на защиту данных
По запросу Клиента Компания оказывает Клиенту разумное содействие (за счет Клиента) в проведении необходимых оценок воздействия на защиту данных (DPIA) и предварительных консультаций с надзорными органами, которые Клиент обязан проводить в соответствии со ст. 35 и 36 GDPR, — в каждом случае исключительно в отношении обработки Персональных данных Клиента Компанией и с учетом характера обработки и доступной Компании информации. Компания предоставляет соответствующие сведения о своей практике защиты конфиденциальности и безопасности, а также иную разумно необходимую информацию в той мере, в какой Клиент не имеет к ней доступа иным образом (например, через документацию или настоящее DPA).

8.2. Взаимодействие с органами власти
Компания сотрудничает с компетентным надзорным органом по защите данных (включая в применимых случаях Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)) в части разумных запросов, касающихся обработки Персональных данных Клиента по Соглашению. Если надзорный или правоохранительный орган требует от Компании предоставить Персональные данные Клиента (например, на основании повестки или судебного решения), Компания, если это не запрещено законом, сообщает Клиенту о таком требовании и содействует в его рассмотрении (например, предоставляя данные Клиенту для их представления или оспаривая чрезмерно широкие требования в установленном законом порядке).

8.3. Учет операций обработки
Компания ведет учет своих операций обработки в соответствии с применимым Законодательством о защите персональных данных и предоставляет такие записи компетентным органам по их запросу.

8.4. Проверки соблюдения требований
По письменному запросу Клиента, направленному не менее чем за 30 дней (не чаще одного раза в год и при условии соблюдения обязательств о конфиденциальности), Компания предоставляет письменные ответы и документы с описанием применяемых ею технических и организационных мер безопасности для подтверждения соблюдения настоящего DPA.

8.5. Инструкции Клиента и требования законодательства
Компания незамедлительно уведомляет Клиента, если ей станет известно, что инструкции Клиента в отношении обработки Персональных данных противоречат какому-либо требованию законодательства, применимому к Компании (если такое уведомление не запрещено соответствующим законом). В таком случае Компания вправе (без ответственности) прекратить выполнение противоречащей инструкции до устранения противоречия либо после консультации с Клиентом внести в обработку по такой инструкции разумные изменения, необходимые для соблюдения применимого законодательства.

8.6. Реагирование на утечки и инциденты
(Обязательства по уведомлению об утечках см. в разделе 5.3 выше.) Компания документирует факты, относящиеся к любой Утечке персональных данных, ее последствия и принятые меры по их устранению и предоставляет такую документацию Клиенту по запросу.

8.7. Ограничение
Стороны соглашаются, что обязательства Компании по содействию в соответствии с разделами 7 и 8 (и иными положениями настоящего DPA) исполняются в той мере, в какой Клиент не имеет доступа к соответствующей информации или возможностям через Сервис или иным образом, и в той мере, в какой такое содействие необходимо Клиенту для соблюдения Законодательства о защите персональных данных. Дополнительные услуги или содействие сверх стандартной функциональности Сервиса могут оплачиваться отдельно.

9. КОМПАНИЯ КАК САМОСТОЯТЕЛЬНЫЙ ОПЕРАТОР (ДАННЫЕ УЧЕТНОЙ ЗАПИСИ И ИСПОЛЬЗОВАНИЯ)

9.1. Роль самостоятельного оператора
Независимо от любых противоречащих положений настоящего DPA стороны признают, что в отношении Данных учетной записи Компании и Данных об использовании Компании (как они определены в разделе 1 выше) Компания выступает самостоятельным Оператором (контролером) таких данных, определяющим цели и средства их обработки независимо от роли Клиента. Иными словами, обрабатывая Данные учетной записи Компании и Данные об использовании Компании, Компания не выступает Обработчиком, поскольку эти категории данных используются Компанией для законной деятельности, связанной с предоставлением Сервиса и ведением деятельности Компании.

9.2. Цели обработки Компанией

Компания может обрабатывать Данные учетной записи Компании в таких целях, как:

  • создание учетной записи, выставление счетов и управление подпиской, а также поддержание учетной записи Клиента в Сервисе;

(ii) коммуникация с Клиентом по вопросам Сервиса (сервисные объявления, поддержка, уведомления об оплате и т. п.);
(iii) обеспечение исполнения Соглашения, расследование и предотвращение мошенничества, злоупотреблений или инцидентов безопасности;
(iv) соблюдение юридических обязательств, таких как ведение учета, аудит, налоговые обязательства и исполнение запросов правоохранительных органов; и

  • иные законные деловые цели, связанные с управлением Сервисом и его улучшением, как описано в Политике конфиденциальности Компании.

