Pārskatiet datu apstrādes līgumu, salīdzinot to ar reālo pakalpojumu

Datu apstrādes līgums kļūst noderīgs, kad tā apraksts atbilst faktiskajam pakalpojumam. Līgums, kas izskatās pilnīgs, joprojām var aprakstīt nepareizus datus, izlaist atbalsta pakalpojumu sniedzēju vai solīt dzēšanu, ko produkts nespēj veikt.

Tehnoloģiju direktoram pārskatīšana sasaista juridiskās saistības ar arhitektūru, konfigurāciju un darbības procedūrām. Juridiskie vai privātuma kolēģi interpretē klauzulas; inženieri nosaka, vai šīs klauzulas apraksta realitāti. Rezultātam jābūt pamatojamam lēmumam par pakalpojumu, ko atbalsta pierādījumi un skaidrs neatrisināto nosacījumu saraksts, nevis vienkārši parakstītam PDF failam.

Nosakiet piegādātāja lomu, pirms pārskatāt klauzulas

Sāciet, nosakot, vai piegādātājs attiecīgajā apstrādē darbojas kā apstrādātājs. Saskaņā ar VDAR apstrādātājs apstrādā personas datus pārziņa vārdā. Ne katrās attiecībās ar piegādātāju ir šāda loma, un vienam piegādātājam dažādās darbībās var būt dažādas lomas.

Mitināta atbalsta platforma var apstrādāt klientu pieteikumus saskaņā ar jūsu norādījumiem, vienlaikus darbojoties kā atsevišķs pārzinis attiecībā uz daļu no savas kontu administrēšanas. Ja tās noteikumi arī atļauj izmantot pieteikumu saturu neatkarīgi noteiktiem nolūkiem, šai darbībai nepieciešama atsevišķa analīze. Visa nosaukšana par „pakalpojuma uzlabošanu” lomu neatrisina.

Pirms līguma anotēšanas sagatavojiet īsu tvēruma aprakstu:

• Identificējiet līgumslēdzēju juridisko personu, produktu, abonementa līmeni un ieslēgtās funkcijas.
• Aprakstiet, kāpēc jūsu organizācija izmanto pakalpojumu un kuru personas datus tas apstrādā.
• Nodaliet apstrādi pēc norādījumiem no jebkādiem piegādātāja noteiktiem nolūkiem.
• Nosauciet iekšējo pakalpojuma īpašnieku un juridisko vai privātuma pārskatītāju.

Datu apstrādes līgums nav 6. pantā paredzētais likumīgais pamats, un tas arī automātiski neizpilda starptautiskās pārsūtīšanas prasības. Šie jautājumi paliek atsevišķi. Ja jūsu organizācija pati ir apstrādātājs, pirms piegādātāja piesaistīšanas par apakšapstrādātāju identificējiet augšupējā pārziņa norādījumus un atļaujas nosacījumus.

Izveidojiet 28. panta pārskatīšanas matricu

VDAR 28. pants prasa saistošu līgumu vai citu atbilstošu tiesību aktu, kas reglamentē apstrādātāja darbību. Tajā jāapraksta apstrādes priekšmets un ilgums, raksturs un nolūks, personas datu veids, datu subjektu kategorijas un pārziņa tiesības un pienākumi.

Šīm detaļām jāidentificē faktiskā apstrāde. „Visi dati, kas nepieciešami pakalpojumu sniegšanai” var atstāt pārskatītājus nespējīgus noteikt, vai ir aptverti darbinieku ieraksti, klientu ziņojumi vai sensitīvi pielikumi. Pārbaudiet pielikumus pret konfigurēto produktu, ieskaitot neobligātās integrācijas.

Izmantojiet šo matricu, lai pārbaudītu nepieciešamos apstrādātāja pienākumus. Pierādījumu kolonnā ir praktiski pārskatīšanas ieteikumi, nevis likumā noteikta prasība iegūt katru nosaukto dokumentu.

Apstrādātājam arī nekavējoties jāinformē pārzinis, ja, tā prāt, kāds norādījums pārkāpj piemērojamos datu aizsardzības tiesību aktus. Pārbaudiet, kur šis paziņojums nonāk un kas to var atrisināt.

