Soluções à medida para empresas B2C
Quem vende a consumidores trata muitos dados pessoais: encomendas, contas, pagamentos, newsletters. As perguntas de clientes, autoridades e imprensa chegam muitas vezes sem aviso. O Sightadel ajuda a comprovar as obrigações do RGPD, a cumprir os prazos e a mostrar abertamente no Trust Center como trata os dados.
Ponto de partida
No negócio com consumidores, a confiança decide a compra. Os clientes indicam morada, dados de pagamento e por vezes informações muito pessoais. Esperam que a empresa as trate com cuidado, e têm direitos que usam cada vez mais: acesso, apagamento, oposição à publicidade.
Por trás de uma loja ou de uma app há normalmente toda uma série de prestadores. Alojamento, prestador de pagamentos, envio, newsletter, análise, apoio ao cliente. Cada um trata dados por sua conta e precisa de um acordo e de uma avaliação. Um incidente num destes prestadores é, juridicamente, também o seu incidente.
Uma violação de dados atinge as empresas B2C com especial força. Além da notificação à autoridade, pode ser necessário informar muitos clientes, e o tema chega depressa aos meios de comunicação. Quem treinou antes quem decide o quê e como se notifica não perde tempo nesse momento.
Porquê agora
Para o acesso vigora, em princípio, um prazo de um mês. Sem um processo fixo, cada pedido torna-se uma procura em vários sistemas.
As violações sujeitas a notificação são comunicadas à autoridade, sempre que possível, em 72 horas. Em caso de risco elevado, também os titulares têm de ser informados.
Uma nova ferramenta de newsletters, um chat no apoio ao cliente, um serviço de IA. Cada um precisa de um acordo de subcontratação e de uma verificação de onde estão os dados.
Após uma reclamação, a autoridade de proteção de dados pede documentação, por exemplo o registo das atividades de tratamento ou a prova de um consentimento.
Prestadores de pagamentos, marketplaces e grandes parceiros comerciais perguntam por medidas de segurança e certificados antes de colaborar.
Com novos mercados chegam mais prestadores, idiomas e por vezes transferências de dados para países terceiros. A documentação tem de crescer em conformidade.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
No negócio com consumidores é o quadro mais importante. Inclui a informação nos termos do art. 13.º do RGPD, um fundamento jurídico para cada tratamento, acordos com subcontratantes, prazos para os direitos dos titulares e a notificação de violações de dados. Para cookies e técnicas semelhantes vigora ainda o § 25 da TDDDG alemã.
Ver framework →Dá às medidas técnicas e organizativas do art. 32.º do RGPD uma estrutura auditada. Um certificado mostra a parceiros e clientes que um organismo independente verificou as medidas.
Ver framework →Os mercados em linha constam do anexo 2 da BSIG como prestadores de serviços digitais, tal como, por exemplo, os serviços postais e de estafeta. A partir da média dimensão aplicam-se então o registo, a gestão de riscos e as obrigações de notificação. Uma loja online clássica não é um mercado em linha no sentido da lei.
Ver framework →Se usar IA no contacto com clientes, por exemplo um chatbot, aplicam-se obrigações de transparência: as pessoas têm de poder perceber que falam com um sistema de IA. As obrigações dependem da função e da utilização.
Ver framework →Ordem recomendada
Que dados recolhe, onde, para quê e com que fundamento jurídico? O registo das atividades de tratamento é a base de tudo o resto.
Para cada prestador que trata dados de clientes: acordo nos termos do art. 28.º do RGPD, localização dos dados, subcontratantes ulteriores e uma avaliação do risco.
Quem recebe os pedidos de acesso e apagamento e quem decide sobre uma notificação à autoridade? Prazos e responsabilidades ficam definidos antes de algo acontecer.
Acessos, cifragem, cópias de segurança e formações recebem evidências com data. Com a ISO 27001 como estrutura, daí resulta um sistema auditável.
No Trust Center, clientes e parceiros veem que medidas tomou e que prestadores participam. A política de privacidade continua a ser obrigatória; o Trust Center complementa-a.
Foco
Os consumidores raramente leem políticas. Mas notam se uma empresa responde depressa e com clareza às suas perguntas.
Os pedidos de acesso e apagamento são registados com entrada, tratamento e resposta. Tarefas com prazo garantem que nada fica parado.
Quem decide, quem notifica, quem informa os clientes? Se o processo estiver definido e treinado antes, nas primeiras horas sobra tempo para o essencial.
Todos os subcontratantes constam de uma lista com acordo, localização e risco. Acordos em falta e evidências caducadas são detetados.
O Trust Center mostra medidas, certificados e prestadores numa página própria. Parceiros, imprensa e clientes interessados encontram lá as respostas.
Como o Sightadel ajuda
As obrigações do RGPD estão preparadas como perguntas guiadas, dos princípios aos direitos dos titulares e à obrigação de notificação. Cada pergunta inclui explicação, resposta e evidência.
Saber mais →Alojamento, pagamentos, envio, newsletters e análise constam de uma lista com país, acordo, subcontratantes ulteriores e evidências. Dos dados tratados resulta a avaliação do risco.
Saber mais →Modelos para o registo de tratamentos, a informação sobre proteção de dados, o conceito de apagamento e as respostas a pedidos dos titulares. A IA ajuda a redigir; a avaliação jurídica continua a ser sua.
Saber mais →Pedidos em aberto, acordos em falta e medidas após uma violação de dados tornam-se tarefas com prazo e pessoa responsável.
Saber mais →Uma página pública com medidas de segurança, certificados, documentos aprovados e subcontratantes. O selo do Sightadel liga à sua scorecard.
Saber mais →O Sightadel verifica como a loja, o site e o servidor de e-mail se apresentam vistos de fora e mostra cada problema com instruções para o resolver.
Saber mais →Esforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é o número de prestadores, o número de países e quantos sistemas contêm dados de clientes.
O que licencia · tipicamente Professional
Uma empresa B2C típica com loja ou app gere o RGPD na edição Professional, porque por trás do negócio há muitos prestadores. Esta inclui dez utilizadores e 25 fornecedores. Licença para o RGPD: a partir de 200 € por mês. Se a ISO 27001 for acrescentada, há um desconto permanente no RGPD. Com poucos prestadores, a Basic muitas vezes chega.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Na Alemanha, segundo o § 38 da lei federal alemã de proteção de dados (BDSG), em regra quando pelo menos 20 pessoas se ocupam permanentemente do tratamento automatizado de dados pessoais. Independentemente do número, a obrigação pode existir, por exemplo, quando é necessária uma avaliação de impacto. A classificação de cada caso deve ser esclarecida com a sua assessoria jurídica.
Em princípio, um mês a contar da receção. Em pedidos complexos ou numerosos, o prazo pode ser prorrogado por mais dois meses. O titular tem de ser informado disso no primeiro mês.
As violações sujeitas a notificação são comunicadas à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de 72 horas. Se houver risco elevado para os titulares, também estes são informados. Todas as violações são documentadas, mesmo sem notificação.
Não. A informação nos termos do art. 13.º do RGPD continua a ser obrigatória. O Trust Center complementa-a com medidas de segurança, certificados e a lista de prestadores.
Uma loja que vende produtos próprios normalmente não é um mercado em linha no sentido da BSIG. Se operar uma plataforma onde terceiros vendem, pode ser diferente. O enquadramento esclarece com a sua assessoria.
O Sightadel não disponibiliza banners de cookies. Regista que técnicas usa, com que fundamento e com que prestador, e liga a documentação como evidência.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
