GDPR OnlyFans aģentūrām: fanu dati, DPA un atbildīga apstrāde

Īsā atbilde. Ja jūs vadāt OnlyFans aģentūru, kas apstrādā fanus ES vai Apvienotajā Karalistē, GDPR gandrīz noteikti attiecas uz jums. Vairumā gadījumu veidotājs ir datu pārzinis (tie ir viņu fani, viņu zīmols, viņu lēmums monetizēt), un aģentūra vai tērzēšanas rīks darbojas kā datu apstrādātājs , kas apstrādā fanu sarunas veidotāja vārdā. Šīm attiecībām nepieciešams rakstisks Datu apstrādes līgums (DPA) , kas precizē, kādi dati tiek apstrādāti, kāpēc un kā tie tiek aizsargāti. Šī ir vispārīga informācija, nevis juridisks padoms, apstipriniet konkrētās detaļas ar kvalificētu juristu savā jurisdikcijā.

Pārzinis pret apstrādātāju: kurš ir kurš

GDPR sadala atbildību divās lomās. Pārzinis izlemj personas datu apstrādes mērķi un līdzekļus. Apstrādātājs apstrādā šos datus tikai saskaņā ar pārziņa dokumentētajiem norādījumiem. Tipiskai veidotāja-aģentūras vienošanās gadījumā:

• Veidotājs parasti ir pārzinis. Viņam pieder attiecības ar saviem faniem, un viņš izlemj, ka faniem jāraksta, jāsasilda un jānovirza uz maksas platformu.
• Aģentūra parasti ir apstrādātājs (vai kopīgs pārzinis, atkarībā no tā, cik daudz neatkarīgu lēmumu tā pieņem). Kad aģentūra darbina tērzētājus un rīkus veidotāja vārdā, tā apstrādā fanu datus veidotāja mērķiem.
• Tērzēšanas rīks ir (apakš)apstrādātājs. FluidTalk apstrādā sociālo tīklu sarunas, lai darbinātu piltuvi aģentūras un veidotāja vārdā, nevis savām vajadzībām.

Šo lomu pareiza noteikšana ir svarīga, jo no tām izriet pienākumi, un dokumentācija. Pārzinim vajadzīgs tiesiskais pamats, un tam jāievēro fanu pieprasījumi; apstrādātājam vajadzīgs līgums un stingra drošība. Vispirms izkartējiet savu ķēdi, tad dariet visu pārējo.

Kad GDPR attiecas uz veidotāja un fanu datiem

GDPR ir par personas datiem: jebkuru informāciju, kas saistīta ar identificējamu personu. OnlyFans piltuvē tas ir plašāks, nekā šķiet no pirmā skata. Tas var ietvert fana sociālo lietotājvārdu, attēlojamo vārdu, ziņojumus, laika joslu vai pilsētu, ko viņš min, preferences un “patīk” atzīmes, ko reģistrējat, lai personalizētu tērzēšanu, un jebkuras piezīmes, ko pieraksta tērzētājs. Pašas sarunas: savstarpējā saziņa, kas sasilda fanu, ir personas dati.

Regula attiecas, kad piedāvājat preces vai pakalpojumus cilvēkiem ES vai Apvienotajā Karalistē, vai pārraugāt viņu uzvedību, neatkarīgi no tā, kur atrodas jūsu aģentūra. Tātad ASV aģentūra, kas novirza Eiropas fanus, noteikti ietilpst tvērumā. Ja jebkura nozīmīga jūsu auditorijas daļa ir eiropiešu, pieņemiet, ka GDPR attiecas, un veidojiet to no paša sākuma, nevis pielāgojiet vēlāk.

Kas Datu apstrādes līgumam jāaptver

DPA ir līgums starp pārzini un apstrādātāju, ko pieprasa GDPR 28. pants. Neatkarīgi no tā, vai tas ir starp veidotāju un aģentūru, vai starp aģentūru un tās rīkiem, tam vismaz jānosaka:

• Priekšmets, ilgums, būtība un mērķis apstrādei: šeit, sociālo tīklu fanu sasildīšana un sasildīto fanu nodošana cilvēkam-tērzētājam, kurš noslēdz darījumu monetizācijas platformā.
• Mērķa ierobežojums. Apstrādātājs izmanto datus tikai šīs piltuves darbināšanai, saskaņā ar dokumentētiem norādījumiem, nevis nesaistītam mārketingam, tālākpārdošanai vai apmācībai, kas dod labumu citiem kontiem.
• Konfidencialitāte. Ikvienam ar piekļuvi ir jāievēro fanu datu konfidencialitāte, un piekļuve ir ierobežota tikai tiem, kam tā patiešām nepieciešama.
• Nav neatļautas kopēšanas vai koplietošanas. Fanu dati netiek eksportēti, sajaukti starp kontiem vai dublēti ārpus saskaņotajām sistēmām.
• Drošības pasākumi. Šifrēšana, piekļuves kontrole un konta piesaiste, konkrētie aizsardzības mehānismi aiz solījuma.
• Apakšapstrādātāji, dzēšana un audits. Kuri apakšapstrādātāji tiek izmantoti, kā dati tiek dzēsti vai atgriezti līguma beigās, un kā pārzinis var pārbaudīt atbilstību.