Компания может обрабатывать Данные об использовании Компании для анализа и улучшения функциональности и производительности Сервиса, разработки новых функций и обеспечения безопасности и целостности Сервиса. Выступая Оператором, Компания обеспечивает наличие законного основания для такой обработки и соблюдает применимое Законодательство о защите персональных данных в части уведомления субъектов данных и, где это требуется, получения необходимых согласий.

9.3. Политика конфиденциальности
Любые Персональные данные, которые Компания обрабатывает в качестве Оператора, обрабатываются в соответствии с Политикой конфиденциальности ReplyBuddy (доступна по адресу https://replybuddy.io/privacy-policy), а не в соответствии с настоящим DPA. Компания поддерживает общедоступное уведомление о конфиденциальности, отвечающее требованиям Законодательства о защите персональных данных в отношении ее деятельности как оператора, и соблюдает права субъектов данных в отношении такой обработки.

9.4. Отсутствие влияния на обязательства Обработчика
Во избежание сомнений настоящий раздел 9 не затрагивает обязательств Компании перед Клиентом по иным положениям настоящего DPA в отношении Персональных данных Клиента, обрабатываемых Компанией в качестве Обработчика от имени Клиента. Статус Компании как самостоятельного Оператора в отношении ограниченного круга данных (Данных учетной записи и Данных об использовании) не зависит от ее обязанностей Обработчика в отношении Персональных данных Клиента и не уменьшает их.

10. ОБРАБОТКА С ИСПОЛЬЗОВАНИЕМ ИСКУССТВЕННОГО ИНТЕЛЛЕКТА И МАШИННОГО ОБУЧЕНИЯ

10.1. Использование моделей ИИ
Клиент признает, что Сервис использует технологии искусственного интеллекта и машинного обучения посредством коммерческих API сторонних провайдеров моделей ИИ (таких как DeepSeek, OpenRouter, OpenAI, xAI, MiniMax, Groq и других). Эти технологии используются для формирования ответов ИИ-агентов, резюме диалогов, распознавания речи в голосовых сообщениях и связанных функций Сервиса.

10.2. Обработка данных с помощью ИИ

При обработке Персональных данных Клиента системами ИИ:

  • данные передаются провайдерам ИИ через API только в объеме, необходимом для оказания запрошенных Услуг;
  • провайдеры ИИ обрабатывают данные на условиях своих API;
  • Персональные данные Клиента не используются Компанией для обучения моделей ИИ общего назначения без явного согласия Клиента.

10.3. Отказ от гарантий точности ИИ
Клиент признает, что ответы и контент, сгенерированные ИИ, могут содержать ошибки или неточности в силу присущих технологии ИИ ограничений. Компания стремится обеспечивать точность результатов ИИ, но не может гарантировать их полноту, точность или пригодность для какой-либо конкретной цели. Клиент несет ответственность за проверку контента, сгенерированного ИИ, до его использования или публикации.

10.4. Субподрядчики в сфере ИИ
Сторонние провайдеры ИИ указаны в Списке субподрядчиков (Приложение B). Компания вправе обновлять состав провайдеров ИИ по мере развития технологий в соответствии с разделом 4.3.

11. ОБЩИЕ ПОЛОЖЕНИЯ

11.1. Противоречия
В случае любого противоречия или несоответствия между настоящим DPA и любыми иными соглашениями сторон (включая Соглашение и Политику конфиденциальности) преимущественную силу имеют положения следующих документов (в порядке убывания приоритета): (1) Стандартные договорные условия (если применимо); (2) настоящее DPA; (3) Соглашение; и (4) Политика конфиденциальности. Независимо от изложенного положения Соглашения об ответственности (включая любые исключения или ограничения ответственности) применяются к настоящему DPA с той же силой, как если бы они были изложены в нем (то есть любая ответственность, возникающая из настоящего DPA или СДУ, подлежит тем же ограничениям и исключениям, что и ответственность по Соглашению). Настоящее DPA составлено на русском и английском языках. При расхождении версий преимущественную силу имеет версия на языке, на котором Клиент принял документ.

