يقوم مكتب MKB Juristen بصياغة المستندات القانونية المخصصة
من الأفضل عدم تجميع أو نسخ العقود والشروط والأحكام المهمة، وغيرها من المستندات القانونية بنفسك. نحن نساعد رواد الأعمال ذوي الميزانية المحدودة من خلال حلول قانونية مصممة خصيصًا لهم، وتكاليف واضحة مسبقًا، وشروحات عملية.
- العقود المخصصة، والشروط والأحكام، والوثائق القانونية
- مناسب للميزانية وواضح بشأن التكاليف مقدماً
- اطلب استشارة مجانية أو عرض سعر بدون أي التزام
اتفاقية معالجة البيانات (المادة 28 من اللائحة العامة لحماية البيانات) هي عقد إلزامي بين المتحكم (شركتك ذات المسؤولية المحدودة) والمعالج (طرف خارجي يعالج البيانات الشخصية نيابةً عنك). ومن الأمثلة على ذلك: مزود خدمات الاستضافة، وخدمات الرواتب، وأدوات التسويق، وبرامج الحوسبة السحابية. يُحدد القانون محتوى الاتفاقية، بما في ذلك: الموضوع، والمدة، وطبيعة المعالجة، ونوع البيانات، والتزامات المعالج. في حال عدم وجود اتفاقية معالجة بيانات سارية، قد تُفرض غرامة من هيئة حماية البيانات تصل إلى 2% من إجمالي الإيرادات. بالنسبة للشركات الصغيرة والمتوسطة، يُعد هذا الأمر شبه يومي. فيما يلي المحتوى الإلزامي والممارسة المتبعة.
الإجابة المختصرة
- ما هو: عقد إلزامي بين المتحكم والمعالج (المادة 28 من اللائحة العامة لحماية البيانات).
- من هو المعالج: الاستضافة، الرواتب، أدوات التسويق، برامج الحوسبة السحابية، دعم العملاء.
- المحتوى المطلوب: الموضوع، المدة، الطبيعة، البيانات، التزامات المعالج.
- الصيغة: كتابياً (يُسمح بالاتفاق عبر البريد الإلكتروني).
- العقوبات: غرامة تصل إلى 2% من إجمالي الإيرادات العالمية في حالة عدم الامتثال.
ما الفرق بين المعالج ووحدة التحكم؟
وحدة التحكم
يحدد الغرض ووسائل المعالجة - بياناتك الشخصية فيما يتعلق ببيانات العملاء وبيانات الموظفين والتسويق.
المعالج
يقوم بمعالجة البيانات نيابةً عن المتحكم - دون اتخاذ قراره الخاص بشأن الغرض أو الوسائل. على سبيل المثال، مزود خدمة استضافة يحتفظ ببياناتك على خوادم، أو خدمة رواتب تحسب الرواتب.
الأطراف المسؤولة بشكل مشترك
يحدد طرفان معًا الهدف/الوسائل - على سبيل المثال، شراكة بين شركات تتشارك بيانات العملاء. شكل آخر من أشكال الاتفاق (المادة 26 من اللائحة العامة لحماية البيانات).
متى يكون اتفاق معالجة البيانات مطلوباً؟
- موفر خدمة الاستضافة/الحوسبة السحابية لبيانات العملاء أو الموظفين.
- خدمة إدارة الرواتب.
- أدوات التسويق عبر البريد الإلكتروني (Mailchimp، Klaviyo).
- برامج إدارة علاقات العملاء (HubSpot، Salesforce).
- أداة دعم العملاء (Zendesk، Intercom).
- برامج المحاسبة (Yuki، Exact، Moneybird) - عند معالجة البيانات الشخصية.
- برامج إدارة الموارد البشرية (Personio، AFAS).
- خدمة النسخ الاحتياطي.
- وكالة تسويق تنفذ حملات تسويقية باستخدام البيانات.
- وكالة تحصيل ديون.
أي أداة خارجية تقريباً تحتوي على بيانات العملاء أو الموظفين.
المحتوى الإلزامي (المادة 28 الفقرة 3 من اللائحة العامة لحماية البيانات)
- الموضوع والمدة: ما الذي تتم معالجته، وكم من الوقت.
- طبيعة وغرض المعالجة: الاستضافة، المعالجة، التحليل.
- أنواع البيانات الشخصية: الاسم، العنوان، البيانات المالية، البيانات الصحية.
- فئات أصحاب المصلحة: العملاء، الموظفون، الموردون.
- حقوق والتزامات الطرف المسؤول.
- التزامات المعالج:
- تتم العملية حصراً وفقاً للتعليمات الموثقة.
- سرية الموظفين.
- الأمن الكافي (TOM = التدابير التقنية والتنظيمية).
- الموافقة مطلوبة للمعالجات الفرعية.
- تقديم المساعدة في طلبات أصحاب البيانات.
- المساعدة في الإبلاغ عن اختراقات البيانات.
- المساعدة في تقييمات أثر حماية البيانات.
- بعد الانتهاء: حذف البيانات أو إرجاعها.
- مسؤول عن حقوق التدقيق.
المعالجات الفرعية
يجوز للمعالج الاستعانة بمعالجات فرعية (على سبيل المثال، يستخدم مزود خدمة الاستضافة مركز الخوادم) - بموافقة المتحكم. البنود القياسية:
- قائمة المعالجات الفرعية الحالية.
- الالتزام بإبلاغ المعالج الفرعي الجديد.
- حق الطرف المسؤول في الاعتراض.
- يتحمل المعالج الفرعي نفس التزامات المعالج.
البنود التعاقدية القياسية (SCC)
بالنسبة لعمليات النقل خارج الاتحاد الأوروبي (الأدوات الأمريكية): البنود التعاقدية القياسية للمفوضية الأوروبية. مطلوب:
- يرجى ذكر ذلك في اتفاقية المعالج.
