Preskúmajte sprostredkovateľskú zmluvu vo vzťahu ku skutočnej službe

Sprostredkovateľská zmluva (data processing agreement, DPA) je užitočná vtedy, keď jej opis zodpovedá skutočnej službe. Zmluva, ktorá pôsobí úplne, môže napriek tomu opisovať nesprávne údaje, vynechať poskytovateľa podpory alebo sľubovať vymazanie, ktoré produkt nedokáže vykonať.

Pre CTO preskúmanie prepája právne záväzky s architektúrou, konfiguráciou a prevádzkovými postupmi. Kolegovia z právneho oddelenia alebo ochrany súkromia interpretujú ustanovenia; inžiniersky tím zisťuje, či tieto ustanovenia opisujú realitu. Výstupom by malo byť obhájiteľné rozhodnutie o službe podložené dôkazmi a jasným zoznamom nevyriešených podmienok – nie len podpísané PDF.

Určte úlohu dodávateľa skôr, než začnete skúmať ustanovenia

Začnite určením, či dodávateľ pri príslušnom spracúvaní koná ako sprostredkovateľ. Podľa všeobecného nariadenia o ochrane údajov (GDPR) sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa. Nie každý vzťah s dodávateľom má túto úlohu a jeden dodávateľ môže mať pri rôznych činnostiach rôzne úlohy.

Hostovaná platforma podpory môže spracúvať zákaznícke tikety podľa vašich pokynov a zároveň pri časti správy vlastných účtov vystupovať ako samostatný prevádzkovateľ. Ak jej podmienky dovoľujú používať obsah tiketov aj na samostatne určené účely, táto činnosť si vyžaduje samostatnú analýzu. Označenie všetkého ako „zlepšovanie služieb“ úlohu nerozhoduje.

Pred pripomienkovaním zmluvy pripravte krátke vymedzenie rozsahu:

• Určte zmluvný subjekt, produkt, úroveň predplatného a zapnuté funkcie.
• Opíšte, prečo vaša organizácia službu používa a čie osobné údaje spracúva.
• Oddeľte spracúvanie na základe pokynov od akýchkoľvek účelov určených dodávateľom.
• Určte interného vlastníka služby a právneho posudzovateľa alebo posudzovateľa z oblasti ochrany súkromia.

DPA nie je právnym základom podľa článku 6 a ani automaticky nespĺňa požiadavky na medzinárodné prenosy. Tieto otázky zostávajú samostatné. Ak je vaša organizácia sama sprostredkovateľom, pred zapojením dodávateľa ako ďalšieho sprostredkovateľa určte pokyny a podmienky povolenia od nadradeného prevádzkovateľa.

Zostavte maticu preskúmania podľa článku 28

Článok 28 GDPR vyžaduje záväznú zmluvu alebo iný kvalifikovaný právny akt upravujúci činnosť sprostredkovateľa. Musí opisovať predmet a dobu trvania, povahu a účel, typ osobných údajov, kategórie dotknutých osôb a práva a povinnosti prevádzkovateľa.

Tieto údaje by mali identifikovať skutočné spracúvanie. Formulácia „všetky údaje potrebné na poskytovanie služieb“ môže posudzovateľom znemožniť určiť, či sú pokryté záznamy o zamestnancoch, správy zákazníkov alebo citlivé prílohy. Prílohy porovnajte s nakonfigurovaným produktom vrátane voliteľných integrácií.

Na preskúmanie požadovaných povinností sprostredkovateľa použite nasledujúcu maticu. Stĺpec s dôkazmi obsahuje praktické odporúčania na preskúmanie, nie zákonnú požiadavku získať každý uvedený dokument.

Sprostredkovateľ musí prevádzkovateľa aj bezodkladne informovať, ak sa podľa jeho názoru pokynom porušujú uplatniteľné predpisy o ochrane údajov. Overte, kam toto oznámenie smeruje a kto ho môže vyriešiť.

