Teisinis pagrindas: teisėtas interesas (BDAR 6 str. 1 d. f p.)
Ką tai reiškia: B2B kontaktavimui taikomas teisėto intereso pagrindas. Kiekvienas gavėjas turi teisę nesutikti (21 str.). Kai tik jis nesutinka, mes iškart nutraukiame kontaktavimą.
Kaip tai darome
- Prieš kiekvieną kampaniją atliekame teisėto intereso vertinimą (LIA) ir saugome jį byloje.
- Dokumentuojame, kodėl pasiūlymas aktualus gavėjo pareigoms ir įmonei.
- Nesutikusius gavėjus nedelsdami įtraukiame į atsisakymų sąrašą.
Kaip randame ir gauname kontaktinius duomenis
Ką tai reiškia: Tvarkome tik specialistų duomenis, susijusius su jų verslo vaidmeniu. Duomenis gauname keliais aiškiai apibrėžtais būdais. Kiekvienu atveju naudojame BDAR reikalavimus atitinkančius įrankius, kurie veikia kaip mūsų subtvarkytojai (žr. 8 skyrių).
Kokius duomenis renkame
- Vardas ir pavardė, pareigos, įmonė, darbo el. paštas, darbo telefonas (kai jis paskelbtas arba pateikiamas licencijuoto tiekėjo), LinkedIn profilio nuoroda, šalis.
- Įmonės lygio faktai: veiklos sritis, dydis, vieta, produktai, viešos naujienos ir iniciatyvos.
A būdas. Licencijuoti B2B duomenys ir papildymas per Clay
- Naudojame licencijuotus B2B duomenis per Clay.com. Tai duomenų platforma, kurią naudoja įmonės nuo mažų verslų iki „Fortune 500“ bendrovių.
- Clay (Clay Labs Inc.) turi SOC 2 Type II ir ISO 27001 sertifikatus. Su ja sudaryta duomenų tvarkymo sutartis (DPA).
- Clay jungiasi prie trečiųjų šalių B2B duomenų tiekėjų, pavyzdžiui, el. pašto paieškos ir el. pašto patikros paslaugų. Šie tiekėjai veikia kaip Clay subtvarkytojai ir yra nurodyti Clay patikos centre: https://trust.clay.com/
- Tai naudojame tik tam, kad rastume ir patikrintume konkrečių sprendimų priėmėjų darbo el. paštus įmonėse, atitinkančiose kliento patvirtintus tikslinius kriterijus. Masinių ar vartotojų sąrašų nepirkame.
B būdas. DI tyrimų agentas (Clay)
- Clay DI tyrimų agentas skaito viešai prieinamus tinklalapius: įmonių svetaines, naujienas, darbo skelbimus ir kontaktus, kuriuos potencialaus kliento įmonė pati nurodo savo svetainėje.
- Jis išgauna įmonės lygio faktus ir, kai pati įmonė tai skelbia, atitinkamų žmonių verslo pareigas. Rezultatas naudojamas įmonėms atrinkti ir pirmajai žinutei suasmeninti.
- Agentas dirba tik su viešai prieinamais puslapiais. Jis neprisijungia prie svetainių, nepasiekia uždaro turinio ir nenaudojamas asmeniniam gyvenimui tirti.
C būdas. Vieši profesiniai profiliai
- Peržiūrime viešus profesinius profilius LinkedIn, kad patvirtintume asmens dabartines pareigas ir įmonę. LinkedIn naudojamas pagal savo sąlygas kaip savarankiškas duomenų valdytojas (žr. 8 skyrių).
D būdas. Kliento pateikti duomenys
- Kai klientas pateikia sąrašus, CRM eksportus ar blokavimo sąrašus, tvarkome juos tik kliento nurodymu, kaip duomenų tvarkytojas (žr. 3 skyrių).
Kontrolės priemonės visiems būdams
- Jokių ypatingų kategorijų duomenų (9 str.), jokių privačių ar asmeninių kontaktų, jokių duomenų iš uždarų grupių ar šaltinių, į kuriuos reikia prisijungti.
- Kiekvieną ištirtą įrašą peržiūri komandos narys. Klientas patvirtina tikslinį sąrašą ir žinučių tekstus prieš pradedant bet kokį kontaktavimą.
- Kiekvieno kontakto šaltinio kategoriją fiksuojame, kad galėtume atsakyti į užklausas „iš kur gavote mano duomenis?“ (5 skyrius).
Vaidmenys pagal projektą (BDAR 4 ir 28 str.)
Ką tai reiškia: BDAR skiria duomenų valdytojus (jie sprendžia, kodėl ir kaip tvarkomi duomenys) ir duomenų tvarkytojus (jie veikia pagal valdytojo nurodymus). Mūsų vaidmuo priklauso nuo to, iš kur gaunami duomenys.
Kaip tai darome
- Kai kontaktus renkame patys (A, B ir C būdai 2 skyriuje), esame savarankiškas duomenų valdytojas šaltinių paieškos etape. Perdavus potencialius klientus, klientas tampa atskiru duomenų valdytoju.
