حریم خصوصی داده مشتری برای کسب وکار کوچک؛ از جمع آوری اطلاعات تا نگهداری امن وقتی صحبت از حریم خصوصی داده می شود، بسیاری از کسب وکارهای کوچک تصور می کنند این…
نویسنده
تیپرینو
تاریخمطالعه
8 دقیقه
حریم خصوصی داده مشتری برای کسبوکار کوچک؛ از جمعآوری اطلاعات تا نگهداری امن
وقتی صحبت از حریم خصوصی داده میشود، بسیاری از کسبوکارهای کوچک تصور میکنند این موضوع فقط مربوط به شرکتهای بزرگ، بانکها یا پلتفرمهای اینترنتی است. در حالی که یک فروشگاه، شرکت خدماتی، آموزشگاه یا کسبوکار آنلاین هم ممکن است هر روز اطلاعات مختلفی از مشتریان دریافت کند.
نام و شماره تماس، آدرس، سوابق سفارش، اطلاعات پرداخت، پیامهای مشتری، فایلهای ارسالی و حتی اطلاعات مربوط به درخواستهای او میتوانند بخشی از دادههای مشتری باشند. اگر این اطلاعات بدون برنامه جمعآوری، ذخیره یا در اختیار افراد مختلف قرار بگیرند، هم ریسک امنیتی ایجاد میشود و هم اعتماد مشتری آسیب میبیند.
حریم خصوصی داده مشتری یعنی کسبوکار بداند چه اطلاعاتی را چرا دریافت میکند، چگونه از آنها استفاده میکند، چه کسانی به آنها دسترسی دارند و چه زمانی دیگر نیازی به نگهداری آنها نیست.
حریم خصوصی داده مشتری دقیقاً یعنی چه؟
به زبان ساده، حریم خصوصی یعنی اطلاعات مشتری بدون دلیل مشخص و بدون کنترل مناسب جمعآوری یا استفاده نشود.
برای مثال اگر مشتری برای دریافت یک خدمت فقط به نام و شماره تماس نیاز دارد، دریافت اطلاعات غیرضروری میتواند ریسک بیشتری ایجاد کند. همچنین اگر اطلاعات مشتری برای یک هدف مشخص دریافت شده باشد، نباید بدون دلیل به کاربرد دیگری منتقل شود.
جزئیات حقوقی حریم خصوصی در کشورهای مختلف متفاوت است؛ بنابراین کسبوکار باید علاوه بر اصول عمومی امنیت و حریم خصوصی، قوانین و الزامات مربوط به حوزه فعالیت و محل فعالیت خود را نیز بررسی کند.
چه اطلاعاتی ممکن است داده مشتری محسوب شود؟
بسته به نوع کسبوکار، داده مشتری میتواند بسیار متفاوت باشد. برخی نمونههای رایج عبارتاند از:
نام و نام خانوادگی
شماره تلفن و ایمیل
آدرس
سوابق خرید و سفارش
درخواستها و پیامهای مشتری
اطلاعات مربوط به قرارداد
فایلها و مدارک ارسالی
اطلاعات حساب کاربری
اطلاعات مربوط به پرداخت
سوابق پشتیبانی و ارتباط با مشتری
همه این اطلاعات الزاماً حساسیت یکسانی ندارند، اما بهتر است کسبوکار برای تمام دادههای مشتری حداقل یک سطح مشخص از کنترل و حفاظت داشته باشد.
کمتر جمعآوری کنید؛ کمتر هم در معرض ریسک هستید
یکی از سادهترین اصول حریم خصوصی این است که فقط اطلاعاتی را جمعآوری کنیم که واقعاً برای ارائه محصول یا خدمت، پشتیبانی یا یک هدف مشخص کسبوکار لازم است.
اگر یک فرم اینترنتی ۱۵ فیلد دارد اما فقط ۵ مورد برای انجام درخواست مشتری ضروری است، بهتر است ابتدا همان اطلاعات ضروری دریافت شود.
