∞直接答案
直接答案
不要向每位投资人发送一个完全开放的文件夹。先建立一个小型数据室。每位具名人员只能访问所需文件夹。设定结束日期。保留访问和重要变更记录。需求结束后移除访问。个人数据需要明确目的、较少数据、安全处理和保存期限。[4] 请就你的交易、相关人员和法律咨询合格顾问。
先划定数据室边界
数据室是存放交易文件的地方。它不是给每位阅读者的同一套文件。
邀请任何人前先设定阶段。首次沟通可能只需融资材料、简短指标说明和概览版股权表。后续审查可能需要已签合同或详细账目。
写下每个文件夹开放的原因。把文件夹对应到一个交易问题。若你说不出问题，就不要放入文件。
ICO 表示，个人数据应有明确用途，并限于所需范围。[4]
- 首次沟通：融资材料、简短计划和关键事实。
- 积极审查：回答明确交易问题的证明文件。
- 限制审查：有明确需要且读者较少的文件。
- 暂不提供：源代码、密码、完整客户名单和没有交易需要的记录。
向个人授权，不是向公司授权
写明每位可进入人员的姓名。不要给投资团队使用共享登录。记录其公司、角色、文件夹、原因、开始日期和结束日期。
只给足以回答问题的最小访问范围。税务顾问可能需要账目文件夹，但未必需要客户联系人。
ICO 表示，安全措施应只让获授权的人访问、更改、披露或删除个人数据，且权限范围应清楚。[1]
询问数据室服务商如何处理实名账户、登录核验、会话控制、下载规则和访问记录。NIST 将认证和账户管理列为数字身份工作的核心内容。[3]
- 人员和公司。
- 交易角色和业务原因。
- 文件夹清单和访问类型。
- 开始日期、结束日期和数据室负责人。
保护文件中的个人
有些交易文件会写到真实的人。它们可能包含员工薪酬、客户联系人、身份证明、银行数据或健康信息。
摘要能回答交易问题时就用摘要。无助于问题的直接联系方式或身份证明应删除。若较宽泛摘要足够，可把关键合同页放在限制文件夹。
ICO 表示，数据共享计划应写明数据项目、目的、获准人员、安全、保存和删除规则。[2]
不要把保密协议当作完整隐私计划。它可以规定交易条款，但不能决定你可共享哪些数据或对方可保存多久。请针对具体情况获取法律或隐私建议。
- 先用摘要，再用完整记录。
- 遮盖不需要的联系人、身份证明和银行信息。
- 标记敏感文件夹，并列出阅读者。
- 将未遮盖的原始文件放在最小群组中。
复查、关闭并保留记录
在设定日期检查访问清单。交易暂停、人员离开或新顾问加入时也要检查。
保留简单记录。写下谁获得访问、改了什么、为何改动以及访问何时结束。将记录与投资人文件分开保存。
ICO 表示，安全措施应在需要时复查和改进。它也表示共享计划应有保存、删除、复查和结束步骤。[1] [2]
审查结束时移除访问。向顾问确认你须保留哪些记录。不要承诺工具或交易条款无法支持的删除。
- 复查日期和数据室负责人。
- 新增、变更和移除的访问。
- 影响交易陈述的文件变更。
- 结束动作和保留记录。
FAQ
常见问题
每位投资人都应得到完整数据室吗？
不应如此。先提供能回答当前交易问题的文件。只有存在明确理由时才增加。ICO 表示，个人数据应限于该用途所需范围。[4]
投资团队可以共用一个账户吗？
最好避免。实名账户更容易复查和取消访问。询问服务商提供哪些账户、登录、会话和记录控制。NIST 指南涵盖认证和账户管理。[3]
应把客户数据放进数据室吗？
只分享回答明确问题所需的内容。摘要或已遮盖记录可能足够。ICO 表示共享计划应说明数据、目的、获准人员、安全、保存和删除。[2]
投资人停止审查后怎么办？
移除其访问。记录结束日期和仍适用的文件规则。核查你须保留什么，以及对方可保留什么。ICO 要求有保存、删除、复查和结束步骤。[2]
REF
资料来源
- 1
Information Commissioner's Office
A guide to data security ↗ - 2
Information Commissioner's Office
Data sharing agreements ↗ - 3
National Institute of Standards and Technology
Digital Identity Guidelines (SP 800-63-4) ↗ - 4
Information Commissioner's Office
A guide to the data protection principles ↗