Databehandleraftale
En databehandleraftale er en GDPR-påkrævet kontrakt, der regulerer, hvordan en leverandør behandler personoplysninger på vegne af en dataansvarlig.
Hvad er en databehandleraftale?
En databehandleraftale (DPA) er en juridisk bindende kontrakt mellem en dataansvarlig og en databehandler, der behandler personoplysninger på den dataansvarliges vegne. Aftalen er direkte påkrævet i GDPR artikel 28 og skal fastlægge formålet med behandlingen, varigheden, hvilke typer personoplysninger der indgår, samt behandlerens forpligtelser omkring sikkerhed, underdatabehandlere og hjælp til at opfylde de registreredes rettigheder. Aftalen er ikke i sig selv et behandlingsgrundlag – du skal stadig have et lovligt grundlag (fx samtykke) efter artikel 6.
Hvorfor er en databehandleraftale vigtig?
I en webshop deler du løbende kundedata – navne, adresser, e-mails, ordrehistorik – med leverandører, der behandler dem for dig. Uden en databehandleraftale på plads mangler du dokumentation for, at behandlingen sker lovligt, og du hæfter selv som dataansvarlig, hvis en leverandør lækker data. Aftalen definerer ansvaret, giver dig ret til at revidere behandleren og forpligter dem til at slette eller returnere data, når samarbejdet ophører.
Typiske brugssituationer
- Shopify som platform. Shopify behandler dine kunders data og er dermed databehandler for dig som dataansvarlig.
- Tredjeparts-apps. E-mailmarketing, anmeldelser, analyse og fulfilment-apps, der tilgår kundedata, kræver hver en databehandleraftale.
- Bureauer og freelancere. Enhver ekstern part, der får adgang til din butiks persondata, skal være dækket.
- Skift af leverandør. Aftalen sikrer, at data slettes eller flyttes korrekt ved opsigelse.
Shopify-perspektiv
Shopify indarbejder sin Data Processing Addendum direkte i sine handelsbetingelser, så du er dækket, når du accepterer vilkårene – der skal ikke underskrives en separat aftale med Shopify selv. Ansvaret ligger til gengæld hos dig at sikre databehandleraftaler for hver enkelt app fra App Store, du installerer. Før en liste over dine underdatabehandlere, og gennemgå især apps knyttet til cookie-samtykke og GDPR, før de får adgang til kundedata.