جمعآوری اطلاعات بیشتر لزوماً به معنی شناخت بهتر مشتری نیست. هر داده اضافی، در صورت افشا، اشتباه انسانی یا دسترسی غیرمجاز، میتواند یک مسئولیت اضافی برای کسبوکار ایجاد کند.
به مشتری بگویید اطلاعاتش برای چه کاری استفاده میشود
شفافیت یکی از پایههای ایجاد اعتماد است. مشتری باید تا حد امکان بداند چرا اطلاعاتی مانند شماره تماس یا ایمیل از او دریافت میشود.
برای مثال اگر شماره تلفن برای هماهنگی سفارش دریافت میشود، این موضوع را میتوان به شکل ساده در فرم یا فرایند ثبت سفارش توضیح داد.
توضیحات حریم خصوصی لازم نیست همیشه طولانی و پیچیده باشند. مهم این است که برای مشتری روشن باشد:
چه اطلاعاتی دریافت میشود.
هدف از دریافت آن چیست.
در صورت لزوم با چه اشخاص یا سرویسهایی به اشتراک گذاشته میشود.
چطور از اطلاعات محافظت میشود.
در صورت وجود، مشتری برای درخواستهای مرتبط با دادههای خود باید از چه مسیری اقدام کند.
اطلاعات مشتری را در هر جایی ذخیره نکنید
یکی از مشکلات رایج در کسبوکارهای کوچک، پراکنده بودن اطلاعات است. بخشی از اطلاعات در تلفن شخصی یک کارمند، بخشی در پیامرسان، بخشی در فایل اکسل و بخشی روی لپتاپ فرد دیگری قرار دارد.
این وضعیت مدیریت دسترسی و حذف اطلاعات را دشوار میکند.
بهتر است برای اطلاعات مشتری یک محل مشخص و قابل مدیریت داشته باشید و مشخص کنید چه اطلاعاتی باید در آن ثبت شود. همچنین فایلهای حساس نباید بدون ضرورت روی دستگاههای شخصی مختلف کپی شوند.
چه کسانی باید به اطلاعات مشتری دسترسی داشته باشند؟
هر کارمندی که در شرکت حضور دارد لزوماً نباید به تمام اطلاعات مشتریان دسترسی داشته باشد.
بهتر است دسترسی بر اساس نیاز واقعی به انجام وظیفه تعریف شود.
برای مثال:
فروشنده ممکن است به اطلاعات تماس و سابقه سفارش نیاز داشته باشد.
واحد مالی ممکن است به اطلاعات مربوط به پرداخت دسترسی داشته باشد.
پشتیبانی ممکن است به سوابق ارتباطی مشتری نیاز داشته باشد.
مدیر سیستم ممکن است دسترسی فنی گستردهتری داشته باشد.
این تفکیک باعث میشود در صورت اشتباه یا دسترسی غیرمجاز، دامنه اطلاعات در معرض خطر محدودتر باشد.
رمز عبور ساده میتواند کل سیستم را به خطر بیندازد
گاهی کسبوکار برای امنیت دادههای مشتری هزینه زیادی برای ابزارهای مختلف میکند، اما حسابهای اصلی با رمزهای ساده یا تکراری محافظت میشوند.
استفاده از رمزهای عبور قوی و منحصربهفرد، فعال کردن احراز هویت چندمرحلهای در سرویسهای پشتیبانیشده و حذف دسترسی حسابهایی که دیگر استفاده نمیشوند، از اقدامات ساده اما مهم هستند.
همچنین بهتر است رمز عبور حسابهای مشترک بین چند نفر پخش نشود. تا حد امکان هر فرد باید حساب کاربری مشخص خود را داشته باشد تا دسترسیها قابل مدیریت و پیگیری باشند.
اطلاعات مشتری را بدون ضرورت برای دیگران ارسال نکنید
گاهی خطر نه از یک حمله پیچیده، بلکه از یک اشتباه روزمره ایجاد میشود؛ مثلاً ارسال اشتباهی فایل مشتری برای فرد دیگر یا قرار دادن اطلاعات مشتری در یک گروه نامرتبط.
