Frågorna, i den ordning de brukar komma
Roller. Om du agerar som personuppgiftsbiträde eller personuppgiftsansvarig för kundens data, och om du har ett dataskyddsombud eller en utsedd integritetskontakt.
Personuppgiftsbiträdesavtalet. Om du har ett, om det följer artikel 28, och om kunden kan använda sitt eget. Bifoga ditt. Granskare jämför det med sin mall, så vet var ditt avviker och varför.
Underbiträden. Vilka de är, var de finns, vad de gör, och hur kunden informeras innan du byter dem. En publicerad lista med förvarningstid besvarar den här raden för alla kunder på en gång.
Internationella överföringar. Om personuppgifter lämnar EU eller EES, till vilka länder, och enligt vilken mekanism: adekvansbeslut, standardavtalsklausuler eller ramverket mellan EU och USA. Ange mekanismen för varje underbiträde utanför EU, eller ange att det inte finns något.
Säkerhet i behandlingen. De tekniska och organisatoriska åtgärderna: kryptering, åtkomstkontroll, loggning, säkerhetskopior, utbildning. Här överlappar det med säkerhetsfrågeformuläret, och samma svar duger.
Lagring och radering. Hur länge du behåller data under avtalet, vad som händer vid dess slut, hur radering bekräftas och hur säkerhetskopior hanteras. Ange tidsperioder.
Incidentanmälan. Hur snabbt du informerar kunden om en personuppgiftsincident och med vilken information; kunden har 72 timmar på sig att anmäla till sin tillsynsmyndighet, så den vill att ditt åtagande ligger med god marginal inom det.
Registrerades rättigheter. Hur du hjälper kunden att svara på begäranden om tillgång, rättelse, radering och dataportabilitet: mekanismen och tiden.
Register och revisioner. Om du för register över behandlingen, om du har gjort en konsekvensbedömning för tjänsten, och om kunden kan revidera dig.
Att svara som personuppgiftsbiträde
Skriv integritetssvaren en gång, med din juridiska rådgivare om du har en, och håll ihop dem som en enhet: de ändras sällan och får inte glida isär mellan kunder. Raderna som kräver ett beslut är notifieringstiden, raderingstidplanen och revisionsvillkoren; besluta dem tillsammans med den som undertecknar ditt personuppgiftsbiträdesavtal så att frågeformuläret och avtalet säger samma sak.
I Responsemate
Integritetssvaren ligger i kunskapsbasen som alla andra godkända svar, med personuppgiftsbiträdesavtalet och underbiträdeslistan bifogade som underlag med granskningsdatum, och frågeformulärets rader skrivs som utkast utifrån dem med kundens ord. Responsemates egna integritetssvar finns på säkerhetssidan, som också är ett exempel på den form en granskare förväntar sig.
Vanliga frågor
Är vi personuppgiftsbiträde eller personuppgiftsansvarig?
Om du behandlar personuppgifter för din kunds räkning och enligt kundens instruktioner är du personuppgiftsbiträde för de uppgifterna. För dina egna anställda, dina marknadsföringskontakter och dina egna kundregister är du personuppgiftsansvarig. De flesta SaaS-leverantörer är båda, för olika data, och frågeformuläret frågar om biträdesrollen.
Behöver vi ett dataskyddsombud?
Bara om lagen kräver ett för din typ av behandling. Frågeformulär frågar; ”nej, krävs inte, utsedd integritetskontakt är X” är ett fullständigt svar.