GDPR і LinkedIn-аутріч: що перевірити в інструменті
Чекліст для європейських команд: контролер чи обробник, правова підстава, повідомлення та відписка, місце даних, експорт і видалення, питання про угоду з обробником, а потім що робить Mako Reach. Це не юридична порада.
У цій статті
Коли ви пишете людям у LinkedIn з ЄС, ви зазвичай є контролером їхніх даних, а ваш інструмент обробником. Перевірте правову підставу, повідомлення людям, відписки, де зберігаються дані, експорт і видалення та умови обробки в договорі. Це чекліст, а не юридична порада.
Ми розробники програмного забезпечення, а не юристи. Запитайте власного юриста або відповідальну за захист даних особу, що застосовується до вас. Нижче ми розділяємо загальні положення GDPR, з посиланням на текст регламенту, і факти про Mako Reach, які можна перевірити в продукті.
Хто контролер, а хто обробник?
Для людей, яким ви пишете, контролером зазвичай є ви: саме ви вирішуєте, навіщо й як використовуються їхні дані. Інструмент аутрічу обробляє їх за вас, тож він обробник. Стаття 28 GDPR (текст) вимагає, щоб обробник працював за письмовим договором, який визначає предмет, тривалість, характер і мету обробки, типи даних та права контролера. Вона також вимагає, щоб обробник отримав дозвіл контролера, перш ніж залучати субобробника.
Для даних облікового запису й оплати вашої команди інструмент є контролером сам для себе. Інструмент, який називає себе лише обробником для всього або лише контролером для всього, вартує додаткового питання.
Запитайте розробника: яку роль ви виконуєте для кожного типу даних і де це записано?
Яку правову підставу може мати B2B-аутріч?
Будь-яке використання персональних даних потребує правової підстави за статтею 6. Для B2B-аутрічу багато команд спираються на законний інтерес, стаття 6(1)(f), що дозволяє обробку, необхідну для законних інтересів контролера, якщо інтереси чи права людини не переважують. Згода це друга підстава, яку називають, а деякі правила щодо електронного маркетингу суворіші за сам регламент.
Законний інтерес не є перепусткою. Він вимагає зважити ваш інтерес проти інтересу людини, зазвичай у короткій письмовій оцінці. Чи підходить він вашому випадку, залежить від того, кому ви пишете, навіщо, як і в якій країні. Перевірте це з юристом.
Запитайте розробника: що ви просите мене підтвердити перед імпортом людей? Mako Reach просить підтвердити наявність правової підстави щоразу, коли ви імпортуєте список, а оцінку лишає вам.
Яке повідомлення й яку відписку потрібно передбачити?
Якщо ви збираєте дані людини з LinkedIn, а не від неї самої, стаття 14 (текст) вимагає повідомити їй, хто ви, навіщо використовуєте дані й як заперечити. Строк це найраніший із: розумний період, не більше одного місяця, момент першого спілкування з людиною або перше розкриття даних іншому одержувачу. Є винятки, тож запитайте юриста.
Стаття 21 (текст) дає людям право в будь-який момент заперечити проти прямого маркетингу, а після заперечення їхні дані більше не можна обробляти для цієї мети.
Регулятори діють. У грудні 2024 року французький орган CNIL оштрафував компанію, що збирала контактні дані з LinkedIn, і одним зі встановлених порушень була відсутність інформування людей, якого вимагають статті 12 і 14 (рішення CNIL).
Запитайте розробника: чи можу я вставити повідомлення в перший лист і чи припинить інструмент писати людині, що відписалася, в усіх кампаніях і з усіх акаунтів?
Де зберігаються дані?
Запитайте, де працюють застосунок, база даних і фонові завдання та чи є якась частина поза ЄС, зокрема сервіс, від якого залежить розробник. Остерігайтеся будь-яких обіцянок, що дані не залишають регіону: інструмент, що підключається до LinkedIn, залежить від третіх сторін.
Запитайте розробника: перелічіть кожне місце й кожну третю сторону, яка торкається моїх даних.
Чи можна експортувати й видаляти дані?
GDPR дає людям право доступу та видалення, і ви маєте на це відповідати. Ваш інструмент має дозволяти знайти й видалити одну людину в усіх кампаніях, чатах і списках, а також піти зі своїми даними.
Запитайте розробника: чи можу я повністю видалити одну людину й експортувати все, що ви зберігаєте?
