Это Дополнение (DPA) — часть Условий использования Droply и применяется, когда Droply обрабатывает персональные данные от имени Продавца. Оно принимается отметкой «Принимаю Data Processing Addendum (DPA)» перед первой рассылкой.
/api/broadcast с указанием shopId; список получателей строится сервером из фактических прошлых заявок к этому магазину (buyersOfShop)./api/notify-followers-msg и автоматическое уведомление подписчиков о новом объявлении; получатели — пользователи, самостоятельно подписавшиеся на этот магазин./api/broadcast без shopId, запускается только владельцем платформы). Там Droply — самостоятельный контролёр получателей на основании их собственного явного маркетингового согласия (Политика конфиденциальности §3.2). Продавец, покупающий такую рассылку, — клиент рекламной услуги, а не контролёр данных получателей.1.1. Контролёр: Продавец (владелец магазина в системе). 1.2. Обработчик: Aleksandrs Valainis («Droply»).
| Элемент | Описание |
|---|---|
| Предмет | Отправка сообщений через бота Droply покупателям, ранее отправлявшим заявку этому Продавцу, и пользователям, подписавшимся на этот магазин |
| Срок | Пока Продавец пользуется функциями рассылки и уведомлений подписчиков |
| Характер | Хранение, отбор получателей, отправка, обработка отписок |
| Цель | Коммуникация Продавца со своей аудиторией |
| Субъекты данных | Покупатели, отправлявшие заявку этому Продавцу; подписчики магазина |
| Категории данных | Идентификатор Telegram; статус отписки; факт подписки на магазин. Специальные категории данных (GDPR ст. 9) обрабатывать запрещено. |
3.1. Продавец обязан иметь действительное правовое основание для каждой рассылки — по правилам ePrivacy и Закону об услугах информационного общества: (a) предварительное согласие получателя; либо (b) soft opt-in: контакт получен в контексте собственной продажи Продавца, рассылка касается только его собственных аналогичных товаров или услуг, и каждое сообщение содержит ясную и бесплатную возможность отписки.
3.2. Продавец может писать только тем покупателям, кто обращался именно к нему, и своим подписчикам. Список получателей формируется платформой автоматически; загрузить внешний список контактов невозможно.
3.3. К каждому сообщению рассылки автоматически добавляется строка отписки («Отключить рассылки — в приложении: Профиль → Настройки»); Продавец не вправе её удалять или маскировать.
3.4. Продавец отвечает за содержание сообщений, включая соблюдение правил о рекламе, ценах и недобросовестных практиках.
3.5. Технические ограничения, действующие на стороне платформы и не отменяющие обязанностей Продавца: длина сообщения — до 1 200 символов; сообщение подписчикам — не чаще одного раза в сутки на магазин; заблокированный магазин рассылать не может.
/api/broadcast), но не добавляется к сообщениям подписчикам и к автоматическому уведомлению о новом объявлении. Пока это не исправлено, Продавец обязан включать возможность отписки в текст сообщения самостоятельно, а Droply — добавить её в код.Droply: обрабатывает данные только по документированным указаниям Продавца (через интерфейс рассылки); обеспечивает конфиденциальность персонала; применяет технические и организационные меры Приложения 1; соблюдает условия о субобработчиках по §5; помогает Продавцу с правами субъектов данных (встроенная автоматическая отписка); помогает с соблюдением ст. 32–36; удаляет или возвращает данные после прекращения функции; предоставляет информацию для подтверждения соблюдения.
Продавец даёт общее разрешение на привлечение: Cloudflare (хостинг и инфраструктура — Workers, KV, D1, Queues, Durable Objects) и Telegram (доставка сообщений). Droply уведомляет об изменениях заранее.
Через Cloudflare — в рамках Рамок конфиденциальности данных ЕС–США и/или Стандартных договорных условий.
Droply уведомляет Продавца без неоправданной задержки о любом инциденте, затрагивающем данные, обрабатываемые по этому DPA.
При отключении функции рассылки или закрытии аккаунта база рассылки удаляется в течение 30 дней, кроме случаев, когда закон требует более длительного хранения.
