Политика конфиденциальности

Что обязательно должно быть в политике конфиденциальности?

В политике обычно указывают, какие данные, зачем, как долго и с кем вы обрабатываете, а также как клиент может проверить и удалить свои данные. Конкретные пункты перечислены в Законе Кореи о защите персональных данных и в «Руководстве по составлению политики обработки персональных данных» Комиссии по защите персональных данных Кореи (PIPC).

Руководство иногда обновляется, поэтому при каждом создании или изменении политики стоит проверять актуальную версию на портале о персональных данных. Таблица ниже — пример пунктов, которые обычно касаются небольших заведений, и она не заменяет юридическую консультацию.

Текст политики лучше писать не дословными юридическими формулировками, а понятными клиенту словами. Фраза вроде «Мы берём ваш номер, чтобы отправить SMS с подтверждением записи» позволяет клиенту спокойно оставить свои данные.

Как составить политику конфиденциальности?

Политику не копируют с чужого сайта — её составление начинается со списка данных, которые реально собирает ваш сайт.

Политика — не документ, написанный раз и навсегда. Если меняются пути данных — например, вы добавили онлайн-запись или сменили сервис SMS-рассылки, — политику нужно обновить.

Если на сайте кафе есть только форма обратной связи, политика тоже получится короткой и простой. Помните: чем меньше данных вы собираете, тем меньше нужно описывать и соблюдать.

1. 01Найдите на сайте все места, где собираются данные клиентов (форма обратной связи · запись · регистрация · заказ · рассылка).
2. 02Для каждого места выпишите собираемые данные и цели их использования.
3. 03Определите срок хранения по каждому пункту. Проверьте, не требуют ли другие законы хранить записи, как, например, у интернет-магазинов.
4. 04Составьте список компаний, которым поручается обработка данных (хостинг · SMS-рассылка · платёжный сервис · сервис записи).
5. 05Проверьте, есть ли инструменты, которые автоматически собирают данные, например аналитика посещений · рекламные пиксели.
6. 06Напишите текст по каждому пункту, сверяясь с руководством PIPC.
7. 07Разместите ссылку в самом низу сайта отдельно от других соглашений, а при изменениях сохраняйте дату изменения и прежнюю редакцию.

Согласие на обработку данных и публикация политики — это одно и то же?

Нет. Политика — это информационный документ, открытый для всех, а согласие — отдельная процедура, когда клиента спрашивают в момент сбора данных.

Закон Кореи о защите персональных данных предусматривает и другие основания для обработки, помимо согласия, — например, когда это необходимо для заключения или исполнения договора. Поэтому галочка согласия нужна не для всех данных, но есть и случаи, когда требуется отдельное согласие, — например, для рекламных SMS.

Например, если кафе отправляет только SMS с подтверждением бронирования, такие данные можно считать необходимыми для бронирования, но для рассылки SMS о новых блюдах обычно отдельно получают согласие на получение рекламной информации. К какому случаю относится ваша ситуация, уточните в руководствах на портале о персональных данных или у специалиста.

Что указать, если обработку данных поручаете другой компании?

Передача данных компаниям, которые выполняют для вас работу, — рассылку SMS, хостинг сайта, приём оплаты, — называется «поручением обработки». В политике указывают название компании и поручаемую работу.

Передача данных другой компании для её собственных целей — это «предоставление третьим лицам», и её рассматривают отдельно от поручения. А если вы пользуетесь сервисом с серверами за рубежом, может понадобиться указать сведения о трансграничной передаче — проверьте это по руководству.

Если мастерская принимает заявки на мастер-классы через сервис записи и сервис SMS-уведомлений, обе компании вносят в список получателей поручения. При смене сервиса политику нужно обновить.

Какие ошибки чаще всего совершают в политике конфиденциальности?

Самая частая ошибка — расхождение политики и реального сайта. Если в форму обратной связи добавили поле «дата рождения», а политика осталась прежней, обещанное клиентам и реальность перестают совпадать.

Не стоит и прятать политику туда, где её трудно найти. Закон требует публиковать её так, чтобы клиенту было легко с ней ознакомиться, — например, постоянно размещать на сайте.

• Взяли политику другой компании, и в ней осталось её название
• Указаны данные, которые вы не собираете, — номер удостоверения личности · адрес
• Срок хранения указан только как «бессрочно» или «до удаления аккаунта» без реальных критериев
• Нет контактов ответственного за защиту данных или до него невозможно дозвониться
• Подключили аналитику · рекламные пиксели и не обновили политику
• Обязательными сделаны поля, которые для заявки не нужны

Что попросить у веб-студии?

Окончательная ответственность за политику лежит на заведении, которое собирает данные, но что и как хранит сайт, лучше всего знает подрядчик. Поэтому удобно получить у него технические сведения и отразить их в политике.

Даже если подрядчик напишет черновик политики, проверить, соответствует ли он реальной работе заведения, должны вы. Сколько на самом деле хранить историю записей и кто будет отвечать на обращения клиентов, решает не подрядчик, а бизнес.

Ответы на вопросы можно найти в руководствах и материалах на портале о персональных данных. Сообщить о нарушении или получить консультацию по вопросам персональных данных можно по номеру 118 (без кода города).

• Список данных, которые сохраняет каждая форма на сайте
• Список используемых внешних инструментов (аналитика · рекламные пиксели · карты · чат · SMS-рассылка)
• В какой стране находятся серверы и данные
• Есть ли функция автоматического удаления данных с истёкшим сроком хранения
• Кто имеет доступ к админ-панели и ведётся ли журнал входов
• Можно ли добавить рядом с формой обратной связи краткое пояснение, что и зачем собирается