Επισκοπήστε μια σύμβαση επεξεργασίας δεδομένων σε σχέση με την πραγματική υπηρεσία

Μια σύμβαση επεξεργασίας δεδομένων γίνεται χρήσιμη όταν η περιγραφή της αντιστοιχεί στην πραγματική υπηρεσία. Μια σύμβαση που φαίνεται πλήρης μπορεί παρ’ όλα αυτά να περιγράφει λάθος δεδομένα, να παραλείπει έναν πάροχο υποστήριξης ή να υπόσχεται διαγραφή που το προϊόν δεν μπορεί να εκτελέσει.

Για έναν CTO, η επισκόπηση συνδέει τις νομικές δεσμεύσεις με την αρχιτεκτονική, τη διαμόρφωση και τις λειτουργικές διαδικασίες. Οι συνάδελφοι του νομικού τμήματος ή της προστασίας δεδομένων ερμηνεύουν τις ρήτρες· η μηχανική ομάδα διαπιστώνει αν οι ρήτρες αυτές περιγράφουν την πραγματικότητα. Το αποτέλεσμα πρέπει να είναι μια τεκμηριωμένη απόφαση για την υπηρεσία, υποστηριζόμενη από αποδεικτικά στοιχεία και σαφή κατάλογο εκκρεμών προϋποθέσεων, όχι απλώς ένα υπογεγραμμένο PDF.

Προσδιορίστε τον ρόλο του προμηθευτή πριν επισκοπήσετε τις ρήτρες

Ξεκινήστε προσδιορίζοντας αν ο προμηθευτής ενεργεί ως εκτελών την επεξεργασία για τη σχετική επεξεργασία. Σύμφωνα με τον ΓΚΠΔ, ο εκτελών την επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου επεξεργασίας. Δεν έχει κάθε σχέση με προμηθευτή αυτόν τον ρόλο και ένας προμηθευτής μπορεί να έχει διαφορετικούς ρόλους για διαφορετικές δραστηριότητες.

Μια φιλοξενούμενη πλατφόρμα υποστήριξης μπορεί να επεξεργάζεται αιτήματα πελατών σύμφωνα με τις εντολές σας, ενεργώντας ταυτόχρονα ως χωριστός υπεύθυνος επεξεργασίας για ορισμένες λειτουργίες διαχείρισης των δικών της λογαριασμών. Αν οι όροι της επιτρέπουν επίσης τη χρήση του περιεχομένου των αιτημάτων για σκοπούς που καθορίζει η ίδια, η δραστηριότητα αυτή χρειάζεται ξεχωριστή ανάλυση. Η ονομασία των πάντων ως «βελτίωση υπηρεσίας» δεν επιλύει το ζήτημα του ρόλου.

Ετοιμάστε μια σύντομη δήλωση πεδίου εφαρμογής πριν σχολιάσετε τη σύμβαση:

• Προσδιορίστε τη συμβαλλόμενη οντότητα, το προϊόν, το επίπεδο συνδρομής και τις ενεργοποιημένες λειτουργίες.
• Περιγράψτε γιατί ο οργανισμός σας χρησιμοποιεί την υπηρεσία και ποιων τα δεδομένα προσωπικού χαρακτήρα χειρίζεται.
• Διαχωρίστε την επεξεργασία κατ’ εντολή από τυχόν σκοπούς που καθορίζει ο προμηθευτής.
• Ονομάστε τον εσωτερικό υπεύθυνο της υπηρεσίας και τον αξιολογητή από το νομικό τμήμα ή την προστασία δεδομένων.

Η DPA δεν αποτελεί νομική βάση κατά το άρθρο 6, ούτε ικανοποιεί αυτομάτως τις απαιτήσεις για διεθνείς διαβιβάσεις. Τα ζητήματα αυτά παραμένουν ξεχωριστά. Αν ο οργανισμός σας είναι ο ίδιος εκτελών την επεξεργασία, προσδιορίστε τις εντολές του ανάντη υπευθύνου επεξεργασίας και τους όρους εξουσιοδότησης πριν αναθέσετε στον προμηθευτή καθήκοντα υποεκτελούντος.

Δημιουργήστε μια μήτρα επισκόπησης για το άρθρο 28

Το άρθρο 28 του ΓΚΠΔ απαιτεί δεσμευτική σύμβαση ή άλλη κατάλληλη νομική πράξη που διέπει τη δραστηριότητα του εκτελούντος την επεξεργασία. Αυτή πρέπει να περιγράφει το αντικείμενο και τη διάρκεια, τη φύση και τον σκοπό, το είδος των δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες υποκειμένων των δεδομένων και τα δικαιώματα και τις υποχρεώσεις του υπευθύνου επεξεργασίας.

