Il sito raccoglie dati dei clienti: da dove partire per conformarsi alla legge sui dati personali 152-ФЗ?

Il dettaglio tecnico più trascurato è la posizione fisica del database. Che usiate WordPress o un CMS su misura, anche se il server del sito è in Russia, a volte i plugin dei form salvano i backup su cloud esterni. Se non verificate che il disco di prima scrittura sia fisicamente in Russia, i moduli di consenso non vi salveranno dai problemi.

edit: ho scritto una cosa sbagliata sopra, scusate.

Sul sito ci sono quattro cose da controllare subito: 1) La spunta del form non deve mai essere preselezionata di default. 2) La privacy policy non deve essere generica, ma riportare ragione sociale completa e codice fiscale dell'azienda. 3) Deve esserci il banner per i cookie. 4) Bisogna indicare chiaramente per quali finalità vengono trattati i dati e per quanto tempo saranno conservati.

L'anno scorso abbiamo ricevuto un avviso di ispezione simile. Abbiamo pagato 45.000 RUB a un esperto locale per preparare le direttive interne e registrare correttamente la pratica su Roskomnadzor. Una volta pronti i documenti richiesti, il processo di approvazione della notifica si è concluso in due settimane. Non servono i pacchetti costosi delle agenzie, ma è fondamentale compilare correttamente i modelli dei documenti.

la casella di spunta sul modulo fatela selezionre all'utente a mano assolutamente... prima mettevano la spunta automatica e via andare, adesso gli ispettori scansionano direttamente i form coi bot x vedere se è già spuntata o no.

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

I moduli sul sito sono collegati a un software CRM o arrivano semplicemente all'e-mail aziendale? Il vostro server di posta risiede presso un provider in Russia o utilizzate un servizio generico internazionale? Questa distinzione è determinante per la regola della localizzazione tecnica.

La scusa del "lavoriamo solo in B2B, raccogliamo dati aziendali e non personali" non regge. Se nel modulo ci sono nome, cognome e numero di cellulare personale, quel record costituisce a tutti gli effetti un dato personale. La maggior parte dei controlli parte da segnalazioni della concorrenza o da scanner automatici sui siti, quindi aggiornate i testi sul sito senza perdere tempo.

Inserire la casella di controllo in fondo al modulo e collegarla all'informativa specifica della vostra azienda vi richiederà al massimo due ore, fatelo come prima cosa.

Ho vissuto la stessa cosa due anni fa. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente. Naturalmente cambia se la vostra situazione è diversa.

Esattamente così. comunque la sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Se ricevete tre risposte diverse su un argomento la domanda è posta male. boh io seguirei questa strada.

Ho vissuto la stessa cosa. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse. Se avete domande, scrivete, rispondo per quanto possibile.

Preso nota, grazie.

Racconto la mia esperienza. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Se avete domande, scrivete rispondo per quanto possibile.

Nel nostro caso è andata così. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Correggetemi se sbaglio.

Stavo pensando la stessa cosa. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Grazie mille, mi è stato molto utile. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

mi chiedo anch'io.

Sono emerse tre opinioni diverse, si completano a vicenda. Cercare di farlo da soli è la strada più costosa.

Riassumo quanto detto finora. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.