Krótka odpowiedź: Zanim korporacja wyśle Ci kwestionariusz bezpieczeństwa, ktoś z działu zakupów albo bezpieczeństwa IT ogląda Twoją stronę. Chce wiedzieć, jaka spółka za nią stoi, gdzie trafią dane, jakie zabezpieczenia możesz udokumentować, kto już od Ciebie kupił i ile mniej więcej kosztujesz. Jeśli strona odpowiada na te pytania, kwestionariusz jest krótszy, a rozmowa idzie dalej. Jeśli nie, dostajesz długi arkusz i przerwę w procesie. Poniżej: strony, które reviewer otwiera, checklista 10 punktów i to, co startup bez SOC 2 może uczciwie opublikować już dziś.
Ten tekst to praktyczne wskazówki dla founderów, nie porada prawna. Przy umowach i decyzjach o compliance skonsultuj się z prawnikiem albo doradcą ds. zgodności.
Dlaczego korporacja sprawdza stronę, zanim z Tobą porozmawia
Większość oceny dzieje się bez Ciebie. Według Gartnera 67% kupujących B2B woli proces zakupowy bez handlowca. W Europie, jak podaje 6sense, kupujący w około 75% przypadków wybierają dostawcę, zanim w ogóle porozmawiają z działem sprzedaży. Twoja strona jest pierwszym dokumentem w teczce.
W części przypadków jest też powód prawny. Jeśli będziesz przetwarzać dane osobowe klientów lub pracowników korporacji, art. 28 ust. 1 RODO stanowi, że gdy przetwarzanie ma być dokonywane w imieniu administratora, „korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych”. Art. 28 ust. 3 dodaje, że przetwarzanie „odbywa się na podstawie umowy lub innego instrumentu prawnego”. Ta umowa to umowa powierzenia przetwarzania danych. Jeśli klient jest podmiotem kluczowym lub ważnym w rozumieniu NIS2, jego środki zarządzania ryzykiem muszą obejmować „bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami” (art. 21 ust. 2 lit. d). Krótko: jeśli przetwarzasz dane osobowe klientów lub pracowników korporacji w jej imieniu albo ona sama podlega NIS2, prawo zobowiązuje ją do sprawdzenia Cię. Reviewer nie utrudnia. Wykonuje swoją pracę.
Duże firmy mają na to formalne programy. Program dostawców Microsoftu obejmuje wszystkich dostawców na świecie, którzy przetwarzają dane osobowe lub poufne dane Microsoftu, a każdy zapisany dostawca musi co roku złożyć samoocenę zgodności z wymaganiami ochrony danych. Przy pierwszym kliencie tego nie spotkasz, ale to pokazuje, gdzie wisi poprzeczka.
Dwie osoby, jedna strona
Zwykle patrzą na Ciebie dwie osoby i każda ma inne pytania.
Dział zakupów pyta: czy to prawdziwa firma, z którą możemy podpisać umowę? Dane spółki, adres, rejestr, kto nią kieruje, czy pracowała z firmami podobnymi do nas, jak wygląda cennik, czy będzie istnieć za dwa lata.
Dział bezpieczeństwa pyta: co się stanie z naszymi danymi? Gdzie są hostowane, kto jest podprocesorem, jakie certyfikaty, jakie polityki, kto jest kontaktem przy incydencie, jak obsługujesz zgłoszenia podatności.
Obie osoby czytają tę samą stronę. Hasło „bezpieczeństwo klasy enterprise” nie pomaga żadnej z nich. Pomagają konkretne fakty.
10 rzeczy, których szukają
- Dane spółki. Pełna nazwa, adres siedziby, numer KRS, NIP. W Niemczech § 5 DDG wymaga, by na stronach firmowych dane dostawcy, w tym forma prawna, osoba uprawniona do reprezentacji, numer rejestrowy i numer VAT, były „leicht erkennbar und unmittelbar erreichbar”, czyli łatwe do znalezienia i dostępne od razu. Reviewerzy w innych krajach szukają tych samych informacji.
