为什么业务角色应该为合规指南烦恼？出色地， 合规是一件大事 如今，它涵盖了很多领域。拥有一份全面的指南非常有用。在本文中，我们将深入探讨 最重要的合规领域 这 影响SaaS公司。虽然我们不会深入了解合规和法律官员所需的细节，但我们将为您提供足够的洞察力，以了解其要点。你就会明白 为什么它很重要, 谁负责 为了什么，以及 为什么合规人员依赖我们 – 商界人士 – 尽我们的一份力量。
您还将能够更好地与所有利益相关者进行沟通——无论他们是客户、潜在客户、合作伙伴、供应商，甚至是您自己的团队。你将能够清楚地解释 你如何遵守 和 为什么这对他们很重要。
此外，合规性还可以为您带来 竞争优势 在市场上。另一方面，合规性 事件可能会严重损害您的声誉，这最终会产生财务后果 - 我们谈论的不仅仅是罚款，还有失去业务的风险。
此外，如果您准备推出新服务或提供新应用程序，那么重要的是 讲合规语言。这样，您就可以调整您的 SaaS增长 制定的策略不仅有意义，而且还能确保您的合规同事或执行团队安心无忧。
在本文结束时，我希望您能够更好地理解合规性及其对 SaaS公司，并完全接受“设计合规”是最明智的前进方法的理念。
SaaS 背景下合规性的定义
合规性 SaaS公司 是指遵守管理 SaaS 产品和服务的运营和交付的相关法律、法规、标准和合同义务。这包括各个方面，例如 数据保护 和 隐私规定、安全标准、法律要求和行业特定法规。
我们将深入探讨每个领域及其具体内容 SaaS的 一会儿。目前的一个要点是，合规性可确保 SaaS 公司道德运营、保护用户数据、维护安全标准并履行法律义务。结果？你 建立信任 与您的客户合作并降低不合规风险，无论您在世界何处运营或服务于哪个地区。
让我们看一下 SaaS 公司应优先考虑的合规类别。
请记住，无论您作为业务职能部门要处理何种合规性法规，您都不是孤军奋战！
我们将帮助您确定可以寻求指导的内部资源，以及可以帮助您驾驭这一领域的合作伙伴。
数据保护和隐私合规性
数据保护和隐私合规性关乎您如何 SaaS业务 与当前和潜在客户及合作伙伴交互并处理其个人数据，包括处理敏感信息并维护其隐私权。
显然，每一个 SaaS公司 处理某种 个人资料 – 可以是直接或间接识别个人身份的任何信息。一些明显的例子包括姓名、电子邮件地址，并且可以扩展到更敏感的信息，例如社会安全号码，或“隐藏”信息，例如行为数据。
的吸引力 SaaS企业的谎言 他们能够立即接触到全球受众。在隐私方面，由于监管框架的不同，全球影响力增加了一个新的维度。
欧盟的 GDPR（通用数据保护条例）
我们从 《通用数据保护条例》（GDPR） 有意为之，因为这是第一个如此全面的 数据保护 和 隐私法规。 GDPR 向个人授予数据和隐私权，并对组织施加合规义务。它可以防止数据滥用，并向公民保证他们的数据得到正确处理。
其主要目标是 赋予公民控制其数据的能力 和 严格处罚 对于不遵守规定的情况。根据 GDPR，欧盟公民可以访问、更正、删除、反对和导出其数据。公司必须披露数据详细信息并及时报告违规行为。
GDPR 何时会影响您的业务？
如果您向 EU 和 EEA（欧洲经济区）的公民出售 SaaS，则无论您位于何处，也无论您销售的是 B2B 还是 B2C，都适用。
您可能听说过 《GDPR 原则》，让我们看看它们对您作为业务角色意味着什么：
- “合法、公平、透明”： 在处理个人数据时，重要的是透明、公平和遵守法律，即在有效的法律依据下处理数据。人们应该知道您正在使用他们的信息做什么，并且您应该始终征得他们的同意。
- “目的限制”： 仅出于您所说的原因使用个人信息。没有充分的理由，不要偏离轨道并将其用于其他用途。
- “数据最小化”：不要收集超出您需要的个人信息。保持相关性并仅收集实现您的目的所需的内容。例如，如果您只需要知道某人的国家/地区，则不要同时询问他们的城市。
- “准确性”： 确保您所拥有的个人信息在合理范围内准确、最新。检查并清理您的联系人列表。
- “存储限制”： 不要保留个人信息超过您需要的时间。
