Główny dostawca ma dobrą umowę, ale używa kolejnych modeli, logów, wsparcia i wtyczek. Każdy otrzymuje część danych. Nikt nie ma pełnej mapy. Podwykonawcy przestają być szczegółem technicznym, kiedy tworzą nowych odbiorców i kopie.
Ocena powinna obejmować rolę, dane, lokalizację, retencję i wyjście. Nie zaczynaj od samej listy nazw firm. Zacznij od procesu i skutku dla klienta.
Zacznij od mapy odbiorców
Wypisz model, hosting, indeks, monitoring, wsparcie, wtyczki i eksporty. Zapisz, jakie dane otrzymują i w jakim celu. Nie ograniczaj się do głównej platformy.
Oddziel dostawcę, podwykonawcę i inne role zgodnie z procesem i oceną prawną. Nie przenoś ról z cudzego szablonu. Odpowiedzialność zależy od konkretnego etapu.
Przy umowie stosuj zasady z artykułu o dostawcy AI i wyjściu. Mapa powinna odpowiadać dokumentom.
Dane i minimalizacja
Opisz, jakie pola i kopie trafiają do każdego odbiorcy. Nie wysyłaj pełnych rekordów dla wygody. Model może wymagać dwóch pól, a logi nie powinny zawierać reszty.
Oceń, czy dane są wrażliwe i czy wymagają osobnej podstawy. Nie zgaduj zgody na nowy kanał. Odbiorca powinien mieć ograniczony zakres.
Przy danych stosuj zasady z artykułu o RODO przy AI. Minimalizacja obejmuje podwykonawców.
Umowy i role stron
Zapisz, kto decyduje o celu, danych, skutku i odbiorze. Nie przenoś całej odpowiedzialności na klienta ani dostawcę. Umowa powinna odpowiadać rzeczywistemu procesowi.
W umowie odrębnie sprawdź cel powierzony dostawcy oraz ewentualne wykorzystywanie informacji przez jego podwykonawców. Rola jednego podmiotu może zależeć od konkretnej czynności; ustal ją dla każdej ścieżki danych z osobą odpowiedzialną za ocenę.
Przy prawie stosuj zasady z artykułu o umowie z dostawcą AI. Role powinny być jednoznaczne.
Lokalizacja i transfer
Zapisz region i odbiorców zgodnie z aktualnymi dokumentami. Nie zgaduj na podstawie adresu firmy. Wsparcie i infrastruktura mogą działać inaczej niż główna aplikacja.
Przy transferze oceń wymagane warunki z właściwą osobą. Nie przenoś oceny z innego produktu i planu. Data odczytu jest ważna.
Przy zmianie regionu zaktualizuj mapę i umowę. Nie zostawiaj starej odpowiedzi dla każdej nowej funkcji.
Bezpieczeństwo i incydent
Opisz role, minimalne uprawnienia, logi i sposób zgłaszania. Nie akceptuj samego „bezpiecznie”. Potrzebne są konkretne mechanizmy i właściciele.
Zapisz, jak dostawca informuje o incydencie i ogranicza skutek. Nie wymagaj pełnych poufnych logów. Proces powinien współpracować z twoją reakcją.
Przy bezpieczeństwie stosuj zasady z artykułu o stronie bezpieczeństwa AI. Podwykonawcy powinni być objęci oceną.
Zmiana podwykonawcy i warunków
Przy nowym odbiorcy oceń, jakie dane otrzyma i czy proces jest dozwolony. Nie przenoś zgody na każdego nowego automatycznie. Umowa powinna opisywać proces zmiany.
Zachowaj datę i wersję listy. Nie przenoś warunków darmowego planu na biznesowy. Przy zmianie modelu oceń nowe kopie i skutki.
Przy wersjach stosuj zasady z artykułu o monitoringu modelu AI. Zmiana dostawcy może zmieniać proces.
Retencja i usunięcie pochodnych
Sprawdź, jak każdy odbiorca usuwa źródło, fragmenty, logi i backup. Nie ograniczaj oceny do głównego pliku. Pochodne mają własne reguły.
Przy zakończeniu odwołaj tokeny i zleć usunięcie zgodnie z umową. Sprawdź, czy integracje nie przywracają danych. Odbiór powinien obejmować wszystkich odbiorców.
Przy retencji stosuj zasady z artykułu o usuwaniu danych AI. Restore nie powinien wskrzeszać kopii.
Przykład: wtyczka do raportów
Nowa wtyczka otrzymuje pełne odpowiedzi i logi. Jest wygodna, ale tworzy nowego odbiorcę. Oceń, czy jest potrzebna i jakie pola wymaga.
