Защита персональных данных на предприятии в соответствии с требованиями законодательства
Стоимость услуг
Отзывы наших клиентов
... работа в совместных проектах дала возможность убедиться в вашем высоком профессиональном уровне
Что мы делаем
- Определяем, какие требования Украины, GDPR ЕС и законов США применяются к вашей компании, продукту и роли в работе с данными.
- Проводим аудит документов, сайта или приложения, договоров, информационных систем, поставщиков и фактических потоков данных.
- Готовим карту обработки, перечень пробелов и дорожную карту с приоритетами для руководителя, юриста, HR, маркетинга, продукта и ИТ.
- Разрабатываем внутренние положения, уведомления о приватности, формы, процедуры запросов, хранения, удаления, доступа и реагирования на инциденты.
- Готовим и проверяем DPA, SCC и другие условия договоров с клиентами, обработчиками, поставщиками и партнерами.
- Оцениваем необходимость уведомления Уполномоченного в Украине, DPIA/DPO/представителя в ЕС и отдельных механизмов прав потребителей в США.
- Обучаем ответственных работников и сопровождаем внедрение согласованных изменений.
Необходимые документы и информация
Помогаем бизнесу определить, какие правила защиты персональных данных применяются именно к его деятельности, и превратить их в рабочую систему — документы и процессы. Проводим юридический аудит персональных данных, определяем движение данных между компанией, сайтом, работниками и поставщиками, готовим внутренние положения, уведомления для клиентов и работников, договорные условия и алгоритмы реагирования на запросы и инциденты.
Услуга охватывает право Украины, GDPR ЕС и согласованный перечень федеральных и штатных правил США. Если ваш бизнес одновременно работает на нескольких рынках, мы строим единую базовую систему и добавляем к ней требования отдельных юрисдикций.
Такое юридическое сопровождение защиты персональных данных позволяет не готовить документы «на всякий случай», а сначала определить, какие требования реально касаются вашей компании и где есть риски несоответствия, нужно ли полное приведение в соответствие с GDPR или достаточно точечных изменений.
Кому и когда необходим юридический аудит персональных данных
Услуга актуальна для украинских компаний, которые работают с данными клиентов, работников, кандидатов, пациентов, пользователей сайтов или приложений. Особенно часто аудит нужен:
- ІТ-, SaaS-, e-commerce-, EdTech-, MedTech- и мобильным продуктам, которые продают или тестируют услуги в ЕС или США;
- компаниям, которым иностранный клиент прислал анкету по приватности, DPA, SCC или требования к обработчику данных перед заключением договора.;
- иностранному бизнесу, который имеет работников, подрядчиков, представительство или клиентские процессы в Украине;
- компаниям, которые используют видеонаблюдение, геолокацию, биометрию, медицинские данные, профилирование, рекламные технологии или значительное количество облачных сервисов.
Если компании нужно понять не только отдельные ошибки, а общий уровень соответствия, проводим GDPR-аудит / аудит соответствия GDPR с определением пробелов, приоритетов и дальнейших шагов для команды.
Защита персональных данных в Украине
Проверяем основания и цель обработки, состав и пропорциональность данных, информирование людей, порядок доступа работников, передачу распорядителям, сроки хранения и удаления. Разрабатываем внутреннее положение об обработке и защите персональных данных, приказы и формы, документы для работников и клиентов, договорные условия, процедуры запросов и инцидентов.
Отдельно определяем, представляет ли обработка особый риск для прав и свобод людей и нужно ли уведомлять Уполномоченного Верховной Рады Украины по правам человека. Общая «регистрация базы персональных данных» не является действующей универсальной процедурой.
Для работодателей также проверяем, как оформлена обработка персональных данных работников и действительно ли в конкретной ситуации необходимо согласие на обработку персональных данных, а где компания имеет другое законное основание. Это помогает не использовать одну универсальную форму согласия для всех HR-процессов.
Внедрение GDPR ЕС
Определяем, распространяется ли GDPR на компанию и в какой роли она действует:
- контролер;
- совместный контролер;
- обработчик.
Формируем реестр операций обработки, правовые основания, уведомления о приватности, порядок реализации прав людей, правила хранения, реагирования на утечки и договорные условия.
