Продаём онлайн в страны ЕС: GDPR нас напрямую касается?

Европейский орган по защите данных не придёт и не выпишет маленькой мастерской в России штраф в миллионы евро надо быть реалистами. Реальный риск — что международные платёжные сервисы или интеграции, которыми вы пользуетесь, по жалобе заблокируют ваш аккаунт. Они в своих договорах прописывают требование соответствия GDPR.

Если используете Google Analytics или рекламные пиксели, включите настройки анонимизации IP-адресов. Ещё баннер с cookies на сайте не должен быть только с кнопкой «Принимаю»; нужно дать пользователю возможность отдельно отказаться от аналитических и маркетинговых cookies.

Добавьте на этап оплаты на сайте текст согласия с кликабельной ссылкой вроде «Ваши данные обрабатываются в целях оформления и доставки заказа в соответствии с нашей политикой конфиденциальности». И укажите в политике контактный email, куда клиент может написать запрос на удаление данных.

У нас продажи в ЕС были около 4.500 EUR в месяц, и тут клиент из Германии прислал официально оформленное письмо с требованием указать, на каких серверах хранятся его данные, и удалить их из системы. Ответить письменно нужно в течение 30 дней. Мы вычистили соответствующие записи из базы и подтвердили — на этом всё закончилось.

Достаточно ли просто иметь на сайте только английский язык и показывать цены в евро или обязательно чтобы заказ реально доставлялся туда?

Стоит отметить, что при трансграничной передаче данных свыше определённых объёмов есть обязанность назначить представителя в ЕС (EU Representative). Однако для микропредприятий соблюдается принцип пропорциональности, и приоритетным критерием проверки остаётся принятие базовых мер прозрачности и защиты данных.

да не паникуйте вы. крупные дела всегда заводят на огромные платформы. вы просто не собирайте лишние данные кроме имени и адреса нужных для заказа повесьте понятный текст, а если клиент просит удалить — удаляйте без проблем. на уровне малого бизнеса суть вот в этом.

Сохранил.

Спасибо что написали об этом, это действительно так. Автоматический отчет о сканировании и пентест — это не одно и то же.

Поделюсь своим опытом. Ответ сильно зависит от отрасли, универсального правила нет.

Это мое мнение, не утверждаю, что оно единственно верное.

Хорошо, что вы создали эту тему. Изменение платежных данных никогда не подтверждается через тот же канал.

Удачи.

Слежу за темой.

Спасибо за ваш пост. То, что делают все, не значит, что это правильно.

Надеюсь, это будет полезно.

Здесь описано ровно то, что пережили мы. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

На этом всё, извините, если затянул.

Расскажу, как это делается на практике. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Если напишете результат здесь, это поможет и другим.

У этого подхода есть цена, о которой молчат. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Это мое мнение, не утверждаю, что оно единственно верное.

Попробую.

Сведу тему в кучу, так как ответов было несколько разных. Ошибка, сделанная на стороне gdpr, обычно исправима, но дорого.

Если ругать за ложные тревоги, никто больше не будет присылать уведомления.