Соглашение об обработке данных

Контролер (data controller): клиент Miridar CRM, определяющий цель и средства обработки данных, введённых в приложение.

Обработчик (data processor): Miridar (HR + IT агентство MiriDar SRL), обрабатывающий данные исключительно от имени клиента, согласно письменным инструкциям.

Miridar обрабатывает данные клиента в течение подписки плюс 90 дней после отмены (для финального экспорта). Типы данных включают:

• Контактные данные (имя, email, телефон контактов клиента)
• Данные сделок/контрактов (суммы, статус, история)
• HR-данные (если HR App активен): трудовые контракты, табели, отпуска, CV, документы
• Данные использования приложения (журнал аудита)

Miridar обязуется:

• Обрабатывать данные только по документированным инструкциям клиента.
• Обеспечивать конфиденциальность — доступ к данным ограничен авторизованным персоналом под NDA.
• Внедрять адекватные технические и организационные меры: TLS-шифрование при передаче, AES-256 при хранении, 2FA для персонала, журнал аудита, ежедневный бэкап, хостинг в ЕС.
• Помогать клиенту в ответах на запросы субъектов данных (доступ, исправление, удаление, переносимость).
• Уведомлять клиента без необоснованной задержки при инциденте безопасности.
• Допускать аудиты по разумному запросу с уведомлением за 30 дней.

Для предоставления сервиса Miridar использует следующих авторизованных субподрядчиков:

• Amazon Web Services (AWS) Frankfurt — хостинг, базы данных, бэкап (ЕС)
• Cloudflare — DNS и защита от DDoS
• Google (gtag/GA4) — агрегированная аналитика на маркетинговом сайте (НЕ в CRM-приложении)

Для BYO интеграций (AI: OpenAI / Anthropic; Email: Mailjet) клиент заключает договор напрямую с этим провайдером — Miridar только обеспечивает соединение, не передаёт собственных данных.

Уведомление за 30 дней до добавления нового субподрядчика. Клиент может возразить с обоснованием; если замена не найдена, договор может быть расторгнут без штрафа.

Данные остаются в ЕС на инфраструктуре AWS Frankfurt. Мы не передаём данные за пределы ЕЭЗ без правового основания GDPR (стандартные договорные условия или решение Европейской комиссии об адекватности).

Клиент как контролер отвечает за ответы на запросы субъектов данных (сотрудники, контакты). Miridar помогает технически — мы предоставляем:

• Полный экспорт данных (Excel, CSV, JSON) для запросов переносимости / доступа
• Функцию удаления данных для запросов 'право быть забытым'
• Журнал аудита для всех изменений по конкретному контакту

В случае инцидента Miridar уведомляет клиента в течение 72 часов с момента осведомлённости, с указанием:

• Природа инцидента
• Категории и приблизительное число субъектов данных
• Вероятные последствия
• Принятые или предложенные меры по устранению

В конце договора у клиента есть 90 дней на экспорт всех данных. После этого Miridar безвозвратно удаляет данные клиента из production в течение 30 дней, включая бэкапы (в нормальном 30-дневном цикле ретенции).

Этот DPA является неотъемлемой частью Условий, которые клиент принимает при подписании Cloud или Self-hosted подписки. Для физически/электронно подписанного DPA напишите на office@miridar.com — отправим в течение 2 рабочих дней.