Duomenų apsauga ir BDAR atitiktis SaaS įmonėms

TRUMPAI

BDAR taikomas ES įsisteigusioms SaaS įmonėms, kai jos tvarko asmens duomenis vykdydamos savo ES įmonės veiklą, neatsižvelgiant į tai, kur yra jų naudotojai. Jis taip pat gali būti taikomas už ES ribų įsisteigusioms įmonėms, kai jos siūlo prekes ar paslaugas ES esantiems asmenims arba stebi jų elgesį ES. Taikomi įpareigojimai priklauso nuo įmonės, kaip duomenų valdytojo ar tvarkytojo, vaidmens ir konkrečios tvarkymo veiklos. Už sunkius pažeidimus gali būti skiriamos administracinės baudos iki 20 mln. EUR arba 4 % įmonės bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė, laikantis BDAR reikalavimų ir taikomų išimčių.
SaaS įmonės susiduria su dviguba BDAR prievole: kaip duomenų valdytojos, tvarkančios savo vartotojų duomenis, ir kaip duomenų tvarkytojos, tvarkydamos savo klientų vartotojų duomenis – kiekvienas vaidmuo turi atskirų įsipareigojimų, kuriuos reikia valdyti vienu metu.
Pagal 28 straipsnį teisinis reikalavimas sudaryti BDAR reikalavimus atitinkančią duomenų tvarkymo sutartį su kiekvienu B2B klientu yra ir komercinis reikalavimas bet kokiam įmonės pardavimo procesui, kai klientas turi teisinį patarėją, peržiūrintį sutartis.
Mes teikiame visapusišką SaaS atitikties BDAR reikalavimams programą – nuo pradinio spragų įvertinimo iki nuolatinių duomenų apsaugos pareigūno funkcijų, subtvarkytojų valdymo ir reagavimo į duomenų saugumo pažeidimus.
Visa BDAR dokumentacija yra skirta konkrečiai SaaS kontekstui – privatumo pranešimas, DPA šablonas, subtvarkytojų sąrašas ir duomenų saugojimo politika atspindi, kaip SaaS platforma iš tikrųjų apdoroja duomenis, o ne bendras verslas su svetaine.

SaaS įmonės atitiktis BDAR apima du vienu metu vykdomus įsipareigojimus: įmonės naudotojų asmens duomenų valdymą (kaip duomenų valdytojo) ir klientų naudotojų asmens duomenų, tvarkomų per SaaS platformą (kaip duomenų tvarkytojo), valdymą. Atitikties programa apima abu vaidmenis – privatumo pranešimą ir slapukų politiką duomenų valdytojo įsipareigojimams, duomenų tvarkymo sutartis, subtvarkytojų valdymą ir technines bei organizacines priemones tvarkytojo įsipareigojimams. Mes kuriame, įgyvendiname ir prižiūrime šią programą Lietuvos SaaS įmonėms, taip pat teikiame išorinio duomenų apsaugos pareigūno (DAP) funkciją, kai įmonei reikia paskirto eksperto, kuris valdytų nuolatinius BDAR įsipareigojimus.

SaaS BDAR dviguba prievolė: duomenų valdytojas ir tvarkytojas

Svarbiausia BDAR koncepcija, kurią SaaS įkūrėjai turi suprasti, yra ta, kad SaaS įmonė beveik visada yra ir duomenų valdytoja, ir duomenų tvarkytoja vienu metu – ir šie vaidmenys turi skirtingus įsipareigojimus, kuriuos reikia valdyti lygiagrečiai.

Kaip duomenų valdytojas – jūsų pačių naudotojai

Kai SaaS įmonė tiesiogiai iš vartotojų renka asmens duomenis – paskyros registracijos informaciją, prisijungimo duomenis, naudojimo analizę, atsiskaitymo duomenis, palaikymo pranešimus – įmonė nustato tokio tvarkymo tikslą ir priemones. Ji yra duomenų valdytojas. Kaip duomenų valdytojas, įmonė privalo nustatyti tinkamą teisinį pagrindą kiekvienai tvarkymo veiklai, pateikti reikiamą privatumo informaciją, sudaryti sąlygas taikytinoms duomenų subjekto teisėms, prireikus tvarkyti tvarkymo veiklos įrašus ir įgyvendinti tinkamas technines bei organizacines saugumo priemones. Pagal BDAR 33 straipsnį apie asmens duomenų saugumo pažeidimą turi būti pranešta kompetentingai priežiūros institucijai nedelsiant ir, jei įmanoma, per 72 valandas nuo tada, kai duomenų valdytojas apie jį sužino, nebent pažeidimas neturėtų kelti pavojaus asmenų teisėms ir laisvėms. Kai pažeidimas gali kelti didelį pavojų, duomenų valdytojas paprastai privalo nedelsdamas informuoti paveiktus asmenis, atsižvelgiant į 34 straipsnyje numatytas išimtis. Kompetentinga priežiūros institucija nebūtinai kiekvienu tarpvalstybiniu atveju yra Valstybinė duomenų apsaugos inspekcija.

Kaip duomenų tvarkytojas – jūsų klientų naudotojai

Kai B2B SaaS įmonės platforma tvarko klientų klientų asmens duomenis – kliento įvestus naudotojų įrašus, operacijų duomenis, komunikacijos žurnalus, sveikatos įrašus ar bet kokius kitus asmens duomenis, kuriuos kliento naudotojai pateikia platformai, – SaaS įmonė tvarko duomenis kliento vardu. Klientas yra duomenų valdytojas, o SaaS įmonė – duomenų tvarkytojas. Kaip duomenų tvarkytojas, įmonė privalo pasirašyti duomenų tvarkymo sutartį su kiekvienu kliento valdytoju; tvarkyti duomenis tik pagal kliento dokumentuotus nurodymus; įgyvendinti tinkamas technines saugumo priemones; nedelsiant pranešti klientui apie bet kokį duomenų pažeidimą, turintį įtakos jo duomenims; užtikrinti, kad subtvarkytojai būtų saistomi lygiaverčių įsipareigojimų; ir ištrinti arba grąžinti visus duomenis nutraukus sutartį.

