Соглашение об обработке данных (DPA)

TL;DR

Соглашение об обработке данных, или сокращенно DPA, представляет собой юридически обязывающий договор между бизнесом и сторонним обработчиком данных, предназначенный для регулирования конфиденциальности данных в соответствии с GDPR.

Что такое Соглашение об обработке данных (DPA)?

Любой бизнес, который присутствует в Интернете, полагается на третьи стороны для надлежащего функционирования. Этими третьими сторонами могут быть что угодно, от провайдера электронной почты до инструмента аналитики веб-сайта или инструмента чата и т. д.; в основном любой инструмент, обрабатывающий персональные данные пользователя. Соглашение об обработке данных должно быть подписано между этим бизнесом (контроллером) и каждой третьей стороной (обработчиком), чтобы убедиться, что данные хранятся должным образом и не используются не по назначению, не продаются и не уязвимы для атак. Это один из самых основных шагов к соответствию GDPR.

Большинство этих сторонних инструментов предоставляют DPA на своих веб-сайтах для загрузки и подписания. Подписанный DPA обычно также можно запросить по электронной почте.

Если вам необходимо создать собственное соглашение об обработке данных, официальный шаблон можно загрузить с https://gdpr.eu/data-processing-agreement/. Любые организации могут использовать этот документ, чтобы соответствовать GDPR и избежать крупных штрафов.

Соглашение об обработке данных применяется к предприятиям, которые хранят и/или обрабатывают данные из Европейского Союза, и решает следующие вопросы в отношении обработчика данных:

• должна быть обеспечена адекватная информационная безопасность;
• никаким вспомогательным обработчикам не разрешается использовать данные без согласия Контролера;
• при необходимости должно быть обеспечено сотрудничество с органами по защите данных;
• об утечке данных необходимо немедленно сообщать Контролеру;
• должны вестись записи обо всех действиях по обработке;
• соблюдение правил передачи данных ЕС;
• помощь Контролеру при управлении возможными утечками данных.

Более подробную информацию об этом можно найти здесь: https://gdpr.eu/article-28-processor/.