Соглашение об обработке данных (AVV)

Коротко: Если поставщик услуг обрабатывает персональные данные по вашему поручению и указанию (например, хостинг, отправка электронной почты), вам нужно соглашение об обработке данных (AVV).

Подробнее: Контролёр остаётся ответственным за данные; обработчик действует только по указанию. Договор (ст. 28 GDPR) регулирует предмет, срок, вид данных, обязанности, права проверки, субобработчиков и технические меры.

Подробности

• Типичные обработчики: хостеры, облачные провайдеры, сервис рассылок, платёжные обработчики (частично самостоятельно ответственны), ПО поддержки, инструменты аналитики.
• Субобработчики: должны быть названы и одобрены.
• Третьи страны: Для серверов за пределами ЕС действуют дополнительные правила (передача данных в третьи страны).
• Технические и организационные меры (TOM): контроль доступа, шифрование, резервное копирование, журналирование.
• На практике: Большинство провайдеров предоставляют AVV как загрузку или клик-согласие.
• Также требуется: запись в реестр действий по обработке.

См. также: GDPR: принципы и правовые основания, Реестр действий по обработке