Laster…
Data Processing Agreement · Artikkel 28-avtale · GDPR DPA
En databehandleravtale (DPA) er en kontrakt mellom en behandlingsansvarlig og en databehandler som definerer hvordan personopplysninger kan behandles på den ansvarliges vegne. Etter GDPR artikkel 28 er en DPA obligatorisk når en behandlingsansvarlig bruker en databehandler og må dekke gjenstand, varighet, omfang og databehandlerens plikter.
En DPA oversetter GDPRs abstrakte behandlerforpliktelser til konkrete kontraktsfestede forpliktelser. Den definerer hvilke data som behandles og hvorfor, hvor lenge, hvem som regnes som underdatabehandler og hvordan de godkjennes, hvilke sikkerhetstiltak som gjelder, hvordan datainnbrudd rapporteres, hvordan revisjonsrettigheter fungerer, hva som skjer ved avslutning av forholdet, og hvordan internasjonale overføringer håndteres. For enhver SaaS-leverandør som lagrer eller behandler personopplysninger på vegne av EU-rettede kunder, er en samsvarende DPA et salgsforutsetning — innkjøpsteam vil ikke signere uten. For kunder er DPAen det som gjør leverandøren rettslig ansvarlig for sikkerhetsløftene markedsføringssidene gir.
GDPR-bøter beregnes som en prosentandel av global omsetning, og DPAer er den primære kontraktsmessige mekanismen behandlingsansvarlige bruker for å fordele samsvarsrisiko. En svak DPA etterlater den ansvarlige eksponert dersom databehandleren håndterer data feil; en sterk DPA tvinger konkrete sikkerhetsforpliktelser, revisjonsrettigheter og rask innbruddsvarsling. For leverandører er DPA-kvalitet en prediktor for avtalestørrelse: enterprise-kunder krever modne DPAer med spesifikke underdatabehandlerlister, revisjonsrettigheter og definerte tidsfrister for innbruddsvarsling. En generisk mal klarer ikke lenger enterprise-innkjøp.
Attorly leverer en GDPR-artikkel-28-samsvarende DPA som dekker kryptering i ro og i transitt, Bring-Your-Own-Key på Enterprise, og innbruddsvarsling innen 72 timer.
Se Attorlys DPA