Kodėl abu vaidmenys svarbūs vienu metu

Daugumoje įmonėms skirtų BDAR vadovų daugiausia dėmesio skiriama arba duomenų valdytojo, arba duomenų tvarkytojo vaidmeniui – retai kada abiem. SaaS įmonės turi valdyti abu vienu metu, o įsipareigojimai ne visada tiksliai sutampa. Privatumo pranešimas apima duomenų valdytojo vaidmenį; DPA – duomenų tvarkytojo vaidmenį. Įpareigojimas pranešti apie duomenų pažeidimą taikomas abiem kryptimis – 72 valandos SDPI kaip duomenų valdytojui ir pranešimas kiekvienam paveiktam klientui kaip tvarkytojui. Duomenų saugojimo laikotarpis gali skirtis tarp duomenų valdytojo duomenų (naudojimo analizės, saugomos verslo tikslais) ir tvarkytojo duomenų (kliento naudotojo duomenų, kurie turi būti grąžinti arba ištrinti nutraukiant sutartį). Atitikties programa turi apimti abu aspektus ir užtikrinti, kad jie būtų nuoseklūs.

BDAR baudų skalė – tikrieji skaičiai

BDAR numato dviejų lygių administracines baudas. Už pagrindinių įsipareigojimų pažeidimus, pavyzdžiui, nesudarius duomenų apsaugos sutarties su tvarkytoju, baudos gali siekti 10 000 000 EUR arba 2 % bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė. Už pagrindinių principų pažeidimus, pavyzdžiui, tvarkymą be teisėto pagrindo arba duomenų subjektų teisių nepaisymą, baudos gali siekti 20 000 000 EUR arba 4 % bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė. ES duomenų apsaugos institucijos nuo 2018 m. aktyviai skiria baudas įvairaus dydžio įmonėms. 4 % pasaulinių pajamų riba daro BDAR finansiškai reikšmingiausiu reguliavimo režimu daugumai SaaS įmonių.

Mūsų BDAR atitikties paslaugos SaaS įmonėms

Mes teikiame struktūrizuotą BDAR atitikties programą, apimančią tiek duomenų valdytojo, tiek tvarkytojo aspektus, susijusius su SaaS įmonės duomenų apsaugos įsipareigojimais. Kiekviena paslaugų sritis atitinka konkretų atitikties programos komponentą.

BDAR atitikties programos kūrimas ir įgyvendinimas

BDAR atitikties programa nėra vienas dokumentas – tai suderintas politikos krypčių, procedūrų, dokumentacijos ir techninių priemonių rinkinys, kuris kartu įrodo atitiktį BDAR principams. SaaS įmonei programa turi apimti tiek duomenų valdytojo, tiek tvarkytojo aspektus ir turi būti plėtojama augant produktui, komandai ir klientų bazei. Mes kuriame ir įgyvendiname pradinę atitikties programą ir ją prižiūrime įmonei tobulėjant.

BDAR spragų vertinimas – dabartinės praktikos ir dokumentacijos peržiūra atsižvelgiant į visus BDAR nustatytus įpareigojimus
Duomenų žemėlapio sudarymas – visų tvarkomų asmens duomenų nustatymas, jų tvarkymo tikslas, teisinis pagrindas ir tvarkymo trukmė.
Teisinio pagrindo analizė – kiekvienos tvarkymo veiklos taikytino teisinio pagrindo (sutikimo, teisėto intereso, sutarties, teisinės prievolės) patvirtinimas
Tvarkymo veiklos įrašai (ROPA) – 30 straipsnio vidaus registras, kuriame registruojamos visos tvarkymo operacijos
Privatumo užtikrinimo peržiūra projektuojant – konsultacijos dėl naujų produkto funkcijų duomenų apsaugos požiūriu prieš kuriant produktą
BDAR atitikties kalendorius – visų tęstinių įsipareigojimų (metinės peržiūros, mokymų, duomenų saugojimo patikrinimų) planavimas metams
Atskaitomybės dokumentai – vidiniai BDAR atitikties įrodymai, kurie turi būti prieinami SDPI auditui.
Metinė programos peržiūra – visų dokumentų ir vertinimų atnaujinimas, atsižvelgiant į reguliavimo gaires ir produktų pakeitimus

Duomenų tvarkymo sutartys B2B klientams

Duomenų tvarkymo sutartis (DTS), atitinkanti BDAR 28 straipsnio reikalavimus, reikalinga tais atvejais, kai SaaS teikėjas tvarko asmens duomenis kliento, veikiančio kaip duomenų valdytojas, vardu. Tačiau vien sutartiniai santykiai nenulemia šalių vaidmenų BDAR. Priklausomai nuo tvarkymo veiklos, šalys gali veikti kaip nepriklausomi duomenų valdytojai, bendri duomenų valdytojai arba duomenų valdytojas ir tvarkytojas. Kai kurie SaaS teikėjai taip pat veikia kaip konkrečių duomenų kategorijų, pvz., sąskaitų administravimo, sąskaitų išrašymo ar nepriklausomai nustatytos analizės, valdytojai. Todėl tinkama sutartinė dokumentacija turi būti pagrįsta faktiniais kiekvienos šalies tvarkymo tikslais ir atsakomybe. Įmonių klientams DTS yra standartinė komercinė būtina sąlyga, dažnai pateikiama kaip jų pačių šablono, kurį SaaS įmonė turi pasirašyti, dalis. Mes parengiame standartinį DTS šabloną išoriniam naudojimui, peržiūrime ir derames dėl kliento siūlomų DTS.

