Какие данные и процессы нужно охватить

Начинать следует не с универсальной политики, а с перечня данных и операций. Имя и телефон покупателя, паспортные сведения представителя, данные сотрудников, видеозапись и история обращений используются по-разному и требуют разных оснований, сроков и уровней доступа.

Мы определим, какие данные сотрудники предприятия собирают, откуда получают, для чего используют, где хранят и кому передают. Затем сопоставим этот порядок с договорами, формами на сайте, настройками CRM и обязанностями сотрудников.

Если компания работает с иностранными клиентами, облачными сервисами или группой предприятий, международную передачу и требования других юрисдикций проверяют отдельно для конкретной схемы.

Что входит в аудит

В зависимости от деятельности мы проверяем:

• формы на сайте, анкеты, договоры и уведомления;
• данные клиентов, работников, кандидатов и представителей контрагентов;
• цели и правовые основания обработки;
• доступ сотрудников и распределение ответственности;
• хранение бумажных и электронных документов;
• передачу бухгалтерам, CRM, хостингу, службам доставки и другим поставщикам;
• порядок ответа на обращения физических лиц;
• действия при ошибочной отправке, утрате доступа или другом инциденте.

Результат аудита показывает, какие документы уже работают, что нужно обновить и какие технические или организационные меры следует согласовать с ответственными сотрудниками.

Документы для клиентов и сайта

Посетитель сайта должен понимать, какие сведения он передаёт и для чего. Мы подготовим или проверим политику конфиденциальности, текст согласия, уведомления для форм и условия использования файлов cookie, если они применяются.

Для договоров с клиентами и партнёрами определяются роли сторон, состав данных, цель передачи, меры защиты и порядок взаимодействия при обращениях или инцидентах. Формулировки должны соответствовать фактическому обмену, а не описывать сервисы, которыми компания не пользуется.

Если форма направляет данные через внешнего поставщика, это учитывается в документах и настройках доступа.

Внутренний порядок компании

Для сотрудников нужен простой ответ на четыре вопроса: какие данные можно получать, где их хранить, кому передавать и когда удалять или архивировать. УБК может подготовить положение, инструкции, обязательства о конфиденциальности, матрицу доступа и формы для обработки обращений.

В кадровом процессе отдельно проверяются анкеты кандидатов, личные дела, документы по оплате и доступ руководителей. Для продаж и поддержки — CRM, записи разговоров, рассылки и история обращений.

Мы согласуем юридическую часть с тем, как устроены доступы, резервное копирование и работа подрядчиков. При необходимости к проекту подключается специалист по информационной безопасности.

Поставщики сервисов и действия при инциденте

CRM, хостинг, облачная бухгалтерия, рассылка, телефония и служба доставки получают разные наборы сведений. Перед подключением поставщика важно определить, какие данные ему действительно нужны, где они хранятся, кто получает доступ и как компания забирает информацию после завершения договора.

Мы проверим договорные условия и распределим обязанности сторон. Внутри компании назначается сотрудник, который знает перечень поставщиков и может быстро связаться с ними при запросе клиента или техническом событии.

Для инцидента нужен короткий рабочий порядок. Сотрудник фиксирует время и обстоятельства, сохраняет техническую информацию, ограничивает дальнейший доступ и сообщает ответственному лицу. Затем директор предприятия определяет затронутые данные, круг лиц, необходимые уведомления и меры для восстановления нормальной работы.

УБК поможет подготовить форму регистрации события, список контактов и шаблоны коммуникации. Юридическую оценку мы проводим по фактическим обстоятельствам и применимым требованиям. После завершения причины и принятые меры включаются в итоговый документ, который используется для улучшения доступа, инструкций и договоров с поставщиками.

Запросы клиентов и сотрудников

Компания должна уметь найти сведения о конкретном человеке и понять, откуда они получены, для чего используются и кому переданы. Мы подготовим порядок приёма запроса, проверки личности заявителя, поиска информации в подразделениях и согласования ответа. Ответственный сотрудник получает форму, по которой собирает данные у маркетинга, кадровой службы, бухгалтерии и IT без лишней переписки.

Если запрос касается исправления, удаления или прекращения отдельной операции, решение принимается с учётом цели обработки и обязательных сроков хранения документов. Нельзя обещать удаление записи, которую компания обязана сохранять, но можно ограничить использование в других процессах и объяснить принятое действие.

Для корпоративного клиента полезно заранее подготовить описание мер защиты и роли сторон. Это ускоряет согласование договора: коммерческая команда отвечает на вопросы из готового комплекта, а нестандартные требования передаёт юристу и специалисту по информационной безопасности.

Результат и стоимость

Вы получите карту основных операций, перечень необходимых изменений и комплект документов для клиентов, сотрудников и поставщиков. Компания сможет использовать данные в согласованном порядке и быстрее отвечать на запросы партнёров и корпоративных клиентов.

Стоимость зависит от числа процессов, сайтов, систем, подразделений и подрядчиков, а также от необходимости международного анализа. После первичной анкеты мы определим объём и согласуем стоимость.

Что передать для аудита

Направьте формы сайта, клиентские договоры, кадровые документы, перечень информационных систем и подрядчиков, которые получают данные. Укажите ответственных и известные вопросы пользователей. Мы составим карту процессов, определим приоритеты и подготовим документы в порядке, удобном для внедрения.

Составляем карту движения данных

Для каждого процесса фиксируем, какие данные получает компания, от кого, с какой целью, в какой системе они хранятся и кому передаются. Отдельно отмечаем сайт, CRM, кадровые документы, рассылки, платежные сервисы и подрядчиков. Владелец процесса подтверждает круг доступа и срок, после которого сведения удаляются или переводятся в архив.

На основе карты готовим документы для клиентов и сотрудников, условия работы с поставщиками и внутренний порядок ответа на запрос. При подключении нового сервиса проверяем его роль и договорные условия до передачи данных. Руководитель получает понятный реестр и может контролировать изменения без повторного аудита всей компании.

Организовать защиту персональных данных