REP27 · SaaS
Article 27 GDPR · SaaS i oprogramowanie
Firma programistyczna wchodzi w zakres GDPR wcześniej niż prawie każdy inny rodzaj działalności, zazwyczaj bez podjęcia decyzji. Nie ma wysyłki, nie ma magazynu, nie ma biura w Europie — tylko formularz rejestracyjny, który zaczyna przyjmować adresy w Unii. W momencie, gdy kwestionariusz dla przedsiębiorstw pyta o przedstawiciela, obowiązek często trwa już od roku.
Większość firm SaaS pełni obie role jednocześnie, a podział ma znaczenie dla rejestru, który prowadzi twój przedstawiciel.
| Dane | Twoja rola | Rejestr |
|---|---|---|
| Użytkownicy kont, fakturowanie, marketing | Administrator | Article 30(1) |
| Dane końcowych użytkowników, które przesyłają twoi klienci | Podmiot przetwarzający | Article 30(2) |
| Zgłoszenia wsparcia i logi sesji | Zazwyczaj podmiot przetwarzający | Article 30(2) |
| Analiza produktów na twojej stronie | Administrator | Article 30(1) |
| Dane pracowników i kontrahentów w UE | Administrator | Article 30(1) |
Europejscy nabywcy są zobowiązani na mocy Article 28 do korzystania tylko z podmiotów przetwarzających, które zapewniają wystarczające gwarancje, więc ich kwestionariusze nie są formalnością. Puste pole, w którym powinien być przedstawiciel, wysyła plik z powrotem do działu prawnego, a umowa opóźnia się o kwartał.
Europe Services SE, Praha, z podpisanym oznaczeniem obejmującym zadania Article 27 dla twojej firmy.
Tekst artykułów 13(1)(a) i 14(1)(a), generowany w każdym języku, który wspiera twój produkt.
Certyfikat z kodem, który rozwiązuje się na publicznej stronie, aby nabywca mógł sprawdzić bez kontaktowania się z tobą.
Twój rekord zgodnie z Artykułem 30 GDPR przechowywany w Unii i przedstawiany organowi na żądanie.
Fizyczne firmy wkraczają w GDPR w momencie, gdy mogą to zobaczyć: pierwsza wysyłka na europejski adres. Oprogramowanie wkracza w momencie, którego nikt nie rejestruje, dlatego obowiązek ten często jest odkrywany z opóźnieniem i retroaktywnie.
Produkt samodzielnego serwisu nie ma strażnika. Ktoś w Rotterdamie znajduje stronę docelową, rozpoczyna okres próbny i zaczyna przesyłać dane, a firma dowiaduje się o tym z pulpitu nawigacyjnego tygodnie później, jeśli w ogóle. Do tego momentu przetwarzanie trwa już miesiąc, a zwolnienie od okazjonalnego przetwarzania jest już niedostępne.
Wzrost oparty na produkcie jeszcze bardziej zaostrza tę sytuację. Strategia ma na celu usunięcie tarć między odkryciem a użyciem, co również usuwa każdy punkt, w którym mogło zostać zadane pytanie o jurysdykcję. Firmy, które nigdy nie wysłałyby fizycznego produktu na rynek bez sprawdzenia zasad, wysyłają tam oprogramowanie domyślnie, kilka razy dziennie.
Praktyczną odpowiedzią nie jest spowolnienie lejka. Chodzi o traktowanie tego oznaczenia jako części uruchamiania w Europie — tej samej kategorii co akceptacja płatności w euro lub publikacja umowy o przetwarzaniu danych, zrobionej raz i potem zapomnianej.
Tak. Kontakty biznesowe to dane osobowe: imiona, służbowe adresy e-mail, stanowiska i numery telefonów pracowników w Twoich firmach-klientach. Bycie B2B zmienia to, kim są osoby, których dane dotyczą, a nie to, czy regulacja ma zastosowanie.
Tak. Artykuł 3(2)(a) obejmuje oferowanie towarów lub usług niezależnie od tego, czy wymagana jest płatność. Bezpłatny okres próbny, warstwa freemium i bezpłatny klucz API to wszystko usługi.
Gdy identyfikują użytkowników i budują profile behawioralne, tak — to jest Artykuł 3(2)(b). Agregowane liczby odsłon stron bez identyfikatorów na poziomie użytkownika są dalej od granicy, ale większość stosów analityki produktu jest dobrze poza nią.
Nie. Zakres zależy od tego, gdzie są ludzie, a nie od tego, gdzie znajdują się dane. Lokalizacja hostingu ma znaczenie dla transferów, co jest osobnym pytaniem, na które odpowiada adekwatność lub Standardowe Klauzule Umowne.
Zazwyczaj obie te role, w różnych aspektach: administrator dla Twoich własnych posiadaczy kont, fakturowania i marketingu; procesor dla danych końcowych użytkowników, które Twoi klienci wprowadzają do produktu. Oznaczenie obejmuje Twoją firmę w obu rolach.
Imię i nazwisko przedstawiciela oraz adres pocztowy, treść w Twoim powiadomieniu o prywatności, a coraz częściej sposób na niezależne zweryfikowanie oznaczenia. Certyfikat z publicznym kodem odpowiada na wszystkie trzy pytania bez wątku e-mailowego.
W ciągu 24 godzin od wypełnienia formularza onboardingu. Treść powiadomienia o prywatności jest dołączona, więc publiczna część kwestionariusza może być odpowiedziana tego samego dnia.
Oznaczenie i certyfikat w ciągu 24 godzin, z treścią gotową do wklejenia do Twojego powiadomienia.
Zobacz ceny Uruchom bezpłatne sprawdzenie