- تم الانتهاء من إرفاق ملحقات SCC.
- بالنسبة للولايات المتحدة: تدابير أمنية إضافية (على غرار قضية شريمز الثانية).
غالباً ما تكون الاتفاقية القياسية للمورد كافية
لدى الموردين الرئيسيين (مايكروسوفت، جوجل، AWS، ميل تشيمب) اتفاقية معالجة بيانات قياسية (DPA):
- يتم قبول الطلب عبر الإنترنت عند تقديم طلب فتح حساب.
- يلتزم بلوائح حماية البيانات العامة (GDPR).
- بالنسبة للشركات الصغيرة والمتوسطة: عادةً ما يكون ذلك كافياً - لا حاجة لمفاوضات منفصلة.
هام: يجب قبولها وأرشفتها كدليل في حالتها الحالية.
اتفاقيات معالجة بيانات تيسا
يحتوي جهاز تيسا على 8 معالجات:
- الاستضافة: AWS — تم قبول اتفاقية حماية البيانات عبر الإنترنت، وتم أرشفتها.
- المحاسبة: يوكي - اتفاقية حماية البيانات في العقد.
- برنامج إدارة الموارد البشرية: Personio - اتفاقية حماية البيانات.
- التسويق عبر البريد الإلكتروني: Mailchimp - تم قبول اتفاقية حماية البيانات عبر الإنترنت.
- التخزين السحابي: Google Workspace - DPA في الاشتراك.
- خدمة العملاء: Zendesk - DPA بموجب عقد.
- نظام إدارة علاقات العملاء: HubSpot - اتفاقية حماية البيانات بموجب عقد.
- إدارة الرواتب: ADP - نظام إدارة بيانات مخصص ومملوك.
أرشيف مركزي يحتوي على جميع اتفاقيات حماية البيانات - متاح فوراً أثناء عمليات التحقق من وكالة أسوشيتد برس.
توصية صادقة
للشركات الصغيرة والمتوسطة: حصر جميع الأطراف الخارجية التي لديها صلاحية الوصول إلى البيانات الشخصية. بالنسبة للأدوات القياسية الكبيرة: قبول اتفاقيات حماية البيانات القياسية وأرشفتها. بالنسبة للموردين المتخصصين أو الصغار: تجهيز نموذج خاص بكم (بتكلفة تتراوح بين 500 و1500 يورو مع محامٍ). بالنسبة للأدوات الدولية: التحقق من البنود التعاقدية القياسية. يستغرق الحصر من 4 إلى 8 ساعات، ويمنع غرامات اتفاقيات حماية البيانات، ويضمن الامتثال للائحة العامة لحماية البيانات.
للمواضيع الأخرى: معالجة السجلات، بيان الخصوصية ، وخرق البيانات.
الأسئلة الشائعة
عقد إلزامي (المادة 28 من اللائحة العامة لحماية البيانات) بين المتحكم بالبيانات وطرف خارجي يقوم بمعالجة البيانات الشخصية نيابةً عنك. على سبيل المثال، خدمات الاستضافة، الرواتب، أدوات التسويق، برامج الحوسبة السحابية. محتوى منصوص عليه في القانون.
مع كل طرف خارجي يقوم بمعالجة البيانات الشخصية نيابة عنك: الاستضافة، الرواتب، التسويق عبر البريد الإلكتروني، إدارة علاقات العملاء، برامج الموارد البشرية، المحاسبة، دعم العملاء، إلخ. تقريبًا كل أداة SaaS خارجية تحتوي على بيانات العملاء أو الموظفين.
الموضوع والمدة، وطبيعة وغرض المعالجة، ونوع البيانات، وفئات أصحاب البيانات، والتزامات المعالج (التعليمات، والسرية، والأمن، والمعالجين الفرعيين، والمساعدة في انتهاك الحقوق/البيانات، ونهاية الحذف، والتدقيق)، وحقوق المتحكم.
تُقدّم كبرى الشركات المُورّدة (مايكروسوفت، جوجل، أمازون ويب سيرفيسز، ميل تشيمب) اتفاقيات معالجة بيانات قياسية يُمكن قبولها عبر الإنترنت. بالنسبة للشركات الصغيرة والمتوسطة: عادةً ما تكون كافية، ولا حاجة إلى مفاوضات منفصلة. هام: احتفظ بنسخة من الاتفاقية كإثبات.
جهة خارجية تستعين بمعالج بيانات (مثل مزود خدمة استضافة يستخدم مركز خوادم). يجوز للمعالج القيام بذلك بموافقة المتحكم. البنود القياسية: قائمة بمعالجي البيانات الفرعيين الحاليين، والحق في الاعتراض على معالجي البيانات الجدد.
بالنسبة للأدوات الأمريكية أو غيرها من الأدوات غير التابعة للاتحاد الأوروبي: بنود التعاقد القياسية (SCC) الصادرة عن المفوضية الأوروبية إلزامية. يجب ذكرها في اتفاقية حماية البيانات (DPA) وإكمال ملاحق بنود التعاقد القياسية. بالنسبة للولايات المتحدة: تدابير أمنية إضافية وفقًا لاتفاقية شرمس الثانية.
غرامة تصل إلى 2% من إجمالي الإيرادات العالمية أو 10 ملايين يورو. في حال حدوث اختراق للبيانات لدى جهة معالجة بيانات لا تملك اتفاقية حماية بيانات: يتحمل الطرفان المسؤولية. استثمر من 4 إلى 8 ساعات في جرد البيانات واتفاقيات حماية البيانات لتجنب الغرامات وضمان الامتثال.
