De vragen, in de volgorde waarin ze meestal komen
Rollen. Of u voor de gegevens van de klant optreedt als verwerker of verwerkingsverantwoordelijke, en of u een functionaris gegevensbescherming of een aangewezen privacycontact hebt.
De verwerkersovereenkomst. Of u er een hebt, of die artikel 28 volgt en of de klant de zijne kan gebruiken. Voeg de uwe bij. Beoordelaars vergelijken hem met hun eigen model, dus weet waar de uwe afwijkt en waarom.
Subverwerkers. Wie het zijn, waar ze zitten, wat ze doen en hoe de klant wordt geïnformeerd voordat u ze wijzigt. Een gepubliceerde lijst met een aankondigingstermijn beantwoordt deze rij voor alle klanten tegelijk.
Internationale doorgiften. Of persoonsgegevens de EU of EER verlaten, naar welke landen, en onder welk mechanisme: adequaatheidsbesluit, standaardcontractbepalingen of het EU-VS-kader. Noem het mechanisme voor elke subverwerker buiten de EU, of stel vast dat er geen is.
Beveiliging van de verwerking. De technische en organisatorische maatregelen: versleuteling, toegangsbeheer, logging, back-ups, training. Dit is de overlap met de beveiligingsvragenlijst, en dezelfde antwoorden volstaan.
Bewaring en verwijdering. Hoelang u de gegevens tijdens het contract bewaart, wat er aan het eind gebeurt, hoe verwijdering wordt bevestigd en hoe met back-ups wordt omgegaan. Noem termijnen.
Melding van datalekken. Hoe snel u de klant over een inbreuk op persoonsgegevens informeert en met welke informatie; de klant heeft 72 uur om zijn toezichthouder te informeren, dus wil hij dat uw toezegging daar ruim binnen valt.
Rechten van betrokkenen. Hoe u de klant helpt bij verzoeken om inzage, correctie, verwijdering en overdraagbaarheid: het mechanisme en de termijn.
Registers en audits. Of u een verwerkingsregister bijhoudt, of er voor de dienst een privacy-effectbeoordeling is uitgevoerd en of de klant u kan auditen.
Antwoorden als verwerker
Schrijf de privacyantwoorden één keer, met uw juridisch adviseur als u die hebt, en houd ze als één geheel bij: ze veranderen zelden en mogen niet per klant gaan verschillen. De rijen die een besluit vragen zijn de meldtermijn, de verwijdertermijn en de auditvoorwaarden; besluit daarover met degene die uw verwerkersovereenkomst ondertekent, zodat de vragenlijst en het contract hetzelfde zeggen.
In Responsemate
De privacyantwoorden staan in de kennisbank als elk ander goedgekeurd antwoord, met de verwerkersovereenkomst en de subverwerkerslijst als bewijs bijgevoegd, inclusief controledatums, en de vragenlijstrijen worden daaruit opgesteld in de woorden van de klant. De eigen privacyantwoorden van Responsemate staan op de beveiligingspagina, die ook een voorbeeld is van de vorm die een beoordelaar verwacht.
Veelgestelde vragen
Zijn we verwerker of verwerkingsverantwoordelijke?
Als u persoonsgegevens verwerkt namens uw klant en volgens diens instructies, bent u voor die gegevens verwerker. Voor uw eigen medewerkers, uw marketingcontacten en uw eigen klantgegevens bent u verwerkingsverantwoordelijke. De meeste SaaS-aanbieders zijn beide, voor verschillende gegevens, en de vragenlijst gaat over de rol van verwerker.
Hebben we een functionaris gegevensbescherming nodig?
Alleen als de wet er een vereist voor uw soort verwerking. Vragenlijsten vragen ernaar; “nee, niet vereist, het aangewezen privacycontact is X” is een volledig antwoord.