Пакет GDPR для IT-компаний: compliance для SaaS, мобильных приложений и AI-продуктов
Подготовим GDPR-документацию для SaaS-платформ, мобильных приложений, AI-сервисов и других цифровых продуктов. Изучим, как компания собирает, использует, хранит и передает персональные данные, определим необходимый объем документов и адаптируем их под фактическую работу продукта
Подготовим GDPR-документацию для SaaS-платформ, мобильных приложений, AI-сервисов и других цифровых продуктов. Изучим, как компания собирает, использует, хранит и передает персональные данные, определим необходимый объем документов и адаптируем их под фактическую работу продукта.
Стоимость пакета — от 950 EUR. Стандартный срок подготовки — от 4 до 6 рабочих дней. Один раунд правок включен в стоимость.
GDPR для IT-компании — это не только Privacy Policy на сайте. Требования затрагивают архитектуру продукта, отношения с клиентами и подрядчиками, использование облачных сервисов, аналитику, сроки хранения информации и порядок действий при запросах пользователей или утечке данных.
Документы должны соответствовать тому, как продукт работает на практике. Если политика конфиденциальности описывает один процесс, а подключенные SDK, CRM, серверы и платежные сервисы создают другую цепочку обработки, формального наличия документа будет недостаточно.
Когда IT-компании нужен GDPR compliance
GDPR применяется не только к бизнесу, зарегистрированному в Европейском союзе. Требования могут распространяться и на компанию из другой страны, если она целенаправленно предлагает товары или услуги людям, находящимся в ЕС, отслеживает их поведение либо обрабатывает данные в рамках деятельности европейского подразделения.
Проверить применимость GDPR особенно важно, если компания:
- продает SaaS-продукт клиентам из ЕС
- выпускает мобильное приложение для европейского рынка
- использует аккаунты, подписки, email-рассылки, cookies или аналитику
- обрабатывает данные пользователей от имени корпоративных клиентов
- подключает облачные платформы, CRM, AI-модели и платежные сервисы
- проходит проверку инвестора или enterprise-клиента
- получает запрос на подписание DPA или заполнение privacy-анкеты
Сам факт случайного появления пользователя из ЕС не всегда означает, что GDPR автоматически применяется ко всей деятельности компании. Значение имеют целевой рынок, модель работы продукта, характер обработки и роль компании. Поэтому подготовка начинается с анализа конкретной ситуации, а не с копирования универсальной политики.
Почему одной Privacy Policy недостаточно
Privacy Policy объясняет пользователям, какие данные собирает компания и как она с ними работает. Но этот документ не заменяет внутренние процессы, договоры с обработчиками и учет операций с персональными данными.
Компания должна понимать, для каких целей используется каждая категория информации, на каком правовом основании происходит обработка, кому передаются данные и как долго они хранятся. Необходимо также определить, кто отвечает на запросы пользователей, что происходит с информацией после удаления аккаунта и как команда действует при обнаружении инцидента.
Для SaaS-компаний особенно важно правильно определить свою роль. Один и тот же бизнес может выступать контролером данных собственных пользователей и сотрудников, обработчиком информации корпоративного клиента и одновременно привлекать облачные сервисы в качестве субобработчиков. От этого зависят содержание DPA, реестр операций, уведомления пользователям и договоры с поставщиками.
Как мы готовим GDPR-документацию
До начала разработки документов мы собираем информацию о продукте и движении данных внутри него. Анализируем регистрацию и авторизацию пользователей, формы обратной связи, подписки, платежи, аналитику, рекламные инструменты, технические SDK и другие интеграции.
Также выясняем, где находятся серверы и резервные копии, какие подрядчики получают доступ к информации, в каких странах они работают и что происходит с данными после завершения договора или удаления аккаунта. Если продукт использует профилирование, автоматизированные решения, специальные категории данных или информацию о детях, эти процессы рассматриваются отдельно.
Такой подход позволяет подготовить согласованный комплект. Privacy Policy, Cookie Policy, DPA и ROPA должны описывать одну и ту же фактическую модель обработки, а не существовать как независимые шаблоны.
