Přezkoumejte zpracovatelskou smlouvu podle skutečné služby

Smlouva o zpracování osobních údajů (zpracovatelská smlouva, DPA) je užitečná teprve tehdy, když její popis odpovídá skutečné službě. I smlouva, která vypadá úplně, může popisovat nesprávná data, opomenout poskytovatele podpory nebo slibovat výmaz, který produkt nedokáže provést.

Pro CTO přezkum propojuje právní závazky s architekturou, konfigurací a provozními postupy. Kolegové z právního oddělení nebo z ochrany osobních údajů vykládají ustanovení; inženýři zjišťují, zda tato ustanovení popisují realitu. Výstupem by mělo být obhajitelné rozhodnutí o službě, podložené důkazy a jasným seznamem nevyřešených podmínek – ne jen podepsané PDF.

Před přezkumem ustanovení určete roli dodavatele

Začněte tím, že určíte, zda dodavatel u příslušného zpracování vystupuje jako zpracovatel. Podle GDPR zpracovatel zpracovává osobní údaje jménem správce. Tuto roli nemá každý vztah s dodavatelem a jeden dodavatel může mít u různých činností různé role.

Hostovaná platforma podpory může zpracovávat tikety zákazníků podle vašich pokynů a zároveň u části správy vlastních účtů vystupovat jako samostatný správce. Pokud její podmínky dovolují používat obsah tiketů i pro nezávisle určené účely, vyžaduje tato činnost samostatnou analýzu. Označení všeho jako „zlepšování služeb“ otázku role nevyřeší.

Než začnete smlouvu připomínkovat, připravte si stručný popis rozsahu:

• Určete smluvní subjekt, produkt, úroveň předplatného a zapnuté funkce.
• Popište, proč vaše organizace službu používá a čí osobní údaje zpracovává.
• Oddělte zpracování podle pokynů od jakýchkoli účelů určených dodavatelem.
• Uveďte interního vlastníka služby a právního posuzovatele nebo posuzovatele z oblasti ochrany osobních údajů.

DPA není právním základem podle článku 6, ani automaticky nesplňuje požadavky na mezinárodní předávání. Tyto otázky zůstávají samostatné. Pokud je vaše organizace sama zpracovatelem, určete pokyny nadřazeného správce a podmínky jeho povolení dříve, než dodavatele zapojíte jako subzpracovatele.

Sestavte matici přezkumu podle článku 28

Článek 28 GDPR vyžaduje závaznou smlouvu nebo jiný kvalifikovaný právní akt, který upravuje činnost zpracovatele. Musí popisovat předmět a dobu trvání, povahu a účel, typ osobních údajů, kategorie subjektů údajů a povinnosti a práva správce.

Tyto údaje by měly identifikovat skutečné zpracování. Formulace „všechna data nezbytná k poskytování služeb“ může posuzovatelům znemožnit zjistit, zda jsou zahrnuty záznamy zaměstnanců, zprávy zákazníků nebo citlivé přílohy. Porovnejte přílohy s nakonfigurovaným produktem, včetně volitelných integrací.

K prověření požadovaných povinností zpracovatele použijte následující matici. Sloupec s důkazy obsahuje praktická doporučení pro přezkum, nikoli zákonný požadavek získat každý uvedený dokument.

Zpracovatel musí také neprodleně informovat správce, pokud podle jeho názoru určitý pokyn porušuje platné právo na ochranu osobních údajů. Ověřte, kam toto upozornění směřuje a kdo ho může vyřešit.

Každý požadavek označte jako pokrytý, nejasný nebo chybějící a uveďte odkaz na ustanovení. Chybějící povinnou náležitost neklasifikujte jako běžnou obchodní preferenci. Článek 28 odst. 1 rovněž požaduje, aby správci využívali zpracovatele poskytující dostatečné záruky; samotné smluvní znění to prokázat nemůže.

Sledujte reprezentativní záznam napříč službou

Zvolte realistický záznam a sledujte ho od přijetí až po likvidaci. U služby zákaznické podpory to může být tiket obsahující jméno, e-mailovou adresu, identifikátor účtu a přílohu. Při testování dávejte přednost syntetickým datům.