Для международных передач проверяем маршрут данных и соответствующий механизм, в частности стандартные договорные положения. При наличии условий, определенных GDPR, оцениваем необходимость в оценке воздействия на защиту данных (DPIA), DPO и представителе в ЕС. Национальные требования конкретного государства ЕС и правила электронных коммуникаций проверяются отдельно для согласованного рынка.
Если компании необходим комплексный GDPR compliance, мы не ограничиваемся Privacy Policy: проверяем документы, договоры, роли сторон, поставщиков и реальные процессы и формируем план приведения бизнеса в соответствие.
Защита персональных данных в США
В США нет одного общего федерального аналога GDPR. Поэтому сначала формируем матрицу применимости: штаты, пороги, виды данных, роль компании, рекламные практики и отраслевые правила.
После этого, в зависимости от результатов матрицы, готовим многоштатное уведомление о приватности и необходимые локальные приложения, порядок запросов потребителей, отказа от продажи/распространения данных или таргетированной рекламы, обработки универсальных сигналов отказа, договорные условия с поставщиками и оценки рискованных операций. CCPA/CPRA является важной, но не единственной частью такого анализа.
Если бизнес работает одновременно в Украине, ЕС и США
Мы не рекомендуем создавать три независимые системы документов, которые противоречат друг другу.
Сначала формируем единую базовую логику работы с персональными данными: категории данных, цели, доступ, поставщики, хранение, удаление, права субъектов персональных данных, запросы людей и реагирование на инциденты.
После этого добавляем специальные требования Украины, GDPR или конкретных штатов США.
Такой подход упрощает дальнейшее обновление документов и помогает избежать ситуации, когда Privacy Policy обещает одно, договор с клиентом — другое, а фактические процессы работают совсем иначе.
Что вы получаете после аудита персональных данных
По согласованному проекту результатом могут быть:
- матрица законов и требований, которые применяются к согласованным рынкам;
- карта основных потоков данных и ролей сторон;
- отчет о пробелах с приоритетами, ответственными и рекомендуемыми сроками;
- согласованный комплект внутренних и внешних документов;
- шаблоны договорных условий и правила работы с поставщиками;
- алгоритмы для запросов людей, удаления/хранения данных и инцидентов;
- итоговая встреча и объяснение для работников, которые будут внедрять изменения.
Если аудит проводится именно на соответствие GDPR, отчет фактически выполняет функцию GDPR Gap Assessment: показывает, что уже соответствует требованиям, какие пробелы нужно закрыть и что должен сделать бизнес для дальнейшего GDPR compliance.
Мы объясняем не только какие документы нужно иметь, но и что компании нужно сделать после их получения. Именно поэтому результат юридического аудита — это не папка шаблонов, а план приведения реальных процессов в соответствие.
Сроки аудита и подготовки документов
Срок зависит от масштаба проекта: количества компаний и продуктов, юрисдикций, информационных систем, поставщиков, договоров и категорий персональных данных.
Отдельный анализ сайта или конкретного DPA требует значительно меньшего объема работы, чем полный аудит соответствия GDPR компании с процессами в Украине, ЕС и США.
Поэтому до старта мы сначала определяем границы проекта, перечень документов и ожидаемый результат, а после этого согласовываем реальный срок выполнения именно для вашей компании.
Пакеты услуг
Ориентировочный объем: одна компания, один основной продукт/сайт или приложение и один согласованный территориальный контур. Окончательные лимиты согласовать.
- Вводная встреча и анкета по бизнесу, продукту, клиентам, работникам, системам и поставщикам.
- Определение роли компании и предварительная матрица применимости права Украины, GDPR ЕС или согласованных законов США.
- Анализ имеющихся политик, согласий, уведомлений, внутренних документов и типовых договоров в согласованном объеме.
- Обзор основных точек сбора данных на сайте или в приложении.
- Карта основных потоков данных и перечень критических пробелов.
- Отчет с приоритетами и дорожная карта внедрения.
- Итоговая встреча с объяснением результатов.
Результат: Вы понимаете, какие требования применяются, где есть риски, какие документы и процессы нужны и в какой последовательности их внедрять.
