Kom igång
Så tecknar du ett personuppgiftsbiträdesavtal (DPA)
Ordet är krångligare än saken: ett DPA tar oftast fem minuter att få på plats. Vi visar när du behöver ett, var du hittar det och vad du ska titta efter.
Så fort ett verktyg hanterar personuppgifter åt dig är leverantören ditt personuppgiftsbiträde. Det gäller till exempel kunder i ett nyhetsbrevsverktyg, anställda i ett lönesystem eller klienter i en bokning. GDPR artikel 28 kräver då ett skriftligt avtal: ett personuppgiftsbiträdesavtal, oftast kallat DPA (Data Processing Agreement).
Låter det tungt? I praktiken är det oftast en kryssruta.
Så går det till
- Leta upp leverantörens standard-DPA. Nästan alla seriösa tjänster har ett färdigt. Sök på “DPA”, “Data Processing Agreement” eller “personuppgiftsbiträdesavtal” tillsammans med verktygets namn. Du kan också titta under Legal eller Trust på deras sajt.
- Godkänn det. Hos exempelvis Brevo och Mailchimp ingår DPA:t i villkoren eller aktiveras i kontoinställningarna. Svenska verktyg som Bokio hanterar det i sina användarvillkor. Spara en kopia.
- Klart. Du behöver sällan förhandla: standardavtalet är byggt för att uppfylla artikel 28.
Snabbkoll: vad ett bra DPA innehåller
- Vad leverantören får göra med uppgifterna (bara det du instruerar).
- Underleverantörer (sub-processors) listade, med rätt för dig att invända vid ändringar.
- Säkerhetsåtgärder, tystnadsplikt och hjälp vid incidenter.
- Radering eller återlämning av data när avtalet upphör.
- Vid överföring utanför EU/EES: standardavtalsklausuler (SCC) eller annan giltig grund. Det är extra viktigt hos amerikanska leverantörer (läs varför i vår CLOUD Act-guide).
Vanligaste missarna
- Inget DPA alls med verktyg som uppenbart hanterar personuppgifter. Det är vanligast med små och nya AI-tjänster. Hittar du inget DPA hos leverantören är det en varningssignal i sig.
- Gratisverktyg för känsliga uppgifter. Konsumentversioner av AI-chattar har ofta inget biträdesavtal alls. Då ska personuppgifter inte in där.
- Glömda underleverantörer. Ett EU-verktyg kan skicka data till amerikanska AI-modeller bakom kulisserna. Listan över sub-processors avslöjar det.
Fem minuter per verktyg. Gör det till en vana vid varje nytt konto, så är den delen av GDPR-arbetet avklarad.
Källor
Verktyg som nämns
Bokio
Bokio
Svenskt bokföringsprogram från Göteborg som läser av kvitton och bokför automatiskt. Prisvärt och enkelt, men den gamla gratisnivån är numera en 14-dagars provperiod.
- Läser av kvitton och bokför automatiskt
- Enkelt gränssnitt, byggt för icke-ekonomer
- Inte längre gratis, abonnemang från 269 kr/mån
Bäst för: Enskilda firmor och småföretag som vill sköta bokföringen enkelt själva.
Brevo
Brevo
Fransk e-post- och SMS-plattform med EU-datalagring, ett GDPR-vänligt Mailchimp-alternativ.
- Datan lagras inom EU
- Det finns en generös gratisnivå att börja med
- Gränssnittet känns opolerat på sina håll
Bäst för: Nyhetsbrev med data inom EU.
Mailchimp
Intuit
Nyhetsbrev och e-postmarknadsföring med AI-hjälp för texter och tajming.
- Lätt att komma igång även för ovana
- Gratisnivå att börja bygga kundlistan med
- Blir allt dyrare ju större kontaktlistan blir
Bäst för: Nyhetsbrev till kundlistan.
Liknande artiklar
Detta är allmän information, inte juridisk rådgivning. Se Så bedömer vi.