Data Processing Addendum (DPA)
Последнее обновление: 8 мая 2026.
Этот Addendum регулирует обработку персональных данных (PII) Marketing Engineering Studio (далее — «Processor», «Студия») при предоставлении услуг Клиенту (далее — «Controller»). Документ дополняет Условия использования и применяется автоматически ко всем engagements, где Студия обрабатывает PII Клиента или клиентов Клиента.
1. Стороны и роли
- Data Controller — Клиент, заказывающий услуги Студии
- Data Processor — Дмитрий Григорьев / Marketing Engineering Studio
- Sub-processors — третьи лица, перечисленные в Annex A
2. Категории данных
Студия может обрабатывать следующие категории PII:
2.1. PII клиентов Клиента
- Имена, email, телефоны
- Communication history (WhatsApp, voice calls, форма)
- Behavior data (clicks, page views, conversions) через GA4/GTM
- Attribution data (gclid, fbclid, utm)
- Записи диалогов с AI-агентами на Takli (если применимо)
2.2. Внутренние данные Клиента
- GSC / GA4 / Google Ads / Meta Ads access tokens
- Бизнес-метрики (revenue, CPA, ROAS)
- Customer lists для targeting (через Customer Match)
2.3. Категории НЕ обрабатываются
- Health data (special categories per GDPR Art. 9)
- Биометрия
- Данные несовершеннолетних (мы не работаем с аудиторией < 16)
3. Цели обработки
Только для предоставления услуг согласно подписанному Service Order:
- Audit / implementation работы
- Performance marketing operations
- Customer support / quality monitoring
- Reporting Клиенту
4. Технические меры безопасности
Согласно Israeli Privacy Protection Regulations (Information Security) 2017:
4.1. Encryption
- In transit: TLS 1.3 для всех соединений
- At rest: AES-256 для D1 database, S3-equivalent storage
- Backups: encrypted
4.2. Access Control
- Principle of least privilege — только Дмитрий имеет access к production data
- MFA required на все админ-аккаунты (Cloudflare, Google Workspace, Anthropic, OpenAI)
- Session timeout — 8 часов maximum
- No shared accounts — каждый sub-processor имеет отдельный аккаунт
4.3. Logging
- All access events logged в Cloudflare Logs
- Retention: 90 дней для access logs, 1 год для security events
- Logs immutable (write-once)
4.4. Изоляция
- Tenant isolation на Takli platform — Клиент A не видит данные Клиента B
- API key separation — каждый Клиент имеет свой Google Ads MCC link
5. Sub-processors (Annex A)
Студия использует следующих под-процессоров. Все имеют действующие DPA:
| Sub-processor | Роль | Местоположение | DPA link |
|---|---|---|---|
| Cloudflare, Inc. | Hosting, CDN, D1 database, Workers | US/EU/IL | link |
| Google LLC | GA4, GTM, Google Ads (после opt-in) | US/EU | link |
| Resend, Inc. | Transactional email | US | link |
| Anthropic PBC | LLM (Claude) для AI-ботов на Takli | US | link |
| OpenAI, L.L.C. | LLM (GPT-4) fallback | US | link |
| Twilio Inc. | Voice gateway (если используется) | US | link |
| Voicenter Ltd. | Israeli telco partner для voice (опционально) | IL | по запросу |
Изменения в списке sub-processors — уведомление Клиенту за 30 дней до подключения нового. У Клиента — право возразить (с возможным расторжением договора).
6. Cross-border transfers
При передаче данных за пределы Израиля или EEA Студия обеспечивает соответствие через:
- Standard Contractual Clauses (SCC) для US-located processors
- Adequacy decisions где применимо (UK, Switzerland)
7. Sub-processor Anthropic / OpenAI — особый порядок
При обработке диалогов AI-ботов на Takli:
- PII redaction server-side до отправки в LLM-провайдера (имена →
[NAME], email →[EMAIL], телефоны →[PHONE], финансовые числа →[AMOUNT]) - Zero data retention agreement с Anthropic (data not used for model training)
- EU/IL data residency где доступно
Для медицинских и финансовых клиентов — отдельный enhanced DPA с дополнительными гарантиями (HIPAA-style, не «HIPAA-compliant», поскольку HIPAA — US-specific regulation).
8. Data subject rights
Если data subject обращается напрямую к Студии (как Processor) — Студия:
- Идентифицирует subject через Controller (Клиент)
- Передаёт запрос Controller в течение 5 рабочих дней
- Выполняет инструкции Controller по запросу
9. Data breach notification
В случае data breach Студия:
- Уведомляет Controller в течение 24 часов с обнаружения
- Предоставляет available info (затронутые данные, возможный impact, mitigation steps)
- Сотрудничает с Controller в выполнении PPL Amendment 13 / GDPR notification requirements
10. Audit rights
Controller имеет право проводить (или нанимать independent auditor для проведения) audit Студии раз в 12 месяцев. Расходы на audit несёт Controller, кроме случаев когда audit обнаруживает material non-compliance со стороны Студии.
11. Возврат и удаление данных
После завершения engagement Студия по выбору Controller:
- Возвращает все PII в machine-readable формате
- Удаляет все копии (включая backups) в течение 30 дней
Подтверждение удаления — письменное certificate of deletion.
12. Срок действия
Этот DPA вступает в силу одновременно с подписанием первого Service Order между Студией и Клиентом и действует на срок всех engagements + retention periods согласно Privacy Policy.
13. Контакт
DPO Студии: [email protected] (тема «DPA Inquiry»).
См. также: Политика конфиденциальности, Условия использования.