Toets een verwerkersovereenkomst aan de werkelijke dienst

Een verwerkersovereenkomst wordt pas nuttig wanneer de beschrijving ervan overeenkomt met de werkelijke dienst. Een contract dat volledig oogt, kan nog steeds de verkeerde gegevens beschrijven, een supportleverancier weglaten of verwijdering beloven die het product niet kan uitvoeren.

Voor een CTO verbindt de review juridische toezeggingen met architectuur, configuratie en operationele procedures. Collega's van juridische zaken of privacy interpreteren de bepalingen; engineering stelt vast of die bepalingen de werkelijkheid beschrijven. Het resultaat moet een verdedigbaar besluit over de dienst zijn, onderbouwd met bewijs en een duidelijke lijst van openstaande voorwaarden, en niet simpelweg een ondertekende pdf.

Stel de rol van de leverancier vast voordat u bepalingen beoordeelt

Bepaal eerst of de leverancier voor de betreffende verwerking optreedt als verwerker. Onder de AVG verwerkt een verwerker persoonsgegevens ten behoeve van een verwerkingsverantwoordelijke. Niet elke leveranciersrelatie heeft die rol, en één leverancier kan voor verschillende activiteiten verschillende rollen hebben.

Een gehost supportplatform kan klanttickets volgens uw instructies verwerken en tegelijk als afzonderlijke verwerkingsverantwoordelijke optreden voor een deel van zijn eigen accountadministratie. Als de voorwaarden ook toestaan dat ticketinhoud wordt gebruikt voor zelfstandig bepaalde doeleinden, vereist die activiteit een afzonderlijke analyse. Alles "verbetering van de dienstverlening" noemen, beslecht de rolvraag niet.

Stel een korte scopebeschrijving op voordat u de overeenkomst gaat annoteren:

• Identificeer de contracterende entiteit, het product, het abonnementsniveau en de ingeschakelde functies.
• Beschrijf waarom uw organisatie de dienst gebruikt en wiens persoonsgegevens deze verwerkt.
• Scheid verwerking op instructie van eventuele door de leverancier bepaalde doeleinden.
• Benoem de interne eigenaar van de dienst en de juridische of privacyreviewer.

Een verwerkersovereenkomst is geen rechtsgrond in de zin van artikel 6, en voldoet ook niet automatisch aan de eisen voor internationale doorgifte. Die vragen blijven afzonderlijk. Als uw organisatie zelf verwerker is, stel dan de instructies en toestemmingsvoorwaarden van de verwerkingsverantwoordelijke stroomopwaarts vast voordat u de leverancier als subverwerker inschakelt.

Stel een reviewmatrix voor artikel 28 op

Artikel 28 AVG vereist een bindende overeenkomst of een andere geldige rechtshandeling die de activiteiten van de verwerker regelt. Daarin moeten het onderwerp en de duur, de aard en het doel, het soort persoonsgegevens, de categorieën van betrokkenen en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven.

Deze gegevens moeten de werkelijke verwerking identificeren. "Alle gegevens die nodig zijn om de diensten te leveren" kan reviewers in het ongewisse laten of personeelsdossiers, klantberichten of gevoelige bijlagen eronder vallen. Controleer de bijlagen aan de hand van het geconfigureerde product, inclusief optionele integraties.

Gebruik de volgende matrix om de vereiste verplichtingen van de verwerker te onderzoeken. De kolom met bewijs bevat praktische reviewaanbevelingen, geen wettelijke eis om elk genoemd document te verkrijgen.

De verwerker moet de verwerkingsverantwoordelijke ook onmiddellijk in kennis stellen als een instructie naar zijn mening inbreuk maakt op het toepasselijke gegevensbeschermingsrecht. Controleer waar die melding terechtkomt en wie haar kan afhandelen.

Markeer elke eis als gedekt, onduidelijk of ontbrekend, met een verwijzing naar de bepaling. Classificeer een ontbrekend verplicht onderdeel niet als een gewone commerciële voorkeur. Artikel 28, lid 1, verplicht verwerkingsverantwoordelijken bovendien om alleen verwerkers in te schakelen die afdoende garanties bieden; contractuele bewoordingen alleen kunnen dat niet aantonen.

Volg een representatief record door de dienst

Kies een realistisch record en volg het van invoer tot verwijdering. Voor een klantsupportdienst kan dat een ticket zijn met een naam, e-mailadres, account-ID en bijlage. Gebruik bij voorkeur synthetische gegevens bij het testen.

