Приложение об обработке данных (DPA) для клиентов Mabitim

Версия: dpa-ru-v1 · Обновлено: 01.09.2026 · Действует: со дня публикации страницы на сайте

Юридически обязывающая версия этого документа ивритская. Русский и английский тексты сделаны для вашего удобства. Если между ними и ивритским текстом найдётся расхождение, действует ивритский.

1. Что это за документ и кому он адресован

Это приложение действует для вас, если вы передаёте в Mabitim персональные данные других людей: ваших клиентов, посетителей вашего сайта или ваших сотрудников. Оно описывает, как мы эти данные обрабатываем, как защищаем, кому передаём и что с ними происходит в конце.

Приложение является частью договора подписки (mabitim.com/ru/terms) и принимается при регистрации вместе с условиями и политикой приватности. По любому вопросу, касающемуся данных, при расхождении между этим приложением и условиями использования действует приложение.

Стороны те же, что и в договоре подписки: вы (зарегистрировавшийся бизнес) и мы, Israsky, владелец Илья Шуляк, Петах-Тиква, Израиль, зарегистрированный предприниматель (עוסק מורשה) № 324648047. Полные реквизиты в разделе 1 условий использования.

2. Термины простыми словами

3. Роли: кто владелец базы, а кто обработчик

Последняя строка не противоречит первым: по данным о ваших клиентах мы обработчик, а по данным вашего аккаунта у нас мы владелец базы, как любой поставщик услуг, ведущий список своих клиентов.

4. Мы обрабатываем данные только по вашим указаниям и только для услуги

Ваши указания это то, что вы задали в кабинете и в договоре: подключённые сайты, введённые ключевые слова и промпты, разрешённые источники и запрошенные отчёты.

Цели, и это закрытый список:

1. Измерение и сбор: позиции в поисковой выдаче, ответы ИИ-сервисов и упоминания в них, данные Search Console и Analytics, которые вы подключили, техническое сканирование вашего сайта;
2. отчёты и рекомендации, включая отчёты, текст которых готовит языковая модель;
3. оповещения, периодический дайджест и служебные сообщения в выбранных вами каналах;
4. поддержка: разбор ваших обращений;
5. выставление счетов и ведение подписки, включая выпуск налоговых документов.

Чего мы с вашими данными не делаем:

• не продаём и не сдаём в аренду;
• не используем для рекламы и для рекламного профилирования;
• не обучаем на них модели, ни свои, ни чужие. Все три поставщика моделей, с которыми мы работаем, обязуются к этому условиями своих API, и мы сверили это с их собственными документами. Рядом с этим: замер видимости в ChatGPT и Gemini выполняется через лицензированного провайдера данных, из реальных интерфейсов этих сервисов, и корпоративный режим «без обучения» там не действует, поэтому в такие запросы уходят только вопросы о теме и о бизнесе, без персональных данных. Подробности в политике приватности, раздел 6.
• не используем в своих целях, кроме сводных обезличенных данных, которые нельзя связать с вами или вашим сайтом, для улучшения сервиса.

Если ваше указание покажется нам противоречащим закону, мы скажем вам об этом и не станем исполнять его молча.

5. Конфиденциальность и доступы

• Доступ к данным выдаётся по роли и только тому, кому он нужен для работы: поддержка, системный администратор, биллинг. Для каждой роли заранее определено, что она видит, а что нет.
• Каждый, кто у нас соприкасается с данными, обязан хранить их в тайне, в том числе после окончания работы.
• Вход нашего сотрудника в ваш кабинет возможен в трёх случаях: для разбора вашего обращения, для разбора инцидента безопасности и когда этого требует закон. Такой вход виден в интерфейсе полосой «вы работаете от имени…» и пишется в журнал.
• Ваши API-ключи и подключения при таком входе недоступны, даже для проверки работоспособности, и подключать или отключать поставщиков под ним нельзя.
• Чувствительные действия пишутся в журнал аудита и в журнал событий безопасности; сроки хранения журналов в политике приватности.

6. Уровень безопасности и фактические меры

По Правилам защиты приватности (информационная безопасность), 2017, наша база классифицирована по базовому уровню безопасности: число субъектов данных и число лиц с правом доступа ниже порогов, торговлей данными мы не занимаемся, обработка особо чувствительных данных не является нашей основной деятельностью.

Фактические меры выше того, что требует базовый уровень:

7. Инцидент безопасности: когда и как мы вас уведомим

• Если произошёл инцидент, затрагивающий ваши данные, мы сообщим вам без промедления и не позднее 72 часов с момента обнаружения.
• В уведомлении будет: что случилось и когда, какие категории данных затронуты, что мы уже сделали, как мы оцениваем риск и что рекомендуем сделать вам.
• Если полной картины ещё нет, мы сообщим то, что известно, и дополним позже. Мы не ждём окончания разбора, чтобы уведомить.
• Сообщать в Управление по защите приватности и субъектам данных ваша обязанность как владельца базы, а мы предоставим вам сведения и документы, которые для этого нужны.
• У нас инцидент регистрируется и разбирается по внутреннему регламенту безопасности.

8. Ваше право на сведения и на проверку

• Вы вправе запросить у нас сведения о порядке обработки и о мерах защиты. Запрос на privacy@mabitim.com или через поддержку, ответ письменным отчётом.
• Вы вправе запросить более глубокую проверку, в том числе силами своего аудитора. Такая проверка проводится по предварительному согласованию, в разумный срок, раз в 12 месяцев и за ваш счёт, при условии обязательства аудитора о конфиденциальности. Если проверка найдёт у нас существенный недостаток, мы устраним его за свой счёт.
• Проверка не даёт доступа к данным других клиентов и к коммерческой тайне, не относящейся к обработке ваших данных.

