GDPR és amerikai cégalapítási szolgáltatások: gyakorlati adatvédelmi megfelelési útmutató

Azok a vállalkozások, amelyek amerikai jogi személyeket alapítanak, bejegyzett képviselőket kezelnek és vállalati megfelelőségi feladatokat látnak el, gyakran gyűjtenek személyes adatokat alapítóktól, tisztségviselőktől, vezetőktől és webhelylátogatóktól. Ha ezek az adatok az Európai Gazdasági Térségben vagy az Egyesült Királyságban tartózkodó személyekhez tartoznak, a GDPR akkor is alkalmazható lehet, ha maga a vállalkozás az Egyesült Államokban működik.

Egy amerikai cégalapítási szolgáltató esetében a GDPR-megfelelés nem csupán jogi szöveget jelent az adatkezelési tájékoztatóban. Arról szól, hogy pontosan értsük, milyen adatokat gyűjtünk, miért gyűjtjük őket, ki kapja meg őket, mennyi ideig őrizzük meg őket, és milyen védelmi intézkedések óvják azokat. Egy világos adatvédelmi keretrendszer bizalmat épít a nemzetközi ügyfelekben, és csökkenti a szabályozási kockázatot.

Mire terjed ki a GDPR

Az általános adatvédelmi rendelet olyan adatvédelmi jogszabály, amely a személyes adatok gyűjtését és felhasználását szabályozza. Személyes adatnak minősül minden olyan információ, amely közvetlenül vagy közvetve azonosít egy személyt, például név, e-mail-cím, telefonszám, lakcím, IP-cím vagy online azonosító.

Egy vállalkozásnak nem kell fizikailag Európában működnie ahhoz, hogy a GDPR hatálya alá tartozzon. Ha árukat vagy szolgáltatásokat kínál az EGT-ben vagy az Egyesült Királyságban élő személyeknek, vagy figyeli a viselkedésüket, akkor GDPR-kötelezettségek merülhetnek fel. Ezért van szüksége sok amerikai szolgáltatónak, köztük a cégalapítási vállalkozásoknak is, a belföldi megfelelésen túlmutató adatvédelmi programra.

Miért fontos a GDPR a cégalapítási szolgáltatásoknál

Egy cégalapítási szolgáltató személyes és üzleti adatok széles körét kezelheti, többek között:

• Az alapítók, tulajdonosok, tisztségviselők és vezetők elérhetőségeit
• Lakcímeket és üzleti levelezési címeket
• Személyazonosítást szolgáló dokumentumokat
• Bejegyzési és alapítási adatokat
• Fiókhozzáférési adatokat és ügyfélszolgálati kommunikációt
• Webhelyanalitikát és marketingadatokat

Ezek egy része szokásos adminisztratív adat. Más része viszont kifejezetten érzékeny, mert személyeket kapcsol össze jogi személyekkel, bejelentési nyilvántartásokkal vagy fizetési folyamatokkal. Még ha a szolgáltatás nem is kifejezetten európai ügyfeleket céloz, akkor is kaphat személyes adatokat nemzetközi alapítóktól, akik amerikai jogi személyt hoznak létre.

Adatkezelői és adatfeldolgozói szerepek

A GDPR alapján egy vállalkozás lehet adatkezelő, adatfeldolgozó vagy mindkettő.

Az adatkezelő dönti el, hogy miért és hogyan történik a személyes adatok kezelése. Az adatfeldolgozó az adatkezelő nevében kezeli a személyes adatokat.

Egy amerikai cégalapítási szolgáltatás gyakran mindkét szerepet betölti:

• Adatkezelőként jár el a webhelylátogatók, marketingkapcsolatok és a saját fiókadminisztrációja kapcsán
• Adatfeldolgozóként működhet, amikor az ügyféladatokat szolgáltatási megállapodás keretében kezeli

A szerepek ismerete azért fontos, mert a kötelezettségek eltérnek. Az adatkezelőknek meg kell határozniuk a kezelés jogalapját, biztosítaniuk kell az adatvédelmi tájékoztatást, és teljesíteniük kell az érintetti jogokat. Az adatfeldolgozóknak követniük kell az írásos utasításokat, fenntartaniuk kell a biztonságot, és támogatniuk kell az adatkezelő megfelelési kötelezettségeit.

