Dla firm kupujących oprogramowanie
Sprawdź narzędzie, zanim oddasz mu dane
Kwestionariusz od dostawcy mówi, co dostawca chce powiedzieć. My sprawdzamy, co da się potwierdzić, i wypisujemy wprost, czego nie da się potwierdzić wcale.
01
Ryzyko zależy od tego, do czego tego używasz
Ten sam dostawca może być w porządku w jednym zastosowaniu i nie do przyjęcia w drugim. Dlatego zaczynamy od kontekstu, a nie od nazwy firmy.
Narzędzie do planowania postów
Dostaje treści, które i tak będą publiczne, i dostęp do jednego konta w serwisie społecznościowym. Nawet przy słabych zabezpieczeniach szkoda jest ograniczona i odwracalna.
To samo narzędzie do obsługi kadr
Dostaje dane pracowników, w tym numery kont i orzeczenia. Ten sam poziom zabezpieczeń, zupełnie inna waga skutku. Ta sama ocena techniczna, inna decyzja.
02
Co sprawdzamy po stronie dostawcy
01
Co mówią dokumenty
Umowa, powierzenie danych, lista podprocesorów i regulamin. Szukamy zapisów o trenowaniu modeli, retencji, usunięciu, transferach i jednostronnych zmianach.
02
Czy dokumenty się zgadzają
Regulamin i polityka prywatności potrafią mówić co innego. Sprzeczność między dokumentami sama w sobie jest ustaleniem.
03
Co widać z zewnątrz
Certyfikaty, nagłówki, wystawione adresy, dokumentacja bezpieczeństwa, kanał zgłaszania podatności, historia awarii.
04
Czego dostawca żąda przy integracji
Jakich uprawnień prosi, do czego sięga i czy to więcej, niż potrzeba do Twojego zastosowania.
05
Czego nie ma
Brak opublikowanego powierzenia danych albo listy podprocesorów jest faktem, nie luką w naszej wiedzy. Zapisujemy to jako brak.
06
O co zapytać
Konkretne pytania do dostawcy w miejscach, gdzie publiczne informacje nie wystarczają do decyzji.
03
Co dostajesz na koniec
- Decyzję: akceptuj, warunkowo, zatrzymaj albo brak danych.
- Trzy najważniejsze powody, dla których tak wyszło.
- Listę tego, czego nie udało się potwierdzić, i co trzeba, żeby to zamknąć.
- Gotowe pytania do dostawcy, jeśli chcesz drążyć dalej.
- Proponowane warunki do umowy, jeśli decyzja jest warunkowa.
- Datę, po której wynik przestaje być aktualny.
04
Czego ten raport nie zastępuje
Opinii prawnej
Wskazujemy, co zapis umowy oznacza dla Twojego zastosowania, i proponujemy warunki. To nie jest porada prawna i nie udajemy, że jest.
Testu systemu dostawcy
Nie testujemy cudzego systemu bez zgody jego właściciela. Jeśli dostawca takiej zgody udzieli, to osobny zakres i osobna rozmowa.
Lepiej zapytać przed podpisem niż po incydencie
Opisz narzędzie i to, do czego chcesz go używać. Odpowiemy, co da się ustalić i ile to zajmie.