GDPR a služby zakládání amerických společností: praktický průvodce ochranou soukromí

Podniky, které zakládají americké společnosti, zajišťují registrované zástupce a spravují firemní compliance, často shromažďují osobní údaje zakladatelů, jednatelů, manažerů a návštěvníků webu. Pokud tyto údaje patří osobám z Evropského hospodářského prostoru nebo ze Spojeného království, může se GDPR vztahovat i na podnik se sídlem ve Spojených státech.

U služby zaměřené na zakládání společností v USA není soulad s GDPR jen o právním textu na stránce ochrany osobních údajů. Jde o to, rozumět tomu, jaké údaje se shromažďují, proč se shromažďují, komu se předávají, jak dlouho se uchovávají a jaká opatření je chrání. Jasný rámec ochrany soukromí buduje důvěru u mezinárodních zákazníků a snižuje regulační riziko.

Co GDPR upravuje

Obecné nařízení o ochraně osobních údajů je předpis, který upravuje shromažďování a používání osobních údajů. Osobní údaje jsou jakékoli informace, které mohou osobu přímo nebo nepřímo identifikovat, například jméno, e-mailová adresa, telefonní číslo, domácí adresa, IP adresa nebo online identifikátor.

Podnik nemusí být fyzicky umístěn v Evropě, aby se na něj GDPR vztahovalo. Pokud nabízí zboží nebo služby lidem v EHP nebo ve Spojeném království, nebo sleduje jejich chování, mohou vzniknout povinnosti podle GDPR. Proto mnoho poskytovatelů služeb v USA, včetně firem zabývajících se zakládáním společností, potřebuje program ochrany soukromí, který přesahuje běžný domácí compliance rámec.

Proč je GDPR důležité pro služby zakládání společností

Poskytovatel služeb zakládání společností může pracovat se širokou škálou citlivých obchodních a kontaktních údajů, včetně:

• kontaktních údajů zakladatelů, vlastníků, jednatelů a manažerů
• adres bydliště a firemních poštovních adres
• dokladů pro ověření totožnosti
• údajů o podáních a založení společnosti
• přihlašovacích údajů k účtu a komunikace se zákaznickou podporou
• analytiky webu a marketingových dat

Některé z těchto informací jsou běžná administrativní data. Jiné jsou vysoce citlivé, protože propojují jednotlivce s právními subjekty, evidencí podání nebo platebními procesy. I když služba cíleně necílí na evropské zákazníky, může stále přijímat osobní údaje od mezinárodních zakladatelů, kteří zakládají americké společnosti.

Role správce a zpracovatele

Podle GDPR může podnik vystupovat jako správce, zpracovatel nebo v obou rolích.

Správce určuje, proč a jak se osobní údaje zpracovávají. Zpracovatel nakládá s osobními údaji jménem správce.

Služba zakládání společností v USA často plní obě role:

• vystupuje jako správce u návštěvníků webu, marketingových kontaktů a vlastní správy účtů
• může vystupovat jako zpracovatel při nakládání se zákaznickými údaji v rámci poskytování služby

Rozpoznání správné role je důležité, protože povinnosti se liší. Správci musí určit právní základ zpracování, poskytnout informace o ochraně osobních údajů a respektovat práva subjektů údajů. Zpracovatelé musí postupovat podle zdokumentovaných pokynů, zajišťovat bezpečnost a podporovat povinnosti správce v oblasti souladu s předpisy.

Kategorie osobních údajů, které se běžně shromažďují

Podnik zaměřený na zakládání společností a compliance může shromažďovat tyto kategorie osobních údajů:

• jméno a pracovní pozice
• e-mailová adresa a telefonní číslo
• fakturační a poštovní adresa
• údaje o založení entity
• přihlašovací údaje k účtu
• údaje související s platbou
• IP adresa a informace o zařízení
• тикety podpory, záznamy z chatu a další korespondence

Ve mnoha případech by podnik měl omezit sběr pouze na to, co je rozumně nezbytné k poskytování služby, správě účtu a plnění právních povinností. Minimalizace údajů je základní zásadou GDPR a jedním z nejjednodušších způsobů, jak snížit riziko.

