Databehandleravtale

Hva er en databehandleravtale?

En databehandleravtale (DPA) er en juridisk bindende kontrakt mellom en behandlingsansvarlig og en databehandler som håndterer personopplysninger på den behandlingsansvarliges vegne. Den er direkte påkrevd av artikkel 28 i GDPR og må angi formålet med og varigheten av behandlingen, hvilke typer personopplysninger som er involvert, samt databehandlerens plikter knyttet til sikkerhet, underbehandlere og registrertes rettigheter. Avtalen er ikke i seg selv et juridisk grunnlag for behandling – du trenger fortsatt et lovlig grunnlag (som samtykke) i henhold til artikkel 6.

Hvorfor er en databehandleravtale viktig?

I en nettbutikk deler du kontinuerlig kundedata – navn, adresser, e-poster, ordrehistorikk – med leverandører som behandler dem for deg. Uten en DPA på plass mangler du bevis på at behandlingen er lovlig, og som behandlingsansvarlig forblir du ansvarlig hvis en leverandør lekker data. Avtalen definerer ansvar, gir deg rett til å revidere databehandleren, og forplikter dem til å slette eller returnere data når forholdet avsluttes.

Vanlige brukstilfeller

• Shopify som plattform. Shopify behandler dine kunders data og er derfor en behandler for deg som behandlingsansvarlig.
• Tredjepartsapper. E-postmarkedsføring, anmeldelser, analyse- og oppfyllelsesapper som får tilgang til kundedata krever hver en DPA.
• Byråer og frilansere. Enhver ekstern part som får tilgang til butikkens personopplysninger må dekkes.
• Bytte leverandør. Avtalen sikrer at data slettes eller migreres riktig ved oppsigelse.

Shopify-perspektiv

Shopify inkorporerer databehandlingstillegget sitt direkte i sine kommersielle vilkår, så du er dekket når du godtar dem – det er ingen separat avtale om å signere med Shopify selv. Ansvaret faller imidlertid på deg for å sikre at en DPA er på plass for hver App Store-app du installerer. Hold et register over underbehandlerne dine, og undersøk apper knyttet til cookie consent and GDPR spesielt før de berører kundedata.