SOC 2 e GDPR: O que perguntar a um fornecedor de proxies residenciais

As perguntas que vale a pena fazer a um fornecedor de proxies residenciais começam com um tema: como a rede é constituída. As certificações indicam que um fornecedor administra bem seus controles, e elas são importantes, mas o mais útil a se entender é como os endereços IP foram obtidos, pois essa é a base sobre a qual tudo o mais se sustenta. Essas são perguntas legítimas a se fazer a qualquer parceiro de dados da web, incluindo a Massive. Este guia apresenta essas perguntas na ordem em que devem ser feitas, explica como reconhecer uma resposta sólida e, quando for relevante, mostra como Massive as responde, para que o senhor possa distinguir um proxy residencial genuinamente em conformidade com o GDPR daquele que apenas faz referência a isso. Uma rede idônea responderá a cada uma delas com detalhes específicos.

Se o(a) senhor(a) é a pessoa responsável por escolher um fornecedor de dados da web ou por explicar essa escolha a uma equipe de segurança, este texto foi escrito para o(a) senhor(a). Ele pressupõe que o(a) senhor(a) saiba por que sua organização coleta dados públicos da web e se concentra nas medidas de diligência necessárias para garantir que essa coleta seja sólida e fácil de defender.

Pontos principais

• A escolha do fornecedor é a primeira questão, não a última. As certificações confirmam que um fornecedor mantém seus controles em funcionamento; a solução de sourcing informa como os dispositivos de IP aderiram ao sistema. Pergunte como os dispositivos entram na rede antes de analisar qualquer certificado.
• O SOC 2 possui um escopo e um tipo, e ambos são importantes. Um relatório SOC 2 Tipo II avalia os controles ao longo de um período; um Tipo I é um instantâneo de um único dia. Pergunte qual deles, sobre qual período e abrangendo quais dos cinco Critérios de Serviços de Confiança.
• A conformidade com o GDPR pressupõe uma base legal e um Acordo de Proteção de Dados (DPA) que o senhor possa assinar. No caso de uma rede de proxy, o ponto fundamental é que a participação dos dispositivos atenda ao padrão de consentimento e que seja possível celebrar um contrato de tratamento de dados com uma lista específica de subprocessadores.
• A trilha de auditoria é a prova de transparência. Um fornecedor capaz de rastrear uma solicitação até uma fonte que tenha dado consentimento pode demonstrar seu trabalho. Isso é o mesmo cadeia de custódia uma rede de adesão voluntária foi criada para oferecer.
• Um parceiro de confiança acolhe bem essas perguntas. Uma boa diligência é colaborativa, não adversária. O objetivo é confirmar uma base sólida, e uma rede construída sobre essa base responderá com clareza.

Por que a questão do abastecimento merece uma resposta concreta

Um fornecedor de proxies residenciais ocupa um lugar significativo em sua infraestrutura: seu tráfego sai por meio de dispositivos fornecidos por ele; portanto, a forma como esses dispositivos foram integrados à rede faz parte da sua própria base. Isso torna a escolha do fornecedor um aspecto importante e útil a ser compreendido, e não apenas uma formalidade.

Nem toda rede residencial é construída com base no consentimento, e é exatamente por isso que a questão da origem merece uma resposta concreta, em vez de um mero adjetivo. A boa notícia é que uma rede baseada no consentimento facilita isso: ela pode indicar o mecanismo pelo qual seus endereços IP aderiram, apontar as certificações que abrangem cada parte da cadeia e descrever a trilha de auditoria que vincula uma solicitação a um dispositivo que deu seu consentimento. Fazer as perguntas abaixo é simplesmente a maneira de confirmar que essa base existe, e é o tipo de diligência que um parceiro sólido espera e valoriza.

As perguntas a serem feitas, em ordem

Trabalhe esses quatro grupos em sequência. O grupo de sourcing vem em primeiro lugar propositalmente, pois é a base sobre a qual o restante se constrói.

Grupo 1: Origem e consentimento

Este é o grupo que mais importa e aquele que vale a pena destacar em primeiro lugar.

• Como os endereços IP entram na sua rede? O senhor deseja um mecanismo específico, um SDK divulgado e que os usuários optem por participar em troca de um benefício.
• O que o proprietário do dispositivo recebeu em troca, e foi informado sobre o que estava concordando? Consentimento válido nos termos de Artigo 4º, parágrafo 11, do RGPD é oferecido livremente, específico, informado e inequívoco. É a troca de valor real que o torna genuíno.
• Um usuário pode cancelar sua inscrição? E o que acontece quando isso ocorre? O Artigo 7º, parágrafo 3º, do RGPD torna a revogação tão fácil quanto a concessão do consentimento. Uma resposta clara reflete um modelo sólido.
• É possível rastrear uma solicitação específica até um dispositivo de origem que tenha dado consentimento? Essa é a questão relativa à trilha de auditoria, e uma resposta afirmativa acompanhada de uma explicação é o sinal mais forte que um fornecedor pode dar.

Grupo 2: Certificações e o que elas abrangem

Agora, os emblemas, com o contexto que lhes confere significado.

