DPA
DPA (Data Processing Agreement) je smlouva o zpracování osobních údajů mezi vámi a firmou, která s údaji vašich zákazníků pracuje vaším jménem. Česky se jí říká zpracovatelská smlouva. Vyžaduje ji GDPR (obecné nařízení o ochraně osobních údajů) v článku 28.
Jak to funguje
Ve smlouvě vystupují dvě strany:
- Správce — vy. Rozhodujete, proč a jak se údaje zákazníků zpracovávají.
- Zpracovatel — dodavatel, který s údaji pracuje podle vašich pokynů. Typicky e-mailingový nástroj, CRM, hosting, účetní nebo marketingová agentura.
Smlouva musí být písemná (stačí elektronicky) a popsat hlavně:
- co se zpracovává, proč, jak dlouho a o kom (například e-maily odběratelů newsletteru),
- že dodavatel s údaji pracuje jen podle vašich pokynů a zabezpečí je,
- jestli smí zapojit další dodavatele (subdodavatele),
- co se s údaji stane po skončení spolupráce — vrácení, nebo výmaz.
Využití v marketingu
Zpracovatelů máte v marketingu víc, než se na první pohled zdá. Posíláte newslettery přes Ecomail? Evidujete poptávky v CRM, jako je HubSpot nebo Anabix? Spravuje vám agentura kampaně a pracuje přitom se seznamy zákazníků? U každého z nich potřebujete DPA.
Velké nástroje mají DPA připravenou jako součást obchodních podmínek nebo ke stažení v nastavení účtu. U menších dodavatelů a agentur se obvykle podepisuje samostatně.
Na co si dát pozor
- Odpovědnost zůstává vám. Když dodavatel s údaji naloží špatně, za zpracování odpovídáte jako správce i vy.
- Obecný vzor nestačí. Úřad pro ochranu osobních údajů při kontrolách upozorňuje na smlouvy psané obecně, bez popisu konkrétního zpracování.
- Data mimo EU. Pokud dodavatel údaje přenáší mimo Evropský hospodářský prostor, samotná DPA nestačí. Potřebujete i další záruky, typicky standardní smluvní doložky.
Heslo je vysvětlení pojmu, ne právní rada. Konkrétní smlouvu konzultujte s právníkem.