LFPDPPP для клиентов мерча: как защитить данные, которые персонализируют ваши продукты
Когда вы персонализируете мерч с выгравированным именем сотрудника, размером униформы, RFC для выставления счёта, адресом доставки или email клиента, вы обрабатываете персональные данные, которые регулируются Федеральным законом о защите персональных данных в распоряжении частных лиц (LFPDPPP). Этот гид объясняет, что говорит закон, какие обязанности у вас как у контролёра данных, что вы должны подписать с вашими поставщиками и что происходит, когда что-то идёт не так. Он написан для менеджеров HR, маркетинга, операций и комплаенса.
Когда применяется LFPDPPP в программе мерча
LFPDPPP применяется всякий раз, когда вы обрабатываете персональные данные физических лиц в целях производства, персонализации, доставки или выставления счетов за мерч. Данные, которые типично активируют закон: имя, выгравированное на блокноте или термосе, номер сотрудника на футболке, размер и телосложение в униформе, RFC и налоговые данные для выставления счетов, адрес для доставки на дом, email для подтверждения, телефон для связи по доставке.
То, что закон считает персональными данными, шире, чем думают многие. Имя без фамилии, номер сотрудника, адрес без имени, отсканированная подпись, фото получателя на ките — всё это персональные данные. Если вы их собираете и передаёте поставщику для использования в производстве, вы являетесь контролёром данных.
Контролёр vs обработчик: ключевое различие
LFPDPPP различает две роли. Контролёр решает, какие данные собираются, для чего они используются, с кем делятся и как долго хранятся. Обработчик обрабатывает данные по поручению контролёра, не решая целей. Когда вы передаёте данные сотрудников в Corp-Merch.MX для гравировки имён на блокнотах, вы — контролёр, а мы — обработчик.
Это различие важно, потому что обязанности разные. Контролёр должен иметь уведомление о конфиденциальности, получать согласие, когда данные являются финансовыми, имущественными или чувствительными, обрабатывать права ARCO и уведомлять об инцидентах. Обработчик должен следовать инструкциям контролёра, подписывать соглашение об обработке, поддерживать меры безопасности и не передавать данные третьим лицам без разрешения.
Соглашение об обработке данных
Каждый поставщик, обрабатывающий персональные данные от вашего имени, должен подписать соглашение об обработке. Соглашение — это контракт, который определяет объём, сроки, меры безопасности, субподряд и уведомление об инцидентах. Без соглашения нет законной обработки, и вы подвергаетесь риску при аудите INAI.
Corp-Merch.MX подписывает соглашение с каждым клиентом, который передаёт нам персональные данные для производства. Соглашение включает пункты о: типе передаваемых данных, цели обработки, сроке хранения, технических и физических мерах безопасности, запрете субподряда без письменного разрешения, процедуре уведомления об инцидентах, праве аудита со стороны контролёра и возврате или уничтожении данных по окончании услуги.
Уведомление о конфиденциальности на вашем сайте и ваших изделиях
Если вы собираете персональные данные через сайт, email или лендинг для координации программы мерча, вы должны иметь уведомление о конфиденциальности, опубликованное до первого сбора. Уведомление должно объяснять, какие данные вы собираете, для чего используете, с кем делитесь, как субъект данных может реализовать права ARCO и как может отозвать согласие.
Если вы выдаёте мерч с выгравированными данными получателя (например, блокнот с именем сотрудника), внутреннее уведомление о конфиденциальности должно охватывать это использование. Данные, физически выгравированные на изделии, считаются обработкой персональных данных — уведомление должно информировать субъекта о том, что его имя будет выгравировано на изделии и для чего оно будет использовано.
Права ARCO и как их обрабатывать
Права ARCO (Доступ, Исправление, Отмена, Возражение) — права субъекта данных. Если сотрудник просит вас отменить его данные, потому что больше не хочет, чтобы его имя было выгравировано на блокноте, вы должны удовлетворить запрос. Когда данные выгравированы физически, отмена может повлечь уничтожение изделия или замену гравировки — но вы не можете отказать без законных оснований.
Срок для обработки запроса ARCO — двадцать рабочих дней с момента получения, с возможностью продления ещё на пятнадцать рабочих дней. Ответ должен быть отправлен каналом, который укажет субъект. Если вы передали данные поставщику, вы должны координировать ответ с поставщиком, чтобы данные также были отменены в их системах.
Инциденты безопасности: что делать
Инцидент безопасности — это любое событие, которое ставит под угрозу конфиденциальность, целостность или доступность персональных данных. Примеры в программе мерча: украденный ноутбук с базой данных сотрудников, электронная таблица с именами и адресами, отправленная по ошибке, поставщик, утечка которого раскрывает базу данных.
Когда происходит инцидент, вы должны: сдержать инцидент немедленно, оценить масштаб и затронутые данные, уведомить INAI, когда инцидент значителен, и уведомить затронутых субъектов данных, когда риск высок. Соглашение об обработке, которое вы подписываете с поставщиком, должно определять сроки и каналы уведомления об инцидентах, возникших у поставщика.
Операционные лучшие практики
Пять практик, которые помогают соответствовать закону, не делая процесс бюрократическим. Первая — минимизировать данные: передавайте поставщику только строго необходимое для производства и доставки. Если поставщику не нужна дата рождения для гравировки термоса, не включайте её в базу. Вторая — шифровать передачи: используйте зашифрованные файлы с паролями, отправляемыми отдельным каналом.
Третья — ограничивать доступ: только уполномоченный персонал поставщика видит данные, и доступ регистрируется. Четвёртая — короткие сроки: данные передаются поставщику, используются и возвращаются или уничтожаются в определённый срок (типично тридцать календарных дней). Пятая — аудит: не реже одного раза в год вы проверяете, что поставщик соответствует согласованным мерам безопасности.
Запросить расчёт по LFPDPPP комплаенсу?
Если вы собираетесь запустить программу мерча с персонализированными данными, поделитесь своим случаем. Мы поможем вам составить соглашение об обработке, определить строго необходимые данные и установить операционные меры безопасности. Мы подписываем соглашение с каждым клиентом и проводим внутренний аудит раз в год.
Corp-Merch.MX — мексиканская мастерская по производству мерча. Информация о LFPDPPP носит информационный характер и отражает положения, действующие на момент публикации. Мы рекомендуем проверять конкретные обязательства с вашим юридическим отделом и с INAI. Corp-Merch.MX не является юридической фирмой или сертифицирующим органом.