Οι λεπτομέρειες αυτές πρέπει να προσδιορίζουν την πραγματική επεξεργασία. Το «όλα τα δεδομένα που είναι απαραίτητα για την παροχή των υπηρεσιών» μπορεί να αφήσει τους αξιολογητές χωρίς δυνατότητα να διαπιστώσουν αν καλύπτονται αρχεία εργαζομένων, μηνύματα πελατών ή ευαίσθητα συνημμένα. Ελέγξτε τα παραρτήματα σε σχέση με το διαμορφωμένο προϊόν, συμπεριλαμβανομένων των προαιρετικών ενοποιήσεων.

Χρησιμοποιήστε την παρακάτω μήτρα για να εξετάσετε τις απαιτούμενες υποχρεώσεις του εκτελούντος την επεξεργασία. Η στήλη των αποδεικτικών στοιχείων περιέχει πρακτικές συστάσεις επισκόπησης, όχι νομική απαίτηση να αποκτηθεί κάθε αναφερόμενο έγγραφο.

Ο εκτελών την επεξεργασία πρέπει επίσης να ενημερώνει αμέσως τον υπεύθυνο επεξεργασίας αν, κατά την άποψή του, μια εντολή παραβιάζει την εφαρμοστέα νομοθεσία για την προστασία δεδομένων. Ελέγξτε πού καταλήγει αυτή η ειδοποίηση και ποιος μπορεί να την επιλύσει.

Σημειώστε κάθε απαίτηση ως καλυπτόμενη, ασαφή ή ελλείπουσα, με παραπομπή στη ρήτρα. Μην κατατάσσετε μια υποχρεωτική παράλειψη ως συνήθη εμπορική προτίμηση. Το άρθρο 28 παρ. 1 απαιτεί επίσης από τους υπευθύνους επεξεργασίας να χρησιμοποιούν εκτελούντες που παρέχουν επαρκείς εγγυήσεις· η συμβατική διατύπωση από μόνη της δεν μπορεί να το αποδείξει αυτό.

Ανιχνεύστε ένα αντιπροσωπευτικό αρχείο μέσα από την υπηρεσία

Επιλέξτε ένα ρεαλιστικό αρχείο και ακολουθήστε το από την εισαγωγή έως τη διάθεση. Για μια υπηρεσία υποστήριξης πελατών, αυτό θα μπορούσε να είναι ένα αίτημα που περιέχει όνομα, διεύθυνση ηλεκτρονικού ταχυδρομείου, αναγνωριστικό λογαριασμού και συνημμένο. Προτιμήστε συνθετικά δεδομένα κατά τις δοκιμές.

Χαρτογραφήστε τη συλλογή, την εισαγωγή μέσω API, την κύρια αποθήκευση, την ευρετηρίαση, τις αναλύσεις, την πρόσβαση υποστήριξης, τις εξαγωγές, τις ενοποιήσεις, τα αντίγραφα ασφαλείας και τη διαγραφή. Ρωτήστε ποια στοιχεία λαμβάνουν περιεχόμενο και ποια λαμβάνουν μόνο μεταδεδομένα. Τα αρχεία καταγραφής και τα διαγνωστικά ίχνη συχνά περιέχουν αναγνωριστικά, ακόμη κι όταν η κύρια εφαρμογή έχει σωστά οριοθετημένο πεδίο.

Για κάθε στάδιο, καταγράψτε την υπεύθυνη οντότητα, τον σκοπό της επεξεργασίας, την τοποθεσία, τη διαδρομή πρόσβασης και την περίοδο διατήρησης. Συγκρίνετε το αποτέλεσμα με τη DPA, το παράρτημα ασφάλειας, τον κατάλογο υποεκτελούντων και τις ρυθμίσεις διαβιβάσεων.

Δώστε ιδιαίτερη προσοχή σε λειτουργίες που οι διαχειριστές μπορούν να ενεργοποιήσουν χωρίς εμπλοκή του τμήματος προμηθειών: απομαγνητοφώνηση, εμπλουτισμός, σύνοψη μέσω ΤΝ, εξωτερικά webhooks και καταγραφή συνεδριών υποστήριξης. Μια σύμβαση που επισκοπήθηκε για το βασικό προϊόν ενδέχεται να μην περιγράφει επαρκώς την ενεργοποιημένη υπηρεσία.

