Kukaan ei perustaa yritystä täyttääkseen DPA-sopimuksia. Mutta jos käsittelet verkkosivudataa EU:ssa, neljä pientä asiakirjaa pitävät homman pystyssä. Tässä ne ovat, ilman lakitekstin sumuverhoa.
Nämä neljä asiakirjaa
| Asiakirja | Mikä se on | Milloin tarvitset sitä |
|---|---|---|
| Data Processing Agreement (DPA) | Sopimus kumppanin kanssa, joka käsittelee henkilötietoja puolestasi | Kun käytät mitä tahansa seuranta- tai analytiikkakumppania |
| Seloste käsittelytoimista (Art. 30) | Sisäinen lista siitä, mitä dataa käsittelet ja miksi | Jos sinulla on työntekijöitä tai säännöllistä käsittelyä – käytännössä useimmat yritykset |
| Tietovuotoilmoitussuunnitelma | Lyhyt sisäinen ohje: kuka tekee mitä, jos dataa vuotaa | Ennen kuin tarvitset sitä, ei sen jälkeen |
| Lasku + säilytyssäännöt | Vakiolaskutus ja tieto siitä, kuinka kauan säilytät kävijädataa | Jatkuva toiminta |
1. DPA yhdellä kappaleella
DPA on sopimus, jossa todetaan: "käsittelet tätä dataa vain sovittuihin tarkoituksiin, et myy sitä, poistat sen pyynnöstäni ja ilmoitat minulle, jos jotain menee vikaan." Maineikkaat palveluntarjoajat julkaisevat sellaisen, jonka voit ladata parilla klikkauksella. Jos kumppani tekee tästä vaikeaa, se on jo itsessään viesti.
Säilytä allekirjoitettu kopio paikassa, josta tiimisi löytää sen nopeasti. Jos asiakkaan hankintaosasto kysyy sitä, haluat antaa linkin heti, etkä aloittaa etsintäoperaatiota.
2. Seloste käsittelytoimista (Art. 30)
Yhden sivun lista asioista, joita yrityksesi tekee henkilötiedoilla: uutiskirje, myynnin CRM, verkkosivuanalytiikka, palkanlaskenta. Jokaisesta kohdasta kirjataan tarkoitus, tietoluokat, vastaanottajat ja säilytysaika. Tylsää, mutta ylivoimaisesti hyödyllisin asiakirja, jos viranomainen koskaan kysyy jotain.
3. Tietovuotoilmoitus – kirjoita se ennen kuin tarvitset sitä
Jos henkilötietoja vuotaa, EU:n nyrkkisääntö on 72 tuntia aikaa ilmoittaa viranomaiselle. Et halua keksitä prosessia tunnin 71 kohdalla. Yhden sivun "kuka soittaa kenelle" -muistio riittää pienelle tiimille.
- Kuka havaitsee → kuka vahvistaa → kuka ilmoittaa (nimi + puhelin)
- Missä DPA-kopioita säilytetään
- Lyhyt pohja tietovuodon kuvaukselle – täytettynä etukäteen
Ei oikeudellinen neuvonta
Säännöt ja kynnykset vaihtelevat maittain ja tilanteittain. Tämä on aloituspiste, ei korvike keskustelulle tietosuojavastaavasi tai lakimiehesi kanssa.
4. Laskutus ja säilytys – tylsä mutta tärkeä osa
Laskutus on peruskauraa: ALV-numero, eritelty tilaus, valuutta. Säilytysaika on kohta, jossa tiimit usein herpaantuvat: he ottavat seurannan käyttöön, mutteivät koskaan päätä, kuinka kauan kävijädata säilyy. Valitse luku (12 kuukautta on yleinen oletus), kirjoita se ylös ja kerro tiimillesi.
Tiivistettynä
Allekirjoita DPA, pidä Art. 30 -listaa, kirjoita yhden sivun vuotosuunnitelma ja päätä säilytysaikasi. Sillä 90 % vaatimustenmukaisuuteen liittyvästä jännityksestä katoaa.
- Lue myös: [Onko kävijöiden tunnistaminen GDPR-yhteensopivaa?](/blog/is-website-visitor-identification-gdpr-compliant)
- Lue myös: [CFO:n kysymykset vaatimustenmukaisuudesta – vastaukset](/blog/compliance-questions-your-cfo-will-ask-and-the-answers)
- Lue myös: [Mitä tietosuojaselosteesi on sisällettävä](/blog/privacy-policy-paragraph-when-you-identify-companies)
Julkaisija
lead.box Team
Lisää artikkeleita
Näe lead.box omassa liikenteessäsi
Aloita ilmaiseksi — ei korttia, ei myyntipuhelua. Tai varaa 20 minuutin esittely, jos haluat opastetun kierroksen.