Соглашение об обработке данных
Настоящее Соглашение об обработке данных (DPA) заключено на основании статьи 28 Общего регламента по защите данных (GDPR) и является частью Условий использования. Оно регулирует обработку персональных данных компанией ClientFlow от имени наших клиентов.
Версия 2.2 | Последнее обновление: 5 октября 2026
1. Стороны
Контролер данных
Вы, клиент (лицо, определяющее цели и средства обработки)
Обработчик данных
ClientFlow (обрабатывает персональные данные от вашего имени)
1.1 Область обработки
Это DPA применяется к обработке персональных данных, когда:
- ClientFlow обрабатывает персональные данные от имени Контролера в рамках предоставления Сервиса
- Обработка связана с управлением клиентскими отношениями Контролера
- Субъектами данных являются клиенты и деловые контакты Контролера
- ClientFlow — это программное обеспечение для управления бизнесом, а не система медицинских записей или клиническая система. Если Контролер записывает сведения о здоровье или другие данные особых категорий о своих клиентах, правовое основание определяет Контролер, он же получает необходимое явное согласие, а ClientFlow обрабатывает эти данные только по документированным инструкциям Контролера
Деятельность по обработке
- Хранение и организация контактной информации клиентов
- Запись и отслеживание платежных транзакций
- Отправка авторизованных коммуникаций (напоминания, уведомления)
- Создание аналитики и отчетов на основе агрегированных данных
2. Категории данных
| Категория | Примеры | Назначение |
|---|---|---|
| Данные аккаунта | Электронная почта, имя, фото профиля | Доступ к сервису |
| Данные клиентов | Имена клиентов, телефоны, электронные адреса | Функциональность CRM |
| Записи о платежах | Суммы, даты, статусы | Отслеживание платежей |
| Данные об использовании | Время входа, использование функций | Безопасность, улучшение |
3. Обязательства обработчика
Мы будем:
- Обрабатывать данные только по вашим документированным инструкциям
- Обеспечивать соблюдение конфиденциальности персоналом
- Применять соответствующие меры безопасности
- Помогать с запросами субъектов данных
- Уведомлять вас о нарушениях данных в течение 72 часов
- Удалять данные после прекращения (после периода хранения)
4. Меры безопасности
Технические
- TLS (передача)
- AES-256-GCM при хранении (заметки о сессиях, записи о результатах, учётные данные интеграций, платёжные токены, секреты двухфакторной аутентификации)
- Аутентификация OAuth 2.0
- Контроль доступа на основе ролей
- Автоматизированный мониторинг и оповещения
Организационные
- Письменные политики безопасности и обработки данных
- Процедура реагирования на инциденты
- Проверки поставщиков и субпроцессоров
- Обязательства о конфиденциальности для всех лиц с доступом к данным
- Управление изменениями для продуктивных систем
5. Суб-обработчики
Мы используем следующих авторизованных суб-обработчиков:
| Поставщик | Сервис | Местоположение | Механизм передачи |
|---|---|---|---|
| Hetzner Cloud | Облачная инфраструктура и хостинг | Germany | Обрабатывается в пределах ЕС/ЕЭП |
| Vercel | Хостинг и доставка фронтенда | Frankfurt, Germany (FRA1) | Стандартные договорные положения + Рамочное соглашение ЕС–США о конфиденциальности данных |
| Cloudflare | Доставка контента и хранение файлов | Global edge network (EU primary storage) | Стандартные договорные положения + Рамочное соглашение ЕС–США о конфиденциальности данных |
| iyzico | Обработка платежей | Istanbul, Turkey | Стандартные договорные положения (ещё не вступили в силу) |
| Resend | Доставка транзакционных электронных писем | United States | Стандартные договорные положения |
| Sentry | Мониторинг ошибок и диагностика | United States | Стандартные договорные положения |
| Google (OAuth, Analytics) | Вход в систему и аутентификация | United States | Стандартные договорные положения + Рамочное соглашение ЕС–США о конфиденциальности данных |
