Umowa powierzenia danych — obowiązki administratora i procesora
Dostawca będzie obsługiwał dane klientów lub pracowników Twojej firmy? Pomagamy ustalić, czy relacja wymaga powierzenia, a następnie przygotować odpowiednie postanowienia. Opisujemy operacje, dane, instrukcje i zasady współpracy. Dokument dopasowujemy do rzeczywistej usługi oraz informacji, które strony potrafią potwierdzić i wykonać.
W jakiej sytuacji możemy pomóc?
Dla administratorów wybierających dostawcę oraz firm przetwarzających dane na zlecenie. Dotyczy między innymi obsługi systemów, kadrowej, marketingowej i innych usług, zależnie od faktycznych ról stron.
Nowy dostawca systemu
Firma otrzymała standardowe warunki, ale nie zna listy podprocesorów, lokalizacji danych lub procedury ich usunięcia.
Brak załącznika do usługi
Umowa handlowa mówi jedynie o poufności. Trzeba sprawdzić role i doprecyzować obowiązki dotyczące danych osobowych.
Usługodawca tworzy własny wzór
Chcesz zaproponować klientom dokument odpowiadający faktycznym operacjom i możliwościom organizacyjnym firmy.
Zakres pomocy i konkretny rezultat
Możesz zamówić wybrany etap albo ustalić szerszy zakres. Przed pracą potwierdzamy, jakie materiały przygotujemy.
Kwalifikacja relacji
Analizujemy, kto decyduje o celach i istotnych sposobach przetwarzania oraz jak przebiega zlecona usługa.
Ocena ról i właściwego dokumentu.
Opis powierzenia
Ustalamy zakres czynności, kategorie danych i osób, czas trwania oraz instrukcje niezbędne do wykonania usługi.
Załącznik opisujący przetwarzanie.
Obowiązki stron
Przygotowujemy postanowienia dotyczące bezpieczeństwa, pomocy, podprocesorów, naruszeń i kontroli w uzgodnionym modelu.
Projekt umowy lub komentarze do wzoru.
Zakończenie i spójność
Porównujemy dokument z umową główną i ustalamy zwrot lub usunięcie danych oraz potwierdzenie wykonania czynności.
Spójny pakiet postanowień i decyzji.
Granice zlecenia
Przygotowanie umowy nie stanowi technicznego audytu dostawcy ani automatycznej oceny wszystkich transferów. Te elementy wymagają wyraźnie ustalonego zakresu.
Najpierw rola, potem właściwy dokument
Samo nazwanie strony procesorem nie przesądza o jej rzeczywistych obowiązkach.
| Relacja | Co ustalamy | Kierunek dokumentacji |
|---|---|---|
| Powierzenie | Działanie na rzecz administratora. | Umowa i instrukcje przetwarzania. |
| Odrębni administratorzy | Własne cele każdej ze stron. | Zasady udostępniania i obowiązki stron. |
| Wspólne decyzje | Wspólne określanie celów i sposobów. | Ocena współadministrowania. |
Co warto ustalić przed zleceniem?
Załącznik bezpieczeństwa musi być konkretny
Nie wpisujemy ogólnej deklaracji o wszystkich możliwych zabezpieczeniach. Ustalamy, jakie środki dostawca stosuje i jakie informacje może przedstawić, a kwestie techniczne kierujemy do właściwych osób. Dokument powinien pomagać w ocenie usługodawcy, obsłudze incydentu i kontroli uzgodnionych obowiązków. Nie zastępuje jednak faktycznej weryfikacji infrastruktury.
Podwykonawcy i transfery wymagają osobnej uwagi
Opisujemy sposób angażowania podprocesorów, informowania o zmianach i przekazywania właściwych obowiązków. Sprawdzamy miejsca przetwarzania oraz dostęp spoza EOG. Sama umowa powierzenia nie rozwiązuje automatycznie warunków transferu do państwa trzeciego. Po zakończeniu usługi trzeba także ustalić sposób postępowania z kopiami, eksportem danych i obowiązkami dalszego przechowywania.