Každú požiadavku označte ako pokrytú, nejasnú alebo chýbajúcu s odkazom na ustanovenie. Povinné vynechanie nezaraďujte ako bežnú obchodnú preferenciu. Článok 28 ods. 1 tiež vyžaduje, aby prevádzkovatelia využívali len sprostredkovateľov poskytujúcich dostatočné záruky; samotné znenie zmluvy to nedokáže preukázať.

Sledujte reprezentatívny záznam celou službou

Vyberte realistický záznam a sledujte ho od prijatia až po likvidáciu. Pri službe zákazníckej podpory to môže byť tiket obsahujúci meno, e-mailovú adresu, identifikátor účtu a prílohu. Pri testovaní uprednostnite syntetické údaje.

Zmapujte zber, príjem cez API, primárne úložisko, indexovanie, analytiku, prístup podpory, exporty, integrácie, zálohy a vymazanie. Opýtajte sa, ktoré komponenty dostávajú obsah a ktoré len metadáta. Logy a diagnostické záznamy často obsahujú identifikátory, aj keď je hlavná aplikácia správne vymedzená.

Pri každej fáze zaznamenajte zodpovedný subjekt, účel spracúvania, lokalitu, prístupovú cestu a dobu uchovávania. Výsledok porovnajte s DPA, bezpečnostnou prílohou, zoznamom ďalších sprostredkovateľov a mechanizmami prenosu.

Osobitnú pozornosť venujte funkciám, ktoré môžu administrátori zapnúť bez účasti nákupu: prepis, obohacovanie, sumarizácia pomocou AI, externé webhooky a nahrávanie relácií podpory. Zmluva preskúmaná pre základný produkt nemusí primerane opisovať službu so zapnutými funkciami.

Výstupom môže byť jednoduchý diagram tokov dát a log nezrovnalostí. Každá nezrovnalosť by mala uvádzať zmluvné tvrdenie, pozorované správanie, dôsledok, vlastníka a riešenie. Napríklad „DPA opisuje uchovávanie riadené zákazníkom; diagnostické logy zostávajú počas pevne stanoveného obdobia“ je konkrétne a dá sa riešiť. „Uchovávanie nejasné“ na uzavretie problému nestačí.

Overte bezpečnostné sľuby vo vzťahu k implementácii

Článok 32 vyžaduje bezpečnostné opatrenia primerané riziku. Nestanovuje jednu univerzálnu technickú konfiguráciu. Opatrenia hodnoťte vzhľadom na citlivosť, objem a expozíciu údajov a pravdepodobné dôsledky kompromitácie.

Príloha by mala vysvetľovať dosť na to, aby sa služba dala posúdiť, bez toho, aby vyžadovala zverejnenie podrobností citlivých z hľadiska zneužitia. Uprednostnite izoláciu nájomníkov, privilegovaný prístup, autentifikáciu, šifrovanie, odolnosť, obnovu, riadenie zraniteľností a testovanie. Určte kontroly, ktoré prevádzkuje dodávateľ, a nastavenia, ktoré musí nakonfigurovať váš tím.

Ak zmluva sľubuje obmedzený prístup podpory, opýtajte sa, ako sa prístup žiada, schvaľuje, časovo obmedzuje a zaznamenáva. Ak sľubuje šifrovanie, rozlíšte ochranu pri prenose od ochrany v pokoji a potom zistite, kto kontroluje kľúče a čo môžu oprávnení používatelia stále čítať. Šifrovanie nerieši nadmerné oprávnenia v aplikácii.

Pri dostupnosti a obnove zistite, aké zálohy existujú, ako sa testuje obnova a či zmluvné záväzky obnovy pokrývajú produkt, ktorý kupujete. Obchodné ciele dostupnosti udržiavajte oddelene od povinností v oblasti bezpečnosti a ochrany súkromia.

