Tomáš Řezníček Proč je GDPR audit u SaaS kritický
SaaS aplikace zpracovává osobní údaje uživatelů: jména, e-maily, platební údaje, chování v aplikaci. Při prodeji se mění správce nebo zpracovatel těchto dat — to vyžaduje specifické právní kroky.
1. Mapování osobních údajů
Jaká data SaaS typicky zpracovává
| Kategorie | Příklady | Právní základ |
|---|---|---|
| Identifikační | Jméno, e-mail, telefon | Plnění smlouvy |
| Přihlašovací | Hesla (hashované), 2FA | Plnění smlouvy |
| Platební | Číslo karty (tokenizované), faktury | Plnění smlouvy |
| Uživatelská | Data vytvořená v aplikaci | Plnění smlouvy |
| Analytická | Chování, events, session data | Oprávněný zájem / souhlas |
| Marketingová | Cookies, retargeting, newsletter | Souhlas |
Vytvořte záznamy o zpracování
Dle čl. 30 GDPR musíte mít záznamy o činnostech zpracování:
- Účel zpracování
- Kategorie subjektů a údajů
- Příjemci (sub-zpracovatelé)
- Doba uchovávání
- Technická a organizační opatření
2. Právní základy zpracování
Ověřte pro každou kategorii dat
- Souhlas — máte doložitelný opt-in? (newsletter, cookies)
- Plnění smlouvy — data nutná pro provoz služby
- Oprávněný zájem — analytika, bezpečnost
- Zákonná povinnost — fakturace, daňové záznamy
3. Převod dat na kupujícího
Scénáře podle typu transakce
| Typ | GDPR dopad | Akce |
|---|---|---|
| Share Deal | Správce se nemění (stejná firma) | Aktualizovat info o vlastníkovi |
| Asset Deal | Změna správce | Informovat subjekty, aktualizovat dokumenty |
Při změně správce (Asset Deal)
- Informujte uživatele — e-mail o změně správce
- Aktualizujte Privacy Policy
- Umožněte opt-out — pro marketingová data
- Aktualizujte DPA (Data Processing Agreements) se sub-zpracovateli
- Revalidujte souhlasy — pokud jsou vázány na konkrétního správce
4. Sub-zpracovatelé
Typičtí sub-zpracovatelé SaaS aplikace:
- Cloud hosting — AWS, Google Cloud, Azure
- E-mail služby — SendGrid, Mailgun
- Platební brána — Stripe, Comgate
- Analytika — Mixpanel, Amplitude
- Customer support — Zendesk, Intercom
Ověřte, zda mají platné DPA a zda je převoditelné na nového vlastníka.
5. Checklist GDPR auditu
- ☑ Záznamy o zpracování (čl. 30 GDPR)
- ☑ Privacy Policy aktuální a úplná
- ☑ Cookie consent implementovaný
- ☑ DPA se všemi sub-zpracovateli
- ☑ Proces pro práva subjektů (přístup, výmaz, portabilita)
- ☑ Bezpečnostní opatření (šifrování, přístupová práva)
- ☑ Plán reakce na bezpečnostní incident
- ☑ DPO jmenován (pokud povinný)
🔒 GDPR compliance zvyšuje hodnotu: Při prodeji SaaS na Exituj.cz přiložte GDPR dokumentaci do Data Roomu. Investoři to očekávají.