При противоречии между этим DPA и Условиями в части обработки от имени Продавца преимущество имеет DPA.
BOT_TOKEN и др.) хранятся только как серверные переменные окружения, никогда в коде или в клиенте.shop_id, включая проверку прав на уровне запроса.| Субобработчик | Роль | Расположение | Гарантии |
|---|---|---|---|
| Cloudflare, Inc. | Хостинг и инфраструктура (Workers, KV, D1, R2, Queues, Durable Objects) | США / глобально | Сертификация DPF; SCC |
| Telegram | Доставка сообщений, Mini App | Не раскрывается Telegram | Уточняется: Telegram не публикует состав инфраструктуры, и механизм передачи подтверждается отдельно |
Stripe, Omniva, DPD и поставщики ИИ в этом DPA не участвуют: они обрабатывают данные в тех процессах, где контролёром выступает Droply или сам Продавец как самостоятельный контролёр. Их роль описана в Политике конфиденциальности §5.
Сверено с кодом (buyersOfShop, followersOf, отметка DPA, автоматическая строка отписки) по состоянию на 18 августа 2026 г. Требует проверки латвийским юристом, особенно в части роли Telegram в цепочке обработки.
This Addendum (DPA) is part of the Droply Terms of Service and applies whenever Droply processes personal data on behalf of the Seller. It is accepted via the "I accept the Data Processing Addendum (DPA)" checkbox before the first broadcast.
/api/broadcast with a shopId; the recipient list is built server-side from actual past enquiries to that shop (buyersOfShop)./api/notify-followers-msg and the automatic new-listing notification; recipients are users who chose to follow that shop./api/broadcast without shopId, which only the platform owner can run). There Droply is an independent controller of the recipients on the basis of their own explicit marketing consent (Privacy Policy §3.2). A Seller buying that broadcast is a customer of the promotion service, not a controller of the recipients' data.1.1. Controller: the Seller (shop owner in the system). 1.2. Processor: Aleksandrs Valainis ("Droply").
| Element | Description |
|---|---|
| Subject matter | Sending messages via the Droply bot to buyers who previously sent an enquiry to that Seller, and to users who follow that shop |
| Duration | For as long as the Seller uses the broadcast and follower-notification features |
| Nature | Storage, recipient selection, sending, opt-out handling |
| Purpose | The Seller's communication with its own audience |
| Data subjects | Buyers who enquired with this Seller; shop followers |
| Data categories | Telegram identifier; opt-out status; the fact of following a shop. No special-category data (GDPR Art. 9) may be processed. |
3.1. The Seller must have a valid legal basis for each message — under ePrivacy rules and the Latvian Information Society Services Law: (a) the recipient's prior consent; or (b) soft opt-in: the contact was obtained in the context of the Seller's own sale, the message concerns only the Seller's own similar goods or services, and every message includes a clear, free opt-out.
3.2. The Seller may only message buyers who enquired with that Seller, and its own followers. The recipient list is generated automatically by the platform; external contact lists cannot be uploaded.
3.3. An unsubscribe line is appended automatically to every broadcast message ("Turn off broadcasts — in the app: Profile → Settings"); the Seller must not remove or obscure it.
3.4. The Seller is responsible for message content, including compliance with rules on advertising, pricing and unfair practices.
3.5. Platform-side technical limits, which do not displace the Seller's own obligations: message length up to 1,200 characters; follower messages no more than once a day per shop; a banned shop cannot broadcast.
/api/broadcast) but is not appended to follower messages or to the automatic new-listing notification. Until this is fixed, the Seller must include an opt-out route in the message text, and Droply should add it in code.Droply: processes data only on the Seller's documented instructions (via the broadcast interface); ensures staff confidentiality; applies the technical and organisational measures in Annex 1; complies with the sub-processing terms in §5; assists the Seller with data-subject rights (built-in automatic opt-out); assists with Art. 32–36 compliance; deletes or returns data after the feature is discontinued; provides information to demonstrate compliance.
The Seller gives general authorisation for: Cloudflare (hosting and infrastructure — Workers, KV, D1, Queues, Durable Objects) and Telegram (message delivery). Droply notifies of changes in advance.