- Strona o bezpieczeństwie albo trust center. Status certyfikacji, skrót polityk i informacja, jak zamówić raporty pod NDA.
- Lokalizacja danych i podprocesorzy. Gdzie dane są przechowywane, kto je przetwarza w Twoim imieniu i jak długo je trzymasz.
- Umowa powierzenia i polityka prywatności. Wzór umowy do pobrania albo jasna informacja, jak go dostać, plus aktualna polityka prywatności.
- Kontakt w sprawach bezpieczeństwa i security.txt. Konkretny adres do zgłoszeń. RFC 9116 opisuje security.txt jako format czytelny dla maszyn, który pomaga organizacjom opisać, jak przyjmują zgłoszenia podatności. To jeden mały plik tekstowy.
- Strona statusu i historia dostępności. Dowód, że monitorujesz produkt i informujesz klientów o awariach.
- Case studies. Klienci z nazwy, z podobnej branży i podobnej wielkości, z opisem zakresu pracy i tego, co się zmieniło.
- Jasność cen. Przynajmniej pakiety i zasada, według której liczysz cenę.
- Kto stoi za firmą. Strona zespołu lub zarządu z prawdziwymi nazwiskami.
- Spójność. Te same deklaracje na stronie, w decku sprzedażowym i w odpowiedziach na kwestionariusz. Jeśli na stronie głównej widnieje „SOC 2”, a w kwestionariuszu „w toku”, reviewer przestaje ufać reszcie.
Jeśli chcesz przy okazji sprawdzić całą stronę, checklista redesignu strony obejmuje strukturę, szybkość i treści.
Trust center czy strona o bezpieczeństwie?
Trust center to osobne miejsce z dokumentami bezpieczeństwa, często udostępnianymi po prośbie i NDA. Strona o bezpieczeństwie to jedna dobrze ułożona podstrona.
Na etapie seed zwykle wystarcza strona. Trust center ma sens, gdy masz raporty do udostępnienia, a weryfikacje dostawców to już cotygodniowe zadanie. Vanta, która sprzedaje produkt trust center, deklaruje, że jej Trust Center skraca cykl sprzedaży o 30%. To deklaracja dostawcy o własnym produkcie, nie niezależne badanie. W tym samym komunikacie Vanta podaje wyniki raportu State of Trust 2023: wśród 2500 liderów IT i biznesu z Australii, Francji, Niemiec, Wielkiej Brytanii i USA dwie trzecie mówi, że klienci, inwestorzy i dostawcy coraz częściej szukają dowodów bezpieczeństwa i zgodności.
Jeśli nie masz jeszcze SOC 2 ani ISO 27001
Żaden z tych certyfikatów nie jest wymogiem prawnym. To wymogi zakupowe, które stawiają klienci. Vanta pisze, że działy zakupów dużych firm rutynowo wymagają raportu SOC 2 przed przyjęciem dostawcy, mogą wstrzymać ten proces do czasu dostarczenia raportu, a typ 2 to raport, którego większość klientów enterprise ostatecznie wymaga. Jeśli celujesz w korporacje, zaplanuj to. Do tego czasu możesz uczciwie opublikować:
- Status, napisany wprost. „Nie mamy jeszcze SOC 2. Przygotowania zaczęliśmy w [miesiąc], raport typu 1 planujemy na [kwartał]”. Podawaj tylko datę, w którą wierzysz.
- Zabezpieczenia, które naprawdę działają. Na przykład SSO i MFA dla zespołu, szyfrowanie w transmisji i w spoczynku, przeglądy dostępów, kopie zapasowe, logowanie zdarzeń. Tylko to, co jest prawdą dziś.
- Region i dostawcę hostingu. Gdzie leżą dane i na czyjej infrastrukturze.
- Listę podprocesorów. Nazwa, cel, lokalizacja.
- Umowę powierzenia. Przygotowaną przez prawnika, do pobrania albo na prośbę.
- Kontakt w sprawach bezpieczeństwa i security.txt.
- Wypełniony kwestionariusz na prośbę. Jeśli masz już za sobą jeden, zaproponuj uporządkowaną wersję.
