Gratis verktyg för att skapa avtal om databehandling

Ett databehandlingsavtal (DPA) är ett avtal mellan ett företag som är personuppgiftsansvarigt och en tjänsteleverantör som behandlar uppgifterna åt företaget.

I den allmänna dataskyddsförordningen (GDPR) kallas företaget för den personuppgiftsansvarige och tjänsteleverantören för personuppgiftsbiträdet. Artikel 28 i GDPR kräver att detta avtal ingås och anger vad det ska omfatta.

Ett mjukvaru- eller tjänsteföretag är vanligtvis personuppgiftsbiträde för de personuppgifter som dess kunder lagrar i produkten, och DPA fastställer reglerna för dessa uppgifter.

Ja, TermsFeeds verktyg för att skapa avtal om databehandling är gratis att använda.

Genom ett engångsköp eller ett betalt abonnemang tas länken till TermsFeed-krediter bort och fler funktioner läggs till, såsom nedladdningar och textredigeraren.

Ja, du behöver ett avtal om personuppgiftsbehandling när du behandlar personuppgifter för företagskunder i EU, Storbritannien eller Schweiz.

Enligt artikel 28.3 i GDPR ska varje personuppgiftsansvarig ingå ett avtal med varje personuppgiftsbiträde som behandlar personuppgifter för den personuppgiftsansvariges räkning. Den brittiska GDPR-lagen innehåller samma regel för kunder i Storbritannien. I Schweiz tillåter artikel 9 i den federala dataskyddslagen (FADP) att ett företag överlämnar personuppgifter till ett personuppgiftsbiträde endast enligt ett avtal eller en lag.

Företagskunder begär ett databehandlingsavtal innan de köper, eftersom lagen ålägger dem som personuppgiftsansvariga att ingå ett sådant avtal.

Svara på frågorna i verktyget för att skapa databehandlingsavtal och publicera sedan avtalet tillsammans med dina användarvillkor eller skicka det till dina kunder för underskrift.

Ett databehandlingsavtal innehåller de uppgifter om behandlingen och de skyldigheter som åligger den som utför behandlingen och som anges i artikel 28.3 i GDPR.

Uppgifterna omfattar föremålet, varaktigheten, arten och syftet med behandlingen, typerna av personuppgifter samt de kategorier av personer som uppgifterna avser.

Skyldigheterna omfattar dokumenterade instruktioner, sekretess, säkerhetsåtgärder, underuppdragstagare, hjälp med förfrågningar från registrerade, hjälp efter ett personuppgiftsincident, radering eller återlämnande av uppgifterna vid avtalets upphörande samt revisioner.

Generatorn för personuppgiftsbehandlingsavtal placerar uppgifterna om behandlingen i bilaga I, säkerhetsåtgärderna i bilaga II och underuppdragstagarna i bilaga III.

Du är personuppgiftsbiträde för de personuppgifter du hanterar åt dina kunder och personuppgiftsansvarig för de personuppgifter du samlar in för din egen verksamhet.

En projektledningsapp behandlar till exempel de uppgifter och kontakter som kunderna lägger till, och är därmed personuppgiftsbiträde för dessa uppgifter. Samma app är personuppgiftsansvarig för namnen och faktureringsuppgifterna för sina egna kontoinnehavare.

Databehandlingsavtalet täcker den del som rör personuppgiftsbiträdet, och din integritetspolicy täcker de uppgifter som du är personuppgiftsansvarig för. Skapa båda med TermsFeed.

Ja, du behöver standardavtalsklausuler (SCC) eller någon annan skyddsåtgärd när personuppgifter överförs från Europeiska ekonomiska samarbetsområdet (EES) till ett land där det inte finns något beslut om adekvat skyddsnivå.

Europeiska kommissionen godkände de nuvarande standardavtalsklausulerna i genomförandebeslut (EU) 2021/914. Storbritannien kompletterar dem med sitt tillägg om internationell dataöverföring, och Schweiz godtar dem med några få ändringar.

Ett företag i USA som är certifierat enligt EU–USA-ramverket för dataskydd tar emot uppgifter från EU utan standardavtalsklausuler, i enlighet med beslutet om adekvat skyddsnivå för det ramverket.

Välj de skyddsåtgärder du använder i generatorn, så lägger dataskyddsavtalet till motsvarande klausuler.

En underleverantör är ett företag som behandlar personuppgifter för dina kunder på dina vägnar, till exempel en webbhotellsleverantör, en e-posttjänst eller ett supportverktyg.

Enligt artikel 28.2 i GDPR får en personuppgiftsbehandlare anlita en underleverantör endast med skriftligt tillstånd från den personuppgiftsansvarige. Ett allmänt tillstånd i personuppgiftsavtalet (DPA) omfattar den aktuella listan, med meddelande inför varje ny underleverantör och en rätt för kunden att invända.

Generatorn listar dina underleverantörer i bilaga III eller länkar till den sida där du förtecknar dem.

Anmäl ett personuppgiftsintrång till dina kunder utan onödigt dröjsmål efter att du har fått kännedom om det.

Enligt artikel 33.2 i GDPR ska den personuppgiftsbehandlande underrätta den personuppgiftsansvarige utan onödigt dröjsmål. Den personuppgiftsansvarige har sedan 72 timmar på sig att underrätta tillsynsmyndigheten (artikel 33.1), varför ett personuppgiftsbehandlingsavtal fastställer en tidsfrist i timmar för den personuppgiftsbehandlande.

Generatorn för databehandlingsavtal skriver in den tidsfrist du väljer i databehandlingsavtalet: 24, 48 eller 72 timmar.

Dina kunder undertecknar avtalet om databehandling eller godkänner det som en del av dina användarvillkor.

Artikel 28.9 i GDPR kräver att avtalet är skriftligt, och elektronisk form räknas. Ett databehandlingsavtal som publiceras på en sida och nämns i dina användarvillkor når alla kunder samtidigt. En kund som begär en undertecknad kopia får ett dokument med signaturrader.

Välj signaturrader i generatorn och ladda sedan ner databehandlingsavtalet som DOCX-fil för att underteckna det.

Skapa ett avtal om uppdragstagande med hjälp av verktyget för att skapa avtal om uppdragstagande i fyra steg.

1. Ange webbplatsen eller appen som dina kunder använder.

2. Ange dina företagsuppgifter och ditt land.

3. Svara på frågorna om de personuppgifter du behandlar, dina underleverantörer och dina säkerhetsåtgärder.

4. Publicera databehandlingsavtalet med dess direktlänk, eller ladda ner det och skicka det till dina kunder.