Verkkosivut ja markkinointi
Näin luot SaaS-sovelluksen tietosuojaselosteen
Luo SaaS-palvelun tietosuojaseloste kartoittamalla julkinen verkkosivusto, käyttäjätilit, asiakkaiden työtilat, laskutus ja toimintaa tukevat palvelut ennen kyselyyn vastaamista. Aloituspaketti saattaa yhdistää nämä kaikki yhdessä iltapäivässä, mutta kullakin on oma tietovirtansa. Selosteen täytyy kuvata ylläpitämääsi palvelua, myös sitä, mitä tapahtuu asiakkaan kutsuessa työtoverin tai peruuttaessa tilauksen.
Erota vierailijat, tilinhaltijat ja työtilojen jäsenet
SaaS-tuote palvelee usein kolmea eri kohderyhmää jo ennen kuin maksavia asiakkaita on paljon. Vierailijat selaavat markkinointisivustoa, tilinhaltijat rekisteröityvät ja saavat palveluviestejä, ja työtilojen jäsenet käsittelevät työnantajansa tai toisen asiakkaan toimittamia tietoja. Älä oleta, että jokainen henkilö on syöttänyt omat tietonsa samaan lomakkeeseen.
Kuvaa nämä käyttäjäpolut erikseen. Kirjaa kutsut, tiimihakemistot, roolimuutokset, jaettu sisältö ja ylläpidon tapahtumalokit. Jos julkisen verkkosivuston analytiikka poikkeaa tuotteen analytiikasta, ota molemmat mukaan. Yleinen laatimisopas tarjoaa kartoitustavan, jonka voi toistaa kullekin osalle käsittelemättä koko yritystä yhtenä erittelemättömänä tietokantana.
Kuvaa tunnistautuminen sähköpostikenttää laajemmin
Tarkista rekisteröityminen, sisäänkirjautuminen, kirjautuminen muiden palvelujen tunnuksilla, istuntojen hallinta, tilin palautus ja tietoturvalokit. Sovellus voi tallentaa sähköpostiosoitteen lisäksi palveluntarjoajan käyttäjätunnisteen, profiilikuvan, organisaatiojäsenyyden, kirjautumisajan tai verkkotietoja. Vahvista, mitä valitsemasi tunnistautumisominaisuudet todella pyytävät ja säilyttävät.
Selvitä kutsuprosessista, voiko henkilö näkyä luettelossa ennen kutsun hyväksymistä ja miten käyttämätön kutsu vanhenee. Tutki ylläpitonäkymää käyttäjän profiilinäkymän lisäksi. Palveluntarjoajan yleinen seloste ei kuvaa sitä, miten oma sovelluksesi käyttää kyseistä palvelua. Kuvaa omat päätöksesi palvelun ylläpitäjän näkökulmasta ja ilmoita palveluntarjoajasuhteet kyselyssä oikein.
Seuraa työtilojen sisältöä taustajärjestelmässä
Projektit, lähetetyt asiakirjat, keskusteluhistoriat, CRM-merkinnät ja viedyt raportit voivat sisältää tietoja henkilöistä, jotka eivät itse käytä sovellustasi. Selvitä, mitä tietoja tuote ottaa vastaan, voiko henkilöstö päästä sisältöön asiakastuen yhteydessä ja saako jokin liitetty palvelu sitä. Älä luokittele kaikkia lähetettyjä tiedostoja anonyymeiksi vain siksi, ettet kysy nimiä.
Erota oma tilihallintasi yritysasiakkaan puolesta tekemästäsi käsittelystä. Suhteesta riippuen asiakkaat voivat pyytää myös henkilötietojen käsittelysopimusta tai hankintaa varten tarvittavia tietoja. Julkinen tietosuojaseloste ei korvaa kaikkia yritysasiakassopimuksia. Selvitä todellinen palvelusuhde sen sijaan, että valitsisit oikeudellisen roolin pelkän SaaS-nimikkeen perusteella.
