Что прокси селлеры должны знать о персональных данных

Что селлеры должны знать о персональных данных

iProxy предоставляет своим клиентам уникальную инфраструктуру, которая позволяет создавать собственные мобильные прокси-серверы. Мы стремимся к максимальному удобству и безопасности в сети для широкого круга пользователей, подчеркивая важность возможности клиентов делиться своими прокси-доступами.

Однако, распространение прокси-доступов третьим лицам влечет за собой необходимость обработки их персональных данных. В этой статье мы рассмотрим ключевые аспекты, которые должен учитывать каждый селлер при работе с персональными данными.

Я не собираю никакие данные, у меня даже сайта нет, зачем мне эта информация?

Если вы просто предоставляете другим людям прокси-доступы и не собираете о них вообще никаких сведений, то на вас не будут распространяться требования законодательства о персональных данных.

Но мы настоятельно рекомендуем вам так не делать, поскольку это влечет для вас существенные риски. Так, если какой-то недобросовестный человек совершит мошеннические действия, используя IP-адрес вашего телефона, вы можете получить серьезные проблемы с правоохранительными органами.

Для минимизации ваших рисков мы рекомендуем вам сохранять контактные данные пользователей, такие как e-mail, телефон и логи (о том, почему мы храним логи, читайте здесь).

Далее мы расскажем, как это правильно делать.

Нужны мобильные прокси?
Создайте прокси прямо сейчас!
Начните 48-часовой пробный период

Как регулируется обработка персональных данных?

В каждой стране имеется свое законодательство, касающееся персональных данных, и подходы к регулированию могут довольно сильно отличаться друг от друга. Например, в Европе, в отличие от США и России, где спецслужбы имеют довольно широкие полномочия по доступу к данным, конфиденциальность персональных данных человека имеет приоритетное значение.

Рассмотреть все подходы невозможно, поэтому мы сконцентрируемся на Общем регламенте по защите данных ЕС (GDPR), как на одном из самых строгих и охватывающем большое количество пользователей. GDPR — это документ, который регулирует и унифицирует правила защиты персональных данных, действующий в Европейском союзе (ЕС). Вы подпадаете под его действие, если предоставляете услуги резидентам ЕС, даже если сами находитесь в другой стране.

Что такое персональные данные согласно GDPR?

GDPR не дает конкретного перечня сведений, которые являются персональными данными. По сути, это любые сведения, с помощью которых можно определить (идентифицировать) субъекта персональных данных.

Среди таких данных GDPR выделяет специальные категории персональных данных, обработка которых требуем дополнительных мер защиты. К таким сведениям относятся: политические и религиозные убеждения; состояние здоровья; расовое или этническое происхождение; генетические и биометрические данные.

Что такое обработка персональных данных?

Обработкой могут быть различные действия с персональными данными — сбор, запись, организация, хранение, адаптация, изменение, поиск, использование, раскрытие, распространение, удаление и так далее. По сути, если вам просто стали известны чьи-то персональные данные — их обработка уже началась.

Кто участвует в обработке персональных данных?

• Субъект персональных данных – лицо, сведения о котором подлежат обработке. В вашем случае, это пользователь ваших прокси-доступов (ваш “Покупатель”).
• Контролер персональных данных – это лицо, которое определяет цели и порядок обработки персональных данных. Если вы распространяете прокси-доступы своим клиентам, вы являетесь контролером их данных.
• Процессор данных — это лицо, которое обрабатывает данные от имени Контролёра данных. Когда вы распространяете прокси-доступы своим клиентам, мы являемся процессором персональных данных и выполняем обработку, выражающуюся в хранении логов ваших клиентов.

Случаи, когда вы можете обрабатывать персональные данные:

• Субъект персональных данных дал согласие на обработку персональных данных;
• Обработка необходима для исполнения договора;
• Обработка необходима для выполнения правовой обязанности, возложенной на контролера;
• Обработка необходима для обеспечения жизненно важных интересов субъекта;
• Обработка необходима для целей, вытекающих из легитимных интересов контролера или третьего лица.

В любых иных случаях вы не можете обрабатывать данные о пользователях.

Если вы храните, как мы рекомендуем, только контактные данные и логи пользователей, основанием для обработки персональных данных будет ваш легитимный интерес, который выражается в защите от риска осуществления клиентами мошеннических действий.

GDPR предписывает хранить только минимально необходимые сведения, поэтому если вам необходимо сохранять еще какие-либо дополнительные сведения, то вам обязательно нужно подобрать подходящее основание. При этом, обратите внимание, что если в качестве основания вы указываете согласие пользователя на сбор и обработку персональных данных, то оно должно быть явным. Заранее поставленная галочка в поле «Согласен на сбор и обработку персональных данных» считается нарушением.