Via Cloudflare, under the EU–U.S. Data Privacy Framework and/or Standard Contractual Clauses.
Droply notifies the Seller without undue delay of any incident affecting data processed under this DPA.
On disabling the broadcast feature or closing the account, the broadcast base is deleted within 30 days, except where the law requires longer retention.
In case of conflict between this DPA and the Terms regarding processing on behalf of the Seller, this DPA prevails.
BOT_TOKEN and others) stored only as server-side environment variables, never in code or the client.shop_id, including per-request permission checks.| Sub-processor | Role | Location | Safeguard |
|---|---|---|---|
| Cloudflare, Inc. | Hosting and infrastructure (Workers, KV, D1, R2, Queues, Durable Objects) | USA / global | DPF certification; SCCs |
| Telegram | Message delivery / Mini App | Not disclosed by Telegram | Pending confirmation: Telegram does not publish its infrastructure locations, and the transfer mechanism is being confirmed separately |
Stripe, Omniva, DPD and the AI providers are not part of this DPA: they process data in flows where Droply, or the Seller as an independent controller, is the controller. Their role is described in Privacy Policy §5.
Reconciled with the code (buyersOfShop, followersOf, the DPA checkbox, the automatic unsubscribe line) as of 18 August 2026. Requires review by a Latvian lawyer, particularly regarding Telegram's role in the processing chain.
Šis Pielikums (DPA) ir Droply Lietošanas noteikumu daļa un piemērojams, kad Droply apstrādā personas datus Pārdevēja vārdā. Tas tiek pieņemts ar atzīmi "Pieņemu Data Processing Addendum (DPA)" pirms pirmās izsūtnes.
/api/broadcast ar norādītu shopId; saņēmēju sarakstu servera pusē veido no faktiskiem iepriekšējiem pieteikumiem šim veikalam (buyersOfShop)./api/notify-followers-msg un automātiskais paziņojums par jaunu sludinājumu; saņēmēji ir lietotāji, kas paši izvēlējušies sekot šim veikalam./api/broadcast bez shopId, ko var palaist tikai platformas īpašnieks). Tur Droply ir saņēmēju patstāvīgs pārzinis, pamatojoties uz viņu pašu skaidru mārketinga piekrišanu (Privātuma politikas §3.2). Pārdevējs, kas iegādājas šādu izsūtni, ir reklāmas pakalpojuma klients, nevis saņēmēju datu pārzinis.1.1. Pārzinis: Pārdevējs (veikala īpašnieks sistēmā). 1.2. Apstrādātājs: Aleksandrs Valainis ("Droply").
| Elements | Apraksts |
|---|---|
| Priekšmets | Ziņojumu sūtīšana caur Droply botu pircējiem, kas iepriekš sūtījuši pieteikumu šim Pārdevējam, un lietotājiem, kas seko šim veikalam |
| Ilgums | Kamēr Pārdevējs izmanto izsūtnes un sekotāju paziņojumu funkcijas |
| Būtība | Glabāšana, saņēmēju atlase, sūtīšana, atteikšanās apstrāde |
| Mērķis | Pārdevēja saziņa ar savu auditoriju |
| Datu subjekti | Pircēji, kas pieteikušies šim Pārdevējam; veikala sekotāji |
| Datu kategorijas | Telegram identifikators; atteikšanās statuss; sekošanas fakts. Īpašo kategoriju datus (GDPR 9. pants) apstrādāt aizliegts. |
3.1. Pārdevējam katrai izsūtnei jābūt spēkā esošam tiesiskam pamatam — saskaņā ar ePrivacy normām un Informācijas sabiedrības pakalpojumu likumu: (a) saņēmēja iepriekšēja piekrišana; vai (b) soft opt-in: kontakts iegūts paša Pārdevēja pārdošanas kontekstā, ziņojums attiecas tikai uz viņa paša līdzīgām precēm vai pakalpojumiem, un katrā ziņojumā ir skaidra un bezmaksas atteikšanās iespēja.
