SaaS ugovor: rukovalac ili izvršitelj obrade?

SaaS ugovor ne određuje ulogu u zaštiti podataka samo zato što koristi određenu oznaku. Odlučujuće je ko za konkretnu obradu određuje svrhu i bitna sredstva. Pružalac SaaS usluge zato može za podatke klijenta biti izvršitelj obrade, a istovremeno biti rukovalac za naplatu, sigurnost platforme ili vlastitu analitiku proizvoda.

Ovo razlikovanje je važno u praksi. Od njega zavisi da li je potreban ugovor prema članu 28 GDPR-a, ko obrađuje zahtjeve ispitanika, kako se odobravaju podizvršitelji i koje podatke pružalac smije koristiti za vlastite svrhe. Širi pravni okvir objašnjen je u osnovnom vodiču o obradi prema GDPR-u za mala i srednja preduzeća na njemačkom jeziku. Ugovor treba prikazati stvarno korištenje SaaS usluge, a ne samo dati jednu opštu oznaku za cijeli poslovni odnos.

Prema članu 4 tačka 7 GDPR-a, rukovalac je onaj ko sam ili zajedno s drugima određuje svrhe i sredstva obrade. Izvršitelj obrade prema članu 4 tačka 8 GDPR-a obrađuje lične podatke u ime rukovaoca. Ovi pojmovi opisuju stvarno odlučivanje za konkretnu obradu.

SaaS ugovor može pomoći ako vjerno prikazuje stvarnost. Ne može slobodno rasporediti odgovornost. Ako ugovor pružaoca naziva izvršiteljem, ali pružalac u praksi određuje vlastitu svrhu, ugovorna oznaka sama po sebi ne rješava tu obradu.

Zato treba početi mapom obrada, a ne obrascem ugovora. Koji podaci se koriste u kojem modulu? Ko odlučuje zašto se obrađuju, koliko se čuvaju i ko im može pristupiti? Tek nakon toga može se izabrati odgovarajuća ugovorna struktura.

Preduzeće SaaS sistem obično koristi za vlastiti proces, kao što su upravljanje klijentima, ljudski resursi, podrška ili zakazivanje termina. Preduzeće najčešće određuje svrhu i bitne parametre za lične podatke. Pružalac daje tehničku platformu i obrađuje podatke prema uputstvima. U tom području često postoji uloga izvršitelja obrade. Širi pregled nalazi se na stranici o izvršiteljima obrade i pružaocima usluga

Pružalac može obrađivati i druge podatke. To mogu biti ugovorni i obračunski podaci, podaci za prijavu, dnevnici sigurnosti sistema ili informacije za sprečavanje zloupotrebe. Da li je pružalac izvršitelj ili rukovalac zavisi od svrhe i stvarnog odlučivanja za tu obradu. Jedna oznaka za cijeli poslovni odnos može sakriti te razlike.

Isti zapis može učestvovati u više obrada. Ime se može obrađivati za uslugu klijenta u ime klijenta, a istovremeno za vlastiti obračun pružaoca. Evidencije, obavijest o privatnosti, ugovor i postavke proizvoda treba da budu međusobno usklađeni.

Svrha odgovara na pitanje zašto se obrada vrši. Kod softvera za zaposlene svrha može biti obračun plata koji obavlja poslodavac. Kod sistema za podršku svrha može biti obrada zahtjeva klijenata. Te svrhe u pravilu dolaze od preduzeća koje koristi SaaS rješenje.

Kod sredstava treba razlikovati bitne i nebitne odluke. Vrste podataka, grupe ispitanika, kategorije pristupa i rok čuvanja usko su povezani sa zakonitošću, nužnošću i srazmjernošću. Izvršitelj u okviru uputstava često može odlučiti o tehničkim pojedinostima, kao što su određeni program ili unutrašnja raspodjela pristupa.

