Как структурировать бизнес по брокерству данных, генерации лидов или клиентской разведке

Банки и лицензирующие органы смотрят на деятельность. Покупатели данных смотрят на содержимое. Каталог деловых контактов, механизм потребительских лидов, сервис сопоставления личности и скоринговая модель это разные продукты, даже когда за ними стоит одна панель. Каждый держится или падает в зависимости от того, откуда взялись его поля и что допускал источник. Производитель продуктов питания сталкивается с тем же вопросом, рассмотренным в руководстве по переработке морепродуктов, которое отделяет разрешение министерства от лицензии.

Начните с реестра. По каждому полю, которое вы намерены продавать, зафиксируйте источник, на что согласилось лицо или источник и совместимо ли предполагаемое повторное использование с этим происхождением. С него начнут комплаенс-служба покупателя, банк и любой запрос органа.

Если вы не можете заполнить реестр по какому-либо полю, это поле не готово к продаже. Никакая лицензия этого не изменит.

Закон применяется к обработке персональных данных полностью или частично с использованием электронных систем, как внутри ОАЭ, так и за их пределами. Эта формулировка важна для компании, которая собирает данные за рубежом, а продаёт их в ОАЭ, или наоборот.

Обработка без согласия владельца данных запрещена, за исключением случаев, когда она необходима для защиты общественного интереса либо для ведения юридических процедур и реализации прав. Для брокера это возлагает бремя на источник: список, купленный у третьей стороны, законен лишь настолько, насколько законно согласие, на котором он основан. Федеральный закон № 15 от 2020 года о защите прав потребителей добавляет, что поставщики не вправе использовать данные потребителей в маркетинговых целях.

Владельцы данных могут требовать исправления неточных персональных данных, а также требовать ограничить или прекратить обработку. Бизнесу, который перепродаёт файл с данными на уровне отдельных лиц, нужен рабочий порядок обработки таких запросов и способ передавать их покупателям.

Закон также устанавливает требования к передаче персональных данных за границу и к обмену ими. Под это подпадают сервисы обогащения данных, которые отправляют файлы офшорным обработчикам, и покупатели, вывозящие выгрузки за рубеж.

Перед окончательным оформлением продукта уточните действующие исполнительные регламенты и любые отраслевые правила в UAE Data Office.

Продажа лидов означает, что с кем-то будут связываться. TDRA заявляет, что стремится ограничивать навязчивые маркетинговые SMS-рассылки с помощью специальной регуляторной политики, призывает лицензиатов предлагать понятные механизмы согласия и отказа от рассылки, контролирует соблюдение требований посредством регулярной отчётности и предписывает принимать строгие меры в отношении отправителей, не имеющих предварительного согласия.

Для компании, занимающейся генерацией лидов, это делает запись о согласии ключевым активом. Лид без подтверждения согласия на тот канал, по которому с ним будут связываться, является для покупателя обременением. Фиксируйте согласие в момент сбора данных, храните его вместе с лидом и продавайте его вместе с лидом.

Отдельно TDRA выдаёт сертификат об отсутствии возражений (No Objection Certificate) на осуществление электронной деятельности, охватывающий экономическую деятельность в интернете через веб-сайты, приложения или аккаунты в социальных сетях. Если вы используете для сбора лидов сайт или приложение, ориентированные на потребителей, уточните в TDRA, распространяется ли этот сертификат на вас.

Определите, кто является контролёром данных (controller), а кто обработчиком данных (processor), до подготовки договора. Компания, которая определяет, зачем и как обрабатываются данные, несёт иные обязанности, чем компания, которая обрабатывает данные только по указаниям клиента. Сервис обогащения, работающий с файлами клиента, выполняет иную роль, чем владелец собственной базы данных, которую он обогащает.

Если одна группа компаний ведёт несколько продуктов, разделение по уровню риска для данных, как правило, удобнее. У фирмографического продукта, у направления по потребительским лидам и у сервиса обработки данных есть свой собственный тип сбоя, и запрос на осуществление прав или сбой источника в одном из них не должен ставить под угрозу возможность продажи остальных. Выбор между компанией на мейнленде (mainland) и свободной зоной (free zone) делается позже: например, юридическое лицо в DIFC вводит в картину закон DIFC о данных, поэтому сначала определите, какой правовой режим может обеспечить ваша модель данных.

Юридическое лицо, которое подписывает договоры с клиентами, должно быть тем, которое способно отвечать за данные. Оно ведёт процесс обработки запросов на осуществление прав, обеспечивает соблюдение ограничений на дальнейшее использование и стоит за гарантиями в отношении источников. Структуры, построенные вокруг низкой стоимости регистрации, как правило, дают сбой при первом же вопроснике покупателя, где спрашивается, кто гарантирует достоверность источников.

Здесь люди важнее помещений. Вам нужен назначенный ответственный за защиту данных, лицо, отвечающее за безопасность и хранение, и лицо, которое занимается надлежащей проверкой клиентов. Небольшая компания может совмещать роли, но каждая из них должна быть закреплена.

Банк, изучающий документы компании, работающей с данными, хочет видеть, что продаётся, кому и на каких условиях. Договоры, ограничивающие дальнейшее использование, уведомление о конфиденциальности, соответствующее реестру, и план действий при утечке превращают осторожного сотрудника по комплаенсу в клиента. Работа по подготовке к открытию корпоративного банковского счёта охватывает то, как эти документы согласуются с видом деятельности по лицензии и профилем счёта. Стоимость зависит от выбранного пути и от того, сколько управления требует продукт. Velarozone работает так: сначала создаётся реестр, а собственная плата за услуги Velarozone указывается отдельной позицией в письме-соглашении об условиях оказания услуг.