- Kai klientas pateikia sąrašus, blokavimo sąrašus ar CRM duomenis (D būdas), esame duomenų tvarkytojas ir veikiame pagal kliento nurodymus.
- Vaidmenys įtvirtinami duomenų tvarkymo sutartyje (DPA), kuri pasirašoma prieš kampaniją. Sutarties šabloną pateikiame paprašius.
Elektroninio privatumo direktyvos taikymas (skirtumai tarp šalių)
Ką tai reiškia: Elektroninę rinkodarą reglamentuoja Elektroninio privatumo direktyva (2002/58/EB), įgyvendinta nacionaliniais įstatymais.
- Kai kurios valstybės narės reikalauja griežto sutikimo (opt-in), pavyzdžiui, Lietuva, Italija, Ispanija.
- Kitos leidžia B2B atsisakymo modelį (opt-out), pavyzdžiui, Nyderlandai.
- „Švelnaus sutikimo“ (soft opt-in) išimtis taikoma visur: esami klientai, panašios paslaugos, paprastas atsisakymas.
Kaip tai darome
- Prieš kampaniją patikriname tikslinės šalies taisykles.
- Griežto sutikimo šalyse naudojame LinkedIn arba sutikimu grįstus sąrašus.
Pranešimas pirmojo kontakto metu (BDAR 14 str.)
Ką tai reiškia: Kai kontaktus gauname netiesiogiai (2 skyrius), visą BDAR numatytą informaciją turime pateikti pirmojo kontakto metu, o ne tik paklausus.
Kaip tai darome
- Kiekviename pirmajame laiške yra vienos eilutės pranešimas su nuoroda į mūsų viešą privatumo pranešimą: „Jūsų kontaktinius duomenis radome viešai prieinamuose profesiniuose šaltiniuose. Sužinokite, kaip tvarkome jūsų duomenis ir kaip atsisakyti: [nuoroda].“
- Šis puslapis yra mūsų viešas privatumo pranešimas (leansales.tech/data-processing). Jame nurodyta: kas mes esame, kokius duomenis turime, teisinis pagrindas, saugojimo laikotarpis, gavėjai, perdavimai ir duomenų subjektų teisės.
- Jei kontaktas paklausia, kaip gavome jo duomenis, per 5 darbo dienas atsakome nurodydami šaltinio kategoriją.
El. laiško parašo (poraštės) reikalavimai
Ką tai reiškia: Kiekviename rinkodaros laiške turi būti nurodytas pilnas siuntėjo tapatumas (vardas ir įmonė), registruotas pašto adresas, paprasta atsisakymo nuoroda arba aiškus atsisakymo sakinys vietos kalba. Tapatybės slėpti negalima (jokių „noreply@“ ar užmaskuotų siuntėjų).
Kaip tai darome
- Visiems klientams taikome standartinį parašą.
- Prieš paleidimą išbandome atsisakymo nuorodas. Kai nuoroda nenaudojama, atsisakymo sakinį išverčiame į vietos kalbą ir užtikriname, kad jis būtų aiškiai įskaitomas.
- Naudojame autentifikuotus siuntimo domenus (SPF, DKIM, DMARC).
Subtvarkytojai ir įrankiai (BDAR 28 str. 2 ir 4 d.)
Ką tai reiškia: Kiekvienas įrankis, kuris mūsų vardu saugo ar tvarko asmens duomenis, yra subtvarkytojas. Su kiekvienu turi būti sudaryta DPA, o klientai turi turėti galimybę matyti sąrašą.
| Subtvarkytojas | Vieta | Paskirtis | Perdavimo mechanizmas |
|---|---|---|---|
| Clay (Clay Labs Inc.) | JAV | Kontaktų paieška, papildymas ir patikra; DI tyrimų agentas viešose svetainėse. Clay subtvarkytojai (duomenų tiekėjai ir DI modeliai) nurodyti adresu https://trust.clay.com/ | SCC / DPF pagal Clay DPA |
| Reply.io (Reply, Inc.) | JAV | El. pašto ir LinkedIn sekų siuntimas | SCC / DPF pagal tiekėjo DPA |
| Google Workspace, įskaitant Google Sheets (Google Ireland Ltd.) | ES / visame pasaulyje | Pašto dėžutės, dokumentų ir lentelių saugojimas, bendri darbo rezultatai | SCC |
- Duomenų tiekėjai ir DI modeliai, naudojami Clay viduje (pavyzdžiui, el. pašto paieškos paslaugos ar LLM tiekėjai), veikia kaip Clay subtvarkytojai pagal Clay DPA. Jie nurodyti https://trust.clay.com/ ir čia nekartojami.
- Šių tiekėjų pagrindinė infrastruktūra yra AWS arba Google Cloud, kaip nurodo kiekvienas tiekėjas.
- LinkedIn (Microsoft) yra duomenų šaltinis ir žinučių kanalas pagal savo sąlygas. Tai savarankiškas duomenų valdytojas, o ne subtvarkytojas.
- Subtvarkytojus peržiūrime kasmet. Prieš bet kokį pakeitimą klientus informuojame, ir jie gali prieštarauti.
Automatizuoti sprendimai ir DI įrankiai (BDAR 22 str.)