- “诚信和保密”： 个人信息应安全可靠。保护其免遭未经授权的访问、丢失或损坏。
- “责任”： 组织需要遵守 GDPR 并能够证明他们正在这样做。这意味着拥有正确的措施和文件来证明合规性。这绝对不是你在商业岗位上的工作，但你可以提供帮助。例如，如果您从事营销并管理时事通讯订阅者，请记录同意接收时事通讯的方式和时间。本质上，拥有一个 CRM 或其他系统来自动记录同意。
谁可以帮助您处理 GDPR？
与您的数据保护官、首席合规官或法律团队交谈。如果您是一家公司 超过250员工，或是在 某些行业，例如金融或医疗保健，法律要求您拥有一名数据保护官。您现在可能已经听说过他/她了！较小的公司可能有内部 DPO 或外部 DPO 或顾问。请随时向这些专家询问有关 GDPR 的问题！
SaaS GDPR 合规性清单
牢记上述原则和定义，让我们快速浏览一下业务角色（在本例中主要是营销人员）需要考虑的 GDPR 清单。
- 显示隐私政策和隐私声明。 虽然营销人员的任务不是起草这些文件（这是 DPO 和/或法律团队的工作），但对他们来说，确保这些文件在网站上清晰可见且易于访问至关重要。例如，在举办活动或网络研讨会时，确保与会者可以轻松访问特定于该活动的隐私声明。一般隐私声明也可能有效；请咨询您的隐私团队。
- 为个人提供同意的选项 处理他们的数据。在某些情况下，您可以依靠合法利益作为处理的基础。然而，在其他情况下，必须获得明确同意并记录在案（如上所述）。此外，您应确保个人拥有撤销同意的机制，无论是取消订阅、选择特定的订阅首选项，还是请求从您的系统中删除其数据。请务必注意，个人有权提出此类请求，但您的 DPO 或法律团队可以澄清一些例外情况。
包含同意选项和隐私政策链接的表单提交示例。
Sumber: sumsub.com
- 制定网站 cookie 合规政策和 cookie 同意栏
作为更大的同意管理项目的一部分，您需要有一个 cookie 同意栏。简单明了的 Cookie 政策不仅可以让您保持合规性，还可以向网站访问者表明您重视他们的隐私。
认真对待这件事！许多国家数据保护机构已开始 罚款 cookie 不合规. 更何况， Google 正在发送电子邮件 如果发布商或应用程序所有者的网站和应用程序不符合 GDPR，则向其披露。谷歌还宣布今年即 2024 年 Chrome 中将终止第三方 Cookie。无论您选择哪种跟踪工具， 数据收集需要同意 无论使用何种技术。
还有 Google 同意模式 v2 想一下。这是 Google 于 2022 年推出的一项新功能，旨在帮助网站所有者在不征求用户同意的情况下衡量和改进其网站分析和广告。 Google 要求所有向欧盟/欧洲经济区用户投放广告或监控其行为的网站 实施 Google 同意模式 v2 截至3月2024。
使用最佳实践的 Cookie 策略示例：显示一键式选项和清晰的“全部拒绝”按钮。
Sumber: 2checkout.com
- 定期查看并清理您的联系人列表。
维护大量、过时的列表和过时的同意，没有人会受益。相反，管理大型数据集会产生存储和处理成本。与您的隐私和 IT 团队合作制定数据清理、更新和保留策略。
- DSR 帮助 = 数据主体请求
如前所述，个人拥有并可以行使权利。他们有权 申请进入 您的公司持有的有关他们的信息，或要求永久删除他们的信息，也称为“被遗忘权”。
你能提供什么帮助？那么，每个人都应该能够识别 DSR 并帮助隐私团队处理它。特别是如果您从事客户支持工作，您将接受如何处理这些请求并协助隐私团队的培训。
加州消费者隐私法合规性 (CCPA)
CCPA 是美国主要的消费者隐私法。 CCPA 授予加州居民某些隐私权，并对处理其个人信息的公司规定了义务。
CCPA 的原则与 《通用数据保护条例》（GDPR），如果您需要内部指导，请向您的法律顾问、合规官员或指定的隐私专业人士寻求帮助。
我们不去查看与 GDPR 类似的清单，而是看一下 关键的区别 与业务角色、营销或支持人员甚至人力资源相关的两项主要个人数据保护法之间的关系：
