Contrato de tratamento de dados (DPA)

Sempre que uma empresa permite que um prestador de serviços trate dados pessoais em seu nome, o RGPD exige um contrato escrito. O contrato de tratamento de dados define o objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados e as categorias de titulares, e as obrigações do subcontratante: agir apenas segundo instruções documentadas, manter os dados confidenciais e seguros, prestar assistência em pedidos dos titulares e notificações de violações, apagar ou devolver os dados no final e permitir auditorias.

O contrato também regula os subcontratantes: o subcontratante só pode recorrer a eles com autorização geral ou específica do responsável pelo tratamento e deve transmitir-lhes as mesmas obrigações. No caso de um software de contabilidade, o utilizador é o responsável pelo tratamento dos dados nos seus documentos, e o fornecedor do software é o subcontratante. O DPA do Kontevia faz parte dos seus termos e lista os subcontratantes envolvidos na prestação do serviço.