Atzīmējiet katru prasību kā aptvertu, neskaidru vai trūkstošu, norādot atsauci uz klauzulu. Neklasificējiet obligātu izlaidumu kā parastu komerciālu preferenci. 28. panta 1. punkts arī prasa pārziņiem izmantot apstrādātājus, kas sniedz pietiekamas garantijas; līguma formulējums viens pats to nevar pierādīt.

Izsekojiet reprezentatīvu ierakstu cauri pakalpojumam

Izvēlieties reālistisku ierakstu un sekojiet tam no uzņemšanas līdz iznīcināšanai. Klientu atbalsta pakalpojumam tas varētu būt pieteikums, kas satur vārdu, e-pasta adresi, konta identifikatoru un pielikumu. Testējot dodiet priekšroku sintētiskiem datiem.

Kartējiet vākšanu, uzņemšanu caur API, primāro glabāšanu, indeksēšanu, analītiku, atbalsta piekļuvi, eksportus, integrācijas, rezerves kopijas un dzēšanu. Pajautājiet, kuri komponenti saņem saturu un kuri saņem tikai metadatus. Žurnālos un diagnostikas trasēs bieži ir identifikatori pat tad, ja galvenās lietotnes tvērums ir noteikts pareizi.

Katram posmam reģistrējiet atbildīgo juridisko personu, apstrādes nolūku, atrašanās vietu, piekļuves ceļu un glabāšanas periodu. Salīdziniet rezultātu ar datu apstrādes līgumu, drošības pielikumu, apakšapstrādātāju sarakstu un pārsūtīšanas kārtību.

Pievērsiet īpašu uzmanību funkcijām, kuras administratori var aktivizēt bez iepirkuma iesaistes: transkripcijai, bagātināšanai, MI kopsavilkumiem, ārējiem tīmekļa āķiem (webhooks) un atbalsta sesiju ierakstīšanai. Līgums, kas pārskatīts pamatproduktam, var neadekvāti aprakstīt ieslēgto pakalpojumu.

Nodevums var būt vienkārša datu plūsmas diagramma un neatbilstību žurnāls. Katrai neatbilstībai jāidentificē līgumiskais apgalvojums, novērotā uzvedība, sekas, īpašnieks un risinājums. Piemēram, „Datu apstrādes līgums apraksta klienta kontrolētu glabāšanu; diagnostikas žurnāli paliek uz noteiktu laiku” ir rīcībai piemērots. „Glabāšana neskaidra” nav pietiekami, lai problēmu slēgtu.

Pārbaudiet drošības solījumus pret ieviešanu

32. pants prasa riskam atbilstošus drošības pasākumus. Tas neuzliek vienu universālu tehnisko konfigurāciju. Novērtējiet pasākumus pret datu sensitivitāti, apjomu, atklātību un iespējamām kompromitēšanas sekām.

Pielikumam jāpaskaidro pietiekami, lai novērtētu pakalpojumu, neprasot atklāt izmantošanai sensitīvas detaļas. Piešķiriet prioritāti nomnieku izolācijai, priviliģētai piekļuvei, autentifikācijai, šifrēšanai, noturībai, atjaunošanai, ievainojamību pārvaldībai un testēšanai. Identificējiet kontroles, kuras darbina piegādātājs, un iestatījumus, kas jākonfigurē jūsu komandai.

Ja līgums sola ierobežotu atbalsta piekļuvi, pajautājiet, kā piekļuve tiek pieprasīta, apstiprināta, laika ziņā ierobežota un žurnālēta. Ja tas sola šifrēšanu, nošķiriet aizsardzību pārsūtīšanas laikā no aizsardzības glabāšanā, pēc tam noskaidrojiet, kas kontrolē atslēgas un ko autorizēti lietotāji joprojām var lasīt. Šifrēšana neatrisina pārmērīgas lietotnes atļaujas.

Pieejamībai un atjaunošanai nosakiet, kādas rezerves kopijas pastāv, kā tiek testēta atjaunošana un vai līgumiskās atjaunošanas saistības aptver produktu, ko iegādājaties. Komerciālos darbspējas laika mērķus turiet atsevišķi no drošības un privātuma pienākumiem.