GDPR 与 CCPA – 与业务角色相关的主要差异
| 《通用数据保护条例》（GDPR） | CCPA | |
| 谁受到监管 | 任何处理以下个人数据的组织 欧盟公民，无论组织位于何处或实体类型如何。 |
年总收入超过 25 万美元的企业，或者每年从超过 50,000 名加州居民那里收集、购买或出售个人信息的企业。 |
| 它所指的个人数据 | 个人 | 个人和家庭 |
| 同意 | 选择加入 选择加入是必须的。在其个人数据被使用之前，用户已明确表示同意 收集并处理。 |
选择退出
企业必须提供“不要出售我的个人信息”选项，并允许消费者选择不将其信息共享或出售给第三方。 |
| 未成年人 | 16岁以下未成年人需要父母同意。欧盟成员国可能会将其所在地区的年龄降低至 13 岁。 | 对于 13 岁以下的儿童，公司在出售其信息之前必须获得可验证的父母同意。 |
| 处理类型 | 自动化和非自动化手段将 分别对待 |
没有具体划定实质性范围。 |
| 您披露的内容 | 组织的身份 他们如何专门联系您以了解他们的情况 GDPR 权利 您正在收集什么类型的数据、为什么要处理他们的数据以及您打算将其保留多长时间。 提及您将与谁以及在何处共享数据。 |
您收集什么类型的数据以及出于什么目的 |
| 罚款 | 最高可达年营业额的 4% 或 20 万欧元，以较高者为准。 | 对于每条无意违规行为，每条记录 2,500 美元； 每次故意违规赔偿 7,500 美元（或实际损失）。 |
CCPA 选择退出 cookie 同意横幅的示例。
Sumber: Verifone.com
总体而言，与 GDPR 和任何其他合规法一样，CCPA 合规性需要整个组织的集体努力，以确保消费者的隐私权得到尊重和维护。
当然，也有 世界各地许多其他具有类似原则的隐私法，例如巴西的《通用数据保护法》(LPD)、新西兰的《隐私法》或印度的《数字个人数据保护法》(DPDP)。
此外，您还需要考虑 其他与数据相关的法律，例如欧盟的《数据法》、 欧盟数字服务法案，或即将由欧盟议会批准的即将出台的人工智能法案。
根据您的地理运营范围，您应始终咨询隐私和合规团队，以确保您部门的操作合规。
信息安全合规框架和标准
我们刚刚审查的隐私法规通常包括以下相关条款 安全合规。所有这些规定的目的是 保护个人信息 要求组织实施各种安全措施，以防止未经授权的访问、披露、更改或破坏。此类措施的示例包括加密、访问控制、定期安全评估和事件响应程序。
立法者制定了具体的框架或标准来帮助组织有效地 管理安全措施。以下简要概述了最重要的内容以及它们对于 SaaS 中的业务角色的重要性。
ISO 27001
ISO/IEC 27001 是一项国际标准，提供 组织框架 建立、实施、维护和持续改进信息安全管理体系（ISMS）。 ISO 27001 涵盖 各方面 它是信息安全最受认可的国际标准。
ISO 27001 成立于 2005 年，早在 GDPR 生效之前。
GDPR 重点关注个人数据，而 ISO 27001 则采用更广泛的方法来保护数据安全。有一点是肯定的：ISO 27001 认证对于 GDPR 合规性非常有帮助。
ISO 27001 并没有涵盖所有内容 在与信息安全相关的组织中。这就是为什么理解这一点很重要 标准的范围 以及如何向您的客户和潜在客户推销它。由于与部署在云环境中的服务器相关的复杂性增加，SaaS 产品在这里需要更多的关注。
从进入市场的角度来看，ISO 27001 的优势包括：
- 声望提升： 采用该标准向市场表明您的组织致力于解决网络风险。不要羞于展示官方 ISO 标志。
- 提高胜率： 满足客户对供应商高水平技术和网络安全意识的要求可以提高获得合同的成功率。
国际标准化组织的 ISO 徽标和缩写使用指南。
Sumber: 异.org
还有其他 具体标准 字幕可视电话用于 ISO 2700 您应该了解的系列，例如 ISO 27018（提供了保护云中个人数据的指南）或 ISO 27040（提供了保护存储数据（包括存储在云中的数据等）的指南）。
