gidraapps
На главную

Поручение на обработку персональных данных

Условия, на которых владелец проекта поручает GidraApps обработку данных покупателей, отправителей и получателей подарочных карт.

Редакция от 5 августа 2026 г.

1. Стороны и роли

Владелец проекта является оператором персональных данных, которые собираются на его сайте для покупки, доставки и применения подарочных карт (Оператор/Клиент).

GidraApps в лице Матвеев Илья Сергеевич, ИНН 500317857454, является обработчиком по поручению владельца проекта (Обработчик).

Поручение применяется с момента передачи данных через модуль и является частью договорных условий использования сервиса.

2. Субъекты и данные

  • Данные покупателя, отправителя и получателя: адрес электронной почты покупателя для чека, имена отправителя и получателя, адрес электронной почты получателя, текст сообщения, дата, время и часовой пояс доставки.
  • Данные заказа и карты: проект, сумма, валюта, оформление, идентификаторы заказа и оплаты, сохранённые сведения об оплате, код, номинал, баланс, срок, статус и операции.
  • Юридические и технические данные: выбранное основание обработки, документ продавца, номер или иной идентификатор редакции, контрольная цифровая отметка и название документа, дата и время, источник и версия формы, сведения о браузере и устройстве, идентификаторы автоматического уведомления об оплате и резервирования, безопасные сведения об ошибках.

3. Цели и операции

  • создать заказ, ожидающий оплаты, получить подписанное автоматическое уведомление об оплате и выпустить карту;
  • передать данные между встроенным виджетом и содержащей его страницей Tilda с помощью механизма обмена сообщениями браузера;
  • доставить письмо сразу или по расписанию, активировать карту после успешной отправки и выполнять повторные попытки;
  • резервировать, проверять и применять баланс карты;
  • обрабатывать полный/частичный возврат покупки карты и возврат операции погашения;
  • предоставлять уполномоченным сотрудникам проекта доступ к разделу работы с покупателями и выгрузку данных в виде таблицы (CSV или XLSX);
  • обеспечивать поддержку, безопасность, разрешение происшествий и сохранение необходимой финансовой и юридической истории.

4. Правовое основание и инструкции

Оператор определяет основание до передачи данных. По умолчанию сервер может зафиксировать исполнение договора. Если Оператор включил отдельное согласие, покупатель должен самостоятельно поставить отметку рядом со ссылкой на архивированную редакцию документа именно Оператора; прямой запрос без актуального номера редакции и контрольной цифровой отметки отклоняется.

Обработчик выполняет документированные инструкции настоящего Поручения, настроек проекта и технического протокола. Если инструкция нарушает закон или безопасность сервиса, Обработчик вправе остановить операцию и запросить уточнение.

5. Получатели и субобработчики

  • Timeweb: приложение, база данных и системный почтовый сервер; основное приложение и база данных находятся в Москве, Россия. Расположение резервных копий и инфраструктурных журналов отдельно не гарантируется.
  • Tilda и платежная схема Оператора: родительская страница виджета, оформление покупки и подписанные входящие события.
  • Поддерживаемые платформой российские поставщики почтовых серверов из актуального перечня в интерфейсе: доставка письма с подарочной картой. Произвольный или иностранный почтовый сервер и порты 25 и 2525 запрещены.
  • Сотрудники проекта: доступ в пределах назначенных Оператором прав на настройки и раздел работы с покупателями; этот раздел включает просмотр и выгрузку данных карт.
  • cron-job.org: технический запуск защищённой задачи по расписанию без передачи содержимого заказа в теле запроса.
  • Prodamus и Яндекс.Метрика не являются обязательными субобработчиками каждой операции с подарочной картой: Prodamus обслуживает платежи за услуги GidraApps, а Метрика — собственный сайт GidraApps после согласия на cookie.

6. Изменение субобработчиков

Обработчик может заменить или добавить инфраструктурного, почтового или технического субобработчика, необходимого для той же цели, при условии договорных требований конфиденциальности и безопасности. Актуальный перечень отражается в документах/интерфейсе; Оператор уведомляется доступным способом, когда это требуется договором или законом.

Подключение другого российского почтового сервера возможно только после проверки GidraApps и добавления его точных адреса, порта и режима шифрования в единый перечень разрешённых подключений. Это не означает поддержку всех российских поставщиков.

