عميل يطلب منا أن نكون «متوافقين مع RGPD» من أجل العقد — ما الذي يجب أن نعرضه عليه؟

كخطوة أولى احصلوا على قالب السجل الأساسي (modèle de registre) الذي تنشره CNIL. في ذلك الملف حدّدوا الحقول التي تجمعها برمجياتكم من العميل مثل الاسم والبريد الإلكتروني والهاتف ومدد تخزينها. فرق التوافق لدى العملاء الكبار تنظر عادة إلى القوالب القياسية، لذا هذا الشكل الرسمي يمنح الثقة.

في المجلد الذي سترسله للعميل يجب أن تكون هذه الوثائق الأربع: 1) ملحق اتفاقية DPA يحدد حقوق والتزامات الطرفين. 2) قائمة التدابير التقنية التي تشرح بنية برمجياتكم وطرق التشفير. 3) تعهّد بالخوادم يوضح في أي مراكز بيانات أوروبية تُستضاف البيانات. 4) إجراء أزمة يتضمن أنكم ستُبلغون العميل خلال 48 ساعة في حال حدوث تسرّب.

شركة لوجستية في باريس طلبت منا شيئاً مشابهاً. بدون استشارة خارجية، أضفنا نموذج تدابير تقنية من 5 صفحات يشرح بنيتنا الأمنية واتفاقية DPA قياسية. وافق القسم القانوني للشركة خلال 4 أيام ووقّعوا العقد الرئيسي بقيمة 65.000 يورو. هم لا يبحثون عن شهادة رسمية، بل عن انضباط في الوثائق.

العملاء الكبار لديهم أصلاً نصوص DPA القياسية واستبيانات الأمن الخاصة بهم. لا تضيّعوا الوقت في كتابة عقد من الصفر بأنفسكم؛ قولوا «إن كان لديكم استبيان أمن الموردين القياسي ومسودة DPA، أرسلوهما وسنملؤهما ونوقّعهما فوراً مع فريقنا التقني». عادةً يرسلون نماذجهم مباشرة.

واحد من التجار طلب منا نفس الشيء وخفنا بصراحة بس همّهم الوحيد إنه لو جاءت غرامة من cnil يرمون الكرة على المتعاقد الفرعي. قولوا الخوادم في أوروبا، قولوا البيانات مشفّرة، ووقّعوا dpa وينتهي الموضوع.

هل بين بيانات الولاء التي ستُعالج في برمجياتكم مستخدمون تحت 18 سنة أو بيانات حساسة ذات طبيعة خاصة؟ إذا كان الأمر مجرد بيانات تواصل وسجل مشتريات أساسية فالموضوع يُحلّ أسرع بكثير، أما إذا كانت تمرّ بيانات بطاقة دفع أو بيانات حساسة فأسئلة التدقيق من العميل ستكون أشد بكثير.

لا تدفعوا أموالكم لمستشارين مزعومين في السوق يطلبون آلاف اليورو من الشركات الصغيرة بحجة «نمنحكم شهادة توافق RGPD رسمية». لا توجد حتى الآن شهادة RGPD عامة لشركة معتمدة في الاتحاد الأوروبي. المطلوب هو عمليات داخلية موثّقة بالكامل وتعهدات تعاقدية.

نعم، الوضع في موضوع التوافق مع RGPD هو بالضبط هكذا. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

يجب أن نسير بالترتيب. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

مثبت بالتجربة.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه. فعل الجميع لشيء ما لا يعني أنه صحيح.

صححوا لي إن أخطأت.

تم الحفظ.

دعني أشرح كيف يتم التطبيق عملياً. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

عشنا تقريباً نفس التجربة العام الماضي. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أتابع الموضوع.

هذا العنوان مؤرشف.

أعتقد أن الحديث بهذه القطعية في جانب التوافق مع RGPD صعب. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

لو كنت مكانك، لسلك هذا المسار.

موضوع في الوقت المناسب تمامًا.