REP27 · SaaS
Artigo 27 GDPR · SaaS e software
Uma empresa de software entra no GDPR mais cedo do que quase qualquer outro tipo de negócio, e geralmente sem uma decisão ser tomada. Não há envio, não há armazém, não há escritório europeu — apenas um formulário de inscrição que começa a aceitar endereços na União. Quando um questionário empresarial pergunta pelo representante, a obrigação muitas vezes já está em vigor há um ano.
A maioria das empresas de SaaS desempenha ambos os papéis simultaneamente, e a divisão é importante para o registo que o seu representante mantém.
| Dados | O seu papel | Registo |
|---|---|---|
| Titulares de contas, faturação, marketing | Controlador | Artigo 30(1) |
| Dados de utilizador final que os seus clientes carregam | Processador | Artigo 30(2) |
| Tickets de suporte e registos de sessão | Normalmente processador | Artigo 30(2) |
| Análise de produtos no seu próprio site | Controlador | Artigo 30(1) |
| Dados de empregados e contratados na UE | Controlador | Artigo 30(1) |
Os compradores europeus são obrigados, ao abrigo do Artigo 28, a utilizar apenas processadores que forneçam garantias suficientes, portanto, os seus questionários não são uma formalidade. Um campo em branco onde o representante deveria estar envia o arquivo de volta para o jurídico, e o negócio escorrega um trimestre.
Europe Services SE, Praga, com uma designação assinada cobrindo as tarefas do Artigo 27 para a sua empresa.
Texto dos Artigos 13(1)(a) e 14(1)(a), gerado em cada língua que o seu produto suporta.
Um certificado com um código que resolve numa página pública, para que um comprador possa verificar sem contactá-lo.
O seu registo do Artigo 30 mantido dentro da União e apresentado a uma autoridade a pedido.
As empresas físicas cruzam-se com o GDPR num momento que conseguem ver: o primeiro envio para um endereço europeu. O software cruza-se num momento que ninguém regista, razão pela qual a obrigação é frequentemente descoberta tardiamente e retroativamente.
Um produto de autoatendimento não tem um guardião. Alguém em Roterdão encontra a página de destino, inicia um teste e começa a carregar dados, e a empresa toma conhecimento disso através de um painel semanas depois, se é que toma. Até lá, o processamento tem sido contínuo durante um mês e a isenção de processamento ocasional já não está disponível.
O crescimento orientado para o produto torna isso ainda mais agudo. A estratégia é concebida para remover atritos entre a descoberta e o uso, o que também remove todos os pontos em que uma questão jurisdicional poderia ter sido colocada. Empresas que nunca enviariam um produto físico para um mercado sem verificar as regras enviam software para lá por padrão, várias vezes ao dia.
A resposta prática não é desacelerar o funil. É tratar a designação como parte do lançamento na Europa — a mesma categoria que aceitar pagamentos em euros ou publicar um acordo de processamento de dados, feito uma vez e depois esquecido.
Sim. Os contactos comerciais são dados pessoais: nomes, endereços de e-mail de trabalho, cargos e números de telefone de funcionários nas suas empresas clientes. Ser B2B muda quem são os titulares dos dados, não se a regulamentação se aplica.
Sim. O Artigo 3(2)(a) cobre a oferta de bens ou serviços independentemente de ser necessário pagamento. Um teste gratuito, um nível freemium e uma chave de API gratuita são todos serviços.
Onde identificam utilizadores e constroem perfis comportamentais, sim — isso é o Artigo 3(2)(b). Contagens agregadas de visualizações de página sem identificadores a nível de utilizador estão mais distantes da linha, mas a maioria das pilhas de análises de produtos está bem além disso.
Não. O âmbito segue onde estão as pessoas, não onde os dados estão. A localização do alojamento é importante para transferências, que é uma questão separada respondida por adequação ou Cláusulas Contratuais Padrão.
Geralmente ambos, em diferentes aspectos: controlador para os seus próprios titulares de conta, faturação e marketing; processador para os dados do utilizador final que os seus clientes colocam no produto. A designação cobre a sua empresa em ambas as capacidades.
O nome e o endereço postal do representante, a redação no seu aviso de privacidade e, cada vez mais, uma forma de verificar a designação de forma independente. Um certificado com um código público responde a todos os três sem uma troca de e-mails.
Dentro de 24 horas após o preenchimento de um formulário de integração. A redação do aviso de privacidade vem com ele, para que a parte pública do questionário possa ser respondida no mesmo dia.
Designação e certificado dentro de 24 horas, com redação pronta para colar no seu aviso.
Ver preços Executar a verificação gratuita