SaaS DPA šablonas – atitinka 28 straipsnį; apimantis tvarkymo dalyką, trukmę, pobūdį ir tikslą, duomenų kategorijas ir visus privalomus tvarkytojo įsipareigojimus
Saugumo priedas (techninės ir organizacinės priemonės) – išsamiai aprašoma saugumo sistema, kurią SaaS įmonė taiko klientų duomenims.
Subrangovų sąlyga – esamų subrangovų sąrašas; pranešimų apie papildymus tvarka; kliento teisės prieštarauti
Tarptautinio duomenų perdavimo nuostatos – standartinės sutarčių sąlygos, taikomos klientų duomenų perdavimui už EEE ribų
Duomenų grąžinimo ir ištrynimo nuostatos – įsipareigojimas grąžinti arba ištrinti kliento duomenis nutraukus sutartį; terminai ir formatas
Audito teisių sąlyga – kliento teisė atlikti SaaS įmonės atitikties auditą; proporcinga praktinės veiklos apimtis
Įmonės duomenų apdorojimo sutarties (DPA) peržiūra – kliento siūlomų nestandartinių DPA sąlygų peržiūra ir atsakymas į jas; rašytinis komentaras ir derybų strategija
DPA portfelio auditas – visų esamų klientų santykių peržiūra siekiant patvirtinti DPA aprėptį

DPA kaip įmonės pardavimo reikalavimas

Įmonių pirkimų komandos nuolat reikalauja pasirašyto duomenų apdorojimo susitarimo (DPA), prieš patvirtindamos naują SaaS tiekėją. Aiškiai struktūrizuotas DPA, kuriame naudojama standartinė BDAR kalba ir aptariami standartiniai įmonės klausimai – saugumo sistema, subtvarkytojų sąrašas, pažeidimų pranešimų terminas, duomenų ištrynimas nutraukus sutartį, – patvirtinamas per kelias dienas. DPA, kuriame trūksta privalomų 28 straipsnio nuostatų, naudojama nestandartinė terminologija arba kuriose yra nepakankamos saugumo nuostatos, yra perduodama kliento duomenų apsaugos pareigūnui ir teisininkų komandai, o tai pailgina pardavimo ciklą keliomis savaitėmis. Mes rengiame DPA įmonių pirkimams, o ne tik užtikriname minimalią atitikties reguliavimo institucijoms užtikrinimą.

Subprocesorių valdymas

Pagalbinis duomenų tvarkytojas yra trečioji šalis, kurią duomenų tvarkytojas pasamdė atlikti konkrečią asmens duomenų tvarkymo veiklą pirminio duomenų valdytojo vardu. Klasifikacija priklauso nuo faktinio paslaugų teikėjo vaidmens ir tikslų, kuriais jis tvarko asmens duomenis. Debesų kompiuterijos, analizės, ryšių ir palaikymo paslaugų teikėjai gali veikti kaip pagalbiniai duomenų tvarkytojai, kai jie tvarko klientų asmens duomenis pagal SaaS įmonės nurodymus. Tačiau tam tikri paslaugų teikėjai, įskaitant mokėjimo paslaugų teikėjus, gali veikti kaip nepriklausomi duomenų valdytojai kai kurioje veikloje. Kai paslaugų teikėjas atitinka pagalbinio duomenų tvarkytojo reikalavimus, SaaS įmonė turi gauti išankstinį konkretų arba bendrą rašytinį duomenų valdytojo leidimą ir nustatyti sutartinius duomenų apsaugos įsipareigojimus, atitinkančius BDAR 28(4) straipsnį. Pagalbinių duomenų tvarkytojų sąrašas turi būti atskleistas klientams ir atnaujinamas, kai pridedami nauji pagalbiniai duomenų tvarkytojai, o klientams turi būti suteikta galimybė nesutikti.

Subprocesoriaus identifikavimas – visų technologijų rinkinio paslaugų, kurios gauna arba pasiekia kliento asmens duomenis, susiejimas
Subtvarkytojo DPA patvirtinimas – patvirtinimas, kad kiekvienas subtvarkytojas turi tinkamą DPA (dauguma pagrindinių debesijos paslaugų teikėjų turi).
Subprocesorių sąrašo rengimas – paskelbtas sąrašas, tinkamas įtraukti į SaaS įmonės privatumo dokumentaciją ir klientų duomenų apsaugos sutartis
Pranešimo apie subrangovų pakeitimą procedūra – klientų informavimo procesas, kai pridedami nauji subrangovų teikėjai.
Klientų prieštaravimų valdymas – klientų prieštaravimų dėl konkrečių subtvarkytojų nagrinėjimas; sprendimo dokumentavimas.
Tarptautinio perdavimo vertinimas – perdavimo mechanizmo patvirtinimas už EEE ribų esantiems subtvarkytojams (standartinės sąlygos, sprendimas dėl tinkamumo, įmonėms privalomos taisyklės)
Metinė subrangovų peržiūra – patvirtinama, kad sąrašas išlieka tikslus ir visi subrangovų duomenų tvarkytojų duomenų apsaugos susitarimai (DPA) yra aktualūs.

Duomenų subjekto teisių procedūros

ES duomenų subjektai turi apibrėžtą teisių rinkinį pagal BDAR – teisę susipažinti su savo asmens duomenimis, teisę reikalauti ištrinti duomenis, teisę į duomenų perkeliamumą, teisę nesutikti su tvarkymu ir kitas. SaaS įmonė turi gebėti atsakyti į bet kokį duomenų subjekto teisių prašymą per vieną mėnesį. Ši prievolė taikoma tiek duomenų valdytojo vaidmeniui (pačios SaaS įmonės naudotojų prašymams), tiek tvarkytojo vaidmeniui (kliento naudotojų prašymams, į kuriuos SaaS įmonė turi padėti klientui atsakyti). Neturint dokumentuotų procedūrų, atsakymai yra nenuoseklūs, lėti ir gali būti pateikiami praleidus privalomą terminą.