Не входит: Разработка документов, техническое внедрение, локальное заключение по праву конкретного государства/штата, общение с регулятором и повторный аудит.
| Базовый объем для согласования: одно украинское юридическое лицо или ФЛП, один сайт, стандартные процессы работников, кандидатов, клиентов и контрагентов. |
- Аудит имеющихся документов и ключевых процессов обработки.
- Определение цели, правовых оснований, категорий данных, получателей и сроков хранения.
- Внутреннее положение об обработке и защите персональных данных.
- Проект приказа/решения об организации работы и ответственных лицах.
- Уведомления и формы для работников, кандидатов, клиентов или посетителей сайта в согласованном составе.
- Правила доступа, конфиденциальности, хранения, удаления и передачи данных.
- Порядок рассмотрения запросов субъектов и реагирования на инциденты.
- Типовые положения для договора с распорядителем/поставщиком.
- Оценка того, представляет ли обработка особый риск.
- Подготовка уведомления Уполномоченному, если по результату оценки оно необходимо.
- Обучающая встреча для ответственных работников.
Результат: Комплект документов и базовых процедур, согласованный с фактической обработкой данных в Украине.
Не входит: Технический аудит безопасности, сложные отраслевые процессы, международные передачи, спор или проверка, неограниченное количество форм/договоров, фактическая настройка систем.
| Базовый объем для согласования: одна компания, один продукт, один основной сайт/приложение, стандартный GDPR-контур без глубокой локализации по праву нескольких государств ЕС. Что входит |
- Оценка территориального действия GDPR и роли компании: контролер, совместный контролер или обработчик.
- Карта данных и реестр операций обработки в согласованном объеме.
- Матрица целей, правовых оснований, получателей и сроков хранения.
- Уведомление о приватности для сайта/приложения и согласованных групп людей.
- Правовая модель cookies, аналитики, рекламы и согласий; техническая настройка не входит.
- Внутренняя политика защиты данных.
- Порядок реализации прав субъектов и шаблоны основных ответов.
- Порядок реагирования на нарушения безопасности персональных данных.
- Типовая DPA в соответствии со статьей 28 GDPR.
- Оценка международных передач и один согласованный комплект SCC/применимых договорных положений.
- Первичная оценка необходимости LIA, TIA, DPIA, DPO и представителя в соответствии со статьей 27.
- Итоговая дорожная карта и обучение ответственных работников.
Результат: Базовый GDPR-комплект для запуска продукта, прохождения проверки контрагента или приведения действующих процессов к согласованной модели.
Не входит: Заключение по национальному праву всех государств ЕС, назначение/работа DPO или представителя, полная DPIA/TIA для нескольких процессов, переговоры по всем договорам, техническое внедрение CMP, представительство перед регулятором.
| Базовый объем для согласования: одна компания, один продукт, согласованный перечень штатов, без полного анализа всех отраслевых законов и всех 50 штатов. Что входит: |
- Матрица применимости комплексных штатных законов и согласованных Федеральных/отраслевых правил.
- Инвентаризация основных категорий данных, целей, источников, получателей и рекламных практик.
- Многоштатное уведомление о приватности и необходимое California-приложение, если CCPA/CPRA применяется.
- Требования к notice at collection и ссылкам/механизмам privacy choices в согласованном объеме.
- Процедура доступа, исправления, удаления, переноса, отказа и обжалования для согласованных штатов.
- Правовая спецификация обработки сигналов Global Privacy Control или других универсальных механизмов отказа, если применимо.
- Типовые условия для service provider/processor/contractor и других получателей данных.
- Первичная оценка необходимости consent для sensitive data и data protection assessments.
- Базовый алгоритм эскалации инцидента и определения дальнейшей штатной проверки.
- Дорожная карта для сайта, продукта, маркетинга, клиентской поддержки и поставщиков.
Результат: Клиент получает определенный перечень законов и практический многоштатный комплект, а не общее обещание «CCPA compliance».
Не входит: Полная 50-штатная матрица уведомлений об утечках, отраслевые модули HIPAA/GLBA/FCRA/COPPA, регистрация data broker/DROP, глубокий анализ биометрии или health data, техническое внедрение opt-out/GPC, представительство перед органом США.
- Совместный аудит группы согласованных компаний/продуктов.
- Базовая карта данных и распределение ролей между компаниями.
