MKB Juristen, özel hukuki belgeler hazırlamaktadır
Önemli sözleşmeleri, şartları ve diğer yasal belgeleri kendiniz bir araya getirmek veya kopyalamak en iyisi değildir. Bütçesi kısıtlı girişimcilere özel yasal çözümler, net maliyetler ve pratik açıklamalar sunuyoruz.
- Gümrük sözleşmeleri, şartlar ve koşullar ve yasal belgeler
- Bütçe dostu ve maliyetler konusunda baştan net bilgi veriyor
- Ücretsiz danışmanlık veya herhangi bir yükümlülük gerektirmeyen fiyat teklifi isteyin
Bir yazılım şirketi için Veri İşleme Sözleşmesi örneği, bir SaaS sağlayıcısı için hangi hükümlerin vazgeçilmez olduğunu göstermektedir: talimatlara uyma yükümlülüğü, güvenlik (GDPR Madde 32), alt yükleniciler ve veri konumu, veri ihlali durumunda bildirim yükümlülüğü, denetim ve hizmetin sonunda verilerin iadesi veya silinmesi. Aşağıda, bu temel hükümleri veri işleyicisinin bakış açısından inceleyerek, her bir bileşenin kilit yönlerini özetliyoruz. Lütfen dikkat: örnek bir başlangıç noktasıdır, hazır bir çözüm değildir; asıl önemli olan, onu gerçek teknolojinize ve alt yüklenicilerinize uyarlamaktır.
Kısa cevap
- Görevler ve talimatlar: Sorumluluk müşteriye aittir; yalnızca talimatlar doğrultusunda işlem yaparsınız.
- İşleme genel bakışı: doğası, amacı, verileri ve veri konuları ekte yer almaktadır.
- Güvenlik (Madde 32): somut önlemler.
- Alt işlemciler ve veri konumu: liste, değişiklik prosedürü ve AB/AEA ilkesi.
- Raporlama yükümlülüğü ve denetim: süreler ve kontrol hakları.
- İade ve imha: Hizmetin sona ermesi durumunda izlenecek prosedür.
Bir örnek, rollerle başlar
Her kullanılabilir örnek, rollerin bölünmesiyle başlar. Müşteri veri sorumlusudur ve amacını ve yöntemlerini belirler; siz, yazılım tedarikçisi olarak, kişisel verileri yalnızca onların talimatları doğrultusunda işlersiniz. Bu talimatlara bağlı yapı, GDPR'nin 28. maddesinin özünü oluşturur. Bu nedenle iyi bir model, yalnızca kararlaştırıldığı şekilde işlem yaptığınızı ve hangi işlem operasyonlarının standart hizmetinize "dahil" olduğunu belirtir; aksi takdirde, herhangi bir müşteri yazılımınızın işleyemeyeceği ayrı talimatlar verebilir.
Madde 1 ve 2: İşleme genel bakışı ve güvenlik
İşleme genel bakışı (ek). Madde 28, paragraf 3, konu, süre, nitelik ve amacın yanı sıra veri kategorileri ve veri sahiplerinin açıklamasını gerektirir. Yazılım için, bu bilgiler müşteriye göre biraz farklılık gösterebilecek bir ekte yer almalıdır. Özel kişisel veri kategorilerinin söz konusu olup olmadığını açıkça belirtin.
Güvenlik (Madde 32). Burada müşteriler somutluk bekler. Güçlü bir örnek olarak, verilerin depolanması ve iletilmesi sırasında şifreleme, iki faktörlü kimlik doğrulama ile erişim kontrolü, ayrı ortamlar, günlük kaydı, yedeklemeler ve test edilmiş bir kurtarma süreci gösterilebilir. "Uygun önlemler" ifadesinden kaçının; bir veri ihlali veya denetim durumunda, gerçekte söylenen ve yapılanlar önemlidir.
Madde 3: Alt işlemciler ve veri konumu
Bir yazılım şirketi için bu genellikle en önemli hükümdür. Bulut barındırma, e-posta, yedekleme ve izleme gibi tüm alt işlemcileri kullanırsınız. İyi bir örnek şunları kapsar:
- Müşterinin onayladığı alt yüklenicilerin listesi ( genel onay)
- Değişiklik prosedürü: Yeni alt işlemciler hakkında önceden bilgi verilir ve itiraz süresi tanınır.
- Alt yüklenicilere de sizin için geçerli olan GDPR gerekliliklerinin aynısını uygulama yükümlülüğünüz bulunmaktadır
- Veri konumu: İşleme tercihen AB/AEA içinde yapılmalı ve dışarıya aktarım için Avrupa Komisyonu'nun Standart Sözleşme Hükümleri gibi yasal bir dayanak kullanılmalıdır.
4. ve 5. Maddeler: raporlama yükümlülüğü ve denetim
Veri İhlali Bildirim Yükümlülüğü. Veri işleyicisi olarak, bir veri ihlali durumunda müşteriyi gecikmeden bilgilendirmeniz gerekir, böylece müşteri Hollanda Veri Koruma Kurumu'na bildirimde bulunmanın gerekli olup olmadığını değerlendirebilir. Somut bir örnek, bir zaman dilimini (örneğin, keşfedildikten sonra 48 saat içinde) ve sağlamanız gereken bilgileri belirtir.
Denetim. Müşterinin denetim hakkı vardır. Birçok müşterisi olan bir tedarikçi olarak, bunu yönetilebilir tutun: bir denetim raporu veya sertifikası sunun ve fiziksel denetimlere makul koşullar ekleyin (bildirim, sıklık, maliyetler). İyi bir örnek, müşterinin denetim hakkını tedarikçinin iş operasyonlarıyla dengelemektir.
