Mapping zpracovatelů a subzpracovatelů
Identifikujeme všechny dodavatele, kteří zpracovávají osobní údaje vaším jménem, a zmapujeme chybějící DPA smlouvy.
DPA a zpracovatelské smlouvy pro ochranu osobních údajů.
Bez správné DPA smlouvy jste zodpovědní za to, co dělá váš dodavatel s osobními údaji vašich zákazníků.
Čtyři kroky k DPA compliance
Zpracovatelská smlouva (DPA) je povinná při každém sdílení osobních údajů s externím dodavatelem, který je zpracovává vaším jménem. Zpracujeme nebo revidujeme DPA smlouvy s vašimi dodavateli, zahrneme standardní smluvní doložky (SCC) pro přenos do třetích zemí a nastavíme kontrolní mechanismy pro zpracovatele.
Zpracování nebo revize DPA smluv
Navrhneme nebo revidujeme DPA smlouvy s dodavateli tak, aby splňovaly požadavky čl. 28 GDPR.
Standardní smluvní doložky (SCC)
Pro dodavatele mimo EU připravíme SCC jako zákonný mechanismus pro přenos osobních údajů.
Registr a procesní nastavení
Vytvoříme registr zpracovatelů a nastavíme proces schvalování nových dodavatelů z pohledu GDPR.
Nevíte, kde začít?
Napište nám, co řešíte. Ozveme se a navrhneme postup i rozsah prací.
DPA smlouvy, které skutečně chrání vaše zájmy.
Podpis DPA bez prověření bezpečnostních opatření dodavatele je jen formalita. My nastavíme DPA tak, aby měla reálný obsah.
Znalost standardních smluvních doložek (SCC)
Přenos osobních údajů mimo EU vyžaduje SCC nebo jiný zákonný mechanismus. Zpracujeme SCC přizpůsobené konkrétní situaci a vztahu.
Prověření bezpečnostních opatření dodavatele
DPA musí popisovat technická a organizační bezpečnostní opatření dodavatele. Pomůžeme s jejich prověřením a zapracováním do smlouvy.
Registr zpracovatelů a dalších zpracovatelů
GDPR vyžaduje přehled zpracovatelů a schválení subzpracovatelů. Vytvoříme registr a nastavíme proces schvalování nových subzpracovatelů.
SaaS a cloud DPA jako standard
Mnoho SaaS poskytovatelů nabízí standardní DPA. Prověříme, zda odpovídá vašim potřebám, nebo zda je nutné vyjednat odchylky.
Váš kontakt v Ambit
Jaroslav Menčík
Partner, vedoucí týmu pro IT & technologie
V Ambit vede tým pro IT a technologie. Za více než 15 let praxe uzavřel přes 200 transakcí v oblasti softwarového práva, kybernetické bezpečnosti, regulace AI a technologického transferu. Radí startupům, scale-upům i globálním korporacím.
- 15+let zkušeností v IT právu
- 200+uzavřených transakcí
- LL.M.NYU School of Law, Hauser Global Scholar
- Ing.ekonomické vzdělání vedle právního
DPA a zpracovatelské smlouvy: časté otázky
Kdy musím mít s dodavatelem DPA smlouvu?
DPA smlouva je povinná pokaždé, když externímu dodavateli svěřujete zpracování osobních údajů vaším jménem. Typicky: cloudové služby, CRM, ERP, analytika, emailový marketing, HR systémy, účetní software nebo zákaznická podpora.
Co musí DPA smlouva povinně obsahovat?
Dle čl. 28 GDPR musí DPA obsahovat zejména předmět zpracování, dobu trvání, povahu a účel, typ osobních údajů, kategorii subjektů, povinnosti zpracovatele (jen dle pokynů, mlčenlivost, bezpečnost, subzpracovatelé, spolupráce s dozorovým orgánem) a právo správce na audit.
Co jsou standardní smluvní doložky (SCC) a kdy je potřebuji?
SCC jsou standardizované smluvní klauzule schválené Evropskou komisí, které umožňují zákonný přenos osobních údajů mimo EU. Jsou potřeba, když vaše osobní údaje zpracovává dodavatel ve třetí zemi, pro kterou Evropská komise nevydala rozhodnutí o odpovídající ochraně (například Indie). U dodavatelů z USA nejsou nutné, pokud je dodavatel certifikován v rámci EU-US Data Privacy Framework.
Jak nastavit schvalování subzpracovatelů?
DPA musí definovat mechanismus pro schvalování nových subzpracovatelů zpracovatelem. Správce buď schvaluje každého subzpracovatele individuálně (přísnější), nebo dává obecný souhlas s právem námitky (flexibilnější). Doporučujeme obecný souhlas s notifikačním mechanismem.
Co dělat, pokud dodavatel nabídne svou standardní DPA?
Prověříme nabídnutou DPA a identifikujeme klauzule, které jsou nedostatečné nebo pro vás nevhodné. Pokud DPA nesplňuje požadavky GDPR, nelze smlouvu podepsat beze změn. U velkých SaaS dodavatelů jsou odchylky od standardní DPA málokdy možné, ale možné jsou.
Další služby: Ochrana osobních údajů
GDPR audit a compliance
Audit najde mezery v dokumentaci dřív, než to udělá regulátor.
Detail služby
DPIA: posouzení vlivu na ochranu osobních údajů
Posouzení vlivu pro riziková zpracování, zdokumentované pro regulátora.
Detail služby
Privacy policy a GDPR dokumentace
Privacy policy psaná pro zákazníky, ne pro právníky. A přesto v souladu s GDPR.
Detail služby
Řešíte podobnou situaci?
Napište nám, co řešíte. Ozveme se a navrhneme postup i rozsah prací.
