Как оформить DPA и стандартные договорные положения (SCC) для клиентов из ЕС
Вы в Джорджтауне, запускаете AI‑стартап с клиентами из ЕС — разберём, как оформить DPA и стандартные договорные положения под ваш продукт и потоки данных.
Без DPA и стандартных договорных положений вы рискуете нарушить GDPR, потерять клиентов из ЕС и столкнуться с блокировкой передачи данных за пределы Европы.
FAQ
Что такое DPA и зачем он нужен для клиентов из ЕС?
DPA (Data Processing Agreement) — это договор о обработке данных. Он описывает, как вы как подрядчик обрабатываете персональные данные по поручению клиента из ЕС. Без DPA клиенту сложно соблюдать GDPR.
Когда мне нужен DPA для моего AI‑сервиса?
Когда вы получаете от клиента из ЕС персональные данные: имейлы, имена, логи пользователей, данные сотрудников, пользователей приложения. Даже если данных мало, DPA обычно нужен по GDPR.
Какие ключевые разделы должны быть в DPA?
Обычно: предмет и цель обработки, типы данных и категории субъектов, роли сторон (контролер/процессор), меры безопасности, субподрядчики, трансграничная передача, сроки хранения, порядок удаления, ответственность и уведомление о инцидентах.
Что такое Standard Contractual Clauses (SCC) простыми словами?
SCC — это типовые договорные условия ЕС. Их добавляют к контракту, если данные из ЕС передаются в страну без «адекватной защиты». SCC помогают легально передавать данные, если нет другого основания.
Когда мне нужны SCC для клиентов из ЕС?
Если вы получаете персональные данные из ЕС и храните или обрабатываете их вне ЕС/ЕЭЗ, например на серверах в США или другой стране без решения об адекватности. Тогда к DPA обычно прикладывают SCC.
Как технически оформить DPA и SCC с клиентом?
Обычно: 1) основной договор (MSA/оферта), 2) приложение DPA, 3) вложение к DPA с SCC. Все подписываются вместе. В онлайн‑сервисах DPA и SCC могут быть приложениями к публичной оферте, с акцептом через клик.
Нужно ли менять текст SCC под себя?
Основной текст SCC менять нельзя. Можно заполнять приложения: описывать сервис, типы данных, меры безопасности, субпроцессоров. Если менять «ядро» SCC, они могут перестать считаться стандартными и не подойдут под GDPR.
Что подготовить до юриста для DPA и SCC?
Список обрабатываемых данных, стран хранения и бэкапов, список субподрядчиков (хостинг, аналитика, почта), описание мер безопасности, типичных сценариев обработки и экспорта данных. Это ускорит подготовку документов.