Подрядчик по рекламе получает доступ к клиентской базе. Как оформить передачу и ответственность?

Доступ рекламного подрядчика к базе оформляется поручением на обработку, а не общей оговоркой о конфиденциальности. Поручение должно ограничивать данные, операции, цели, срок, субподрядчиков, безопасность и реагирование на инциденты.

Сначала нужно определить, действительно ли подрядчику требуется персональная база. Для настройки аудитории иногда достаточно обезличенного сегмента, хэшированных идентификаторов или выполнения операции самим оператором. Передача полной CRM «для удобства» нарушает принцип минимизации и увеличивает последствия утечки.

Если подрядчик действует по поручению, в договоре перечисляют данные и действия: загрузка телефонов, рассылка, аналитика, удаление дублей и т. п. Устанавливают запрет на собственные цели, порядок привлечения субподрядчиков, требования к доступу, хранению и удалению, обязанность предоставлять подтверждающие документы и немедленно сообщать об инциденте. Перед субъектами за обработку подрядчика отвечает оператор.

Отдельно проверяют основание рекламного контакта и правила конкретной рекламной платформы. Поручение не создаёт согласие на рекламу и не разрешает передавать базу иностранному сервису без проверки локализации и трансграничной процедуры.

Что делать по шагам

1. Сократить объём данных

Передавайте только идентификаторы и сегменты, необходимые для конкретной кампании.

2. Описать операции и цель

Зафиксируйте, что именно подрядчик делает и какой результат должен вернуть.

3. Заключить поручение на обработку

Включите обязательные требования закона, безопасность, аудит и инциденты.

4. Проверить рекламное основание

Убедитесь, что контакты и аудитории используются законно и в заявленных целях.

5. Контролировать удаление

После кампании получите подтверждение удаления копий и прекращения доступов.

Какие документы и доказательства собрать

Риски, сроки и исключения

Собственная цель подрядчика

Использование базы для других клиентов превращает его в самостоятельного оператора и нарушает поручение.

Вся CRM вместо сегмента

Избыточная передача увеличивает ответственность и не нужна для задачи.

Иностранная платформа

Могут возникнуть локализация и трансграничная передача.

Поручение без рекламного основания

Договор с подрядчиком не заменяет требования к рассылке и рекламе.

Когда общего ответа недостаточно

Нужен аудит, если подрядчик уже выгрузил всю базу, использует зарубежные сервисы, привлекает неизвестных субподрядчиков, нет возможности удалить копии или планируется массовая рассылка.

Связанные материалы

• Сотрудник отправил клиентскую базу не тому адресату. Считается ли это инцидентом и что делать сразу? — https://oreshkin-urist.ru/vopros-otvet/sotrudnik-otpravil-klientskuyu-bazu-ne-tomu-adresatu/

• В офисе установлены камеры с записью звука. Какие уведомления и основания нужны работодателю? — https://oreshkin-urist.ru/vopros-otvet/ofise-ustanovleny-kamery-zapisyu-zvuka-uvedomleniya-osnovaniya/

• Персональные данные для бизнеса — https://oreshkin-urist.ru/uslugi/personalnye-dannye/

О правовой оценке

Ответ носит общий информационный характер. Правовая оценка зависит от документов, сроков, фактических действий сторон и редакции применимых правил на дату события.