Um site de informações simples com apenas um formulário de contacto é frequentemente resolvido num dia: uma declaração de privacidade, um aviso de cookies e uma breve verificação do fornecedor de alojamento. Uma loja online com um provedor de pagamento, ferramenta de envio, sistema de newsletter e pixels de publicidade leva facilmente de duas a quatro semanas, principalmente porque deve verificar se é necessário um contrato de processamento de dados com cada ferramenta e se já existe.
O fator de atraso mais importante raramente é redigir a declaração de privacidade em si. Isso pode ser feito em uma hora. O tempo é gasto na descoberta de quais ferramentas estão a funcionar em segundo plano, quem gerencia o contrato de processamento de dados para cada uma delas, e na espera pela resposta de um fornecedor.
Onde o tempo é realmente gasto
Ao criar um novo site, começa-se com um inventário: quais serviços de terceiros processam dados de visitantes ou clientes. Pense no fornecedor de alojamento, numa ferramenta de análise, num widget de chat, num provedor de pagamento, num parceiro de envio e possivelmente numa rede de publicidade. Para cada um desses parceiros, coloca-se a questão de saber se foi celebrado um contrato de processamento de dados e se este se adequa ao que a ferramenta realmente faz.
Segue-se então o inventário de cookies: quais cookies são colocados, por quem, e se é necessário consentimento para isso. Só depois de ter uma imagem completa é que a declaração de privacidade pode estar correta em termos de conteúdo e o aviso de cookies pode mostrar as categorias corretas. Quem pular estas etapas e redigir a declaração de privacidade em primeiro lugar muitas vezes tem de ajustá-la depois. Na base de conhecimentos por tema para cada ferramenta de uso frequente consta a resposta breve à questão de saber se é necessário um contrato de processamento de dados, com a localização no texto do regulamento.
O que prolonga o prazo na prática
O maior atraso geralmente não é de si, mas do fornecedor. Os grandes e conhecidos fornecedores de SaaS dispõem normalmente de um contrato de processamento de dados que pode descarregar ou aceitar digitalmente. Com fornecedores mais pequenos ou especializados, por vezes é necessário solicitar ativamente, e pode levar dias até semanas para obter resposta.
Um segundo atraso ocorre quando o marketing, IT e o proprietário da empresa não estão à mesa ao mesmo tempo. O departamento de marketing escolhe uma nova ferramenta, IT não sabe que foi adicionada, e ninguém verifica se existe um contrato de processamento de dados. Na altura em que isto é descoberto, a ferramenta está frequentemente a funcionar há meses.
Um terceiro fator é a dúvida sobre a distribuição de papéis: um parceiro é um responsável pelo processamento de dados, ou é responsabilidade conjunta, ou o parceiro processa os dados para os seus próprios fins. Esta questão nem sempre pode ser respondida em cinco minutos, e em caso de dúvida, é aconselhável perguntar ao próprio fornecedor como vê o seu papel, ou submeter a questão a um jurista.
O que pode fazer para acelerar o processo
A rota mais rápida é fazer o trabalho na ordem correta: primeiro mapear as ferramentas, depois solicitar ou verificar os contratos de processamento de dados, e só depois alinhar a declaração de privacidade e o aviso de cookies com o que realmente acontece. Um registo que é automaticamente preenchido a partir de uma biblioteca de ferramentas conhecidas poupa tempo aqui, porque grande parte do trabalho de investigação já foi feito para serviços SaaS de uso frequente. Assim que uma nova ferramenta é adicionada, é aconselhável registá-la imediatamente no registo de actividades de processamento de dados em vez de deixar isso para um ponto de controle posterior.
Também ajuda a definir antecipadamente quem na empresa é responsável pela solicitação de contratos de processamento de dados em falta. Sem um proprietário claro desse processo, um pedido pendente a um fornecedor costuma ficar esquecido.
Quando demora mais tempo do que o esperado
Numa loja online com muitos componentes separados — um portal de devoluções separado, um sistema de avaliações independente, uma ferramenta externa de atendimento ao cliente — cada componente conta separadamente. Um novo chatbot de IA no site também traz uma pergunta própria sobre para onde vão as entradas dos visitantes e quem as processa. Em caso de dúvida sobre se uma nova funcionalidade requer uma avaliação de risco mais ampla, é recomendável submetê-la a uma avaliação separada; isso está fora do escopo deste artigo.
O aspecto de segurança de um novo site também consome tempo: uma boa avaliação de quais medidas técnicas são apropriadas depende exatamente do que o site ou loja online processa. Uma visão geral sobre o que se trata está na página sobre proteção de privacidade e dados.
O tempo de execução, portanto, não é um número fixo, mas o resultado de quantos componentes separados um site ou loja online possui e com que rapidez os fornecedores respondem. Quem avalia isso antecipadamente evita que um lançamento seja adiado porque falta um acordo de processamento de dados no último momento.
Quer ver rapidamente como seu site ou loja online está neste momento? A verificação rápida gratuita fornece uma primeira indicação em poucas perguntas, e o perguntas frequentes respondem a uma grande parte das questões individuais que surgem durante esse processo.