Соглашение о поручении обработки персональных данных (Сервис userly.ru)

Приложение принимается Клиентом в составе Пользовательского соглашения до включения сбора данных Посетителей и относится к сайтам, добавленным в его Учётную запись.

1. Термины и соотношение с другими документами

1.1. Термины «Сервис», «Клиент», «Посетитель», «Соглашение», «Политика» используются в значениях, установленных Пользовательским соглашением ООО «Командор» (далее — Соглашение) и Политикой конфиденциальности ООО «Командор» (далее — Политика).

В ссылках ниже «Б» обозначает приложение о userly.ru. В сервисных редакциях Соглашения и Политики на сайте это же приложение обозначено «П»; номера пунктов совпадают.

1.2. Настоящий документ оформляет поручение, предусмотренное пунктами 12.11 и 12.12 Соглашения и приложением по Сервису userly.ru к Политике, и является приложением к Пользовательскому соглашению. Отдельная бумажная подпись Клиента не требуется при зафиксированном электронном акцепте по пункту 15.2.

1.3. Настоящее Соглашение не изменяет и не сужает Политику. При расхождении в части обработки персональных данных применяется Политика.

1.4. Настоящее Соглашение не регулирует обработку персональных данных представителей и работников Клиента: в отношении этих данных Оператором является Компания (пункты 6.1.2, 7.2.16 Политики, раздел Б.2 приложения).

2. Роли сторон

2.1. Клиент является Оператором данных Посетителей, определяет состав событий и режим работы Сервиса и обеспечивает правовое основание обработки.

2.2. Компания обрабатывает данные по поручению Клиента, самостоятельных целей не определяет и в своих целях их не использует.

2.3. За законность обработки перед Посетителем отвечает Клиент. Компания не получает согласия Посетителей на обработку по поручению.

2.4. Клиент самостоятельно информирует Посетителей об обработке.

3. Перечень персональных данных, обрабатываемых по поручению

3.1. Перечень является закрытым (пункт Б.3.6 Политики); персональные данные, в него не включённые, Компания по поручению Клиента не обрабатывает:

3.2. Категории субъектов персональных данных: Посетители сайтов Клиента, домены которых добавлены Клиентом в его Учётную запись.

3.3. Специальные категории персональных данных (статья 10 Закона о персональных данных) и биометрические персональные данные (статья 11 того же Закона) поручением не охватываются. Клиент обеспечивает, чтобы такие данные не попадали в Сервис, в том числе не отображались в тексте страниц, включённых в запись сессии (раздел 9).

3.4. Клиент не передаёт Компании в составе данных о выручке, атрибуции, идентификаторов и свойств событий и сессий (позиции 8 и 10 пункта 3.1) сведения, не необходимые для аналитики, в том числе платёжные реквизиты и содержание заказов, позволяющее установить сведения о частной жизни Посетителя.

4. Перечень действий (операций) и способ обработки

4.1. Перечень является закрытым (пункт Б.3.7 Политики); иные действия Компания не совершает: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; обезличивание; блокирование; удаление; уничтожение; передача (предоставление, доступ) — только Клиенту как Оператору и категориям получателей, указанным в разделе 8.

4.2. Способ обработки — автоматизированный, с использованием средств вычислительной техники; сбор осуществляется через сеть «Интернет».

4.3. Действия по распространению персональных данных не совершаются: данные Посетителей неограниченному кругу лиц не раскрываются ни при каких условиях (раздел 9 Политики).

4.4. Персональные данные Посетителей не передаются рекламным сетям и брокерам данных ни при каких условиях (пункты 11.2, Б.5.5 Политики).

5. Цели обработки

5.1. Перечень целей является закрытым (пункт Б.3.11 Политики); в иных целях Компания эти данные не обрабатывает, в собственных целях не использует и с данными, полученными от других операторов, не объединяет:

1. предоставление Клиенту аналитических сведений о посещении его сайта, включая сведения о просмотрах, сессиях, источниках переходов, воронках, когортах и путях Посетителей;
2. предоставление Клиенту сведений о качестве работы его сайта, включая метрики Core Web Vitals;
3. предоставление Клиенту записей сессий и тепловых карт в объёме, определённом разделом Б.4 Политики;
4. обеспечение работоспособности и безопасности Сервиса в объёме, необходимом для исполнения поручения Клиента.

