Здравствуйте, Алексей!
Да, компания подпадает по действие GDPR (Регламент Евросоюза о персональных данных), общеевропейский регламент о персональных данных предназначен для того, чтобы защитить конфиденциальность персональных данных граждан Евросоюза и контролировать то, каким образом компании и организации обрабатывают, хранят и используют эти данные. Таким образом, положение регламента применимо к любой компании любого размера вне зависимости от того, где она расположена и где произошло событие по передаче персональных данных. РФ также исполняет требования этого закона.
Также компания обязана исполнять требования 152-ФЗ, так как находится в РФ и подпадает под действие и этого закона.