Duomenų subjekto teisių procedūra – nuoseklus kiekvieno tipo DSR gavimo, patvirtinimo ir atsakymo į jį procesas
Tapatybės patvirtinimo procedūra – prašytojo tapatybės patvirtinimas prieš atskleidžiant arba ištrinant asmens duomenis
Teisės susipažinti su duomenimis procedūra – patvirtinimas, ar tvarkomi asmens duomenys, prieiga prie atitinkamų asmens duomenų ir papildomos informacijos, kurios reikalaujama pagal BDAR 15 straipsnį. Struktūrizuotas, įprastai naudojamas ir kompiuterio skaitomas formatas yra konkrečiai siejamas su duomenų perkeliamumo teise pagal 20 straipsnį, o ne universalus reikalavimas visiems prašymams susipažinti su duomenimis.
Teisės reikalauti ištrinti duomenis procedūra – prašymų pagal BDAR 17 straipsnį vertinimas ir asmens duomenų ištrynimas, kai tenkinamos įstatyminės sąlygos. Ištrynimas nėra besąlyginė teisė: asmens duomenis gali tekti saugoti siekiant laikytis teisinių įsipareigojimų, pareikšti ar ginti teisinius reikalavimus arba esant kitoms taikytinoms išimtims. Prireikus duomenų valdytojas taip pat privalo imtis atitinkamų veiksmų dėl duomenų gavėjų ir tvarkytojų.
Teisė į duomenų perkeliamumą – asmens duomenų eksportavimas duomenų subjektui kompiuterio skaitomu formatu (JSON, CSV)
Teisė nesutikti ir apribojimų procedūros – prieštaravimų ir apribojimų prašymų vertinimo ir rezultatų dokumentavimas
DSR užklausų žurnalas – visų gautų užklausų ir jų išsprendimo būsenos vidinių įrašų tvarkymas
Eskalavimas tarp procesoriaus ir valdiklio – procedūra, skirta klientų naudotojų DSR užklausoms nukreipti į atitinkamą kliento valdiklį.

Duomenų saugumo pažeidimo reagavimas ir pranešimas

Asmens duomenų pažeidimas – bet koks incidentas, susijęs su atsitiktiniu ar neteisėtu asmens duomenų sunaikinimu, praradimu, pakeitimu, neteisėtu atskleidimu ar prieiga prie jų – sukelia konkrečius BDAR įpareigojimus. Kaip duomenų valdytojas, SaaS įmonė privalo per 72 valandas pranešti Valstybinei duomenų apsaugos inspekcijai, jei pažeidimas gali kelti pavojų asmenims. Kaip duomenų tvarkytojas, ji privalo nedelsdama pranešti kiekvienam paveiktam klientui. Dokumentuota reagavimo į pažeidimą procedūra lemia, ar įmonė tvarko pažeidimą taip, kad kuo labiau sumažintų reguliavimo ir komercinę žalą, ar sužino apie savo įsipareigojimus jau pasibaigus terminui.

Duomenų saugumo pažeidimo reagavimo procedūra – nuoseklus incidentų triažo, izoliavimo, vertinimo ir pranešimo darbo eiga
Pažeidimo sunkumo vertinimo sistema – pažeidimo sunkumo klasifikavimo ir pranešimo įpareigojimų nustatymo kriterijai
SDPI pranešimo šablonas – iš anksto parengta pranešimo forma, kurioje pateikiama visa BDAR 33 straipsnyje reikalaujama informacija
Kliento pranešimo šablonas – 33(2) straipsnio tvarkytojo pranešimas klientų duomenų valdytojams; terminas nustatomas taip, kad klientas spėtų įvykdyti SDPI terminą.
Duomenų subjekto pranešimo šablonas – didelės rizikos pažeidimams, kuriems reikia tiesiogiai pranešti susijusiems asmenims
Vidinis pažeidimų žurnalas – 33(5) straipsnio vidaus įrašas, kuriame registruojami visi pažeidimai, įskaitant tuos, kurie nesiekia SDPI pranešimo ribos.
Pažeidimo imitavimo pratybos – stalo pratybos, kuriose tikrinama reagavimo į pažeidimą procedūra pagal realų scenarijų.
Peržiūros po pažeidimo procedūra – išmoktos patirties dokumentavimas ir techninių ar procedūrinių patobulinimų diegimas

Išorės duomenų apsaugos pareigūnas (DAP)

Duomenų apsaugos pareigūnas yra BDAR paskirtas ekspertas, atsakingas už atitikties stebėseną, konsultavimą duomenų apsaugos įsipareigojimų klausimais, darbuotojų mokymą ir kontaktinio asmens, skirto duomenų subjektams ir SDPI, vaidmenį. BDAR aiškiai leidžia DAP vaidmenį atlikti išorės paslaugų teikėjui. SaaS įmonėms augimo etape išorinis DAP suteikia reikiamą patirtį ir paskirtą atskaitomybę be nuolatinio darbo etato, kurio BDAR veiklos apimtis dar gali nepateisinti.

DAP paskyrimas – oficialus pranešimas SDPI apie paskirtą DAP, jei reikia
BDAR atitikties programos priežiūra – nuolatinės atitikties stebėsena ir kylančių problemų žymėjimas
Duomenų subjekto teisių valdymas – DSR atsakymų valdymas laikantis BDAR terminų
Duomenų saugumo pažeidimų valdymas – saugumo pažeidimų vertinimo, pranešimų teikimo sprendimų ir SDPI korespondencijos vadovavimas
DPAV priežiūra – duomenų apsaugos poveikio vertinimų peržiūra, susijusi su didelės rizikos tvarkymo veikla
Kliento duomenų apsaugos institucijos (DPA) užklausos – atsakymai į klientų BDAR klausimus apie platformos duomenų tvarkymą
Darbuotojų mokymai – metiniai BDAR mokymai su lankomumo įrašais
SDPI ryšių palaikymo pareigūnas – atsako į SDPI užklausas ir bendradarbiauja su priežiūros institucijomis
Mėnesinė duomenų apsaugos pareigūno ataskaita – BDAR veiklos, incidentų ir neišspręstų klausimų santrauka vadovų komandai.

