Pakiet GDPR dla firm IT: zgodność z GDPR dla SaaS, aplikacji mobilnych i produktów AI
Przygotujemy dokumentację GDPR dla platform SaaS, aplikacji mobilnych, usług AI i innych produktów cyfrowych. Przeanalizujemy, w jaki sposób firma gromadzi, wykorzystuje, przechowuje i przekazuje dane osobowe, określimy niezbędny zakres dokumentacji i dostosujemy ją do rzeczywistego sposobu działania produktu
Przygotujemy dokumentację GDPR dla platform SaaS, aplikacji mobilnych, usług AI i innych produktów cyfrowych. Przeanalizujemy, w jaki sposób firma gromadzi, wykorzystuje, przechowuje i przekazuje dane osobowe, określimy niezbędny zakres dokumentacji i dostosujemy ją do rzeczywistego sposobu działania produktu.
Cena pakietu zaczyna się od 950 EUR. Standardowy czas przygotowania wynosi od 4 do 6 dni roboczych. Jedna runda poprawek jest wliczona w cenę.
GDPR dla firmy IT to nie tylko Privacy Policy na stronie internetowej. Wymagania obejmują architekturę produktu, relacje z klientami i podwykonawcami, korzystanie z usług chmurowych, analitykę, okresy przechowywania informacji oraz procedury postępowania w przypadku żądań użytkowników lub naruszenia ochrony danych.
Dokumenty muszą odpowiadać temu, jak produkt działa w praktyce. Jeśli polityka prywatności opisuje jeden proces, a zintegrowane SDK, CRM, serwery i usługi płatnicze tworzą inny łańcuch przetwarzania danych, samo formalne posiadanie dokumentu nie będzie wystarczające.
Kiedy firma IT musi zapewnić zgodność z GDPR
GDPR ma zastosowanie nie tylko do firm zarejestrowanych w Unii Europejskiej. Wymagania mogą obejmować również przedsiębiorstwo z innego kraju, jeśli celowo oferuje ono towary lub usługi osobom znajdującym się w UE, monitoruje ich zachowanie albo przetwarza dane w ramach działalności europejskiego oddziału.
Weryfikacja zastosowania GDPR jest szczególnie ważna, jeśli firma:
- sprzedaje produkt SaaS klientom z UE
- wprowadza aplikację mobilną na rynek europejski
- korzysta z kont użytkowników, subskrypcji, newsletterów, plików cookies lub narzędzi analitycznych
- przetwarza dane użytkowników w imieniu klientów korporacyjnych
- integruje platformy chmurowe, CRM, modele AI i usługi płatnicze
- przechodzi weryfikację inwestora lub klienta korporacyjnego
- otrzymuje prośbę o podpisanie DPA lub wypełnienie ankiety dotyczącej ochrony prywatności
Sam fakt przypadkowego pojawienia się użytkownika z UE nie zawsze oznacza, że GDPR automatycznie obejmuje całą działalność firmy. Znaczenie mają rynek docelowy, model działania produktu, charakter przetwarzania oraz rola przedsiębiorstwa. Dlatego przygotowanie dokumentacji rozpoczyna się od analizy konkretnej sytuacji, a nie od kopiowania uniwersalnej polityki prywatności.
Dlaczego sama Privacy Policy nie wystarczy
Privacy Policy wyjaśnia użytkownikom, jakie dane firma gromadzi i w jaki sposób je wykorzystuje. Dokument ten nie zastępuje jednak wewnętrznych procesów, umów z podmiotami przetwarzającymi ani ewidencji operacji przetwarzania danych osobowych.
Firma musi wiedzieć, do jakich celów wykorzystywana jest każda kategoria informacji, na jakiej podstawie prawnej odbywa się przetwarzanie, komu przekazywane są dane i jak długo są przechowywane. Należy również określić, kto odpowiada na żądania użytkowników, co dzieje się z informacjami po usunięciu konta i jak zespół postępuje w przypadku wykrycia incydentu.
Dla firm SaaS szczególnie ważne jest prawidłowe określenie swojej roli. To samo przedsiębiorstwo może występować jako administrator danych własnych użytkowników i pracowników, podmiot przetwarzający dane klienta korporacyjnego, a jednocześnie korzystać z usług chmurowych jako dalszych podmiotów przetwarzających. Od tego zależą treść DPA, rejestr czynności przetwarzania, informacje przekazywane użytkownikom oraz umowy z dostawcami.
