Jeśli dostawca przetwarza dane osobowe w imieniu firmy, umowa powierzenia jest warunkiem. Bez niej danych przekazywać nie wolno.
Kiedy jest potrzebna
Zawsze, gdy do narzędzia trafiają dane osobowe — także zapytania klientów zawierające ich imiona i adresy.
Ten drugi przypadek bywa pomijany, bo nikt nie traktuje wklejonej wiadomości jak przekazania danych. Z punktu widzenia procesu to jednak dokładnie to samo, co wysłanie pliku z listą kontaktów. Podobnie jest z transkrypcją rozmowy, zrzutem ekranu z korespondencji i eksportem zamówień.
Co powinna określać
- przedmiot i czas przetwarzania,
- rodzaj danych i kategorie osób,
- obowiązki dostawcy w zakresie bezpieczeństwa,
- zasady korzystania z dalszych podmiotów,
- postępowanie po zakończeniu umowy,
- wsparcie przy realizacji praw osób.
Ta lista służy do rozmowy z prawnikiem albo inspektorem ochrony danych, a nie do samodzielnej oceny dokumentu. Osoba wdrażająca sprawdza, czy dokument w ogóle istnieje i czego dotyczy. Ocena jego treści to osobna praca i osobna kompetencja.
Dalsze podmioty
Dostawcy korzystają z innych usług. Warto wiedzieć, kto jeszcze przetwarza dane i gdzie się to odbywa.
Lista takich podmiotów bywa publikowana na osobnej stronie i zmienia się bez powiadomienia. Warto ją sprawdzić przy wyborze narzędzia i wrócić do niej przy rocznym przeglądzie, bo między jednym a drugim sprawdzeniem potrafi wyglądać zupełnie inaczej.
Warunki gotowe
Więksi dostawcy udostępniają dokument do zaakceptowania. Wystarcza, ale trzeba go przeczytać, a nie zaakceptować odruchowo.
Akceptacja bywa osobnym krokiem w panelu administracyjnym, a nie częścią rejestracji. Zdarza się, że firma korzysta z narzędzia od miesięcy i nie ma zaakceptowanego dokumentu, bo nikt do tego ustawienia nie zajrzał. Datę akceptacji warto zapisać przy wpisie w rejestrze zastosowań.
Wersje darmowe
Zwykle nie obejmują umowy powierzenia. To rozstrzyga o niedopuszczalności użycia z danymi klientów, niezależnie od jakości narzędzia.
Ten sam problem wraca przy kontach prywatnych używanych w pracy, bo prywatny plan to zwykle plan konsumencki. Różnicy nie widać w interfejsie i pracownik nie ma powodu jej podejrzewać.
Miejsce przetwarzania
Przekazanie poza Europejski Obszar Gospodarczy wymaga dodatkowej podstawy. Część dostawców oferuje przetwarzanie w Europie — warto sprawdzić i wybrać.
Wybór regionu bywa dostępny tylko przy zakładaniu organizacji, a późniejsza zmiana oznacza przeniesienie kont i historii. To argument, żeby zdecydować na początku, razem z pozostałymi ustaleniami o danych osobowych w narzędziach AI.
Co zrobić z tym praktycznie
Zebrać listę używanych narzędzi, przy każdym odnotować, czy dokument o przetwarzaniu danych istnieje i czy został zaakceptowany, a wątpliwe pozycje przekazać do oceny prawnikowi. Narzędzia bez takiego dokumentu zostają, ale wyłącznie do zadań bez danych osobowych — i to trzeba zapisać wprost, bo inaczej granica rozmyje się w ciągu kilku tygodni.