Breng verzameling, invoer via API's, primaire opslag, indexering, analyses, supporttoegang, exports, integraties, back-ups en verwijdering in kaart. Vraag welke componenten inhoud ontvangen en welke alleen metadata. Logs en diagnostische traces bevatten vaak identificatoren, zelfs wanneer de hoofdapplicatie correct is afgebakend.

Leg voor elke fase de verantwoordelijke entiteit, het verwerkingsdoel, de locatie, het toegangspad en de bewaartermijn vast. Vergelijk het resultaat met de verwerkersovereenkomst, de beveiligingsbijlage, de lijst van subverwerkers en de doorgifteregelingen.

Besteed bijzondere aandacht aan functies die beheerders kunnen activeren zonder betrokkenheid van inkoop: transcriptie, verrijking, AI-samenvattingen, externe webhooks en het opnemen van supportsessies. Een contract dat voor het basisproduct is beoordeeld, beschrijft de ingeschakelde dienst mogelijk niet toereikend.

Het resultaat kan een eenvoudig gegevensstroomdiagram met een afwijkingenlogboek zijn. Elke afwijking moet de contractuele bewering, het waargenomen gedrag, het gevolg, de eigenaar en de oplossing benoemen. Bijvoorbeeld: "Verwerkersovereenkomst beschrijft bewaring die door de klant wordt bepaald; diagnostische logs blijven een vaste periode bewaard" is bruikbaar. "Bewaring onduidelijk" is niet genoeg om het punt af te sluiten.

Toets beveiligingsbeloften aan de implementatie

Artikel 32 vereist beveiligingsmaatregelen die passen bij het risico. Het legt geen universele technische configuratie op. Beoordeel de maatregelen aan de hand van de gevoeligheid, het volume en de blootstelling van de gegevens en de waarschijnlijke gevolgen van een compromittering.

Een bijlage moet genoeg uitleggen om de dienst te beoordelen, zonder dat details hoeven te worden prijsgegeven die voor misbruik gevoelig zijn. Geef prioriteit aan tenantisolatie, geprivilegieerde toegang, authenticatie, versleuteling, weerbaarheid, herstel, kwetsbaarhedenbeheer en testen. Stel vast welke beheersmaatregelen de leverancier uitvoert en welke instellingen uw team moet configureren.

Als de overeenkomst beperkte supporttoegang belooft, vraag dan hoe toegang wordt aangevraagd, goedgekeurd, in tijd beperkt en gelogd. Als ze versleuteling belooft, maak dan onderscheid tussen bescherming tijdens transport en bescherming in rust, en stel vervolgens vast wie de sleutels beheert en wat bevoegde gebruikers nog kunnen lezen. Versleuteling lost buitensporige applicatierechten niet op.

Stel voor beschikbaarheid en herstel vast welke back-ups er bestaan, hoe het terugzetten wordt getest en of contractuele hersteltoezeggingen het product dekken dat u koopt. Houd commerciële uptimedoelen gescheiden van beveiligings- en privacyverplichtingen.

Certificaten en assurancerapporten kunnen de beoordeling ondersteunen, maar hun scope doet ertoe. Controleer de dienst, de juridische entiteit, de beoordelingsperiode, uitsluitingen en verantwoordelijkheden van de klant. Een rapport over de hostingprovider is geen bewijs voor elke beheersmaatregel in de SaaS-applicatie, en certificering toont geen naleving van de AVG aan. Zie security assurance beoordelen voor de bredere review van bewijs.

Waar de beveiligingsbijlage via een weblink is opgenomen, bewaar dan de toepasselijke versie. Ga na of wijzigingen de bescherming kunnen verminderen en hoe klanten worden geïnformeerd. Behandel een ongedateerde, wijzigbare pagina als een probleem van bewijsbeheer dat moet worden opgelost, in plaats van aan te nemen dat ze automatisch volstaat of automatisch ongeldig is.

Volg de keten van subverwerkers en beoordeel doorgiften afzonderlijk

Artikel 28, lid 2, vereist voorafgaande specifieke of algemene schriftelijke toestemming voor het inschakelen van een andere verwerker. Bij algemene toestemming moet de verwerker de verwerkingsverantwoordelijke informeren over beoogde toevoegingen of vervangingen en de gelegenheid bieden om bezwaar te maken. Artikel 28, lid 4, vereist dat de relevante gegevensbeschermingsverplichtingen worden doorgegeven; de oorspronkelijke verwerker blijft volledig aansprakelijk jegens de verwerkingsverantwoordelijke voor de nakoming van die verplichtingen door de subverwerker.

