Продаём клиентам из ЕС, они требуют соответствия GDPR: если мы в России, это обязательно?

Двигайтесь пошагово. 1) Определитесь, кто вы для данных клиента — контролер (data controller) или обработчик (data processor); в большинстве B2B SaaS моделей вы просто обработчик. 2) Подготовьте типовой DPA, используя стандартные договорные условия (SCC), опубликованные Еврокомиссией. 3) Разместите на сайте прозрачную политику конфиденциальности. Обычно этих трех шагов вполне хватает, чтобы пройти проверки корпоративных клиентов.

Была похожая ситуация с нашим B2B-сервисом в СПб. Когда сунулись за международным консалтингом, нам зарядили ценник в районе 300 000 рублей. В итоге решили вопрос через независимого юриста из ЕС: заказали только DPA с приложениями SCC примерно за 60 000 рублей. Большинство корп. клиентов видят стандартные формулировки и без лишних вопросов согласовывают сделку.

Важный момент — обязанность назначить представителя в ЕС в соответствии со статьей 27 GDPR. Если вы оказываете услуги резидентам ЕС на регулярной основе, вам может потребоваться представитель внутри Союза. Однако если обработка носит разовый характер, объемы невелики и риски минимальны, вы можете попасть под исключение. Рекомендую уточнить этот нюанс на этапе заключения договора.

Клиент в Париже ставит ваш софт на свои серверы (on-premise) или пользуется вашей облачной платформой? Если вы просто отдаете лицензионный ключ и всё крутится на их инфраструктуре, вы можете вообще не иметь доступа к персональным данным пользователей. В таком случае вместо DPA может хватить технического подтверждения (декларации) о том, что вы не обрабатываете данные.

Все думают, что подписал DPA — и вопрос закрыт но при трансграничной передаче данных в третьи страны требуют еще и дополнительные технические меры. Когда данные уходят в Россию, европейские компании очень боятся проверок своих регуляторов. Одной бумажки может не хватить: могут подробно запросить инфу по шифрованию на серверах и логам доступа.

Без паники. Ответьте клиенту официально: «Мы находимся в процессе соблюдения требований GDPR и готовы подписать соглашение об обработке данных (DPA), включающее стандартные договорные условия ЕС». Для большинства компаний такого намерения и готового шаблона договора вполне достаточно, чтобы согласовать покупку.

местный закон в рф требует хранить данные своих граждан внутри страны он не запрещает защищать данные европейцев по европейским стандартам. мы данные клиентов из европы держим на полностью изолированном виртуальном сервере, и голова не болит.

крупные корпораты рассылают такие опросники всем подряд чисто на автомате. не пугайтесь. свяжитесь с их менеджером и спросите: «Вы предоставите свой стандартный проект договора или нам прислать свой?». обычно они просто скидывают свою рыбу, и процесс идет гораздо быстрее.

Как думаете, это сработает в любом масштабе? Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Конечно, если ваша ситуация отличается, всё меняется.

Очень актуальная тема.

У меня было наоборот, поэтому и пишу. Ответ сильно зависит от отрасли, универсального правила нет.

Конечно, если ваша ситуация отличается, всё меняется.

Как думаете, это сработает в любом масштабе? Решения, работающие в малом масштабе рушатся при росте я узнал это слишком поздно.

На этом всё, извините, если затянул.

Хочу предупредить. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Я столкнулся с тем же два года назад. Процесс, по которому не ведется учет, не улучшается потому что вы не знаете, что именно улучшать.

Пишите, если есть вопросы, отвечу по мере возможности.

Я думаю иначе. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Интересно, есть ли те, кто делает иначе.

Согласен.

У нас так же. Решения работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Если пойдете этим путем, сразу решите вот этот вопрос. Прежде чем принимать решение, посмотрите какие данные у вас есть.