Ten poradnik ma charakter orientacyjny i nie jest poradą prawną. W konkretnej sprawie proszę skonsultować się z inspektorem ochrony danych lub prawnikiem.
Dlaczego ten temat jest ważny przy narzędziach do akceptacji
W narzędziu do akceptacji znajdują się imiona, nazwiska i adresy e-mail osób akceptujących, ich komentarze, czasy podjęcia decyzji, a często także obrazy lub wideo, na których widać osoby. Są to dane osobowe w rozumieniu RODO.
Kto jest odpowiedzialny, a kto przetwarza?
Z reguły jako agencja lub freelancer odpowiadają Państwo wobec klientów za dane, które wprowadzają do narzędzia. Dostawca narzędzia przetwarza je na Państwa zlecenie. Dla takiej sytuacji art. 28 RODO wymaga umowy powierzenia przetwarzania danych, którą można zawrzeć w formie pisemnej lub elektronicznej.
Lista kontrolna do wyboru
- Umowa powierzenia przetwarzania danych: czy dostawca ją oferuje i czy otrzymują ją Państwo przed rozpoczęciem korzystania?
- Miejsce przechowywania: gdzie znajdują się baza danych i pliki? Czy jest to podane publicznie i w sposób możliwy do sprawdzenia na stronie dostawcy?
- Podwykonawcy dostawcy: czy istnieje lista stosowanych podmiotów przetwarzających wraz z lokalizacją?
- Państwa trzecie: czy dane są przekazywane do krajów spoza UE i na jakiej podstawie?
- Środki techniczne i organizacyjne: szyfrowanie, ochrona dostępu, kopie zapasowe, monitorowanie. Dostawca powinien umieć je opisać.
- Usuwanie: co dzieje się z danymi po zakończeniu umowy i jak długo znajdują się w kopiach zapasowych?
- Dostęp dla osób akceptujących: czy klienci potrzebują konta? Mniej kont to mniej przechowywanych danych logowania.
- Polityka prywatności dostawcy: czy odpowiada temu, co znajduje się na stronie o bezpieczeństwie?
Co należy zrobić samodzielnie
- Zawrzeć umowę powierzenia przetwarzania danych i ją przechowywać.
- Uwzględnić narzędzie w rejestrze czynności przetwarzania, o ile obowiązek jego prowadzenia Państwa dotyczy.
- Wskazać w polityce prywatności i wobec klientów, że korzystają Państwo z takiego narzędzia.
- Ustalić wewnętrznie, kto ma dostęp, i zabezpieczyć dostępy uwierzytelnianiem dwuskładnikowym, o ile narzędzie je oferuje.
- Ustalić zasady usuwania danych z zakończonych projektów.
Jak radzi sobie z tym CLAPPO
Hosting w Niemczech: serwery, baza danych i pliki u dostawcy Hetzner, pod opieką ELMACO. Osoby akceptujące nie potrzebują konta. Po zakończeniu umowy klienci mogą eksportować swoje dane przez 30 dni, następnie są usuwane, a z kopii zapasowych najpóźniej po kolejnych 30 dniach. Umowę powierzenia przetwarzania danych CLAPPO udostępnia na życzenie. Wszyscy dostawcy usług, miejsca przechowywania i środki ochrony są opisane na stronie Bezpieczeństwo, informacje prawne w polityce prywatności.