Договор об обработке данных

Версия: 3.0 · Вступает в силу: 5 ноября 2026

Это перевод для удобства. Официальной является английская версия.

Этот Договор об обработке данных («DPA») является частью Условий использования Plerdy («Условия») между Plerdy и клиентом, который пользуется сервисом Plerdy («Клиент»). Он определяет, как Plerdy обрабатывает персональные данные от имени Клиента, как того требует статья 28 Общего регламента ЕС по защите данных 2016/679 («GDPR») и другое применимое законодательство о защите данных.

1. Как применяется этот DPA

1.1. Этот DPA применяется автоматически к каждому Клиенту, принимающему Условия, с момента принятия. Подпись не требуется. Статья 28(9) GDPR допускает электронную форму договора.

1.2. Этот DPA одинаков для всех тарифов и способов оплаты: бесплатного тарифа, ежемесячных и годовых подписок, оплаты по счёту и пакетов AppSumo. Он охватывает все сайты, подключённые к аккаунту Клиента в Plerdy.

1.3. Plerdy не согласовывает и не подписывает индивидуальные версии этого DPA. По запросу на [email protected] Plerdy отправляет PDF этого DPA, подписанный Plerdy. Подписанная копия имеет тот же текст и ту же силу, что и эта страница.

2. Роли и определения

2.1. В отношении персональных данных посетителей сайтов Клиента, собираемых кодом Plerdy («Персональные данные Клиента»), Клиент является контролером, а Plerdy — обработчиком. В отношении данных аккаунта Клиента контролером является Plerdy, как описано в Политике конфиденциальности; этот DPA на них не распространяется.

2.2. «Plerdy» означает Андрия Чорного, физическое лицо-предпринимателя (ФЛП), Украина. Термины «контролер», «обработчик», «персональные данные», «обработка», «субъект данных», «нарушение безопасности персональных данных» и «надзорный орган» имеют значение, указанное в GDPR.

3. Указания

3.1. Plerdy обрабатывает Персональные данные Клиента только по документально оформленным указаниям Клиента, в том числе в отношении передачи в третьи страны, если закон не требует иного. В таком случае Plerdy уведомляет Клиента до обработки, если закон этого не запрещает.

3.2. Условия, этот DPA и настройки, которые Клиент выбирает в своём аккаунте Plerdy (например, какие инструменты включены, маскирование, срок хранения и подключённые интеграции), составляют полные указания Клиента. Другие указания нужно направлять письменно на [email protected]. Если указание невозможно выполнить, Plerdy сообщает об этом Клиенту, и Клиент вправе прекратить пользоваться сервисом.

3.3. Plerdy уведомляет Клиента, если, по его мнению, указание нарушает законодательство о защите данных.

3.4. Клиент отвечает за законность обработки, в том числе за информирование посетителей и получение согласия, если этого требует закон.

4. Конфиденциальность

Plerdy предоставляет доступ к Персональным данным Клиента только тем, кому он нужен, чтобы предоставлять, поддерживать и защищать сервис. Все они обязаны соблюдать конфиденциальность.

5. Безопасность

Plerdy применяет технические и организационные меры, описанные в Приложении 2 и в Политике безопасности, в соответствии со статьёй 32 GDPR. Plerdy может обновлять эти меры, если общий уровень защиты при этом не снижается.

6. Субобработчики

6.1. Клиент даёт Plerdy общее разрешение привлекать субобработчиков. Текущие субобработчики перечислены в Приложении 3.

6.2. Plerdy уведомляет Клиента по email, отправленному владельцу аккаунта, не менее чем за 14 дней до добавления или замены субобработчика. В этот срок Клиент может возразить по обоснованным причинам, связанным с защитой данных, написав на [email protected]. Если стороны не найдут решения, Клиент может прекратить пользоваться затронутой частью сервиса или удалить свой аккаунт.

6.3. Plerdy возлагает на каждого субобработчика обязательства по защите данных, равнозначные обязательствам по этому DPA, и остаётся за него ответственным.

6.4. Интеграции, которые Клиент подключает сам (например, email-маркетинг, CRM, Google Sheets, Slack или Telegram), получают данные по указанию Клиента. Это собственные поставщики Клиента, а не субобработчики Plerdy.

7. Помощь Клиенту

7.1. С учётом характера обработки Plerdy помогает Клиенту отвечать на запросы субъектов данных (доступ, удаление, исправление, возражение и другие). Plerdy пересылает Клиенту любой запрос, полученный напрямую от посетителя, и не отвечает на него без указания Клиента.

7.2. Plerdy удаляет данные конкретного посетителя по запросу Клиента в течение 30 дней. Клиент также может в любое время удалить данные сайта или весь свой аккаунт в аккаунте Plerdy.