قبل از ارسال اطلاعات مشتری از طریق ایمیل، پیامرسان یا سرویسهای اشتراک فایل، بهتر است مشخص شود:
آیا ارسال این اطلاعات ضروری است؟
گیرنده واقعاً باید این اطلاعات را دریافت کند؟
آیا اطلاعات اضافی در فایل وجود دارد؟
آیا روش ارسال برای نوع اطلاعات مناسب است؟
اگر بخشی از اطلاعات برای گیرنده ضروری نیست، بهتر است در اختیار او قرار نگیرد.
از اطلاعات مشتری روی لپتاپ و گوشی شخصی مراقبت کنید
در کسبوکارهای کوچک، استفاده از دستگاههای شخصی کارکنان برای کارهای کاری اتفاقی رایج است. اگر چنین روشی وجود دارد، باید مشخص شود اطلاعات مشتری کجا ذخیره میشود و بعد از پایان نیاز چه اتفاقی برای آن میافتد.
قفل صفحه، بهروزرسانی سیستمعامل و نرمافزارها، استفاده از رمز مناسب، پشتیبانگیری امن و جلوگیری از نصب نرمافزارهای ناشناخته میتواند سطح امنیت دستگاه را بهتر کند.
همچنین اگر کارمندی دیگر با کسبوکار همکاری نمیکند، دسترسی او به حسابها و فایلهای مشتری باید در سریعترین زمان ممکن بررسی و در صورت نیاز لغو شود.
پشتیبانگیری فقط برای جلوگیری از حذف فایلها نیست
پشتیبانگیری منظم از اطلاعات مهم مشتریان برای مقابله با خرابی تجهیزات، حذف تصادفی یا بعضی رخدادهای امنیتی اهمیت دارد.
اما خود نسخه پشتیبان نیز حاوی اطلاعات مشتری است و باید محافظت شود. نگهداری یک نسخه از اطلاعات در محل نامطمئن یا بدون کنترل دسترسی، مشکل جدیدی ایجاد میکند.
بنابراین هنگام طراحی بکاپ باید دو موضوع را همزمان در نظر گرفت: قابلیت بازیابی اطلاعات و امنیت نسخه پشتیبان.
چه زمانی باید اطلاعات مشتری را حذف کنیم؟
نگهداری همیشگی اطلاعات مشتری لزوماً تصمیم درستی نیست. ممکن است پس از پایان یک رابطه تجاری یا گذشت مدت مشخص، بخشی از اطلاعات دیگر کاربرد عملی نداشته باشد.
البته حذف اطلاعات باید با توجه به الزامات قانونی، قراردادی، مالی و عملیاتی انجام شود. بعضی سوابق ممکن است برای مدت مشخصی به دلیل الزامات قانونی یا حسابداری نیاز به نگهداری داشته باشند.
بهتر است برای دستههای مختلف اطلاعات مشخص شود:
چرا این اطلاعات نگهداری میشود؟
چه کسی به آن دسترسی دارد؟
تا چه زمانی به آن نیاز داریم؟
بعد از پایان نیاز چگونه حذف یا آرشیو میشود؟
سرویسهای آنلاین هم بخشی از زنجیره داده مشتری هستند
ممکن است کسبوکار اطلاعات مشتری را مستقیماً روی سیستم خودش ذخیره نکند و از سرویسهای مختلف برای CRM، ایمیل، فرم، فضای ذخیرهسازی، حسابداری یا پشتیبانی استفاده کند.
در این حالت باید بدانیم اطلاعات مشتری در چه سرویسهایی قرار دارد و دسترسی هر سرویس به چه دادهای است.
قبل از استفاده از یک ابزار جدید، بهتر است شرایط استفاده، سیاست حریم خصوصی، روشهای امنیتی و نوع دادهای که سرویس دریافت میکند بررسی شود؛ بهخصوص اگر قرار است اطلاعات حساس یا حجم زیادی از داده مشتریان در آن قرار گیرد.
