Personuppgiftsbiträdesavtal för säljverktyg

Rollerna först, för de avgör allt annat. IMY definierar personuppgiftsansvarig som den som bestämmer för vilka ändamål uppgifterna ska behandlas och hur behandlingen ska gå till, och personuppgiftsbiträde som den som behandlar personuppgifter för den ansvariges räkning. Ditt bolag är ansvarigt för prospekt- och kunddata. CRM-leverantören, dialerleverantören och AI-verktyget är biträden. IMY:s vägledning är tydlig: när ett biträde behandlar personuppgifter åt den ansvariga ska behandlingen regleras genom avtal, och avtalet ska vara skriftligt och bindande för båda parter. Det finns ingen undantagsregel för små team eller för verktyg som 'bara' lagrar mejladresser. Rollfördelningen har vi gått igenom för just AI-mötesassistenter tidigare; här är det avtalets innehåll som är ryggraden. Det här är en redaktionell genomgång, inte juridisk rådgivning.

Två situationer, två avtal

GDPR anger enligt IMY två situationer där ett biträdesavtal behövs. Den första är mellan dig som ansvarig och leverantören som biträde, enligt artikel 28.3. Den andra är mellan leverantören och dess underbiträden, enligt artikel 28.4, till exempel molnleverantören som lagrar CRM-systemets databas. Du tecknar bara det första avtalet, men det första avtalet ska ge dig kontroll över det andra: innan ett underbiträde får anlitas måste biträdet först få skriftlig tillåtelse av dig. I praktiken löses det genom en lista över godkända underbiträden i avtalet och en rätt att invända när listan ändras. Den listan är också det första stället att titta på när frågan om lagring i USA kommer upp.

Checklistan: artikel 28.3:s åtta minimikrav

IMY räknar upp åtta minimikrav på innehållet. Här är varje punkt med det du ska leta efter i just ett säljverktyg.

1. Behandling endast enligt dokumenterade instruktioner. Leverantören får inte använda dina kunddata för egna ändamål, till exempel för att träna en AI-modell eller bygga sina egna kontaktdatabaser. Står det att leverantören får 'förbättra tjänsten' med dina data, fråga vad det betyder.
2. Konfidentialitet eller lagstadgad tystnadsplikt för alla som behandlar uppgifterna, inklusive leverantörens konsulter och support.
3. Lämpliga säkerhetsåtgärder enligt artikel 32: kryptering, behörighetsstyrning, loggning. Leverantörens säkerhetsbilaga ska vara konkret, inte ett löfte om 'branschstandard'.
4. Villkor för underbiträden: en lista, ett krav på skriftligt godkännande och en rätt att invända mot nya.
5. Skyldighet att hjälpa dig uppfylla de registrerades rättigheter: att du kan exportera, rätta och radera en enskild kontakt inom den månad lagen ger dig.
6. Bistånd med dina skyldigheter enligt artikel 32 till 36: leverantören ska rapportera personuppgiftsincidenter till dig utan onödigt dröjsmål, så att du hinner anmäla till IMY inom 72 timmar.
7. Hantering av uppgifterna när avtalet upphör: radering eller återlämning, i vilket format och inom vilken tid. Fråga hur du får ut hela kunddatabasen den dag du byter system.
8. Rätt till granskning och inspektion, i praktiken ofta genom leverantörens revisionsrapporter, men rätten ska stå i avtalet.

Utöver de åtta punkterna ska avtalet beskriva föremålet för behandlingen och dess varaktighet, behandlingens art och ändamål, vilka typer av personuppgifter och kategorier av registrerade det gäller, samt den ansvariges rättigheter och skyldigheter. Parterna kan alltid lägga till fler villkor, och IMY påpekar att instruktioner får ges skriftligt på annat sätt, exempelvis via e-post, men att de måste kunna sparas så att de finns dokumenterade. Mejlet där du ber leverantören stänga av en funktion är alltså en instruktion; spara det.

Fyra frågor som avslöjar ett dåligt avtal

• Vem bestämmer ändamålet? Om leverantören själv avgör vad kunddata får användas till är den inte ett biträde utan en ansvarig, och enligt IMY kan ett biträde som agerar utanför instruktionerna åläggas samma ansvar som en ansvarig. Ett avtal som inte klargör det skyddar ingen.
• Var finns underbiträdena? Ett avtal utan lista, eller med en lista som bara säger 'molnleverantörer', ger dig ingen möjlighet att bedöma lagring utanför EU.
• Vad händen med datan när vi säger upp? Avtal som är tysta om radering och export lämnar dina kunddata hos en leverantör du inte längre betalar.
• Hur snabbt får vi veta om en incident? 'Utan onödigt dröjsmål' är lagens ord; ett avtal som lovar besked 'inom rimlig tid' ger dig inte 72-timmarsfristen.

Standardklausulerna, och vad de inte löser

EU-kommissionen publicerade den 4 juni 2021 två uppsättningar standardavtalsklausuler: en för överföringar till länder utanför EU och EES, och en för relationen mellan ansvarig och biträde. Den andra uppsättningen kan användas som biträdesavtal rakt av, och många leverantörer gör det. Blanda inte ihop dem: klausulerna för biträdesavtal löser inte frågan om lagring i USA, som kräver den första uppsättningen eller ett adekvansbeslut. Och inga klausuler löser det som är ditt: ändamålet, instruktionerna, gallringstiden och kontrollen över vilka i ditt eget team som får läsa. EDPB:s riktlinjer 07/2020 om begreppen ansvarig och biträde, i sin slutliga version från juli 2021, är den bästa läsningen för den som vill förstå var gränsen mellan rollerna går.

Vad som står på spel

IMY:s maxbelopp för sanktionsavgifter är 20 miljoner euro eller fyra procent av den globala årsomsättningen för de allvarligaste överträdelserna, och 10 miljoner euro eller två procent för de något mindre allvarliga; det högsta beloppet gäller. Det finns ingen bestämd summa för en viss överträdelse. Det praktiska problemet är ett annat: utan biträdesavtal saknas det dokument som visar att behandlingen hos leverantören sker på dina villkor, och den dag en kund begär registerutdrag eller en incident inträffar hos leverantören har du ingen avtalad rätt att få hjälp i tid.

För dig som säljer verktyget

Samma checklista gäller åt andra hållet. Säljer du ett system som lagrar kundens personuppgifter kommer kundens jurist att be om ett biträdesavtal, och affären står stilla tills det finns. Ha det klart innan förhandlingen: lista över underbiträden, säkerhetsbilaga, rutin för incidenter, exportformat vid uppsägning. Den säljare som kan svara på de fyra frågorna ovan i mötet, i stället för att hänvisa till juristen, kortar den delen av säljcykeln med veckor.

Ställ samma frågor till ditt övningsverktyg

Ett AI-verktyg för säljträning är också ett biträde om det behandlar personuppgifter, så kör checklistan även där. I Salesprep behöver du inga riktiga kunddata för att öva: motparterna är fiktiva, råljudet från samtalen raderas direkt efter bedömningen, transkript och betyg sparas i din egen historik och all data kan raderas när du vill. Cold call-modulen ingår i alla planer med tre gratis samtal; uppföljning och ombokning från Pro och uppåt, och alla sex moduler i Team Pro.