DPA-sopimus
Laadimme henkilötietojen käsittelysopimuksen (Data Processing Agreement), joka täyttää GDPR:n vaatimukset ja suojaa sekä sinua että kumppaneitasi.
GDPR vaatii sopimuksen aina kun ulkopuolinen käsittelee henkilötietoja puolestasi
Kun käytät pilvipalvelua, markkinointitoimistoa, kirjanpitäjää tai muuta alihankkijaa joka pääsee käsiksi asiakkaidesi tietoihin, GDPR edellyttää henkilötietojen käsittelysopimusta (DPA). Ilman sitä olet vastuussa myös heidän virheistään.
DPA määrittelee selkeästi, mitä tietoja käsitellään, mihin tarkoitukseen, mitä turvatoimia vaaditaan ja mitä tapahtuu sopimuksen päättyessä. Se suojaa sinua – ja osoittaa asiakkaillesi, että tietosuoja on kunnossa.
Mitä DPA-sopimus sisältää
Käsittelyn kohde ja tarkoitus
Mitä henkilötietoja käsitellään, keitä rekisteröityjä ne koskevat ja mihin tarkoitukseen käsittely tapahtuu.
Käsittelijän velvollisuudet
Käsittelijä toimii vain rekisterinpitäjän ohjeiden mukaan, ei käytä tietoja omiin tarkoituksiinsa.
Tietoturvatoimenpiteet
Tekniset ja organisatoriset turvatoimet: salaus, pääsynhallinta, lokitus, henkilöstön koulutus.
Alikäsittelijät
Saako käsittelijä käyttää alikäsittelijöitä? Millä ehdoilla? Lista hyväksytyistä alikäsittelijöistä.
Tietojen siirrot
Siirretäänkö tietoja EU:n ulkopuolelle? Millä perusteella ja millä suojatoimilla?
Sopimuksen päättyminen
Mitä tiedoille tapahtuu sopimuksen päättyessä: palautus vai tuhoaminen? Todistus tuhoamisesta.
DPA-sopimuksen laatiminen
Kartoitus
Selvitämme mitä tietoja käsitellään, kuka käsittelee ja missä tiedot sijaitsevat.
Luonnos
Laadimme DPA-sopimuksen liitteineen vastauksiesi perusteella.
Tarkistus
Käytte sopimuksen läpi ja teemme tarvittavat muutokset.
Valmis sopimus
Toimitamme allekirjoitusvalmiin sopimuksen ja muokattavan pohjan jatkokäyttöön.
Milloin DPA-sopimus tarvitaan
Markkinointitoimisto tai mainostaja
Toimisto pääsee käsiksi asiakasrekisteriisi tai analytiikkatietoihin – DPA on pakollinen.
Pilvipalvelu tai SaaS-työkalu
CRM, projektinhallinta, HR-järjestelmä – kaikki joihin tallennat henkilötietoja.
IT-palveluntarjoaja tai hosting
Webhosting, serverien ylläpito, varmuuskopiointi – pääsy tietoihin vaatii DPA:n.
Kirjanpitäjä tai tilitoimisto
Käsittelee työntekijöiden palkkatietoja ja asiakkaiden laskutustietoja puolestasi.
Ohjelmistokehittäjä tai alihankkija
Ulkopuolinen kehittäjä pääsee tuotantoympäristöön tai testitietoihin.
Kysymyksiä DPA-sopimuksesta
Suurilla toimijoilla (Google, Microsoft, AWS) on omat DPA:t. Mutta pienemmillä palveluntarjoajilla ei välttämättä – ja silloin sinun on rekisterinpitäjänä huolehdittava sopimuksesta. Lisäksi sinun kannattaa tarkistaa, mitä toisen osapuolen DPA sisältää.
Rekisterinpitäjän (sinun) vastuulla on varmistaa, että DPA on olemassa. Käytännössä joko sinä tarjoat oman DPA:n tai hyväksyt palveluntarjoajan DPA:n – mutta tarkista aina, mitä se sisältää.
Silloin tarvitset lisäsuojatoimia: EU:n vakiosopimuslausekkeet (SCC), Binding Corporate Rules tai muu hyväksytty siirtomekanismi. Sisällytämme nämä DPA:han tarvittaessa.
Kyllä, jokaiselle joka käsittelee henkilötietoja puolestasi. Laadimme sinulle muokattavan pohjan, jota voit käyttää eri alihankkijoiden kanssa – muutat vain liitteen tiedot.
NDA (salassapitosopimus) suojaa luottamuksellista liiketietoa yleisesti. DPA on GDPR:n vaatima sopimus nimenomaan henkilötietojen käsittelystä – se määrittelee käsittelyn tarkoituksen, turvatoimet ja osapuolten vastuut.
Tarvitsetko DPA-sopimuksen?
Kerro tilanteestasi – laadimme GDPR:n mukaisen henkilötietojen käsittelysopimuksen puolestasi. Kiinteä tarjous saman päivän aikana.
Pyydä tarjoustai suoraan sähköpostilla yhteys@uhmu.fi