3.2. Pārdevējs drīkst rakstīt tikai tiem pircējiem, kas vērsušies tieši pie viņa, un saviem sekotājiem. Saņēmēju sarakstu platforma veido automātiski; ārēju kontaktu sarakstu augšupielādēt nav iespējams.
3.3. Katram izsūtnes ziņojumam automātiski tiek pievienota atteikšanās rinda ("Izslēgt izsūtnes — lietotnē: Profils → Iestatījumi"); Pārdevējs to nedrīkst dzēst vai maskēt.
3.4. Pārdevējs atbild par ziņojumu saturu, tostarp par reklāmas, cenu un negodīgas prakses noteikumu ievērošanu.
3.5. Platformas puses tehniskie ierobežojumi, kas neatceļ Pārdevēja pienākumus: ziņojuma garums līdz 1 200 zīmēm; ziņojums sekotājiem ne biežāk kā reizi diennaktī uz veikalu; bloķēts veikals izsūtni veikt nevar.
/api/broadcast), bet netiek pievienota ziņojumiem sekotājiem un automātiskajam paziņojumam par jaunu sludinājumu. Kamēr tas nav izlabots, Pārdevējam atteikšanās iespēja jāiekļauj ziņojuma tekstā pašam, bet Droply tā jāpievieno kodā.Droply: apstrādā datus tikai pēc Pārdevēja dokumentētiem norādījumiem (caur izsūtnes saskarni); nodrošina personāla konfidencialitāti; piemēro 1. pielikuma tehniskos un organizatoriskos pasākumus; ievēro §5 noteikumus par apakšapstrādātājiem; palīdz Pārdevējam ar datu subjektu tiesībām (iebūvēta automātiska atteikšanās); palīdz ar 32.–36. panta izpildi; dzēš vai atgriež datus pēc funkcijas pārtraukšanas; sniedz informāciju atbilstības apliecināšanai.
Pārdevējs dod vispārēju atļauju piesaistīt: Cloudflare (mitināšana un infrastruktūra — Workers, KV, D1, Queues, Durable Objects) un Telegram (ziņojumu piegāde). Droply par izmaiņām paziņo iepriekš.
Caur Cloudflare — ES–ASV Datu privātuma regulējuma un/vai Standarta līguma klauzulu ietvaros.
Droply bez nepamatotas kavēšanās informē Pārdevēju par jebkuru incidentu, kas skar saskaņā ar šo DPA apstrādātos datus.
Atslēdzot izsūtnes funkciju vai slēdzot kontu, izsūtnes bāze tiek dzēsta 30 dienu laikā, izņemot gadījumus, kad likums prasa ilgāku glabāšanu.
Pretrunas gadījumā starp šo DPA un Noteikumiem attiecībā uz apstrādi Pārdevēja vārdā priekšroka ir šim DPA.
BOT_TOKEN u.c.) glabājas tikai kā servera puses vides mainīgie, nekad kodā vai klientā.shop_id, tostarp tiesību pārbaude katram pieprasījumam.| Apakšapstrādātājs | Loma | Atrašanās vieta | Garantijas |
|---|---|---|---|
| Cloudflare, Inc. | Mitināšana un infrastruktūra (Workers, KV, D1, R2, Queues, Durable Objects) | ASV / globāli | DPF sertifikācija; SCC |
| Telegram | Ziņojumu piegāde / Mini App | Telegram to neatklāj | Tiek precizēts: Telegram nepublicē savas infrastruktūras atrašanās vietas, un pārsūtīšanas mehānisms tiek apstiprināts atsevišķi |
Stripe, Omniva, DPD un MI pakalpojumu sniedzēji šajā DPA nav iekļauti: tie apstrādā datus procesos, kuros pārzinis ir Droply vai pats Pārdevējs kā patstāvīgs pārzinis. To loma aprakstīta Privātuma politikas §5.
Saskaņots ar kodu (buyersOfShop, followersOf, DPA atzīme, automātiskā atteikšanās rinda) uz 2026. gada 18. augustu. Nepieciešama Latvijas jurista pārbaude, jo īpaši par Telegram lomu apstrādes ķēdē.