Zmapujte sběr, příjem přes API, primární úložiště, indexování, analytiku, přístup podpory, exporty, integrace, zálohy a výmaz. Zeptejte se, které komponenty dostávají obsah a které pouze metadata. Logy a diagnostické záznamy často obsahují identifikátory, i když je hlavní aplikace správně vymezena.

U každé fáze zaznamenejte odpovědný subjekt, účel zpracování, umístění, cestu přístupu a dobu uchovávání. Výsledek porovnejte s DPA, bezpečnostní přílohou, seznamem subzpracovatelů a ujednáními o předávání.

Zvláštní pozornost věnujte funkcím, které mohou administrátoři aktivovat bez zapojení nákupu: přepis, obohacování dat, shrnutí pomocí AI, externí webhooky a nahrávání relací podpory. Smlouva přezkoumaná pro základní produkt nemusí zapnutou službu dostatečně popisovat.

Výstupem může být jednoduchý diagram datových toků a protokol nesouladů. Každý nesoulad by měl uvádět smluvní tvrzení, pozorované chování, důsledek, vlastníka a řešení. Například „DPA popisuje uchovávání řízené zákazníkem; diagnostické logy zůstávají po pevně stanovenou dobu“ je podnět, na který lze reagovat. „Uchovávání nejasné“ k uzavření problému nestačí.

Otestujte bezpečnostní sliby vůči implementaci

Článek 32 vyžaduje bezpečnostní opatření přiměřená riziku. Neukládá jednu univerzální technickou konfiguraci. Hodnoťte opatření s ohledem na citlivost dat, jejich objem, expozici a pravděpodobné následky kompromitace.

Příloha by měla vysvětlovat dost na to, aby bylo možné službu posoudit, aniž by bylo nutné zveřejňovat podrobnosti zneužitelné k útokům. Upřednostněte izolaci tenantů, privilegovaný přístup, autentizaci, šifrování, odolnost, obnovu, řízení zranitelností a testování. Určete opatření, která provozuje dodavatel, a nastavení, která musí nakonfigurovat váš tým.

Pokud smlouva slibuje omezený přístup podpory, zeptejte se, jak se přístup žádá, schvaluje, časově omezuje a zaznamenává. Pokud slibuje šifrování, rozlište ochranu při přenosu od ochrany v klidu a poté zjistěte, kdo spravuje klíče a co mohou oprávnění uživatelé stále číst. Šifrování neřeší nadměrná aplikační oprávnění.

U dostupnosti a obnovy zjistěte, jaké zálohy existují, jak se testuje obnova a zda smluvní závazky k obnově pokrývají produkt, který kupujete. Obchodní cíle dostupnosti udržujte oddělené od povinností v oblasti bezpečnosti a ochrany osobních údajů.

Certifikáty a zprávy o ujištění mohou posouzení podpořit, ale záleží na jejich rozsahu. Ověřte službu, právní subjekt, období hodnocení, výjimky a odpovědnosti zákazníka. Zpráva o poskytovateli hostingu není důkazem pro každé opatření v SaaS aplikaci a certifikace neprokazuje soulad s GDPR. Širší přezkum důkazů popisuje článek hodnocení bezpečnostního ujištění.

Pokud je bezpečnostní příloha začleněna odkazem na web, uchovejte platnou verzi. Prověřte, zda změny mohou snížit úroveň ochrany a jak jsou zákazníci informováni. Nedatovanou, měnitelnou stránku považujte za problém správy důkazů, který je třeba vyřešit, místo abyste předpokládali, že je automaticky dostatečná nebo automaticky neplatná.

Sledujte řetězec subzpracovatelů a předávání posuzujte samostatně

Článek 28 odst. 2 vyžaduje k zapojení dalšího zpracovatele předchozí konkrétní nebo obecné písemné povolení. Při obecném povolení musí zpracovatel informovat správce o zamýšleném přidání nebo nahrazení a dát mu možnost vznést námitku. Článek 28 odst. 4 vyžaduje přenesení příslušných povinností na ochranu osobních údajů dále; prvotní zpracovatel přitom nadále plně odpovídá správci za plnění těchto povinností subzpracovatelem.