Právní základy zpracování

GDPR vyžaduje před zpracováním osobních údajů právní základ. Mezi běžné právní základy pro službu zakládání společností patří:

Smluvní nezbytnost

Zpracování je nezbytné pro poskytnutí požadované služby, například pro podání zakládacích dokumentů, správu účtu nebo poskytování služeb registrovaného zástupce.

Právní povinnost

Zpracování může být vyžadováno pro splnění daňových, účetních, vykazovacích, protifraudních nebo evidenčních povinností.

Souhlas

Souhlas může být vhodný pro některé marketingové aktivity, soubory cookie nebo volitelnou komunikaci. Souhlas musí být svobodný, konkrétní, informovaný a snadno odvolatelný.

Oprávněné zájmy

Podnik může zpracovávat údaje na základě oprávněných zájmů, například za účelem zlepšování služeb, zabezpečení systémů, prevence zneužití a marketingu stávajícím kontaktům, pokud tyto zájmy vyváží práva jednotlivců.

Silný compliance program dokumentuje zvolený právní základ pro každou kategorii údajů a účel zpracování.

Běžné účely zpracování

Služba zakládání společností v USA může osobní údaje zpracovávat z několika provozních důvodů:

• poskytování služeb souvisejících se založením entity
• správa klientských účtů a požadavků podpory
• zasílání informací o službě a oznámení o transakcích
• zajištění bezpečnosti webu a prevence podvodů
• provádění analytiky za účelem zlepšení uživatelské zkušenosti
• plnění právních, účetních a compliance povinností
• komunikace propagačního obsahu tam, kde to zákon umožňuje

Každý účel by měl být propojen s konkrétní potřebou údajů. Pokud se účel změní, měly by se přehodnotit i informace o ochraně osobních údajů a právní základ.

Sdílení osobních údajů s třetími stranami

Mnoho poskytovatelů služeb spoléhá na důvěryhodné třetí strany, které jim pomáhají s provozem. Mezi typické příjemce mohou patřit:

• poskytovatelé IT a cloudové infrastruktury
• zpracovatelé plateb
• platformy pro e-mail a komunikaci
• odborní poradci, například právníci a účetní
• dodavatelé pro compliance, realizaci a podporu
• státní úřady nebo orgány činné v trestním řízení, pokud to vyžaduje zákon

Před předáním údajů by měl podnik ověřit, že příjemce má odpovídající roli, legitimní účel a dostatečná bezpečnostní opatření. Když dodavatel zpracovává údaje jménem podniku, je často nutná písemná smlouva o zpracování osobních údajů.

Mezinárodní předávání údajů

Pokud jsou osobní údaje pocházející z EHP nebo Spojeného království předávány do Spojených států, mohou se uplatnit pravidla GDPR pro předávání údajů. Podniky by měly posoudit právní mechanismus použitý pro předávání, například schválená smluvní opatření nebo jiný povolený rámec předávání.

Soulad při předávání je zvlášť důležitý pro společnosti, které používají globální cloudové systémy, vzdálené týmy podpory nebo mezinárodní dodavatele. I když je podnik plně v USA, jeho technologický stack může přesouvat data přes hranice způsoby, které spustí povinnosti související s předáváním údajů.

Uchovávání a mazání

GDPR očekává, že podniky budou osobní údaje uchovávat pouze po dobu nezbytnou pro stanovený účel. To znamená, že doba uchování by měla vycházet z obchodní potřeby, právní povinnosti a rizika, nikoli z pohodlí.

Praktický rámec uchovávání by měl řešit:

• záznamy o založení a o registrovaném zástupci
• údaje o klientských účtech
• marketingové kontakty
• záznamy podpory
• logy webu a analytiku
• platební záznamy

Některé záznamy může být nutné uchovávat kvůli právním a daňovým povinnostem. Jiné záznamy, například opuštěné poptávky nebo neaktivní marketingové kontakty, lze vymazat nebo anonymizovat dříve. Plán uchovávání pomáhá zajistit, že podnik neuchovává údaje bezdůvodně po neomezeně dlouhou dobu.

