Un cliente ci chiede di essere «conformi al RGPD» per un contratto — cosa dobbiamo presentargli?

Come prima cosa procuratevi il modello base di registro (modèle de registre) pubblicato dalla CNIL. Su quel file indicate i campi raccolti dal vostro software per conto del cliente (nome, email, telefono, ecc.) e i relativi tempi di conservazione. I team di conformità dei grandi clienti di solito controllano i modelli standard, quindi usare quel format ufficiale trasmette subito fiducia.

Nella cartella da girare al cliente ci devono essere questi 4 documenti: 1) L'allegato contrattuale DPA che specifica diritti e doveri di entrambe le parti. 2) L'elenco delle misure tecniche con architettura del software e metodi di crittografia. 3) La dichiarazione sui server che attesta in quali data center europei risiedono i dati. 4) La procedura di emergenza che garantisce la notifica al cliente entro 48 ore in caso di violazione dei dati.

Un'azienda di logistica a Parigi ci aveva fatto una richiesta del tutto simile. Senza prendere consulenze esterne, abbiamo allegato un DPA standard e un modulo di 5 pagine sulle nostre misure tecniche spiegando la nostra architettura di sicurezza. L'ufficio legale dell'azienda ha approvato tutto in 4 giorni e ha firmato il contratto principale da 65.000 Euro. Non cercano certificati ufficiali, cercano serietà e precisione nella documentazione.

I grandi clienti di solito hanno già i loro testi standard di DPA e i loro questionari di sicurezza. Non perdete tempo a scrivere un contratto da zero; dite semplicemente: "Se ci inviate il vostro questionario di sicurezza fornitori e la bozza di DPA standard, li compiliamo e li firmiamo subito con il nostro team tecnico". Nella maggior parte dei casi vi manderanno direttamente i loro moduli.

lo aveva chiesto pure a noi un rivenditore ed eravamo andati in ansia ma in pratica vogliono solo pararsi il culo e scaricare la colpa sul fornitore se cnil fa multe ma ditegli che i server sono in europa dati criptati firmate sto dpa e a posto così.

Tra i dati del programma fedeltà gestiti dal vostro software ci sono dati di minori di 18 anni o categorie particolari di dati sensibili? Se si tratta solo di contatti base e storico acquisti la pratica si chiude molto più in fretta, ma se ci passano carte di pagamento o dati sensibili, le domande dell'audit del cliente saranno decisamente più toste.

Non buttate soldi con quei finti consulenti in giro che chiedono migliaia di Euro alle piccole imprese promettendo un "certificato ufficiale di conformità RGPD". Nell'Unione Europea non esiste ancora una certificazione RGPD aziendale generale accreditata. Tutto quello che vi chiedono sono procedure interne ben documentate e impegni contrattuali precisi.

Sì, per quanto riguarda conformità rgpd la situazione è esattamente così. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Bisogna procedere con ordine. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Confermato dall'esperienza.

Grazie mille era la risposta che cercavo.

Grazie mille, era la risposta che cercavo. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Correggetemi se sbaglio.

Salvato.

Vi spiego come si fa in pratica. La risposta varia molto in base al settore, non esiste una regola generale.

Naturalmente cambia se la vostra situazione è diversa.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Ti seguo.

Questo thread è archiviato.

Secondo me è difficile essere così netti sul lato conformità rgpd. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Io seguirei questa strada.

argomento molto attuale.