- Матрица Украины, GDPR ЕС и согласованных штатов/отраслей США.
- Единая структура внутренних правил с локальными приложениями.
- Внешние уведомления для согласованных рынков.
- Договорная архитектура для клиентов, поставщиков, обработчиков и международных передач.
- Общий порядок запросов, хранения/удаления и реагирования на инциденты;
- Задания для технической команды и поддержка внедрения.
- Обучение работников и контрольный аудит.
Результат: Одна управляемая система приватности для бизнеса, работающего в Украине и выходящего на рынки ЕС и США, без дублирования противоречивых политик и процедур.
Границы: Состав, юрисдикции, документы, техническое участие, местные консультанты, сроки и этапы фиксируются в индивидуальном предложении.
| Можно заказать отдельно или добавить к выбранному пакету после определения объема, юрисдикций и необходимого результата. |
- Тематический аудит или повторная проверка документов и процессов, сайта или мобильного приложения, данных работников и кандидатов, видеонаблюдения, поставщиков или результатов внедрения рекомендаций;
- Разработка и обновление внутренних положений, уведомлений, форм и процедур для работников, кандидатов, клиентов, пациентов, участников мероприятий, а также для работы с медицинскими, биометрическими, детскими данными или геолокацией;
- Разработка или проверка договоров с клиентами и поставщиками, DPA, SCC, TIA, соглашений совместных контролеров и сопровождение согласования с контрагентом;
- Специальные оценки по праву Украины, GDPR ЕС и США, в частности оценка рискованной обработки, необходимости уведомления Уполномоченного, LIA, DPIA, DPO или представителя в ЕС, применимости законов штатов США и требований к чувствительным данным;
- Проверка сайтов, приложений и рекламных технологий: политик, форм, cookies, аналитики, рекламы, механизмов согласия и отказа, в частности GPC и требований CCPA/CPRA;
- Подготовка ответов на запросы субъектов данных и потребителей, сопровождение сложных запросов, жалоб и обращений регулятора;
- Разработка плана реагирования на инциденты и утечки данных, оценка нарушения и обязанности уведомления, подготовка согласованной юрисдикционной матрицы и проведение тренировочной симуляции;
- Обучение руководителей, юристов, кадровых специалистов, маркетинга, продукта и поддержки, а также регулярное сопровождение новых продуктов, договоров, запросов, поставщиков и обновление политик.
Стоимость юридического сопровождения защиты персональных данных
Стоимость юридического сопровождения в сфере защиты персональных данных зависит не только от количества документов. В расчет входят количество компаний, продуктов, сайтов и приложений, юрисдикции, категории данных, информационные системы, поставщики, международные передачи, договоры и уровень участия нашей команды во внедрении.
Например, простой аудит персональных данных для украинской IT-компании и комплексный GDPR compliance audit для продукта, который одновременно работает в Украине, ЕС и США, требуют разного объема анализа.
Перед расчетом стоимости мы определяем границы проекта: какие юридические лица, продукты, страны, процессы и документы нужно охватить. Благодаря этому вы получаете смету под конкретную задачу, а не цену за условный “пакет GDPR”, который может не соответствовать вашему бизнесу.
Вопросы для финального ценообразования
- Сколько юридических лиц входит в базовую цену?
- Сколько сайтов/приложений, процессов, систем, поставщиков, договоров и документов входит в каждый пакет?
- Считать ли дополнительную юрисдикцию, штат, язык и продукт отдельной единицей?
- Какая внутренняя норма часов и типичный срок для каждого пакета?
- Какие технические работы компания выполняет сама, а какие передает партнеру?
- Какие международные модули требуют местного советника и как его стоимость показывать клиенту?
- Какой пакет должен быть основным для рекламы и какой — входным диагностическим продуктом?
Что может оплачиваться отдельно
В базовую стоимость автоматически не включаются переводы, услуги местного юриста в отдельной иностранной юрисдикции, техническая доработка сайта или приложения, настройка информационных систем, приобретение программного обеспечения и другие работы, которые прямо не предусмотрены согласованным объемом.
Если во время аудита выявляем, что нужен технический специалист, локальный советник или дополнительный анализ другой юрисдикции, сначала объясняем вам причину и согласовываем отдельный объем работ. Смета не расширяется автоматически из-за того, что во время проверки появились новые задачи.