Що питати про DPA і субобробників
Угода про обробку даних (DPA) це договір за статтею 28. Субобробник це будь-яка компанія, яку розробник залучає для надання сервісу. Скористайтеся цим переліком:
| Тема | Що запитати |
|---|---|
| DPA | Чи є підписана DPA і чи називає вона типи даних і мету? |
| Субобробники | Чи є перелік, зокрема хостинг-провайдер і будь-який провайдер, що підключається до LinkedIn або запускає ШІ? |
| Зміни | Як вас попередять до додавання субобробника? |
| Місце | Де працює кожна частина й де розміщені субобробники? |
| Зберігання | Як довго зберігаються дані й що з ними стається потім? |
| Права | Чи можна знайти, експортувати й видалити одну людину? |
| ШІ | Який провайдер ШІ отримує дані лідів і в кого ключ? |
| Безпека | Як зберігаються облікові дані й токени? |
Що робить Mako Reach?
Це факти, які можна перевірити в продукті сьогодні. Жоден із них не стверджує, що Mako Reach чи ви дотримуєтеся регламенту.
| Пункт | Що робить Mako Reach |
|---|---|
| Розміщення | Застосунок, база даних і фонові воркери працюють у ЄС (Франкфурт і Амстердам). Сесіями LinkedIn займається сторонній сервіс, регіон розміщення якого ми не контролюємо, тому ми не стверджуємо, що всі дані лишаються в ЄС. |
| Експорт | Адміністратор робочого простору може завантажити дані простору в налаштуваннях. Експорт не містить cookie сесій акаунтів і секретів двофакторної автентифікації. |
| Видалення | Адміністратор може видалити весь простір разом із підключеними акаунтами LinkedIn. Окрему людину можна видалити за її LinkedIn id, і зникнуть її чати, повідомлення та рядки лідів у просторі. |
| Відписка | Список виключень не дозволяє писати людям у жодній кампанії. Відповідь зі стоп-словом, як-от «stop» чи «unsubscribe», додає людину до списку до того, як запрацює агент ШІ. Список стоп-слів англійською. |
| Повідомлення | Необов'язковий тег змішування, за замовчуванням вимкнений, може додати до повідомлення коротке пояснення щодо даних із посиланням на відписку. Текст є шаблоном: дайте вашому юристу переглянути те, що ви надсилаєте. |
| Правова підстава | Імпорт списку просить підтвердити, що у вас є правова підстава писати людям. |
| Зберігання | Запланована очистка анонімізує дані після спливу строку зберігання. |
| Ізоляція | Дані кожного простору розділені на рівні рядків у базі даних. |
| Облікові дані | Cookie сесій LinkedIn, паролі проксі, токени ботів і ваш ключ ШІ зберігаються зашифрованими. |
| ШІ | Функції ШІ працюють на провайдері ШІ, якого ви підключили, з вашим власним ключем. Дані ліда, використані для чернетки або кроку, написаного ШІ, надсилаються цьому провайдеру. |
Ті самі факти, коротше, є на сторінці безпеки, а засоби керування на сторінці безпеки акаунтів.
Чого ми не стверджуємо
Ми не подаємо Mako Reach як такий, що відповідає регламенту, і жоден інструмент не зробить ваш аутріч законним замість вас. Політика конфіденційності та умови на нашому сайті ще доопрацьовуються з юридичною перевіркою, а умови обробки й перелік субобробників поки не опубліковані на сайті. Якщо вам потрібні DPA чи перелік субобробників до підписання, напишіть нам зі сторінки контактів і попросіть їх письмово.
Mako Reach не пов'язаний із LinkedIn. Умови LinkedIn обмежують автоматизовані інструменти, тож користування будь-яким із них несе ризик. Прочитайте плейбук щодо безпеки акаунтів, щоб знати про ліміти й темп.
FAQ
Чи достатньо законного інтересу для LinkedIn-аутрічу в ЄС?
Багато команд спираються на законний інтерес для B2B-аутрічу, але він потребує тесту на баланс і не охоплює кожного випадку. Правила щодо електронного маркетингу можуть бути суворішими за регламент. Запитайте юриста для вашої країни й типу повідомлень.
Я контролер чи обробник, коли користуюся інструментом аутрічу?
Зазвичай ви контролер щодо людей, яким пишете, а інструмент ваш обробник. DPA за статтею 28 має це зазначати.
Де розміщені дані Mako Reach?
Застосунок, база даних і фонові воркери працюють у ЄС (Франкфурт і Амстердам). Сесіями LinkedIn займається сторонній сервіс, регіон розміщення якого ми не контролюємо, тому ми не стверджуємо, що всі дані лишаються в ЄС.
Як видалити людину, яка про це просить?
Адміністратор робочого простору може видалити окрему людину за її LinkedIn id і додати її до списку виключень, щоб жодна кампанія їй більше не писала.
Чи надсилає Mako Reach повідомлення про конфіденційність за мене?
Лише якщо ви ввімкнете необов'язковий тег змішування й додасте його до повідомлення. За замовчуванням він вимкнений, а текст варто дати переглянути юристові.
Готові спробувати?
Подивіться на демонстраційних даних або попросіть у нас доступ.