Відповідність сайту GDPR: аудит, впровадження, гарантія

Забезпечення відповідності сайту вимогам GDPR

Ваш сайт збирає email-адреси, використовує аналітику, показує рекламу. Якщо серед ваших клієнтів є громадяни ЄС — на вас поширюється GDPR. Штрафи за порушення сягають €20 млн або 4% глобального обороту. Ми проводимо аудит та впроваджуємо всі необхідні заходи під ключ: від cookie-банера до процедур видалення даних. Оцінимо поточний стан і запропонуємо план за 2 дні. Замовте попередній аудит, щоб зрозуміти масштаб робіт.

Чому захист даних критичний для бізнесу?

GDPR — не просто юридична формальність. Витік або несанкціонована обробка даних підриває довіру клієнтів і призводить до багатомільйонних штрафів. Наприклад, великий сервіс був оштрафований на €1,2 млрд за порушення правил передачі даних до США (Регламент ЄС 2016/679). Своєчасне впровадження заходів захисту економить до 70% потенційних втрат.

Шість правових підстав для обробки ПД

GDPR вимагає чіткої підстави для кожної операції з персональними даними. Найчастіше комерційні сайти використовують згоду (явну, відкличну, конкретну) та договір (необхідність для виконання послуги). Інші підстави — юридичні зобов'язання, життєво важливі інтереси, публічні завдання та законний інтерес — застосовні рідше та вимагають балансувального тесту. Ми допомагаємо визначити коректну підставу для кожного сценарію.

Технічні заходи (GDPR Art. 25 & 32)

Privacy by Design — проектування систем з урахуванням приватності з самого початку. Ключові принципи: мінімізація збору даних, псевдонімізація, шифрування.

// Принцип мінімізації та псевдонімізація class UserRegistrationRequest extends FormRequest { public function rules(): array { return [ 'email' => 'required|email', 'password' => 'required|min:8', // НІ: phone, birthdate, address — якщо не потрібні ]; } } class AnalyticsEventService { public function track(User $user, string $event): void { AnalyticsEvent::create([ 'user_pseudonym' => hash('sha256', $user->id . config('app.analytics_salt')), 'event' => $event, // НІ: user_id, email ]); } } 

Шифрування даних у спокої:

protected $casts = [ 'date_of_birth' => EncryptedCast::class, 'address' => EncryptedCast::class, ]; 

Як автоматизувати обробку запитів суб'єктів даних?

GDPR надає користувачам шість прав: доступ, виправлення, видалення, обмеження, перенесення, заперечення. Відповідь на кожен запит має бути надана протягом місяця. Ми реалізуємо автоматизовані процедури — кнопки в особистому кабінеті, API-ендпоінти, чергу повідомлень. Автоматизація скорочує час обробки в 3–5 разів порівняно з ручним розбором заявок.

Як реалізувати право на видалення: покрокова інструкція

1. Отримати запит від користувача через форму або email.
2. Верифікувати особу суб'єкта (наприклад, двофакторна аутентифікація).
3. Запустити анонімізацію даних у транзакції (див. код нижче).
4. Повідомити користувача про виконання.
5. Задокументувати запит у ROPA.

class GdprUserDeletionService { public function deleteUser(User $user): void { DB::transaction(function () use ($user) { // Анонімізація замість жорсткого видалення для збереження бухгалтерії $user->update([ 'name' => 'Видалений користувач', 'email' => 'deleted_' . $user->id . '@deleted.invalid', 'phone' => null, ]); $user->consents()->delete(); $user->addresses()->delete(); // Юридичні записи — анонімізований user_id $user->tokens()->delete(); $user->update(['deleted_at' => now(), 'anonymized_at' => now()]); }); event(new UserDataDeleted($user->id)); } } 

Експорт даних (право на перенесення)

class UserDataExportService { public function generateExport(User $user): string { $data = [ 'export_date' => now()->toIso8601String(), 'user' => ['id'=>$user->id, 'name'=>$user->name, 'email'=>$user->email, 'created_at'=>$user->created_at], 'consents' => $user->consents()->with('type')->get()->toArray(), 'orders' => $user->orders()->get()->toArray(), 'activity' => AuditLog::where('user_id', $user->id)->orderByDesc('created_at')->get()->toArray(), ]; $path = "gdpr-exports/user_{$user->id}_" . now()->timestamp . ".json"; Storage::disk('private')->put($path, json_encode($data, JSON_PRETTY_PRINT)); return Storage::disk('private')->temporaryUrl($path, now()->addHours(24)); } } 

Повідомлення про витік (Art. 33‑34)

class DataBreachService { public function notifySupervisoryAuthority(DataBreach $breach): void { BreachNotification::create([ 'breach_id' => $breach->id, 'notified_authority' => $this->getCompetentAuthority($breach), 'notified_at' => now(), 'notification_ref' => $this->submitToAuthority($breach), ]); } public function notifyDataSubjects(DataBreach $breach): void { if ($breach->risk_level === 'high') { $breach->affectedUsers()->each(function (User $user) use ($breach) { Mail::to($user)->queue(new DataBreachNotificationMail($breach)); }); } } } 

Record of Processing Activities (ROPA)

GDPR вимагає документувати всі операції обробки. Ми створюємо конфігураційний файл з описом контролера, цілей обробки, правових підстав, типів даних, строків зберігання та отримувачів. Цей документ — основа для доказу compliance. ROPA може бути інтегрована з вашою існуючою системою документообігу.

Data Processing Agreements (DPA)

З кожним сервісом-обробником (Sendgrid, Google Analytics, Stripe, хмарні провайдери) необхідно укласти DPA. Ми перевіряємо наявність DPA в їхніх умовах і допомагаємо підписати відсутні. У деяких випадках також потрібно провести Transfer Impact Assessment для передачі даних у треті країни.

Cookie Consent

Cookie-банер із детальним управлінням за категоріями — обов'язковий елемент. Згода на аналітичні та маркетингові cookies має бути отримана до їх встановлення. Ми налаштовуємо банер з урахуванням GDPR та ePrivacy, забезпечуючи відповідність не лише закону, але й найкращим практикам користувацького досвіду.

Порівняння: ручне управління vs автоматизація

Що входить у роботу

• Аудит поточного стану сайту та процесів обробки даних
• Впровадження cookie-банера з детальним управлінням
• Реалізація прав суб'єктів (видалення, експорт, обмеження)
• Підготовка документації: ROPA, політика конфіденційності, DPA з обробниками
• Навчання команди процедурам реагування на запити та витоки
• Технічна підтримка після впровадження

Строки проекту

Вартість розраховується індивідуально залежно від складності сайту та обсягу даних. Точну ціну називаємо після безкоштовного попереднього аудиту. Отримайте консультацію, щоб оцінити свій проект.