داده مشتری را با ابزار هوش مصنوعی هم با احتیاط وارد کنید
اگر کارکنان از ابزارهای هوش مصنوعی برای خلاصهسازی، تحلیل، تولید متن یا پشتیبانی استفاده میکنند، باید مشخص باشد چه اطلاعاتی وارد این ابزارها میشود.
اطلاعات شناساییکننده مشتری، اسناد قرارداد، اطلاعات مالی یا دادههای حساس نباید بدون بررسی سیاست سازمان و شرایط سرویس در ابزارهای عمومی وارد شوند.
یک راه ساده این است که قبل از وارد کردن اطلاعات، بررسی کنیم آیا میتوان همان کار را با دادههای ناشناس یا حداقل داده لازم انجام داد یا خیر.
اگر اطلاعات مشتری اشتباهی افشا شد چه کنیم؟
هیچ کسبوکاری نمیتواند با اطمینان مطلق بگوید هرگز دچار خطای انسانی یا رخداد امنیتی نخواهد شد. مهم این است که برای چنین شرایطی از قبل یک مسیر مشخص داشته باشد.
در صورت وقوع یک رخداد، بهتر است سریعاً مشخص شود:
چه اطلاعاتی تحت تأثیر قرار گرفته است؟
چه تعداد مشتری درگیر هستند؟
منشأ رخداد چه بوده است؟
آیا دسترسی غیرمجاز هنوز ادامه دارد؟
چه اقدام فوری برای محدود کردن آسیب لازم است؟
آیا طبق قوانین مربوطه، اطلاعرسانی یا اقدام خاصی الزامی است؟
برای رخدادهای جدی، دریافت مشاوره تخصصی امنیتی و حقوقی میتواند ضروری باشد.
یک سیاست ساده حریم خصوصی برای کسبوکار کوچک
لازم نیست یک کسبوکار کوچک از همان روز اول دهها صفحه دستورالعمل داخلی داشته باشد. میتوان با چند اصل روشن شروع کرد:
فقط اطلاعات ضروری مشتری را جمعآوری میکنیم.
هدف استفاده از اطلاعات را مشخص میکنیم.
اطلاعات مشتری را فقط در اختیار افراد و سرویسهای موردنیاز قرار میدهیم.
دسترسی کارکنان را بر اساس وظایفشان تعیین میکنیم.
حسابهای بلااستفاده را حذف یا غیرفعال میکنیم.
اطلاعات را در محلهای نامشخص و پراکنده ذخیره نمیکنیم.
از اطلاعات مهم نسخه پشتیبان امن تهیه میکنیم.
اطلاعاتی را که دیگر نیازی به آنها نداریم، با رعایت الزامات مربوطه حذف یا آرشیو میکنیم.
در صورت رخداد امنیتی، مسیر مشخصی برای واکنش داریم.
حریم خصوصی فقط مسئولیت مدیر نیست
ممکن است بهترین سیستم امنیتی را داشته باشید، اما یک اشتباه ساده از طرف یکی از کارکنان باعث افشای اطلاعات شود.
به همین دلیل آموزش کوتاه و منظم کارکنان اهمیت زیادی دارد. اعضای تیم باید بدانند چه اطلاعاتی محرمانه است، چه چیزی را نباید در گروهها ارسال کنند، چگونه فایل مشتری را به اشتباه برای فرد دیگری نفرستند و در صورت مشاهده یک مشکل، آن را به چه کسی گزارش دهند.
فرهنگ درست استفاده از داده، در بسیاری از موارد به اندازه ابزار فنی اهمیت دارد.
چکلیست حریم خصوصی داده مشتری
میدانیم چه اطلاعاتی از مشتری جمعآوری میکنیم.
برای هر نوع داده دلیل مشخصی داریم.
هدف استفاده از اطلاعات برای مشتری روشن است.
محل نگهداری اطلاعات مشخص است.