Gyakran gyűjtött személyes adatkategóriák

Egy cégalapítási és megfelelőségi vállalkozás az alábbi személyes adatkategóriákat gyűjtheti:

• Név és üzleti beosztás
• E-mail-cím és telefonszám
• Számlázási és levelezési cím
• Jogi személy alapítására vonatkozó adatok
• Fiókbejelentkezési adatok
• Fizetéshez kapcsolódó adatok
• IP-cím és eszközinformációk
• Támogatási jegyek, chatnaplók és levelezés

Sok esetben a vállalkozásnak célszerű csak annyi adatot gyűjtenie, amennyi ésszerűen szükséges a szolgáltatás nyújtásához, a fiók támogatásához és a jogi kötelezettségek teljesítéséhez. Az adattakarékosság a GDPR egyik alapelve, és az egyik legegyszerűbb módja a kockázat csökkentésének.

A kezelés jogalapjai

A GDPR megköveteli, hogy a személyes adatok kezelése előtt legyen megfelelő jogalap. Egy cégalapítási szolgáltatásnál gyakori jogalapok lehetnek:

Szerződés teljesítése

A kezelés szükséges lehet a kért szolgáltatás nyújtásához, például alapítási dokumentumok benyújtásához, fiók fenntartásához vagy bejegyzett képviseleti támogatás biztosításához.

Jogi kötelezettség

A kezelés szükséges lehet adózási, számviteli, jelentési, csalásmegelőzési vagy nyilvántartási kötelezettségek teljesítéséhez.

Hozzájárulás

A hozzájárulás megfelelő lehet bizonyos marketingtevékenységekhez, sütikhez vagy opcionális kommunikációhoz. A hozzájárulásnak önkéntesnek, konkrétnak, tájékozottnak és könnyen visszavonhatónak kell lennie.

Jogos érdek

Egy vállalkozás jogos érdek alapján kezelhet adatokat olyan célokból, mint a szolgáltatások fejlesztése, a rendszerek védelme, a visszaélések megelőzése és az existing kapcsolatoknak küldött marketing, feltéve hogy ezeket az érdekeket egyensúlyba hozza az érintettek jogaival.

Egy erős megfelelési program minden adatkategóriához és kezelési célhoz dokumentálja a kiválasztott jogalapot.

A kezelés gyakori céljai

Egy amerikai cégalapítási szolgáltatás több működési okból is kezelhet személyes adatokat:

• Jogi személy alapítási és kapcsolódó szolgáltatások nyújtása
• Ügyfélfiókok és támogatási kérelmek kezelése
• Szolgáltatással kapcsolatos frissítések és tranzakciós értesítések küldése
• Webhelybiztonság és csalásmegelőzés fenntartása
• Elemzések végzése a felhasználói élmény javítása érdekében
• Jogi, számviteli és megfelelési kötelezettségek teljesítése
• Promóciós tartalom közlése, ahol ezt a jog megengedi

Minden célt egy konkrét adatkezelési szükséglethez kell kötni. Ha a cél megváltozik, az adatvédelmi tájékoztatót és a jogalapot is felül kell vizsgálni.