Získejte použitelný seznam, který u každého poskytovatele uvádí právní identitu, funkci, relevantní data a místa zpracování. Ne každá závislost na dodavateli je subzpracovatelem, ale poskytovatelé infrastruktury, podpory a analytiky by z přezkumu neměli zmizet jen proto, že působí za rozhraním produktu.

Vyhodnoťte mechanismus změn:

• Dorazí oznámení na sledovanou adresu nebo k určenému vlastníkovi?
• Je k dispozici dostatek informací a času na posouzení navrhované změny?
• Jak se podává a řeší námitka?
• Co se stane, pokud není k dispozici žádná přijatelná alternativa?

Smluvní právo, které nikdo nedokáže provozně uplatnit, je varovným signálem. Přihlaste k odběru oznámení příslušný tým a zaznamenejte, kdo oznámení vyhodnocuje.

Hosting v EU je relevantní, ale posouzení předávání neuzavírá. Prověřte skutečné příjemce, ujednání o vzdáleném přístupu, místa poskytování podpory a další předávání. Stejně tak samotné zahraniční vlastnictví není úplným popisem předávání: zdokumentujte skutečné subjekty a cesty přístupu.

Pokud se uplatní kapitola V, určete příslušný mechanismus předávání a případné nezbytné podpůrné posouzení nebo opatření. Tuto analýzu udržujte propojenou s přezkumem dodavatele, ale oddělenou od souladu s článkem 28. DPA a nastavení regionálního hostingu samy o sobě na všechny otázky předávání neodpovídají.

Zajistěte, aby povinnosti pomoci byly proveditelné

Oznamování porušení a předávání incidentů

Podle článku 33 odst. 2 musí zpracovatel ohlásit správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví. Správce samostatně posuzuje ohlášení dozorovému úřadu, které je nutné učinit bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o porušení dozvěděl, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody fyzických osob.

Nedávejte zpracovateli lhůtu správce jako jeho výchozí dobu čekání. Praktická smlouva by měla stanovit rychlé prvotní oznámení, určené komunikační kanály a průběžné aktualizace. Dohodnutý cíl pro oznámení je provozním doporučením; nenahrazuje zákonný standard.

Vyžádejte si informace potřebné k posouzení dotčených dat, osob, systémů, pravděpodobných následků, omezení a obnovy. První oznámení může být neúplné, proto definujte, jak budou následovat aktualizace a důkazy. Správce musí také posoudit, zda vysoké riziko vyžaduje oznámení dotčeným osobám podle článku 34, s výhradou jeho výjimek, a zdokumentovat posouzení porušení, včetně důvodů pro neoznámení. Spouštěč oznámení prověřte pečlivě: proces, který čeká na dokončené vyšetření hlavní příčiny, může posouzení správce zdržet.

Předání otestujte pomocí stolního cvičení. Ověřte, že oznámení dorazí k týmu reakce na incidenty a k posuzovatelům ochrany osobních údajů i mimo běžnou pracovní dobu, ne pouze ke správci zákaznického účtu.

Žádosti subjektů údajů

Pomoc zpracovatele by měla umožnit, aby váš vlastní proces vyřizování práv byl proveditelný. Otestujte, zda lze záznamy dohledat v obsahu, přílohách, indexech a exportech a zda výmaz nebo oprava dosáhne příslušných komponent.

Dohodněte se na cestě pro vyřizování a očekávané době odezvy. Správci mají na odpověď na žádost zpravidla jeden měsíc, s výhradou podmínek pro prodloužení podle GDPR; pomoc dodavatele musí ponechat prostor pro ověření totožnosti, právní posouzení a bezpečné doručení. Dodavatel by měl žádosti týkající se zpracování podle vašich pokynů zpravidla předávat vám, místo aby o jejich výsledku rozhodoval sám.

Pozornost si zaslouží poplatky a limity služeb. Poplatky za dodatečnou pomoc nejsou automaticky zakázány, ale nesmějí povinnou pomoc učinit neúčinnou. Propojte postup se svým procesem vyřizování žádostí o přístup subjektů údajů.

Vrácení, výmaz a zálohy

Při ukončení služby vyžaduje článek 28 výmaz nebo vrácení podle volby správce a vymazání existujících kopií, pokud právo Unie nebo členského státu nevyžaduje jejich uložení. Před nákupem zjistěte, co to znamená technicky.