7. Сроки и удаление

  • Данные заказа и карты хранятся пока карта и связанные обязательства могут исполняться, а затем — в течение необходимых сроков финансового, договорного и юридического учета/спора.
  • Сведения об отложенной доставке хранятся до отправки, отмены или исчерпания попыток; после исчерпания попыток запись о неустранённой ошибке остаётся для диагностики и разрешения.
  • При удалении проект или карта скрываются и перестают использоваться, секреты и ненужные настройки очищаются, но финансовые, карточные и юридические записи остаются.
  • При удалении аккаунта Оператора доступ блокируется сразу; окончательная анонимизация прямых идентификаторов откладывается до закрытия долгов, возвратов, активных карт и иных обязательств.
  • Оператор обязан направлять обоснованные инструкции об уточнении, блокировании или удалении данных конкретного субъекта; Обработчик исполняет их в пределах технической возможности и обязательного хранения.

8. Обязанности Оператора

  • опубликовать на своем сайте актуальные политику, оферту и условия подарочных карт;
  • выбрать и документировать законное основание, не включать отдельное согласие без корректного собственного документа;
  • собирать только необходимые данные и не передавать секреты/избыточные сведения в сообщения;
  • назначать сотрудникам только необходимые права на настройки и раздел работы с покупателями, своевременно отзывать их и контролировать выгруженные таблицы CSV и XLSX;
  • использовать только поддерживаемый платформой российский почтовый сервер из интерфейса, законно использовать указанный адрес отправителя и хранить пароль приложения конфиденциально;
  • самостоятельно отвечать субъектам по отношениям продажи и использования подарочной карты и передавать Обработчику необходимые инструкции.

9. Обязанности Обработчика и безопасность

  • обрабатывать данные только для указанных целей и не использовать их для собственной рекламы;
  • соблюдать конфиденциальность персональных данных и обеспечивать такую обязанность для допущенных к ним лиц;
  • соблюдать требования части 5 статьи 18 и статьи 18.1 Федерального закона № 152-ФЗ, включая локализацию первичного сбора в применимых случаях; требования о внутренних документах, оценке вреда, назначении ответственных лиц, внутреннем контроле и ознакомлении работников выполнять в части, применимой к статусу и фактической деятельности Обработчика, с учётом фактического наличия работников и применимости соответствующей обязанности;
  • по запросу Оператора предоставлять документы и сведения, подтверждающие принятые меры и соблюдение Поручения, в срок запроса, но не позднее 10 рабочих дней, в том числе до начала обработки персональных данных;
  • принимать необходимые организационные и технические меры безопасности в соответствии со статьёй 19 Федерального закона № 152-ФЗ: определять актуальные угрозы и требуемый уровень защищённости, управлять доступом, учитывать действия, обнаруживать инциденты, восстанавливать данные и контролировать эффективность мер;
  • ограничивать административный и проектный доступ, проверять полномочия на сервере, использовать защищённое соединение (HTTPS) и защищать секретные ключи;
  • при сохранении настроек и непосредственно перед отправкой проверять точные адрес и порт почтового сервера, разрешать только зашифрованное соединение, проверять имя и сетевой адрес сервера и обеспечивать защиту от подключения к запрещённым сетевым адресам;
  • защищать финансовые операции от повторного исполнения и выполнять повторные попытки доставки; редкий сбой после принятия письма почтовым сервером, но до записи результата в базу данных, может привести к повторному письму;
  • при инциденте, который повлёк или может повлечь неправомерную либо случайную передачу, предоставление, распространение или доступ к данным Оператора, без необоснованной задержки, но не позднее 24 часов с момента обнаружения направить первичное уведомление на адрес электронной почты владельца проекта в аккаунте и зарегистрировать событие; отсутствие части сведений не задерживает первичное уведомление;
  • в первичном уведомлении указать известные дату и время обнаружения, характер инцидента, категории и примерный объём данных и субъектов, предполагаемые последствия, принятые меры и контакт для взаимодействия; без задержки направлять уточнения, сохранять доказательства и содействовать локализации; не позднее 72 часов после первичного уведомления передать результаты внутреннего расследования и сведения, необходимые Оператору для исполнения части 3.1 статьи 21 Федерального закона № 152-ФЗ; если расследование не завершено, в тот же срок передать имеющиеся сведения, причины задержки и срок окончательного отчёта;
  • содействовать Оператору в выполнении законных запросов субъектов и обязательных уведомлений.

10. Ответственность и прекращение

Оператор отвечает за законность сбора, основание, документы продавца, назначения сотрудников и отношения с покупателем. Обработчик отвечает за соблюдение Поручения и безопасность контролируемой им части сервиса.

Поручение действует в течение использования сервиса и последующего обязательного хранения. Прекращение подписки не уничтожает автоматически записи, необходимые для активной карты, возврата, комиссии, спора или закона.