Решения о покупке

Самое долгое - ваша же проверка безопасности, и её можно сократить

Пилот занял две недели, а закупка - пять месяцев. Все винят бумаги поставщика, а бумаги редко бывают причиной: задержка почти всегда в вопросе, у которого внутри организации нет хозяина, - кто утверждает обработчика, кто оценивает риск, кто решает, какие данные вправе уйти. Знать, кто из них у вас есть, до начала дороже любого сертификата поставщика.

Решите внутри, к какому классу относится система

Помощник, отвечающий по опубликованному сайту, - не та же покупка, что помощник, читающий внутренние документы, а второй - не то же, что способный действовать в учётной системе. Большинство проверок безопасности вязнет потому, что начинается без этого различения и в итоге применяет строжайшую категорию к самому мягкому случаю. Определите класс одной фразой - и дальнейшая проверка будет соразмерной, а не театральной.

Вопросы, которые действительно определяют ответ

Где обрабатываются данные и на каком правовом основании; кто субобработчики и доступен ли список; что происходит с разговором и как долго; используется ли что-нибудь для улучшения модели; как работает удаление и что после него остаётся; кто внутри поставщика может прочитать расшифровку. Шесть вопросов. Поставщик, не способный письменно ответить на все шесть, ответил на единственный, который имеет значение.

Сертификат - свидетельство о процессе, а не о вашем случае

Аудиторское заключение говорит, что у организации есть контроли; оно не говорит, что произойдёт с документом, который ваша команда вот-вот загрузит. Прочитайте в сертификате, что он покрывает, и всё равно задайте конкретный вопрос. Покупатели, делающие это правильно, спрашивают узкое - что будет, если мы удалим сайт, кто видит вопрос без ответа, - а не собирают вложения.

Запишите ответы однажды, потому что вас спросят снова

Те же шесть вопросов вернутся при продлении, когда тот же инструмент захочет второй отдел и когда безопасность примет новый человек. Организации, ведущие короткую внутреннюю запись о том, что спросили, что ответили и что приняли, сокращают следующую проверку с месяцев до одной встречи. Этого не делает никто, и это самое дешёвое на этой странице.

Частые вопросы

О чём спросить поставщика первым?
Где обрабатываются разговоры, кто субобработчики и используется ли что-нибудь для обучения модели. Эти три ответа отсеивают большинство поставщиков для большинства регулируемых покупателей, а получение их в начале экономит цикл закупки, потраченный на инструмент, который всё равно не прошёл бы.
Нужна ли нам оценка воздействия на защиту данных?
Зависит от того, с чем будет работать помощник, - поэтому классификация идёт первой. Помощник, ограниченный опубликованным маркетингом, - другая оценка, чем тот, который касается записей о сотрудниках или клиентах. Спрашивайте свою службу защиты данных, имея классификацию на руках, а не поставщика о том, что вам нужно.
Поставщик говорит, что соответствует GDPR. Этого достаточно?
Это начало разговора. Соответствие - утверждение о процессе; вам нужен конкретный механизм: правовое основание передач, список субобработчиков, срок хранения, поведение при удалении. Поставщик, готовый изложить это письменно, показывает то, что значок только заявляет.
Сколько это должно занимать?
Недели, а не месяцы, если классификация сделана первой и шесть вопросов заданы на первой встрече. Долгие проверки долги потому, что на середине обнаруживают: никто не решил, входят ли внутренние документы в объём.
Можно ли запустить пилот до окончания проверки?
На опубликованном содержимом - часто да, и это один из доводов классифицировать узко с самого начала. Пилот, отвечающий по вашему же публичному сайту, не затрагивает данных, которых у публики и так нет, и согласовать такой случай гораздо проще, пока идёт большая проверка.

Написать нам

Оставьте данные, и мы ответим. Чтобы получить ответ, звонок с отделом продаж не нужен.