A carregar …
Data Processing Agreement · Acordo Artigo 28 RGPD · DPA RGPD
Um Acordo de Tratamento de Dados (DPA) é um contrato entre um responsável pelo tratamento e um subcontratante que define como os dados pessoais podem ser tratados em nome do responsável. Conforme o artigo 28 do RGPD, um DPA é obrigatório sempre que um responsável utiliza um subcontratante e deve abranger objeto, duração, âmbito e obrigações do subcontratante.
Um DPA traduz as obrigações abstratas do subcontratante ao abrigo do RGPD em compromissos contratuais concretos. Define quais dados são tratados e por quê, por quanto tempo, quem conta como subcontratante de segundo nível e como é aprovado, quais medidas de segurança se aplicam, como violações de dados são reportadas, como funcionam os direitos de auditoria, o que acontece no fim da relação e como transferências internacionais são geridas. Para qualquer fornecedor SaaS que armazena ou trata dados pessoais para clientes voltados para a UE, um DPA conforme é um pré-requisito de venda — equipas de procurement não assinam sem. Para clientes, o DPA é o que torna o fornecedor legalmente responsável pelos compromissos de segurança prometidos pelas páginas de marketing.
As coimas do RGPD são calculadas como percentagem do volume de negócios global, e os DPAs são o principal mecanismo contratual utilizado pelos responsáveis para atribuir risco de conformidade. Um DPA fraco deixa o responsável exposto se o subcontratante trata mal os dados; um DPA forte impõe compromissos concretos de segurança, direitos de auditoria e notificação rápida. Para fornecedores, a qualidade do DPA prevê a dimensão do negócio: clientes enterprise exigem DPAs maduros com listas específicas de subcontratantes, direitos de auditoria e prazos definidos. Um modelo genérico já não passa no procurement enterprise.
A Attorly fornece um DPA conforme ao artigo 28 do RGPD cobrindo criptografia em repouso e em trânsito, Bring-Your-Own-Key no Enterprise e notificação de violações em 72 horas.
Ver o DPA da Attorly