Аудит обработки персональных данных
Документы на сайте могут быть в полном порядке, а фактическая обработка персональных данных – нет: данные уходят подрядчикам, в зарубежные сервисы и во внешние модели, о которых в политике ничего не сказано. Мы смотрим, что происходит фактически, и приводим документы в соответствие с процессами, а не наоборот.
Что входит
- Разбор фактических процессов обработки
- Перечень расхождений с оценкой критичности и рекомендацией по каждому
- Локальные акты, приказы и формы, которыми эти расхождения закрываются
- Поручения обработчикам и подрядчикам, получающим доступ к данным
- Согласие и уведомление на трансграничную передачу, дающие право работать с зарубежными сервисами
Кейс
Сервис с искусственным интеллектом, у которого документы описывали не тот процесс
Запрос
Сервис DomIQ принимает заявки пользователей в мессенджере, обрабатывает их искусственным интеллектом, передает исполнителю и удерживает оплату до подтверждения работ. Документы по персональным данным у сервиса были, но написаны до того, как продукт принял этот вид.
Что сделали
Провели аудит процессов обработки по опросному листу и интервью с командой. Выяснили, что обработка идет по трем самостоятельным целям, данные передаются трем внешним поставщикам моделей, а проверка исполнителей отдана стороннему сервису, и ничего из этого в документах не отражено. Подготовили отчет с перечнем расхождений, переписали политику и подготовили согласие, а также отдельное согласие на трансграничную передачу.
Результат
Документы стали описывать то, что происходит фактически. Опросный лист и форма отчета по этому проекту стали шаблоном практики для последующих аудитов.
Решить вашу задачу
Расскажите о вашей ситуации — мы предложим конкретное решение.