11.2. Применимое право
Если иное не требуется Стандартными договорными условиями или иным Законодательством о защите персональных данных, настоящее DPA регулируется законодательством Республики Армения. Споры подлежат рассмотрению в судах г. Еревана, Республика Армения.

11.3. Срок действия
Настоящее DPA действует до тех пор, пока Компания обрабатывает Персональные данные Клиента, независимо от прекращения или истечения срока действия Соглашения, и прекращается автоматически, когда Компания перестает обрабатывать Персональные данные Клиента. Разделы 3, 5, 8, 9, 10, 11 и любые иные положения, которые по своему характеру должны сохранять силу, продолжают действовать после прекращения настоящего DPA.

11.4. Изменения
Настоящее DPA может быть изменено письменным соглашением, подписанным обеими сторонами, или в порядке, предусмотренном Соглашением для его изменения; Список субподрядчиков обновляется в соответствии с разделом 4. Если какое-либо положение настоящего DPA будет признано недействительным или не имеющим силы в соответствии с Законодательством о защите персональных данных, стороны добросовестно согласуют действительное, законное и исполнимое положение, максимально соответствующее первоначальному намерению.

11.5. Делимость
Если какое-либо положение настоящего DPA будет признано компетентным органом неисполнимым или недействительным, такое положение ограничивается или исключается в минимально необходимом объеме, а в остальной части настоящее DPA сохраняет полную силу и подлежит исполнению.

11.6. Полнота соглашения
За исключением дополнений, внесенных настоящим DPA, Соглашение сохраняет полную силу. Настоящее DPA и Соглашение (включая все приложения) составляют полное соглашение сторон в отношении его предмета и заменяют собой все предыдущие заявления, договоренности или соглашения, письменные или устные, по тому же предмету.

11.7. Подписание
При заключении или принятии Соглашения либо любого документа, включающего настоящее DPA, уполномоченный представитель каждой стороны считается подписавшим настоящее DPA с даты вступления в силу Соглашения, и дополнительное подписание не требуется.

ПРИЛОЖЕНИЕ A – ДЕТАЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ КЛИЕНТА

A. Предмет обработки
Предметом обработки является предоставление Клиенту Платформы ReplyBuddy и связанных услуг, как описано в Соглашении. Это включает работу ИИ-агентов и автоматизацию коммуникаций с клиентами в платформах обмена сообщениями и социальных сетях (таких как Telegram, Instagram*, Avito, MAX, ВКонтакте и других поддерживаемых каналах), управление сделками в CRM и рассылки для деловых целей Клиента, а также связанную с этим обработку Персональных данных, необходимую для оказания таких услуг.

B. Срок обработки
Компания обрабатывает Персональные данные Клиента в течение срока действия Соглашения и до удаления всех Персональных данных Клиента, как описано в разделе 2.6 настоящего DPA. Некоторые данные могут храниться ограниченный период после прекращения Соглашения исключительно в той мере, в какой это необходимо для юридических целей, соблюдения требований или резервного копирования, после чего они удаляются или обезличиваются. По умолчанию персональные данные хранятся только до тех пор, пока это необходимо для достижения целей обработки и соблюдения юридических обязательств, и Клиент вправе в любой момент запросить удаление определенных данных.

C. Характер и цели обработки

Компания обрабатывает Персональные данные Клиента в качестве Обработчика данных автоматизированными и (в отдельных случаях) неавтоматизированными способами, включая сбор, анализ, использование, хранение и удаление. Операции обработки включают, помимо прочего:

