Настоящая политика объясняет, как 333CRM обрабатывает персональные данные, которые компании-клиенты хранят в приложении, и какие инструменты мы им даём для соблюдения Закона Республики Молдова № 195/2024 о защите персональных данных, а для лиц, находящихся в Европейском союзе, — Регламента (ЕС) 2016/679 (GDPR). К данным, которые мы обрабатываем от своего имени (посетители сайта, запросы на демонстрацию, пользователи учётных записей, выставление счетов), применяется Политика конфиденциальности.
Кто какую роль выполняет
- Компания-клиент — контролёр. Она решает, какие данные о своих клиентах хранить в 333CRM, с какой целью и как долго.
- 333CRM — обработчик. Servicii complete SRL, бул. Москова, 21, мун. Кишинёв, Республика Молдова, IDNO 1020600001417, обрабатывает эти данные только для оказания услуги и только по указаниям компании-клиента.
- Субъекты данных — клиенты и контакты компании-клиента: те, кто ей пишет, звонит или значится в её карточках.
Соглашение об обработке данных
С каждой компанией-клиентом вместе с договором мы заключаем соглашение об обработке данных. В нём мы обязуемся:
- обрабатывать данные только по документально оформленным указаниям компании-клиента;
- не использовать данные в других целях и не продавать их;
- обеспечить, чтобы лица, работающие с данными, были связаны обязательством конфиденциальности;
- применять описанные ниже меры безопасности;
- привлекать других поставщиков только на описанных ниже условиях;
- помогать компании-клиенту отвечать на запросы субъектов данных и уведомлять её о любом нарушении безопасности данных;
- по окончании договора вернуть или удалить данные;
- предоставлять сведения, необходимые для подтверждения соблюдения этих обязательств.
Инструменты GDPR в 333CRM
- Экспорт данных о человеке. По контакту приложение готовит архив с его данными, его идентификаторами в каналах, всеми диалогами с сообщениями по порядку и файлами, отправленными и полученными в них.
- Удаление по запросу. Персональные данные контакта анонимизируются, а содержимое каждого сообщения заменяется. Диалоги остаются только для статистики и больше не позволяют установить личность. Чтобы удаление не произошло по ошибке, его подтверждают, вводя email или полное имя контакта.
- Согласие. В каждом контакте хранится, дал ли он согласие, дата, источник и дата отзыва согласия.
- Исправление. Данные исправляются прямо в карточке контакта, а каждое изменение остаётся в истории карточки.
- Список запросов. Запросы на экспорт и удаление видны в списке вместе со статусом каждого.
- Кто имеет доступ. На экспорт и удаление выдаются отдельные разрешения, которые администратор компании предоставляет только нужным ролям.
- Журнал аудита. Каждый экспорт, удаление и изменение поля регистрируются. По умолчанию журнал хранится 7 лет и архивируется через 12 месяцев; компания может выбрать другие сроки в настройках.
Запросы субъектов данных
Запросы о данных в 333CRM рассматривает компания-клиент как контролёр с помощью описанных выше инструментов.
Безопасность данных
- Соединения шифруются (HTTPS с HSTS).
- Данные каждой компании отделены от данных других компаний, а доступ в учётной записи зависит от роли.
- Двухэтапная аутентификация обязательна для администраторов и может требоваться для других ролей.
- Пароли содержат не менее 12 символов и хранятся только в виде хеша; после 5 неудачных попыток учётная запись блокируется на 15 минут.
- Ключи доступа, токены каналов и секреты аутентификации хранятся в зашифрованном виде.
- Загружаемые файлы проверяются антивирусом.
Где хранятся данные и кто нам помогает
На поставщиков, которые обрабатывают данные от нашего имени, мы по договору возлагаем те же обязательства по защите данных, что и на себя.
Данные передаются за пределы Республики Молдова только с гарантиями, которых требует Закон № 195/2024, например стандартными договорными положениями.
Каналы и сервисы, которые компания-клиент подключает сама (WhatsApp, Instagram, Telegram, Stripe и другие), получают данные через её собственные учётные записи у этих поставщиков, по её выбору.
Нарушения безопасности данных
Если нам становится известно о нарушении безопасности данных компании-клиента, мы уведомляем её без неоправданной задержки, сообщая, что нам известно о характере нарушения, затронутых данных и лицах, вероятных последствиях и принятых мерах. Так компания сможет вовремя уведомить надзорный орган и, если нужно, субъектов данных.
По окончании договора
До окончания договора компания-клиент может экспортировать свои данные.
Контакты
По вопросам об этой политике или о соглашении об обработке данных пишите нам по адресу servicii.complete.srl@gmail.com.
Надзорный орган — Национальный центр по защите персональных данных (CNPDCP), str. Serghei Lazo 48, MD-2004 Chișinău, datepersonale.md.