Почему именно мы
Наши клиенты
- Одна политика конфиденциальности или форма согласия не создает полной системы защиты данных.
- GDPR применяется к украинской компании не по гражданству клиента само по себе, а по критериям территориального действия, роли компании и связи обработки с деятельностью в ЕС.
- Для США перечень законов определяется по штатам, порогам, данным и отрасли; пакет не означает автоматическое соответствие всем законам 50 штатов.
- Юридический пакет не заменяет технический аудит безопасности. Если изменения касаются кода, аналитических тегов, систем доступа, удаления или журналирования, согласовывается отдельное техническое задание.
- Право конкретного государства ЕС или штата США и регуляторные процедуры проверяются повторно на дату проекта.
Ответы на часто задаваемые вопросы
Распространяется ли GDPR на украинскую компанию без офиса в ЕС?
Может распространяться, но не автоматически. Нужно проверить, предлагает ли компания товары или услуги людям в ЕС, отслеживает ли их поведение, связана ли обработка с европейским подразделением, а также в какой роли компания получает данные. Сам факт доступности сайта в ЕС обычно недостаточен для окончательного вывода.
Нужно ли регистрировать базу персональных данных в Украине?
Общей государственной регистрации баз персональных данных нет. Владелец уведомляет Уполномоченного об обработке, которая представляет особый риск для прав и свобод людей. Мы сначала проверяем категории данных и характер обработки, а при наличии оснований готовим уведомление и сопроводительные документы.
Какой закон США нужно выполнять — CCPA или другой?
Это зависит от штатов, порогов, типа бизнеса, категорий данных и способов их использования. Для одних компаний ключевой будет CCPA/CPRA, для других — законы Colorado, Texas, Virginia, Connecticut или отраслевые федеральные правила. Поэтому первым результатом является матрица применимости, а не универсальная "политика для США".
Достаточно ли разместить политику конфиденциальности и баннер cookies?
Нет. Публичные уведомления должны соответствовать фактическим процессам. Дополнительно могут быть нужны правовые основания, внутренние правила доступа и хранения, договоры с поставщиками, механизмы запросов и отказов, оценки рисков, реагирование на утечки и техническая блокировка отдельных инструментов до получения надлежащего согласия или выбора пользователя.
Что делать при утечке персональных данных
Утечка персональных данных или другое нарушение безопасности персональных данных (data breach) требует не только технической реакции. Нужно определить, какие данные пострадали, кого касается инцидент, какие правовые требования применяются и нужно ли уведомлять людей или регулятора. Мы помогаем оценить юридические последствия инцидента, зафиксировать принятые решения и согласовать дальнейшие действия с технической командой. Это позволяет реагировать на утечку как на управляемый процесс, а не только как на аварийную IT-проблему.
Когда бизнесу стоит провести аудит персональных данных
Не обязательно ждать проверки регулятора или утечки данных. Юридический аудит персональных данных целесообразно провести еще до того, как новый процесс или продукт начнет масштабироваться.
Стоит заказать услуги юриста в сфере IT и провести аудит, если компания:
- запускает новый сайт, мобильное приложение или онлайн-сервис;
- выходит на рынок ЕС или США;
- начинает работать с новыми категориями персональных данных;
- внедряет CRM, HRM, AI-сервисы, облачные решения или новую аналитику;
- подключает рекламные платформы и поведенческое отслеживание;
- привлекает поставщиков, которые получают доступ к клиентским или HR-данным;
- получила от иностранного клиента DPA, SCC или privacy questionnaire;
- готовится к инвестициям, продаже бизнеса или due diligence;
- уже имеет privacy-документы, но они давно не пересматривались.
В таких ситуациях можно начать с юридической консультации по защите персональных данных или провести полный аудит соответствия GDPR / GDPR Gap Assessment. Мы определим, какие требования реально применяются к бизнесу, где есть пробелы и достаточно ли точечных изменений, или требуется комплексное приведение в соответствие с GDPR и другими применимыми правилами.
Для IT-, SaaS- и digital-бизнеса при необходимости к работе привлекается юрист по IT, который учитывает не только договоры и privacy-документы, но и фактическую логику работы продукта, интеграций, поставщиков и международной передачи данных.