Какие документы мне потребуются?

Политика конфиденциальности

Вам нужно разработать и опубликовать для всеобщего сведения Политику конфиденциальности (Privacy Policy). В ней должны быть указаны цели, способы сбора и обработки персональных данных, а также информация о том, каким третьим лицам и в каких целях могут передаваться персональные данные пользователей.

Если у вас нет сайта, на котором будет размещена вся эта информация, то мы рекомендуем вам поступить следующим образом:

Сделайте шаблон сообщения в мессенджере, которое вы сможете направлять пользователям. Кратко распишите в нем основную информацию о тарифах и условиях возврата средств.

Разместите в этом сообщении:

• ссылку на текст Условий предоставления сервиса. В них должны быть расписаны подробные условия сервиса, в том числе условия возврата.
• ссылку на текст Политики конфиденциальности. Как раз в ней расписывается порядок обработки Персональных данных. Как раз в ней расписывается порядок обработки Персональных данных.

Для вашего удобства мы подготовили шаблоны необходимых документов, которые вы можете скачать и адаптировать под себя. Шаблон Условий предоставления сервиса (Terms of Service), Шаблон Политики конфиденциальности (Privacy Policy).

Эти два документа вы должны предоставить своему клиенту прежде, чем начнете с ним работать, а также вам нужно получить явное согласие, что он ознакомлен и согласен со всеми этими документами.

Реестр деятельности по обработке персональных данных

Каждый контролёр обязан вести реестр деятельности по обработке персональных данных. Обычно это таблица в формате excel. В данном реестре необходимо отражать, в частности, цели обработки, описание категорий субъектов ПД, описание категорий лиц, которым передаются персональные данные и т.д.

Этот документ пригодится вам для того, чтобы четко понимать, что и как вы обрабатываете, а также в случае, если ваш клиент запросит информацию о том, как вы храните данные.

Соглашение о защите данных (DPA)

Соглашение о защите данных – это договор между организацией и клиентом, который устанавливает условия того, как будут обрабатываться персональные данные. Соглашение является основанием для обработки данных. В этом соглашении указано, кто имеет доступ к информации, что с ней может произойти и нужно ли ее удалить из их системы в любой момент времени и т.д.

В случае, если вы распространяете прокси, созданные с помощью нашей инфраструктуры, напишите нам на почту ceo@iproxy.online, и мы, как обработчик данных, вышлем вам соглашение для подписания.

Как мне организовать хранение данных, чтобы ничего не нарушить?

Контактные данные своих пользователей вы можете хранить в любом виде, например, в таблице. Главное, чтобы ни у кого, кроме вас к ним не было доступа.

Мы, как процессоры персональных данных, на своих серверах храним обезличенные логи ваших пользователей. Они надежно защищены от утечек.

GDPR обязывает внедрить технические и организационные меры по защите от утечек информации. В случае обнаружения утечки, необходимо без промедлений уведомить об этом субъектов данных.

Когда и кому можно раскрывать персональные данные?

Раскрывать данные вы можете только в следующих случаях:

1. Если этого требует закон или в ответ на обоснованные запросы государственных органов, от вас может потребоваться раскрыть персональные данные ваших клиентов. При получении такого запроса обязательно проверьте его обоснованность.
2. Подрядчикам, поставщикам услуг и другим третьим лицам, которых вы используете для поддержки вашего бизнеса, но информация об этом должна быть отражена в политике конфиденциальности;
3. В любых других случаях с согласия клиента.

Обращаем внимание, что продавать персональные данные вы можете исключительно с прямого согласия клиента.

Риски нарушения GDPR

За нарушение норм GDPR для компаний предусматривается многоуровневая система штрафов в зависимости от тяжести нарушения:

• Уровень 1: 2% от глобального оборота или €10 млн.
• Уровень 2: 4% глобального оборота или €20 млн.

Например, уже в первый день действия регламента Google и Facebook получили исков на общую сумму в $8,8 млрд.

Конечно, если масштаб вашей деятельности немного меньше, чем у Google, то шансов, что контролирующие органы обратят на вас внимание не так много. Однако, никогда нельзя исключать риск того, что у вас появится клиент, который по каким-то причинам пожалуется им на вас и они будут вынуждены проверить ваши ресурсы.

Заключение

Правильная обработка персональных данных ваших клиентов — это не только законное требование, но и ключевой элемент для обеспечения вашей собственной безопасности.

В iProxy мы серьезно относимся к этому аспекту и предоставляем вам все необходимые инструменты и знания для эффективной и безопасной работы. Мы строго придерживаемся жестких стандартов в обработке и защите персональных данных, чтобы гарантировать, что как вы, так и ваши клиенты остаются в безопасности.