Czego nie robić nigdy: pokazywać odznaki certyfikatu, którego nie masz, pisać „zgodni” bez wskazania, z czym, i pozwalać, by deck obiecywał więcej niż strona o bezpieczeństwie.
Jeśli masz certyfikat, podaj który, jaki ma zakres, datę ostatniego raportu i jak go zamówić pod NDA. Jeśli jesteś w trakcie, napisz, na jakim etapie.
Co sprawdzają klienci w Polsce, UE i DACH
W europejskich weryfikacjach szczególnie warto przygotować trzy tematy:
- Umowa powierzenia. Art. 28 RODO wymaga umowy przy przetwarzaniu w imieniu administratora. Niech będzie łatwa do znalezienia.
- Pytania o łańcuch dostaw z NIS2. Jeśli Twój klient jest podmiotem kluczowym lub ważnym, spodziewaj się pytań także o Twoich dostawców. Lista podprocesorów odpowiada na część z nich.
- Impressum i lokalizacja danych w DACH. Niemieccy klienci są przyzwyczajeni do Impressum na stronach firmowych, bo § 5 DDG wymaga tych danych, i często pytają, gdzie są dane. Odpowiedz na oba pytania na stronie.
Case studies i cennik: handlowa połowa zaufania
Bezpieczeństwo odpowiada na pytanie „czy możemy powierzyć wam dane?”. Dział zakupów pyta też: „czy możemy na was polegać jako na dostawcy?”.
Na to najlepiej odpowiadają case studies z nazwą klienta, branżą, skalą i wynikiem. Jeden trafny, nazwany przypadek mówi więcej niż pięć anonimowych logo.
Ceny ważą więcej, niż zakłada wielu founderów. W badaniu TrustRadius 72% kupujących wskazało, że dostęp do przejrzystych cen zwiększa szansę na zakup. Emily Kramer radzi w First Round Review, by zrobić stronę z pakietami lub cenami, nawet prostą, bo kupujący jej szukają. Warunki enterprise możesz dalej negocjować. Reviewer musi tylko zobaczyć, że cena istnieje i z czego się składa. Jeśli nie masz pewności, co dziś komunikuje Twoja strona, szybko sprawdzisz to audytem marki w 60 minut.
Jak pomaga dp.vision, a czego nie robimy
dp.vision to seniorskie studio marki, stron i produktów dla dofinansowanych firm B2B tech prowadzonych przez founderów. Jeden zespół prowadzi Cię od pozycjonowania przez markę, stronę i deck do produktu, w zakresie dopasowanym do kamienia milowego w ciągu 4-16 tygodni, także pod wejście do sprzedaży korporacyjnej. Pracujesz ze strategiem i dedykowanym zespołem z ponad 20 stałych osób, przez jedną osobę kontaktową. Jesteśmy w Poznaniu i pracujemy zdalnie. AI przyspiesza pracę, decyzje podejmują ludzie.
Przy sprzedaży do korporacji projektujemy i piszemy warstwę zaufania Twojej strony: strukturę strony o bezpieczeństwie lub trust center, stronę z danymi spółki, case studies i czytelną stronę z pakietami lub cennikiem, spójne z deckiem sprzedażowym. Nie robimy audytów bezpieczeństwa, nie wydajemy certyfikatów i nie piszemy umów powierzenia. Do tego potrzebujesz platformy compliance i prawnika; my dbamy o to, żeby ich praca była łatwa do znalezienia i brzmiała wszędzie tak samo.
Pakiety: Validate od 10 000 zł, Launch od 39 000 zł, Build od 99 000 zł (zobacz pakiety). Przebudowa strony ze stronami zaufania zwykle mieści się w Launch. Dla porównania skali: PaceSovereign i DailyMuse to przykładowe projekty od 40 000 USD w pełnym zakresie: pełny branding, pitch deck, wsparcie w relacjach z inwestorami oraz demo i MVP produktu. Szerzej o kosztach piszemy w tekście ile kosztuje strona internetowa.