Certifikáty a správy o uistení môžu posúdenie podporiť, záleží však na ich rozsahu. Overte službu, právny subjekt, posudzované obdobie, výnimky a zodpovednosti zákazníka. Správa o poskytovateľovi hostingu nie je dôkazom pre každú kontrolu v SaaS aplikácii a certifikácia nepreukazuje súlad s GDPR. Širšie preskúmanie dôkazov opisuje hodnotenie bezpečnostného uistenia.

Ak je bezpečnostná príloha začlenená prostredníctvom webového odkazu, uchovajte príslušnú verziu. Preskúmajte, či zmeny môžu znížiť ochranu a ako sú zákazníci informovaní. Nedatovanú, meniteľnú stránku považujte za problém správy dôkazov, ktorý treba vyriešiť, namiesto predpokladu, že je automaticky dostatočná alebo automaticky neplatná.

Sledujte reťazec ďalších sprostredkovateľov a prenosy posudzujte samostatne

Článok 28 ods. 2 vyžaduje predchádzajúce osobitné alebo všeobecné písomné povolenie na zapojenie ďalšieho sprostredkovateľa. Pri všeobecnom povolení musí sprostredkovateľ informovať prevádzkovateľa o zamýšľanom pridaní alebo nahradení a dať mu možnosť namietať. Článok 28 ods. 4 vyžaduje prenesenie príslušných povinností v oblasti ochrany údajov; pôvodný sprostredkovateľ zostáva voči prevádzkovateľovi plne zodpovedný za plnenie týchto povinností ďalším sprostredkovateľom.

Získajte použiteľný zoznam, ktorý pri každom poskytovateľovi uvádza právnu identitu, funkciu, príslušné údaje a miesta spracúvania. Nie každá závislosť od dodávateľa je ďalším sprostredkovateľom, poskytovatelia infraštruktúry, podpory a analytiky by však nemali z preskúmania zmiznúť len preto, že pôsobia za rozhraním produktu.

Vyhodnoťte mechanizmus zmien:

• Dostane sa oznámenie na monitorovanú adresu alebo k priradenému vlastníkovi?
• Je k dispozícii dostatok informácií a času na posúdenie navrhovanej zmeny?
• Ako sa námietka podáva a rieši?
• Čo sa stane, ak nie je k dispozícii žiadna prijateľná alternatíva?

Zmluvné právo, ktoré nikto nedokáže prevádzkovo uplatniť, je varovným signálom. Prihláste na odber príslušný tím a zaznamenajte, kto oznámenia vyhodnocuje.

Hosting v EÚ je relevantný, posúdenie prenosov však neuzatvára. Preskúmajte skutočných príjemcov, mechanizmy vzdialeného prístupu, lokality podpory a následné prenosy. Rovnako samotné zahraničné vlastníctvo nie je úplným opisom prenosu: zdokumentujte skutočné subjekty a prístupové cesty.

Ak sa uplatňuje kapitola V, určte príslušný mechanizmus prenosu a akékoľvek potrebné podporné posúdenie alebo opatrenia. Túto analýzu udržiavajte prepojenú s preskúmaním dodávateľa, ale oddelenú od súladu s článkom 28. DPA a nastavenie regionálneho hostingu samy osebe neodpovedajú na všetky otázky týkajúce sa prenosov.

Urobte povinnosti pomoci vykonateľnými

Oznamovanie porušení a odovzdanie incidentu

Podľa článku 33 ods. 2 musí sprostredkovateľ oznámiť prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvedel. Prevádzkovateľ samostatne posudzuje oznámenie dozornému orgánu, ktoré sa vyžaduje bez zbytočného odkladu a, ak je to možné, do 72 hodín od zistenia, pokiaľ nie je nepravdepodobné, že porušenie povedie k riziku pre práva a slobody fyzických osôb.

Nedávajte sprostredkovateľovi lehotu prevádzkovateľa ako jeho predvolenú čakaciu dobu. Praktická zmluva by mala stanoviť bezodkladné prvotné oznámenie, menované kanály a priebežné aktualizácie. Dohodnutý cieľový čas oznámenia je prevádzkovým odporúčaním; nenahrádza zákonný štandard.