Jak wygląda współpraca
Najpierw cel i zakres. Następnie dokumenty, uzgodnione działania i wynik, z którego możesz skorzystać.
Usługa
opisujesz przepływ danych i dostawców.
Role
ustalamy charakter relacji oraz wymagany dokument.
Projekt
przygotowujemy warunki i załącznik przetwarzania.
Uzgodnienia
porównujemy komentarze oraz umowę główną.
Zrozumiałe warunki przed startem
Wycena po ustaleniu zakresu
Koszt zależy od liczby usług, stron i złożoności przepływów. Wycena obejmuje określony projekt lub analizę wzoru oraz uzgodnione komentarze. Ocena transferów, techniczne badanie dostawcy i negocjacje z wieloma podmiotami mogą wymagać dodatkowego zakresu.
Co wpływa na koszt?
- Role stron i liczba procesów przetwarzania.
- Podprocesorzy, lokalizacje i transfery danych.
- Nowy dokument, analiza wzoru lub negocjacje.
Co przygotować do rozmowy
Ta lista pomaga uporządkować materiały. Nie musisz mieć całego kompletu, aby zapytać o możliwość pomocy.
- Umowa główna i wzór powierzenia dostawcy.
- Opis usługi, danych, osób i wykonywanych operacji.
- Lista podwykonawców oraz państw przetwarzania.
- Informacje o zabezpieczeniach, retencji i obsłudze incydentów.
Na początek wystarczy opis
Dokumenty przekażesz po uzgodnieniu sposobu kontaktu. Nie wpisuj danych innych osób ani szczegółów wrażliwych w pierwszej wiadomości.
Osoba prowadząca i zasady pracy
Przed przyjęciem zlecenia ustalamy wykonawcę, formę kontaktu i zakres odpowiedzialności. Jeśli potrzebne jest działanie uprawnionego pełnomocnika, omawiamy jego udział oraz warunki osobno.
Zanim zdecydujesz.
Czy każdy dostawca potrzebuje umowy powierzenia?
Nie. Najpierw ustalamy rzeczywistą rolę. W niektórych relacjach strony działają jako odrębni administratorzy lub wymagają innego uregulowania.
Czy klauzula poufności wystarcza?
Sama poufność nie zastępuje postanowień wymaganych dla powierzenia. Zakres dokumentu musi odpowiadać faktycznemu przetwarzaniu danych.
Czy można użyć wzoru usługodawcy?
Tak, po analizie. Sprawdzamy zgodność z usługą, kompletność załączników i możliwość wykonania przyjętych obowiązków przez obie strony.
Czy umowa obejmuje podwykonawców dostawcy?
Powinna regulować właściwe zasady ich angażowania i odpowiedzialności. Potrzebujemy informacji o podmiotach oraz procesach, w których uczestniczą.
Czy dokument legalizuje transfer poza EOG?
Nie automatycznie. Transfer wymaga odrębnej oceny podstaw i zabezpieczeń właściwych dla państw oraz modelu przekazywania danych.
Czy możecie pomóc procesorowi przygotować wzór?
Tak. Ustalamy rzeczywiste operacje i możliwości organizacyjne, aby wzór nie zawierał niewykonalnych lub nieprawdziwych deklaracji.
Zapytaj o zakres i wycenę.
Opisz usługę, swoją rolę i rodzaje danych. Wskaż dostawcę, podwykonawców, państwa przetwarzania oraz dostępny wzór umowy.
Ustalimy, jakie informacje są potrzebne do oceny zakresu i wyceny. Samo zapytanie nie oznacza zawarcia umowy.
Jeśli masz termin sądowy lub urzędowy, podaj go już przy pierwszym kontakcie.
Przygotuj krótką wiadomość
Opisz usługę, swoją rolę i rodzaje danych. Wskaż dostawcę, podwykonawców, państwa przetwarzania oraz dostępny wzór umowy.