GDPR комплаєнс для бізнесу

Швидка логіка пакетів

Пакет 1 — GDPR Start

Ціна: від 900 EUR | Строк: 7–10 робочих днів

Для кого: малий бізнес, сайти, лендинги, прості e-commerce-проєкти, MVP, сервіси без складної обробки персональних даних і без значного обсягу користувачів з ЄС.

Пакет 2 — GDPR Business

Ціна: від 2 500 EUR | Строк: 15–20 робочих днів

Для кого: SaaS, e-commerce, маркетплейси, IT-компанії, агентства, компанії з клієнтами або користувачами з ЄС, яким потрібен не лише набір документів, а зрозуміла compliance-структура.

Пакет 3 — GDPR Pro / Investor Ready

Ціна: від 5 000 EUR | Строк: 25–35 робочих днів

Для кого: компанії з активними продажами в ЄС, FinTech, HealthTech, EdTech, AI/ML, HR-tech, маркетплейси, сервіси з великим обсягом користувацьких даних або підготовкою до due diligence.

Порівняння GDPR-пакетів

Коли GDPR може застосовуватися, навіть якщо Ви не в ЄС

GDPR може поширюватися на бізнес поза межами ЄС, якщо він пропонує товари або послуги людям, які перебувають у ЄС, або відстежує їхню поведінку. Важлива не лише країна реєстрації компанії, а й фактична модель роботи з європейською аудиторією.

• Ви пропонуєте товари або послуги в ЄС: наприклад, SaaS, мобільний застосунок, e-commerce, підписку або онлайн-сервіс.
• Ви відстежуєте поведінку користувачів: через аналітику, профайлінг, cookies, рекламні ідентифікатори, SDK або інші tracking-інструменти.

Швидка самооцінка

• У Вас є клієнти або користувачі з ЄС?
• Сайт чи застосунок має ціни в євро, доставку до ЄС або локалізацію мовами країн ЄС?
• Ви використовуєте cookies, SDK, аналітику, рекламу або профайлінг?

Якщо хоча б на одне питання відповідь «так», це привід провести оцінку застосовності GDPR. Один індикатор не завжди означає автоматичну дію Регламенту, але ігнорувати його вже ризиковано.

Що найчастіше зупиняє угоди та GDPR-перевірки

На практиці проблеми виникають не через відсутність одного документа, а через розрив між політиками, договорами та реальними процесами бізнесу.

• Немає карти даних: незрозуміло, які дані збираються, навіщо, де зберігаються та кому передаються.
• Не визначені ролі: компанія не розуміє, коли вона controller, processor або joint controller.
• Відсутні DPA чи інші договірні умови: із хмарними сервісами, CRM, аналітикою, сапортом, платіжними провайдерами та іншими підрядниками.
• Не врегульовані трансфери даних: персональні дані передаються за межі ЄС/ЄЕЗ без належного механізму чи оцінки ризиків.
• Немає DSAR-процесу: команда не знає, як реагувати на запити щодо доступу, видалення, перенесення чи заперечення проти обробки даних.
• Немає сценарію інцидентів: відсутній зрозумілий порядок дій при витоку або порушенні безпеки даних.

Ролі: controller, processor та joint controller

Правильно визначена роль — основа для договорів, політик, відповідальності та архітектури GDPR-документів.

Controller: визначає, навіщо і яким чином обробляються персональні дані.

Processor: обробляє дані від імені controller та за його інструкціями.

Joint controllers: дві або більше сторін спільно визначають цілі та ключові засоби обробки даних.

Приклад для SaaS

• Якщо клієнт завантажує у Ваш сервіс контакти своїх користувачів, клієнт часто є controller, а SaaS-компанія — processor.
• Якщо Ви збираєте дані користувачів для власного маркетингу, аналітики або продажів, Ви зазвичай дієте як controller.

Практичний каркас GDPR-підготовки: 10 напрямів

1. Data mapping. Визначаємо, які дані обробляються, звідки вони надходять, де зберігаються та кому передаються.
2. RoPA. За потреби готуємо або оновлюємо реєстр операцій обробки: цілі, категорії даних, строки зберігання, отримувачі, трансфери та заходи безпеки.
3. Lawful basis. Визначаємо правову підставу для кожного ключового процесу: договір, юридичний обов’язок, законний інтерес, згода тощо.
4. Прозорість. Готуємо Privacy Notice, Cookie Notice та інші документи, які пояснюють користувачу, як саме працює обробка даних.
5. Cookie та tracking management. Перевіряємо банер, логіку згоди та використання аналітичних або рекламних інструментів.
6. Вендори та договори. Готуємо DPA, vendor clauses та інші договірні механізми для роботи з підрядниками і процесорами.
7. Права суб’єктів даних. Вибудовуємо DSAR-процес і шаблони відповідей на типові запити користувачів.
8. Безпека та інциденти. Формуємо базові правила доступу, реагування на інциденти та внутрішню логіку ескалації.
9. DPIA. Оцінюємо, чи потребує конкретний процес Data Protection Impact Assessment через високий ризик для прав і свобод користувачів.
10. Трансфери даних. Аналізуємо передачі за межі ЄС/ЄЕЗ та визначаємо належний механізм: adequacy decision, SCC, DPF або інші гарантії залежно від ситуації.

Трансфери даних: SCC, DPF та TIA

Якщо персональні дані передаються за межі ЄС/ЄЕЗ, потрібно оцінити маршрут даних, отримувача та юридичний механізм передачі.

• Adequacy decision: для окремих країн або механізмів, які Європейська Комісія визнала такими, що забезпечують належний рівень захисту.
• EU–US Data Privacy Framework: може застосовуватися до американських компаній, які беруть участь у Framework.
• Standard Contractual Clauses: використовуються, коли для передачі немає відповідного adequacy mechanism.
• Transfer Impact Assessment: допомагає оцінити ризики конкретного трансферу та потребу в додаткових заходах захисту.

Документи без реального процесу не вирішують проблему. Якщо дані фактично передаються через CRM, хмару, аналітику або support-сервіси, це має бути відображено у карті даних, договорах і внутрішніх процедурах.

Штрафи та комерційні ризики

За окремі порушення GDPR можуть застосовуватися адміністративні штрафи до 20 млн євро або 4% загального світового річного обороту за попередній фінансовий рік — залежно від того, яка сума більша.

Для бізнесу практичний ризик часто виникає раніше: перевірка з боку клієнта, банку, PSP, інвестора або великого контрагента може затримати угоду, збільшити обсяг юридичних запитів чи змінити умови співпраці.

Як допомагає Prikhodko & Partners

Аналізуємо реальні процеси роботи з персональними даними та готуємо документи й процедури, які можна використовувати у роботі з клієнтами, підрядниками та під час перевірок.

• Аудит і карта даних: джерела, системи, вендори, трансфери та ключові ризики.
• Ролі і договори: controller / processor, DPA та умови для підрядників і субпроцесорів.
• Політики та внутрішні процеси: Privacy Notice, Cookie Notice, retention, DSAR і реагування на інциденти.
• Складні кейси: SCC / DPF, міжнародні трансфери та DPIA — за потреби.

GDPR — це як ремінь безпеки: здається зайвим рівно до першого різкого гальмування. Краще, щоб він був Вашим, а не нав’язаним юристом клієнта в момент, коли угоду вже “майже підписали”.