5.2. Обработка в целях улучшения продуктов Компании, обучения моделей машинного обучения и формирования профилей, не связанных с аналитикой сайта Клиента, поручением не охватывается и не осуществляется.

5.3. Решения, порождающие юридические последствия для Посетителя, исключительно на основании автоматизированной обработки Компания не принимает (пункты 7.4, Б.3.10 Политики). Правовые последствия использования результатов аналитики определяет Клиент.

6. Срок обработки

6.1. Обработка осуществляется в течение срока действия Соглашения с Клиентом.

6.2. Срок хранения событий аналитики: по выбранному тарифу: Free — 90 дней, Pro — 365 дней; Enterprise — в течение срока поручения и пока данные необходимы для его целей, без отдельного календарного лимита; после прекращения поручения — уничтожение по пункту 13.9 Политики. Срок хранения записей сессий и тепловых карт — 30 календарных дней; Клиент может потребовать более раннего удаления по разделу 11.

6.3. По истечении срока обработки либо при прекращении Соглашения персональные данные, обрабатываемые по поручению, уничтожаются в порядке раздела 13 Политики, а по указанию Клиента передаются ему либо указанному им лицу (пункт 12.11.4 Соглашения, пункты 13.9, Б.3.8 Политики). Порядок исполнения — раздел 11 настоящего Соглашения.

7. Конфиденциальность и требования к защите

7.1. Компания обеспечивает конфиденциальность персональных данных Посетителей и их безопасность и выполняет требования, предусмотренные статьёй 19 Закона о персональных данных, в объёме мер, указанных в разделе 16 Политики (пункт Б.3.12 Политики).

7.2. Компания обеспечивает защиту обрабатываемых данных в соответствии со статьёй 19 Закона о персональных данных. Сведения о мерах защиты предоставляются Клиенту по запросу в порядке раздела 13.

7.3. Условия размещения данных, защищённого доступа и резервного копирования определены разделами 13–16 Политики.

7.4. Доступ к персональным данным Посетителей внутри Компании предоставляется только лицам, которым он необходим для исполнения поручения. Перечень таких лиц предоставляется Клиенту по его запросу.

7.5. Место обработки — базы данных, находящиеся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных). Адрес места нахождения баз данных: Калужская область, г. Калуга, 1-й Автомобильный проезд, д. 8.

7.6. Трансграничная передача персональных данных Посетителей по настоящему поручению не осуществляется. При выявлении такой передачи она приостанавливается до исполнения требований статьи 12 Закона о персональных данных, включая уведомление уполномоченного органа до начала передачи, и до письменного согласования с Клиентом.

8. Привлечение иных лиц и получатели

8.1. Привлечение иных лиц к обработке персональных данных Посетителей по поручению допускается только с согласия Клиента (пункт 12.11.6 Соглашения).

8.2. Получателями персональных данных Посетителей могут быть только: Клиент как Оператор; поставщики инфраструктуры; поставщики услуг доставки сообщений; уполномоченные органы в случаях, установленных законом; лица, привлекаемые к технической поддержке (пункты 11.3.1, 11.3.2, 11.3.5, 11.3.6, Б.3.13 Политики). Иным лицам данные Посетителей не передаются.

8.3. Конкретные лица, привлекаемые к обработке по поручению Компании: ООО «Яндекс.Облако» (ИНН 7704458262, ОГРН 1187746678580) — размещение баз данных и объектных хранилищ, отправка сообщений электронной почты и вычислительные ресурсы. Иных лиц Компания к обработке по своему поручению не привлекает. Об изменении их состава Компания уведомляет Клиента заблаговременно; Клиент вправе возразить против привлечения конкретного лица. Возражение Клиента, делающее исполнение поручения невозможным, является основанием прекращения Соглашения по инициативе любой из сторон без применения мер ответственности.

8.4. С каждым лицом, привлекаемым к обработке, Компания оформляет поручение с обязанностями, не меньшими установленных настоящим Соглашением, и остаётся ответственной перед Клиентом за действия такого лица.

9. Записи сессий и тепловые карты: процесс с повышенным риском

9.1. Состав данных записей сессий и тепловых карт определён разделом Б.4 Политики.