SaaS BDAR įsipareigojimai: duomenų valdytojas ir tvarkytojas

Žemiau esančioje lentelėje pateikiami pagrindiniai BDAR įsipareigojimai pagal tai, ar jie taikomi duomenų valdytojo vaidmeniui (jūsų pačių naudotojams), duomenų tvarkytojo vaidmeniui (jūsų klientų naudotojams), ar abiems. Siekiant visapusiškos atitikties, turi būti apimti abu aspektai.

BDAR įsipareigojimas	Valdytojo vaidmuo (savi vartotojai)	Apdorotojo vaidmuo (kliento vartotojai)
Privatumo pranešimas / skaidrumas	Privaloma – paskelbta privatumo politika	Ne tiesiogiai (klientas skelbia savo politiką)
Teisinis tvarkymo pagrindas	Privaloma – dokumentuojama pagal veiklą	Nereikalaujama – klientas yra atsakingas už teisėtą pagrindą
Tvarkymo įrašai (ROPA)	Reikalinga – 30 straipsnio 1 dalis	Privaloma – 30 straipsnio 2 dalis (atskiras tvarkytojo įrašas)
Duomenų tvarkymo sutartis	Nebūtina (jūs esate valdytojas)	Privaloma su kiekvienu klientu prieš pradedant apdorojimą
Subprocesorių duomenų apsaugos institucijos (DPA)	N/A	Privaloma – visi subrangovų duomenų tvarkytojai turi laikytis BDAR įsipareigojimų.
Duomenų subjekto teisių atsakymas	Privaloma – pačių naudotojų užklausos	Padėti klientui atsakyti į vartotojų užklausas
SDPI pranešimas apie pažeidimą per 72 valandas	Privaloma – jei kyla rizika asmenims	Ne tiesiogiai (bet privalo nedelsdamas pranešti klientui)
Pranešimas apie kliento pažeidimą	N/A	Privaloma – nedelsiant po to, kai sužinoma
Duomenų saugumo priemonės	Privaloma – atitinka riziką	Privaloma – kaip nurodyta duomenų apsaugos sutartyje ir saugumo priede
Duomenų saugojimo apribojimai	Taikyti BDAR reikalavimų mažinimo principą	Grąžinti arba ištrinti gavus nurodymą arba nutraukus sutartį
Tarptautinis perdavimo mechanizmas	Privaloma pervedimams už EEE ribų	Reikalinga, kai duomenys perduodami už EEE ribų pagalbinio apdorojimo srityje
DPAV (didelės rizikos duomenų tvarkymas)	Privaloma, kai taikoma	Palaikykite kliento DPAV, kai apdorojimas apima kliento duomenis

BDAR atitiktis kaip pardavimų skatinimo priemonė

BDAR atitiktis dažnai įvardijama kaip sąnaudos ir atitikties našta. B2B SaaS įmonėms tai taip pat yra komercinis išskirtinumas, ypač įmonių pardavimuose, kur pirkimų komandos duomenų apsaugos brandą vertina kaip tiekėjo pasirinkimo kriterijų.

Ką tikrina verslo klientai

Įmonių pirkimų komandos, ypač finansinių paslaugų, sveikatos priežiūros, teisės ir valdžios sektoriuose, atlieka struktūrizuotą BDAR išsamų naujų SaaS tiekėjų patikrinimą. Standartiniai klausimai apima: ar įmonė turi paskirtą duomenų apsaugos pareigūną arba duomenų apsaugos kontaktinį asmenį; ar yra BDAR reikalavimus atitinkantis duomenų apsaugos pareigūnas; kokie subtvarkytojai yra pasitelkiami ir ar jie turi tinkamus duomenų perdavimo mechanizmus; kokios saugumo priemonės yra įdiegtos (šifravimas saugojimo ir perdavimo metu, prieigos kontrolė, įsiskverbimo testavimas); kokia yra pažeidimų pranešimo procedūra; ir ar duomenys saugomi ES, ar šalyse, kuriose pripažintas tinkamumas. SaaS įmonė, galinti atsakyti į visus šiuos klausimus dokumentais, o ne tik žodiniu patikinimu, greičiau sudaro įmonių sutartis.

Saugumo klausimynai

Didelės įmonės klientai kartu su duomenų apsaugos priedu (DPA) dažnai siunčia saugumo klausimynus, kuriuose prašoma pateikti techninę informaciją apie platformos saugumo architektūrą, duomenų tvarkymo praktiką ir atitikties sertifikatus. Klausimynas paprastai apima: šifravimo standartus, prieigos kontrolės politiką, atsarginių kopijų kūrimo ir atkūrimo procedūras, įsiskverbimo testavimo dažnumą, incidentų reagavimo procedūras ir subtvarkytojų vietas. Dokumentuotos techninės ir organizacinės priemonės (TOP), į kurias turėtų būti nuoroda DPA saugumo priede, leidžia šiuos klausimynus užpildyti tiksliai ir nuosekliai. Be dokumentacijos į kiekvieną klausimyną atsakoma iš atminties, todėl pateikiami nenuoseklūs ir kartais netikslūs atsakymai, kurie kliento saugumo peržiūroje kelia abejonių.