Το παραδοτέο μπορεί να είναι ένα απλό διάγραμμα ροής δεδομένων και ένα αρχείο αποκλίσεων. Κάθε απόκλιση πρέπει να προσδιορίζει τη συμβατική δήλωση, την παρατηρούμενη συμπεριφορά, τη συνέπεια, τον υπεύθυνο και την επίλυση. Για παράδειγμα, το «Η DPA περιγράφει διατήρηση που ελέγχει ο πελάτης· τα διαγνωστικά αρχεία καταγραφής παραμένουν για σταθερή περίοδο» είναι αξιοποιήσιμο. Το «Ασαφής διατήρηση» δεν αρκεί για να κλείσει το ζήτημα.

Δοκιμάστε τις υποσχέσεις ασφάλειας σε σχέση με την υλοποίηση

Το άρθρο 32 απαιτεί μέτρα ασφάλειας κατάλληλα για τον κίνδυνο. Δεν επιβάλλει μία καθολική τεχνική διαμόρφωση. Αξιολογήστε τα μέτρα σε σχέση με την ευαισθησία, τον όγκο, την έκθεση των δεδομένων και τις πιθανές συνέπειες μιας παραβίασης.

Ένα παράρτημα πρέπει να εξηγεί αρκετά ώστε να μπορεί να αξιολογηθεί η υπηρεσία, χωρίς να απαιτεί αποκάλυψη λεπτομερειών που θα διευκόλυναν την εκμετάλλευση. Δώστε προτεραιότητα στην απομόνωση μισθωτών, την προνομιούχα πρόσβαση, την ταυτοποίηση, την κρυπτογράφηση, την ανθεκτικότητα, την ανάκτηση, τη διαχείριση ευπαθειών και τις δοκιμές. Προσδιορίστε τα μέτρα ελέγχου που λειτουργεί ο προμηθευτής και τις ρυθμίσεις που πρέπει να διαμορφώσει η ομάδα σας.

Αν η σύμβαση υπόσχεται περιορισμένη πρόσβαση υποστήριξης, ρωτήστε πώς ζητείται, εγκρίνεται, περιορίζεται χρονικά και καταγράφεται η πρόσβαση. Αν υπόσχεται κρυπτογράφηση, διακρίνετε την προστασία κατά τη μεταφορά από την προστασία σε κατάσταση ηρεμίας και, στη συνέχεια, διαπιστώστε ποιος ελέγχει τα κλειδιά και τι μπορούν ακόμη να διαβάσουν οι εξουσιοδοτημένοι χρήστες. Η κρυπτογράφηση δεν επιλύει τα υπερβολικά δικαιώματα εφαρμογών.

Για τη διαθεσιμότητα και την ανάκτηση, προσδιορίστε ποια αντίγραφα ασφαλείας υπάρχουν, πώς δοκιμάζεται η αποκατάσταση και αν οι συμβατικές δεσμεύσεις ανάκτησης καλύπτουν το προϊόν που αγοράζετε. Κρατήστε τους εμπορικούς στόχους διαθεσιμότητας ξεχωριστά από τις υποχρεώσεις ασφάλειας και προστασίας δεδομένων.

Τα πιστοποιητικά και οι εκθέσεις διασφάλισης μπορούν να υποστηρίξουν την αξιολόγηση, αλλά το πεδίο εφαρμογής τους έχει σημασία. Ελέγξτε την υπηρεσία, τη νομική οντότητα, την περίοδο αξιολόγησης, τις εξαιρέσεις και τις ευθύνες του πελάτη. Μια έκθεση για τον πάροχο φιλοξενίας δεν αποτελεί αποδεικτικό στοιχείο για κάθε μέτρο ελέγχου της εφαρμογής SaaS και η πιστοποίηση δεν αποδεικνύει συμμόρφωση με τον ΓΚΠΔ. Δείτε την αξιολόγηση της διασφάλισης ασφάλειας για την ευρύτερη επισκόπηση των αποδεικτικών στοιχείων.

Όπου το παράρτημα ασφάλειας ενσωματώνεται μέσω συνδέσμου ιστού, διατηρήστε την εφαρμοστέα έκδοση. Ελέγξτε αν οι αλλαγές μπορούν να μειώσουν την προστασία και πώς ενημερώνονται οι πελάτες. Αντιμετωπίστε μια σελίδα χωρίς ημερομηνία και με δυνατότητα αλλαγής ως πρόβλημα διαχείρισης αποδεικτικών στοιχείων προς επίλυση, αντί να υποθέτετε ότι είναι είτε αυτομάτως επαρκής είτε αυτομάτως άκυρη.

