Data Processing Agreement · 28 artikla -sopimus · GDPR DPA
Tietojenkäsittelysopimus (DPA) on sopimus rekisterinpitäjän ja käsittelijän välillä, joka määrittelee kuinka henkilötietoja voidaan käsitellä rekisterinpitäjän puolesta. GDPR:n 28 artiklan mukaan DPA on pakollinen aina kun rekisterinpitäjä käyttää käsittelijää, ja sen on katettava kohde, kesto, laajuus ja käsittelijän velvollisuudet.
DPA muuntaa GDPR:n abstraktit käsittelijävelvoitteet konkreettisiksi sopimussitoumuksiksi. Se määrittelee mitä tietoja käsitellään ja miksi, kuinka kauan, kuka lasketaan alihankkijaksi ja kuinka heidät hyväksytään, mitkä turvatoimet pätevät, kuinka tietoturvaloukkauksista raportoidaan, kuinka tarkastusoikeudet toimivat, mitä tapahtuu suhteen päättyessä ja kuinka kansainvälisiä siirtoja käsitellään. Jokaiselle SaaS-toimittajalle, joka säilyttää tai käsittelee henkilötietoja EU-painotteisten asiakkaiden puolesta, vaatimustenmukainen DPA on myynnin edellytys — hankintatiimit eivät allekirjoita ilman sitä. Asiakkaille DPA on se, joka tekee toimittajasta oikeudellisesti vastuullisen markkinointisivujen lupaamista tietoturvasitoumuksista.
GDPR-sakot lasketaan prosenttiosuutena maailmanlaajuisesta liikevaihdosta, ja DPA:t ovat ensisijainen sopimusmekanismi, jolla rekisterinpitäjät allokoivat vaatimustenmukaisuusriskiä. Heikko DPA jättää rekisterinpitäjän alttiiksi, jos käsittelijä käsittelee tietoja huonosti; vahva DPA pakottaa konkreettisiin turvasitoumuksiin, tarkastusoikeuksiin ja nopeaan rikkomusilmoitukseen. Toimittajille DPA:n laatu ennustaa kaupan kokoa: yritysasiakkaat vaativat kypsiä DPA:ita, joissa on tietyt alihankkijalistat, tarkastusoikeudet ja määritellyt rikkomusten ilmoitusajat. Geneerinen malli ei enää läpäise yrityshankintaa.
Attorly toimittaa GDPR:n 28 artiklan mukaisen DPA:n, joka kattaa lepo- ja siirtosalauksen, Bring-Your-Own-Key Enterprise-tasolla ja rikkomusilmoituksen 72 tunnin kuluessa.
Näe Attorlyn DPA