Spørsmålene, i rekkefølgen de vanligvis kommer
Roller. Om du opptrer som databehandler eller behandlingsansvarlig for kundens data, og om du har et personvernombud eller en navngitt personvernkontakt.
Databehandleravtalen. Om du har en, om den følger artikkel 28, og om kunden kan bruke sin egen. Legg ved din. Kontrollører sammenligner den med sin mal, så vit hvor din avviker og hvorfor.
Underdatabehandlere. Hvem de er, hvor de er, hva de gjør, og hvordan kunden varsles før du bytter dem. En publisert liste med varslingsfrist svarer på denne raden for alle kunder på én gang.
Internasjonale overføringer. Om personopplysninger forlater EU eller EØS, til hvilke land, og under hvilken mekanisme: tilstrekkelighetsbeslutning, standardkontraktsklausuler eller EU-US-rammeverket. Oppgi mekanismen for hver underdatabehandler utenfor EU, eller oppgi at ingen er det.
Sikkerhet ved behandlingen. De tekniske og organisatoriske tiltakene: kryptering, tilgangskontroll, logging, sikkerhetskopier, opplæring. Dette er overlappet med sikkerhetsspørreskjemaet, og de samme svarene duger.
Oppbevaring og sletting. Hvor lenge du beholder dataene i kontraktsperioden, hva som skjer ved slutten, hvordan sletting bekreftes, og hvordan sikkerhetskopier håndteres. Oppgi varigheter.
Varsling om brudd. Hvor raskt du varsler kunden om et brudd på personopplysningssikkerheten og med hvilken informasjon; kunden har 72 timer på seg til å varsle tilsynsmyndigheten, så den vil at din forpliktelse skal ligge godt innenfor det.
De registrertes rettigheter. Hvordan du hjelper kunden med å svare på krav om innsyn, retting, sletting og dataportabilitet: mekanismen og tiden.
Protokoller og revisjoner. Om du fører protokoll over behandlingsaktiviteter, om det er gjort en personvernkonsekvensvurdering for tjenesten, og om kunden kan revidere deg.
Å svare som databehandler
Skriv personvernsvarene én gang, sammen med juridisk rådgiver hvis du har en, og hold dem samlet som en enhet: de endres sjelden, og de må ikke sprike fra kunde til kunde. Radene som krever en beslutning, er varslingstiden, slettefristen og revisjonsvilkårene; avgjør dem sammen med den som signerer databehandleravtalen deres, så spørreskjemaet og kontrakten sier det samme.
I Responsemate
Personvernsvarene ligger i kunnskapsbasen som alle andre godkjente svar, med databehandleravtalen og listen over underdatabehandlere vedlagt som dokumentasjon med gjennomgangsdatoer, og spørreskjemaradene får utkast fra dem i kundens egne ord. Responsemates egne personvernsvar står på sikkerhetssiden, som også er et eksempel på formen en kontrollør forventer.
Vanlige spørsmål
Er vi databehandler eller behandlingsansvarlig?
Hvis du behandler personopplysninger på vegne av kunden din og etter kundens instrukser, er du databehandler for de dataene. For dine egne ansatte, markedsføringskontaktene dine og dine egne kunderegistre er du behandlingsansvarlig. De fleste SaaS-leverandører er begge deler, for ulike data, og spørreskjemaet spør om databehandlerrollen.
Trenger vi et personvernombud?
Bare hvis loven krever det for din type behandling. Spørreskjemaer spør; «nei, ikke påkrevd, navngitt personvernkontakt er X» er et fullstendig svar.