Verkrijg een bruikbare lijst met de juridische identiteit, functie, relevante gegevens en verwerkingslocaties van elke aanbieder. Niet elke leveranciersafhankelijkheid is een subverwerker, maar infrastructuur-, support- en analyseaanbieders mogen niet uit de review verdwijnen alleen omdat ze achter de productinterface werken.

Beoordeel het wijzigingsmechanisme:

• Komt een melding terecht op een gemonitord adres of bij een toegewezen eigenaar?
• Is er voldoende informatie en tijd om de voorgestelde wijziging te beoordelen?
• Hoe wordt een bezwaar ingediend en afgehandeld?
• Wat gebeurt er als er geen aanvaardbaar alternatief beschikbaar is?

Een contractueel recht dat niemand operationeel kan uitoefenen, is een waarschuwingssignaal. Abonneer het juiste team en leg vast wie meldingen beoordeelt.

Hosting in de EU is relevant, maar rondt de beoordeling van doorgiften niet af. Onderzoek de werkelijke ontvangers, regelingen voor toegang op afstand, supportlocaties en verdere doorgiften. Evenzo is buitenlands eigendom alleen geen volledige beschrijving van een doorgifte: documenteer de werkelijke entiteiten en toegangspaden.

Waar hoofdstuk V van toepassing is, stel dan het relevante doorgiftemechanisme vast en eventuele noodzakelijke ondersteunende beoordelingen of maatregelen. Houd deze analyse verbonden met de leveranciersreview, maar gescheiden van de naleving van artikel 28. Een verwerkersovereenkomst en een regionale hostinginstelling beantwoorden niet op zichzelf alle vragen over doorgifte.

Maak bijstandsverplichtingen uitvoerbaar

Melding van inbreuken en overdracht bij incidenten

Op grond van artikel 33, lid 2, moet een verwerker de verwerkingsverantwoordelijke zonder onredelijke vertraging informeren nadat hij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens. De verwerkingsverantwoordelijke beoordeelt afzonderlijk de melding aan de toezichthoudende autoriteit, die zonder onredelijke vertraging en indien mogelijk binnen 72 uur na kennisname moet plaatsvinden, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

Geef de verwerker niet de termijn van de verwerkingsverantwoordelijke als standaard wachttijd. Een praktisch contract moet een snelle eerste melding, benoemde kanalen en voortschrijdende updates vastleggen. Een afgesproken meldtermijn is een operationele aanbeveling; die vervangt de wettelijke norm niet.

Vraag om de informatie die nodig is om de getroffen gegevens, personen en systemen, de waarschijnlijke gevolgen, de inperking en het herstel te beoordelen. De eerste melding kan onvolledig zijn, dus leg vast hoe updates en bewijs volgen. De verwerkingsverantwoordelijke moet ook beoordelen of een hoog risico mededeling aan de betrokkenen vereist op grond van artikel 34, behoudens de uitzonderingen daarop, en de beoordeling van de inbreuk documenteren, inclusief de redenen om niet te melden. Beoordeel de aanleiding voor de melding zorgvuldig: een proces dat wacht op een afgerond onderzoek naar de grondoorzaak, kan de beoordeling door de verwerkingsverantwoordelijke vertragen.

Test de overdracht met een tabletopscenario. Bevestig dat de melding ook buiten kantooruren bij incidentresponders en privacyreviewers aankomt, en niet alleen bij een accountmanager.

Verzoeken van betrokkenen

De bijstand van de verwerker moet uw eigen proces voor het afhandelen van rechten haalbaar maken. Test of records kunnen worden gevonden in inhoud, bijlagen, indexen en exports, en of verwijdering of rectificatie de relevante componenten bereikt.

Spreek de route voor afhandeling en de verwachte doorlooptijd af. Verwerkingsverantwoordelijken hebben normaal gesproken één maand om op een verzoek te reageren, behoudens de verlengingsvoorwaarden van de AVG; de bijstand van de leverancier moet ruimte laten voor identiteitscontroles, juridische beoordeling en veilige verstrekking. De leverancier moet verzoeken over de verwerking die u heeft opgedragen in de regel naar u doorsturen, in plaats van zelfstandig over de uitkomst te beslissen.

Kosten en dienstbeperkingen verdienen een review. Vergoedingen voor aanvullende bijstand zijn niet automatisch verboden, maar mogen verplichte bijstand niet ondoeltreffend maken. Verbind de procedure met uw workflow voor inzageverzoeken.

Teruggave, verwijdering en back-ups

Aan het einde van de dienst vereist artikel 28 verwijdering of teruggave naar keuze van de verwerkingsverantwoordelijke, en verwijdering van bestaande kopieën tenzij opslag verplicht is op grond van Unierecht of lidstatelijk recht. Stel vóór de aankoop vast wat dat technisch betekent.