Granica ne zavisi od toga da li pružalac može pročitati sadržaj. Preduzeće može ostati rukovalac i bez neposrednog pristupa ako određuje svrhu i bitna sredstva. Pružalac ne postaje rukovalac samo zato što bira tehničku infrastrukturu.

Ako SaaS pružalac obrađuje lične podatke za svrhe klijenta, potreban je ugovor ili drugi pravni akt prema članu 28 GDPR-a. Treba navesti predmet i trajanje, prirodu i svrhu obrade, vrste ličnih podataka, kategorije ispitanika i prava i obaveze rukovaoca.

Ugovor treba obuhvatiti dokumentovana uputstva, povjerljivost, odgovarajuće tehničke i organizacione mjere i pravila za podizvršitelje. Provjera ugovora o obradi pomaže da se ove tačke rano razvrstaju. Pružalac treba podržati rukovaoca kod prava ispitanika, sigurnosnih obaveza i procjene uticaja na zaštitu podataka kada je to potrebno prema prirodi obrade.

Po završetku usluge treba urediti brisanje ili vraćanje podataka po izboru rukovaoca, osim ako postoji zakonska obaveza čuvanja. Pružalac treba dati informacije potrebne za dokazivanje usklađenosti i omogućiti odgovarajuće provjere. Link na opšte uslove ne dokazuje automatski da su sve ove tačke uređene.

Pružalac može obrađivati lične podatke radi pružanja ugovorene usluge i istovremeno imati vlastite svrhe. Primjeri su vlastiti obračun, sigurnost platforme i sprečavanje zloupotrebe. Za svaku svrhu treba pitati da li pružalac samostalno odlučuje i koji pravni osnov i obavještenje su potrebni.

Poboljšanje proizvoda, analiza korištenja, oglašavanje i profilisanje zahtijevaju posebnu pažnju. Opšta odredba koja pružaocu dopušta korištenje svih podataka klijenta radi optimizacije usluge sama po sebi ne pokazuje da je takva upotreba spojiva sa početnim angažmanom. Treba posebno procijeniti svrhu, obim, primaoce, čuvanje i mogućnosti izbora.

Ako je isti pružalac rukovalac za jednu obradu, a izvršitelj za drugu, tokovi podataka i operativne odgovornosti treba da budu odvojivi. Tema usklađenosti i upravljanja privatnošću daje širi organizacioni okvir. Tako se lakše obrađuju pristup, brisanje, sigurnosne provjere i pitanja ispitanika.

SaaS pružaoci često koriste hosting, podršku, analitiku ili sigurnosne usluge. Ako se te usluge koriste za obradu u ime klijenta, pružaoci su najčešće dalji izvršitelji obrade. Klijentu je potreban razumljiv postupak odobrenja i obavještavanja i stvarna mogućnost da procijeni važne promjene.

Lista treba sadržati više od naziva preduzeća. Provjerite funkciju, mjesto obrade, obuhvaćene podatke i da li postoji prenos u treću državu. Prenosi izvan Evropskog ekonomskog prostora zahtijevaju posebnu procjenu prema poglavlju V GDPR-a. Sertifikat ili oznaka lokacije ne zamjenjuju tu procjenu.

Lanac mora obuhvatiti i pristup podrške, daljinsko održavanje i oporavak nakon kvara. Kontrolna lista za izvršitelja obrade podržava praktičnu provjeru. Uredite prijavu incidenata, podršku kod zahtjeva ispitanika i brisanje ili vraćanje po završetku. Informacije treba ponovo provjeriti kada se proizvod ili podizvršitelji promijene.

Mapa obrada: Zabilježite module, vrste podataka, grupe ispitanika, svrhe, sisteme i rokove čuvanja. Odvojite pružanje usluge od obračuna, sigurnosti i vlastite analitike.

Matrica uloga: Za svaku obradu odredite rukovaoca, izvršitelja ili, gdje je prikladno, zajedničke rukovaoce. Objasnite podjelu stvarnim odlukama o svrsi i bitnim sredstvima.