Что входит в GDPR Starter Pack
Для большинства IT-продуктов предусмотрен пакет Standard. Расширенный пакет Extended подходит проектам с более сложной обработкой или повышенными рисками.
| Документ или процедура | Standard | Extended |
| Privacy Policy | Да | Да |
| Cookie Policy | Да | Да |
| Рекомендации по механизму согласия | Да | Да |
| Уведомление для сотрудников и подрядчиков | Да | Да |
| Базовый реестр операций ROPA | Да | Да |
| Шаблон DPA | Да | Да |
| Шаблон DPIA | — | Да |
| Legitimate Interests Assessment | — | Да |
| Процедура реагирования на утечки | — | Да |
| Стоимость | 950 EUR | 1 200 EUR |
Standard — базовая GDPR-инфраструктура
Пакет Standard предназначен для SaaS, приложений и digital-продуктов, которые работают преимущественно с обычными персональными данными.
Privacy Policy адаптируется под способы сбора информации, категории пользователей, цели обработки и подключенные сервисы. Cookie Policy описывает используемые технологии и поставщиков, а рекомендации по механизму согласия помогают согласовать юридические документы с интерфейсом сайта или продукта.
Уведомление для сотрудников и подрядчиков регулирует обработку данных команды. Базовый ROPA систематизирует операции, цели, категории информации, получателей и сроки хранения. Шаблон DPA готовится с учетом роли компании и предполагаемых отношений с клиентами, обработчиками или субобработчиками.
Стоимость пакета Standard — 950 EUR.
Extended — для обработки с повышенным риском
Расширенный пакет подходит продуктам, использующим специальные категории данных, масштабное наблюдение, сложное профилирование, автоматизированные решения или другие процессы, способные создавать повышенный риск для пользователей.
Это может быть актуально для отдельных проектов в сферах digital health, fintech, HR-tech, искусственного интеллекта и биометрической идентификации, а также для продуктов, ориентированных на детей. При этом финансовые данные и сведения о детях не относятся к специальным категориям по статье 9 GDPR, но характер их обработки может требовать дополнительных мер защиты.
Помимо документов Standard, в Extended входят шаблон DPIA, оценка законного интереса LIA и процедура реагирования на утечки персональных данных.
Стоимость пакета Extended — 1 200 EUR.
Наличие AI-функций, финансовых данных или специальных категорий информации не означает, что DPIA автоматически требуется каждому продукту. Значение имеют характер, масштаб, цели обработки и возможные последствия для пользователей. Подходящий пакет определяется после изучения проекта.
Что получает клиент
После завершения работы компания получает согласованный комплект GDPR-документов, подготовленный под предоставленную информацию о продукте. Финальные версии передаются в Word и PDF вместе с рекомендациями по размещению и использованию.
В стоимость входит один раунд правок после получения комментариев клиента. Если необходимо, мы поясняем ключевые положения документов и указываем, какие действия потребуются от продуктовой или технической команды.
Документация отражает состояние продукта на момент подготовки. Если компания подключает нового поставщика, запускает дополнительную функцию, начинает собирать другие категории данных или выходит на новый рынок, комплект необходимо пересмотреть.
Какие задачи не входят в базовый пакет
Starter Pack создает базовую документальную инфраструктуру, однако некоторые проекты требуют более глубокой проработки. Например, при передаче данных за пределы ЕЭЗ могут понадобиться Standard Contractual Clauses и анализ конкретной цепочки передачи. Отдельной задачей может стать индивидуальная DPIA, проверка договоров с поставщиками, подготовка процедуры обработки запросов пользователей или оценка необходимости назначения DPO и представителя в ЕС.
Техническое внедрение cookie-баннера и системы управления согласиями также не входит в базовый комплект автоматически. В Starter Pack включаются Cookie Policy и рекомендации по юридической логике механизма согласия. Объем технических работ при необходимости согласовывается отдельно.
Отдельный формат сопровождения потребуется и при уже произошедшей утечке, проверке регулятора или получении объемной privacy-анкеты от корпоративного клиента.
Как проходит работа
1
Первичная консультация. Обсуждаем продукт, пользователей, целевые рынки и задачу компании. Определяем, подходит ли Starter Pack и какой уровень необходим.
2
Сбор информации. Клиент заполняет опросник о категориях данных, функциях продукта, поставщиках, географии пользователей и внутренних процессах.
3
Анализ обработки. Определяем роль компании, основные операции, участвующих обработчиков и возможные зоны риска.
4
Подготовка комплекта. Разрабатываем документы параллельно, чтобы их положения соответствовали друг другу и фактической работе продукта.
