Come strutturare un'azienda di brokeraggio dati, generazione di lead o intelligence sui clienti

Le banche e le autorità di licenza guardano all'attività. Gli acquirenti di dati guardano all'inventario. Una rubrica di contatti aziendali, un motore di lead per consumatori, un servizio di abbinamento di identità e un modello di punteggio sono prodotti diversi, anche quando un'unica dashboard li presenta tutti e quattro. Ciascuno regge o cade in base a dove provengono i suoi campi e a ciò che la fonte consentiva. Un produttore alimentare incontra la stessa questione, trattata nella guida alla lavorazione dei frutti di mare, che separa il permesso del ministero dalla licenza.

Parta da un registro. Per ogni campo che intende vendere, annoti la fonte, ciò a cui la persona o la fonte hanno acconsentito e se il riutilizzo previsto sia compatibile con tale origine. Il team di conformità di un acquirente, una banca e qualsiasi richiesta di un'autorità partiranno da lì.

Se non è in grado di compilare il registro per un campo, quel campo non è pronto per essere venduto. Nessuna licenza cambia questa situazione.

La legge si applica al trattamento di dati personali, in tutto o in parte, mediante sistemi elettronici, all'interno o all'esterno degli Emirati Arabi Uniti (UAE). Questa formulazione è rilevante per una società che raccoglie dati all'estero e vende negli Emirati Arabi Uniti (UAE), o viceversa.

È vietato il trattamento senza il consenso del titolare dei dati, salvo che sia necessario per tutelare un interesse pubblico o per svolgere procedimenti e far valere diritti in sede legale. Per un broker, ciò sposta l'onere sulla fonte: un elenco acquistato da terzi è lecito solo quanto il consenso su cui poggia. La Legge federale n. 15 del 2020 sulla tutela dei consumatori aggiunge che i fornitori non possono usare i dati dei consumatori per il marketing.

I proprietari dei dati possono chiedere la rettifica di dati personali inesatti e possono chiedere di limitare o interrompere il trattamento. Un'impresa che rivende un file riferito a singole persone ha bisogno di un percorso operativo per tali richieste e di un modo per trasmetterle agli acquirenti.

La legge fissa inoltre requisiti per il trasferimento e la condivisione di dati personali oltre confine. Rientrano in questo ambito i servizi di arricchimento che inviano file a responsabili del trattamento offshore e gli acquirenti che portano le esportazioni all'estero.

Verifichi con lo UAE Data Office i regolamenti di attuazione vigenti e le eventuali norme di settore prima di finalizzare il prodotto.

Vendere Lead significa che qualcuno verrà contattato. TDRA afferma di operare per limitare gli SMS di marketing invadenti mediante una specifica politica regolatoria, incoraggia i licenziatari a offrire meccanismi chiari di opt-in e opt-out, monitora la conformità tramite segnalazioni periodiche e impone provvedimenti severi nei confronti dei mittenti privi di consenso preventivo.

Per una società di generazione di Lead, questo rende il registro dei consensi il vero patrimonio. Un Lead privo di prova del consenso per il canale attraverso cui verrà contattato rappresenta una passività per l'acquirente. Acquisisca il consenso al momento della raccolta, lo conservi insieme al Lead e lo venda insieme al Lead.

Separatamente, TDRA rilascia un No Objection Certificate per l'esercizio di e-activity, che riguarda l'attività economica online tramite siti web, app o account sui social media. Se gestisce un sito o un'app rivolti ai consumatori per raccogliere Lead, chieda a TDRA se tale certificato si applichi al suo caso.

Stabilisca chi è il titolare del trattamento e chi è il responsabile del trattamento prima che il contratto venga redatto. Una società che decide perché e come i dati vengono trattati ha doveri diversi rispetto a una che li tratta soltanto su istruzione di un cliente. Un servizio di arricchimento che lavora sui file dei clienti ha un ruolo diverso rispetto al proprietario del database proprietario che viene arricchito.

Se un gruppo gestisce più prodotti, una suddivisione in base al rischio dei dati è di solito più lineare. Un prodotto firmografico, un'attività di Lead consumer e un servizio di trattamento hanno ciascuno la propria modalità di fallimento, e una richiesta di esercizio dei diritti o un problema legato alle fonti in uno di essi non dovrebbe compromettere la commerciabilità degli altri. La scelta tra una società mainland e una free zone viene dopo: un'entità DIFC, ad esempio, porta con sé la legge sui dati del DIFC, quindi stabilisca innanzitutto quale quadro normativo il modello di dati sia in grado di soddisfare.

L'entità che firma i contratti con i clienti dovrebbe essere quella in grado di rispondere dei dati. È quella che gestisce il processo per i diritti degli interessati, fa rispettare i limiti di riutilizzo successivo e garantisce le fonti. Le strutture costruite attorno a un prezzo di costituzione basso tendono a cedere al primo questionario dell'acquirente che chiede chi garantisca le fonti.

In questo caso le persone contano più dei locali. Serve un responsabile designato per la protezione dei dati, qualcuno incaricato della sicurezza e della conservazione e qualcuno che si occupi dell'adeguata verifica della clientela. Una piccola società può cumulare i ruoli, ma ciascuno deve essere assegnato.

Una banca che esamina la documentazione di una società di dati vuole vedere che cosa viene venduto, a chi e a quali condizioni. I contratti che limitano il riutilizzo successivo, un'informativa sulla privacy coerente con il registro e un piano per le violazioni sono ciò che trasforma un revisore della conformità prudente in un cliente. Il lavoro di preparazione al conto bancario aziendale riguarda il modo in cui tali documenti si allineano con l'attività indicata nella licenza e con il profilo del conto. Il costo dipende dal percorso scelto e dal grado di governance che il prodotto richiede. Il metodo di Velarozone consiste nel costruire prima il registro, e l'onorario proprio di Velarozone è dettagliato nella lettera di incarico.