Аудит на таком этапе позволяет увидеть пробелы до того, как они заблокируют контракт, выход на новый рынок или запуск продукта. Часто исправить процесс до масштабирования значительно проще, чем перестраивать его после накопления большого количества данных и поставщиков.
Персональные данные работников и кандидатов
Защита персональных данных на предприятии касается не только клиентов. HR регулярно работает с резюме, контактными данными, документами работников, информацией о зарплате, данными об отпусках, больничных, доступе в офис, корпоративные системы и другую информацию.
Отдельно нужно определить:
- кто имеет доступ к этим данным;
- сколько они хранятся;
- какие документы получает кандидат или работник;
- кому информация передается;
- происходит после завершения трудовых или договорных отношений.
Мы помогаем согласовать HR-документы с фактическим процессом работы, чтобы компания не собирала лишние данные и не полагалась на одно универсальное «согласие на все».
Защита персональных данных на сайте и в мобильном приложении
Privacy Policy должна соответствовать не дизайну сайта, а технологиям, которые реально работают в нем. На обработку данных могут влиять формы регистрации, кабинет пользователя, CRM, веб-аналитика, рекламные пиксели, cookies, платежные сервисы, чат-боты, системы поддержки, push-уведомления и другие интеграции.
Поэтому при юридическом аудите сайта или приложения мы сравниваем публичные уведомления с реальными инструментами сбора и передачи данных. Если определенное требование требует технической реализации, формируем его для вашей команды отдельно.
Если иностранный клиент прислал DPA или privacy questionnaire
Для украинских IT-, SaaS- и сервисных компаний privacy compliance часто становится не теоретическим требованием, а условием подписания контракта. В таких проектах IT-юрист помогает проверить DPA, SCC, privacy questionnaire и другие требования иностранного клиента не только с точки зрения формулировок, но и с учетом того, как фактически работает продукт и передаются данные.
Иностранный клиент может попросить:
- заполнить privacy или security questionnaire;
- подписать Data Processing Agreement;
- согласовать SCC;
- описать субподрядчиков;
- подтвердить места хранения данных;
- объяснить процедуру реагирования на инциденты;
- предоставить информацию о сроках удаления и доступе работников.
Мы можем не только провести проверку DPA и можно ли подписать предложенный документ, но и способна ли компания реально выполнить взятые на себя обязательства. Если условие не соответствует процессам или создает чрезмерный риск, готовим правки и помогаем согласовать их с контрагентом.
Как проходит работа с нами
- Определяем рамку. Уточняем компании, продукты, страны, категории людей и данных, системы, поставщиков и ожидаемый результат.
- Проводим аудит. Сравниваем документы с фактическими процессами, проверяем сайт или приложение, договоры, передачи, хранение, запросы и инциденты.
- Формируем дорожную карту. Разделяем критические, важные и плановые изменения и определяем, какие задачи выполняем мы, команда клиента или технический специалист.
- Готовим документы и процедуры. Разрабатываем согласованный комплект и помогаем интегрировать его в договоры, формы, HR-, маркетинговые и внутренние процессы.
- Проверяем внедрение. Проводим финальный пересмотр, объясняем изменения ответственным работникам и определяем, при каких событиях систему нужно пересматривать повторно.
В результате вы получаете не только юридические услуги по защите персональных данных, а понятный план: какие требования применяются, где есть риски, что нужно исправить и кто в команде должен это сделать.
Юридическое сопровождение защиты персональных данных для вашего бизнеса
Не каждой компании нужен одинаковый набор документов, GDPR-аудит или анализ всех штатов США. Поэтому мы начинаем с фактической модели работы бизнеса и определяем, какие требования реально применяются именно к вам, где есть наибольший риск и что нужно изменить в первую очередь.
Не знаете, какой пакет выбрать? Отправьте краткое описание бизнеса, ссылку на сайт или приложение и перечень стран, где работают ваши клиенты. Мы определим, с какого аудита начать, какие юрисдикции включить и какой результат можно зафиксировать в договоре.
Мы готовы Вам помочь!
Свяжитесь с нами по почте [email protected], по номеру телефона +38 044 499 47 99 или заполнив форму:
