Soluções sob medida para empresas B2C
Quem vende a consumidores trata muitos dados pessoais: pedidos, contas, pagamentos, newsletters. As perguntas de clientes, autoridades e imprensa chegam muitas vezes sem aviso. O Sightadel ajuda a comprovar as obrigações do GDPR, a cumprir os prazos e a mostrar abertamente no Trust Center como você trata os dados.
Ponto de partida
No negócio com consumidores, a confiança decide a compra. Os clientes indicam endereço, dados de pagamento e às vezes informações muito pessoais. Esperam que a empresa as trate com cuidado, e têm direitos que usam cada vez mais: acesso, exclusão, oposição à publicidade.
Por trás de uma loja ou de uma app há normalmente toda uma série de prestadores. Hospedagem, prestador de pagamentos, envio, newsletter, análise, atendimento ao cliente. Cada um trata dados por sua conta e precisa de um contrato e de uma avaliação. Um incidente em um destes prestadores é, juridicamente, também o seu incidente.
Uma violação de dados atinge as empresas B2C com especial força. Além da notificação à autoridade, pode ser necessário informar muitos clientes, e o tema chega rápido à imprensa. Quem ensaiou antes quem decide o quê e como se notifica não perde tempo nesse momento.
Por que agora
Para o acesso vigora, em princípio, um prazo de um mês. Sem um processo fixo, cada pedido vira uma procura em vários sistemas.
As violações sujeitas a notificação são comunicadas à autoridade, sempre que possível, em 72 horas. Em caso de risco elevado, também os titulares precisam ser informados.
Uma nova ferramenta de newsletters, um chat no atendimento ao cliente, um serviço de IA. Cada um precisa de um contrato de operação de dados e de uma verificação de onde estão os dados.
Após uma reclamação, a autoridade de proteção de dados pede documentação, por exemplo o registro das atividades de tratamento ou a prova de um consentimento.
Prestadores de pagamentos, marketplaces e grandes parceiros comerciais perguntam por medidas de segurança e certificados antes de colaborar.
Com novos mercados chegam mais prestadores, idiomas e às vezes transferências de dados para países terceiros. A documentação precisa crescer junto.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
No negócio com consumidores é o quadro mais importante. Inclui a informação nos termos do art. 13 do GDPR, um fundamento jurídico para cada tratamento, contratos com operadores, prazos para os direitos dos titulares e a notificação de violações de dados. Para cookies e técnicas semelhantes vigora ainda o § 25 da TDDDG alemã.
Ver framework →Dá às medidas técnicas e organizativas do art. 32 do GDPR uma estrutura auditada. Um certificado mostra a parceiros e clientes que um organismo independente verificou as medidas.
Ver framework →Os marketplaces online constam do anexo 2 da BSIG como prestadores de serviços digitais, tal como, por exemplo, os serviços postais e de entrega. A partir do médio porte valem então o registro, a gestão de riscos e as obrigações de notificação. Uma loja virtual clássica não é um marketplace online no sentido da lei.
Ver framework →Se usar IA no contato com clientes, por exemplo um chatbot, valem obrigações de transparência: as pessoas precisam poder reconhecer que falam com um sistema de IA. As obrigações dependem da função e da utilização.
Ver framework →Ordem recomendada
Que dados coleta, onde, para quê e com que fundamento jurídico? O registro das atividades de tratamento é a base de todo o resto.
Para cada prestador que trata dados de clientes: contrato nos termos do art. 28 do GDPR, localização dos dados, suboperadores e uma avaliação do risco.
Quem recebe os pedidos de acesso e exclusão e quem decide sobre uma notificação à autoridade? Prazos e responsabilidades ficam definidos antes de algo acontecer.
Acessos, criptografia, backups e treinamentos recebem evidências com data. Com a ISO 27001 como estrutura, daí resulta um sistema auditável.
No Trust Center, clientes e parceiros veem que medidas tomou e que prestadores participam. A política de privacidade continua a ser obrigatória; o Trust Center a complementa.
Foco
Os consumidores raramente leem políticas. Mas notam se uma empresa responde rápido e com clareza às suas perguntas.
Os pedidos de acesso e exclusão são registrados com entrada, tratamento e resposta. Tarefas com prazo garantem que nada fica parado.
Quem decide, quem notifica, quem informa os clientes? Se o processo estiver definido e treinado antes, nas primeiras horas sobra tempo para o essencial.
Todos os operadores constam de uma lista com contrato, localização e risco. Contratos ausentes e evidências vencidas são detectados.
O Trust Center mostra medidas, certificados e prestadores em uma página própria. Parceiros, imprensa e clientes interessados encontram lá as respostas.
Como o Sightadel ajuda
As obrigações do GDPR estão preparadas como perguntas guiadas, dos princípios aos direitos dos titulares e à obrigação de notificação. Cada pergunta inclui explicação, resposta e evidência.
Saiba mais →Hospedagem, pagamentos, envio, newsletters e análise constam de uma lista com país, contrato, suboperadores e evidências. Dos dados tratados resulta a avaliação do risco.
Saiba mais →Modelos para o registro de tratamentos, a informação sobre proteção de dados, o conceito de exclusão e as respostas a pedidos dos titulares. A IA ajuda a redigir; a avaliação jurídica continua a ser sua.
Saiba mais →Pedidos em aberto, contratos ausentes e medidas após uma violação de dados viram tarefas com prazo e pessoa responsável.
Saiba mais →Uma página pública com medidas de segurança, certificados, documentos aprovados e operadores. O selo do Sightadel leva à sua scorecard.
Saiba mais →O Sightadel verifica como a loja, o site e o servidor de e-mail se apresentam vistos de fora e mostra cada problema com instruções para resolvê-lo.
Saiba mais →Esforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é o número de prestadores, o número de países e quantos sistemas contêm dados de clientes.
O que você licencia · normalmente Professional
Uma empresa B2C típica com loja ou app gerencia o GDPR na edição Professional, porque por trás do negócio há muitos prestadores. Esta inclui dez usuários e 25 fornecedores. Licença para o GDPR: a partir de € 200 por mês. Se a ISO 27001 for acrescentada, há um desconto permanente no GDPR. Com poucos prestadores, a Basic muitas vezes basta.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Na Alemanha, segundo o § 38 da lei federal alemã de proteção de dados (BDSG), em geral quando pelo menos 20 pessoas se ocupam permanentemente do tratamento automatizado de dados pessoais. Independentemente do número, a obrigação pode existir, por exemplo, quando é necessária uma avaliação de impacto. A classificação de cada caso deve ser esclarecida com a sua assessoria jurídica.
Em princípio, um mês a contar do recebimento. Em pedidos complexos ou numerosos, o prazo pode ser prorrogado por mais dois meses. O titular precisa ser informado disso no primeiro mês.
As violações sujeitas a notificação são comunicadas à autoridade supervisora sem demora injustificada e, sempre que possível, no prazo de 72 horas. Se houver risco elevado para os titulares, também estes são informados. Todas as violações são documentadas, mesmo sem notificação.
Não. A informação nos termos do art. 13 do GDPR continua a ser obrigatória. O Trust Center a complementa com medidas de segurança, certificados e a lista de prestadores.
Uma loja que vende produtos próprios normalmente não é um marketplace online no sentido da BSIG. Se operar uma plataforma onde terceiros vendem, pode ser diferente. O enquadramento deve ser esclarecido com a sua assessoria.
O Sightadel não disponibiliza banners de cookies. Você registra quais técnicas usa, com que fundamento e com que prestador, e vincula a documentação como evidência.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
