Угода про обробку даних (Data Processing Agreement) — контракт, якого GDPR (стаття 28) вимагає щоразу, коли одна компанія обробляє персональні дані за дорученням іншої. Для HR-системи ролі однозначні: ваша компанія — контролер, який вирішує, навіщо і як використовуються дані працівників; вендор софту — процесор, що зберігає й обробляє ці дані строго за вашими інструкціями.
Правильна DPA фіксує:
- Що обробляється і навіщо — категорії даних і цілі, письмово.
- Субпроцесорів — хостинг та email-провайдерів під капотом, плюс обов’язок повідомляти про зміни в цьому списку.
- Заходи безпеки та повідомлення про інциденти — який захист існує і як швидко ви дізнаєтеся про витік.
- Завершення контракту — повернення або видалення даних, а не двозначний «архів».
- Передачі — запобіжники, якщо якісь дані залишають ЄС/ЄЕЗ.
Практично DPA — передумова, а не формальність. HR-інструмент тримає рівно ті категорії, які цікавлять регуляторів та аудиторів — документи, компенсації, записи про відсутності, — тож вендор, який не може її надати, ламає вашу власну GDPR-позицію з першого дня. Це типово перший документ, який просить юрист обережного клієнта або анкета due diligence.
У Helia угода про обробку даних опублікована на сторінках безпеки і доступна кожному клієнтові; сам продукт хоститься в ЄС, доступ до PII розмежовано за ролями, а журнал аудиту фіксує, хто до чого звертався.