Карта персональных данных продукта: что собрать до разговора с юристом

Юридические документы часто описывают продукт слишком поздно — когда данные уже собираются в формах, аналитике, поддержке и сторонних сервисах. Начать полезнее с карты реального движения информации.

Опишите точки сбора

Перечислите формы, cookies, журналы событий, обращения в поддержку и загрузки файлов. Для каждого поля укажите цель, источник и обязательность. Если команда не может объяснить пользу данных, это кандидат на удаление.

Проследите маршрут

Отметьте системы хранения, доступы сотрудников, передачи подрядчикам и страны обработки. Добавьте срок хранения и событие, после которого данные удаляются или обезличиваются. Особое внимание уделите выгрузкам и таблицам вне основного продукта.

Сверьте продукт и документы

Передайте карту ответственному юристу как описание фактов, а не готовое правовое заключение. После согласования проверьте тексты согласий, договоры, настройки аналитики и процедуры ответа пользователю. Обновляйте карту вместе с архитектурой продукта — тогда требования не будут догонять релизы постфактум.