9.2. Значения полей ввода маскируются в браузере и Компании не передаются; маскирование нельзя отключить. Клиент может исключать элементы страницы из записи по селектору.

9.3. Текст страницы может содержать сведения о Посетителе, поэтому записи сессий обрабатываются как персональные данные.

9.4. Обязанности Клиента в отношении записей сессий:

1. исключить из записи элементы страниц, в которых отображаются персональные данные Посетителей, специальные категории персональных данных и платёжные реквизиты, — средствами, предусмотренными пунктом Б.4.5 Политики;
2. не включать запись сессий на страницах, где отображаются сведения о состоянии здоровья, о судимости и иные сведения, относящиеся к специальным категориям персональных данных;
3. информировать Посетителей о ведении записей сессий в своих документах об обработке персональных данных;
4. обеспечить правовое основание обработки данных записей сессий;
5. ограничить доступ к записям сессий внутри своей организации кругом лиц, которым он необходим.

9.5. Клиент вправе в любое время отключить запись сессий и тепловые карты в настройках Сервиса. Отключение прекращает сбор соответствующих данных; ранее собранные данные уничтожаются по указанию Клиента в порядке раздела 11.

10. Инциденты

10.1. Об инциденте, затрагивающем персональные данные, обрабатываемые по поручению, Компания уведомляет Клиента не позднее 12 часов с момента его выявления — с тем чтобы Клиент мог исполнить обязанность уведомить уполномоченный орган в течение 24 часов (часть 3.1 статьи 21 Закона о персональных данных, пункт 17.6 Политики).

10.2. Уведомление содержит: описание инцидента и обстоятельств его выявления; предполагаемые причины; состав затронутых персональных данных и категории затронутых субъектов; предполагаемый вред правам субъектов; принятые меры по устранению последствий; сведения о лице, уполномоченном взаимодействовать с Клиентом по вопросам инцидента.

10.3. Компания проводит внутреннее расследование инцидента и передаёт Клиенту его результаты в срок, позволяющий Клиенту исполнить обязанность, предусмотренную частью 3.1 статьи 21 Закона о персональных данных, в течение 72 часов, и оказывает Клиенту содействие в исполнении связанных с инцидентом обязанностей (пункт 17.6 Политики).

10.4. Клиент уведомляет Компанию о ставших ему известными инцидентах, затрагивающих данные, собранные через Сервис, не позднее 24 часов с момента выявления.

11. Обращения Посетителей, возврат и уничтожение данных

11.1. Обращение Посетителя, поступившее в Компанию, самостоятельно ею не рассматривается: оно перенаправляется Клиенту в порядке пункта 4.6 Политики, а Посетителю сообщается, что Оператором является Клиент (пункт Б.3.9 Политики).

11.2. По запросу Клиента Компания в срок не более 10 рабочих дней совершает действия, необходимые для исполнения Клиентом обязанностей перед Посетителем: предоставляет сведения об обработке, уточняет, блокирует, удаляет или уничтожает персональные данные конкретного Посетителя, а также предоставляет выгрузку данных, относящихся к нему.

11.3. По прекращении поручения Компания прекращает сбор и по указанию Клиента возвращает данные Посетителей, после чего уничтожает свои экземпляры (пункт 13.9 Политики). Указание о возврате направляется до прекращения поручения либо без промедления после него; ожидание указания не продлевает срок уничтожения.

11.4. Срок уничтожения — не более 30 календарных дней после прекращения поручения либо достижения цели обработки, если закон не требует иного срока или сохранения конкретных данных (пункты 13.2 и 13.9 Политики). Уничтожение производится способом, исключающим дальнейшее восстановление и использование, включая резервные копии; при технической невозможности уничтожения в этот срок применяется порядок пункта 13.6 Политики.

11.5. Факт уничтожения подтверждается в порядке, установленном требованиями уполномоченного органа: составляется акт об уничтожении персональных данных, а при уничтожении данных, содержащихся в информационной системе, — также выгрузка из журнала регистрации событий (пункт 13.7 Политики). Копии этих документов предоставляются Клиенту по его запросу.