Сбор и получение данных: получение сообщений, комментариев и обращений конечных пользователей Клиента через Telegram, Instagram*, Avito, MAX, ВКонтакте и другие интегрированные платформы от имени Клиента; импорт контактной информации и профилей в социальных сетях.
Хранение и систематизация данных: размещение расшифровок переписки, журналов чатов, черновиков контента и связанных данных в базах данных для доступа и просмотра Клиентом; ведение записей о взаимодействиях и опубликованном контенте.
Анализ и формирование ответов: использование обработки естественного языка и моделей ИИ (через коммерческие API провайдеров ИИ, перечисленных в Приложении B) для анализа входящих сообщений, распознавания голосовых сообщений и формирования автоматических ответов в соответствии со сценариями и инструкциями ИИ, заданными Клиентом; это может включать передачу текстового контента сервисам ИИ для его обработки и понимания.
Создание контента: использование моделей ИИ для создания, редактирования и оптимизации сообщений и контента рассылок на основе инструкций и предпочтений Клиента.
Коммуникация: отправка ответов, уведомлений или автоматических сообщений конечным пользователям по инструкции Клиента через платформы обмена сообщениями и социальные сети (а также по телефону, если Клиент использует функции телефонии), что требует использования контактной информации конечных пользователей посредством API платформ.
Поддержка и улучшение: мониторинг качества диалогов ИИ и контента и, при наличии разрешения, использование данных о взаимодействиях для повышения точности ответов и качества Сервиса. Компания также может обрабатывать данные в объеме, необходимом для оказания поддержки Клиенту. Уполномоченные сотрудники Компании, а также автоматизированные средства диагностики Компании могут получать доступ к учетной записи Клиента, настройкам агентов и переписке, обработанной Сервисом, только в объеме, необходимом для технической диагностики и устранения неисправностей, ответа на обращения Клиента в поддержку, расследования инцидентов безопасности и нарушений Соглашения, а также исполнения требований закона.
Удаление и возврат: удаление или возврат Персональных данных по запросу Клиента или при прекращении Соглашения, как описано в DPA.
Вся обработка осуществляется от имени Клиента в целях предоставления Услуг и удовлетворения законных деловых потребностей Клиента в управлении коммуникациями с его конечными пользователями и создании и публикации контента в соответствии с инструкциями, которые Клиент дает при использовании Платформы.

D. Типы Персональных данных

Обрабатываемые Персональные данные Клиента могут включать следующие категории данных, определяемые и предоставляемые Клиентом или конечными пользователями через Сервис:

Идентификационные и контактные данные: имена конечных пользователей, юзернеймы, никнеймы в социальных сетях и, при их предоставлении, адреса электронной почты или иные контактные данные.
Содержание коммуникаций: содержание сообщений, отправленных конечными пользователями через социальные платформы, расшифровки чатов, комментарии и медиафайлы, если ими делятся в переписке.
Голосовые данные и данные звонков: голосовые сообщения, а если Клиент использует функции телефонии, — номера телефонов, аудио звонков и записи разговоров.
Данные профилей в социальных сетях: общедоступная информация профилей из подключенных аккаунтов социальных сетей.
Данные контента: черновики, опубликованные посты, изображения, видео и иной контент, созданный или управляемый через Сервис.
Деловая информация, предоставленная Клиентом: сведения о бизнесе, продуктах и услугах Клиента, которые Клиент вносит в Платформу для ответов и создания контента с помощью ИИ.
Технические данные: метаданные, такие как временные метки сообщений, идентификаторы платформ и общие журналы использования.
Компания намеренно не собирает и не требует каких-либо специальных категорий персональных данных (например, чувствительных данных о здоровье, биометрических данных, номеров финансовых счетов и т. п.) для оказания Услуг, и Клиенту предписывается не использовать Сервис для запроса или сбора таких данных.

E. Категории субъектов данных

К Субъектам данных относятся физические лица, Персональные данные которых обрабатываются в рамках настоящего DPA. Как правило, это:

Конечные пользователи, подписчики, потенциальные клиенты или клиенты Клиента: физические лица, взаимодействующие с Клиентом через социальные платформы, коммуникации которых обрабатываются в Платформе ReplyBuddy.
Сотрудники или представители Клиента (в ограниченном объеме): физические лица, уполномоченные Клиентом использовать Платформу ReplyBuddy или упоминаемые в контенте или переписке.
Третьи лица: в той мере, в какой персональная информация третьих лиц сообщается конечными пользователями в переписке или содержится в контенте.

F. Специальные категории данных
Компания намеренно не обрабатывает в рамках Услуг специальные категории Персональных данных (в значении ст. 9 GDPR и ст. 10 Федерального закона № 152-ФЗ), биометрические персональные данные или данные о судимости (ст. 10 GDPR). Сервис не предназначен для сбора или обработки чувствительных персональных данных, и Клиент соглашается не запрашивать такие данные через платформу.

