Software house potrzebuje umowy powierzenia przetwarzania danych, gdy przetwarza dane osobowe w imieniu klienta. Tak jest przy utrzymaniu systemu z dostępem do produkcji, hostingu, wsparciu użytkowników czy migracji danych. Klient jest wtedy administratorem, a ty podmiotem przetwarzającym, więc musisz mieć z nim umowę z elementami z art. 28 ust. 3 RODO.
Umowa wymaga formy pisemnej, w tym elektronicznej (art. 28 ust. 9 RODO). Każdy, komu dalej przekazujesz dane, na przykład chmura, narzędzie do zgłoszeń albo narzędzie AI, wymaga zgody klienta (art. 28 ust. 2 RODO).
Kiedy software house potrzebuje umowy powierzenia?
| Sytuacja | Czy przetwarzasz dane klienta | Umowa powierzenia |
|---|---|---|
| Budowa systemu na danych testowych, bez dostępu do produkcji | Nie | Zwykle niepotrzebna |
| Utrzymanie z dostępem do produkcyjnej bazy | Tak | Potrzebna |
| Hosting systemu na twojej infrastrukturze albo koncie chmurowym | Tak | Potrzebna |
| Obsługa zgłoszeń użytkowników końcowych | Tak | Potrzebna |
| Migracja danych ze starego systemu | Tak | Potrzebna |
| Body leasing, programista pracuje na systemach klienta | Zależy od ustaleń | Klient może podpisać ją na wszelki wypadek |
Co musi zawierać umowa powierzenia?
Art. 28 ust. 3 RODO wymienia elementy obowiązkowe. Umowa określa przedmiot i czas przetwarzania, jego charakter i cel, rodzaj danych, kategorie osób oraz prawa i obowiązki administratora. Zobowiązuje też podmiot przetwarzający, żeby:
- przetwarzał dane tylko na udokumentowane polecenie administratora (lit. a),
- zapewnił poufność osób upoważnionych (lit. b),
- stosował środki bezpieczeństwa z art. 32 (lit. c),
- przestrzegał zasad korzystania z dalszych podmiotów przetwarzających (lit. d),
- pomagał administratorowi obsługiwać żądania osób, których dane dotyczą (lit. e),
- pomagał przy bezpieczeństwie, zgłaszaniu naruszeń i ocenach skutków z art. 32-36 (lit. f),
- po zakończeniu usług usunął albo zwrócił dane, według decyzji administratora (lit. g),
- udostępniał informacje i umożliwiał audyty, w tym inspekcje (lit. h).
Co z podwykonawcami, chmurą i narzędziami AI?
Każdy dalszy podmiot przetwarzający wymaga uprzedniej szczegółowej albo ogólnej pisemnej zgody klienta (art. 28 ust. 2 RODO). Przy zgodzie ogólnej informujesz klienta o każdej zmianie, a on może się sprzeciwić. Na dalszy podmiot przenosisz te same obowiązki, a za jego błędy odpowiadasz wobec klienta w pełni (art. 28 ust. 4).
Kogo wpisać na listę:
- Dostawca chmury i hostingu, jeśli dane tam leżą.
- Narzędzia do zgłoszeń, logów, monitoringu, jeśli trafiają do nich dane osobowe.
- Narzędzia AI, do których zespół wkleja dane albo logi z danymi.
- Inne firmy, którym zlecasz część prac na danych.
Jakie są obowiązki przy naruszeniu ochrony danych?
Podmiot przetwarzający zgłasza naruszenie administratorowi bez zbędnej zwłoki po jego stwierdzeniu (art. 33 ust. 2 RODO). Klient ma własny, krótki termin na zgłoszenie do organu nadzorczego, więc w umowie wpisze ci konkretną liczbę godzin.
Przygotuj się zawczasu:
- Procedura zgłaszania incydentów w zespole, z jedną osobą odpowiedzialną.
- Szablon zgłoszenia z informacjami, których potrzebuje klient: co się stało, jakie dane, ile osób, jakie działania podjęto.
- Lista kontaktów do klientów na wypadek naruszenia.
Jakie kary grożą za naruszenia obowiązków podmiotu przetwarzającego?
Naruszenie obowiązków z art. 28, 32 czy 33 RODO podlega administracyjnej karze pieniężnej do 10 000 000 euro albo do 2% rocznego światowego obrotu, jeśli ta kwota jest wyższa (art. 83 ust. 4 lit. a RODO). W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (art. 34 ust. 1 i 2 ustawy o ochronie danych osobowych).
Do tego dochodzi odpowiedzialność wobec klienta z umowy. Klient może żądać nieograniczonej odpowiedzialności za naruszenia danych. Co możesz zaproponować w zamian:
- limit odpowiedzialności powiązany z wartością umowy,
- limit równy sumie ubezpieczenia, które masz,
- osobny, wyższy limit tylko dla naruszeń danych.
Co umowa powierzenia znaczy dla kodu, który twoja firma ma?
Dane osobowe w repozytoriach to problem przy każdej próbie licencjonowania albo sprzedaży kodu:
- dumpy baz,
- dane testowe skopiowane z produkcji,
- logi z adresami mailowymi.
Po zakończeniu współpracy umowa powierzenia każe ci je usunąć albo zwrócić (art. 28 ust. 3 lit. g RODO). Jeśli zostały w historii commitów, naruszasz umowę.
Trzymaj dane klientów poza repozytoriami z kodem, a do testów używaj danych syntetycznych albo zanonimizowanych. Kod bez danych osobowych łatwiej licencjonować innym firmom i łatwiej przygotować pod licencję na dane treningowe.
Jak licencjonować własne moduły, opisujemy na stronie licencja na oprogramowanie. Ile mogą być warte, sprawdzisz na stronie ile jest wart kod źródłowy.