Selvitä laskutuksen tietovirrat liioittelematta pääsyäsi maksutietoihin
Seuraa asiakasta paketin valinnasta ulkoiseen kassapalveluun tai upotettuun maksunäkymään ja tutki sitten webhookit ja tilaustaulut. Taustajärjestelmäsi voi vastaanottaa asiakastunnisteita, tilauksen tilan, laskutuksen yhteystietoja ja laskuviitteitä, vaikka se ei koskaan näkisi kokonaisia korttinumeroita. Kerro tiedoista, joita järjestelmäsi todella vastaanottaa.
Testaa peruuttaminen ja epäonnistunut maksu kertakäyttöisillä testitiedoilla. Selvitä, mitkä laskutustiedot säilyvät tilin sulkemisen jälkeen ja miksi. Älä lupaa, että tilauksen peruuttaminen poistaa kaikki tiedot. Käytä SaaS-käyttöehtojen opasta erilliseen sopimukseen, joka kuvaa uusiutumisen, käyttöoikeuden ja peruuttamisen. Asiakirjojen tulee kuvata yhteensopivaa toimintaa, vaikka ne vastaavat eri kysymyksiin.
Huomioi diagnostiikka, sähköposti ja taustatehtävät
Pienissäkin SaaS-tuotteissa voi olla huomattavasti taustakäsittelyä. Virheraportit voivat sisältää pyyntöjen polkuja tai käyttäjätunnisteita. Jonossa olevien tehtävien sisältöön voi kuulua sähköpostiosoitteita ja asiakirjaviitteitä. Tukityökalut voivat vastaanottaa asiakkaan viestin ja työtilaan liittyviä tietoja. Luettele nämä toiminnan tietovirrat käyttäjille näkyvien pääominaisuuksien rinnalla.
Tarkista tietojen peittämisasetukset ja säilytysajat tuotantoympäristössä sen sijaan, että luottaisit käyttöönotosta muistamaasi oletusasetukseen. Jos tukipyyntöjen liitteet kopioidaan yhteiseen sähköpostilaatikkoon, kirjaa myös tämä reitti. Hyödyllinen kartoitus yhdistää jokaisen palveluntarjoajan tiettyyn tehtävään ja tietoryhmään. Se helpottaa SaaS Privacy Policy Generator -kyselyn täyttämistä ja tuo esiin käytännön mahdollisuuksia tietojen minimointiin ennen julkaisua.
Harjoittele tilin poistamista ja tietojen vientiä
Luo testityötila, jossa on kaksi jäsentä, maksullisen paketin simulointi, yksi lähetetty tiedosto ja tukipyyntö. Vie sitten työtilan sisältö ja poista tili samalla tavalla kuin asiakas tekisi. Tarkista sen jälkeen tallennustila, kutsut, tehtävät, hakuindeksit ja asiakastuen tiedot. Selvitä, mikä poistuu heti ja mihin sovelletaan eri säilytysaikaa.
Harjoitus paljastaa usein eron poistopainikkeen ja koko prosessin välillä. Päätä jaetun sisällön ja jäljelle jäävän jäsenen käsittelystä ennen yleispätevän väitteen esittämistä. Kirjaa vahvistettu toiminta selosteen tarkistusta varten. Jos pyydettyä toimintoa ei ole, toteuta se tai kuvaa tarvittaessa toimiva yhteydenottoon perustuva menettely.
Luo ja tarkista seloste vahvistetun kartoituksen pohjalta
Aloita kysely valitsemalla SaaS-tuotetyyppi ja anna palvelun ylläpitäjän tiedot, yhteystiedot, tuotteen soveltamisala, käsittelytiedot, palveluntarjoajat, kohderyhmä ja olennaiset alueet. Valitse valinnaisia osioita vain, kun niiden tosiasialliset edellytykset täyttyvät. Jos palvelet säänneltyä toimialaa tai vastaanotat erityisen arkaluonteisia tietoja, älä pidä yleiskäyttöistä esikatselua lopullisena asiantuntija-arviona.