• A sua empresa possui a certificação SOC 2? E trata-se do Tipo I ou do Tipo II? O Tipo II verifica se os controles funcionaram de maneira eficaz ao longo de um determinado período, de acordo com o Critérios de Serviços Fiduciários da AICPA (Segurança, Disponibilidade, Integridade do Processamento, Confidencialidade, Privacidade). Solicite o relatório sob um Acordo de Confidencialidade (NDA) e verifique o período e os critérios abrangidos.
• O senhor possui alguma certificação relacionada ao próprio processo de cadastro do aplicativo? AppEsteem certifica aplicativos quanto aos requisitos relativos ao consentimento informado independente, à divulgação de componentes incluídos e à desinstalação completa. No caso de uma rede originada de um SDK, isso constitui uma evidência direta sobre o momento do consentimento.
• A sua empresa possui a certificação ISO/IEC 27001? Seu controle A.5.19 sobre as relações com fornecedores é relevante, e a certificação indica a existência de um programa de segurança bem gerenciado.

Grupo 3: Tratamento de Dados e Aspectos Jurídicos

A documentação que facilita a adoção dessa relação.

• O senhor/a senhora assinará um contrato de tratamento de dados? E qual é a sua base legal nos termos do Artigo 6º do RGPD? O senhor deseja um DPA, e o fornecedor deve ser capaz de indicar a base legal para a obtenção dos dados.
• Quem são seus subcontratados, e como somos notificados sobre as alterações? O Artigo 28 do RGPD trata das garantias dos subcontratantes e da divulgação de subcontratantes secundários. Uma lista nominal é a solução adequada.
• Qual é o seu compromisso em relação à retenção de dados e à notificação de violações? O senhor deseja períodos de retenção definidos e um cronograma de notificações que permita o senhor planejar suas atividades.

Grupo 4: Operacional e de Apoio

As questões que uma equipe de segurança levará em consideração após a assinatura.

• Qual é o seu processo de resposta a incidentes e como podemos entrar em contato com um funcionário durante um incidente? Para um comprador corporativo, um canal de suporte direto é melhor do que uma fila de tickets.
• Como o senhor mantém sua rede em bom estado e sob monitoramento? Um fornecedor que mantém ativamente seu conjunto de recursos está cuidando da base da qual o senhor depende.

Como é uma resposta convincente: como a Massive responde a cada uma delas

O objetivo das perguntas é obter detalhes. Para tornar isso mais claro, veja a seguir como uma rede sólida responde a elas, usando a nossa própria rede como exemplo prático. Considere isso como o modelo de uma boa resposta, e não um roteiro a ser seguido palavra por palavra.

O que se deve observar é a especificidade: um fornecedor bem fundamentado responde com mecanismos e documentos. É exatamente isso que agiliza a diligência, pois as respostas já estão prontas.

Um questionário para fornecedores que o senhor pode reutilizar

Inclua essas dez perguntas diretamente em sua próxima avaliação de um parceiro de dados da web. É justo fazer essas perguntas a qualquer um, inclusive a nós:

1. Descreva exatamente como um endereço IP passa a fazer parte da sua rede.
2. O que o proprietário de um dispositivo recebe por participar e como essa participação é informada a ele?
3. Como um usuário pode se retirar, e qual é o efeito dessa retirada?
4. É possível rastrear uma solicitação de saída específica até um dispositivo de origem que tenha dado consentimento? Descreva a trilha de auditoria.
5. Apresente seu relatório SOC 2. Indique o tipo, o período de referência e os critérios abrangidos.
6. Qual certificação abrange o consentimento e a divulgação no momento do cadastro do aplicativo?
7. Indique a base jurídica prevista no RGPD para a contratação de prestadores de serviços e confirme que assinará um Acordo de Tratamento de Dados (DPA).
8. Indique seus subcontratados e seu processo de notificação de alterações.
9. Indique os prazos de retenção de dados e o cronograma de notificação de violações.
10. Descreva seu processo de resposta a incidentes e o canal de suporte disponível durante um incidente.

Um parceiro que responda às dez perguntas com detalhes é aquele com quem o senhor pode contar com confiança. O pilar que define o que torna um rede de proxies residenciais ética A expressão “de origem ética” fornece a base por trás de cada pergunta.

Conclusão

Uma boa avaliação de um provedor de proxy consiste, na verdade, em confirmar uma base sólida, e isso começa com uma pergunta: como seus endereços IPs deram consentimento? Certificações, acordos de processamento de dados (DPAs) e questionários existem para comprovar a resposta, e uma rede confiável tem essas evidências à disposição. Solicite informações sobre o mecanismo, as certificações específicas e a trilha de auditoria, e preste atenção aos detalhes.

Os fornecedores com os quais vale a pena trabalhar receberão bem essas perguntas, pois uma rede criada por meio de um processo de adesão voluntária e transparente, com auditoria SOC 2 Tipo I, conformidade com o GDPR, certificação AppEsteem e uma trilha de auditoria completa, desde a origem até a solicitação, foi concebida para respondê-las. Para conhecer o mecanismo por trás desse modelo, leia como uma rede de proxy com adesão voluntária realmente funciona, e é possível verificar como uma rede documenta sua postura de conformidade em Massive.