Controleer de volledigheid van de export, het formaat, de periode waarin de export beschikbaar is en of bijlagen of configuratie zijn uitgesloten. Maak bij verwijdering onderscheid tussen actieve records, caches, replica's, logs en back-ups. Als verwijdering uit back-ups een vaste cyclus volgt, documenteer dan de termijn, toegangsbeperkingen en maatregelen die voorkomen dat verwijderde records via een herstelactie opnieuw worden ingevoerd.

Vraag hoe de afronding wordt aangetoond en hoe wettelijk verplichte bewaring wordt vastgesteld. Vertrouw niet op "account gesloten" als bewijs dat persoonsgegevens zijn verwijderd.

Beoordeel auditrechten, aansprakelijkheid en openstaande bepalingen

Auditbepalingen moeten zinvolle zekerheid bieden en tegelijk andere klanten en legitieme beveiligingsbelangen beschermen. Redelijke planning, vertrouwelijkheid en het gebruik van onafhankelijke rapporten kunnen audits werkbaar maken. Een bepaling die alleen naar certificaten verwijst en geen route biedt om noodzakelijke informatie te verkrijgen of wezenlijke zorgen te adresseren, verdient echter een juridische toets aan artikel 28, lid 3, onder h.

Stel het escalatiepad vast voor het geval het bewijs ontoereikend is, er een incident plaatsvindt of een toezichthouder informatie verlangt. Onderzoek auditkosten, aankondigingstermijnen en beperkingen in samenhang; hun gecombineerde effect weegt zwaarder dan één afzonderlijke formulering.

Aansprakelijkheidsbepalingen vereisen een afzonderlijke commerciële beoordeling. Schadevergoeding op grond van artikel 82 hangt af van de aansprakelijkheidsvoorwaarden van de verordening; verwerkers zijn niet automatisch aansprakelijk voor elk tekortschieten van de verwerkingsverantwoordelijke. Waar meerdere partijen op grond van artikel 82 verantwoordelijk zijn, kunnen de regels hen aansprakelijk stellen voor de gehele schade om een daadwerkelijke schadevergoeding te waarborgen. Een contractueel plafond beperkt de wettelijke rechten van personen niet. Het effect ervan op de verdeling en het verhaal tussen de partijen vereist juridische toetsing.

Als de leverancier wijzigingen weigert, onderscheid dan drie uitkomsten:

• Verduidelijking: verkrijg gezaghebbende bewoordingen of bewijs dat de onduidelijkheid wegneemt.
• Voorwaardelijke acceptatie: keur een rechtmatige regeling goed met gedocumenteerd commercieel of operationeel restrisico en vastgelegde waarborgen.
• Niet doorgaan: stop of herontwerp de verwerking waar aan vereiste verplichtingen niet wordt voldaan.

Acceptatie door het management kan een onrechtmatige regeling niet rechtmatig maken. De functionaris voor gegevensbescherming (FG), waar die is aangesteld, adviseert en houdt onafhankelijk toezicht; de verantwoordelijke business-eigenaar neemt besluiten over de dienst met juridische en privacyinbreng. Maak de FG niet eigenaar van het bepalen van de doeleinden of middelen van de verwerking.

Behandel AI-functies als aanvullende verwerkingspaden

AI-functies introduceren input, output en tussenliggende artefacten die oudere bijlagen mogelijk niet beschrijven. Beoordeel waar relevant prompts, opgehaalde documenten, embeddings, gegenereerde antwoorden, feedback, registraties voor misbruikmonitoring en toegang voor menselijke review.

Stel vast of klantgegevens worden gebruikt om modellen te trainen of te verbeteren, wiens doeleinden dat dient en welke entiteit de verwerking uitvoert. "Geen training" staat niet gelijk aan "geen bewaring", en geen van beide beloften bewijst dat supportlogs of monitoringregistraties geen persoonsgegevens bevatten.

Controleer of toezeggingen gelden voor het aangeschafte abonnementsniveau, de ingeschakelde endpoints en de achterliggende modelaanbieders. Bevestig bewaarinstellingen, uitzonderingen en verwijderingsgedrag. Als een leverancier anonimisering claimt, vraag dan wat die claim onderbouwt in plaats van aan te nemen dat modelartefacten anoniem zijn.