7.3. Plerdy предоставляет Клиенту информацию, которая ему обоснованно необходима для оценок воздействия на защиту данных и предварительных консультаций с надзорными органами.

8. Нарушения безопасности персональных данных

Plerdy уведомляет Клиента без неоправданной задержки и, если это возможно, в течение 48 часов после того, как ему стало известно о нарушении безопасности персональных данных, затрагивающем Персональные данные Клиента. В уведомлении описывается то, что известно на тот момент: характер нарушения, категории и приблизительное количество затронутых людей и записей, вероятные последствия и принятые меры. Plerdy дополняет информацию по мере её появления и принимает меры для ограничения нарушения.

9. Удаление по окончании оказания сервиса

9.1. Во время оказания сервиса Персональные данные Клиента удаляются автоматически после периода истории данных по тарифу Клиента и в соответствии с настройками хранения, которые выбирает Клиент.

9.2. Когда Клиент удаляет сайт или свой аккаунт, Plerdy удаляет связанные Персональные данные Клиента в течение 30 дней, если закон не требует от Plerdy их хранить. Перед удалением Клиент может экспортировать свои данные с помощью инструментов, доступных в аккаунте.

10. Информация и аудиты

10.1. Plerdy предоставляет Клиенту информацию, необходимую для подтверждения соблюдения статьи 28 GDPR: этот DPA, Политику безопасности и письменные ответы на разумный вопросник по безопасности, один раз в 12 месяцев.

10.2. Если этой информации недостаточно, Клиент вправе провести аудит самостоятельно или через независимого аудитора, связанного обязательством конфиденциальности, один раз в 12 месяцев, с письменным уведомлением за 30 дней, в рабочее время, без нарушения работы сервиса и за свой счёт. Эти ограничения не применяются, если аудит требует надзорный орган или если произошло нарушение безопасности персональных данных, затрагивающее Клиента.

11. Международная передача данных

11.1. Персональные данные Клиента хранятся на серверах в Германии. Команда Plerdy работает из Украины и может получать доступ к данным оттуда, чтобы оказывать поддержку и обслуживать сервис. Некоторые субобработчики из Приложения 3 находятся за пределами Европейской экономической зоны.

11.2. Если Клиент подпадает под действие GDPR и данные передаются Plerdy за пределы Европейской экономической зоны, в этот DPA путём ссылки включаются Стандартные договорные положения, принятые Имплементационным решением Комиссии (ЕС) 2021/914 («SCC»), Модуль два (от контролера к обработчику), со следующим выбором: применяется пункт 7 (положение о присоединении); пункт 9(a), вариант 2 (общее разрешение), со сроком уведомления по разделу 6.2; необязательная формулировка в пункте 11 не применяется; пункт 13: надзорный орган, компетентный в отношении Клиента; пункт 17: право Германии; пункт 18: суды Германии. Приложения I, II и III к SCC — это Приложения 1, 2 и 3 к этому DPA.

11.3. Для передач, подпадающих под британское законодательство о защите данных, вместе с SCC применяется Приложение о международной передаче данных (International Data Transfer Addendum), изданное Уполномоченным по информации Великобритании. Для передач, подпадающих под швейцарское право, SCC применяются, а ссылки на GDPR читаются как ссылки на Федеральный закон Швейцарии о защите данных, и компетентным органом является Федеральный уполномоченный Швейцарии по защите данных и информации.

11.4. Plerdy передаёт Персональные данные Клиента субобработчикам за пределами Европейской экономической зоны только на основании SCC или другого механизма передачи, допускаемого GDPR.

12. Ответственность

Ответственность каждой стороны по этому DPA подчиняется ограничениям, установленным в Условиях, в той мере, в какой это допускает закон. Ничто в этом DPA не ограничивает права субъектов данных по GDPR или SCC.

13. Срок действия, приоритет и изменения

13.1. Этот DPA действует, пока Plerdy обрабатывает Персональные данные Клиента.

13.2. В случае противоречия SCC имеют приоритет над этим DPA, а этот DPA имеет приоритет над Условиями в вопросах персональных данных.

13.3. Plerdy может обновлять этот DPA с учётом изменений в законодательстве или в сервисе. О существенных изменениях Plerdy информирует Клиентов по email не менее чем за 14 дней. Изменения не снижают уровень защиты Персональных данных Клиента.

13.4. Этот DPA регулируется правом, которое регулирует Условия, за исключением SCC, которые регулируются так, как указано в разделе 11.2.