供应商在其自身运营和整个供应链中展示 ISO 标准的使用，以建立信任并提高声誉。
Sumber: 惠尔丰
NIS D 和 NIST
网络和信息系统安全指令（NIS指令 或 NIS D）是欧盟 (EU) 的一项指令，旨在提高欧盟网络安全的整体水平。它要求基本服务的运营商和 数字服务提供商 （DSP）实施适当的安全措施并向国家当局报告重大网络安全事件。 NIS 指令对能源、交通、银行和医疗保健等行业提出了具体要求。
除了 NIS 之外，还有 NIST 网络安全框架，它为美国私营部门组织如何审查和提高其预防、检测和响应网络攻击的能力提供了指导方针和指导。
为什么业务角色应该关心 ISO、NIS 或 NIST？
仅仅是因为通过使用这些准则和标准，组织可以更好地保护其资产、声誉和利润。了解并交流它们是一个优势。
在许多其他安全法规中，有 HIPAA，美国健康保险流通和责任法案。 HIPAA 要求医疗保健提供商（包括 SaaS 医疗保健公司）维护存储或传输的数字健康信息的机密性和安全性。
您应该向谁寻求安全合规方面的帮助？
通常，信息安全经理、IT 经理、首席合规官或首席安全官负责协调和管理 ISMS 标准和框架。
SOC（服务组织控制）审核
在金融与信息安全的交叉点， SOC 合规性认证 服务组织已完成第三方审核并实施了某些安全控制措施。
SOC 报告是一组标准，可帮助服务组织展示 控制 信息和数据安全。如果您的 SaaS 业务存储、处理或影响用户组织或客户的财务或敏感信息，您需要 SOC 报告。
独立的第三方审核员准备并验证 SOC 报告。
共有三种主要类型 SOC 报告：SOC 1、SOC 2 和 SOC 3。这些变得更加精细，因为例如有不同类型的 SOC2 报告，但在这里我们将看看它们之间的高级差异。
| 专注焦点 | 谁需要一个？ | 为什么与业务角色相关 | 内部谁负责 | |
| SOC 1 （以前称为 SSAE 18) |
财务控制和报告 | 提供的组织 影响客户财务报表的服务，例如工资或支付处理提供商。 |
如果您的客户需要遵守，则很有用 遵守金融法律法规，完善企业责任，打击企业和会计舞弊。例如，如果他们是一家上市公司，他们将需要遵守 SOX 并要求其供应商提供 SOC 1。 |
财务或会计 |
| SOC 2 | 运营和合规性（可用性、安全性、处理完整性、机密性和隐私） | 所有服务组织，包括云服务提供商，即SaaS公司。 |
SaaS 提供商经常被潜在客户和客户询问法律、安全、 他们的副本 SOC 2 审核报告。 |
信息安全和合规团队与 IT 部门合作。 |
| SOC 3 | 这是一个简化的 SOC 2，供公众使用 | 所有服务组织，包括云服务提供商，即SaaS公司。 | 用作营销工具以确保 现有和潜在客户 服务提供商拥有 实施适当的控制措施来保护他们的数据 |
与合规团队合作进行营销和销售。 |
如何证明合规性和安全标准的示例。
Sumber: hubspot.com
财务和支付处理合规性
国际财务报告准则和公认会计原则
国际财务报告准则，或 国际财务报告准则，是一套关于如何收集信息并在财务报告中呈现信息的会计规则。该标准通过使用通用会计语言确保信息在全世界范围内一致、可比和可信。
GAAP 是一个基于 法律权威，而 IFRS 则基于基于原则的方法。 GAAP 更加详细和规范，而 IFRS 更加高级和灵活。
谁应该了解这些标准，哪一个适用于您的 SaaS 业务？当然是您的首席财务官和财务团队。
PCI DSS – 支付卡行业数据安全标准
PCI DSS 一 最重要的支付合规标准，特别是对于处理信用卡交易的组织。
虽然支付行业还有其他重要的合规标准，例如 EMC （Europay、Mastercard 和 Visa） 刷卡交易 和 PSD2（支付服务指令 2） 在线支付 在欧盟，PCI DSS 在全球得到广泛认可和执行。
PCI DSS 合规性是 对任何组织都是强制性的 它处理、存储或传输信用卡数据，使其成为确保支付卡信息安全和防止数据泄露的关键标准。
