FAQ · Великобритания · UK GDPR, DPA 2018, ICO
Данные получателей и UK GDPR
Персонализация — именная вышивка, адресные этикетки, списки на упаковочных листах — это обработка персональных данных. Ниже: кто остаётся контролёром, на каком основании данные уходят в производство, какие категории не персонализируются в принципе и что происходит с упаковочными листами после отгрузки. Ответы для закупщика, HR и комплаенс-функции, а не для организатора мероприятия.
Кто контролёр, а кто обработчик
Контролёром данных остаётся покупатель: он решает, каких сотрудников и клиентов персонализировать и зачем. Мы выступаем обработчиком и работаем по письменному договору с приложенными инструкциями покупателя. На площадке производства данные получает мастерская — как наш субработник (sub-processor), с обязательством передавать данные только по инструкции и не использовать их для своих целей.
Основание обработки — обычно заключаемый договор между покупателем и его работником или клиентом, а для внешней раздачи — законный интерес покупателя либо согласие, если оно уместно. Отдельно стоит трансграничная передача: мастерская в ЕС работает в режиме UK adequacy, мастерская за пределами — по договорным положениям UK GDPR и правилам International Data Transfer Agreement.
Минимизация: что передаём и что не передаём
В производство уходит ровно столько данных, сколько нужно для маркировки: идентификатор получателя, имя или инициалы для вышивки, адрес доставки и код тира. Транспортные наклейки на внешней стороне коробки содержат адрес, но не содержат ни имени получателя, ни названия подарка. Упаковочный лист с составом и персональной маркировкой не приклеивается к коробке и не попадает внутрь индивидуальной подарочной упаковки.
Персонализация не выполняется по чувствительным категориям — раса, религиозные убеждения, здоровье, сексуальная ориентация, политические взгляды, членство в профсоюзе. Ни имя, ни должность, ни признак юбилея в вышивке не используются как признак этих категорий. Эти ограничения действуют независимо от того, какое основание обработки выбрал покупатель.
Сроки хранения и удаление
Списки получателей, переданные для производства, живут в рамках цикла заказа: они нужны для маркировки, приёмки и разбора расхождений. Упаковочные листы с персональной маркировкой возвращаются покупателю вместе с отчётностью по тиражу либо утилизируются на производстве — по вашему выбору, зафиксированному в инструкции. Цифровые копии списков удаляются в течение 30 дней после закрытия заказа; журнал отгрузок без персональных данных хранится по срокам бухгалтерского учёта.
Запросы субъекта данных (DSAR) проходят через покупателя как контролёра. Мы помогаем технически: находим копии в производственных архивах, подтверждаем факт удаления, предоставляем выгрузку по запросу в согласованный срок. Мы не отвечаем на запросы третьих лиц напрямую и не раскрываем, каких именно получателей касался заказ.
Частые вопросы по данным
Нужно ли согласие сотрудников на персонализацию?
Обычно нет: основанием служит заключаемый договор между работодателем и работником. Согласие становится релевантным, когда персонализация идёт получателям вне отношений с покупателем или когда покупатель строит базу контактов для рассылки.
Можно ли передавать данные за пределы Великобритании?
Да, но с основанием. Передача в ЕС идёт по решению о достаточности, передача в другие юрисдикции — по договорным положениям и при необходимости по UK International Data Transfer Agreement с оценкой риска передачи. Конкретная схема фиксируется в договоре до начала производства.
Что делать, если упаковочный лист утерян при доставке?
Сообщите об этом в день обнаружения. Мы оформляем уведомление о возможном инциденте, устанавливаем объём раскрытия и предлагаем меры: уничтожение копий, подтверждение от получателя, при необходимости — уведомление ICO в сроки, установленные UK GDPR. Профилактика проста: не печатать персональную маркировку на внешней стороне коробки.
Является ли Corp-Merch партнёром или официальным поставщиком ICO и производителей персонализированной продукции?
Нет. Мы независимый внешний обработчик данных по инструкции покупателя и не заявляем партнёрства, спонсорства, статуса официального поставщика или аффилированности ни с ICO, ни с мастерскими-поставщиками.
Запросить шаблон передачи данных
Опишите, какие поля персонализации нужны и где будет производство — вернём шаблон инструкции обработчику, схему передачи и список вопросов к вашей DPO.