Vyžiadajte si informácie potrebné na posúdenie dotknutých údajov, osôb, systémov, pravdepodobných dôsledkov, obmedzenia a obnovy. Prvé oznámenie môže byť neúplné, preto definujte, ako budú nasledovať aktualizácie a dôkazy. Prevádzkovateľ musí tiež posúdiť, či vysoké riziko vyžaduje oznámenie dotknutým osobám podľa článku 34, s výhradou jeho výnimiek, a zdokumentovať posúdenie porušenia vrátane dôvodov neoznámenia. Spúšťač oznámenia preskúmajte starostlivo: proces, ktorý čaká na dokončené vyšetrenie koreňovej príčiny, môže oneskoriť posúdenie prevádzkovateľa.

Odovzdanie otestujte simulačným cvičením (tabletop). Potvrďte, že oznámenie sa dostane k tímu reakcie na incidenty a posudzovateľom ochrany súkromia aj mimo bežného pracovného času, a nie len k account manažérovi.

Žiadosti dotknutých osôb

Pomoc sprostredkovateľa by mala umožniť váš vlastný proces vybavovania žiadostí o uplatnenie práv. Otestujte, či sa záznamy dajú vyhľadať v obsahu, prílohách, indexoch a exportoch a či vymazanie alebo oprava zasiahne príslušné komponenty.

Dohodnite sa na ceste odpovede a očakávanom čase vybavenia. Prevádzkovatelia majú na odpoveď na žiadosť spravidla jeden mesiac, s výhradou podmienok predĺženia podľa GDPR; pomoc dodávateľa musí ponechať priestor na overenie totožnosti, právne posúdenie a bezpečné doručenie. Dodávateľ by mal žiadosti týkajúce sa spracúvania na základe vašich pokynov spravidla presmerovať na vás, namiesto toho, aby o ich výsledku rozhodoval sám.

Poplatky a obmedzenia služby si zaslúžia preskúmanie. Poplatky za dodatočnú pomoc nie sú automaticky zakázané, nesmú však povinnú pomoc urobiť neúčinnou. Postup prepojte so svojím pracovným postupom pre žiadosti o prístup dotknutých osôb.

Vrátenie, vymazanie a zálohy

Pri skončení služby článok 28 vyžaduje vymazanie alebo vrátenie podľa voľby prevádzkovateľa a vymazanie existujúcich kópií, pokiaľ právo Únie alebo členského štátu nevyžaduje ich uchovávanie. Pred nákupom zistite, čo to technicky znamená.

Overte úplnosť exportu, jeho formát, časové okno dostupnosti a to, či sú vylúčené prílohy alebo konfigurácia. Pri vymazaní rozlišujte aktívne záznamy, vyrovnávacie pamäte, repliky, logy a zálohy. Ak vymazanie záloh nasleduje plánovaný cyklus, zdokumentujte obdobie, obmedzenia prístupu a opatrenia, ktoré bránia opätovnému zavedeniu vymazaných záznamov pri obnove.

Opýtajte sa, ako sa dokončenie preukazuje a ako sa identifikuje zákonom požadované uchovávanie. Nespoliehajte sa na „účet zrušený“ ako na dôkaz, že osobné údaje boli odstránené.

Preskúmajte audítorské práva, zodpovednosť a nevyriešené ustanovenia

Ustanovenia o audite by mali poskytovať zmysluplné uistenie a zároveň chrániť ostatných zákazníkov a oprávnené bezpečnostné záujmy. Primerané plánovanie, dôvernosť a využívanie nezávislých správ môžu audity urobiť uskutočniteľnými. Ustanovenie obmedzené len na certifikáty, bez cesty k získaniu potrebných informácií alebo riešeniu podstatných obáv, si však vyžaduje právne preskúmanie vzhľadom na článok 28 ods. 3 písm. h).

