Data Processing Agreement · Umowa art. 28 RODO · DPA RODO
Umowa powierzenia przetwarzania danych (DPA) to umowa między administratorem a podmiotem przetwarzającym, która określa, jak dane osobowe mogą być przetwarzane w imieniu administratora. Zgodnie z art. 28 RODO, DPA jest obowiązkowa zawsze, gdy administrator korzysta z podmiotu przetwarzającego i musi obejmować przedmiot, czas trwania, zakres oraz obowiązki podmiotu przetwarzającego.
DPA przekłada abstrakcyjne obowiązki podmiotu przetwarzającego na podstawie RODO na konkretne zobowiązania umowne. Określa, jakie dane są przetwarzane i dlaczego, jak długo, kto jest podpodmiotem przetwarzającym i jak jest zatwierdzany, jakie środki bezpieczeństwa obowiązują, jak zgłaszane są naruszenia danych, jak działają prawa audytu, co dzieje się na końcu relacji i jak obsługiwane są transfery międzynarodowe. Dla każdego dostawcy SaaS, który przechowuje lub przetwarza dane osobowe w imieniu klientów z UE, zgodna DPA jest warunkiem sprzedaży — zespoły zakupów nie podpiszą bez niej. Dla klientów, DPA jest tym, co czyni dostawcę prawnie odpowiedzialnym za zobowiązania bezpieczeństwa obiecywane przez strony marketingowe.
Kary RODO są obliczane jako procent globalnego obrotu, a DPA są głównym mechanizmem umownym, jakiego używają administratorzy do alokacji ryzyka zgodności. Słaba DPA pozostawia administratora narażonym, jeśli podmiot przetwarzający źle obsługuje dane; silna DPA wymusza konkretne zobowiązania bezpieczeństwa, prawa audytu i szybkie powiadomienie. Dla dostawców jakość DPA jest predyktorem rozmiaru transakcji: klienci enterprise wymagają dojrzałych DPA z konkretnymi listami podpodmiotów, prawami audytu i zdefiniowanymi terminami powiadomień. Ogólny szablon nie przechodzi już procurement enterprise.
Attorly dostarcza DPA zgodną z art. 28 RODO obejmującą szyfrowanie w spoczynku i w transmisji, Bring-Your-Own-Key na Enterprise oraz powiadomienie o naruszeniu w ciągu 72 godzin.
Zobacz DPA Attorly