FluidTalk ir veidots tieši ap šo darba dalījumu. Platforma apzināti apkopo un glabā sociālo tīklu sarunas, tā darbojas sasildīšana un cilvēka-tērzētāja nodošana. Uzticības stāsts nav “mēs neko nekad neglabājam”; tā ir atbildīga apstrāde: dati ir šifrēti, piesaistīti jūsu kontam, nekad nav koplietoti starp kontiem un tiek izmantoti tikai jūsu piltuves darbināšanai. Skatiet mūsu drošības pārskatu un atbilstības lapu konkrētām detaļām, uz ko varat atsaukties savā DPA.

Tiesiskais pamats, glabāšana un fanu tiesības

Kā pārzinim, veidotājam vajadzīgs tiesiskais pamats fanu datu apstrādei. Divi visbiežāk sastopamie kandidāti ir piekrišana un leģitīmās intereses. Rakstīšana fanam, kurš ir piekritis jūsu saturam un izvēlējies iesaistīties, bieži atbilst leģitīmajām interesēm, taču jums jāspēj parādīt, ka esat izsvēris savu komerciālo mērķi pret fana pamatotajām gaidām. Lai kādu pamatu izvēlētos, dokumentējiet to pirms sākat, un esiet par to pārredzams.

Glabāšana nozīmē, ka fanu datus glabājat tik ilgi, cik patiešām nepieciešams piltuvei, tad tos dzēšat vai anonimizējat. Nebeidzama uzkrāšana “gadījumam, ja” ir pretējais tam, ko sagaida GDPR. Ņemiet vērā, ka atbildīga glabāšana un minimāla saglabāšana nav pretrunā: jūs glabājat sarunas pietiekami ilgi, lai sasildītu fanu un informētu tērzētāju, un ne ilgāk.

Fani ir datu subjekti ar tiesībām, kas jums jābūt gataviem ievērot, piekļuve (viņu datu kopija), labošana, dzēšana, ierobežošana un iebildums. Praktiski jūsu apstrādātājam un rīkiem jāpadara iespējams atrast un dzēst konkrēta fana datus, kad ienāk derīgs pieprasījums. Tīrs, kontam piesaistīts datu modelis padara šos pieprasījumus par ikdienu, nevis avārijas mācībām.

Kā atbildīga apstrāde samazina jūsu risku

Visa tā jēga nav birokrātija, tā ir pārkāpuma, sūdzības vai soda iespējamības samazināšana un spēja pierādīt labticību, ja regulators kādreiz jautā. Atbildīga apstrāde samazina jūsu risku konkrētos veidos:

• Šifrēšana un piekļuves kontrole nozīmē, ka pat ja kaut kas noiet greizi, fanu dati nav atklāti pieejami.
• Konta piesaiste nozīmē, ka viena veidotāja fani nekad nav redzami citam, viena kļūda nevar izplatīties uz visu jūsu biznesa portfeli.
• Mērķa ierobežojums notur jūs ārā no riskantākās teritorijas: datu izmantošanas lietām, ko fans nekad negaidīja.
• Skaidrs pārziņa/apstrādātāja sadalījums ar DPA nozīmē, ka visi zina, kurš par ko ir atbildīgs, tieši to meklē auditori un juristi.

Tas ir tas pats princips, kas liek pašai piltuvei darboties labāk. Disciplinēta, kontam piesaistīta sistēma, kas sasilda fanus kā reāls cilvēks, nevis izsūta identiskus ziņojumus, ir gan drošāka fana datiem, gan efektīvāka konversijā. Pasīva saite profilā konvertē zem 1%; vecā stila identisku ziņojumu boti sasniedz ap 10% , riskējot ar kontiem; labi vadīta aktīva piltuve konvertē 25%+. Darīt to atbildīgi nav nodoklis par labu darbu, tā ir daļa no laba darba.

Īss GDPR kontrolsaraksts aģentūrām

• Izkartējiet savas lomas. Pierakstiet, kurš ir pārzinis, apstrādātājs un apakšapstrādātājs starp veidotāju, aģentūru un rīkiem.
• Parakstiet DPA ar visiem, kas skar fanu datus, aptverot mērķa ierobežojumu, konfidencialitāti, neatļautas kopēšanas aizliegumu, drošību un dzēšanu.
• Dokumentējiet tiesisko pamatu fanu rakstīšanai un esiet par to pārredzams.
• Iestatiet glabāšanas noteikumu un tiešām dzēsiet datus, kad piltuvei tie vairs nav vajadzīgi.
• Esiet gatavi datu subjektu pieprasījumiem piekļuvei, dzēšanai un iebildumam, ar rīkiem, kas var atrast un noņemt viena fana datus.
• Pārbaudiet sava apstrādātāja drošību: šifrēšanu, konta piesaisti un kontu savstarpējas koplietošanas neesamību.
• Glabājiet ierakstu. Ja regulators jautā, jūs vēlaties parādīt, ka esat par to apzināti domājuši.

Ja darbojaties zem sava zīmola vairākiem veidotājiem, tā pati loģika attiecas uz jūsu baltā etiķetes (white-label) iestatījumu: katra veidotāja fanu dati paliek savā piesaistītajā kontā, un jūsu DPA plūst lejup uz rīkiem apakšā. Izveidojiet struktūru vienreiz, un tā tur, kad mērogojaties.