Приложение 1. Описание обработки

Экспортёр данных (контролер)	Клиент, указанный в его аккаунте Plerdy. Деятельность: ведение сайта и анализ его использования.
Импортёр данных (обработчик)	Андрий Чорный, физическое лицо-предприниматель (ФЛП), Украина. Контакт: [email protected]. Деятельность: предоставление сервиса веб-аналитики Plerdy.
Субъекты данных	Посетители сайтов Клиента; люди, которые отправляют формы попапов или пишут в чат на этих сайтах.
Категории персональных данных	Псевдонимный ID посетителя, создаваемый на основе технических характеристик браузера и хранимый в локальном хранилище; браузер, операционная система, тип устройства, размер экрана, страна; просмотренные страницы, источник перехода, метки кампаний и рекламные ID кликов (не сохраняются, если браузер отправляет Global Privacy Control или Do Not Track); клики, прокрутка, движение мыши, время на странице, ошибки страниц; записи сессий как воссоздание страницы и действий, в которых введённые значения маскируются в браузере; какие поля форм использовались, без их содержимого; ID заказа, сумма и товары, о которых сообщает сайт; данные, которые посетитель отправляет в попапах и чате, например имя, email, телефон и сообщение.
IP-адреса	Обрабатываются только в момент запроса, чтобы определить страну и применить список исключённых IP-адресов Клиента. Не сохраняются вместе с кликами, прокруткой, данными о трафике или записями сессий.
Чувствительные данные	Не предполагаются. Клиент не должен отправлять в Plerdy особые категории данных (статья 9 GDPR) и должен отмечать такие элементы страницы как `data-sensitive`, чтобы они не записывались.
Периодичность	Непрерывно, пока код Plerdy установлен на сайте Клиента.
Характер и цель	Сбор, хранение, анализ и показ Клиенту данных об использовании сайта: тепловые карты, записи сессий, аналитика форм, попапы и чат, события, воронки, источники трафика, эффективность продаж, SEO-инструменты и оповещения. Plerdy не использует данные в собственных целях и не продаёт их.
Срок хранения	Период истории данных по тарифу Клиента; записи сессий — в соответствии с настройками Клиента. Удаляются в течение 30 дней после того, как Клиент удалит сайт или аккаунт.
Передача субобработчикам	Как указано в Приложении 3, для целей, указанных там, на время оказания сервиса.

Приложение 2. Технические и организационные меры

Хостинг: серверы, базы данных и хранилище записей сессий в Германии, в дата-центрах с сертификацией ISO/IEC 27001.
Шифрование при передаче: TLS для всего трафика; сеть доставки контента с защитой от атак.
Минимизация данных в браузере: значения, введённые в поля форм, маскируются до отправки; поля пароля, email, телефона, имени и адреса маскируются всегда; элементы, отмеченные data-sensitive, data-payment или data-private, не записываются; записи сессий не являются видео или скриншотами.
IP-адреса: не сохраняются в данных отслеживания (см. Приложение 1).
Сигналы конфиденциальности: данные не собираются из браузеров, которые отправляют Global Privacy Control или Do Not Track.
Разделение: данные каждого Клиента хранятся отдельно и не объединяются с данными других Клиентов.
Контроль доступа: доступ к рабочим системам и данным только у уполномоченных членов команды, которым он нужен; персональные учётные записи; пароли клиентов хранятся как односторонние хеши с солью (bcrypt); необязательный двухэтапный вход с одноразовым кодом по email; ограничение количества неудачных попыток входа.
Целостность кода: скрипт отслеживания собирается автоматически из исходного кода в системе контроля версий и не редактируется вручную на серверах.
Хранение: автоматическое удаление записей сессий в соответствии с настройками Клиента; автоматическое удаление остальных данных посетителей после периода истории данных по тарифу.
Люди: обязательства о конфиденциальности; обучение распознаванию фишинга и сообщению об инцидентах.
Инциденты: документированный процесс локализации, расследования и устранения инцидентов и уведомления Клиентов, как описано в разделе 8.

Приложение 3. Субобработчики

Субобработчик	Цель	Местонахождение
Hetzner Online GmbH	Серверы, базы данных и хранилище записей сессий	Германия
Cloudflare, Inc.	Доставка контента, шифрование и защита от атак для всего трафика	Глобальная сеть; США
Google (Google Ireland Limited / Google LLC)	Отправка служебных писем, в том числе данных из попапов и чата, отправляемых Клиенту	Ирландия; США
OpenAI, L.L.C.	Функции AI, только когда Клиент ими пользуется	США

Платежи обрабатывает Paddle как официальный продавец (merchant of record), а для пакетов AppSumo — AppSumo. Они получают только данные аккаунта Клиента и платёжные данные, но не Персональные данные Клиента.