Ohjelmistoyrityksen DPA – henkilötietojen käsittelyä koskeva sopimus, joka kestää asiakkaan tarkastelun

Ohjelmistoyritykselle DPA eli henkilötietojen käsittelysopimus on paljon enemmän kuin pakollinen GDPR-liite. Se on osa myyntiprosessia.

Kun asiakkaana on organisaatio, joka ottaa tietosuojan vakavasti, DPA päätyy usein juristin, tietosuojavastaavan tai hankintapuolen tarkastettavaksi. Tässä vaiheessa epäselvät ehdot tai puutteelliset tiedot alikäsittelijöistä voivat hidastaa koko kauppaa. Hyvin laadittu DPA tekee päinvastoin. Se vastaa olennaisiin kysymyksiin jo ennen kuin asiakas ehtii niitä esittää.

DPA kertoo, miten palvelusi käsittelee asiakkaan dataa

Ohjelmistoyrityksen DPA:n pitäisi kuvata riittävän tarkasti sitä, mitä palvelussa oikeasti tapahtuu. Jos vastaukset löytyvät selkeästi sopimuksesta, asiakkaan on huomattavasti helpompi arvioida palvelun tietosuojariskejä. Jos ne jäävät epäselviksi, kysymykset tulevat yleensä takaisin sopimuskommentteina tai muutostarpeina.

Erityisen tarkasti asiakkaat lukevat nykyisin ehtoja, jotka koskevat asiakasdatan käyttöä. Saako ohjelmistoyritys käyttää tietoja palvelun kehittämiseen? Entä analytiikkaan, virheiden selvittämiseen tai tekoälymallien kouluttamiseen?

Jos sopimus antaa yritykselle hyvin laajan oikeuden käyttää asiakkaan henkilötietoja omiin tarkoituksiinsa, samalla voi syntyä kysymys siitä, toimiiko yritys enää kaikessa käsittelyssä pelkkänä henkilötietojen käsittelijänä. Tämä kannattaa ratkaista sopimuksessa selkeästi.

Alikäsittelijät ovat SaaS-palvelun arkea

Harva ohjelmistopalvelu toimii täysin ilman ulkopuolisia palveluntarjoajia. Pilvi-infrastruktuuri, viestintäpalvelut, analytiikka ja tekoälyratkaisut voivat kaikki tarkoittaa sitä, että asiakkaan henkilötietoja käsittelee myös alikäsittelijä.

DPA:ssa kannattaa kuvata alikäsittelijöiden käyttö selkeästi ja rakentaa toimiva menettely niiden muutoksille. Jos lista on ajan tasalla ja muutoksista ilmoittamisen prosessi on mietitty valmiiksi, myös asiakasneuvottelut helpottuvat.

Tietojen sijainti on yksi ohjelmistopalveluiden DPA-neuvottelujen tavallisista kysymyksistä. Pelkkä ilmoitus siitä, että palvelimet sijaitsevat EU:ssa, ei aina vastaa siihen kysymykseen, jota asiakas tosiasiassa selvittää.

Asiakasta kiinnostaa myös, käsitelläänkö henkilötietoja EU- tai ETA-alueen ulkopuolella tai asetetaanko niitä alueen ulkopuolella toimivan palveluntarjoajan saataville. Esimerkiksi pilvipalvelun data voi fyysisesti sijaita EU-alueella, mutta palvelun ylläpitoon, tekniseen tukeen tai virhetilanteiden selvittämiseen voi osallistua henkilöstöä tai alikäsittelijöitä EU-/ETA-alueen ulkopuolelta.

Tällaiset käyttöoikeudet ja käsittelyketjut kannattaa selvittää. GDPR:n kansainvälisiä tiedonsiirtoja koskevien sääntöjen näkökulmasta ratkaisevaa ei ole yksin palvelimen fyysinen sijainti.

Lisäksi tekoälyominaisuuksien lisääntyessä asiakkaat haluavat tietää, käytetäänkö heidän dataansa tekoälymallien koulutukseen.

Näihin kysymyksiin pitäisi pystyä vastaamaan yksiselitteisesti. Mitä selkeämmin nämä asiat on ratkaistu sopimuksella etukäteen, sitä vähemmän niitä tarvitsee selvittää jokaisen asiakkaan kanssa erikseen.

Hyvä DPA vähentää sopimusneuvottelujen kitkaa

Ohjelmistoyritykselle toimivan DPA arvo näkyy usein hyvin konkreettisesti. Asiakas esittää vähemmän kysymyksiä. Samoja ehtoja ei tarvitse neuvotella jokaisessa kaupassa uudelleen. Myynti saa käyttöönsä dokumentin, jonka sisältö on selkeä ja ymmärrettävä. Siksi DPA kannattaa rakentaa yhtä huolellisesti kuin muutkin keskeiset kaupalliset sopimukset.

Erityisesti kasvuvaiheessa hyvä sopimuspohja maksaa itsensä nopeasti takaisin. Lisäksi sopimuskokonaisuus on hyvä tarkistaa säännöllisesti. Tarkistus on yleensä ajankohtainen silloin, kun palvelu on muuttunut, alikäsittelijöitä on tullut lisää, palveluun on lisätty tekoälyä tai sama DPA on ollut käytössä jo useita vuosia. Myös toistuva asiakaspalaute kertoo paljon. Jos eri asiakkaat kommentoivat samoja kohtia tai pyytävät samoja täsmennyksiä, sopimuspohjaa kannattaa kehittää.

Tarvitsetko DPA:n ohjelmistopalvelullesi?

Lex Futura auttaa ohjelmistoyrityksiä DPA-sopimusten laatimisessa ja tarkistamisessa.

Tarkistuksessa voidaan käydä läpi muun muassa alikäsittelijät, kansainväliset tiedonsiirrot, tietojen poistaminen, tekoälyä koskevat ehdot sekä sopimuksen suhde palvelun todelliseen tekniseen toteutukseen.

Jos haluat DPA:n, joka kestää asiakkaan tarkastelun ja tukee samalla ohjelmistoyrityksen myyntiä, ota yhteyttä Lex Futuraan.

Sähköposti: katja@lexfutura.fi

Puhelinnumero: 044-9010447