Jak przygotowujemy dokumentację GDPR
Przed rozpoczęciem opracowywania dokumentów zbieramy informacje o produkcie i przepływie danych w jego ramach. Analizujemy rejestrację i uwierzytelnianie użytkowników, formularze kontaktowe, subskrypcje, płatności, analitykę, narzędzia reklamowe, techniczne SDK i inne integracje.
Ustalamy również, gdzie znajdują się serwery i kopie zapasowe, którzy podwykonawcy mają dostęp do informacji, w jakich krajach działają oraz co dzieje się z danymi po zakończeniu umowy lub usunięciu konta. Jeśli produkt wykorzystuje profilowanie, zautomatyzowane podejmowanie decyzji, szczególne kategorie danych lub informacje o dzieciach, procesy te analizujemy oddzielnie.
Takie podejście pozwala przygotować spójny zestaw dokumentów. Privacy Policy, Cookie Policy, DPA i ROPA powinny opisywać ten sam rzeczywisty model przetwarzania danych, a nie funkcjonować jako niezależne szablony.
Co obejmuje GDPR Starter Pack
Dla większości produktów IT przewidziany jest pakiet Standard. Rozszerzony pakiet Extended jest przeznaczony dla projektów o bardziej złożonym przetwarzaniu danych lub podwyższonym poziomie ryzyka.
| Dokument lub procedura | Standard | Extended |
| Privacy Policy | Tak | Tak |
| Cookie Policy | Tak | Tak |
| Zalecenia dotyczące mechanizmu wyrażania zgody | Tak | Tak |
| Klauzula informacyjna dla pracowników i podwykonawców | Tak | Tak |
| Podstawowy rejestr czynności przetwarzania ROPA | Tak | Tak |
| Wzór DPA | Tak | Tak |
| Szablon DPIA | — | Tak |
| Legitimate Interests Assessment | — | Tak |
| Procedura reagowania na naruszenia ochrony danych | — | Tak |
| Cena | 950 EUR | 1 200 EUR |
Standard — podstawowa infrastruktura GDPR
Pakiet Standard jest przeznaczony dla platform SaaS, aplikacji i produktów cyfrowych, które przetwarzają głównie zwykłe dane osobowe.
Privacy Policy jest dostosowywana do sposobów gromadzenia informacji, kategorii użytkowników, celów przetwarzania i zintegrowanych usług. Cookie Policy opisuje wykorzystywane technologie i dostawców, a zalecenia dotyczące mechanizmu wyrażania zgody pomagają zapewnić zgodność dokumentów prawnych z interfejsem strony internetowej lub produktu.
Klauzula informacyjna dla pracowników i podwykonawców reguluje kwestie przetwarzania danych członków zespołu. Podstawowy ROPA porządkuje operacje przetwarzania, ich cele, kategorie informacji, odbiorców i okresy przechowywania. Wzór DPA jest przygotowywany z uwzględnieniem roli firmy oraz przewidywanych relacji z klientami, podmiotami przetwarzającymi lub dalszymi podmiotami przetwarzającymi.
Cena pakietu Standard wynosi 950 EUR.
Extended — dla przetwarzania danych o podwyższonym ryzyku
Rozszerzony pakiet jest przeznaczony dla produktów wykorzystujących szczególne kategorie danych, monitorowanie na dużą skalę, zaawansowane profilowanie, zautomatyzowane podejmowanie decyzji lub inne procesy mogące powodować podwyższone ryzyko dla użytkowników.
Może to być istotne dla niektórych projektów z obszaru digital health, fintech, HR-tech, sztucznej inteligencji i identyfikacji biometrycznej, a także produktów skierowanych do dzieci. Jednocześnie dane finansowe i informacje o dzieciach nie należą do szczególnych kategorii danych w rozumieniu art. 9 GDPR, jednak charakter ich przetwarzania może wymagać dodatkowych środków ochrony.
Oprócz dokumentów zawartych w pakiecie Standard, Extended obejmuje szablon DPIA, ocenę prawnie uzasadnionego interesu (LIA) oraz procedurę reagowania na naruszenia ochrony danych osobowych.
Cena pakietu Extended wynosi 1 200 EUR.
Samo wykorzystanie funkcji AI, danych finansowych lub szczególnych kategorii informacji nie oznacza, że każdy produkt automatycznie wymaga przeprowadzenia DPIA. Znaczenie mają charakter, skala i cele przetwarzania oraz możliwe konsekwencje dla użytkowników. Odpowiedni pakiet jest dobierany po analizie projektu.