Uputstva: Odredite ko daje naloge za postavke, pristup, brisanje, izvoz i čuvanje. Dokumentujte kako se nova uputstva izdaju i kako se promjene odobravaju.

Podizvršitelji: Provjerite listu, funkcije, mjesta, model odobrenja, veze sa trećim državama i mogućnost reakcije na promjenu liste.

Dokazi: Čuvajte sigurnosne mjere, informacije za provjeru, postupak kod incidenata, dokaz o brisanju i format vraćanja tako da ih preduzeće stvarno može pronaći i koristiti.

Naslov ugovora odlučuje o svemu: Ugovor prema članu 28 ne pretvara svaku obradu pružaoca u obradu za klijenta. Vlastite svrhe pružaoca moraju se posebno procijeniti.

Klijent se tretira kao rukovalac za sve: Izbor SaaS proizvoda ne znači da klijent određuje vlastite svrhe pružaoca. Nezavisna obrada pružaoca ostaje posebno područje.

Standardni uslovi prihvataju se bez provjere: Proizvod može sadržati postavke, tokove podataka ili podizvršitelje koji nisu dovoljno opisani u prilogu o obradi.

Podizvršitelji ostaju nevidljivi: Opšta dozvola bez liste, obavijesti i praktične mogućnosti reakcije otežava kontrolu lanca.

Postavke proizvoda se ne dokumentuju: Uloge i rizici mogu se promijeniti kada se aktiviraju novi moduli, analitika ili integracije. Provjera ugovora mora ostati povezana sa stvarnim korištenjem.

Cloud pohrana: Preduzeće odlučuje koji se podaci klijenata čuvaju za koji poslovni proces. Standardizovani pružalac ih čuva za tu svrhu i prema uputstvima. Za tu pohranu najčešće postoji obrada u ime klijenta. Ako pružalac podatke o korištenju koristi za vlastitu svrhu, taj dio treba odvojeno procijeniti.

Platforma za podršku: Klijent određuje koji se zahtjevi obrađuju i koje grupe osoba se evidentiraju. Pružalac može birati tehničku izvedbu, ali kod podataka klijenta ostaje vezan za uputstva. Obračun, upravljanje nalogom i zaštita platforme mogu uključivati dodatne vlastite obrade.

Zajednička kampanja: Dva preduzeća zajedno određuju ciljnu grupu, svrhu i sredstva kampanje prema klijentima. Zajednička odgovornost može tada bolje odgovarati stvarnosti nego obrada u ime jednog preduzeća. Odgovornosti za obavještavanje i prava ispitanika treba jasno ugovoriti.

Da li je SaaS pružalac uvijek izvršitelj obrade? Ne. Za podatke klijenta prema uputstvima može biti izvršitelj, a za vlastite svrhe kao što su obračun ili pojedine sigurnosne obrade može biti rukovalac. Odgovor se daje za svaku obradu posebno.

Da li je dovoljan ugovor prema članu 28 kao prilog opštim uslovima? Može biti dio standardnih uslova, ali mora ispuniti član 28 GDPR-a i odgovarati stvarnoj usluzi. Opšta oznaka bez svrha, vrsta podataka, uputstava i kontrole nije pouzdano rješenje.

Ko odgovara kada SaaS pružalac pogriješi? Odgovor zavisi od uloge, obrade i povrede. Ugovor treba urediti podršku, prijavu, dokaze i saradnju, ali ne može zamijeniti procjenu konkretnog događaja.

Kod SaaS odnosa odlučujuće pitanje često nije jedna odredba, već odnos proizvoda, postavki, podizvršitelja i stvarnog korištenja. Provjeravamo obrade, dodjeljujemo uloge i utvrđujemo koje ugovorne odredbe i dokazi vašem preduzeću još trebaju. Javite nam se sa ugovorom, opisom proizvoda, tokom podataka i planiranim modulima kako bi se sljedeći koraci jasno odredili.