5
Согласование и передача. Получаем комментарии, вносим один раунд правок и передаем финальные версии в Word и PDF.
Обычно работа занимает от 4 до 6 рабочих дней после получения полной информации. Если продукт имеет сложную архитектуру или требует дополнительных документов, срок согласовывается отдельно.
GDPR для SaaS-платформ
SaaS-компания часто работает с двумя потоками данных. Первый связан с ее собственными пользователями, сотрудниками, маркетингом и продажами. Второй возникает, когда корпоративный клиент загружает в систему данные своих работников или покупателей.
В таком случае важно разделить роли компании, согласовать DPA с клиентами, проверить отношения с субобработчиками и определить порядок возврата или удаления информации после завершения договора. Отдельного внимания требуют международные передачи, резервные копии и доступ сотрудников поддержки.
Подробнее: GDPR для SaaS-платформ и IT-сервисов
GDPR для мобильных приложений
Мобильное приложение может собирать значительно больше информации, чем пользователь видит в регистрационной форме. В обработке участвуют аналитические и рекламные SDK, push-уведомления, платежные системы, crash-reporting и разрешения устройства.
Юридические документы должны соответствовать реальной работе этих инструментов, настройкам согласия и информации, размещенной в App Store или Google Play.
Подробнее: GDPR для мобильных приложений
GDPR для AI-продуктов
При использовании AI персональные данные могут попадать в запросы пользователей, системные логи, обучающие наборы и результаты работы модели. Для подготовки документации необходимо понимать, сохраняет ли поставщик модели запросы, используются ли они для обучения, кто получает доступ к результатам и можно ли удалить информацию по запросу пользователя.
Если AI-функция используется для профилирования или принятия решений, способных существенно повлиять на человека, потребуется дополнительная оценка правовых оснований и рисков.
Почему компании обращаются в Wolja Digital
Мы работаем с IT-бизнесом и рассматриваем GDPR не изолированно, а в связи с продуктом, договорами и коммерческой моделью. Это позволяет согласовать публичные политики с DPA, реестром операций и фактической цепочкой поставщиков.
Задача проекта — подготовить комплект, которым компания сможет пользоваться при запуске продукта, переговорах с клиентами, подключении подрядчиков и прохождении юридической проверки.
FAQ
Да, если продукт работает с пользователями из ЕС или обрабатывает их персональные данные.
DPA — это соглашение об обработке данных между компанией и подрядчиком, который получает доступ к персональным данным пользователей.
DPIA обычно требуется при работе со специальными категориями данных, автоматизированными решениями или повышенными privacy-рисками.
В большинстве случаев — нет. Для SaaS и приложений обычно требуется целый набор GDPR-документов и процедур.
Да. Пакет адаптируется под SaaS, приложения и другие IT-продукты в зависимости от модели обработки данных.
DPA требуется, когда одна сторона обрабатывает персональные данные от имени другой. Для SaaS-компании это может быть соглашение с корпоративным клиентом либо договор с привлеченным обработчиком или субобработчиком.
Нет. DPIA необходима, если планируемая обработка с высокой вероятностью создает высокий риск для прав и свобод людей. Использование AI является важным фактором оценки, но само по себе не делает DPIA обязательной во всех случаях.
В Starter Pack входят Cookie Policy и рекомендации по юридической логике согласия. Техническое внедрение на сайте или в приложении согласовывается отдельно.
Пакет создает базовую документальную инфраструктуру. Однако GDPR compliance является постоянным процессом: компания должна применять документы на практике, соблюдать установленные процедуры и обновлять комплект при изменении продукта или цепочки поставщиков.
Не существует единого обязательного сертификата, который автоматически подтверждает полное соответствие любой компании требованиям GDPR. Результатом работы становится комплект документов и процедур для конкретной модели обработки данных.
Пакет Standard стоит 950 EUR, Extended — 1 200 EUR. Стандартный срок подготовки составляет от 4 до 6 рабочих дней после получения полной информации. Дополнительные задачи оцениваются отдельно.
Сопутствующие услуги:
Подготовим GDPR-документы под реальную работу продукта
Расскажите, как устроен ваш SaaS-сервис, мобильное приложение или AI-продукт. Мы изучим модель обработки данных, определим подходящий уровень пакета и подготовим документы под процессы компании.
Первичная консультация проводится бесплатно.