Co otrzymuje klient
Po zakończeniu prac firma otrzymuje spójny zestaw dokumentów GDPR przygotowany na podstawie przekazanych informacji o produkcie. Wersje końcowe dostarczamy w formatach Word i PDF wraz z zaleceniami dotyczącymi ich publikacji i stosowania.
Cena obejmuje jedną rundę poprawek po otrzymaniu uwag klienta. W razie potrzeby wyjaśniamy kluczowe postanowienia dokumentów i wskazujemy działania, które powinien podjąć zespół produktowy lub techniczny.
Dokumentacja odzwierciedla stan produktu na moment jej przygotowania. Jeśli firma integruje nowego dostawcę, uruchamia dodatkową funkcję, zaczyna gromadzić inne kategorie danych lub wchodzi na nowy rynek, dokumentację należy ponownie przeanalizować.
Jakie zadania nie wchodzą w zakres pakietu podstawowego
Starter Pack tworzy podstawową infrastrukturę dokumentacyjną, jednak niektóre projekty wymagają bardziej szczegółowej analizy. Przykładowo w przypadku przekazywania danych poza EOG mogą być potrzebne standardowe klauzule umowne (Standard Contractual Clauses) oraz analiza konkretnego łańcucha przekazywania danych. Odrębnym zadaniem może być indywidualna DPIA, weryfikacja umów z dostawcami, przygotowanie procedury obsługi żądań użytkowników lub ocena konieczności wyznaczenia DPO i przedstawiciela w UE.
Techniczne wdrożenie banera cookies i systemu zarządzania zgodami również nie jest automatycznie objęte pakietem podstawowym. Starter Pack obejmuje Cookie Policy oraz zalecenia dotyczące prawnych zasad działania mechanizmu zgody. Zakres prac technicznych, jeśli są potrzebne, ustalany jest oddzielnie.
Odrębna forma wsparcia będzie również potrzebna w przypadku naruszenia ochrony danych, które już wystąpiło, kontroli organu nadzorczego lub otrzymania obszernej ankiety dotyczącej prywatności od klienta korporacyjnego.
Jak przebiega współpraca
1
Wstępna konsultacja. Omawiamy produkt, użytkowników, rynki docelowe i potrzeby firmy. Ustalamy, czy Starter Pack jest odpowiedni i jaki wariant będzie potrzebny.
2
Zbieranie informacji. Klient wypełnia kwestionariusz dotyczący kategorii danych, funkcji produktu, dostawców, lokalizacji użytkowników i procesów wewnętrznych.
3
Analiza przetwarzania danych. Określamy rolę firmy, główne operacje przetwarzania, zaangażowane podmioty przetwarzające oraz potencjalne obszary ryzyka.
4
Przygotowanie dokumentacji. Opracowujemy dokumenty równolegle, aby ich postanowienia były ze sobą spójne i odpowiadały rzeczywistemu działaniu produktu.
5
Uzgodnienie i przekazanie dokumentów. Otrzymujemy uwagi, wprowadzamy jedną rundę poprawek i przekazujemy ostateczne wersje w formatach Word i PDF.
Prace trwają zazwyczaj od 4 do 6 dni roboczych od otrzymania kompletnych informacji. Jeśli produkt ma złożoną architekturę lub wymaga dodatkowych dokumentów, termin ustalamy indywidualnie.
GDPR dla platform SaaS
Firma SaaS często pracuje z dwoma strumieniami danych. Pierwszy dotyczy jej własnych użytkowników, pracowników, marketingu i sprzedaży. Drugi powstaje, gdy klient korporacyjny przesyła do systemu dane swoich pracowników lub klientów.
W takim przypadku ważne jest rozdzielenie ról firmy, uzgodnienie DPA z klientami, weryfikacja relacji z dalszymi podmiotami przetwarzającymi oraz określenie zasad zwrotu lub usunięcia informacji po zakończeniu umowy. Szczególnej uwagi wymagają międzynarodowe transfery danych, kopie zapasowe i dostęp pracowników działu wsparcia.
Więcej informacji: GDPR dla platform SaaS i usług IT
GDPR dla aplikacji mobilnych
Aplikacja mobilna może gromadzić znacznie więcej informacji, niż użytkownik widzi w formularzu rejestracyjnym. W przetwarzaniu uczestniczą analityczne i reklamowe SDK, powiadomienia push, systemy płatności, narzędzia do raportowania awarii oraz uprawnienia urządzenia.