Személyes adatok megosztása harmadik felekkel

Sok szolgáltató megbízható harmadik felekre támaszkodik a működéséhez. Tipikus címzettek lehetnek:

• Informatikai és felhőinfrastruktúra-szolgáltatók
• Fizetésfeldolgozók
• E-mail- és kommunikációs platformok
• Szakmai tanácsadók, például ügyvédek és könyvelők
• Megfelelőségi, teljesítési és támogatási beszállítók
• Kormányzati szervek vagy bűnüldöző hatóságok, ha azt a jog megköveteli

Adatmegosztás előtt a vállalkozásnak meg kell győződnie arról, hogy a címzettnek megfelelő szerepe, jogszerű célja és kellő biztonsági kontrolljai vannak. Amikor egy beszállító a vállalkozás nevében kezel adatokat, gyakran szükség van írásos adatfeldolgozási megállapodásra.

Nemzetközi adattovábbítás

Ha az EGT-ből vagy az Egyesült Királyságból származó személyes adatokat az Egyesült Államokba továbbítják, a GDPR adattovábbítási szabályai alkalmazhatók. A vállalkozásoknak értékelniük kell a továbbítás jogalapját, például jóváhagyott szerződéses garanciákat vagy egy másik megengedett adattovábbítási keretrendszert.

Az adattovábbítási megfelelés különösen fontos azoknál a cégeknél, amelyek globális felhőrendszereket, távoli ügyféltámogató csapatokat vagy nemzetközi beszállítókat használnak. Még ha a vállalkozás teljes egészében amerikai is, a technológiai infrastruktúrája olyan módon mozgathatja az adatokat országhatárokon át, amely további kötelezettségeket vált ki.

Megőrzés és törlés

A GDPR elvárja, hogy a vállalkozások a személyes adatokat csak addig őrizzék meg, ameddig az a megjelölt célhoz szükséges. Ez azt jelenti, hogy a megőrzés alapját az üzleti szükségletnek, a jogi kötelezettségnek és a kockázatnak kell meghatároznia, nem pedig a kényelmi szempontoknak.

Egy gyakorlati megőrzési keretrendszernek az alábbiakat kell rendeznie:

• Alapítási és bejegyzett képviselői nyilvántartások
• Ügyfélfiók-információk
• Marketingkapcsolatok
• Támogatási nyilvántartások
• Webheynaplók és analitika
• Fizetési nyilvántartások

Egyes nyilvántartásokat jogi és adózási okokból meg kell őrizni. Más nyilvántartásokat, például az elhagyott megkereséseket vagy az inaktív marketingkapcsolatokat, hamarabb lehet törölni vagy anonimizálni. Egy megőrzési ütemterv segít abban, hogy a vállalkozás ne tartsa meg az adatokat ok nélkül határozatlan ideig.

Biztonsági intézkedések

A biztonság a GDPR-megfelelés központi eleme. A megfelelő védelmi intézkedések az adatok típusától, a vállalkozás méretétől és az érintett rendszerektől függenek. Gyakori intézkedések:

• Hozzáférés-szabályozás és legkisebb jogosultság elve
• Erős jelszó- és többtényezős hitelesítési szabályzatok
• Titkosítás adatátvitel közben és, ahol indokolt, nyugalmi állapotban is
• Biztonságos mentési és helyreállítási folyamatok
• Naplózás és megfigyelés a gyanús tevékenységek észlelésére
• Szállítói átvilágítás és szerződés-ellenőrzés
• Munkavállalói adatvédelmi és biztonsági képzés

Egy cégalapítási vállalkozás címadatokat, azonosítással kapcsolatos információkat és fizetési adatokat kezelhet. Ezért fontos, hogy a technikai kontrollokat egyértelmű belső eljárásokkal kombinálja.

Érintetti jogok

A GDPR hatálya alá tartozó személyek jogosultak lehetnek arra, hogy:

• Hozzáférjenek személyes adataikhoz
• Helyesbítsék a pontatlan adatokat
• Bizonyos esetekben töröltessék adataikat
• Bizonyos esetekben korlátozzák vagy ellenezzék az adatkezelést
• Adathordozható formátumban megkapják az adataikat, amikor ez alkalmazható
• Visszavonják a hozzájárulásukat, ha a jogalap a hozzájárulás

Ezeknek a jogoknak a támogatásához a vállalkozásnak megbízható bejelentési és válaszadási folyamattal kell rendelkeznie. A kérelmeket ellenőrizni kell, nyomon kell követni és az alkalmazandó határidőkön belül meg kell válaszolni.