Leg de contractuele toezegging en het configuratiebewijs samen vast. Elk nieuw doel vereist een eigen beoordeling van de rol en de rechtmatigheid; de verwerkersovereenkomst levert die rechtsgrond niet. De toepasselijkheid van de AI-verordening is ook een afzonderlijke vraag, waaraan niet wordt voldaan door verwerkersvoorwaarden te ondertekenen.

Uitgewerkt voorbeeld: supportsoftware met optionele samenvattingsfunctie

Neem ter illustratie aan dat een SaaS-bedrijf een supportplatform wil gebruiken met namen, zakelijke e-mailadressen, tickettekst en bijlagen. Tickets kunnen per ongeluk gevoelige informatie bevatten. Een optionele AI-functie vat gesprekken samen.

De conceptverwerkersovereenkomst beschrijft ticketverwerking en opslag in de EU. De technische doorloop brengt een aanbieder voor samenvattingen aan het licht, supporttoegang vanuit een andere regio en een diagnostische bewaartermijn die afwijkt van de bewaartermijn van tickets.

De review levert vier concrete acties op:

1. Maak de scope volledig. Voeg bijlagen, diagnostische identificatoren en AI-verwerking toe aan de beschrijving; controleer of de leverancier inhoud voor eigen doeleinden gebruikt.
2. Breng de keten van aanbieders op orde. Verkrijg de identiteit, verwerkingslocaties, bewaartoezeggingen en de dekking door toestemming van de modelaanbieder. Beoordeel relevante doorgiften afzonderlijk.
3. Valideer het gedrag over de levenscyclus. Laat een synthetisch ticket door export en verwijdering lopen. Vraag om uitleg over de bewaring van back-ups en diagnostische gegevens in plaats van aan te nemen dat het verwijderen van een ticket elke kopie verwijdert.
4. Stel een voorwaarde voor ingebruikname. Houd de samenvattingsfunctie uitgeschakeld totdat het contract en de gegevensstroom ervan zijn beoordeeld. Regel de routering van meldingen van inbreuken en wijzigingen van subverwerkers vóór productiegebruik.

De besluitvastlegging onderscheidt ontvangen bewijs van vragen die nog openstaan. Als de kerndienst aanvaardbaar is, kan de goedkeuring de AI-functie expliciet uitsluiten. Die grens moet ook in de configuratie en het wijzigingsbeheer bestaan; een notitie in het reviewdossier voorkomt niet dat iemand de functie later inschakelt.

Bewaar het besluit en heropen het wanneer de dienst verandert

Bewaar de toepasselijke contractversie, de verwerkingsscope, het gegevensstroomdiagram, het assurancebewijs, de doorgiftebeoordeling, het afwijkingenlogboek en de goedkeuring bij elkaar. Leg geaccepteerde restrisico's, voorwaarden, eigenaren en opvolgdata vast. Bewaar de reden waarom een regeling is geaccepteerd, niet alleen de status ervan.

Beoordeel opnieuw wanneer verwerkingsdoeleinden, ingeschakelde functies, subverwerkers, locaties of contractvoorwaarden wezenlijk veranderen. Neem significante incidenten en nieuw bewijs van zwakheden in beheersmaatregelen op als aanleiding. Een geplande review vult deze aanleidingen aan in plaats van ze te vervangen.

Secani kan deze workflow ondersteunen door de dienst en externe aanbieders te modelleren, bewijs te koppelen aan eisen en besluiten, en hiaten uit de review toe te wijzen aan eigenaren. Door mensen beoordeelde conclusies, bronlinks, opmerkingen en goedkeuringen bewaren de redenering achter de acceptatie. Zo wordt de contractreview verbonden met risicobeheer van derde partijen, zonder software te behandelen als vervanging van juridisch of technisch oordeel.

Heeft de overeenkomst een handgeschreven handtekening nodig?

Artikel 28, lid 9, vereist een schriftelijke vorm, waaronder elektronische vorm. Een handgeschreven handtekening is niet per se vereist. Bewaar bewijs van bindende aanvaarding en de geldende versie; vraag juridische reviewers om onduidelijkheden over online opname of tegenstrijdige voorwaarden op te lossen.

Moet elke subverwerker in de verwerkersovereenkomst zelf worden genoemd?

Artikel 28 schrijft geen vaste lijst in het document voor. Een bijgehouden lijst kan de toestemming ondersteunen, mits de regeling de vereiste informatie, wijzigingsmeldingen en gelegenheid tot bezwaar biedt. Bewaar de lijst die relevant is voor uw review.

Begin bij de volgende leveranciersreview met één representatieve gegevensstroom en de matrix voor artikel 28. Los de discrepantie tussen contractuele beloften en waarneembare werking op voordat u verwerking in productie toestaat.