G. Периодичность обработки
Постоянно или на текущей основе: Персональные данные Клиента обрабатываются непрерывно, в режиме реального времени в течение срока действия Соглашения — всякий раз, когда конечные пользователи взаимодействуют с Сервисом или Клиент использует Платформу, а также при выполнении регулярных операций, таких как хранение и резервное копирование данных, — до их удаления в соответствии с DPA.

H. Место обработки
Персональные данные Клиента хранятся преимущественно на сервере приложения и в базе данных Компании, размещенных у Hostinger в Литве (Европейский союз). Загруженные и полученные файлы и медиа, а также резервные копии базы данных хранятся в объектном хранилище Cloudflare R2. При оказании Услуг данные также обрабатываются Авторизованными субподрядчиками, перечисленными в Приложении B, включая субподрядчиков, учрежденных в США (например, Supabase, Cloudflare, OpenAI, OpenRouter, xAI, Anthropic, Groq, Grafana Labs, Anysphere (Cursor) и Resend), DeepSeek, обрабатывающую данные в Китае, и Resend, регион отправки писем которой — Япония. Платформы обмена сообщениями, подключенные Клиентом, обрабатывают данные в своих юрисдикциях, а платежи в российских рублях обрабатывает CloudPayments в Российской Федерации. Компания учреждена в Армении, и ее сотрудники могут получать доступ к данным из Армении. Любая такая обработка осуществляется с соблюдением гарантий при передаче, описанных в разделе 6 DPA.

ПРИЛОЖЕНИЕ B – СТАНДАРТНЫЕ ДОГОВОРНЫЕ УСЛОВИЯ ЕС/ВЕЛИКОБРИТАНИИ: СТОРОНЫ И ОПИСАНИЕ ПЕРЕДАЧИ

Настоящее Приложение является частью DPA и содержит отдельные положения, требуемые Приложением I к СДУ ЕС, а также Таблицей 1 и Приложениями 1A/1B к Дополнению Великобритании.

1. Список сторон

Экспортер данных (Клиент):

Наименование: лицо, являющееся Клиентом и стороной Соглашения (как определено в нем).
Адрес: адрес Клиента, указанный в Соглашении или в данных учетной записи Клиента.
Контактное лицо и контактные данные: контактные данные представителя Клиента по вопросам защиты данных, указанные в учетной записи Клиента или иным образом сообщенные в письменной форме для направления уведомлений.
Роль: Оператор (контролер) данных (или, если применимо, Обработчик, действующий по поручению оператора).
Подпись и дата: заключая Соглашение и настоящее DPA, Клиент считается подписавшим настоящие СДУ с даты вступления Соглашения в силу.

Импортер данных (Компания):

Наименование: PRIME RADIANT LLC (оператор сервиса ReplyBuddy, рег. № 286.110.1498160, ИНН 02938343).
Адрес: г. Ереван, ул. Мовсеса Хоренаци, зд. 26а, оф. 210, 0010, Республика Армения.
Контактное лицо и контактные данные: контакт ReplyBuddy по вопросам защиты данных, email: support@replybuddy.io.
Деятельность, относящаяся к передаваемым данным: оказание Услуг ReplyBuddy, как описано в Соглашении и Приложении A (ИИ-агенты и автоматизированные коммуникации с клиентами, CRM, рассылки и связанная обработка данных от имени Клиента).
Роль: Обработчик данных (или, если применимо, субобработчик — см. раздел 2 DPA о ролях).
Подпись и дата: заключая Соглашение и настоящее DPA, PRIME RADIANT LLC считается подписавшей настоящие СДУ с даты вступления Соглашения в силу.

2. Описание передачи (категории данных и субъектов)