Ověřte úplnost exportu, jeho formát, okno dostupnosti a to, zda nejsou vyloučeny přílohy nebo konfigurace. U výmazu rozlišujte aktivní záznamy, cache, repliky, logy a zálohy. Pokud výmaz záloh probíhá v plánovaném cyklu, zdokumentujte dobu, omezení přístupu a opatření, která brání tomu, aby se vymazané záznamy obnovením znovu dostaly do systému.

Zeptejte se, jak se dokládá dokončení a jak se identifikuje zákonem požadované uchovávání. Nespoléhejte na „zrušený účet“ jako na důkaz, že osobní údaje byly odstraněny.

Přezkoumejte právo na audit, odpovědnost a nevyřešená ustanovení

Ustanovení o auditu by měla poskytovat smysluplné ujištění a zároveň chránit ostatní zákazníky a oprávněné bezpečnostní zájmy. Přiměřené plánování, mlčenlivost a využívání nezávislých zpráv mohou audity učinit proveditelnými. Ustanovení omezené pouze na certifikát, bez cesty k získání nezbytných informací nebo k řešení podstatných obav, však vyžaduje právní přezkum s ohledem na článek 28 odst. 3 písm. h).

Určete eskalační cestu pro případ, že důkazy nestačí, dojde k incidentu nebo regulátor vyžaduje informace. Náklady na audit, výpovědní lhůty a omezení posuzujte společně; jejich kombinovaný účinek je důležitější než jakákoli jednotlivá formulace.

Ustanovení o odpovědnosti vyžadují samostatné obchodní posouzení. Náhrada škody podle článku 82 závisí na podmínkách odpovědnosti stanovených nařízením; zpracovatelé automaticky neodpovídají za každé selhání správce. Pokud je podle článku 82 odpovědných více stran, mohou pravidla vést k tomu, že odpovídají za celou škodu, aby bylo zajištěno účinné odškodnění. Smluvní strop neomezuje zákonná práva jednotlivců. Jeho vliv na rozdělení a vymáhání mezi stranami vyžaduje právní přezkum.

Pokud dodavatel odmítá změny, rozlišujte tři výsledky:

• Vyjasnění: získejte závazné znění nebo důkazy, které nejasnost odstraní.
• Podmíněné přijetí: schvalte zákonné ujednání se zdokumentovaným obchodním nebo provozním zbytkovým rizikem a stanovenými zárukami.
• Nepokračovat: zastavte nebo přepracujte zpracování tam, kde požadované povinnosti zůstávají nesplněny.

Akceptace vedením nemůže učinit nezákonné ujednání zákonným. Pověřenec pro ochranu osobních údajů, pokud byl jmenován, nezávisle radí a monitoruje; o službě rozhoduje odpovědný vlastník z byznysu s podklady od právníků a odborníků na ochranu osobních údajů. Nesvěřujte pověřenci odpovědnost za určování účelů nebo prostředků zpracování.

Prověřte funkce AI jako další cesty zpracování

Funkce AI přinášejí vstupy, výstupy a mezivýsledky, které starší přílohy nemusí popisovat. Kde je to relevantní, prověřte prompty, vyhledané dokumenty, embeddingy, vygenerované odpovědi, zpětnou vazbu, záznamy z monitorování zneužití a přístup pro lidský přezkum.

Zjistěte, zda se data zákazníků používají k trénování nebo zlepšování modelů, čím účelům to slouží a který subjekt zpracování provádí. „Žádné trénování“ není totéž co „žádné uchovávání“ a ani jeden z těchto slibů neprokazuje, že logy podpory nebo záznamy z monitorování neobsahují osobní údaje.

Ověřte, že se závazky vztahují na zakoupenou úroveň, zapnuté endpointy a navazující poskytovatele modelů. Potvrďte nastavení uchovávání, výjimky a chování při výmazu. Pokud dodavatel tvrdí, že data anonymizuje, zeptejte se, co toto tvrzení podporuje, místo abyste předpokládali, že artefakty modelu jsou anonymní.