Sertifikāti un pārliecības ziņojumi var atbalstīt novērtējumu, taču nozīme ir to tvērumam. Pārbaudiet pakalpojumu, juridisko personu, novērtējuma periodu, izņēmumus un klienta pienākumus. Ziņojums par mitināšanas pakalpojumu sniedzēju nav pierādījums katrai SaaS lietotnes kontrolei, un sertifikācija nepierāda atbilstību VDAR. Plašāku pierādījumu pārskatīšanu skatiet rakstā par drošības pārliecības novērtēšanu.

Ja drošības pielikums ir iekļauts ar tīmekļa saiti, saglabājiet piemērojamo versiju. Pārskatiet, vai izmaiņas var samazināt aizsardzību un kā klienti tiek informēti. Uzskatiet nedatētu, maināmu lapu par pierādījumu pārvaldības problēmu, kas jāatrisina, nevis pieņemiet, ka tā ir vai nu automātiski pietiekama, vai automātiski nederīga.

Sekojiet apakšapstrādātāju ķēdei un novērtējiet pārsūtīšanu atsevišķi

28. panta 2. punkts prasa iepriekšēju konkrētu vai vispārēju rakstisku atļauju cita apstrādātāja piesaistīšanai. Vispārējas atļaujas gadījumā apstrādātājam jāinformē pārzinis par plānotajiem papildinājumiem vai aizstāšanu un jādod iespēja iebilst. 28. panta 4. punkts prasa, lai attiecīgie datu aizsardzības pienākumi tiktu nodoti tālāk; sākotnējais apstrādātājs paliek pilnībā atbildīgs pārziņa priekšā par to, kā apakšapstrādātājs pilda šos pienākumus.

Iegūstiet izmantojamu sarakstu, kurā norādīta katra pakalpojumu sniedzēja juridiskā identitāte, funkcija, attiecīgie dati un apstrādes vietas. Ne katra atkarība no piegādātāja ir apakšapstrādātājs, taču infrastruktūras, atbalsta un analītikas pakalpojumu sniedzēji nedrīkst pazust no pārskatīšanas tikai tāpēc, ka tie darbojas aiz produkta saskarnes.

Novērtējiet izmaiņu mehānismu:

• Vai paziņojums nonāk uzraudzītā adresē vai pie norīkota īpašnieka?
• Vai ir pietiekami daudz informācijas un laika, lai novērtētu ierosinātās izmaiņas?
• Kā tiek iesniegts un atrisināts iebildums?
• Kas notiek, ja nav pieejamas pieņemamas alternatīvas?

Līgumiskas tiesības, kuras neviens nevar izmantot praksē, ir brīdinājuma zīme. Pierakstiet atbilstošo komandu paziņojumu saņemšanai un reģistrējiet, kas novērtē paziņojumus.

Mitināšana ES ir būtiska, taču tā nepabeidz pārsūtīšanas novērtējumu. Pārbaudiet faktiskos saņēmējus, attālinātās piekļuves kārtību, atbalsta atrašanās vietas un tālākas pārsūtīšanas. Tāpat ārvalstu īpašumtiesības vien nav pilnīgs pārsūtīšanas apraksts: dokumentējiet faktiskās juridiskās personas un piekļuves ceļus.

Ja piemērojama V nodaļa, identificējiet attiecīgo pārsūtīšanas mehānismu un jebkuru nepieciešamo papildu novērtējumu vai pasākumus. Uzturiet šo analīzi saistītu ar piegādātāja pārskatīšanu, bet nodalītu no atbilstības 28. pantam. Datu apstrādes līgums un reģionāls mitināšanas iestatījums neatbild uz visiem pārsūtīšanas jautājumiem patstāvīgi.

Padariet palīdzības pienākumus izpildāmus

Paziņošana par pārkāpumiem un incidentu nodošana

Saskaņā ar 33. panta 2. punktu apstrādātājam bez nepamatotas kavēšanās jāpaziņo pārzinim, kad tas uzzinājis par personas datu aizsardzības pārkāpumu. Pārzinis atsevišķi novērtē paziņošanu uzraudzības iestādei, kas jāveic bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā no brīža, kad par to kļuvis zināms, ja vien nav maz ticams, ka pārkāpums radīs risku fizisku personu tiesībām un brīvībām.

Nedodiet apstrādātājam pārziņa termiņu kā tā noklusējuma gaidīšanas periodu. Praktiskā līgumā jānosaka ātrs sākotnējais paziņojums, nosaukti kanāli un pakāpeniski atjauninājumi. Saskaņots paziņošanas mērķis ir darbības ieteikums; tas neaizstāj likumā noteikto standartu.

