Czym jest własność danych klienta w SaaS?

Własność danych klientów w SaaS odnosi się do praw prawnych, jakie klienci posiadają do informacji, które przesyłają, tworzą lub którymi zarządzają w ramach platformy SaaS, podczas gdy sama platforma pozostaje własnością dostawcy. W tym układzie klienci zazwyczaj działają jako administratorzy danych, określając sposób ich przetwarzania, a dostawca przyjmuje rolę podmiotu przetwarzającego dane, postępując zgodnie z otrzymanymi instrukcjami dotyczącymi obsługi tych danych.

Umowy z dostawcami i regulacje takie jak RODO często opisują ten podział obowiązków, stanowiąc, że klienci decydują o tym, jak ich dane są wykorzystywane i mają możliwość dostępu, pobierania lub usuwania swoich danych w razie potrzeby.

Zrozumienie własności danych określa prawa firmy do ochrony własności intelektualnej, precyzuje przypisane obowiązki i ustanawia procesy zachowania elastyczności strategicznej. Warunki własności danych mogą zapobiegać uzależnieniu od dostawcy (vendor lock-in), wspierać zgodność z przepisami i gwarantować, że dane mogą być dostępne, przesyłane lub usuwane w razie potrzeby.

W praktyce korzyści mogą obejmować:

• Należyta staranność w zakresie M&A może przebiegać sprawniej, gdy pochodzenie danych jest jasno określone.
• Środki planowania ciągłości są okresowo weryfikowane.  
• Incydenty bezpieczeństwa SaaS są rutynowo śledzone każdego roku, a organizacje zgłaszają takie zdarzenia w ramach regularnych działań monitorujących.

Określenie własności danych podczas wstępnych rozmów kontraktowych to najtańszy sposób na zmniejszenie nieporozumień, ograniczenie nieplanowanych kosztów i opisanie kroków postępowania przy transferze danych.

Ramy prawne, takie jak RODO i CCPA/CPRA, określają wytyczne dotyczące ról i obowiązków związanych z danymi klientów, zamiast przypisywać tradycyjne prawo własności. Ramy te określają obowiązki i role związane z zarządzaniem danymi klientów, przy czym klienci są zazwyczaj identyfikowani jako administratorzy danych, a dostawcy jako podmioty przetwarzające lub usługodawcy.

Ochrona danych klientów SaaS zazwyczaj wiąże się z zastosowaniem kombinacji technicznych i operacyjnych zabezpieczeń:

• Stosowanie uwierzytelniania wieloskładnikowego
• Konfigurowanie kontroli dostępu opartych na rolach
• Używanie szyfrowania do przechowywania i przesyłania danych
• Prowadzenie dzienników audytu
• Przestrzeganie udokumentowanych procedur zakończenia współpracy
• Zapewnianie szkoleń pracownikom z zakresu obsługi danych i zatwierdzonych narzędzi programowych

Środki te są wdrażane wraz z przypisaniem pewnych praw i obowiązków wynikających z posiadania danych. W ramach regulacji takich jak GDPR i CCPA/CPRA, klienci zazwyczaj mają prawa takie jak dostęp, korygowanie, eksportowanie lub usuwanie ich danych osobowych, a także ograniczanie sposobu ich przetwarzania.

Klient obowiązki zazwyczaj obejmują:

• Zapewnianie, że dane są przetwarzane zgodnie ze standardami prawnymi i umownymi
• Zarządzanie poziomami dostępu i uprawnieniami użytkowników w ramach usługi
• Ustanawianie i utrzymywanie wewnętrznych protokołów dla danych dodawanych do aplikacji SaaS

Dostawcy SaaS przetwarzają dane klientów wyłącznie zgodnie z postanowieniami umów i obowiązującymi przepisami. Zazwyczaj dotyczy to świadczenia usług, wsparcia technicznego, bezpieczeństwa, zgodności i rozwiązywania problemów. Inne rodzaje wykorzystania lub monetyzacji danych są realizowane zgodnie ze zgodą klienta.

Kilka powtarzających się kwestii może wpłynąć na efektywną własność danych w środowiskach SaaS:

• Kwestie związane z uzależnieniem od dostawcy oraz szczegóły języka umowy
• Zakres dostępu dostawcy oraz procedury usuwania danych
• Problemy z konfiguracją oraz dostęp między dzierżawcami
• Kwestie dotyczące podmiotów trzecich i podprzetwarzających
• Zastrzeżone formaty eksportu lub nieudokumentowane API

W połączeniu z obszarami takimi jak zarządzanie bezpieczeństwem lub wymogi zgodności, czynniki te mogą wpływać na ogólną kontrolę. Badania wskazują, że co roku dochodzi do incydentów bezpieczeństwa SaaS, podczas gdy organizacje regularnie monitorują i oceniają swoje środki ochrony. Środowiska wielodostępne, kwestie proceduralne, takie jak opóźnione wyrejestrowanie, a korzystanie z usług zewnętrznych może dodatkowo skomplikować obszar, którym organizacje muszą się zająć, rozważając własność danych.

Dostawcy mogą uwzględnić wymogi dotyczące własności danych zarówno w produktach, jak i w umowach kontraktowych. Poniższe kroki przedstawiają typowe podejście:

• Jasno określić własność danych klienta w produkcie i w umowie.
• Ograniczyć wewnętrzny dostęp do danych klienta i utrzymywać ścisłą izolację najemców.
• Rozpatrywać wnioski dotyczące danych, takie jak dostęp, eksport lub usunięcie, niezwłocznie, zgodnie z ustalonymi procedurami.
• Zapewnić klientom dostęp do ich danych na żądanie.
• Określić formaty eksportu i opcje dostarczania spełniające przenośne, nieproprietarne standardy.
• Zwrócić dane po zakończeniu umowy, zgodnie z uzgodnionymi warunkami, niezależnie od statusu płatności.