GDPR pro OnlyFans agentury: data fanoušků, DPA a zodpovědné zpracování

Rychlá odpověď. Pokud provozujete OnlyFans agenturu, která spravuje fanoušky v EU nebo Velké Británii, GDPR se na vás téměř jistě vztahuje. Ve většině uspořádání je tvůrce správcem osobních údajů (jsou to jeho fanoušci, jeho značka, jeho rozhodnutí monetizovat) a agentura nebo chatovací nástroj vystupuje jako zpracovatel osobních údajů , který zpracovává konverzace fanoušků jménem tvůrce. Tento vztah vyžaduje písemnou Smlouvu o zpracování osobních údajů (DPA) , která vysvětluje, jaká data se zpracovávají, proč a jak jsou chráněna. Toto je obecná informace, ne právní poradenství, podrobnosti si ověřte u kvalifikovaného právníka ve své jurisdikci.

Správce vs. zpracovatel: kdo je kdo

GDPR rozděluje odpovědnost na dvě role. Správce rozhoduje o účelu a prostředcích zpracování osobních údajů. Zpracovatel zpracovává tato data pouze na základě zdokumentovaných pokynů správce. Pro typické uspořádání tvůrce a agentury:

• Tvůrce je obvykle správcem. Vlastní vztah se svými fanoušky a rozhoduje, že fanouškům mají být posílány zprávy, mají být zahřívání a směrováni na placenou platformu.
• Agentura je obvykle zpracovatelem (nebo společným správcem, v závislosti na tom, kolik nezávislých rozhodnutí dělá). Když agentura provozuje chattery a nástroje jménem tvůrce, zpracovává data fanoušků pro účely tvůrce.
• Chatovací nástroj je (sub)zpracovatel. FluidTalk zpracovává sociální konverzace, aby provozoval trychtýř jménem agentury a tvůrce, ne pro vlastní účely.

Na správném nastavení těchto rolí záleží, protože z nich plynou povinnosti, a papírování. Správce potřebuje právní základ a musí respektovat žádosti fanoušků; zpracovatel potřebuje smlouvu a přísnou bezpečnost. Zmapujte si svůj vlastní řetězec dřív, než uděláte cokoli jiného.

Kdy se GDPR vztahuje na data tvůrce a fanoušků

GDPR se týká osobních údajů: jakékoli informace týkající se identifikovatelné osoby. V trychtýři pro OnlyFans je to širší, než se na první pohled zdá. Může to zahrnovat přezdívku fanouška na sociální síti, zobrazované jméno, zprávy, časové pásmo nebo město, které zmíní, preference a „líbí se mi“, které si zaznamenáváte kvůli personalizaci chatu, a jakékoli poznámky, které si chatter zapíše. Samotné konverzace: tam a zpět, které fanouška zahřívají, jsou osobní údaje.

Nařízení se vztahuje na situace, kdy nabízíte zboží nebo služby lidem v EU nebo Velké Británii, nebo sledujete jejich chování, bez ohledu na to, kde je vaše agentura sídlí. Takže americká agentura směrující evropské fanoušky jednoznačně spadá do rozsahu. Pokud jakákoli významná část vašeho publika je evropská, předpokládejte, že GDPR platí, a navrhujte podle toho od začátku, místo dodatečné úpravy později.

Co musí Smlouva o zpracování osobních údajů pokrývat

DPA je smlouva mezi správcem a zpracovatelem, kterou vyžaduje článek 28 GDPR. Ať už je mezi tvůrcem a agenturou, nebo mezi agenturou a jejím nástrojem, měla by přinejmenším stanovit:

• Předmět, dobu trvání, povahu a účel zpracování: zde zahřívání fanoušků na sociálních sítích a předávání zahřátých fanoušků lidskému chatterovi, který uzavírá obchod na monetizační platformě.
• Omezení účelu. Zpracovatel používá data jen k provozu tohoto trychtýře, na základě zdokumentovaných pokynů, ne pro nesouvisející marketing, další prodej nebo trénování, které prospívá jiným účtům.
• Důvěrnost. Každý, kdo má přístup, je vázán zachovávat data fanoušků v důvěrnosti, a přístup je omezen na lidi, kteří ho skutečně potřebují.
• Žádné neoprávněné kopírování nebo sdílení. Data fanoušků se neexportují, nemíchají mezi účty ani nekopírují mimo dohodnuté systémy.
• Bezpečnostní opatření. Šifrování, řízení přístupu a ohraničení podle účtu, konkrétní záruky za tímto příslibem.
• Subzpracovatelé, mazání a audit. Kteří subzpracovatelé se používají, jak se data na konci smlouvy mažou nebo vracejí a jak si správce může ověřit dodržování pravidel.