Категории субъектов данных: как указано в разделе E Приложения A, к субъектам данных относятся конечные пользователи Клиента (подписчики, потенциальные клиенты, лиды или клиенты), взаимодействующие через Сервис, и любые иные лица, Персональные данные которых передаются через Сервис.
Категории персональных данных: как указано в разделе D Приложения A, передаваемые персональные данные могут включать контактную информацию (имена, юзернеймы, никнеймы в социальных сетях и т. п.), содержание сообщений и расшифровки переписки, черновики контента и опубликованные материалы, а также иные данные коммуникаций. Специальные категории данных намеренно не обрабатываются.
Чувствительные данные: не применимо. Стороны не намерены передавать специальные категории данных.
Периодичность передачи: Персональные данные передаются на постоянной основе в течение срока действия Соглашения — всякий раз, когда конечные пользователи взаимодействуют с Сервисом, или иным образом по мере необходимости для оказания Услуг.
Характер обработки: см. раздел C Приложения A. Обработка включает автоматизированный сбор, анализ (с использованием алгоритмов ИИ для понимания естественного языка и создания контента), передачу и хранение коммуникаций и контента от имени Клиента.
Цель обработки: обеспечить Клиенту возможность автоматизировать и вести коммуникации с клиентами в платформах обмена сообщениями и социальных сетях и рассылки, взаимодействовать с клиентами, работать с лидами и достигать иных указанных Клиентом целей.
Срок обработки: в течение срока действия Соглашения и до удаления Персональных данных Компанией в соответствии с DPA.
Срок хранения (или критерии его определения): Персональные данные хранятся Компанией только до тех пор, пока это необходимо для достижения целей обработки и соблюдения юридических обязательств.
Передача субподрядчикам: Персональные данные могут далее передаваться Авторизованным субподрядчикам в объеме, необходимом для указанных выше целей, в соответствии с приведенным списком субподрядчиков.

3. Компетентный надзорный орган

Для целей пункта 13 СДУ ЕС компетентный надзорный орган определяется следующим образом:

  • если Клиент учрежден в государстве — члене ЕС, компетентным является надзорный орган, к юрисдикции которого относится место учреждения Клиента;
  • если Клиент не учрежден в ЕС, но назначил представителя в ЕС, компетентным является надзорный орган государства-члена, в котором учрежден представитель;
  • если пункт 13 СДУ ЕС применяется в любом ином случае, компетентным считается надзорный орган Ирландии.

Для передачи данных из Соединенного Королевства соответствующим органом является Офис Комиссара по информации (ICO). Для передачи данных из Швейцарии соответствующим органом является Федеральный уполномоченный Швейцарии по защите данных и информации (FDPIC).

4. Субподрядчики (Приложение III)

На дату вступления в силу настоящего DPA к Авторизованным субподрядчикам относятся:

Провайдеры ИИ и языковых моделей:

  • DeepSeek — основная языковая модель для ответов ИИ-агентов и обработки диалогов
  • OpenRouter, включая провайдеров моделей, к которым он направляет запросы (например, Google, OpenAI, Nebius, SiliconFlow и Perplexity), — языковые и мультимодальные модели, модели эмбеддингов
  • OpenAI — языковые модели (в том числе в качестве резервных)
  • xAI — языковая модель с веб-поиском, используемая в ассистенте первичной настройки, а также языковая модель ассистента дежурной диагностики Компании (через Cursor)
  • Anthropic — языковая модель ассистента дежурной диагностики Компании (через Cursor)
  • MiniMax — обработка изображений и аудио, генерация изображений и синтез речи
  • Groq — распознавание речи в голосовых сообщениях

Провайдеры хостинга, хранения и инфраструктуры:

  • Hostinger International Limited — виртуальный сервер, на котором размещены приложение, база данных и очередь сообщений (Литва, ЕС)
  • Supabase, Inc. — аутентификация пользователей (учетные записи, вход, сессии)
  • Google LLC — вход с помощью аккаунта Google (если пользователь выбирает этот способ), а также языковая модель ассистента дежурной диагностики Компании (через Cursor)
  • Cloudflare, Inc. — хранение загруженных и полученных файлов и медиа и резервных копий базы данных (R2), DNS
  • Grafana Labs — мониторинг: журналы приложения, метрики и трассировки (могут содержать текст сообщений и идентификаторы)
  • Anysphere, Inc. (Cursor, США) — ИИ-ассистент для дежурного мониторинга и диагностики Компании; обрабатывает журналы и, когда это необходимо для диагностики, данные из базы данных
  • Telegram (Telegram FZ-LLC) — канал внутренних уведомлений Компании об инцидентах
  • Resend, Inc. (США) — отправка транзакционных писем; регион отправки: Япония (ap-northeast-1, Токио)
  • Провайдеры прокси-серверов — сетевая маршрутизация подключений, когда Клиент подключает личные аккаунты Telegram или MAX

Телефония (если используется Клиентом):

  • Voximplant — телефония: номера телефонов, аудио звонков и записи разговоров

API платформ обмена сообщениями (подключаемые Клиентом):

