FichaMail

Соглашение об обработке данных (DPA)

Действует с 12 октября 2026 г.

Это соглашение — часть условий использования. Оно действует автоматически, когда вы загружаете в FichaMail или отправляете через него персональные данные своих получателей, и не требует отдельной подписи. Если вам нужен подписанный экземпляр, напишите на [email protected].

1. Роли сторон

  1. 1.1Клиент определяет, чьи данные, зачем и как обрабатываются, и является владельцем данных (controller в терминах GDPR).
  2. 1.2Владелец сервиса FichaMail (администрация сервиса FichaMail (Украина)) обрабатывает эти данные по поручению клиента и является распорядителем (processor).
  3. 1.3Соглашение касается только данных получателей клиента. Данные самого аккаунта клиента мы обрабатываем как самостоятельный владелец — об этом политика конфиденциальности.

2. Предмет обработки

  1. 2.1Цель: доставка писем клиента, ведение контактов и групп, учёт статусов доставки, открытий и переходов по ссылкам, ведение стоп-листов.
  2. 2.2Чьи данные: получатели писем и подписчики клиента.
  3. 2.3Какие данные: email, имя и фамилия (если клиент их загрузил), содержание писем и вложений, факты доставки, открытия письма и перехода по ссылкам, статус подписки.
  4. 2.4Особые категории данных (здоровье, политические взгляды, биометрия и подобные) передавать в сервис запрещено.
  5. 2.5Срок: пока существует аккаунт клиента, с учётом сроков хранения из раздела 8.

3. Обязанности FichaMail

  1. 3.1Обрабатывать данные только по документированным указаниям клиента: это соглашение, условия использования и действия клиента в панели, через API и SMTP.
  2. 3.2Сообщить клиенту, если его указание, по нашему мнению, нарушает закон о защите данных.
  3. 3.3Обеспечивать конфиденциальность: доступ к данным имеют только лица, которым он необходим для работы сервиса и которые обязаны сохранять их в тайне.
  4. 3.4Применять меры защиты, перечисленные в приложении 1.
  5. 3.5Не использовать данные получателей для собственных целей, не продавать их и не передавать третьим лицам, кроме субподрядчиков из приложения 2 и случаев, когда этого требует закон.

4. Обязанности клиента

  1. 4.1Иметь законное основание для обработки данных получателей, включая согласие на рассылки там, где оно требуется.
  2. 4.2Сообщать получателям об использовании сервиса, а также об учёте открытий писем и переходов по ссылкам.
  3. 4.3Самостоятельно отвечать на запросы получателей о их данных; инструменты для этого есть в панели (поиск, изменение, удаление и экспорт контактов).

5. Субподрядчики

  1. 5.1Клиент даёт общее согласие на привлечение субподрядчиков, перечисленных в приложении 2.
  2. 5.2О новом субподрядчике мы сообщаем на email аккаунта не позднее чем за 14 дней. Если клиент возражает, он вправе прекратить использование сервиса и получить возврат оплаты за неиспользованный период.
  3. 5.3С каждым субподрядчиком действуют обязательства по защите данных не ниже установленных этим соглашением. За действия субподрядчиков отвечаем мы.

6. Помощь клиенту

  1. 6.1Если получатель обратится с запросом о своих данных к нам, мы перешлём запрос клиенту и не будем отвечать по существу без его указания.
  2. 6.2По запросу клиента помогаем исполнять права получателей, оценивать влияние обработки на защиту данных и взаимодействовать с надзорным органом — в объёме, который зависит от нас.

7. Инциденты

  1. 7.1Об утечке, потере или несанкционированном доступе к данным получателей клиента мы сообщаем на email аккаунта без неоправданной задержки и не позднее 72 часов после обнаружения.
  2. 7.2В сообщении указываем, что произошло, какие данные затронуты, какие меры приняты и что рекомендуем сделать клиенту. Дополняем сведения по мере расследования.

8. Удаление и возврат данных

  1. 8.1Клиент в любой момент может выгрузить контакты из панели и удалить их.
  2. 8.2Журналы писем удаляются автоматически через 30 дней.
  3. 8.3После удаления аккаунта все данные получателей удаляются в течение 30 дней, если закон не требует хранить их дольше.

9. Проверки

  1. 9.1По запросу клиента предоставляем сведения, необходимые, чтобы подтвердить соблюдение этого соглашения.
  2. 9.2Клиент вправе провести проверку не чаще одного раза в год, предупредив за 30 дней, в рабочее время, за свой счёт и без доступа к данным других клиентов.

10. Передача данных за пределы ЕС

  1. 10.1Данные обрабатываются на серверах владельца сервиса и субподрядчиков, которые могут находиться за пределами Европейской экономической зоны.
  2. 10.2Если клиент находится в ЕЭЗ, к такой передаче применяются Стандартные договорные условия Европейской комиссии (решение 2021/914, модуль 2 «контролёр — процессор»). Они включены в это соглашение ссылкой и имеют приоритет при противоречиях.

11. Ответственность и срок действия

  1. 11.1Ответственность сторон по этому соглашению определяется условиями использования, включая установленные там ограничения.
  2. 11.2Соглашение действует, пока мы обрабатываем данные получателей клиента. При противоречии между этим соглашением и условиями использования в вопросах защиты данных применяется это соглашение.

Приложение 1. Меры защиты

  1. 1.Шифрование при передаче: сайт, панель и API доступны только по HTTPS; SMTP-сервер принимает авторизацию только по шифрованному соединению; письма передаются серверам получателей с TLS, если те его поддерживают.
  2. 2.Защита учётных данных: пароли хранятся в виде хэша bcrypt, API-ключи — в виде хэша SHA-256.
  3. 3.Разграничение доступа: данные каждого аккаунта изолированы; в командах действуют роли; доступ к серверам и базе данных есть только у владельца сервиса.
  4. 4.Защита от злоупотреблений: ограничение частоты запросов, блокировка подбора паролей, доступ к базе данных ограничен сетевым экраном.
  5. 5.Минимизация: журналы писем хранятся 30 дней, вложения писем из API удаляются сразу после отправки.
  6. 6.Целостность отправки: каждое письмо подписывается ключом DKIM домена клиента; ссылки отписки и учёта переходов защищены подписью.

Приложение 2. Субподрядчики

  1. 1.Cloudflare, Inc. (США) — сеть доставки и защита от атак: через неё проходит трафик сайта, панели и API.
  2. 2.Хостинг-провайдер — аренда серверов, на которых работают сервис и база данных.
  3. 3.Почтовые серверы получателей не являются субподрядчиками: им передаётся само письмо, как того требует его доставка.
Условия использования →Политика конфиденциальности →Антиспам-политика →