El sitio recolecta datos de clientes: ¿por dónde empezar con la ley 152-ФЗ de datos personales?

El detalle técnico que más se pasa por alto es la ubicación física del servidor. Si usás WordPress o un desarrollo a medida, aunque el hosting esté en Rusia, a veces los plugins de formularios guardan copias de respaldo en nubes del exterior. Si no confirmás que el disco donde se escribe el dato por primera vez está en Rusia, los formularios no te salvan.

edit: arriba escribí mal, disculpad.

Cosas para revisar ya mismo en el sitio: 1) La casilla del formulario jamás debe venir marcada por defecto. 2) La política de privacidad no puede ser genérica, debe llevar la razón social y CUIT/RUC de la empresa. 3) Agregar el cartel de aviso de cookies. 4) Aclarar bien con qué fin se procesan los datos y cuánto tiempo se van a guardar.

El año pasado recibimos una advertencia de auditoría similar. Pagamos 45.000 RUB a un experto local para redactar la normativa interna y hacer el registro en el Roskomnadzor correctamente. Una vez listos los documentos solicitados, el proceso de aprobación de la notificación se completó en dos semanas. No hacen falta paquetes caros de agencias, pero es imprescindible rellenar bien las plantillas.

la casilla de verificación del formulario que la marque el usuario a mano sí o sí y antes le ponían el tick automático y listo, ahora los inspectores escanean los formularios directamente con bots para ver si viene marcada o no.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

¿Los formularios de la web están conectados al CRM o solo llegan al correo corporativo? ¿El servidor de correo está alojado en un proveedor de Rusia o usáis un servicio internacional general? Esta distinción es determinante para la regla técnica de localización.

La defensa de que "solo trabajamos B2B, no pedimos datos personales sino de empresa" no es válida. Si en el formulario hay nombre, apellidos y teléfono personal, ese registro es directamente un dato personal. La mayoría de las inspecciones empiezan por denuncias de competidores o por rastreadores automáticos, así que completad los textos del sitio sin demora.

Poner la casilla al final del formulario y vincularla al texto de la política específica de vuestra empresa os lleva como mucho dos horas hacedlo como primera tarea.

Hace dos años viví exactamente lo mismo. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro. Por supuesto, cambia si tu situación es diferente.

Exactamente así. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada. Yo seguiría por ese camino.

Me pasó lo mismo. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Tomo nota, gracias.

Voy a contar mi experiencia. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Si tenéis dudas escribid os responderé en la medida de lo posible.

A nosotros nos pasó esto. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Corrijanme si me equivoco.

Yo también estaba pensando en lo mismo. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Gracias, me ha servido de mucha ayuda. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

yo también tengo curiosidad.

Han surgido tres opiniones distintas, todas se complementan. Intentar hacerlo solo es la vía más cara.

Permíteme resumir lo que se ha dicho hasta ahora. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.