Spørgsmålene i den rækkefølge, de normalt kommer
Roller. Om du er databehandler eller dataansvarlig for kundens data, og om du har en databeskyttelsesrådgiver eller en navngiven kontaktperson for databeskyttelse.
Databehandleraftalen. Om du har en, om den følger artikel 28, og om kunden kan bruge sin egen. Vedhæft din. De, der gennemgår den, sammenligner den med deres skabelon, så kend forskellene, og hvorfor de er der.
Underdatabehandlere. Hvem de er, hvor de er, hvad de gør, og hvordan kunden får besked, før du ændrer dem. En offentlig liste med en varslingsperiode besvarer denne række for alle kunder på én gang.
Internationale overførsler. Om personoplysninger forlader EU eller EEA, til hvilke lande og efter hvilken mekanisme: afgørelse om tilstrækkelighed, standardkontraktbestemmelser eller EU-US rammeværk. Angiv mekanismen for hver underdatabehandler uden for EU, eller skriv, at der ikke er nogen.
Behandlingssikkerhed. De tekniske og organisatoriske foranstaltninger: kryptering, adgangskontrol, logning, backups, træning. Det overlapper med sikkerhedsspørgeskemaet, og de samme svar kan bruges.
Opbevaring og sletning. Hvor længe I opbevarer data under kontrakten, hvad der sker ved ophør, hvordan sletning bekræftes, og hvordan sikkerhedskopier håndteres. Angiv perioder.
Brudunderretning. Hvor hurtigt du fortæller kunden om et brud på persondatasikkerheden og med hvilke oplysninger; kunden har 72 timer til at underrette sin myndighed, så den vil have din forpligtelse til at ligge et godt stykke inden for det.
Registreredes rettigheder. Hvordan du hjælper kunden med at svare på anmodninger om indsigt, berigtigelse, sletning og dataportabilitet: mekanismen og tiden.
Fortegnelser og revisioner. Om du fører fortegnelser over behandling, om der er lavet en konsekvensanalyse vedrørende databeskyttelse for tjenesten, og om kunden kan revidere dig.
Besvarelse som databehandler
Skriv svarene om privatliv én gang, sammen med din juridiske rådgiver, hvis du har en, og hold dem samlet: De ændrer sig sjældent, og de må ikke variere fra kunde til kunde. De rækker, der kræver en beslutning, er underretningsfristen, tidsplanen for sletning og revisionsvilkårene. Beslut dem sammen med den, der underskriver jeres databehandleraftale, så spørgeskemaet og kontrakten siger det samme.
I Responsemate
Svarene om privatliv ligger i vidensbasen som alle andre godkendte svar, med databehandleraftalen og listen over underdatabehandlere vedhæftet som dokumentation med gennemgangsdatoer, og spørgeskemarækkerne udarbejdes ud fra dem med kundens egne ord. Responsemates egne svar om privatliv findes på sikkerhedssiden, som også er et eksempel på den form, den der gennemgår, forventer.
Spørgsmål, folk stiller
Er vi databehandler eller dataansvarlig?
Hvis du behandler personoplysninger på vegne af din kunde og efter kundens instruks, er du databehandler for de oplysninger. For dine egne medarbejdere, dine marketingkontakter og dine egne kunderegistre er du dataansvarlig. De fleste SaaS-leverandører er begge dele, for forskellige data, og spørgeskemaet handler om rollen som databehandler.
Har vi brug for en databeskyttelsesrådgiver?
Kun hvis loven kræver en for jeres type behandling. Spørgeskemaer spørger. "Nej, ikke påkrævet, den navngivne kontaktperson for databeskyttelse er X" er et fyldestgørende svar.