Pieprasiet informāciju, kas nepieciešama, lai novērtētu ietekmētos datus, personas, sistēmas, iespējamās sekas, ierobežošanu un atjaunošanu. Pirmais paziņojums var būt nepilnīgs, tāpēc definējiet, kā sekos atjauninājumi un pierādījumi. Pārzinim arī jānovērtē, vai augsts risks prasa paziņot ietekmētajām personām saskaņā ar 34. pantu, ievērojot tā izņēmumus, un jādokumentē pārkāpuma novērtējums, ieskaitot iemeslus, kāpēc paziņojums netika sniegts. Rūpīgi pārskatiet paziņošanas ierosinātāju: process, kas gaida pabeigtu pamatcēloņa izmeklēšanu, var aizkavēt pārziņa novērtējumu.

Pārbaudiet nodošanu ar galda mācību scenāriju. Pārliecinieties, ka paziņojums sasniedz incidentu reaģētājus un privātuma pārskatītājus arī ārpus parastā darba laika, nevis tikai klientu vadītāju.

Datu subjektu pieprasījumi

Apstrādātāja palīdzībai jāpadara jūsu pašu tiesību nodrošināšanas process īstenojams. Pārbaudiet, vai ierakstus var atrast saturā, pielikumos, indeksos un eksportos un vai dzēšana vai labošana sasniedz attiecīgos komponentus.

Vienojieties par atbildes ceļu un paredzamo izpildes laiku. Pārziņiem parasti ir viens mēnesis, lai atbildētu uz pieprasījumu, ievērojot VDAR pagarināšanas nosacījumus; piegādātāja palīdzībai jāatstāj laiks identitātes pārbaudēm, juridiskajam novērtējumam un drošai piegādei. Piegādātājam parasti pieprasījumi par jūsu norādīto apstrādi jānovirza jums, nevis patstāvīgi jāizlemj par to iznākumu.

Maksas un pakalpojuma ierobežojumi ir jāpārskata. Maksa par papildu palīdzību nav automātiski aizliegta, taču tā nedrīkst padarīt obligāto palīdzību neefektīvu. Sasaistiet procedūru ar savu datu subjekta piekļuves pieprasījumu darbplūsmu.

Atdošana, dzēšana un rezerves kopijas

Pakalpojuma beigās 28. pants prasa dzēšanu vai atdošanu pēc pārziņa izvēles un esošo kopiju dzēšanu, ja vien Savienības vai dalībvalsts tiesību akti neprasa glabāšanu. Pirms iegādes noskaidrojiet, ko tas nozīmē tehniski.

Pārbaudiet eksporta pilnīgumu, formātu, pieejamības logu un to, vai pielikumi vai konfigurācija ir izslēgti. Dzēšanai nošķiriet aktīvos ierakstus, kešatmiņas, replikas, žurnālus un rezerves kopijas. Ja rezerves kopiju dzēšana notiek pēc plānota cikla, dokumentējiet periodu, piekļuves ierobežojumus un pasākumus, kas novērš dzēsto ierakstu atkārtotu ievadīšanu atjaunošanas laikā.

Pajautājiet, kā tiek pierādīta pabeigšana un kā tiek identificēta likumā noteiktā glabāšana. Nepaļaujieties uz „konts slēgts” kā pierādījumu, ka personas dati ir dzēsti.

Pārskatiet audita tiesības, atbildību un neatrisinātās klauzulas

Audita noteikumiem jānodrošina jēgpilna pārliecība, vienlaikus aizsargājot citus klientus un leģitīmas drošības intereses. Saprātīga plānošana, konfidencialitāte un neatkarīgu ziņojumu izmantošana var padarīt auditus īstenojamus. Tomēr klauzula, kas paredz tikai sertifikātus un nedod ceļu, kā iegūt nepieciešamo informāciju vai risināt būtiskas bažas, ir juridiski jāpārskata, ņemot vērā 28. panta 3. punkta h) apakšpunktu.

Nosakiet eskalācijas ceļu gadījumiem, kad pierādījumi ir nepietiekami, notiek incidents vai regulators pieprasa informāciju. Pārbaudiet audita izmaksas, paziņošanas termiņus un ierobežojumus kopā; to kopējā ietekme ir svarīgāka par jebkuru atsevišķu frāzi.