Ką tai reiškia: BDAR riboja sprendimus, priimamus tik automatizuotomis priemonėmis, jei jie sukelia teisinių ar panašių reikšmingų pasekmių asmeniui.
Kaip tai darome
- DI įrankius naudojame įmonių tyrimui (įskaitant Clay tyrimų agentą, žr. 2 skyrių), kontaktų papildymui, potencialių klientų prioritetų nustatymui ir žinučių juodraščiams.
- Jokie sprendimai, darantys įtaką asmens teisinei padėčiai ar galimybei gauti paslaugą, nepriimami automatiškai. Kontaktavimo prioritetai lemia tik tai, ar ir kada verslo kontaktas gauna žinutę.
- Kiekvieną DI rezultatą prieš naudojimą peržiūri komandos narys.
- DI modeliai naudojami per Clay arba per API ar verslo lygio planus, kurie nesimoko iš mūsų įvesties duomenų.
- Jokie kliento ar kontaktų duomenys neįvedami į vartotojiškus DI pokalbių robotus, nemokamas vertimo svetaines ar failų konvertavimo svetaines.
Prieigos kontrolė ir išėjimas iš komandos (BDAR 32 str.)
Ką tai reiškia: Prieiga prie asmens duomenų suteikiama tik tiems, kam jos reikia projektui. Asmeniui išėjus, prieiga baigiasi.
Kaip tai darome
- Kiekvienas klientas turi atskirą darbo erdvę ar segmentą kiekviename įrankyje. Komandos nariai gauna prieigą tik prie klientų, su kuriais dirba.
- Dviejų veiksnių autentifikavimas privalomas visuose jį palaikančiuose įrankiuose.
- Išėjimo kontrolinis sąrašas, įvykdomas paskutinę asmens darbo dieną: Clay, Reply.io, Google Workspace, bendri pašto adresai, slaptažodžių tvarkyklės įrašai.
- Prieigos teises peržiūrime kas ketvirtį.
Saugumo incidentų tvarka (BDAR 33 str., 28 str. 3 d. f p.)
Ką tai reiškia: Duomenų valdytojas privalo pranešti priežiūros institucijai per 72 valandas nuo sužinojimo apie pažeidimą. Kaip tvarkytojas ar partneris, turime pranešti klientui pakankamai greitai, kad jis spėtų įvykdyti šį terminą.
Kaip tai darome
- Jei nustatome arba sužinome apie neteisėtą prieigą prie kliento asmens duomenų, jų praradimą ar atskleidimą, per 24 valandas nuo patvirtinimo el. paštu informuojame kliento nurodytą kontaktinį asmenį. Pranešime nurodoma, kas įvyko, kokie duomenys ir kiek įrašų paveikta, ir kokių sulaikymo veiksmų imtasi.
- Tolesnę ataskaitą išsiunčiame per 72 valandas.
- Subtvarkytojai sutartimi įpareigoti pranešti mums apie incidentus, turinčius įtakos mūsų duomenims.
- Kiekvienas klientas DPA nurodo saugumo kontaktą. Incidentai registruojami viduje.
Projekto pabaiga
Ką tai reiškia: Kampanijai pasibaigus, kliento duomenys turi būti grąžinti arba ištrinti.
Kaip tai darome
- Per 30 dienų nuo sutarties pabaigos grąžiname klientui galutinius potencialių klientų duomenis ir ištriname asmens duomenis iš visų įrankių, įskaitant eksportus, automatizavimo žurnalus ir papildymo lenteles.
- Atsisakymų sąrašas saugomas (tik el. paštas, žr. 7 skyrių).
- Pasirašytas sunaikinimo pažymėjimas pateikiamas paprašius.
Mokymai
Ką tai reiškia: Žmonės, tvarkantys asmens duomenis, privalo žinoti šias taisykles.
Kaip tai darome
- Kiekvienas komandos narys ir rangovas per pirmąjį mėnesį ir vėliau kasmet išklauso privatumo mokymus.
- Mokymų temos: teisinis pagrindas, duomenų šaltiniai, atsisakymų tvarkymas, duomenų minimizavimas, patvirtinti įrankiai, pranešimas apie incidentus.
- Saugome žurnalą su data ir dalyviais.
A priedas: kliento paleidimo kontrolinis sąrašas
Prieš paleisdami kampaniją šiuos punktus patvirtiname su klientu:
- DPA pasirašyta, vaidmenys apibrėžti (3 skyrius)
- Kliento privatumo ir saugumo kontaktinis asmuo nurodytas
- Tikslinės šalys patvirtintos, elektroninio privatumo taisyklės patikrintos (4 skyrius)
- LIA atlikta ir įtraukta į bylą (1 skyrius)
- Duomenų šaltiniai suderinti (2 skyrius)
- Kliento duomenys, jei jų yra, gauti patvirtintu kanalu
- Kliento blokavimo sąrašas įkeltas arba klientas jį įkels pats
- Subtvarkytojų sąrašas pateiktas klientui (8 skyrius)
- Saugojimo laikotarpis patvirtintas (numatytasis: 30 dienų po sutarties pabaigos)