Ακολουθήστε την αλυσίδα υποεκτελούντων και αξιολογήστε ξεχωριστά τις διαβιβάσεις

Το άρθρο 28 παρ. 2 απαιτεί προηγούμενη ειδική ή γενική γραπτή άδεια για την πρόσληψη άλλου εκτελούντος την επεξεργασία. Σε περίπτωση γενικής άδειας, ο εκτελών την επεξεργασία πρέπει να ενημερώνει τον υπεύθυνο επεξεργασίας για τις σκοπούμενες προσθήκες ή αντικαταστάσεις και να του παρέχει τη δυνατότητα να αντιταχθεί. Το άρθρο 28 παρ. 4 απαιτεί να μετακυλίονται οι σχετικές υποχρεώσεις προστασίας δεδομένων· ο αρχικός εκτελών την επεξεργασία παραμένει πλήρως υπεύθυνος έναντι του υπευθύνου επεξεργασίας για την εκπλήρωση των υποχρεώσεων αυτών από τον υποεκτελούντα.

Αποκτήστε έναν αξιοποιήσιμο κατάλογο που να δείχνει τη νομική ταυτότητα, τη λειτουργία, τα σχετικά δεδομένα και τις τοποθεσίες επεξεργασίας κάθε παρόχου. Δεν είναι κάθε εξάρτηση από προμηθευτή υποεκτελών, αλλά οι πάροχοι υποδομής, υποστήριξης και αναλύσεων δεν πρέπει να εξαφανίζονται από την επισκόπηση απλώς επειδή λειτουργούν πίσω από τη διεπαφή του προϊόντος.

Αξιολογήστε τον μηχανισμό αλλαγών:

• Φτάνει η ειδοποίηση σε μια παρακολουθούμενη διεύθυνση ή σε ορισμένο υπεύθυνο;
• Υπάρχουν αρκετές πληροφορίες και χρόνος για την αξιολόγηση της προτεινόμενης αλλαγής;
• Πώς υποβάλλεται και επιλύεται μια αντίρρηση;
• Τι συμβαίνει αν δεν υπάρχει αποδεκτή εναλλακτική;

Ένα συμβατικό δικαίωμα που κανείς δεν μπορεί να ασκήσει στην πράξη είναι προειδοποιητικό σημάδι. Εγγράψτε την κατάλληλη ομάδα στις ειδοποιήσεις και καταγράψτε ποιος αξιολογεί τις ειδοποιήσεις.

Η φιλοξενία στην ΕΕ είναι σχετική, αλλά δεν ολοκληρώνει την αξιολόγηση των διαβιβάσεων. Εξετάστε τους πραγματικούς αποδέκτες, τις ρυθμίσεις απομακρυσμένης πρόσβασης, τις τοποθεσίες υποστήριξης και τις περαιτέρω διαβιβάσεις. Εξίσου, η ξένη ιδιοκτησία από μόνη της δεν αποτελεί πλήρη περιγραφή μιας διαβίβασης: τεκμηριώστε τις πραγματικές οντότητες και διαδρομές πρόσβασης.

Όπου εφαρμόζεται το Κεφάλαιο V, προσδιορίστε τον σχετικό μηχανισμό διαβίβασης και τυχόν απαραίτητη υποστηρικτική αξιολόγηση ή μέτρα. Κρατήστε αυτή την ανάλυση συνδεδεμένη με την επισκόπηση του προμηθευτή, αλλά διακριτή από τη συμμόρφωση με το άρθρο 28. Μια DPA και μια ρύθμιση περιφερειακής φιλοξενίας δεν απαντούν από μόνες τους σε όλα τα ερωτήματα διαβίβασης.

Κάντε τις υποχρεώσεις συνδρομής εκτελέσιμες

Γνωστοποίηση παραβίασης και παράδοση περιστατικού

Σύμφωνα με το άρθρο 33 παρ. 2, ο εκτελών την επεξεργασία πρέπει να γνωστοποιεί στον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση, αφού λάβει γνώση μιας παραβίασης δεδομένων προσωπικού χαρακτήρα. Ο υπεύθυνος επεξεργασίας αξιολογεί χωριστά τη γνωστοποίηση στην εποπτική αρχή, η οποία απαιτείται χωρίς αδικαιολόγητη καθυστέρηση και, ει δυνατόν, εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση, εκτός αν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.

Μη δίνετε στον εκτελούντα την επεξεργασία την προθεσμία του υπευθύνου επεξεργασίας ως προεπιλεγμένη περίοδο αναμονής του. Μια πρακτική σύμβαση πρέπει να ορίζει άμεση αρχική γνωστοποίηση, κατονομαζόμενα κανάλια και σταδιακές ενημερώσεις. Ένας συμφωνημένος στόχος γνωστοποίησης είναι λειτουργική σύσταση· δεν αντικαθιστά το νόμιμο πρότυπο.