PCI DSS 的执行机构为 支付卡品牌 如 签证, 万事达 和 American Express。不遵守 PCI DSS 可能会导致罚款、处罚和业务损失。
作为一家本质上是销售的 SaaS 公司 在线服务，您需要实施安全的支付方式和加密协议，以保护客户的金融交易免受欺诈和未经授权的访问。
如果这听起来令人畏惧，你能做什么 降低 PCI DSS 合规性的复杂性？嗯，这取决于您使用的支付模式以及您使用的支付处理提供商的类型。 您选择的付款处理合作伙伴可以提供巨大帮助！
有助于保持在线商务安全空间的其他标准包括：
- 反洗钱计划 禁止通过在线交易转移非法获得的资金。
- 了解您的客户流程，采用商家、银行甚至政府机构使用的客户识别程序的形式。
遵循合规性和信息安全团队建议和要求的培训计划，您就会了解情况！
合法合规
然后就是“经典”的法律合规性，它涵盖了很多方面：确保公司的活动 遵守法律要求, 提供法律支持 对于内部流程， 保护商业秘密 和 机密信息，在建立业务关系、雇佣合同、员工道德行为准则等之前审查交易对手。
法律团队还负责起草一份 终止用户许可协议 (EULA)，应用程序或软件所有者与最终用户之间具有法律约束力的合同。另一方面， 服务条款 (ToS) 通常管理公司、其服务及其用户或消费者之间的关系。它们涵盖了广泛的问题，包括版权和许可、消费者权利、退货政策和管辖法律。
而两者 EULA并且 服务条款 提供类似的功能， EULA我们主要关注的是 许可方面 的关系。值得注意的是，“条款和条件”、“使用条款”和“EULA”等分母在软件和应用程序中通常可以互换使用。
示例：提供一个专门页面，其中包含有关您的客户或合作伙伴所需的所有法律和合规问题的易于查找的信息。
Sumber: 2Checkout（现在是 Verifone）
其他类型的合规性
合规性法规清单还没有结束。
例如，有 可访问性合规性。 到那个时刻 世界CAG （Web 内容可访问性指南），我们讨论的是对网站和其他数字资产的影响 - 显然是营销团队的领域，但也包括开发人员发挥关键作用的应用程序和 SaaS 产品。
最后，当我们结束对 SaaS 合规性的深入研究时，值得一提的是保持 消费者权益保护 在你的雷达上。
虽然 SaaS 合规性主要涉及以下方面的监管要求： 数据安全、隐私和行业特定标准、消费者保护在某些方面与这些问题重叠，特别是在消费者数据、隐私政策、透明定价和计费实践、安全交易、争议解决机制和客户支持最佳实践方面。
即使是一个小例子也可以说明遵守不同司法管辖区的消费者保护法所需的深度和具体性。例如，在德国，您必须提供 一键取消订阅功能.
涉及的业务角色 SaaS运营 特别有兴趣了解这一点，因为它强调了在合规工作和您的目标地区的背景下解决消费者权益的重要性。
在快节奏的世界里 SaaS的 和 数码业务 一般来说，确保透明度、尊重隐私以及公平定价和解决问题可以为您的客户带来巨大的变化。
最后的评论
我希望这篇文章能让您更好地理解什么 SaaS 合规性 是什么以及它对您的客户和您在组织中的角色意味着什么。
重要的是要认识到合规性提供了许多 好处 值得您注意。它有助于 建立信任 通过向客户表明我们认真保护他们的信息安全并以正确的方式做事。合规性也有助于缓解 法律风险 和 可能面临巨额罚款, 保护 该组织的财务状况和声誉。
如何证明您对合规性的承诺的示例。
Sumber: 惠尔丰
此外，保持警惕也很重要 人工智能的影响 关于您的工作和合规实践。随着人工智能技术的不断发展，机遇与挑战并存。通过及时了解情况并积极负责任地使用人工智能，我们可以更有效地应对合规性的复杂性，并保持我们对道德商业实践的承诺。
因此，当您浏览合规环境时，请记住： 您的责任并不因遵守法规而结束。这是关于平衡合规性与让客户做正确的事情。
最后，我希望现在大家已经清楚，将“隐私设计”原则纳入您的合规工作中至关重要。通过从一开始就这样做，您可以更有效地主动解决隐私问题，并将不合规的风险降至最低。即使我们不是合规或信息安全团队的一员，我们也需要尽自己的一份力量。
