Для SaaS-компании из ОАЭ европейский клиент означает два разных вопроса: применяется ли GDPR непосредственно к конкретной обработке и какие условия нужны клиенту для передачи данных поставщику. Ответ «компания не в ЕС» не решает первый вопрос, а подписанный DPA не решает второй.
Начать стоит с краткого заключения о применимости и схемы доступа к данным. Затем под эти факты выбрать роли, договорные приложения и порядок работы команды. Такой подход помогает ответить на анкету европейского заказчика без обещания одинакового набора обязанностей для любого SaaS.
Применимость GDPR: три проверки до анкеты клиента
Анализ проводят по операциям с персональными данными: аккаунты пользователей, данные в пространстве клиента, обращения в поддержку и собственные продажи могут требовать разных выводов. Данные компании не обязательно персональные, но имя сотрудника, рабочая почта и идентификатор могут позволять определить человека.
- Учреждение в ЕС: есть ли реальная деятельность через устойчивое присутствие и связана ли обработка с этой деятельностью? Место сервера не определяет ответ. Филиал не обязателен: важны устойчивое присутствие, реальная деятельность и связь обработки с ней.
- Предложение людям в ЕС: связана ли обработка с намеренным предложением товаров или услуг находящимся в ЕС людям, независимо от оплаты? Доступность сайта из Европы сама по себе этого не доказывает.
- Наблюдение за поведением в ЕС: есть ли связанная обработка для отслеживания поведения людей, происходящего в ЕС? Конкретные технологии и цели, включая профилирование, проверяют по фактам.
Критерии установлены статьёй 3 GDPR и раскрыты в руководстве EDPB о территориальной сфере. Для критериев статьи 3(2) важны нахождение человека в ЕС и связь обработки с предложением или наблюдением; гражданство ЕС само по себе не является таким критерием.
Клиент из ЕС: договор не заменяет территориальный анализ
Европейская организация может привлекать поставщика в ОАЭ для обработки данных по поручению. Одно это не создаёт у поставщика учреждения в ЕС и не делает все его процессы непосредственно подчинёнными GDPR. Отдельно проверить статью 3(2), связь порученной обработки с направленным на ЕС предложением или наблюдением и собственные операции SaaS.
| Ситуация | Что выяснить | Рабочий документ |
|---|---|---|
| Клиент ЕС использует UAE SaaS для внутреннего процесса | Есть ли самостоятельное основание статьи 3 у поставщика; какие условия обязан обеспечить клиент | Заключение о scope + договор обработки и анализ передачи |
| UAE SaaS целенаправленно предлагает подписку людям в ЕС | Какие данные связаны с этим предложением; как организованы продажи и продукт | Scope по статье 3(2), обязанности по соответствующим ролям |
| В группе есть европейская команда продаж или поддержки | Является ли присутствие учреждением и связаны ли с ним операции | Описание фактической деятельности и связанной обработки |
| UAE продукт ведёт поведенческие профили людей в ЕС | Назначение наблюдения и связь с операциями обработки | Scope по мониторингу, оценка риска и дальнейших обязанностей |
После таблицы должен получиться вывод по каждой операции, а не отметка «GDPR: да/нет» для всей группы. Отсутствие прямой обязанности поставщика по одной операции не отменяет требования клиента к договору, безопасности и международной передаче.
Роли сторон: что SaaS делает по поручению и для себя
Controller определяет цели и существенные средства обработки, processor действует по его поручению. По руководству EDPB 07/2020 роль следует из фактических решений, а не выбранного названия в договоре. Один поставщик может выполнять разные роли для разных операций.
В типовом сценарии клиент задаёт цель работы с базой персональных данных, а SaaS хранит и обрабатывает её по инструкциям. Собственные продажи и расчёты с клиентами могут быть операциями поставщика как controller. Использование содержимого клиентской базы для самостоятельного обучения модели или другой новой цели требует отдельного анализа; широкая формулировка в Terms не делает его автоматически допустимым.
Для проверки описать один сценарий: кто загружает данные, кто задаёт цель, что видит поддержка, кто выбирает получателей и когда данные удаляются. Сопоставить ответы с правами доступа в продукте и договорными приложениями. Несовпадение обычно важнее названия сервиса.
Документы клиенту: подтверждать условия конкретного продукта
При обработке по поручению готовят условия статьи 28 — обычно DPA. В них описывают предмет, срок, цели и характер обработки, категории людей и данных, инструкции и распределение обязанностей. Отдельно указать субобработчиков, меры безопасности, помощь при запросах и инцидентах, аудит, возврат или удаление.
| Документ или приложение | Какие сведения подготовить | Чем подтвердить |
|---|---|---|
| Описание обработки и роли | Операции, данные, цели и границы использования | Сценарий продукта и согласованные инструкции |
| DPA и список субобработчиков | Облако, helpdesk, внешняя поддержка; порядок добавления и возражений | Договоры поставщиков и действительный список доступов |
| Меры безопасности | Разграничение доступа, контроль изменений, резервирование и восстановление | Описание процессов, ответственные и доступные результаты проверок |
| Уведомления и правовые основания собственных операций | Что собирает сам SaaS и зачем | Формы, настройки аналитики и описание целей |
| Международные передачи | Юридические лица, страны хранения и доступа, механизм передачи | Схема потоков и выбранное правовое основание передачи |
Условия должны соответствовать возможностям команды. Если обещано удаление всех копий за определённый срок, проверить резервные копии и ограничения хранения до подписания. Публичная политика конфиденциальности и сертификат поставщика не заменяют DPA для обработки по поручению.
