Угода про обробку даних (AVV)

Коротко: Якщо постачальник послуг обробляє персональні дані за вашим дорученням і вказівкою (наприклад, хостинг, надсилання електронної пошти), вам потрібна угода про обробку даних (AVV).

Докладніше: Контролер залишається відповідальним за дані; обробник діє лише за вказівкою. Договір (ст. 28 GDPR) регулює предмет, строк, вид даних, обов’язки, права перевірки, субобробників і технічні заходи.

Подробиці

• Типові обробники: хостери, хмарні провайдери, сервіс розсилок, платіжні обробники (частково самостійно відповідальні), ПЗ підтримки, інструменти аналітики.
• Субобробники: мають бути названі та схвалені.
• Треті країни: Для серверів за межами ЄС діють додаткові правила (передача даних до третіх країн).
• Технічні й організаційні заходи (TOM): контроль доступу, шифрування, резервне копіювання, журналювання.
• На практиці: Більшість провайдерів надають AVV як завантаження чи клік-згоду.
• Також потрібно: запис у реєстр дій з обробки.

Див. також: GDPR: принципи та правові підстави, Реєстр дій з обробки