Atbildības klauzulām nepieciešams atsevišķs komerciāls novērtējums. Kompensācija saskaņā ar 82. pantu ir atkarīga no regulas atbildības nosacījumiem; apstrādātāji nav automātiski atbildīgi par katru pārziņa kļūmi. Ja saskaņā ar 82. pantu atbildīgas ir vairākas puses, noteikumi var tās padarīt atbildīgas par visu kaitējumu, lai nodrošinātu efektīvu kompensāciju. Līgumisks ierobežojums neierobežo personu likumā noteiktās tiesības. Tā ietekme uz atbildības sadalījumu un atgūšanu starp pusēm ir juridiski jāpārskata.

Ja piegādātājs atsakās veikt grozījumus, nošķiriet trīs iznākumus:

• Precizējums: iegūstiet autoritatīvu formulējumu vai pierādījumus, kas novērš neskaidrību.
• Nosacīta pieņemšana: apstipriniet likumīgu kārtību ar dokumentētu komerciālu vai darbības atlikušo risku un noteiktiem aizsardzības pasākumiem.
• Neturpināt: apturiet vai pārprojektējiet apstrādi, ja nepieciešamie pienākumi paliek neizpildīti.

Vadības pieņemšana nevar padarīt nelikumīgu kārtību likumīgu. Datu aizsardzības speciālists, ja tāds iecelts, konsultē un uzrauga neatkarīgi; atbildīgais biznesa īpašnieks pieņem lēmumus par pakalpojumu, ņemot vērā juridisko un privātuma ieguldījumu. Neuzticiet datu aizsardzības speciālistam atbildību par apstrādes nolūku vai līdzekļu noteikšanu.

Pārbaudiet MI funkcijas kā papildu apstrādes ceļus

MI funkcijas ievieš ievaddatus, izvaddatus un starpposma artefaktus, kurus vecāki pielikumi var neaprakstīt. Kur attiecināms, pārskatiet uzvednes, izgūtos dokumentus, iegulumus (embeddings), ģenerētās atbildes, atsauksmes, ļaunprātīgas izmantošanas uzraudzības ierakstus un cilvēku veiktas pārskatīšanas piekļuvi.

Noskaidrojiet, vai klientu dati tiek izmantoti modeļu apmācībai vai uzlabošanai, kuru nolūkiem tas kalpo un kura juridiskā persona veic apstrādi. „Bez apmācības” nav līdzvērtīgs „bez glabāšanas”, un neviens no šiem solījumiem nepierāda, ka atbalsta žurnālos vai uzraudzības ierakstos nav personas datu.

Pārbaudiet, vai saistības attiecas uz iegādāto līmeni, ieslēgtajiem galapunktiem un lejupējiem modeļu nodrošinātājiem. Apstipriniet glabāšanas iestatījumus, izņēmumus un dzēšanas uzvedību. Ja piegādātājs apgalvo anonimizāciju, pajautājiet, kas šo apgalvojumu pamato, nevis pieņemiet, ka modeļu artefakti ir anonīmi.

Reģistrējiet līgumisko saistību un konfigurācijas pierādījumus kopā. Jebkuram jaunam nolūkam nepieciešams savs lomas un likumības novērtējums; datu apstrādes līgums šo tiesisko pamatu nesniedz. MI akta piemērojamība arī ir atsevišķs jautājums, nevis kaut kas, ko izpilda, parakstot apstrādātāja noteikumus.

Praktisks piemērs: atbalsta programmatūra ar neobligātu kopsavilkumu funkciju

Pieņemsim ilustratīvi, ka SaaS uzņēmums vēlas atbalsta platformu, kurā glabājas vārdi, darba e-pasta adreses, pieteikumu teksts un pielikumi. Pieteikumos nejauši var būt sensitīva informācija. Neobligāta MI funkcija apkopo sarunas.

Datu apstrādes līguma projekts apraksta pieteikumu apstrādi un glabāšanu ES. Tehniskā izpēte atklāj kopsavilkumu pakalpojumu sniedzēju, atbalsta piekļuvi no cita reģiona un diagnostikas datu glabāšanu, kas atšķiras no pieteikumu glabāšanas.