Bezpečnostní opatření

Bezpečnost je základní součástí souladu s GDPR. Vhodná opatření závisí na typu údajů, velikosti podniku a používaných systémech. Mezi běžná opatření patří:

• řízení přístupu a oprávnění na principu nejmenších privilegií
• silná pravidla pro hesla a vícefaktorové ověřování
• šifrování při přenosu a podle potřeby i při uložení
• bezpečné zálohování a obnovovací procesy
• protokolování a monitoring podezřelé aktivity
• prověřování dodavatelů a kontrola smluv
• školení zaměstnanců v oblasti ochrany osobních údajů a bezpečnosti

Podnik zaměřený na zakládání společností může pracovat s adresními údaji, informacemi souvisejícími s identitou a platebními daty. Proto je důležité kombinovat technická opatření s jasnými interními postupy.

Práva subjektů údajů

Osoby, na které se vztahuje GDPR, mohou mít právo na:

• přístup ke svým osobním údajům
• opravu nepřesných informací
• výmaz údajů v určitých situacích
• omezení zpracování nebo námitku proti němu v určitých situacích
• přenositelnost údajů, pokud je to relevantní
• odvolání souhlasu, pokud je souhlas právním základem

Aby bylo možné tato práva podporovat, měl by podnik mít spolehlivý proces pro příjem a vyřizování požadavků. Žádosti by měly být ověřeny, sledovány a vyřízeny v příslušných lhůtách.

Základní prvky zásad ochrany osobních údajů

Zásady ochrany osobních údajů v souladu s GDPR by měly jasně vysvětlovat:

• jaké údaje se shromažďují
• proč se shromažďují
• právní základ zpracování
• zda jsou údaje sdíleny a s kým
• zda jsou údaje předávány do zahraničí
• jak dlouho se údaje uchovávají
• jaká práva mají jednotlivci
• jak mohou jednotlivci podnik kontaktovat
• jak se používají soubory cookie a analytika

Zásady by měly být napsány srozumitelným jazykem. Právní přesnost je důležitá, ale stejně důležitá je i jasnost. Pokud lidé zásadám nerozumějí, nesplní svůj zamýšlený účel.

Provozní checklist souladu

Pro službu zakládání společností v USA může praktický checklist GDPR zahrnovat:

1. Zmapovat osobní údaje shromažďované napříč webem, prodejem, podporou a realizací služeb.
2. Určit, kdy podnik vystupuje jako správce a kdy jako zpracovatel.
3. Zdokumentovat právní základ pro každý účel zpracování.
4. Aktualizovat zásady ochrany osobních údajů a sdělení o souborech cookie.
5. Zkontrolovat smlouvy s dodavateli a smlouvy o zpracování osobních údajů.
6. Ověřit mechanismy předávání dat při mezinárodních tocích údajů.
7. Zavést plán uchovávání a proces mazání údajů.
8. Proškolit zaměstnance v oblasti žádostí o ochranu osobních údajů a eskalace incidentů.
9. Pravidelně testovat bezpečnostní kontroly.
10. Pravidelně přezkoumávat compliance program s růstem podnikání.

Jak Zenind podporuje zakládání firem s ohledem na soukromí

Jako služba pro zakládání společností v USA si Zenind uvědomuje, že klienti očekávají efektivitu i důvěru zároveň. Procesy zakládání, služby registrovaného zástupce a správa účtů by měly být od začátku navrženy s ohledem na ochranu soukromí.

To znamená shromažďovat pouze informace potřebné k poskytnutí požadované služby, chránit je vhodnými opatřeními a udržovat transparentní zásady pro nakládání s údaji. Proces zaměřený na ochranu soukromí pomáhá klientům postupovat s jistotou a současně podporuje povinnosti v oblasti souladu napříč jurisdikcemi.

Závěrečné myšlenky

Soulad s GDPR je zvládnutelný, pokud je zabudován do každodenního provozu. U služeb zakládání společností v USA je klíčové nevnímat ochranu soukromí jako jednorázový právní dokument. Měla by to být fungující soustava zahrnující sběr dat, právní základ, bezpečnost, uchovávání a práva jednotlivců.

Podniky, které k tomu přistupují tímto způsobem, jsou lépe připraveny obsloužit mezinárodní zakladatele, chránit údaje klientů a působit profesionálně na globálním trhu.