Ogranicz dane do bezpiecznych identyfikatorów i typów. Nie przesyłaj pełnych promptów dla lepszego raportu. Sprawdź umowę i retencję przed włączeniem.
Przy logach stosuj zasady z artykułu o prywatności logów AI. Nowy odbiorca zmienia mapę.
Przykład: nowy model zewnętrzny
Dostawca zmienia model i przesyła dokumenty do innego regionu. Umowa główna nie zmienia się, ale proces i kopie się zmieniają. Oceń przed wdrożeniem.
Zaktualizuj mapę i test usuwania. Nie przenoś starej zgody automatycznie. Właściciel powinien zdecydować o ograniczeniu lub nowych warunkach.
Przy umowie stosuj zasady z artykułu o ocenie dostawcy AI. Zmiana modelu jest nowym zdarzeniem.
Kiedy zatrzymać integrację
Zatrzymaj przy nieznanym odbiorcy, niejasnych rolach, nowym regionie i niekontrolowanych kopiach. Nie przesyłaj więcej danych dla sprawdzenia. Ogranicz proces.
Zachowaj wersję i identyfikatory. Właściciel decyduje o komunikacji i dalszych warunkach. Nie usuwaj dowodów dla czystego raportu.
Po poprawce użyj fikcyjnego przypadku i wykonaj test odbioru. Dopiero potem wróć do zatwierdzonego zakresu.
Wymagania zakupowe podzielone według ryzyka
Narysuj drogę jednego przykładowego dokumentu: aplikacja dostawcy, dostawca modelu, usługa monitoringu i ewentualny zespół wsparcia. Przy każdym etapie wpisz, czy odbiorca widzi treść, metadane czy jedynie informacje techniczne. Ta mapa pozwala dobrać pytania do faktycznego przepływu. Lista logo partnerów nie wyjaśnia jeszcze, kto otrzymuje dane w twoim planie.
Następnie sprawdź, kto decyduje o celu i sposobach przetwarzania. Nazwa „podwykonawca” w ofercie nie rozstrzyga sama roli w ochronie danych. EDPB wyjaśnia, że znaczenie mają rzeczywiste okoliczności i decyzje stron. W razie wątpliwości ustal rolę z osobą odpowiedzialną za ochronę danych.
Test odpowiedzi dostawcy na pytania
Zapytaj dostawcę: „Które podmioty obsłużą treść przesłaną do tej funkcji, a które jedynie infrastrukturę lub wsparcie? Czy lista zależy od wybranego modelu i regionu?”. Poproś o odpowiedź dla konkretnej konfiguracji, wersję wykazu i miejsce zgłaszania zmian. Samo określenie „partnerzy technologiczni” nie pozwala ocenić zakresu dostępu.
Porównaj uzyskaną listę z ustawieniami rzeczywiście włączonymi w panelu oraz z umową powierzenia, jeśli ma zastosowanie. Gdy dokument dopuszcza więcej podmiotów niż potrzebuje wybrany proces, sprawdź, czy można ograniczyć konfigurację. Rozbieżność między odpowiedzią sprzedaży i dokumentacją wymaga wyjaśnienia przed przekazaniem danych, nie po rozpoczęciu integracji.
Zmiana warunków w trakcie umowy
Przy planowanej zmianie dalszego podmiotu przetwarzającego sprawdź, jaki tryb przewiduje umowa i czy dotyczy on danego przepływu. Artykuł 28 RODO przewiduje uprzednią szczegółową albo ogólną pisemną zgodę administratora; przy zgodzie ogólnej wymaga informacji o zamierzonych zmianach i możliwości sprzeciwu. Nie myl jej ze zgodą marketingową osoby, której dane dotyczą.
Wpisz datę otrzymania zawiadomienia, planowany termin zmiany i osobę odpowiedzialną za decyzję. Oceń alternatywy: pozostawienie funkcji, wyłączenie konkretnego modelu, ograniczenie kategorii danych albo zakończenie współpracy. Jeżeli warunki sprzeciwu są niejasne, wyjaśnij je z dostawcą i prawnikiem. Nie zakładaj, że zmiana zostanie wstrzymana wyłącznie przez brak odpowiedzi.
Odbiór wyjścia jako test kontraktu
Przeprowadź próbę wyjścia na fikcyjnych danych. Sprawdź, czy eksport obejmuje dokumenty, ich metadane i powiązania oraz czy da się odczytać go bez aktywnego konta u dostawcy. Osobno zapytaj, co dzieje się z logami, kopiami zapasowymi i danymi u dalszych podmiotów po zakończeniu usługi. Wpisz obiecane terminy i wyjątki do planu.