Madde 6: iade ve imha
Hizmetin sonunda, müşterinin tercihine bağlı olarak veriler iade edilmeli veya silinmelidir (Madde 28, paragraf 3, alt bölüm g). Faydalı bir örnek şu şekilde düzenlenmiştir:
- Müşterinin verilerini geri aldığı dışa aktarma formatı .
- bir kaldırma süresi .
- Geçici olarak silmeyi engelleyen yasal saklama yükümlülüklerinin kapsamı
Bir yazılım şirketi için bu, pratik açıdan da önemlidir: Müşteri verilerini sistemlerinizden ve yedeklerinizden ne zaman silebileceğinizi bilmek istersiniz.
Madde 7: Sorumluluk
Sorumluluk maddesini genel şart ve koşullarınızla uyumlu hale getirin. Veri işleyici olarak, sorumluluğunuzu yasal sınırlar dahilinde sınırlandırırsınız; müşteriler esneklik ister. Şart ve koşullarınızda bir sınır belirtilmişken, sınırsız sorumluluk içeren bir şablon, korumanızda bir boşluk bırakır. Her iki belgeyi de uyumlu hale getirin.
Pratik örnek
Bir proje yönetim yazılımı tedarikçisi, alt yüklenici eki içermeyen, internetten indirilmiş bir şablon kullandı. Müşteri verilerin nerede saklandığını sorduğunda, barındırma hizmetinin kısmen Avrupa Ekonomik Alanı dışında yürütülmesine rağmen, sözleşmede bu konuda hiçbir şey yazılmadığı ortaya çıktı. Şablona güncel bir alt yüklenici listesi, veri konumu ve veri aktarımı için yasal dayanak eklenerek, sözleşme tamamlandı ve müşteri rahatlatıldı.
Dürüst tavsiye
Bir örnek mükemmel bir başlangıç noktasıdır ve sıradan kişisel veriler ve yaygın AB alt işlemcileri içeren standart bir SaaS hizmeti için, gerçek kurulumunuzla ilgili ekleri (işleme, güvenlik, alt işlemciler) dürüstçe doldurmanız koşuluyla, kendi başınıza gayet iyi bir şekilde yönetebilirsiniz. Bu durumda mutlaka bir avukata ihtiyacınız yoktur. Bununla birlikte, özel veri kategorilerini işliyorsanız, AB dışındaki alt işlemcileri kullanıyorsanız veya sorumluluk karmaşık ise, asla bir örneği körü körüne kopyalamayın: bu gibi durumlarda doğrulama tavsiye edilir, çünkü işlemci olarak riski siz üstlenirsiniz.
Daha fazlasını mı incelemek istiyorsunuz? Bir yazılım şirketinin veri işleme sözleşmesini, böyle bir sözleşmenin nasıl hazırlanacağına veya özel bir sözleşme hazırlatın.
Sıkça Sorulan Sorular
Temel hükümler: rollerin paylaşımı ve talimat verme yükümlülüğü, işleme genel bakışı, güvenlik (Madde 32), alt işlemciler ve veri konumu, veri ihlallerini bildirme yükümlülüğü, denetim, verilerin iadesi veya silinmesi ve şart ve koşullarınıza uygun bir sorumluluk rejimi.
Başlangıç noktası olarak evet, ancak körü körüne değil. Örneği, gerçek teknolojinize, alt işlemcilerinize ve güvenliğinize dayandırmalısınız. Alt işlemcilerin listesi veya veri konumu yanlışsa, anlaşma yanlış bir güvenlik hissi verir ve denetim veya veri ihlali durumunda aleyhinize çalışır.
Genellikle bu, alt işlemci ve veri konumu belirlemesiyle ilgilidir. Neredeyse her zaman bulut ve altyapı sağlayıcıları kullanılır; bunların bir alt işlemci listesi, bir değişiklik prosedürü ve Avrupa Ekonomik Alanı dışına aktarım için yasal bir dayanakla düzenlenmesi gerekir.
Mümkün olduğunca spesifik olarak: verilerin depolanması ve iletilmesi sırasında şifreleme, iki faktörlü kimlik doğrulama ile erişim kontrolü, ayrı ortamlar, günlük kaydı, yedeklemeler ve test edilmiş bir kurtarma süreci. Bir veri ihlali veya denetim durumunda, genel bir "uygun önlemler" formülasyonu değil, fiilen uygulanan ve gerçekleşen önlemler önemlidir.
Veri işleyicisi olarak siz, müşteriyi gecikmeksizin, belirli bir zaman dilimi içinde (örneğin, tespit edildikten sonra 48 saat içinde) ve hangi bilgileri sağladığınızı belirterek bilgilendirmelisiniz; böylece müşteri, Hollanda Veri Koruma Kurumu'na bildirimde bulunmanın gerekli olup olmadığını değerlendirebilir.
Müşterinin verilerini geri almasına olanak tanıyan bir dışa aktarma formatı, hizmet sona erdikten sonra bir silme süresi ve yasal saklama yükümlülüklerine ilişkin hükümler içerir. Bu sayede, siz de müşteri verilerini sistemlerinizden ve yedeklerinizden ne zaman silebileceğinizi bilirsiniz.
Evet, ve bu genel şart ve koşullarınızla uyumlu olmalıdır. Veri işleyici olarak, sorumluluğunuzu yasal sınırlar içinde sınırlandırırsınız. Şart ve koşullarınızda bir sınır belirtilmişken, sınırsız sorumluluk örneği, korumanızda bir boşluk bırakır.