  • Telegram (Telegram FZ-LLC)
  • Instagram* (Meta Platforms, Inc.*)
  • Avito, MAX, ВКонтакте, Zalo и другие платформы, интегрированные Клиентом с Сервисом

Обработка платежей:

  • Lemon Squeezy, LLC — Merchant of Record и международная обработка платежей
  • CloudPayments — используется Индивидуальным предпринимателем Толстовым Николаем Васильевичем как продавцом платного доступа в российских рублях

Сторонние сервисы, которые Клиент подключает самостоятельно (например, календари, CRM-системы или собственные API-эндпоинты), обрабатывают данные по инструкциям Клиента и не являются субподрядчиками Компании.

Стороны соглашаются, что Компания ведет и обновляет настоящий список в соответствии с DPA. Клиент соглашается с перечисленными в нем субподрядчиками на дату вступления DPA в силу, а любые обновления осуществляются в соответствии с разделом 4 DPA.

  • Деятельность Meta Platforms, Inc. по реализации социальных сетей Facebook и Instagram признана экстремистской и запрещена на территории Российской Федерации.

ПРИЛОЖЕНИЕ C – ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ БЕЗОПАСНОСТИ

Ниже описаны технические и организационные меры безопасности, применяемые Компанией (PRIME RADIANT LLC / ReplyBuddy) как импортером данных в соответствии с Приложением II к СДУ ЕС и применимым Законодательством о защите персональных данных.

Шифрование при передаче: сетевые коммуникации с Сервисом шифруются при передаче с использованием TLS.

Контроль доступа: доступ к производственным системам, в которых хранятся или обрабатываются Персональные данные, предоставляется только уполномоченному персоналу.

Резервное копирование: база данных ежедневно резервируется в объектное хранилище Cloudflare R2, где резервные копии шифруются при хранении на стороне провайдера хранилища. Резервные копии хранятся 30 дней.

Журналирование и мониторинг: журналы, метрики и трассировки приложения собираются и отслеживаются с помощью Grafana.

Обновления программного обеспечения: Компания устанавливает обновления программного обеспечения систем, используемых для оказания Услуг.

Меры по Федеральному закону № 152-ФЗ: если применяется Федеральный закон РФ № 152-ФЗ, Компания принимает меры, предусмотренные ст. 19 этого закона.

Документирование утечек: Компания документирует Утечки персональных данных, их последствия и принятые меры по их устранению.

ПРИЛОЖЕНИЕ D – ДОПОЛНЕНИЕ ПО UK GDPR (ДОПОЛНЕНИЕ ВЕЛИКОБРИТАНИИ О МЕЖДУНАРОДНОЙ ПЕРЕДАЧЕ ДАННЫХ)

Настоящее Приложение D применяется только в той мере, в какой передача Персональных данных по Соглашению регулируется UK GDPR. В нем приводятся сведения, требуемые Дополнением Великобритании к СДУ ЕС, выпущенным Офисом Комиссара по информации Соединенного Королевства (ICO).

Таблица 1. Стороны — наименования и контактные данные «Экспортера» (Клиента) и «Импортера» (Компании) указаны в разделе 1 Приложения B выше.

Таблица 2. Выбранные СДУ, модули и пункты — Дополнение Великобритании применяется совместно с СДУ ЕС, указанными в разделе 6.2 DPA. Применяется Модуль 2 или Модуль 3 (в зависимости от случая).

Таблица 3. Информация приложений — см. Приложения B и C к настоящему DPA.

Таблица 4. Прекращение Дополнения Великобритании — ни одна из сторон не вправе в одностороннем порядке прекратить действие Дополнения Великобритании на основании раздела 19 Дополнения Великобритании.

Дополнение Великобритании настоящим включается в настоящее DPA и Соглашение.

РЕКВИЗИТЫ КОМПАНИИ

PRIME RADIANT LLC (ООО «Прайм Радиант»)
Общество с ограниченной ответственностью, зарегистрированное в Республике Армения
Рег. №: 286.110.1498160 · ИНН (ՀՎՀՀ): 02938343
Юридический адрес: г. Ереван, ул. Мовсеса Хоренаци, зд. 26а, оф. 210, 0010, Республика Армения
Email: support@replybuddy.io
Веб-сайт: https://replybuddy.io