Юридический аудит

SaaS-сервис и персональные данные

SaaS работает с данными не только клиента, но и его конечных пользователей. Проверьте форму регистрации, договор, упоминания подрядчиков и места хранения — это та прозрачность, которую ждут и бизнес, и розничный пользователь.

Опубликовано: · Обновлено: · Проверено:

SaaS-сервис и персональные данные
Схема Auteh Auteh · Proprietary — all rights reserved

SaaS-сервис — особый случай: он обрабатывает данные пользователей постоянно, а не только в момент заявки. Плюс к этому часто работает модель «сервис для бизнеса», где данные клиента — это данные его клиентов.

Кто в цепочке

РольПримерЧто важно
ОператорSaaS-компанияотвечает за прозрачность и права пользователей
Пользовательклиент, сотрудник клиентапередаёт данные, ожидает понятных правил
Обработчикихостинг, платёжки, поддержкаих надо перечислить
Конечный субъектчеловек, чьи данные загружаютчасто «невидим» для SaaS

Ключевой вопрос: понимает ли клиент SaaS, кто увидит данные его клиентов. Договор и политика должны это объяснять.

Что проверить на сайте

Форму регистрации. Объясните, зачем аккаунт и какие данные нужны. Идеально — минимум полей и отдельные согласия на рассылку.

Публичную оферту. Условия сервиса, тарифы, сроки. Если сервис хранит данные — где и как долго.

Политику персональных данных. Разделы: какие данные, цели, обработчики, трансграничная передача (если есть), сроки хранения, права пользователей.

Панель управления. Возможность скачать, изменить и удалить свои данные — сильный сигнал прозрачности.

Подрядчики: их больше, чем кажется

  • хостинг и CDN;
  • платёжный провайдер;
  • почтовый сервис (транзакционные письма);
  • аналитика;
  • служба поддержки (тикеты, чаты).

Каждый получает доступ к данным. Список в политике не обязан быть «секретным»: наоборот, это признак зрелости.

Локализация и передача данных

Если серверы за рубежом и данные передаются туда — это отдельная тема, о которой нужно говорить в документах и при необходимости готовить соответствующие условия. «Данные хранятся в облаке Amazon» без пояснений — слабая прозрачность для российского пользователя.

Что обычно упускают

  1. Договор не описывает право удаления данных.
  2. Политика молчит о подрядчиках.
  3. Согласие на рассылку «приклеено» к регистрации.
  4. Нет срока хранения логов.
  5. Зарубежная инфраструктура без пояснений.

> Начните с публичной части: формы, документы, упоминания сервисов. Проверьте сайт SaaS бесплатно.

Частые вопросы

SaaS-сервис всегда оператор персональных данных?

Обычно да, когда сервис собирает данные пользователей: аккаунт, платежи, содержимое. Вопрос «оператор или обработчик» решается по роли в конкретной цепочке.

Нужно ли постоянно хранить данные пользователей?

Нет. Храните то, что нужно для работы сервиса, и удаляйте по запросу или по истечении срока. Данные должны иметь срок жизни.

Что такое «обработчик» в SaaS?

Компания, которая обрабатывает данные по поручению оператора. Провайдер хостинга, сервис платежей, служба поддержки — типичные обработчики. Их нужно отразить в документах.

Влияет ли место хранения на требования?

Да, место хранения и передачи данных — важный фактор. Локальные и зарубежные площадки могут иметь разные условия, это стоит отражать в документах.

Что может проверить Auteh

Auteh анализирует публичную часть сайта и показывает признаки потенциальных проблем в выбранном направлении аудита. Результат — отчёт с найденными пунктами, а не юридическое заключение.

Источники