Ζητήστε τις πληροφορίες που χρειάζονται για την αξιολόγηση των επηρεαζόμενων δεδομένων, προσώπων, συστημάτων, των πιθανών συνεπειών, του περιορισμού και της ανάκτησης. Η πρώτη ειδοποίηση μπορεί να είναι ελλιπής, γι’ αυτό ορίστε πώς ακολουθούν οι ενημερώσεις και τα αποδεικτικά στοιχεία. Ο υπεύθυνος επεξεργασίας πρέπει επίσης να αξιολογήσει αν ο υψηλός κίνδυνος απαιτεί ανακοίνωση στα επηρεαζόμενα πρόσωπα σύμφωνα με το άρθρο 34, με την επιφύλαξη των εξαιρέσεών του, και να τεκμηριώσει την αξιολόγηση της παραβίασης, συμπεριλαμβανομένων των λόγων μη γνωστοποίησης. Επισκοπήστε προσεκτικά το έναυσμα της γνωστοποίησης: μια διαδικασία που περιμένει την ολοκλήρωση της διερεύνησης της βασικής αιτίας μπορεί να καθυστερήσει την αξιολόγηση του υπευθύνου επεξεργασίας.

Δοκιμάστε την παράδοση με ένα σενάριο άσκησης επί χάρτου. Επιβεβαιώστε ότι η ειδοποίηση φτάνει στους υπευθύνους απόκρισης σε περιστατικά και στους αξιολογητές προστασίας δεδομένων εκτός του κανονικού ωραρίου, και όχι μόνο σε έναν υπεύθυνο λογαριασμού.

Αιτήματα υποκειμένων των δεδομένων

Η συνδρομή του εκτελούντος την επεξεργασία πρέπει να καθιστά εφικτή τη δική σας διαδικασία απόκρισης σε αιτήματα άσκησης δικαιωμάτων. Δοκιμάστε αν τα αρχεία μπορούν να εντοπιστούν στο περιεχόμενο, στα συνημμένα, στα ευρετήρια και στις εξαγωγές και αν η διαγραφή ή η διόρθωση φτάνει στα σχετικά στοιχεία.

Συμφωνήστε την οδό απόκρισης και τον αναμενόμενο χρόνο διεκπεραίωσης. Οι υπεύθυνοι επεξεργασίας έχουν κατά κανόνα έναν μήνα για να απαντήσουν σε ένα αίτημα, με την επιφύλαξη των όρων παράτασης του ΓΚΠΔ· η συνδρομή του προμηθευτή πρέπει να αφήνει χώρο για ελέγχους ταυτότητας, νομική αξιολόγηση και ασφαλή παράδοση. Ο προμηθευτής πρέπει κατά κανόνα να προωθεί σε εσάς τα αιτήματα που αφορούν την επεξεργασία κατ’ εντολή σας, αντί να αποφασίζει ανεξάρτητα για την έκβασή τους.

Οι χρεώσεις και τα όρια της υπηρεσίας αξίζουν επισκόπηση. Οι αμοιβές για πρόσθετη συνδρομή δεν απαγορεύονται αυτομάτως, αλλά δεν πρέπει να καθιστούν αναποτελεσματική την υποχρεωτική συνδρομή. Συνδέστε τη διαδικασία με τη ροή εργασίας για αιτήματα πρόσβασης του υποκειμένου.

Επιστροφή, διαγραφή και αντίγραφα ασφαλείας

Στη λήξη της υπηρεσίας, το άρθρο 28 απαιτεί διαγραφή ή επιστροφή κατ’ επιλογή του υπευθύνου επεξεργασίας και διαγραφή των υφιστάμενων αντιγράφων, εκτός αν το δίκαιο της Ένωσης ή του κράτους μέλους απαιτεί την αποθήκευσή τους. Διαπιστώστε τι σημαίνει αυτό τεχνικά πριν αγοράσετε.

Ελέγξτε την πληρότητα της εξαγωγής, τον μορφότυπο, το παράθυρο διαθεσιμότητας και αν εξαιρούνται συνημμένα ή διαμόρφωση. Για τη διαγραφή, διακρίνετε ενεργά αρχεία, κρυφές μνήμες, αντίγραφα αναπαραγωγής, αρχεία καταγραφής και αντίγραφα ασφαλείας. Αν η διαγραφή αντιγράφων ασφαλείας ακολουθεί προγραμματισμένο κύκλο, τεκμηριώστε την περίοδο, τους περιορισμούς πρόσβασης και τα μέτρα που αποτρέπουν την επανεισαγωγή διαγραμμένων αρχείων μέσω αποκατάστασης.