دسترسی کارکنان محدود و قابل مدیریت است.
حسابهای کارکنان سابق بررسی و غیرفعال میشوند.
رمزهای عبور قوی و احراز هویت چندمرحلهای در سرویسهای مناسب فعال است.
اطلاعات مشتری بدون ضرورت در ابزارهای مختلف کپی نمیشود.
نسخههای پشتیبان امن هستند.
مدت نگهداری اطلاعات مشخص است.
سرویسهای شخص ثالث قبل از استفاده بررسی میشوند.
برای رخدادهای امنیتی یک مسیر واکنش مشخص داریم.
جمعبندی
حریم خصوصی داده مشتری برای کسبوکار کوچک الزاماً به معنی ساخت یک سیستم پیچیده و گرانقیمت نیست. بخش مهمی از آن از تصمیمهای ساده شروع میشود: اطلاعات غیرضروری نگیریم، محل نگهداری دادهها را بدانیم، دسترسیها را محدود کنیم، اطلاعات را بیدلیل به اشتراک نگذاریم و برای حذف یا نگهداری آنها برنامه داشته باشیم.
هرچه تعداد مشتریها و حجم اطلاعات بیشتر شود، مدیریت دستی این موارد دشوارتر خواهد شد. در این مرحله استفاده از سیستمهای منظم برای مدیریت مشتری، سطح دسترسی، ثبت فعالیتها و فرایندهای کاری میتواند احتمال خطا را کاهش دهد.
در نهایت، حریم خصوصی فقط یک موضوع فنی یا حقوقی نیست؛ بخشی از اعتماد مشتری به کسبوکار است. کسبوکاری که اطلاعات مشتری را با دقت مدیریت میکند، پایه قابلاعتمادتری برای یک رابطه بلندمدت میسازد.
سؤالات متداول
حریم خصوصی داده مشتری برای کسبوکار کوچک چرا مهم است؟
چون کسبوکارهای کوچک نیز اطلاعات مشتریان را جمعآوری و نگهداری میکنند و یک خطای انسانی، دسترسی غیرمجاز یا نگهداری نادرست میتواند به امنیت و اعتماد مشتری آسیب بزند.
چه اطلاعاتی را نباید از مشتری جمعآوری کنیم؟
بهتر است هر اطلاعاتی که برای هدف مشخص کسبوکار ضروری نیست، بدون دلیل معتبر جمعآوری نشود. نوع اطلاعات مجاز و الزامات مربوط به آن نیز به کشور، صنعت و نوع فعالیت بستگی دارد.
آیا نگهداری اطلاعات مشتری برای همیشه کار درستی است؟
نه لزوماً. اطلاعات باید بر اساس نیاز واقعی و الزامات قانونی و قراردادی نگهداری شوند و پس از پایان نیاز، در صورت امکان و با رعایت الزامات مربوطه حذف یا آرشیو شوند.
آیا کارکنان باید به تمام اطلاعات مشتری دسترسی داشته باشند؟
خیر. بهتر است دسترسی بر اساس وظیفه و نیاز کاری هر فرد تعیین شود تا اطلاعات غیرضروری در اختیار کارکنان قرار نگیرد.
آیا استفاده از ابزارهای آنلاین برای اطلاعات مشتری خطرناک است؟
خود استفاده از ابزارهای آنلاین الزاماً مشکلزا نیست، اما قبل از قرار دادن اطلاعات مشتری باید نوع داده، سطح دسترسی، شرایط سرویس و سیاستهای حریم خصوصی و امنیتی آن ابزار بررسی شود.
آیا یک کسبوکار کوچک به سیاست حریم خصوصی نیاز دارد؟
در بسیاری از فعالیتها داشتن توضیحات شفاف درباره جمعآوری و استفاده از دادهها و همچنین قواعد داخلی مدیریت اطلاعات مفید است. الزامات دقیق حقوقی به محل فعالیت، نوع کسبوکار و نوع دادهها بستگی دارد.