Duomenų apdorojimas kaip produkto funkcija

Vis daugiau SaaS pirkėjų, ypač reguliuojamuose sektoriuose, BDAR atitiktį laiko ne minimaliu reikalavimu, o produkto savybe. Duomenų saugojimo galimybės (duomenų saugojimas tik ES), ISO 27001 sertifikavimas, SOC 2 II tipo atitiktis ir įrodoma BDAR atskaitomybė vis dažniau nurodomi kaip reikalavimai įmonių pasiūlymų užklausose. BDAR atitikties integravimas į produktą nuo pat pradžių, o ne jos diegimas vėliau dėl pardavimų spaudimo, leidžia įmonei konkuruoti įmonių segmentuose, kurie kitaip būtų nepasiekiami.

BDAR atitikties kainodara

Apibrėžtų BDAR užduočių kaina yra fiksuota. Nuolatinių duomenų apsaugos pareigūno funkcijų ir sudėtingų daugiašalių atitikties programų kainos pateikiamos paprašius.

Paslauga	Kaina
BDAR spragų vertinimas – rašytinė ataskaita Išsamus dabartinės atitikties BDAR reikalavimams vertinimas, atsižvelgiant į duomenų valdytojo ir tvarkytojo įsipareigojimus; prioritetinis veiksmų planas	€700
Duomenų susiejimas ir ROPA (apdorojimo įrašai) Visų tvarkymo veiklų identifikavimas; 30 straipsnio registras, skirtas tiek duomenų valdytojo, tiek tvarkytojo įrašams	€800
Teisinio pagrindo analizė Kiekvienos tvarkymo veiklos teisinio pagrindo patvirtinimas; teisėtų interesų vertinimai, jei taikoma	€600
Visapusiškas BDAR atitikties programos nustatymas Spragų vertinimas + duomenų žemėlapis + teisinio pagrindo analizė + privatumo pranešimas + ROPA + pažeidimo procedūra + DSR procedūros	€2,000
Metinė BDAR programos peržiūra Visų dokumentų ir apdorojimo veiklų peržiūra pagal galiojančias reguliavimo gaires ir produktų pakeitimus	€800
DPA šablonas – SaaS skirtas atskiras sprendimas Atitinka 28 straipsnį; saugumo priedas; subtvarkytojo nuostatos; standartinės komercinės sąlygos (SCC); duomenų grąžinimas / ištrynimas	€700
Įmonės duomenų apsaugos (DPA) peržiūra (kliento pasiūlyta) Rašytinis komentaras apie esminius nukrypimus; derybų strategija	€600
Tarptautinio duomenų perdavimo priedas (SCC) Europos Komisijos standartinių sutarčių sąlygų, skirtų asmens duomenų perdavimui gavėjams trečiosiose šalyse, kuriose reikalingas atitinkamas BDAR V skyriaus perdavimo mechanizmas, parengimas ir įgyvendinimas. Tinkamas standartinių sutarčių sąlygų modulis priklauso nuo šalių vaidmenų, įskaitant duomenų valdytojo duomenų valdytojui, duomenų valdytojo duomenų tvarkytojui, duomenų tvarkytojo duomenų tvarkytojui arba duomenų tvarkytojo duomenų valdytojui, standartinių sutarčių sąlygų paprastai nereikia vien dėl to, kad asmens duomenys perduodami tarp EEE esančių organizacijų.	€600
DPA portfelio auditas (esamiems klientams) Visų esamų klientų santykių peržiūra; spragų nustatymas; trūkstamų duomenų tvarkymo susitarimų (DPA) išdavimas	€800
Subprocesorių susiejimas ir sąrašo parengimas Visų subrangovų identifikavimas; DPA statuso patvirtinimas; paskelbto subrangovų sąrašo parengimas	€700
Metinė subrangovų sąrašo peržiūra ir atnaujinimas Tikslumo patvirtinimas; atnaujinimas atsižvelgiant į naujus duomenis; tarptautinių pervedimų mechanizmų atnaujinimas	€500
Duomenų subjekto teisių procedūros (visas rinkinys) Prieigos, ištrynimo, perkeliamumo, prieštaravimo ir apribojimo procedūros; DSR žurnalo šablonas	€800
Duomenų saugumo pažeidimo reagavimo procedūra Triažo darbo eiga, sunkumo vertinimas, SDPI pranešimo šablonas, kliento pranešimo šablonas, vidinis žurnalas	€700
Pažeidimo imitavimo pratybos Stalinis pratimas, kurio metu realaus scenarijaus pagrindu testuojamas reagavimas į pažeidimą; rašytinis aptarimas	€800
Privatumo pranešimas – skirtas SaaS Duomenų valdytojo privatumo pranešimas, skirtas konkrečiai SaaS duomenų tvarkymui; paruoštas publikuoti	€650
Slapukų politika + sutikimo juostos specifikacija Politika + techninė specifikacija, skirta BDAR reikalavimus atitinkančiam sutikimo įgyvendinimui	€550
Duomenų apsaugos poveikio vertinimas (DPAV) Didelės rizikos apdorojimo veiklai; kaina nustatoma pagal apdorojimo sudėtingumą	Pagal pageidavimą
Išorinis duomenų apsaugos pareigūnas – mėnesinis avansas Visapusiška DPO funkcija; pagrįsta naudotojų bazės dydžiu ir numatomu SDPI / kliento sąveikos dažnumu	Pagal pageidavimą
Vienkartinė DAP konsultacija (pažeidimas arba SDPI užklausa) Už sesiją – skubus duomenų pažeidimo vertinimas arba SDPI korespondencija ne pagal sutartį	€500
SaaS atitikties BDAR paketas (programos sąranka + DPA šablonas + subtvarkytojų sąrašas + DSR procedūros + pažeidimo procedūra) Integruotas pradinis BDAR atitikties paketas, apimantis nurodytas paslaugas. Penkių atskirai skelbiamų paslaugų kainų suma yra 4 900 EUR, palyginti su 3 500 EUR paketo kaina, taigi nominali sutaupymo suma siekia 1 400 EUR. Tačiau 2 000 EUR kainuojanti programos įdiegimo paslauga jau apima duomenų subjekto teisių procedūras ir reagavimo į pažeidimus procedūrą. Todėl reikėtų patikslinti paketo apimtį ir kainų palyginimą, kad būtų išvengta du kartus skaičiuojamų persidengiančių paslaugų.	€3,500