Ρωτήστε πώς αποδεικνύεται η ολοκλήρωση και πώς προσδιορίζεται η νόμιμα απαιτούμενη διατήρηση. Αποφύγετε να βασίζεστε στο «ο λογαριασμός έκλεισε» ως απόδειξη ότι τα δεδομένα προσωπικού χαρακτήρα έχουν αφαιρεθεί.

Επισκοπήστε τα δικαιώματα ελέγχου, την ευθύνη και τις εκκρεμείς ρήτρες

Οι διατάξεις ελέγχου πρέπει να παρέχουν ουσιαστική διασφάλιση, προστατεύοντας ταυτόχρονα τους άλλους πελάτες και τα νόμιμα συμφέροντα ασφάλειας. Ο εύλογος προγραμματισμός, η εμπιστευτικότητα και η χρήση ανεξάρτητων εκθέσεων μπορούν να καταστήσουν τους ελέγχους εφαρμόσιμους. Ωστόσο, μια ρήτρα που προβλέπει μόνο πιστοποιητικά, χωρίς δυνατότητα απόκτησης των απαραίτητων πληροφοριών ή αντιμετώπισης ουσιωδών ανησυχιών, δικαιολογεί νομική επισκόπηση σε σχέση με το άρθρο 28 παρ. 3 στοιχείο η).

Προσδιορίστε την οδό κλιμάκωσης όταν τα αποδεικτικά στοιχεία είναι ανεπαρκή, όταν συμβαίνει περιστατικό ή όταν μια ρυθμιστική αρχή απαιτεί πληροφορίες. Εξετάστε μαζί το κόστος των ελέγχων, τις προθεσμίες ειδοποίησης και τους περιορισμούς· η συνδυασμένη επίδρασή τους μετρά περισσότερο από οποιαδήποτε μεμονωμένη φράση.

Οι ρήτρες ευθύνης χρειάζονται ξεχωριστή εμπορική αξιολόγηση. Η αποζημίωση κατά το άρθρο 82 εξαρτάται από τους όρους ευθύνης του κανονισμού· οι εκτελούντες την επεξεργασία δεν ευθύνονται αυτομάτως για κάθε αποτυχία του υπευθύνου επεξεργασίας. Όπου περισσότερα μέρη ευθύνονται σύμφωνα με το άρθρο 82, οι κανόνες μπορούν να τα καταστήσουν υπεύθυνα για το σύνολο της ζημίας ώστε να εξασφαλιστεί πραγματική αποζημίωση. Ένα συμβατικό ανώτατο όριο δεν περιορίζει τα νόμιμα δικαιώματα των φυσικών προσώπων. Η επίδρασή του στην κατανομή και στην ανάκτηση μεταξύ των μερών χρειάζεται νομική επισκόπηση.

Αν ο προμηθευτής αρνείται τροποποιήσεις, διακρίνετε τρεις εκβάσεις:

• Διευκρίνιση: αποκτήστε έγκυρη διατύπωση ή αποδεικτικά στοιχεία που επιλύουν την ασάφεια.
• Υπό όρους αποδοχή: εγκρίνετε μια νόμιμη ρύθμιση με τεκμηριωμένο εμπορικό ή λειτουργικό υπολειπόμενο κίνδυνο και καθορισμένες διασφαλίσεις.
• Μη συνέχιση: σταματήστε ή επανασχεδιάστε την επεξεργασία όπου απαιτούμενες υποχρεώσεις παραμένουν ανεκπλήρωτες.

Η αποδοχή από τη διοίκηση δεν μπορεί να καταστήσει νόμιμη μια παράνομη ρύθμιση. Ο ΥΠΔ, όπου έχει οριστεί, συμβουλεύει και παρακολουθεί ανεξάρτητα· ο υπόλογος επιχειρησιακός υπεύθυνος λαμβάνει τις αποφάσεις για την υπηρεσία με τη συμβολή του νομικού τμήματος και της προστασίας δεδομένων. Μην αναθέτετε στον ΥΠΔ την ευθύνη καθορισμού των σκοπών ή των μέσων της επεξεργασίας.

