Hoe een databroker, leadgeneratie of klantintelligentiebedrijf te structureren

Banken en licentieverlenende autoriteiten kijken naar de activiteit. Kopers van gegevens kijken naar de voorraad. Een zakelijke contactgids, een motor voor consumentenleads, een dienst voor identiteitskoppeling en een scoremodel zijn verschillende producten, ook als één dashboard ze alle vier toont. Elk staat of valt met waar de velden vandaan komen en wat de bron toestond. Een voedselproducent krijgt dezelfde vraag, behandeld in de gids over visverwerking, die de toestemming van het ministerie van de licentie onderscheidt.

Begin met een register. Leg voor elk veld dat u wilt verkopen de bron vast, waarmee de persoon of de bron heeft ingestemd, en of het beoogde hergebruik verenigbaar is met die herkomst. De compliance-afdeling van een koper, een bank en elke navraag van een autoriteit zullen daar van uitgaan.

Als u het register voor een veld niet kunt invullen, is dat veld niet klaar om te worden verkocht. Geen enkele licentie verandert dat.

De wet is van toepassing op de verwerking van persoonsgegevens geheel of gedeeltelijk via elektronische systemen, binnen of buiten de UAE. Die formulering is van belang voor een bedrijf dat in het buitenland gegevens verzamelt en in de UAE verkoopt, of omgekeerd.

Verwerking zonder toestemming van de eigenaar van de gegevens is verboden, tenzij zij nodig is om een openbaar belang te beschermen of om juridische procedures en rechten uit te oefenen. Voor een broker legt dat de bewijslast bij de bron: een van een derde gekochte lijst is alleen zo rechtmatig als de toestemming erachter. Federal Law nr. 15 van 2020 inzake consumentenbescherming voegt eraan toe dat leveranciers de gegevens van consumenten niet voor marketing mogen gebruiken.

Gegevenseigenaren kunnen om correctie van onjuiste persoonsgegevens vragen en kunnen verzoeken de verwerking te beperken of te stoppen. Een bedrijf dat een bestand op persoonsniveau doorverkoopt, heeft een werkende route nodig voor die verzoeken, en een manier om ze aan kopers door te geven.

De wet stelt ook eisen aan het grensoverschrijdend doorgeven en delen van persoonsgegevens. Verrijkingsdiensten die bestanden naar offshore verwerkers sturen, en afnemers die exports naar het buitenland brengen, vallen daaronder.

Controleer de actuele uitvoeringsregelgeving en eventuele sectorregels bij het UAE Data Office voordat u het product definitief maakt.

Het verkopen van Leads betekent dat er iemand wordt benaderd. TDRA zegt via een specifiek regelgevend beleid de inzet te beperken van opdringerige marketing-sms, moedigt licentiehouders aan duidelijke opt-in- en opt-outmechanismen te bieden, houdt via periodieke rapportage toezicht op naleving en schrijft streng optreden voor tegen afzenders die geen voorafgaande toestemming hebben.

Voor een bedrijf dat Leads genereert maakt dat het toestemmingsregister tot het eigenlijke bezit. Een Lead zonder bewijs van toestemming voor het kanaal waarop de Lead wordt benaderd, is een risico voor de afnemer. Leg toestemming vast op het moment van verzameling, bewaar die samen met de Lead en verkoop die samen met de Lead.

Daarnaast geeft TDRA een No Objection Certificate af voor het uitoefenen van e-activity, dat economische activiteit online via websites, apps of socialemedia-accounts omvat. Als u een op consumenten gerichte website of app gebruikt om Leads te verzamelen, vraag TDRA dan of dat certificaat op u van toepassing is.

Bepaal wie de verwerkingsverantwoordelijke is en wie de verwerker, voordat het contract wordt opgesteld. Een bedrijf dat beslist waarom en hoe gegevens worden verwerkt, heeft andere plichten dan een bedrijf dat uitsluitend verwerkt op instructie van een klant. Een verrijkingsdienst die met bestanden van klanten werkt, vervult een andere rol dan de eigenaar van de eigen database die wordt verrijkt.

Als één groep meerdere producten exploiteert, is een scheiding op basis van gegevensrisico meestal overzichtelijker. Een firmografisch product, een consumenten-Leadactiviteit en een verwerkingsdienst hebben elk hun eigen faalwijze, en een verzoek om uitoefening van rechten of een probleem met een bron in het ene product mag de verkoopbaarheid van de andere niet aantasten. De keuze tussen een mainland-bedrijf en een free zone komt later: een DIFC-entiteit brengt bijvoorbeeld de DIFC-gegevenswet in beeld, dus bepaal eerst aan welk kader het gegevensmodel kan voldoen.

De entiteit die de contracten met klanten ondertekent, moet degene zijn die voor de gegevens kan instaan. Zij voert het rechtenproces uit, handhaaft de beperkingen op verder gebruik en staat achter de garanties over de bronnen. Structuren die zijn opgebouwd rond een lage oprichtingsprijs falen doorgaans bij de eerste vragenlijst van een afnemer waarin wordt gevraagd wie voor de bronnen garant staat.

Mensen zijn hier belangrijker dan kantoorruimte. U hebt een benoemde eigenaar nodig voor gegevensbescherming, iemand die verantwoordelijk is voor beveiliging en bewaartermijnen, en iemand die de due diligence op klanten afhandelt. Een klein bedrijf kan rollen combineren, maar elke rol moet zijn toegewezen.

Een bank die het dossier van een databedrijf beoordeelt, wil zien wat er wordt verkocht, aan wie en onder welke voorwaarden. Contracten die verder gebruik beperken, een privacyverklaring die aansluit op het register en een plan voor datalekken maken van een voorzichtige compliance-beoordelaar een klant. Het werk rond gereedheid voor een zakelijke bankrekening behandelt hoe deze documenten aansluiten op de activiteit op de licentie en het rekeningprofiel. De kosten hangen af van de route en van de mate van governance die het product nodig heeft. Velarozone werkt zo dat eerst het register wordt opgebouwd, en de eigen vergoeding van Velarozone wordt in de opdrachtbevestiging gespecificeerd.