Dokumenty prawne muszą odpowiadać rzeczywistemu działaniu tych narzędzi, ustawieniom zgód oraz informacjom zamieszczonym w App Store lub Google Play.
Więcej informacji: GDPR dla aplikacji mobilnych
GDPR dla produktów AI
Podczas korzystania z AI dane osobowe mogą trafiać do zapytań użytkowników, logów systemowych, zbiorów treningowych i wyników działania modelu. Aby przygotować dokumentację, należy ustalić, czy dostawca modelu przechowuje zapytania, czy wykorzystuje je do trenowania, kto ma dostęp do wyników oraz czy informacje można usunąć na żądanie użytkownika.
Jeśli funkcja AI jest wykorzystywana do profilowania lub podejmowania decyzji mogących istotnie wpłynąć na daną osobę, konieczna będzie dodatkowa ocena podstaw prawnych i ryzyka.
Dlaczego firmy wybierają Wolja Digital
Współpracujemy z firmami IT i analizujemy GDPR nie w oderwaniu od działalności biznesowej, lecz w powiązaniu z produktem, umowami i modelem komercyjnym. Pozwala to zapewnić spójność publicznych polityk z DPA, rejestrem czynności przetwarzania i rzeczywistym łańcuchem dostawców.
Celem projektu jest przygotowanie zestawu dokumentów, z którego firma będzie mogła korzystać podczas uruchamiania produktu, negocjacji z klientami, nawiązywania współpracy z podwykonawcami i przechodzenia weryfikacji prawnej.
FAQ
Tak, jeśli produkt jest skierowany do użytkowników z UE lub przetwarza ich dane osobowe.
DPA to umowa powierzenia przetwarzania danych osobowych zawierana między firmą a podwykonawcą, który uzyskuje dostęp do danych osobowych użytkowników.
DPIA jest zazwyczaj wymagana w przypadku przetwarzania szczególnych kategorii danych, zautomatyzowanego podejmowania decyzji lub podwyższonego ryzyka dla prywatności.
W większości przypadków nie. Platformy SaaS i aplikacje zazwyczaj wymagają całego zestawu dokumentów i procedur zgodnych z GDPR.
Tak. Pakiet jest dostosowywany do platform SaaS, aplikacji mobilnych i innych produktów IT w zależności od modelu przetwarzania danych.
DPA jest wymagana, gdy jedna strona przetwarza dane osobowe w imieniu drugiej. W przypadku firmy SaaS może to być umowa z klientem korporacyjnym albo umowa z zaangażowanym podmiotem przetwarzającym lub dalszym podmiotem przetwarzającym.
Nie. DPIA jest konieczna, jeśli planowane przetwarzanie danych z dużym prawdopodobieństwem wiąże się z wysokim ryzykiem naruszenia praw i wolności osób fizycznych. Wykorzystanie AI jest istotnym czynnikiem oceny, ale samo w sobie nie oznacza obowiązku przeprowadzenia DPIA w każdym przypadku.
Starter Pack obejmuje Cookie Policy oraz zalecenia dotyczące prawnych zasad wyrażania zgody. Techniczne wdrożenie banera cookies na stronie internetowej lub w aplikacji jest ustalane oddzielnie.
Pakiet zapewnia podstawową infrastrukturę dokumentacyjną. Jednak zgodność z GDPR jest procesem ciągłym: firma musi stosować dokumenty w praktyce, przestrzegać ustalonych procedur oraz aktualizować dokumentację w przypadku zmian w produkcie lub łańcuchu dostawców.
Nie istnieje jeden obowiązkowy certyfikat, który automatycznie potwierdza pełną zgodność każdej firmy z wymaganiami GDPR. Efektem naszej pracy jest zestaw dokumentów i procedur dostosowanych do konkretnego modelu przetwarzania danych.
Pakiet Standard kosztuje 950 EUR, a Extended — 1 200 EUR. Standardowy czas przygotowania dokumentacji wynosi od 4 do 6 dni roboczych od otrzymania kompletnych informacji. Dodatkowe zadania są wyceniane oddzielnie.
Usługi powiązane:
Przygotujemy dokumentację GDPR dostosowaną do rzeczywistego działania produktu
Opowiedz nam, jak działa Twoja platforma SaaS, aplikacja mobilna lub produkt AI. Przeanalizujemy model przetwarzania danych, dobierzemy odpowiedni wariant pakietu i przygotujemy dokumentację dostosowaną do procesów firmy.
Wstępna konsultacja jest bezpłatna.