9. Субпроцессоры

• Мы привлекаем субпроцессоров для оказания услуги. Полный список в приложении А в конце этого документа: назначение, страна и ссылка на условия каждого.
• Каждый субпроцессор обязан обеспечить уровень защиты не ниже установленного этим приложением и обрабатывать данные только для оказания услуги. Перед вами мы отвечаем за действия субпроцессора как за свои.
• Новый поставщик попадает в список до того, как впервые получит данные, а не после.
• О добавлении субпроцессора мы сообщим письмом и на странице списка за 30 дней. Если добавление вам не подходит, вы вправе отменить подписку до его вступления в силу, без комиссии за отмену. Право вето на отдельного поставщика мы дать не можем: сервис один для всех клиентов.
• На странице списка всегда стоит дата его последнего обновления.

10. Свои ключи (BYOK): здесь поставщик обработчик ваш, а не наш

На тарифах Pro и Managed можно внести собственные API-ключи поставщиков ИИ. Это меняет роли, поэтому вынесено отдельно:

1. Соблюдение условий поставщика ваша ответственность, когда работа идёт на вашем ключе.
2. Расход по вашему ключу это ваши деньги. Поставщик выставляет счёт вам напрямую; наш счётчик считает расход только для прозрачности.
3. Если ключ перестал работать, мы проверяем его ежедневно, сообщаем вам и продолжаем работу на своём ключе до месячного потолка, заданного в кабинете; после потолка операции, которым нужен ключ, останавливаются с понятным сообщением. Подробности в разделе 16 условий использования.
4. Хранение ключа: в зашифрованном виде отдельным ключом шифрования, не пишется в журналы, не показывается ни на одном экране и недоступен при входе поддержки.

11. Передача данных за пределы Израиля

Часть субпроцессоров работает за пределами Израиля, поэтому часть данных обрабатывается за границей. Страна каждого поставщика указана в приложении А отдельной колонкой: Германия и Эстония в Евросоюзе, США, Объединённые Арабские Эмираты (Telegram, только если вы подключили канал) и Израиль.

Выбирая поставщиков, мы предпочитаем тех, у кого опубликованы условия обработки данных, и ссылка на них стоит в приложении. Представителя в Евросоюзе у нас нет.

12. Сколько данные хранятся и что происходит в конце

• Полная таблица сроков хранения находится в политике приватности, mabitim.com/ru/privacy, и она единственный источник по срокам. Мы не дублируем её здесь, чтобы не было двух версий.
• В любой момент данные можно выгрузить из кабинета: архив в форматах JSON и CSV.
• По окончании подписки: разрешения у подключённых поставщиков отзываются на стороне самого поставщика, а токены удаляются; данные аккаунта и содержимое удаляются через 90 дней после отмены; платёжные записи и налоговые документы хранятся по требованиям закона; внутренние записи о расходе обезличиваются, то есть суммы остаются без связи с вами.
• Отзыв разрешения у поставщика обязателен, а не желателен. Если отзыв не прошёл по технической причине, у нас это остаётся открытым зарегистрированным событием, попытки продолжаются, и мы это не замалчиваем.
• Удаления раньше срока можно попросить письмом на privacy@mabitim.com, кроме того, что закон обязывает хранить.

13. Помощь с правами субъектов данных

• Если субъект данных обращается к вам с требованием ознакомиться, исправить или удалить, мы вам поможем: выгрузка, исправление и удаление делаются из кабинета, а в сложном случае мы поможем вручную.
• Если субъект данных обратится напрямую к нам, мы не станем решать за вас и не выдадим ему данные по своей инициативе: мы направим его к вам и сообщим вам об обращении.
• Если уполномоченный орган потребует от нас ваши данные, мы уведомим вас о требовании до передачи, если закон не запрещает нам уведомлять.

14. Срок действия, изменения и соотношение с другими документами

• Приложение действует всё время, пока мы обрабатываем данные для вас, и продолжает применяться к тому, что осталось у нас, до момента удаления.
• Существенное изменение приложения проводится так же, как изменение условий использования: уведомление заранее и повторный запрос согласия, с указанием версии текста (dpa-ru-v1 и далее). Обновление приложения А существенным изменением не является и делается по разделу 9.
• По любому вопросу, касающемуся данных, это приложение имеет приоритет над условиями использования. По всем остальным вопросам, включая оплату, лимиты и границы ответственности, приоритет у условий использования.

15. На какие нормы опирается документ

• תקנה 15 Правил защиты приватности (информационная безопасность), 2017: письменный договор с держателем данных обязан определять цели, категории данных, разрешённые действия, срок, порядок возврата или уничтожения данных по окончании и меры безопасности. Этому отвечают разделы 3, 4, 6, 12 и 14.
• Указание регистратора баз данных 2/2011 (передача обработки персональных данных на аутсорсинг): ответственность владельца базы за выбор обработчика, определение доступов, конфиденциальность, контроль и проверка. Этому отвечают разделы 5, 8 и 9.
• Закон о защите приватности, 1981, включая поправку 13 (в силе с 14.08.2025): обязанности владельца базы и держателя, права субъектов данных, уведомление об инциденте.
• Правила защиты приватности (информационная безопасность), 2017 в части уровня безопасности, управления доступами, журналирования и инцидентов.

Приложение А: список субпроцессоров

Последнее обновление: 01.09.2026. Список обновляется до того, как новый поставщик впервые получит данные (раздел 9).

Кого в списке нет: исходящая почта уходит с наших собственных серверов, а не через внешнего рассыльщика, то есть адреса ваших людей стороннему почтовому сервису не передаются. Новый поставщик, включая почтовый сервис, CDN или систему аналитики, попадёт в этот список до того, как получит данные.