SaaS atitikties BDAR paketas – kas įskaičiuota
3 500 EUR vertės SaaS BDAR atitikties paketas suteikia integruotą pradinį atitikties paketą B2B SaaS įmonei. Į jį įeina BDAR spragų vertinimas, duomenų žemėlapių sudarymas ir tvarkymo veiklos įrašai, teisinio pagrindo analizė, privatumo pranešimas, SaaS skirta duomenų tvarkymo sutartis su saugumo priedu, subtvarkytojų sąrašas, duomenų subjektų teisių procedūros ir reagavimo į asmens duomenų saugumo pažeidimą procedūra.

Paskelbtos atskiros penkių įvardytų paketo komponentų kainos iš viso siekia 4 900 EUR. Tačiau kai kurie rezultatai jau įtraukti į 2 000 EUR vertės atitikties programos sąrankos paslaugą. Siekiant skaidraus kainų palyginimo, prieš reklamuojant konkretų paketo nuolaidą, reikėtų suderinti atskiras paslaugų apimtis ir persidengiančius komponentus.

Dažnai užduodami klausimai

Taip. Pagal BDAR 3(1) straipsnį, Reglamentas taikomas asmens duomenų tvarkymui, kai jį vykdo ES įsisteigęs duomenų valdytojas arba tvarkytojas, neatsižvelgiant į tai, ar pats tvarkymas vyksta ES. Todėl Lietuvoje įsisteigusi SaaS įmonė paprastai ir toliau yra BDAR subjektas, kai tvarko asmens duomenis savo Lietuvos padalinyje, net jei visi jos klientai ir naudotojai yra už ES ribų.

SaaS įmonėms, įsisteigusioms už ES ribų, 3(2) straipsnis gali įtraukti tvarkymo veiklą į BDAR taikymo sritį, jei ji susijusi su prekių ar paslaugų teikimu asmenims ES arba jų elgesio stebėsena ES. Teritorinė taikymo sritis turi būti vertinama atsižvelgiant į įsisteigimo vietą, tvarkymo veiklą ir atitinkamus ryšius su ES, o ne vien į naudotojų pilietybę ar gyvenamąją vietą.

Privatumo pranešimas (arba privatumo politika) yra skaidrumo dokumentas, skirtas pačios SaaS įmonės naudotojams. Jame aprašoma, kokius asmens duomenis įmonė renka tiesiogiai iš naudotojų, kokiais tikslais, kokiu teisiniu pagrindu ir kokios yra naudotojų teisės. Juo įvykdomas duomenų valdytojo skaidrumo įsipareigojimas pagal BDAR 13 ir 14 straipsnius. Duomenų tvarkymo sutartis (DTS) yra sutartis tarp SaaS įmonės (kaip duomenų tvarkytojo) ir verslo kliento (kaip duomenų valdytojo) – ji reglamentuoja, kaip SaaS įmonė tvarko kliento naudotojų asmens duomenis kliento vardu, ir joje pateikiamos privalomos BDAR 28 straipsnio nuostatos. Abu dokumentai yra privalomi B2B SaaS įmonei, tačiau jie skirti visiškai skirtingiems tikslams ir visiškai skirtingoms auditorijoms.

Kai kliento vartotojas tiesiogiai susisiekia su SaaS įmone, norėdamas pasinaudoti duomenų subjekto teise – paprašyti prieigos prie savo duomenų arba juos ištrinti – SaaS įmonė atlieka duomenų tvarkytojo vaidmenį. Šiame vaidmenyje ji tvarko duomenis pagal kliento nurodymus ir negali tiesiogiai atsakyti duomenų subjektui be kliento leidimo. Teisinga procedūra yra tokia: patvirtinti prašymo gavimą; nedelsiant pranešti atitinkamam klientui (duomenų valdytojui); ir suteikti klientui techninę pagalbą, kurios jam reikia norint atsakyti, pavyzdžiui, atlikti duomenų ištrauką arba ištrinti konkretaus vartotojo įrašus. Tada klientas atsako duomenų subjektui per BDAR nustatytą terminą. Šią eskalavimo procedūrą dokumentuojame kaip duomenų subjekto teisių procedūrų dalį.

Duomenų perdavimo poveikio vertinime (TPV) įvertinama, ar į trečiąją šalį perduotiems asmens duomenims bus taikomas apsaugos lygis, iš esmės lygiavertis tam, kuris garantuojamas pagal ES teisę, atsižvelgiant į perdavimo mechanizmą, gavėjo aplinkybes ir atitinkamą trečiosios šalies teisinę sistemą. Po sprendimo Schrems II byloje organizacijos, besiremiančios standartinėmis sutarčių sąlygomis, turi įvertinti, ar apsaugos priemonės gali veiksmingai veikti praktikoje ir ar būtinos papildomos priemonės.