12. Заверения и обязанности Клиента

12.1. Клиент заверяет, что:

1. он является оператором персональных данных Посетителей и имеет правовое основание их обработки, включая обработку через Сервис;
2. он информирует Посетителей об обработке их персональных данных, о привлечении Компании к обработке по поручению и о составе собираемых данных — в своих документах об обработке персональных данных, размещённых на сайте;
3. он получил согласие Посетителей на обработку в тех случаях, когда согласие является необходимым правовым основанием, в том числе на использование средств, требующих согласия по законодательству о персональных данных и о связи;
4. он не передаёт Компании через Сервис специальные категории персональных данных, биометрические персональные данные и данные лиц, не достигших возраста, с которого допускается самостоятельное согласие, если такая передача не согласована с Компанией отдельно;
5. сведения, передаваемые из его информационных систем (позиция 8 пункта 3.1), он вправе передавать Компании.

12.2. Заверения даны по статье 431.2 ГК РФ; Компания полагается на них и не проверяет.

12.3. Клиент несёт ответственность за несоблюдение обязанностей, установленных пунктом 12.4 Соглашения и настоящим разделом (пункт 12.7 Соглашения).

13. Проверка соблюдения поручения

13.1. Клиент вправе в течение срока поручения, в том числе до начала обработки, запросить документы и сведения о соблюдении настоящего Соглашения: о принятых мерах защиты, месте обработки, привлечённых лицах и сроках хранения. Компания предоставляет ответ в срок не более 10 рабочих дней; более короткий обязательный срок имеет приоритет.

13.2. Проверка не должна создавать угрозу конфиденциальности данных других клиентов Компании: сведения предоставляются в объёме, относящемся к поручению Клиента.

14. Ответственность

14.1. Компания возмещает Клиенту убытки, причинённые нарушением настоящего Соглашения, включая суммы административных штрафов, наложенных на Клиента за нарушение, вызванное действиями Компании.

14.2. Клиент возмещает Компании убытки, причинённые недостоверностью заверений (раздел 12), включая суммы штрафов и выплат, произведённых Компанией по требованиям Посетителей или уполномоченного органа в связи с отсутствием у Клиента правового основания обработки либо неисполнением обязанности информировать Посетителей.

14.3. Ограничение ответственности, установленное Соглашением, не применяется к нарушениям обязанности сохранять конфиденциальность и к нарушениям, повлёкшим инцидент.

15. Срок действия, порядок принятия и изменения

15.1. Настоящее Соглашение вступает в силу с момента его принятия Клиентом и действует в течение срока действия Соглашения, а в части разделов 7 (в отношении конфиденциальности), 11 и 14 — до полного исполнения обязанностей, предусмотренных этими разделами.

15.2. Клиент — физическое лицо, индивидуальный предприниматель или юридическое лицо — принимает настоящее поручение вместе с Пользовательским соглашением при регистрации, до начала сбора данных Посетителей. До акцепта ему доступны тексты обоих документов. Представитель Клиента подтверждает свои полномочия и вправе включить сбор только после принятия поручения. Сайты определяются настройками Учётной записи Клиента. Для действующих Клиентов применяется порядок изменения Соглашения; публикация не заменяет акцепт. Это договорное действие Клиента, а не согласие Посетителя на обработку персональных данных: необходимые согласия получает Клиент.

15.3. Изменение настоящего Соглашения производится в том же порядке, в каком оно было принято. Компания уведомляет Клиента о новой редакции не менее чем за один календарный месяц до её вступления в силу. Клиент, не согласный с новой редакцией, вправе прекратить Соглашение до её вступления в силу.

15.4. Прекращение Соглашения влечёт прекращение поручения; порядок обращения с данными после прекращения — раздел 11.

16. Реквизиты сторон

Клиент определяется сведениями его Учётной записи и предоставленными им реквизитами. Представитель действует от имени Клиента только при наличии необходимых полномочий. Домены сайтов определяются настройками Учётной записи. При необходимости стороны оформляют бумажный экземпляр с реквизитами Клиента.

ООО «Командор», ИНН 7710862988, ОГРН 1107746111164, КПП 771001001. Адрес: 127006, г. Москва, ул. Садовая-Триумфальная, д. 18, стр. 4. Обращения и уведомления: support@userly.ru.

Редакция 1.1 от 5 сентября 2026 года.