| Firebase Cloud Messaging | Push-уведомления | United States | Стандартные договорные положения + Рамочное соглашение ЕС–США о конфиденциальности данных |
| Expo (push relay, OTA updates) | Push-уведомления | United States | Стандартные договорные положения |
| WhatsApp Business API | Обмен сообщениями через WhatsApp | Ireland (contracting) + global (Meta infrastructure) | Стандартные договорные положения |
| Apple (Sign in with Apple) | Вход в систему и аутентификация | United States | Стандартные договорные положения |
| Anthropic (Claude) | Обработка данных ИИ-ассистентом и чат-ботом | United States | Стандартные договорные положения + Рамочное соглашение ЕС–США о конфиденциальности данных |
| OpenAI | Обработка данных ИИ-ассистентом и чат-ботом | United States | Стандартные договорные положения + Рамочное соглашение ЕС–США о конфиденциальности данных |
| Groq | Обработка данных ИИ-ассистентом и чат-ботом | United States | Стандартные договорные положения (ещё не вступили в силу) |
| Meta (Facebook Login) | Вход в систему и аутентификация | Ireland (EEA controller) + global (Meta infrastructure) | Стандартные договорные положения (ещё не вступили в силу) |
| Google (reCAPTCHA) | Защита от ботов и злоупотреблений | United States | Стандартные договорные положения (ещё не вступили в силу) |
| Google (Gmail, customer-connected) | Доставка транзакционных электронных писем | United States | Стандартные договорные положения (ещё не вступили в силу) |
| Google (Calendar sync, customer-connected) | Синхронизация календаря | United States | Стандартные договорные положения (ещё не вступили в силу) |
| Microsoft (Outlook mail, customer-connected) | Доставка транзакционных электронных писем | United States | Стандартные договорные положения (ещё не вступили в силу) |
| Apple (iCloud Mail, customer-connected) | Доставка транзакционных электронных писем | United States | Стандартные договорные положения (ещё не вступили в силу) |
| Apple (iCloud Calendar, customer-connected) | Синхронизация календаря | United States | Стандартные договорные положения (ещё не вступили в силу) |
| Yahoo (Yahoo Mail, customer-connected) | Доставка транзакционных электронных писем | United States | Стандартные договорные положения (ещё не вступили в силу) |
| OpenStreetMap (map tiles, address search) | Отображение карт и поиск адресов | United Kingdom and Netherlands (tile requests: global CDN) | Стандартные договорные положения (ещё не вступили в силу) |
| CARTO (dark-theme map tiles) | Отображение карт и поиск адресов | United States | Стандартные договорные положения (ещё не вступили в силу) |
Уведомление об изменениях
Мы уведомим вас о любых предполагаемых изменениях в субобработчиках:
- Предварительное уведомление не менее чем за 14 дней до добавления или замены субобработчиков
- Уведомление по электронной почте на адрес электронной почты вашей зарегистрированной учетной записи
- Вы можете возразить против изменений в течение 14 дней, связавшись с нами
- Если ваше возражение не может быть разрешено, вы можете прекратить действие затронутых услуг
5.1 Права на аудит
Контролер имеет право проверять соблюдение этого DPA:
- Запрашивать соответствующую документацию и сертификаты
- Проводить аудиты с уведомлением не менее чем за 30 дней
- Аудиты должны проводиться в обычные рабочие часы
- Аудитор должен подписать соглашение о конфиденциальности
Область аудита
- Меры безопасности и технические защитные меры
- Соответствие субобработчиков
- Процедуры обработки данных
- Возможности реагирования на инциденты
Расходы на аудит несет Контролер, если только аудит не выявит существенного несоответствия.
6. Хранение и удаление данных
Мы храним персональные данные только в течение срока, необходимого для описанных целей, или в течение срока, установленного применимым налоговым и коммерческим законодательством.