Jungtinių Amerikos Valstijų nereikėtų apibūdinti kaip jurisdikcijos, kuriai netaikomas ES tinkamumo mechanizmas. Nuo 2023 m. liepos 10 d. Europos Komisija pripažino ES ir JAV duomenų privatumo sistemą (DPF), leidžiančią atlikti kvalifikuotus duomenų perdavimus dalyvaujančioms JAV organizacijoms, turinčioms galiojantį sertifikatą. Perduojant duomenis JAV gavėjams, kuriems netaikoma DPF ar kita taikytina tinkamumo tvarka, gali reikėti standartinių sąlygų ir atitinkamo perdavimo vertinimo. Turi būti patikrintas pasirinktas perdavimo mechanizmas ir dabartinis gavėjo tinkamumas. Jei SaaS įmonė naudojasi JAV įsikūrusiais subtvarkytojais – AWS us-east, Google Cloud, Stripe, SendGrid – ir tie subtvarkytojai tvarko ES asmens duomenis, gali reikėti atlikti TIA. Praktiškai dauguma pagrindinių debesijos paslaugų teikėjų yra paskelbę TIA dokumentaciją, kuria organizacijos gali remtis. Mes konsultuojame dėl TIA reikalavimų konkretiems subtvarkytojų susitarimams kaip tarptautinio perdavimo vertinimo dalį.

Kaip duomenų tvarkytoja, SaaS įmonė privalo pranešti kiekvienam paveiktam klientui apie pažeidimą, susijusį su jų duomenimis, tačiau tik tiems klientams, kurių duomenys iš tikrųjų buvo paveikti. Jei pažeidimas susijęs su pačios įmonės vidinėmis sistemomis ir nekenkia jokiems klientų duomenims, nėra prievolės informuoti klientų, kaip tvarkytojų. Tačiau jei pažeidimas susijęs su bet kokiais kliento asmens duomenimis, net jei buvo pasiekta arba atskleista tik vieno kliento informacija, tas klientas turi būti nedelsiant informuotas. Vidiniame pažeidimų žurnale turėtų būti dokumentuojami visi pažeidimai, įskaitant tuos, kurie neatitinka SDPI pranešimo ribos, nes šie įrašai turi būti prieinami SDPI auditui.

Ne idealiu atveju. Svetainės lankytojų ir produktų naudotojų duomenų apdorojimo santykiai su SaaS įmone iš esmės skiriasi. Svetainės lankytojams gali būti taikomas slapukais pagrįstas stebėjimas ir pagrindinis kontaktinių formų apdorojimas. Produktų naudotojams taikomas išsamesnis apdorojimas – paskyros duomenys, naudojimo analizė, sąveika su produktu, palaikymo pranešimai ir galbūt duomenys, kuriuos jie įveda į produktą. Vienas privatumo pranešimas, kuriuo siekiama aprėpti abi auditorijas, paprastai sukuria dokumentą, kuris yra arba pernelyg miglotas, kad atitiktų BDAR skaidrumo reikalavimus produkto naudotojams, arba pernelyg išsamus, kad svetainės lankytojai jį galėtų perskaityti. Rekomenduojame atskirus privatumo pranešimus svetainei (orientuotui į lankytojus) ir produktui (orientuotui į naudotojus), su aiškiomis nuorodomis iš kiekvieno konteksto.

Privatumo užtikrinimas projektuojant (PbD) yra BDAR principas – 25 straipsnis, reikalaujantis, kad duomenų apsauga būtų integruota į apdorojimo sistemų ir produktų projektavimą, o ne pridėta kaip papildoma mintis. SaaS įmonėms tai reiškia: naujų produktų funkcijų duomenų apsaugos poveikio vertinimą prieš jas kuriant; duomenų kiekio mažinimo taikymą (rinkti tik tuos duomenis, kurių iš tikrųjų reikia); tinkamų techninių apsaugos priemonių (šifravimo, pseudonimų suteikimo, prieigos kontrolės) įdiegimą nuo pat pradžių; ir duomenų apsaugos poveikio vertinimo (DPAV) atlikimą funkcijoms, susijusioms su didelės rizikos tvarkymu. Privatumo užtikrinimas projektuojant yra ir teisinė prievolė, ir komercinis pranašumas – produktus, su kuriais jis sukurtas nuo pat pradžių, reikia rečiau modifikuoti, kai verslo klientai atlieka tiekėjų saugumo peržiūras.

Pasiruošę sukurti savo SaaS atitikties BDAR programą?

Susisiekite su mumis užsisakyti pradinį BDAR spragų vertinimą. Peržiūrėsime jūsų dabartinę dokumentaciją ir tvarkymo veiklą, nustatysime prioritetines spragas ir pateiksime struktūrizuotą įgyvendinimo planą. Visas atitikties programos paketas, apimantis tiek jūsų duomenų valdytojo, tiek tvarkytojo įsipareigojimus, kainuoja 3 500 EUR.

Ar šis puslapis buvo naudingas? Įvertinkite

Įvertinkite šį puslapį pirmieji

Company in Lithuania UAB partneriai

Company in Lithuania UAB bendradarbiauja su patikimų partnerių tinklu teisės, finansų, apskaitos ir verslo konsultavimo sektoriuose. Mūsų strateginės partnerystės leidžia mums teikti klientams kompleksinius sprendimus, susijusius su įmonių registracija, mokesčių konsultavimu, bankų steigimu ir kitais klausimais – visa tai po vienu stogu čia pat, Lietuvoje.

Stipriausi Lietuvoje

Company in Lithuania UAB pripažinta viena patikimiausių verslo paslaugų įmonių Lietuvoje. Remiantis nepriklausomais 2025 m. ekonominiais duomenimis, mums buvo suteiktas Stipriausi Lietuvoje ketverius metus iš eilės suteiktas apdovanojimas – tai liudija apie mūsų finansinį stabilumą, profesinį patikimumą ir klientų pasitikėjimą.

Prisidedame prie skaidrios ir gerai veikiančios verslo aplinkos Lietuvos Respublikoje ir taikome tą patį sąžiningumo standartą kiekvienam klientui.

Pasiruošę pradėti verslą Lietuvoje?Susisiekite su mūsų komanda jau šiandien ir gaukite individualią konsultaciją. Padėsime, kad procesas būtų paprastas, greitas ir sklandus.Susisiekite su mumis

Populiarios paslaugos

Atvejai