Mall för integritetspolicy för B2B SaaS: Stäng affärer snabbare

Företagsprospekt granskar integritetspolicyer noga för att bedöma risk. En heltäckande integritetspolicy för B2B SaaS visar datadisciplin, snabbar upp säkerhetsgranskningar och uppfyller kraven i GDPR/UK GDPR och CPRA. Den här guiden ger en komplett mall, hantering av underbiträden och operativa checklistor som du kan implementera nu.

Återanvänd dina CTA-banners och länka till Integritetspolicy-generator, Cookiepolicy-generator och Användarvillkor-generator i din app, dokumentation och marknadsföringsflöden för en konsekvent juridisk stack.

Vad du ska inkludera i en integritetspolicy för B2B SaaS

Insamlade data

Kontodata, faktureringskontakter, arbetsytedata, användargenererat innehåll, enhets-/IP-data, produkttelemetri och supportärenden. Skilj kunddata från administrativa data och marknadsföringsdata.

Syften och rättsliga grunder

Tjänsteleverans, fakturering, säkerhet, analys, produktförbättring, support och marknadsföring (med samtycke där det krävs). Kartlägg GDPR-grunder: avtal för kärntjänster, berättigat intresse för säkerhet, samtycke för marknadsföring och icke-nödvändiga cookies.

Delning och underbiträden

Lista hosting, molntjänster, analys, e-postleverans, supportverktyg, övervakning och AI- eller ML-leverantörer. Länka till en levande lista över underbiträden med regioner och varselperioder.

Överföringar och skyddsåtgärder

Förklara SCC eller andra mekanismer, kryptering under överföring och i vila, åtkomstkontroller och hur du hanterar myndighetsförfrågningar.

Cookies och spårning

Förklara nödvändiga jämfört med icke-nödvändiga cookies, lagring och alternativ för samtycke/opt-out. Erbjud hantering av Do Not Sell/Share och GPC om du använder annonsidentifierare.

Rättigheter och kontroller

Åtkomst, radering, rättelse, dataportabilitet, begränsning och invändning. Erbjud en kontaktkanal och SLA, och förklara ansvarsfördelningen mellan administratör och slutanvändare.

Säkerhet och lagring

Beskriv kryptering, loggning, segmentering, säkerhetskopior, lagring för kontodata, loggar och supportärenden. Ange tidsramar eller kriterier.

Tabell för datakartläggning

Datakategori	Syfte	Rättslig grund	Lagring	Kontroller
Konto/fakturering	Skapa och hantera konton	Avtal	Kontots livslängd + skatteperiod	Begäran om radering från administratör
Arbetsyteinnehåll	Leverera produktfunktioner	Avtal	Kundstyrt	Kundens datalivscykel
Telemetri/loggar	Säkerhet och prestanda	Berättigat intresse	30-180 dagar	Begränsad lagring
Marknadsföringsdata	Bearbeta leads	Samtycke/berättigat intresse	Tills opt-out	Avregistrering/preferenser
Supportärenden	Lösa problem	Berättigat intresse/avtal	Tills löst + definierad period	Maskera känsliga data

Steg-för-steg-process för att skriva policyn

1) Inventera dataflöden och leverantörer

Kartlägg datakategorier, syften, regioner och leverantörer. Identifiera överföringar och känsliga fält.

2) Formulera precisa klausuler

Täck insamling, syften, rättsliga grunder, delning/underbiträden, överföringar, cookies, säkerhet, lagring, rättigheter och kontakter. Använd ett enkelt språk.

3) Publicera en lista över underbiträden

Publicera en levande lista med kategorier, regioner och process för varsel/invändning. Länka till den från policyn.

4) Konfigurera samtycke och opt-out

Cookiebanner för EU/Storbritannien, hantering av Do Not Sell/Share och GPC för CPRA om du använder annonsidentifierare, samt tydliga marknadsförings-opt-in.

5) Lägg till länkar på alla ytor

Sidfot, registrering, instrumentpanelens inställningar, faktureringssidor, API-dokumentation och marknadsföringsformulär. Lägg till CTA:er till Integritetspolicy-generator och Cookiepolicy-generator.

6) Operationalisera begäranden om rättigheter

Definiera mottagning, verifiering, SLA (till exempel 30 dagar) och steg för radering/export. Dokumentera ansvarsfördelningen mellan kundens administratör och leverantören.

7) Versionshantera och meddela

Håll en ändringslogg och datum för senaste uppdatering. Meddela kunder om väsentliga ändringar och ge tillgång till arkiv.

Vanliga misstag att undvika

Saknade detaljer om underbiträden

Prospekt förväntar sig en levande lista och en varselprocess. Håll den uppdaterad och i linje med avtalen.

Svaga lagringsbeskrivningar

Undvik "vi behåller data så länge som nödvändigt" utan specifikationer. Ange intervall eller kriterier.

Att ignorera överföringar

Ange användning av SCC och skyddsåtgärder. Håll TIA dokumenterade.

Inkonsekvent terminologi

Använd samma kategorier i policy, DPIA och säkerhetssvar för att undvika förvirring.