Επιθεωρήστε τις λειτουργίες ΤΝ ως πρόσθετες διαδρομές επεξεργασίας

Οι λειτουργίες ΤΝ εισάγουν εισόδους, εξόδους και ενδιάμεσα τεχνουργήματα που τα παλαιότερα παραρτήματα ενδέχεται να μην περιγράφουν. Επισκοπήστε εντολές (prompts), ανακτημένα έγγραφα, ενσωματώσεις (embeddings), παραγόμενες απαντήσεις, ανατροφοδότηση, αρχεία παρακολούθησης κατάχρησης και πρόσβαση για ανθρώπινη επισκόπηση, όπου είναι σχετικό.

Διαπιστώστε αν τα δεδομένα των πελατών χρησιμοποιούνται για την εκπαίδευση ή τη βελτίωση μοντέλων, ποιων τους σκοπούς εξυπηρετεί αυτό και ποια οντότητα εκτελεί την επεξεργασία. Το «καμία εκπαίδευση» δεν ισοδυναμεί με «καμία διατήρηση» και καμία από τις δύο υποσχέσεις δεν αποδεικνύει ότι τα αρχεία υποστήριξης ή παρακολούθησης δεν περιέχουν δεδομένα προσωπικού χαρακτήρα.

Ελέγξτε ότι οι δεσμεύσεις ισχύουν για το αγορασμένο επίπεδο, τα ενεργοποιημένα τελικά σημεία και τους κατάντη παρόχους μοντέλων. Επιβεβαιώστε τις ρυθμίσεις διατήρησης, τις εξαιρέσεις και τη συμπεριφορά διαγραφής. Αν ένας προμηθευτής ισχυρίζεται ανωνυμοποίηση, ρωτήστε τι στηρίζει αυτόν τον ισχυρισμό αντί να υποθέτετε ότι τα τεχνουργήματα του μοντέλου είναι ανώνυμα.

Καταγράψτε μαζί τη συμβατική δέσμευση και τα αποδεικτικά στοιχεία διαμόρφωσης. Κάθε νέος σκοπός απαιτεί τη δική του αξιολόγηση ρόλου και νομιμότητας· η DPA δεν παρέχει αυτή τη νομική βάση. Η εφαρμοσιμότητα της Πράξης για την Τεχνητή Νοημοσύνη είναι επίσης ξεχωριστό ζήτημα, όχι κάτι που ικανοποιείται με την υπογραφή όρων εκτελούντος την επεξεργασία.

Παράδειγμα: λογισμικό υποστήριξης με προαιρετική σύνοψη

Ας υποθέσουμε, ενδεικτικά, ότι μια επιχείρηση SaaS θέλει μια πλατφόρμα υποστήριξης που περιέχει ονόματα, επαγγελματικές διευθύνσεις ηλεκτρονικού ταχυδρομείου, κείμενο αιτημάτων και συνημμένα. Τα αιτήματα μπορεί κατά λάθος να περιέχουν ευαίσθητες πληροφορίες. Μια προαιρετική λειτουργία ΤΝ συνοψίζει τις συνομιλίες.

Το σχέδιο DPA περιγράφει την επεξεργασία αιτημάτων και την αποθήκευση στην ΕΕ. Η τεχνική περιήγηση αποκαλύπτει έναν πάροχο σύνοψης, πρόσβαση υποστήριξης από άλλη περιοχή και διαγνωστική διατήρηση που διαφέρει από τη διατήρηση των αιτημάτων.

Η επισκόπηση παράγει τέσσερις συγκεκριμένες ενέργειες:

1. Ολοκληρώστε το πεδίο εφαρμογής. Προσθέστε συνημμένα, διαγνωστικά αναγνωριστικά και επεξεργασία μέσω ΤΝ στην περιγραφή· ελέγξτε αν ο προμηθευτής χρησιμοποιεί οποιοδήποτε περιεχόμενο για δικούς του σκοπούς.
2. Επιλύστε την αλυσίδα παρόχων. Αποκτήστε την ταυτότητα του παρόχου του μοντέλου, τις τοποθεσίες επεξεργασίας, τις δεσμεύσεις διατήρησης και την κάλυψη εξουσιοδότησης. Αξιολογήστε ξεχωριστά τις σχετικές διαβιβάσεις.
3. Επικυρώστε τη συμπεριφορά του κύκλου ζωής. Περάστε ένα συνθετικό αίτημα από εξαγωγή και διαγραφή. Αποκτήστε την εξήγηση για τη διατήρηση αντιγράφων ασφαλείας και διαγνωστικών δεδομένων αντί να υποθέτετε ότι η διαγραφή του αιτήματος αφαιρεί κάθε αντίγραφο.
4. Ορίστε προϋπόθεση ενεργοποίησης. Κρατήστε τη σύνοψη απενεργοποιημένη έως ότου επισκοπηθούν η σύμβαση και η ροή δεδομένων της. Ορίστε τη δρομολόγηση για ειδοποιήσεις παραβιάσεων και αλλαγές υποεκτελούντων πριν από την παραγωγική χρήση.