Az adatvédelmi tájékoztató alapvető elemei

Egy GDPR-kompatibilis adatvédelmi tájékoztatónak egyértelműen ismertetnie kell:

• Milyen adatokat gyűjtenek
• Miért gyűjtik azokat
• Mi a kezelés jogalapja
• Megosztják-e az adatokat, és kivel
• Történik-e nemzetközi adattovábbítás
• Mennyi ideig őrzik meg az adatokat
• Milyen jogok illetik meg az érintetteket
• Hogyan lehet kapcsolatba lépni a vállalkozással
• Hogyan használják a sütiket és az analitikát

A tájékoztatót közérthetően kell megfogalmazni. A jogi pontosság fontos, de az érthetőség is. Ha az emberek nem értik a tájékoztatót, az nem fogja betölteni a célját.

Működési megfelelési ellenőrzőlista

Egy amerikai cégalapítási szolgáltatás számára egy gyakorlati GDPR-ellenőrzőlista a következőket tartalmazhatja:

1. Térképezze fel a webhelyen, az értékesítésben, az ügyfélszolgálatban és a teljesítési folyamatokban gyűjtött személyes adatokat.
2. Határozza meg, mikor jár el a vállalkozás adatkezelőként vagy adatfeldolgozóként.
3. Dokumentálja az egyes kezelési célok jogalapját.
4. Frissítse az adatvédelmi tájékoztatót és a sütiszabályzatot.
5. Vizsgálja felül a szállítói szerződéseket és az adatfeldolgozási megállapodásokat.
6. Ellenőrizze a nemzetközi adatáramlásokhoz kapcsolódó adattovábbítási garanciákat.
7. Hozzon létre megőrzési ütemtervet és törlési folyamatot.
8. Képezze a munkatársakat az adatvédelmi kérelmek és az incidensek eszkalációja terén.
9. Rendszeresen tesztelje a biztonsági kontrollokat.
10. Időszakosan vizsgálja felül a megfelelési programot a vállalkozás növekedésével összhangban.

Hogyan támogatja a Zenind az adatvédelemre figyelő vállalkozásalapítást

Amerikai cégalapítási szolgáltatóként a Zenind érti, hogy az ügyfelek egyszerre várnak el hatékonyságot és bizalmat. Az alapítási folyamatokat, a bejegyzett képviselői szolgáltatásokat és a fiókkezelést már a kezdetektől adatvédelmi szemlélettel kell kialakítani.

Ez azt jelenti, hogy csak annyi információt kell gyűjteni, amennyi a kért szolgáltatás teljesítéséhez szükséges, megfelelő védelmi intézkedésekkel kell megóvni az adatokat, és átlátható szabályzatokat kell fenntartani az adatkezelésre vonatkozóan. Az adatvédelemre épülő működési folyamat segít az ügyfeleknek magabiztosan előrelépni, miközben támogatja a joghatóságokon átívelő megfelelési kötelezettségeket.

Záró gondolatok

A GDPR-megfelelés kezelhető, ha a napi működés részévé válik. Az amerikai cégalapítási szolgáltatások esetében a lényeg nem az, hogy az adatvédelmet egyszeri jogi dokumentumként kezeljük. Inkább egy működő rendszernek kell lennie, amely lefedi az adatgyűjtést, a jogalapot, a biztonságot, a megőrzést és az érintetti jogokat.

Azok a vállalkozások, amelyek ezt a szemléletet követik, jobban felkészülnek a nemzetközi alapítók kiszolgálására, az ügyféladatok védelmére és arra, hogy professzionálisan működjenek egy globális piacon.