Ingen tydlighet mellan administratör och slutanvändare

Klargör att arbetsyteadministratörer hanterar innehåll och lagring medan du tillhandahåller verktyg och infrastruktur.

Exempel på efterlevnad och referenser

• Meta (2023): cirka 1,2 miljarder euro i GDPR-böter (Reuters) belyser behovet av transparens kring överföringar.
• IAB TCF-tillsyn (belgiska dataskyddsmyndigheten, 2022) förstärker korrekt signalering av samtycke.
• Sephora (2022): 1,2 miljoner dollar i CPRA-förlikning för redovisning av spårare och opt-out (Kaliforniens åklagare).
• ICO:s vägledning för personuppgiftsbiträden betonar tydliga roller och meddelanden (ICO).

Checklista för implementering

• Publicera policy med tydliga kategorier, syften och rättsliga grunder.
• Underhåll en levande lista över underbiträden med varselperioder och invändningar.
• Tillhandahåll SCC-detaljer och skyddsåtgärder för överföringar; håll TIA i arkiv.
• Driftsätt cookiebanner för EU/Storbritannien; lägg till hantering av Do Not Sell/Share och GPC om du använder annonsidentifierare.
• Erbjud mottagning av rättigheter med SLA och vägledning för administratör jämfört med slutanvändare.
• Håll en ändringslogg och granska kvartalsvis.

30/60/90-plan

• 30 dagar: Kartlägg data, leverantörer och överföringar; formulera policy; skapa en lista över underbiträden.
• 60 dagar: Lansera verktyg för cookies/samtycke; sätt upp mottagning av rättigheter och flöden för radering/export; publicera process för varsel/invändning.
• 90 dagar: Granska leverantörer och lagring på nytt; uppdatera policyspråket; uppdatera ändringsloggen och meddela kunder om väsentliga ändringar.

Mätvärden och kvalitetssäkring

• Tid att slutföra säkerhetsfrågeformulär som hänvisar till policyn.
• SLA-efterlevnad för åtkomst/radering/export.
• Riktigheten i listan över underbiträden jämfört med verkliga leverantörer.
• Andel opt-in för samtycke och framgångsrik GPC-hantering.
• Drifttid för policylänkar i app och dokumentation.

Exempelklausuler att anpassa

Insamling och användning

"Vi samlar in konto- och faktureringsuppgifter, arbetsyteinnehåll, telemetri och supportmeddelanden för att leverera och förbättra tjänsten. Vi säljer inte personuppgifter."

Underbiträden

"Vi använder molnhosting, analys, e-postleverans och supportleverantörer. En aktuell lista med regioner och varselperioder finns på [länk]."

Överföringar

"Vi förlitar oss på standardavtalsklausuler och kompletterande skyddsåtgärder för överföringar. Kontakta oss för detaljer eller för att begära kopior."

Rättigheter

"Du kan begära åtkomst, rättelse, radering eller invändning. Arbetsyteadministratörer hanterar innehåll; vi tillhandahåller verktyg och svarar inom 30 dagar på verifierade begäranden."

Resurser

• GDPR.eu
• ICO
• oag.ca.gov/privacy/ccpa
• FTC business guidance

Checklista för testning och kvalitetssäkring

• Verifiera att cookiebannern blockerar icke-nödvändig analys tills samtycke ges för besökare från EU/Storbritannien.
• Kontrollera att policylänkar finns vid registrering, i instrumentpanelens inställningar, fakturering och API-dokumentation.
• Bekräfta att listan över underbiträden matchar faktiska leverantörer och inkluderar regioner och varselperioder.
• Testa åtkomst/radering/export på en arbetsyta i staging för att säkerställa att verktygen fungerar som dokumenterat.
• Validera GPC-hantering och länkar för Do Not Sell/Share om du använder annonsidentifierare på marknadsföringssidor.

Granskningsarbetsbok

• Dataflöden per kategori (konto, innehåll, telemetri, marknadsföring, support) med syften och grunder.
• Lista över underbiträden med regioner, skyddsåtgärder och process för varsel/invändning.
• Lagringsschema för konton, loggar, säkerhetskopior och supportärenden.
• Överföringsmekanismer och TIA i arkiv.
• Policyns ändringslogg och logg över kundmeddelanden.
• SLA-mätvärden för begäranden om rättigheter och incidenthantering.

Fallexempel

• Situation: Ett prospekts säkerhetsgranskning hittade saknade detaljer om underbiträden och otydlig lagring i policyn.
• Påverkan: Affären stannade upp i två veckor medan förtydliganden samlades in.
• Åtgärd: Publicerade en levande lista över underbiträden med regioner och varselperioder, lade till lagringsintervall och uppdaterade policyn och ändringsloggen. Efterföljande granskningar slutfördes snabbare.

Viktiga slutsatser

• Håll datakartläggning, underbiträden och lagring explicita för att snabba upp säkerhetsgranskningar.
• Anpassa hanteringen av cookies/samtycke till regionala krav och marknadsföringsstacken.
• Tillhandahåll tydliga arbetsflöden för rättigheter och dokumentera ansvarsfördelningen mellan administratör och leverantör.
• Underhåll ändringsloggar och varselprocesser för att visa kontinuerlig styrning.

