Sjekkliste for databehandleravtaler

Dere vet hvilken personopplysning som går gjennom hvilke systemer og hvorfor — selv om det er et enkelt register, ikke en 200-raders mal.

Hvert selskap som behandler personopplysninger for dere er navngitt med kategori, region og eier.

Artikkel 28 krever en avtale som dekker gjenstand, varighet, art og formål, datatyper og plikter.

Når kunden ber om underleverandørliste, kan dere svare samme dag fra en oppdatert liste.

Når dere legger til eller bytter behandler, varsles berørte kunder etter DPA / art. 28(2).

Dere vet hvem dere skal sende e-post til hos hver leverandør ved hendelser, DSAR og oppfølging av spørreskjema.

Signerte avtaler og SOC 2 / ISO-sertifikater har gjennomgangsdato — ikke bare en mappe fra tre år siden.

72-timers varsling til behandlingsansvarlig og eskalering fra behandler er skrevet ned.

Innsyn og sletting har eiere, frister og en sjekkliste over systemer som skal røres.

ChatGPT, Copilot og liknende er listet med treningsflagg — skygge-AI er ikke usynlig.

Behandlere i USA eller andre land utenfor EØS har SCC eller annet overføringsgrunnlag i registeret.

Noen er ansvarlig for å oppdatere listen før neste sikkerhetsspørreskjema lander.