Дискретность, которая переживает встречу с банком
Коротко. Премиальный сайт агентства оценивают по одному признаку: может ли клиент им воспользоваться так, чтобы это нигде не всплыло неожиданно. Большая часть этого — обычная инженерия: шифрование, сроки хранения, разграничение доступа. Но ломается всё на платеже, и там желание спрятать как раз и создаёт огласку: непонятная строка в выписке — это ровно то, из-за чего клиент звонит в банк. Ниже — что дискретность означает технически, что она означает на оплате и где она перестаёт быть техническим вопросом.
Подробнее рядом: сравнение платёжных провайдеров и юридические требования.
Дизайн: требование здесь не «красиво», а сдержанно
- Никаких сторонних счётчиков. Ни аналитики, ни рекламного пикселя, ни шрифта, который грузится с чужого домена. Это самая действенная мера приватности в списке и та, которую чаще всего пропускают: каждый такой запрос сообщает третьей стороне, кто зашёл.
- Никакого баннера о cookie, потому что без счётчиков не на что спрашивать согласие. Баннер на таком сайте сам объявляет, что здесь что-то собирают.
- Быстро на телефоне. Здесь это свойство приватности не меньше, чем удобства: страница, которая долго грузится, остаётся открытой.
- Сдержанная типографика и цвет. Не потому, что элегантность продаёт, а потому что сайт, похожий на остальную категорию, неловко держать на экране.
Что приватность означает технически
| Мера | Что предотвращает | Как убедиться, что она настоящая |
|---|
| Шифрование канала и хранилища |
Перехват и читаемые данные, если диск унесли |
Ключ лежит не в той же копии, что данные |
| Объявленный срок хранения |
Пятилетнюю историю, которая никому не нужна и которую можно истребовать |
Старых записей действительно нет, проверено чтением |
| Разграничение доступа по ролям |
Ситуацию, где каждый оператор видит каждого клиента |
Учётная запись не открывает клиента, которого не вела |
| Двойное подтверждение на полную историю |
Выгрузку базы одним обиженным человеком |
Выгрузка требует второй авторизации, в том числе у владельца |
| Второй фактор в админке |
Повторно использованный пароль, который закончит агентство |
Он обязателен, а не включается по желанию |
| Выбранная страна хранения |
Данные под правилами, которых вы не читали |
Вы можете назвать страну, где лежит база |
⚠ Полезен здесь третий столбец. Каждую меру легко заявить и легко проверить, и именно проверка отличает платформу, построенную так, от платформы, которую так описали.
CRM: что она не должна делать лёгким
- Занятость, предпочтения и границы записаны один раз и видны тем, кому нужны, чтобы один и тот же вопрос не задавали трижды.
- Чёрный список, который расходится мгновенно по всем, кто на смене. Задержка здесь — вопрос безопасности, а не удобства.
- Доступ в границах оператора, сводные данные — руководителю. Вся книга контактов для работы не нужна никому.
- Выгрузка, которая логируется и замечается. Риск для клиентской базы почти никогда не внешний: это обычная учётная запись в обычный день.
Платежи: дискретно, объявлено и согласовано
Здесь такие сайты и ломаются, причём определённым образом. Соблазн — сделать платёж неузнаваемым. Это ровно наоборот.
Непонятный клиенту дескриптор — главная причина возвратных платежей
Лечится не лучшей маскировкой, а тем, что формулировку показывают до оплаты
- Дескриптор может быть нейтральным, и его обязательно показывают на оплате. Дословно: в выписке это будет выглядеть как ___. Клиент, который знает, чего ждать, в банк не звонит; клиент, который не знает, звонит, и банк спрашивает у эквайера, за что был платёж.
- Эквайер обязан знать категорию письменно, до запуска. Провайдер, который взял бизнес, потому что не понял, чем этот бизнес занимается, ничего не решил: он перенёс задачу на день первого спора, когда это объяснят за вас, а остаток будет лежать внутри.
- Резерв и срок его удержания — часть цены этой категории. Известные до подписания, это число; обнаруженные после первого расчёта, это кассовый разрыв.
- Криптовалюта работает как дополнительный канал, а не как обход основного. У неё своя бухгалтерия и своя волатильность, и эквайера, знающего ваш профиль, она не заменяет.
- Данные карты не должны попадать на ваш сервер. Токенизация и размещённая у провайдера форма оплаты сужают то, что вы храните, а это та же задача, что и всё выше.
Где дискретность перестаёт быть техническим вопросом
Юрисдикции различаются, и два разных различия здесь постоянно путают.
- Там, где услуга законна и регулируется — Великобритания, большая часть ЕС, Израиль — работа сводится к защите данных, сделанной как следует: законное основание, защитимый срок хранения, работающее удаление и проверка возраста там, где она требуется. Это обычный комплаенс, и он достижим.
- Там, где сама услуга незаконна, никакие формулировки этого не меняют. Отсутствие явных слов в разметке, иная подача и геоблокировка диапазона адресов не делают незаконную услугу законной; они влияют только на то, как быстро это заметят. Мы не строим сайт на допущении, что второе заменяет первое.
Честный разговор про такой рынок короткий: вопрос не в том, как замаскироваться, а в том, выходить ли на него вообще, и это вопрос к местному юристу, а не к разработчику.
Признаки, что сделано неправильно
- Дескриптор нигде не показан до оплаты.
- Никто не может сказать, сколько хранятся записи о клиентах, либо ответ звучит как «храним всё».
- Любая операторская учётная запись открывает любого клиента.
- Обещания приватности на сайте — прилагательные, а не настройки, которые можно проверить.
- Сайт подгружает шрифт, карту или счётчик с чужого домена.
- Платёжного провайдера выбрали за то, что он задал меньше всех вопросов.
Что проверить прямо сейчас
- Что написано в вашем дескрипторе и где клиент видит это до оплаты.
- Подтверждена ли ваша категория у эквайера письменно.
- Ваш срок хранения и действительно ли записи старше него удалены.
- Что может выгрузить одна скомпрометированная операторская учётная запись.
- В каких странах физически лежат ваши данные.
- Ваша доля споров за этот месяц и кто за неё отвечает.
Как это делает adults.dev
Модель доступа и правила хранения мы закладываем раньше визуального дизайна: это те части, которые потом нельзя добавить, не тронув каждую таблицу. Тогда обещания приватности на готовом сайте становятся утверждениями о настройках, а других обещаний давать не стоит.
В платежах мы делаем обратное сокрытию: сдержанный дескриптор, показанный на оплате, на счёте, где у эквайера категория подтверждена письменно. Это менее эффектно, чем альтернатива, и это тот вариант, который работает и на второй год.
Обсудить вашу платформу:
Telegram: @adultsdev
E-mail: info@adults.dev