Если вы используете идентификацию посетителей на уровне компаний, об этом необходимо сообщить в политике конфиденциальности. Не в сноске, не за туманными юридическими формулировками и не на отдельной странице, на которую никто не ссылается, — а в том же документе, где посетители ожидают найти такую информацию. Ниже — практическое руководство о том, какой раздел нужно добавить, где его разместить и как сформулировать, не усложняя текст без необходимости.
Примечание
Это маркетинговая статья, а не юридическая консультация. Используйте готовый фрагмент в конце как отправную точку и попросите своего DPO или юриста адаптировать его под фактическую обработку данных.
Где разместить этот раздел
Лучшее место — ваша действующая политика конфиденциальности, обычно раздел с названием вроде «Веб-аналитика», «Использование ваших данных» или «Обработка данных на этом сайте». Добавьте отдельный подраздел с понятным заголовком рядом с разделом об аналитике, но не объединяйте их. Посетитель, у которого есть десять секунд и Ctrl+F, должен найти его по запросу «идентификация посетителей» или «данные о компаниях».
Не прячьте эту информацию в политике использования файлов cookie. Такие политики посвящены хранению данных на устройстве, а идентификация на уровне компаний обычно не использует файлы cookie. Если поместить её туда, это лишь всех запутает.
Что должно быть указано в разделе
Шесть элементов — примерно в таком порядке. Ни один из них не требует длинного объяснения.
- Что вы делаете: определяете компанию (организацию), стоящую за посещением сайта, а не конкретного человека.
- Какие данные вы обрабатываете: IP-адрес посетителя в течение короткого технического периода, а также посещённые страницы и временные метки.
- Как вы их обрабатываете: IP-адрес сопоставляется с организацией с помощью базы соответствий IP-адресов и компаний; исходный IP-адрес не хранится после завершения сопоставления.
- Зачем: законный интерес согласно ст. 6(1)(f) GDPR — прямой маркетинг и аналитика по целевым компаниям; оценка баланса интересов хранится в документации.
- Срок хранения: как долго данные об идентифицированных посещениях хранятся в ваших системах.
- Права и отказ от обработки: ссылка на страницу отказа и указание на то, что посетители могут в любой момент возразить против обработки.
Удачные и неудачные формулировки
| Стоит писать | Не стоит писать |
|---|---|
| «Мы определяем компанию (организацию), посетившую сайт» | «Мы идентифицируем посетителей» — формулировка неоднозначна и звучит так, будто речь идёт о людях |
| Прямо укажите правовое основание — ст. 6(1)(f) | Не ссылайтесь на согласие, если основанием служит законный интерес |
| Опишите преобразование IP-адреса: IP → компания; исходный адрес не хранится после сопоставления | Не опускайте срок хранения — молчание воспринимается как бессрочное хранение |
| Дайте прямую ссылку на страницу отказа | Не ограничивайтесь фразой «свяжитесь с нами, чтобы возразить» |
| Если вы используете обработчика, укажите его название и дайте ссылку на DPA или список субобработчиков | Не оставляйте факт обработки третьей стороной без прямого пояснения |
| Наряду с юридическими терминами используйте понятные формулировки | Не ограничивайтесь латинскими терминами и номерами статей |
Готовый фрагмент для адаптации
«Идентификация посетителей сайта на уровне компаний. При посещении нашего сайта мы в течение короткого технического периода обрабатываем ваш IP-адрес, чтобы определить организацию, стоящую за посещением, а не конкретного человека. IP-адрес сопоставляется с компанией с помощью базы соответствий IP-адресов и организаций и после завершения сопоставления не хранится в исходном виде. Мы объединяем данные об определённой компании с информацией о просмотренных вами страницах и времени посещения, чтобы понимать, какие организации интересуются нашими услугами, и при необходимости связываться с ними. Правовое основание: законный интерес согласно статье 6(1)(f) GDPR — прямой маркетинг и аналитика по целевым компаниям. Оценка баланса интересов оформлена внутренним документом, который предоставляется по запросу. Срок хранения: данные об идентифицированных посещениях хранятся в течение [12 месяцев], после чего удаляются. Вы вправе в любой момент возразить против обработки; отказаться от неё можно на странице [ссылка на вашу страницу /opt-out]».
Замените [12 месяцев] на фактический срок хранения. Укажите собственную ссылку для отказа. Если вы используете обработчика, добавьте: «Для этой цели мы привлекаем [название обработчика] в качестве обработчика данных. Наше соглашение об обработке данных доступно по адресу [ссылка]».
Две ссылки, которые стоит добавить
Раздел будет убедительнее, если добавить в него ссылки ещё на две страницы: ваш DPA, описывающий отношения с обработчиком, и список субобработчиков. Обе показывают потенциальным клиентам, чьи специалисты по безопасности обязательно прочитают вашу политику, что вы продумали весь процесс от начала до конца. А они действительно её читают.
Что ещё нужно обновить вместе с этим разделом
Обычно одним разделом изменения не ограничиваются. Как правило, одновременно обновляют две связанные страницы: список субобработчиков, куда нужно добавить вашего обработчика для идентификации, и ваш реестр операций по обработке данных. Если у вас есть баннер файлов cookie, этот вид обработки не относится к его категориям: для идентификации на уровне компаний не требуется согласие через баннер при условии, что оценка баланса интересов проведена. Короткая внутренняя памятка с пояснением для администратора CMP поможет избежать недоразумений и лишней заявки через шесть месяцев.
После публикации раздела сделайте его скриншот и сохраните рядом с оценкой баланса интересов. Если регулятор когда-нибудь спросит, как посетители были проинформированы 3 августа года X, вы будете рады, что у вас есть скриншот с временной меткой.
Эта статья содержит общую информацию для B2B-команд и не является юридической консультацией. Попросите своего DPO или юриста подтвердить формулировки с учётом вашей конкретной обработки данных.
Published by
lead.box Team
More articles
Посмотрите lead.box на своём собственном трафике
Начните бесплатно — без банковской карты и без обязательного звонка. Либо забронируйте 20-минутную демонстрацию.