| Срок | Действие |
|---|---|
| По запросу на удаление учётной записи | Данные клиентов безвозвратно удаляются вместе с вашим аккаунтом: не позднее чем через сутки после окончания 30-дневного льготного периода, следующего за запросом на удаление на нашем сайте (до конца этого периода запрос можно отменить), или в течение 3 дней, если аккаунт удалён в приложении для iOS. Счета, квитанции и сметы, которые вы выставляете своим клиентам, — это ваши записи; они удаляются вместе с вашим аккаунтом в те же сроки. |
| После удаления аккаунта | Собственные бухгалтерские записи ClientFlow о вашей подписке (наши счета вам) хранятся в анонимизированном виде (без персональных данных) как минимум столько, сколько требует налоговое и коммерческое законодательство. |
| При расторжении | При удалении вами аккаунта персональные данные удаляются в течение 31 дня (в течение 3 дней в приложении для iOS), за исключением записей, которые мы обязаны хранить (например, журналов аудита и анонимизированных платёжных записей); зашифрованные резервные копии обновляются в течение 90 дней. Отмена подписки данные не удаляет |
7. Положения CCPA
Согласно CCPA, мы действуем как «Поставщик услуг» и:
- Обрабатываем данные только для указанных деловых целей
- Не продаем персональную информацию
- Помогаем с запросами прав потребителей
- Применяем разумные меры безопасности
8. Уведомление о нарушении данных
В случае нарушения персональных данных мы обязуемся следующему:
График уведомления
- Уведомить вас в течение 72 часов с момента обнаружения нарушения
- Предоставить первоначальную оценку масштаба и воздействия нарушения
- Предоставить подробное письменное уведомление в течение 5 рабочих дней
Содержание уведомления
- Характер нарушения, включая категории и приблизительное число затронутых субъектов данных
- Контактные данные для вопросов конфиденциальности
- Описание вероятных последствий нарушения
- Принятые или предлагаемые меры по устранению нарушения
- Меры по смягчению возможных негативных последствий
Мы будем полностью сотрудничать с вашим расследованием и любыми регулирующими запросами, а также помогать с уведомлениями о нарушениях надзорным органам и затронутым лицам в соответствии с применимым законодательством.
9. Международные передачи данных
Когда персональные данные передаются за пределы Европейской экономической зоны (ЕЭЗ), мы опираемся на гарантии, указанные для каждого получателя на нашей странице субобработчиков, где также показано, где гарантия ещё не действует:
Механизмы передачи
Решения об адекватности ЕС
Передачи в страны, признанные адекватными Европейской комиссией
Рамочное соглашение о конфиденциальности данных ЕС-США
Для процессоров из США, сертифицированных по DPF
Стандартные договорные оговорки (SCC)
Утвержденные Комиссией ЕС оговорки (версия 2021 года) для других передач
Мы проводим оценку воздействия передачи, где это требуется, и внедряем дополнительные меры (технические, организационные и договорные) при необходимости для обеспечения по существу эквивалентного уровня защиты.
Вы можете запросить копии соответствующих механизмов передачи по запросу.
10. Ответственность и возмещение ущерба
Ответственность процессора
ClientFlow несет ответственность за ущерб, причиненный в результате обработки, не соответствующей настоящему DPA, или в случае, если мы действовали вне или вопреки законным инструкциям Контролера.
Ответственность контролера
Контроллер несет ответственность за ущерб, причиненный обработкой, которая нарушает применимый закон о защите данных или не соответствует обязательствам Контролера в соответствии с настоящим DPA.
Ограничения
- Ни одна из сторон не несет ответственности за косвенный, случайный или косвенный ущерб
- Общая совокупная ответственность по этому DPA ограничена сборами, уплаченными за 12 месяцев, предшествующих иску
- Эти ограничения не применяются к нарушениям конфиденциальности, умышленным неправомерным действиям или грубой небрежности
Каждая сторона соглашается возместить другой стороне ущерб от претензий третьих лиц, возникающих в результате нарушения возмещающей стороной этого DPA или применимых законов о защите данных.
11. Прекращение и возврат данных
Срок действия
Настоящее DPA остается в силе на протяжении всего срока действия Соглашения об оказании услуг и до тех пор, пока мы обрабатываем персональные данные от вашего имени.
При прекращении
- По вашему выбору мы вернём или удалим ваши персональные данные в течение 31 дня, за исключением записей, которые мы обязаны хранить (например, журналов аудита и анонимизированных платёжных записей)
- Вы можете запросить экспорт данных в общепринятом машиночитаемом формате
- Мы предоставим сертификат удаления по запросу
- Данные могут быть сохранены, если это требуется применимым законодательством
Разделы, касающиеся конфиденциальности, ответственности и прав на защиту данных, остаются в силе после прекращения действия этого DPA.