Určte eskalačnú cestu pre prípad, že dôkazy sú nedostatočné, dôjde k incidentu alebo regulátor vyžaduje informácie. Náklady na audit, výpovedné lehoty a obmedzenia skúmajte spolu; ich celkový účinok je dôležitejší než akákoľvek jednotlivá formulácia.

Ustanovenia o zodpovednosti si vyžadujú samostatné obchodné posúdenie. Náhrada škody podľa článku 82 závisí od podmienok zodpovednosti stanovených nariadením; sprostredkovatelia nie sú automaticky zodpovední za každé zlyhanie prevádzkovateľa. Ak je podľa článku 82 zodpovedných viac strán, pravidlá ich môžu vystaviť zodpovednosti za celú škodu, aby sa zabezpečila účinná náhrada. Zmluvný strop neobmedzuje zákonné práva fyzických osôb. Jeho vplyv na rozdelenie zodpovednosti a regres medzi stranami si vyžaduje právne preskúmanie.

Ak dodávateľ odmieta zmeny, rozlišujte tri výsledky:

• Spresnenie: získajte autoritatívne znenie alebo dôkazy, ktoré odstránia nejasnosť.
• Podmienená akceptácia: schváľte zákonné usporiadanie so zdokumentovaným obchodným alebo prevádzkovým zvyškovým rizikom a určenými ochrannými opatreniami.
• Nepokračovať: zastavte alebo prepracujte spracúvanie, ak požadované povinnosti zostávajú nesplnené.

Akceptácia vedením nemôže nezákonné usporiadanie urobiť zákonným. Zodpovedná osoba (DPO), ak je určená, nezávisle radí a monitoruje; rozhodnutia o službe robí zodpovedný vlastník z biznisu so vstupmi od právneho oddelenia a ochrany súkromia. Neprideľujte zodpovednej osobe určovanie účelov alebo prostriedkov spracúvania.

Preskúmajte funkcie AI ako ďalšie cesty spracúvania

Funkcie AI zavádzajú vstupy, výstupy a medzivýsledky, ktoré staršie prílohy nemusia opisovať. Kde je to relevantné, preskúmajte prompty, vyhľadané dokumenty, embeddingy, generované odpovede, spätnú väzbu, záznamy z monitorovania zneužitia a prístup na ľudské preskúmanie.

Zistite, či sa údaje zákazníkov používajú na trénovanie alebo zlepšovanie modelov, komu tieto účely slúžia a ktorý subjekt spracúvanie vykonáva. „Žiadne trénovanie“ nie je to isté ako „žiadne uchovávanie“ a ani jeden z týchto sľubov nepreukazuje, že logy podpory alebo monitorovacie záznamy neobsahujú osobné údaje.

Overte, či sa záväzky vzťahujú na zakúpenú úroveň, zapnuté endpointy a nadväzujúcich poskytovateľov modelov. Potvrďte nastavenia uchovávania, výnimky a správanie pri vymazaní. Ak dodávateľ tvrdí, že údaje anonymizuje, opýtajte sa, čo toto tvrdenie podporuje, namiesto predpokladu, že artefakty modelu sú anonymné.

Zmluvný záväzok a dôkazy o konfigurácii zaznamenajte spolu. Každý nový účel si vyžaduje vlastné posúdenie úlohy a zákonnosti; DPA tento právny základ neposkytuje. Uplatniteľnosť aktu o umelej inteligencii je tiež samostatnou otázkou, ktorú podpis podmienok sprostredkovateľa nerieši.

Praktický príklad: softvér podpory s voliteľnou sumarizáciou

Predpokladajme ilustratívne, že SaaS spoločnosť chce platformu podpory, ktorá uchováva mená, pracovné e-mailové adresy, text tiketov a prílohy. Tikety môžu náhodne obsahovať citlivé informácie. Voliteľná funkcia AI sumarizuje konverzácie.

Návrh DPA opisuje spracúvanie tiketov a ukladanie v EÚ. Technický prechod odhalí poskytovateľa sumarizácie, prístup podpory z iného regiónu a uchovávanie diagnostických údajov, ktoré sa líši od uchovávania tiketov.