Exempel på policyöversikt

• Inledning, omfattning och roller (personuppgiftsansvarig/personuppgiftsbiträde där tillämpligt).
• Insamlade data (konto, fakturering, produktinnehåll, telemetri, marknadsföring).
• Syften och rättsliga grunder.
• Delning och underbiträden med länk till levande lista.
• Internationella överföringar och skyddsåtgärder (SCC, kryptering).
• Cookies och spårning med samtycke/opt-out.
• Säkerhetsåtgärder och lagringstider.
• Användares och administratörers rättigheter med kontaktuppgifter.
• Ändringar och versionshistorik.

Fusklapp för granskare (för säkerhetsfrågeformulär)

• Länk till integritetspolicyn, listan över underbiträden och säkerhetssidan.
• Uttalande om SCC och skyddsåtgärder för överföringar.
• Sammanfattning av lagring per kategori och tidsramar för säkerhetskopior.
• SLA för hantering av rättigheter (till exempel 30 dagar) och metod för mottagning av begäranden.
• Tillvägagångssätt för cookies/samtycke för EU/Storbritannien och Do Not Sell/Share för CPRA (om annonsidentifierare används).
• Plats för ändringslogg och datum för senaste uppdatering.

Exempel på meddelande- och bannertext

• Registreringsmeddelande: "Genom att skapa ett konto godkänner du vår Integritetspolicy och våra Användarvillkor. Vi använder din information för att skapa och säkra din arbetsyta."
• Meddelande i marknadsföringsformulär: "Vi använder dina uppgifter för att skicka produktuppdateringar. Avregistrera dig när som helst. Se vår Integritetspolicy och Cookiepolicy."
• Cookiebanner: "Vi använder cookies för webbplatsens prestanda och analys. Välj Acceptera eller Hantera preferenser. Se vår cookiepolicy."

Ytterligare exempelklausuler

Datalagringsplats

"Kunddata lagras i [region(er)]. Om data överförs utanför den regionen förlitar vi oss på SCC och kryptering för att skydda den."

Administratörens ansvar

"Arbetsyteadministratörer styr provisionering av användare, lagring av innehåll och raderingsscheman. Vi tillhandahåller verktyg för att exportera och radera data; kontakta din administratör för begäranden på arbetsytenivå."

Säkerhetskontakt

"För säkerhets- eller integritetsfrågor, kontakta [e-post] eller besök vårt trust center på [länk]. Vi strävar efter att svara inom två arbetsdagar på säkerhetsfrågor."

Marknadsföringspreferenser

"Du kan avregistrera dig från marknadsföringsmejl via valfri meddelandesidfot eller genom att kontakta oss. Transaktionsmejl kopplade till ditt konto skickas fortfarande."

Ordlista

• SCC: Standardavtalsklausuler som används för gränsöverskridande överföringar.
• Underbiträde: En leverantör som behandlar personuppgifter för vår räkning.
• Telemetri: Produktanvändningsdata som samlas in för att förbättra tillförlitlighet och prestanda.
• GPC: Global Privacy Control, en webbläsarsignal som anger en opt-out-preferens för viss spårning; respektera den på marknadsföringssidor om du delar identifierare.

Kvartalsvis granskningschecklista

• Verifiera listan över underbiträden på nytt mot fakturor och åtkomstloggar.
• Granska beteendet för samtycke och cookiebanner på marknadsföringssidor för EU/Storbritannien.
• Kontrollera TIA, SCC och skyddsåtgärder för överföringar för ändringar i leverantörer eller regioner.
• Testa arbetsflöden för rättigheter (åtkomst, radering, export) i staging och logga SLA-prestanda.
• Uppdatera policyns ändringslogg och register över kundmeddelanden.

Snabb sammanfattning

• Kartlägg data och leverantörer exakt, håll överföringar och underbiträden transparenta och styr spårning genom samtycke där det krävs.
• Klargör rollerna mellan administratör och leverantör och upprätthåll starka rutiner för rättigheter och lagring.
• Håll ändringsloggar och granskningar aktiva för att driva företagsaffärer snabbare.

Sista påminnelser

• Håll din lista över underbiträden, SCC och TIA aktuella och lätta att dela.
• Anpassa marknadsföringssamtycke och cookiehantering till regionala regler och din annons-/analysstack.
• Arkivera policyversioner och registrera när kunder meddelades om väsentliga uppdateringar.

Slutsats

En integritetspolicy för B2B SaaS bör hjälpa dig att klara säkerhetsgranskningar och ge kunderna trygghet. Genom att kartlägga data, lista underbiträden, förklara överföringar och tillhandahålla tydliga rättighets- och samtyckeskontroller minskar du friktion i affärer och efterlevnadsrisk. Återanvänd dina CTA-banners och länka till Integritetspolicy-generator, Cookiepolicy-generator och Användarvillkor-generator så att varje yta visar samma engagemang för integritet.