Το αρχείο απόφασης διακρίνει τα αποδεικτικά στοιχεία που ελήφθησαν από τα ερωτήματα που παραμένουν ανοιχτά. Αν η βασική υπηρεσία είναι αποδεκτή, η έγκριση μπορεί ρητά να εξαιρεί τη λειτουργία ΤΝ. Το όριο αυτό πρέπει να υπάρχει και στη διαμόρφωση και στον έλεγχο αλλαγών· μια σημείωση στον φάκελο επισκόπησης δεν θα εμποδίσει κάποιον να την ενεργοποιήσει αργότερα.

Διατηρήστε την απόφαση και ανοίξτε την ξανά όταν αλλάζει η υπηρεσία

Κρατήστε μαζί την εφαρμοστέα έκδοση της σύμβασης, το πεδίο της επεξεργασίας, το διάγραμμα ροής δεδομένων, τα αποδεικτικά στοιχεία διασφάλισης, την αξιολόγηση διαβιβάσεων, το αρχείο αποκλίσεων και την έγκριση. Καταγράψτε τους αποδεκτούς υπολειπόμενους κινδύνους, τις προϋποθέσεις, τους υπευθύνους και τις ημερομηνίες παρακολούθησης. Διατηρήστε τον λόγο για τον οποίο έγινε αποδεκτή μια ρύθμιση, όχι μόνο την κατάστασή της.

Επισκοπήστε ξανά όταν αλλάζουν ουσιωδώς οι σκοποί της επεξεργασίας, οι ενεργοποιημένες λειτουργίες, οι υποεκτελούντες, οι τοποθεσίες ή οι συμβατικοί όροι. Συμπεριλάβετε τα σημαντικά περιστατικά και τα νέα αποδεικτικά στοιχεία αδυναμιών μέτρων ελέγχου ως εναύσματα. Μια προγραμματισμένη επισκόπηση συμπληρώνει αυτά τα εναύσματα αντί να τα αντικαθιστά.

Το Secani μπορεί να υποστηρίξει αυτή τη ροή εργασίας μοντελοποιώντας την υπηρεσία και τους εξωτερικούς παρόχους, συνδέοντας αποδεικτικά στοιχεία με απαιτήσεις και αποφάσεις και αναθέτοντας τα κενά της επισκόπησης σε υπευθύνους. Τα συμπεράσματα που επισκοπούνται από ανθρώπους, οι σύνδεσμοι πηγών, τα σχόλια και οι εγκρίσεις διατηρούν το σκεπτικό πίσω από την αποδοχή. Αυτό συνδέει την επισκόπηση της σύμβασης με τη διαχείριση κινδύνων τρίτων χωρίς να αντιμετωπίζει το λογισμικό ως υποκατάστατο της νομικής ή τεχνικής κρίσης.

Χρειάζεται η σύμβαση ιδιόχειρη υπογραφή;

Το άρθρο 28 παρ. 9 απαιτεί γραπτή μορφή, συμπεριλαμβανομένης της ηλεκτρονικής μορφής. Η ιδιόχειρη υπογραφή δεν απαιτείται εγγενώς. Διατηρήστε αποδεικτικά στοιχεία δεσμευτικής αποδοχής και την ισχύουσα έκδοση· ζητήστε από τους νομικούς αξιολογητές να επιλύσουν την αβεβαιότητα σχετικά με την ηλεκτρονική ενσωμάτωση ή τους αντικρουόμενους όρους.

Πρέπει κάθε υποεκτελών να κατονομάζεται μέσα στη DPA;

Το άρθρο 28 δεν προβλέπει σταθερό κατάλογο εντός του εγγράφου. Ένας συντηρούμενος κατάλογος μπορεί να υποστηρίξει την εξουσιοδότηση, υπό την προϋπόθεση ότι η ρύθμιση παρέχει τις απαιτούμενες πληροφορίες, τις ειδοποιήσεις αλλαγών και τη δυνατότητα αντίρρησης. Διατηρήστε τον κατάλογο που είναι σχετικός με την επισκόπησή σας.

Για την επόμενη επισκόπηση προμηθευτή, ξεκινήστε με μία αντιπροσωπευτική ροή δεδομένων και τη μήτρα του άρθρου 28. Επιλύστε την αναντιστοιχία μεταξύ συμβατικών υποσχέσεων και παρατηρήσιμης λειτουργίας πριν εξουσιοδοτήσετε επεξεργασία στην παραγωγή.