Data Processing Agreement · Accordo Articolo 28 GDPR · DPA GDPR
Un Accordo di trattamento dei dati (DPA) è un contratto tra un titolare del trattamento e un responsabile del trattamento che definisce come i dati personali possono essere trattati per conto del titolare. Ai sensi dell'articolo 28 del GDPR, un DPA è obbligatorio ogni volta che un titolare si avvale di un responsabile e deve coprire oggetto, durata, ambito e obblighi del responsabile.
Un DPA traduce gli obblighi astratti del responsabile sotto il GDPR in impegni contrattuali concreti. Definisce quali dati vengono trattati e perché, per quanto tempo, chi è considerato sub-responsabile e come è approvato, quali misure di sicurezza si applicano, come vengono segnalate le violazioni, come funzionano i diritti di audit, cosa succede alla fine del rapporto e come sono gestiti i trasferimenti internazionali. Per qualsiasi fornitore SaaS che memorizza o tratta dati personali per conto di clienti orientati all'UE, un DPA conforme è un prerequisito commerciale — i team acquisti non firmano senza. Per i clienti, il DPA è ciò che rende il fornitore giuridicamente responsabile degli impegni di sicurezza promessi dalle pagine di marketing.
Le multe GDPR sono calcolate come percentuale del fatturato globale, e i DPA sono il principale meccanismo contrattuale usato dai titolari per allocare il rischio di conformità. Un DPA debole lascia il titolare esposto se il responsabile gestisce male i dati; uno forte impone impegni di sicurezza concreti, diritti di audit e notifica rapida. Per i fornitori, la qualità del DPA predice la dimensione dei deal: i clienti enterprise richiedono DPA maturi con liste specifiche di sub-responsabili, diritti di audit e scadenze definite. Un template generico non supera più il procurement enterprise.
Attorly fornisce un DPA conforme all'articolo 28 GDPR che copre la cifratura a riposo e in transito, Bring-Your-Own-Key su Enterprise e notifica di violazioni entro 72 ore.
Vedi il DPA di Attorly