Pārskatīšana rada četras konkrētas darbības:

1. Pabeidziet tvērumu. Papildiniet aprakstu ar pielikumiem, diagnostikas identifikatoriem un MI apstrādi; pārbaudiet, vai piegādātājs izmanto kādu saturu saviem nolūkiem.
2. Atrisiniet pakalpojumu sniedzēju ķēdi. Iegūstiet modeļa nodrošinātāja identitāti, apstrādes vietas, glabāšanas saistības un atļaujas tvērumu. Attiecīgās pārsūtīšanas novērtējiet atsevišķi.
3. Validējiet dzīves cikla uzvedību. Izlaidiet sintētisku pieteikumu cauri eksportam un dzēšanai. Iegūstiet skaidrojumu par rezerves kopiju un diagnostikas datu glabāšanu, nevis pieņemiet, ka pieteikuma dzēšana noņem katru kopiju.
4. Nosakiet laišanas klajā nosacījumu. Uzturiet kopsavilkumu funkciju atspējotu, līdz tās līgums un datu plūsma ir pārskatīti. Pirms ražošanas lietošanas nosakiet maršrutēšanu paziņojumiem par pārkāpumiem un apakšapstrādātāju izmaiņām.

Lēmuma ierakstā nošķirti saņemtie pierādījumi no joprojām atklātajiem jautājumiem. Ja pamatpakalpojums ir pieņemams, apstiprinājums var skaidri izslēgt MI funkciju. Šai robežai jāpastāv arī konfigurācijā un izmaiņu kontrolē; piezīme pārskatīšanas failā neliegs kādam to vēlāk ieslēgt.

Saglabājiet lēmumu un atkārtoti atveriet to, kad pakalpojums mainās

Glabājiet kopā piemērojamo līguma versiju, apstrādes tvērumu, datu plūsmas diagrammu, pārliecības pierādījumus, pārsūtīšanas novērtējumu, neatbilstību žurnālu un apstiprinājumu. Reģistrējiet pieņemtos atlikušos riskus, nosacījumus, īpašniekus un turpmāko pasākumu datumus. Saglabājiet iemeslu, kāpēc kārtība tika pieņemta, nevis tikai tās statusu.

Pārskatiet atkārtoti, kad būtiski mainās apstrādes nolūki, ieslēgtās funkcijas, apakšapstrādātāji, atrašanās vietas vai līguma noteikumi. Iekļaujiet nozīmīgus incidentus un jaunus pierādījumus par kontroļu nepilnībām kā ierosinātājus. Plānota pārskatīšana papildina šos ierosinātājus, nevis tos aizstāj.

Secani var atbalstīt šo darbplūsmu, modelējot pakalpojumu un ārējos pakalpojumu sniedzējus, sasaistot pierādījumus ar prasībām un lēmumiem un piešķirot pārskatīšanas robus īpašniekiem. Cilvēka pārskatīti secinājumi, saites uz avotiem, komentāri un apstiprinājumi saglabā pieņemšanas pamatojumu. Tas sasaista līguma pārskatīšanu ar trešo pušu riska pārvaldību, neuzskatot programmatūru par juridiska vai tehniska sprieduma aizstājēju.

Vai līgumam nepieciešams paraksts ar roku?

28. panta 9. punkts prasa rakstisku formu, tostarp elektronisku formu. Paraksts ar roku pēc būtības nav obligāts. Saglabājiet pierādījumus par saistošu pieņemšanu un spēkā esošo versiju; lūdziet juridiskajiem pārskatītājiem atrisināt neskaidrības par iekļaušanu tiešsaistē vai pretrunīgiem noteikumiem.

Vai katrs apakšapstrādātājs jānosauc pašā datu apstrādes līgumā?

28. pants nenosaka fiksētu sarakstu dokumenta iekšienē. Uzturēts saraksts var atbalstīt atļauju, ja kārtība nodrošina nepieciešamo informāciju, paziņojumus par izmaiņām un iespēju iebilst. Saglabājiet sarakstu, kas attiecas uz jūsu pārskatīšanu.

Nākamajai piegādātāja pārskatīšanai sāciet ar vienu reprezentatīvu datu plūsmu un 28. panta matricu. Pirms ražošanas apstrādes atļaušanas novērsiet neatbilstību starp līgumiskajiem solījumiem un novērojamo darbību.