Передача ЕС → ОАЭ: отдельно от прямого GDPR
По EDPB Guidelines 05/2021 для передачи по главе V проверяют три совместных условия: отправитель подчиняется GDPR по этой обработке, делает данные доступными другой организации, а получатель находится в третьей стране либо является международной организацией. Прямое применение GDPR к получателю само по себе не отменяет такую передачу.
Если клиент ЕС предоставляет данные отдельному поставщику в ОАЭ, проверить основание передачи и последующий доступ. По состоянию на 17 октября 2026 года в официальном списке решений об адекватности Еврокомиссии общего решения для ОАЭ нет. Наличие UAE Personal Data Protection Law не равно решению ЕС об адекватности.
SCC — стандартные договорные положения — применяют в пределах их сферы и подходящего модуля. Еврокомиссия указывает, что SCC 2021 для международных передач предназначены для получателя, чья обработка не подчинена GDPR непосредственно; дополнительные положения для других получателей разрабатываются отдельно. Если UAE SaaS подпадает под статью 3(2), нельзя автоматически считать стандартный модуль 2021 готовым решением: механизм передачи подбирают с учётом этой ситуации и актуальных инструментов.
Для передачи на основании договорных гарантий оценить обстоятельства и право страны получателя, необходимость дополнительных мер и возможность исполнять обязательства. Обычная строка «данные хранятся в ЕС» не отвечает на вопрос об отдельном подрядчике в другой стране. При этом доступ сотрудника той же организации и передача другой организации — разные ситуации; факт передачи проверяют по всем критериям.
Представитель в ЕС: не путать с DPO и филиалом
При применении статьи 3(2) статья 27 обычно требует письменно назначить представителя в ЕС. Исключение для эпизодической обработки требует одновременного соблюдения условий статьи 27(2)(a): она не включает в крупном масштабе специальные категории данных по статье 9(1) или данные о судимостях и преступлениях по статье 10 и с учётом характера, контекста, объёма и целей вряд ли создаёт риск для прав и свобод людей. Маленький штат или небольшое число клиентов не заменяют эту проверку.
Представитель служит контактным лицом для людей и органов, но не освобождает SaaS от ответственности и сам по себе не создаёт учреждение по статье 3(1). DPO выполняет другую функцию: его обязательность проверяют по статье 37 и характеру основных операций, включая крупномасштабный систематический мониторинг или чувствительную обработку. EDPB не считает функцию представителя в ЕС совместимой с ролью внешнего DPO у той же компании.
До подключения клиента: проверить исполнение обещаний
- Назначить владельца заключения о применимости и определить события пересмотра: новая страна продаж, команда в ЕС, функция аналитики или клиентский сценарий.
- Сверить реальные доступы и субобработчиков с DPA и схемой передач.
- Проверить удаление, выгрузку и передачу запросов людей ответственному; провести пробный запрос на тестовых данных.
- Согласовать порядок инцидента и контакты. Processor уведомляет controller без неоправданной задержки; нельзя ждать, пока истекут условные «72 часа».
- Если компания действует как controller под GDPR, отдельно оценить уведомление органа: без неоправданной задержки, по возможности до 72 часов после осведомлённости, кроме маловероятного риска; сообщение людям при высоком риске — отдельная обязанность.
- Проверить необходимость DPIA до высокорисковой обработки и требования применимого местного режима ОАЭ.
Меры защиты выбирают по риску, а договорные сроки — по реальному процессу. Для ОАЭ отдельно определить применимость местного законодательства о данных, территориальных и отраслевых правил. Соблюдение GDPR не означает автоматического выполнения всех требований другой юрисдикции.
Результат подготовки: пакет для европейского заказчика
Полезный комплект включает заключение по статье 3 для согласованных операций, распределение ролей, описание обработки, DPA, список субобработчиков, меры безопасности и решение по передачам. При применимости добавляют назначение представителя, документы по DPO и DPIA. Для каждого решения указать дату, исходные факты и ответственного за обновление.
Общие вопросы запуска рассмотрены в гайде IT-компании в Дубае. Подготовка документов по данным относится к отдельной задаче. В каталоге Taxers есть услуга «GDPR/CCPA Compliance»; для обсуждения нужны схема продукта, целевые рынки, клиентский DPA и список поставщиков. Применимость CCPA оценивается самостоятельно и не следует из требований GDPR.
FAQ
Европейский B2B-клиент автоматически делает всю обработку SaaS подконтрольной GDPR?
Нет. Прямую применимость определяют по статье 3 для конкретных операций. Условия клиентского договора и механизм передачи данных из ЕС проверяют отдельно; один договор не заменяет территориальный анализ.
Заменяет ли представитель в ЕС функцию DPO?
Нет. Представительство, назначение DPO и наличие подразделения в ЕС — разные вопросы. Условия назначения проверяют отдельно; EDPB не считает функцию представителя совместимой с ролью внешнего DPO у той же компании.