Tarkista asiakirja kartoituksen ja tuoteasetusten rinnalla. Pohdi, ymmärtäisikö työtilan jäsen, mikä palvelu säilyttää hänen tietojaan ja kuka voi vastata pyyntöön. Selosteen sisältöopas tarjoaa toisen rakenteen tarkistukseen. Vahvista näytetty hinta ja toimitustapa ennen viimeistelyä. Laajemmat vastaukset voivat vaikuttaa kustannuksiin.
Julkaise linkit markkinointisivustolla ja sovelluksessa
Linkitä hyväksytty seloste markkinointisivuston alatunnisteeseen, rekisteröitymiseen, laskutukseen ja tiliasetuksiin. Nämä voivat sijaita eri verkkotunnuksissa tai käyttöönotoissa, joten tarkista lopullinen julkinen kohde jokaisesta. Linkki voi toimia kirjautuneessa kehitysistunnossasi mutta ohjata vierailijan tuotantoympäristössä kirjautumissivulle.
Noudata tietosuojaselosteen sijoitteluohjetta ja säilytä pysyvä osoite. Nimeä vastuuhenkilö selosteen tarkistamiseen, kun lisäät integraatioita, alat myydä uudella markkina-alueella tai muutat työtilojen näkyvyyttä. Säilytä aiemmin hyväksytyt versiot sen sijaan, että poistaisit asiakirjahistorian jokaisen julkaisun yhteydessä. Päivitysten tulee perustua todellisiin tuotemuutoksiin ja sovellettaviin tiedottamisvelvoitteisiin.
Usein kysytyt kysymykset
Voinko käyttää samaa selostetta laskeutumissivulla ja SaaS-sovelluksessa?
Usein voit, jos seloste kattaa selkeästi molemmat ja kuvaa käsittelyn mahdolliset erot. Kartoita ne ensin erikseen. Markkinointisivusto saattaa käyttää mainontaa, vaikka kirjautuneille tarkoitettu sovellus ei käytä sitä. Eri brändit, palvelun ylläpitäjät tai olennaisesti erilaiset palvelut voivat arvioinnin perusteella edellyttää erillisiä selosteita tai lisätietoja.
Täytyykö tietokanta- ja tunnistautumispalveluntarjoajat nimetä?
Kyselyssä kysytään palveluntarjoajista ja käyttötarkoituksista, jotta asiakirja vastaa todellista käsittelyä. Vahvista, mitkä palvelut ovat käytössä ja mitä ne vastaanottavat. Jokaisen riippuvuustiedoston paketin nimeäminen ei ole hyödyllistä, mutta asiakkaiden sisältöä tallentavan palvelun pois jättäminenkään ei kuvaa tuotettasi oikein.
Onko tietosuojaseloste sama asia kuin henkilötietojen käsittelysopimus?
Ei. Tietosuojaseloste on julkinen kuvaus tietojen käsittelystä. Henkilötietojen käsittelysopimus koskee osapuolten välistä tiettyä käsittelysuhdetta. Yritysasiakkaat voivat tarvita lisää sopimustietoja. Määritä roolit ja sitoumukset todellisen palvelun perusteella sen sijaan, että olettaisit yhden julkisen sivun vastaavan kaikkiin hankintapyyntöihin.
Voinko luoda selosteen ennen ensimmäistä asiakasta?
Kyllä, kun käytät ominaisuuksia ja tuotantoasetuksia, jotka aiot julkaista ja pystyt vahvistamaan. Tarkista tiedot uudelleen käyttöönoton jälkeen, sillä testi- ja tuotantoympäristöt eroavat usein toisistaan. Älä kuvaa tulevia integraatioita jo olemassa olevina. Käsittele myöhemmät lisäykset syynä päivittää kartoitus ja tarkistaa asiakirja.
Tätä opasta varten tarkistetut viralliset lähteet
Alustojen säännöt ja lainsäädäntö voivat muuttua. Tarkista voimassa oleva teksti ennen julkaisua tai merkittävää päätöstä.