Gratis generator for avtaler om databehandling

En databehandlingsavtale (DPA) er en avtale mellom en virksomhet som er behandlingsansvarlig for personopplysninger og en tjenesteleverandør som behandler opplysningene på vegne av denne.

I personvernforordningen (GDPR) kalles virksomheten «den behandlingsansvarlige» og tjenesteleverandøren «databehandleren». Artikkel 28 i GDPR krever at denne avtalen inngås og angir hva den skal omfatte.

En programvare- eller tjenesteleverandør er vanligvis databehandler for personopplysningene som kundene lagrer i produktet, og DPA-en fastsetter reglene for disse opplysningene.

Ja, generatoren for databehandlingsavtaler fra TermsFeed er gratis å bruke.

Et engangskjøp eller et betalt abonnement fjerner lenken til TermsFeed-kreditter og gir deg flere funksjoner, for eksempel nedlastinger og tekstredigereren.

Ja, du trenger en databehandlingsavtale når du behandler personopplysninger for bedriftskunder i EU, Storbritannia eller Sveits.

Artikkel 28(3) i GDPR krever at hver behandlingsansvarlig inngår en avtale med hver databehandler av personopplysningene sine. Den britiske GDPR har samme regel for kunder i Storbritannia. I Sveits tillater artikkel 9 i den føderale loven om personvern (FADP) at en bedrift kun kan overlate personopplysninger til en databehandler i henhold til en avtale eller en lov.

Bedriftskunder ber om en databehandlingsavtale før de kjøper, fordi loven pålegger dem som behandlingsansvarlige å inngå en slik avtale.

Svar på spørsmålene i generatoren for databehandlingsavtaler, og publiser deretter databehandlingsavtalen ved siden av vilkårene dine, eller send den til kundene dine for signering.

En databehandlingsavtale inneholder opplysningene om behandlingen og forpliktelsene til databehandleren som er oppført i artikkel 28 nr. 3 i GDPR.

Opplysningene omfatter gjenstanden for behandlingen, varigheten, arten og formålet med behandlingen, typene personopplysninger og kategoriene av personer som opplysningene gjelder.

Forpliktelsene omfatter dokumenterte instrukser, konfidensialitet, sikkerhetstiltak, underdatabehandlere, bistand ved henvendelser fra registrerte, bistand etter et personvernbrudd, sletting eller tilbakelevering av opplysningene ved avtalens opphør samt revisjoner.

Generatoren for databehandlingsavtaler plasserer detaljene om behandlingen i vedlegg I, sikkerhetstiltakene i vedlegg II og underdatabehandlerne i vedlegg III.

Du er databehandler for personopplysningene du behandler på vegne av kundene dine, og behandlingsansvarlig for personopplysningene du samler inn for din egen virksomhet.

En prosjektledelsesapp behandler for eksempel oppgavene og kontaktene som kundene legger inn, og er dermed databehandler for disse opplysningene. Den samme appen er behandlingsansvarlig for navnene og faktureringsopplysningene til sine egne kontoinnehavere.

Databehandlingsavtalen dekker databehandlerens side, mens personvernerklæringen din dekker opplysningene du er ansvarlig for. Opprett begge deler med TermsFeed.

Ja, du trenger standardkontraktsklausuler (SCC) eller en annen sikkerhetsmekanisme når personopplysninger overføres fra Det europeiske økonomiske samarbeidsområdet (EØS) til et land uten en beslutning om tilstrekkelig beskyttelse.

Europakommisjonen godkjente de gjeldende SCC-ene i gjennomføringsbeslutning (EU) 2021/914. Storbritannia legger til sitt tillegg om internasjonal dataoverføring til disse, og Sveits godtar dem med noen få endringer.

Et selskap i USA som er sertifisert under EU-US Data Privacy Framework, mottar data fra EU uten SCC-er, i henhold til beslutningen om tilstrekkelig beskyttelse for dette rammeverket.

Velg de sikkerhetstiltakene du bruker i generatoren, så legger DPA til de tilsvarende klausulene.

En underdatabehandler er et selskap som behandler personopplysninger for dine kunder på dine vegne, for eksempel en webhotellleverandør, en e-posttjeneste eller et supportverktøy.

Artikkel 28(2) i GDPR tillater at en databehandler kun kan engasjere en underdatabehandler med skriftlig tillatelse fra den behandlingsansvarlige. En generell tillatelse i personvernavtalen (DPA) dekker den gjeldende listen, med varsel før hver nye underdatabehandler og en rett for kunden til å gjøre innsigelse.

Generatoren viser en liste over dine underdatabehandlere i vedlegg III, eller lenker til siden der du oppbevarer listen.

Meld et brudd på personvernet til kundene dine uten unødig forsinkelse etter at du har blitt kjent med det.

Artikkel 33(2) i GDPR pålegger databehandleren å varsle den behandlingsansvarlige uten unødig forsinkelse. Den behandlingsansvarlige har deretter 72 timer på seg til å varsle tilsynsmyndigheten (artikkel 33(1)), så en DPA fastsetter en frist i timer for databehandleren.

Generatoren for databehandlingsavtaler skriver inn den fristen du velger i databehandlingsavtalen: 24, 48 eller 72 timer.

Kundene dine undertegner databehandlingsavtalen eller godtar den som en del av bruksvilkårene dine.

Artikkel 28(9) i GDPR krever at avtalen er skriftlig, og elektronisk form godtas. En DPA som er publisert på en side og nevnt i vilkårene dine, når alle kunder samtidig. En kunde som ber om en signert kopi, får et dokument med signaturlinjer.

Velg signaturfelt i generatoren, og last deretter ned databehandlingsavtalen som DOCX-fil for signering.

Lag en databehandlingsavtale med verktøyet for å lage databehandlingsavtaler i fire trinn.

1. Oppgi nettstedet eller appen som kundene dine bruker.

2. Oppgi opplysninger om virksomheten din og landet du befinner deg i.

3. Svar på spørsmålene om personopplysningene du behandler, dine underdatabehandlere og sikkerhetstiltakene dine.

4. Publiser databehandlingsavtalen med en direkte lenke, eller last den ned og send den til kundene dine.