تنظیم توافقنامه پردازش داده: آنچه ماده ۲۸ میخواهد
8 دقیقه مطالعه · به‌روزرسانی 2026-11-12
هرگاه یک تأمین‌کننده دادههای شخصی را بر اساس دستورهای مستند شما پردازش کند، او پردازنده است و شما به توافقنامه پردازش داده تحت ماده ۲۸ نیاز دارید. نمونه فقط نقطه شروع است، نه قرارداد تمام‌شده، تا وقتی طرف‌ها، محدوده و دستورها پر و امضا شوند.
چه زمانی ماده ۲۸ اعمال می‌شود
اگر یک ابزار، میزبان، ارائه‌دهنده رایانامه یا پشتیبانی، دادههای شخصی را برای شما پردازش کند و خودش کنترل‌کننده مستقل نباشد، شما کنترل‌کننده هستید و آن‌ها پردازنده (یا پردازنده بعدی). ماده ۲۸ می‌گوید پردازش باید با قرارداد یا عمل حقوقی دیگری اداره شود. همین در جهت عکس هم درست است: اگر برای مشتری تجاری دادههای شخصی را پردازش می‌کنید، شما پردازنده او هستید و او از شما توافقنامه میخواهد.
اطلاعیه حریم خصوصی جایگزین نیست. بندی در شرایط خدمات که فقط بگوید «ما مقررات را رعایت می‌کنیم» نیز جایگزین نیست. توافقنامه باید عناصر مشخص ماده ۲۸ بند ۳ را داشته باشد.
توافقنامه باید چه را پوشش دهد
ماده ۲۸ بند ۳ دست‌کم این‌ها را میخواهد: موضوع، مدت، ماهیت و هدف پردازش؛ نوع دادههای شخصی و دسته‌های اشخاص ذی‌نفع؛ حقوق و تعهدات کنترل‌کننده؛ و شروطی که پردازنده را ملزم می‌کند فقط بر اساس دستورهای مستند پردازش کند، محرمانگی را تضمین کند، اقدامات امنیتی مناسب (ماده ۳۲) را به کار گیرد، قواعد مربوط به پردازندگان دیگر را رعایت کند، در حقوق اشخاص ذی‌نفع و مواد ۳۲ تا ۳۶ کمکتان کند، داده را در پایان حذف یا بازگرداند، و اطلاعات را برای حسابرسی در دسترس بگذارد.
اگر دادههای شخصی به خارج از منطقه اقتصادی اروپا برود، به ابزار انتقال تحت مواد ۴۴ تا ۴۹ نیز نیاز دارید، مانند تصمیم کفایت (از جمله چارچوب حریم خصوصی داده اتحادیه اروپا و آمریکا در جایی که اعمال می‌شود) یا بندهای قراردادی استاندارد بهعلاوه ارزیابی انتقال. این جدا از قرارداد ماده ۲۸ و علاوه بر آن است.
چگونه از نمونه خوب استفاده کنید
تأمین‌کنندگان واقعی، دسته‌های واقعی داده، و دستورهای واقعی را پر کنید. زیرپردازندهها و نحوه اطلاع از تغییرات را فهرست کنید. بگویید داده کجا ذخیره می‌شود. سندی را که هنوز جاهای خالی دارد امضا نکنید. نسخه امضاشده را همراه رد حسابرسی (چه کسی، چه زمانی، و درهم‌سازی سند) نگه دارید.
DPOne از پاسخ‌های پذیرش شما توافقنامه ماده ۲۸ تولید می‌کند و به دو طرف اجازه می‌دهد در سکو با امضای الکترونیکی ساده تحت eIDAS امضا کنند. صفحه عمومی نمونه استاندارد را نشان می‌دهد. برای حساب شما، نسخه امضاشده ملاک است.
پرسش‌های پرتکرار
آیا با گوگل، Stripe یا میزبان خود به توافقنامه ماده ۲۸ نیاز دارم؟
اگر دادههای شخصی را بر اساس دستورهای شما پردازش میکنند، بله. ارائهدهندگان بزرگ معمولاً متمم پردازش داده خود را دارند. شما همچنان باید آن را بررسی و بپذیرید، و زیرپردازندهها و ابزار انتقال را ثبت کنید.
آیا یک نمونه برای بررسی موشکافانه مشتری کافی است؟
نمونه خالی کافی نیست. توافقنامه امضاشدهای که با پردازش واقعی همخوان است، بهعلاوه فهرست روزآمد زیرپردازندهها، همان چیزی است که خریدار یا مشتری جدی میخواهد ببیند.
راهنماهای مرتبط
- پایبندی به مقررات عمومی حفاظت از داده در هلند: شروعی عملی برای استارتاپ‌ها
- سابقه فعالیت‌های پردازش: چگونه یک ثبت ماده ۳۰ بسازید که واقعاً به کارتان بیاید
- رضایت کوکی در اتحادیه اروپا و هلند: حریم خصوصی الکترونیک، قانون مخابرات و نواری منصفانه
- همچنین صفحه اطلاعات تنظیم‌گری ما را برای اسناد حقوقی که اکنون در محدوده بررسی هستند ببینید.
- یک حساب رایگان DPOne بسازید