Nie utożsamiaj potwierdzenia przyjęcia żądania usunięcia z potwierdzeniem zakończenia całej operacji. Poproś o status, zakres kopii oraz termin odpowiedzi. Jeśli prawo albo umowa wymaga zachowania części danych, zapisz tę przyczynę i ograniczenia dostępu. Test pilotażu pokazuje wykonalność na próbce, lecz nie zastępuje potwierdzenia dla produkcyjnych zasobów.
Dokumenty dla właściciela decyzji
Dla osoby zatwierdzającej przygotuj jedną kartę odbiorcy: nazwa podmiotu, zadanie, kategorie danych, miejsce przetwarzania, podstawa korzystania, źródło informacji i data kolejnego przeglądu. Oddziel fakty z umowy od deklaracji, których jeszcze nie sprawdzono. Dodaj właściciela decyzji i warunek, przy którym integracja zostanie wstrzymana.
Jeżeli dane mogą być przekazywane poza Europejski Obszar Gospodarczy, ustal przepływ i właściwy mechanizm transferu z osobą odpowiedzialną za zgodność. Lokalizacja serwera nie odpowiada na wszystkie pytania o dostęp do danych. Zapisz, które elementy zostały potwierdzone, a które pozostają otwarte. Nie oceniaj transferu wyłącznie na podstawie hasła „region UE” w cenniku.
Minimalna karta odbiorcy
Zapisz nazwę, rolę, dane, cel, region, retencję, umowę i właściciela. Nie przechowuj pełnych dokumentów i poufnych treści w rejestrze. Identyfikator i kategoria wystarczą do odbioru.
Przy każdym nowym odbiorcy oceń, czy jest potrzebny i jakie pola wymaga. Nie przenoś zgody na każdego kolejnego. Rejestr powinien pokazywać kopie i skutki.
Odbiór przez prawa i technikę
Prawnik ocenia role i umowy, a technik sprawdza przepływ i kopie. Nie zamykaj oceny na liście firm. Proces może wyglądać dobrze na papierze i przesyłać za dużo w praktyce.
Przygotuj fikcyjny przypadek i sprawdź pełną ścieżkę. Zapisz rozbieżności i właściciela decyzji. Jeżeli proces jest niezgodny, ogranicz go przed produkcją.
Zapisz decyzję o każdym odbiorcy
Dla przykładowej usługi tłumaczenia przygotuj kartę trzech odrębnych funkcji: aplikacji przyjmującej dokument, dostawcy modelu i zewnętrznego wsparcia technicznego. Przy każdej wpisz, czy otrzymuje treść, metadane albo dostęp tylko w szczególnych okolicznościach. To modelowa mapa do uzupełnienia na podstawie rzeczywistej konfiguracji, umowy i odpowiedzi dostawcy.
Sprawdź, które informacje są potwierdzone dokumentem dla używanego planu, a które pozostają deklaracją wymagającą wyjaśnienia. Przy planowanej zmianie odbiorcy porównaj nową rolę, zakres danych oraz miejsce ich przetwarzania z dotychczasową oceną. Osoba odpowiedzialna powinna dostać czas i informacje potrzebne do decyzji zgodnie z właściwą umową i przepisami.
Przygotuj także scenariusz zakończenia współpracy. Zapisz, kto pobierze uzgodniony eksport, kto odwoła dostęp i jak sprawdzisz odpowiedź na żądanie usunięcia kopii. Zapytaj o dane przechowywane przez dalsze podmioty, logi i kopie zapasowe oraz o wyjątki wynikające z obowiązków prawnych. Potwierdzenie przyjęcia zlecenia nie jest samo w sobie potwierdzeniem usunięcia wszystkich kopii.
Jeżeli dostawca nie potrafi wskazać odbiorcy używanego modelu, zanotuj tę niewiadomą obok decyzji. Możesz wstrzymać przekazanie danych, ograniczyć zakres albo wybrać inną konfigurację. Nie przedstawiaj żadnej z tych możliwości jako faktycznie wdrożonej bez sprawdzenia. Przy kolejnym przeglądzie wróć do tej samej wersji funkcji i sprawdź, czy odpowiedź nie uległa zmianie.
Ocena powinna wskazywać właściciela oraz termin następnego sprawdzenia. Nie musi przechowywać poufnych dokumentów klientów: wystarczą kategorie danych, odnośniki do ograniczonych dowodów i wynik decyzji. Dzięki temu osoba przejmująca proces zobaczy, co ustalono, a co nadal wymaga potwierdzenia.
W uporządkowaniu mapy pomaga Aeneia Audit, a pytania zakupowe rozwija ocena dostawcy Aeneia Signal.
Sprawdź nas. To zdrowe.
Temat zmienia się szybko. Linki prowadzą do źródeł pierwotnych i stron, na których możesz zweryfikować kontekst.
