Дані, підстави та документи

Починати варто з переліку даних і операцій. Ім’я та телефон покупця, паспортні відомості представника, дані працівників, відеозапис та історія звернень використовуються по-різному й потребують різних підстав, строків і рівнів доступу.

Фахівці УБК визначать, які дані компанія збирає, звідки отримує, для чого використовує, де зберігає та кому передає. Потім фахівці УБК зіставлять цей порядок із договорами, формами на сайті, налаштуваннями CRM та обов’язками працівників.

Якщо компанія працює з іноземними клієнтами, хмарними сервісами або групою підприємств, міжнародне передання й вимоги інших юрисдикцій аналізуються окремо для конкретної схеми.

Залежно від діяльності аналізуються:

• форми на сайті, анкети, договори й повідомлення;
• дані клієнтів, працівників, кандидатів і представників контрагентів;
• цілі та правові підстави обробки;
• доступ працівників і розподіл відповідальності;
• зберігання паперових та електронних документів;
• передання бухгалтерам, CRM, хостингу, службам доставки й іншим постачальникам;
• порядок відповіді на звернення фізичних осіб;
• дії в разі помилкового надсилання, втрати доступу або іншого інциденту.

Результат аудиту показує, які документи вже працюють, що потрібно оновити та які технічні або організаційні заходи слід погодити з відповідальними працівниками.

Відвідувач сайту має розуміти, які відомості він передає та для чого. Фахівці УБК підготують або проаналізують політику конфіденційності, текст згоди, повідомлення для форм та умови використання файлів cookie, якщо вони застосовуються.

Для договорів із клієнтами й партнерами визначаються ролі сторін, склад даних, мета передання, заходи захисту та порядок взаємодії в разі звернень чи інцидентів. Формулювання мають відповідати фактичному обміну, а не описувати сервіси, якими компанія не користується.

Якщо форма направляє дані через зовнішнього постачальника, це враховується в документах і налаштуваннях доступу.

Для працівників потрібна проста відповідь на чотири запитання: які дані можна отримувати, де їх зберігати, кому передавати й коли видаляти або архівувати. УБК може підготувати положення, інструкції, зобов’язання про конфіденційність, правила доступу та форми для обробки звернень.

У кадровому процесі окремо аналізуються анкети кандидатів, особові справи, документи щодо оплати й доступ керівників. Для продажів і підтримки — CRM, записи розмов, розсилки та історія звернень.

Фахівці УБК погодять юридичну частину з тим, як організовано доступи, резервне копіювання та роботу підрядників. За потреби до проєкту залучається фахівець з інформаційної безпеки.

Доступ, постачальники й запити

CRM, хостинг, хмарна бухгалтерія, розсилка, телефонія та служба доставки отримують різні набори відомостей. До підключення постачальника важливо визначити, які дані йому справді потрібні, де вони зберігаються, хто отримує доступ і як компанія забирає інформацію після завершення договору.

Фахівці УБК проаналізують договірні умови й розподілять обов’язки сторін. Усередині компанії призначається працівник, який знає перелік постачальників і може швидко зв’язатися з ними в разі запиту клієнта або технічної події.

Для інциденту потрібен короткий робочий порядок. Працівник фіксує час і обставини, зберігає технічну інформацію, обмежує подальший доступ і повідомляє відповідальну особу. Потім компанія визначає дані, яких стосується інцидент, коло осіб, потрібні повідомлення й заходи для відновлення нормальної роботи.

УБК допоможе підготувати форму реєстрації події, список контактів і шаблони комунікації. Юридична оцінка проводиться за фактичними обставинами та застосовними вимогами. Після завершення причини й ужиті заходи включаються до підсумкового документа, який використовується для поліпшення доступу, інструкцій і договорів із постачальниками.

Компанія має вміти знайти відомості про конкретну людину й зрозуміти, звідки вони отримані, для чого використовуються та кому передані. Фахівці УБК підготують порядок приймання запиту, підтвердження особи заявника, пошуку інформації в підрозділах і погодження відповіді. Відповідальний працівник отримує форму, за якою збирає дані в маркетингу, кадровій службі, бухгалтерії та IT без зайвого листування.

Якщо запит стосується виправлення, видалення або припинення окремої операції, рішення приймається з урахуванням мети обробки й обов’язкових строків зберігання документів. Якщо запис підлягає обов’язковому зберіганню, його використання в інших операціях можна обмежити та пояснити заявникові вжиту дію.

Для корпоративного клієнта корисно заздалегідь підготувати опис заходів захисту та ролей сторін. Це прискорює погодження договору: комерційна команда відповідає на запитання з готового комплекту, а нестандартні вимоги передає юристу та фахівцю з інформаційної безпеки.

Ви отримаєте опис основних операцій, перелік потрібних змін і комплект документів для клієнтів, працівників та постачальників. Компанія зможе використовувати дані в погодженому порядку й швидше відповідати на запити партнерів і корпоративних клієнтів.

Вартість залежить від кількості процесів, сайтів, систем, підрозділів і підрядників, а також від потреби в міжнародному аналізі. Після первинної анкети фахівці УБК визначать обсяг і погодять вартість.

Організація захисту та результат

Надішліть форми сайту, клієнтські договори, кадрові документи, перелік інформаційних систем і підрядників, які отримують дані. Зазначте відповідальних та відомі запити користувачів. Фахівці УБК складуть опис операцій з даними, визначать пріоритети й підготують документи в порядку, зручному для застосування.

Для кожного процесу зазначаються дані, які отримує компанія, від кого, з якою метою, у якій системі вони зберігаються та кому передаються. Окремо зазначаються сайт, CRM, кадрові документи, розсилки, платіжні сервіси й підрядники. Відповідальний працівник підтверджує коло доступу та строк, після якого відомості видаляються або переводяться до архіву.

На основі опису руху даних готуються документи для клієнтів і працівників, умови роботи з постачальниками та внутрішній порядок відповіді на запит. Під час підключення нового сервісу аналізуються його роль і договірні умови до передання даних. Керівник отримує зрозумілий реєстр і може контролювати зміни без повторного аудиту всієї компанії.