Preskúmanie prinesie štyri konkrétne kroky:

1. Doplňte rozsah. Do opisu pridajte prílohy, diagnostické identifikátory a spracúvanie pomocou AI; overte, či dodávateľ používa akýkoľvek obsah na vlastné účely.
2. Vyriešte reťazec poskytovateľov. Získajte identitu poskytovateľa modelu, miesta spracúvania, záväzky týkajúce sa uchovávania a rozsah povolenia. Príslušné prenosy posúďte samostatne.
3. Overte správanie v životnom cykle. Preveďte syntetický tiket exportom a vymazaním. Vyžiadajte si vysvetlenie uchovávania záloh a diagnostických údajov namiesto predpokladu, že vymazanie tiketu odstráni každú kópiu.
4. Stanovte podmienku uvoľnenia. Sumarizáciu ponechajte vypnutú, kým nebude preskúmaná jej zmluva a tok dát. Pred produkčným použitím zaveďte smerovanie oznámení o porušeniach a zmenách ďalších sprostredkovateľov.

Záznam o rozhodnutí rozlišuje prijaté dôkazy od otázok, ktoré zostávajú otvorené. Ak je základná služba prijateľná, schválenie môže funkciu AI výslovne vylúčiť. Táto hranica musí existovať aj v konfigurácii a riadení zmien; poznámka v spise z preskúmania nezabráni tomu, aby ju niekto neskôr zapol.

Uchovajte rozhodnutie a otvorte ho znova, keď sa služba zmení

Uchovávajte spolu príslušnú verziu zmluvy, rozsah spracúvania, diagram tokov dát, dôkazy o uistení, posúdenie prenosov, log nezrovnalostí a schválenie. Zaznamenajte akceptované zvyškové riziká, podmienky, vlastníkov a termíny nadväzných krokov. Zachovajte dôvod, prečo bolo usporiadanie akceptované, nie len jeho stav.

Preskúmanie zopakujte, keď sa podstatne zmenia účely spracúvania, zapnuté funkcie, ďalší sprostredkovatelia, lokality alebo zmluvné podmienky. Ako spúšťače zahrňte aj závažné incidenty a nové dôkazy o slabinách kontrol. Plánované preskúmanie tieto spúšťače dopĺňa, nenahrádza ich.

Secani môže tento pracovný postup podporiť modelovaním služby a externých poskytovateľov, prepájaním dôkazov s požiadavkami a rozhodnutiami a priraďovaním medzier z preskúmania vlastníkom. Závery preskúmané človekom, odkazy na zdroje, komentáre a schválenia zachovávajú úvahy, na ktorých stojí akceptácia. Preskúmanie zmluvy sa tak prepojí s riadením rizík tretích strán bez toho, aby softvér nahrádzal právny alebo technický úsudok.

Potrebuje zmluva vlastnoručný podpis?

Článok 28 ods. 9 vyžaduje písomnú formu vrátane elektronickej formy. Vlastnoručný podpis sa samo osebe nevyžaduje. Uchovajte dôkaz o záväznom prijatí a platnú verziu; neistotu týkajúcu sa online začlenenia alebo protichodných podmienok nechajte vyriešiť právnych posudzovateľov.

Musí byť každý ďalší sprostredkovateľ menovite uvedený v DPA?

Článok 28 nepredpisuje pevný zoznam v samotnom dokumente. Udržiavaný zoznam môže podporiť povolenie, ak usporiadanie poskytuje požadované informácie, oznámenia o zmenách a možnosť namietať. Uchovajte zoznam relevantný pre vaše preskúmanie.

Pri ďalšom preskúmaní dodávateľa začnite jedným reprezentatívnym tokom dát a maticou podľa článku 28. Nesúlad medzi zmluvnými sľubmi a pozorovateľnou prevádzkou vyriešte skôr, než povolíte produkčné spracúvanie.