FluidTalk je postavený přesně na tomto rozdělení práce. Platforma záměrně sbírá a ukládá sociální konverzace, přesně tak fungují zahřívání a předání lidskému chatterovi. Příběh důvěry není „nic nikdy neukládáme“; je to zodpovědné zpracování: data jsou šifrovaná, omezená na váš účet, nikdy sdílená mezi účty a používaná jen k provozu vašeho trychtýře. Podrobnosti, na které se můžete odkázat ve vlastní DPA, najdete v našem přehledu zabezpečení a na stránce compliance .

Právní základ, uchovávání dat a práva fanoušků

Jako správce potřebuje tvůrce právní základ ke zpracování dat fanoušků. Dva nejběžnější kandidáti jsou souhlas a oprávněný zájem. Zasílání zpráv fanouškovi, který se přihlásil k odběru vašeho obsahu a rozhodl se zapojit, se často hodí pod oprávněný zájem, ale musíte umět prokázat, že jste zvážili svůj komerční cíl proti přiměřeným očekáváním fanouška. Ať zvolíte jakýkoli základ, zdokumentujte ho dřív, než začnete, a buďte v tom transparentní.

Uchovávání znamená, že data fanoušků držíte jen tak dlouho, jak je skutečně potřebujete pro trychtýř, a pak je smažete nebo anonymizujete. Neomezené hromadění „pro jistotu“ je opak toho, co GDPR očekává. Všimněte si, že zodpovědné uchovávání a minimální doba uchovávání nejsou v rozporu: konverzace držíte dost dlouho na to, abyste zahřáli fanouška a informovali chattera, a ne déle.

Fanoušci jsou subjekty údajů s právy, která musíte být připraveni respektovat, přístup (kopie jejich dat), oprava, výmaz, omezení a námitka. Prakticky to znamená, že váš zpracovatel a nástroje musí umožnit najít a smazat data konkrétního fanouška, jakmile přijde platná žádost. Čistý, na účet omezený datový model dělá z těchto žádostí rutinu místo hašení požáru.

Jak zodpovědné zpracování snižuje vaše riziko

Smyslem toho všeho není byrokracie, je to snížení šance na únik dat, stížnost nebo pokutu a schopnost prokázat dobrou víru, pokud se zeptá regulátor. Zodpovědné zpracování konkrétně zmenšuje vaše riziko:

• Šifrování a řízení přístupu znamenají, že i kdyby se něco pokazilo, data fanoušků nejsou volně přístupná.
• Ohraničení podle účtu znamená, že fanoušci jednoho tvůrce nikdy nejsou viditelní jinému, jedna chyba se nemůže rozšířit napříč celým vaším portfóliem.
• Omezení účelu vás drží mimo nejrizikovější území: používání dat pro věci, které fanoušek nikdy nečekal.
• Jasné rozdělení správce/zpracovatel s DPA znamená, že každý ví, za co je odpovědný, což je přesně to, co hledají auditoři a právníci.

Je to stejný princip, díky kterému funguje lépe samotný trychtýř. Disciplinovaný systém omezený na účet, který zahřívá fanoušky jako skutečný člověk, místo rozesílání identických zpráv, je bezpečnější pro data fanoušků i efektivnější v konverzi. Pasivní odkaz v bio konvertuje pod 1 %; staří boti s identickými zprávami zvládnou zhruba 10 % , zatímco vystavují účty riziku; dobře řízený aktivní trychtýř konvertuje 25 %+. Dělat to zodpovědně není daň za to, dělat to dobře, je to součást toho, dělat to dobře.

Krátký kontrolní seznam GDPR pro agentury

• Zmapujte své role. Napište, kdo je správce, zpracovatel a subzpracovatel napříč tvůrcem, agenturou a nástroji.
• Podepište DPA s každým, kdo se dotýká dat fanoušků, pokrývající omezení účelu, důvěrnost, žádné neoprávněné kopírování, bezpečnost a mazání.
• Zdokumentujte právní základ pro zasílání zpráv fanouškům a buďte v tom transparentní.
• Nastavte pravidlo uchovávání a skutečně mažte data, jakmile je trychtýř už nepotřebuje.
• Buďte připraveni na žádosti subjektů údajů přístup, mazání a námitka, s nástroji, které dokážou najít a odstranit data jednoho fanouška.
• Ověřte si bezpečnost svého zpracovatele: šifrování, ohraničení podle účtu a žádné sdílení napříč účty.
• Veďte si záznam. Pokud se zeptá regulátor, chcete umět ukázat, že jste o tom záměrně přemýšleli.

Pokud provozujete pod vlastní značkou pro více tvůrců, stejná logika se rozšiřuje na vaše white-label nastavení: data fanoušků každého tvůrce zůstávají v jeho vlastním ohraničeném účtu a vaše DPA se přenášejí dolů do podkladových nástrojů. Postavte strukturu jednou a ta vydrží, i když budete škálovat.