Zaznamenejte smluvní závazek a důkazy o konfiguraci společně. Každý nový účel vyžaduje vlastní posouzení role a zákonnosti; DPA tento právní základ neposkytuje. Použitelnost aktu o umělé inteligenci je rovněž samostatnou otázkou a podpisem zpracovatelských podmínek se nesplní.

Modelový příklad: software podpory s volitelným shrnutím

Předpokládejme pro ilustraci, že SaaS firma chce platformu podpory obsahující jména, firemní e-mailové adresy, text tiketů a přílohy. Tikety mohou nedopatřením obsahovat citlivé informace. Volitelná funkce AI shrnuje konverzace.

Návrh DPA popisuje zpracování tiketů a ukládání v EU. Technický průchod odhalí poskytovatele shrnutí, přístup podpory z jiného regionu a uchovávání diagnostických dat, které se liší od uchovávání tiketů.

Přezkum přináší čtyři konkrétní kroky:

1. Doplnit rozsah. Do popisu přidejte přílohy, diagnostické identifikátory a zpracování pomocí AI; ověřte, zda dodavatel používá jakýkoli obsah pro vlastní účely.
2. Vyjasnit řetězec poskytovatelů. Získejte identitu poskytovatele modelu, místa zpracování, závazky k uchovávání a pokrytí povolením. Relevantní předávání posuďte samostatně.
3. Ověřit chování v průběhu životního cyklu. Proveďte syntetický tiket exportem a výmazem. Získejte vysvětlení uchovávání záloh a diagnostických dat, místo abyste předpokládali, že výmaz tiketu odstraní každou kopii.
4. Stanovit podmínku spuštění. Ponechte shrnutí vypnuté, dokud nebudou přezkoumány jeho smlouva a datový tok. Před produkčním použitím nastavte směrování oznámení o porušení a o změnách subzpracovatelů.

Záznam o rozhodnutí odlišuje obdržené důkazy od dosud otevřených otázek. Pokud je základní služba přijatelná, může schválení funkci AI výslovně vyloučit. Tato hranice musí existovat i v konfiguraci a řízení změn; poznámka ve spisu přezkumu nikomu nezabrání, aby funkci později zapnul.

Uchovejte rozhodnutí a znovu ho otevřete, když se služba změní

Uchovávejte pohromadě platnou verzi smlouvy, rozsah zpracování, diagram datových toků, důkazy o ujištění, posouzení předávání, protokol nesouladů a schválení. Zaznamenejte akceptovaná zbytková rizika, podmínky, vlastníky a termíny následných kroků. Uchovejte důvod, proč bylo ujednání přijato, nejen jeho stav.

Přezkum zopakujte, když se podstatně změní účely zpracování, zapnuté funkce, subzpracovatelé, místa nebo smluvní podmínky. Jako spouštěče zahrňte i významné incidenty a nové důkazy o slabinách opatření. Plánovaný přezkum tyto spouštěče doplňuje, nenahrazuje.

Secani může tento pracovní postup podpořit modelováním služby a externích poskytovatelů, propojováním důkazů s požadavky a rozhodnutími a přidělováním mezer z přezkumu vlastníkům. Závěry přezkoumané lidmi, odkazy na zdroje, komentáře a schválení uchovávají úvahy, na nichž přijetí stojí. Tím se přezkum smlouvy propojuje s řízením rizik třetích stran, aniž by se software považoval za náhradu právního nebo technického úsudku.

Potřebuje smlouva vlastnoruční podpis?

Článek 28 odst. 9 vyžaduje písemnou formu, včetně elektronické formy. Vlastnoruční podpis sám o sobě vyžadován není. Uchovejte důkaz o závazném přijetí a platnou verzi; nejistotu ohledně začlenění online nebo rozporných podmínek nechte vyřešit právníky.

Musí být každý subzpracovatel jmenován přímo v DPA?

Článek 28 nepředepisuje pevný seznam uvnitř dokumentu. Povolení může podpořit i udržovaný seznam, pokud ujednání zajišťuje požadované informace, oznámení o změnách a možnost vznést námitku. Uchovejte seznam relevantní pro váš přezkum.

Při dalším přezkumu dodavatele začněte jedním reprezentativním datovým tokem a maticí podle článku 28. Rozpor mezi smluvními sliby a pozorovatelným provozem vyřešte dříve, než povolíte produkční zpracování.