Andmetöötluslepingu kontrollnimekirja ülevaatus

Tee isikuandmete töötlemise lepingu (DPA), DPA-ga samaväärse lisa või ärikaaslase lepingu (Business Associate Agreement, BAA) struktureeritud vastavusülevaatus kohaldatava regulatiivse režiimi nõuete alusel. Väljund on kontrollnimekiri, mis sobib vastavuse jälgimise tabelisse — igal nõutaval tingimusel on oma rida, hinnang ja viide klauslile.

Millal see oskus kehtib

Rakenda, kui kasutaja esitab DPA, DPA lisa või BAA ja küsib vastavusülevaatust konkreetse regulatiivse režiimi alusel. Oskus töötab nelja eri režiimiga (vt sisend regulatory_regime) ja rakendab igaühe puhul erinevaid nõudeid.

Ära rakenda seda oskust:

• Privaatsuspoliitikatele. Need on avalikud teated, mitte lepingud; vaja on teistsugust ülevaatusoskust.
• Eraldiseisvatele privaatsuslisadele või turvalisuse lisadele suuremate lepingute sees, kus privaatsus- ja turvatingimusi pole koondatud DPA struktuuri. Ütle kasutajale, et sisulised privaatsus- ja turvatingimused tuleb enne selle oskuse kasutamist koondada DPA-laadsesse struktuuri.
• Raamlepingute (MSA) sees olevatele lepingulistele privaatsusklauslitele, mida pole eraldi DPA lisana välja toodud. Soovita kasutajal küsida vastaspoolelt eraldi DPA lisa, mis on nüüd valdkonnas standard.
• Režiimideülesele analüüsile (nt „kas see vastab GDPR-ile ja HIPAA-le?“). Käivita oskus kaks korda erinevate regulatory_regime väärtustega ja võrdle väljundeid.

Advokaadisaladus ja konfidentsiaalsus

DPA-d ja BAA-d sisaldavad sageli kliendi konfidentsiaalset teavet (andmevood, turvaseisund, tarnijasuhted, tehingutingimused) ja sellest tulenev vastavusülevaatus on tõenäoliselt juristi tööprodukt. Enne oskuse käivitamist peab kasutaja kinnitama järgmist:

• Kaitstud tööprodukt. Selle oskuse koostatud kontrollnimekiri on tööprodukti mustand, mille eesmärk on toetada õigusnõu andmist. Käsitle väljundit asjakohasel juhul eeldatavalt advokaadisaladusega kaitstuna ja ära levita seda väljapoole advokaadi ja kliendi ringi, kaalumata kaitsest loobumise tagajärgi.
• Väliste mudelite kokkupuude. Kui oskust käivitatakse keskkonnas, mis suunab dokumendi mudelisse või teenusesse väljaspool kasutaja juristi järelevalve all olevat töövoogu (nt BAA-ga katmata API, mitte-ettevõtteklassi tarbijaliides, logitav treenimiskeskkond), kinnita enne jätkamist kasutajaga. Käivita seda oskust ainult juristi järelevalve all olevas töövoos, mille suunamis- ja säilitamiskord on läbi kontrollitud.
• Õiguslik kasutushoiak. Väljund on mustand kvalifitseeritud privaatsusjuristi ülevaatuseks — see ei ole õiguslik arvamus, järelevalveasutusele esitatav dokument ega asenda privaatsuse mõjuhinnangut (PIA), edastuse mõjuhinnangut (TIA) ega muud ametlikku vastavushindamist (vt „Mida see oskus ei tee“).

Kui kasutaja ei saa kinnitada, et töövoog on juristi järelevalve all ja mudelisse suunamine on antud dokumendi puhul vastuvõetav, peatu ja too mure esile enne ülevaatuse käivitamist.

Sisendid

Oskus vajab dokumenti ja regulatiivset režiimi. Kui režiimi pole antud:

„Enne ülevaatust: millise regulatiivse režiimi alusel peaksin seda DPA-d kontrollima?

• GDPR (EL/UK GDPR artikkel 28; hõlmab iga DPA-d, mille alusel töödeldakse EL/UK isikuandmeid)
• USA osariikide privaatsusõigus (CCPA/CPRA, Virginia VCDPA, Colorado CPA, Connecticut CTDPA, Utah UCPA, Oregon OCPA ja sarnased)
• HIPAA BAA (ärikaaslase leping USA tervishoiuõiguse alusel)
• Üldine äriline (DPA ilma konkreetse režiimita; kontrollib äriliselt tavapäraseid DPA tingimusi)

Kui kohaldub mitu režiimi, vali põhiülevaatuseks kõige ettekirjutavam (tavaliselt GDPR); teiste režiimide ülevaatused saame teha hiljem.“

Ära arva režiimi dokumendi pealkirja või kohaldatava õiguse põhjal. Dokument pealkirjaga „Data Processing Addendum“ ja Delaware'i kohaldatava õigusega võib olla GDPR-põhine (kuna see töötleb EL-i elanike andmeid), CCPA-põhine (kuna see töötleb California elanike andmeid) või mõlemat. Ainult kasutaja teab, millised andmed on ulatuses.

Valikulised sisendid (party_role, data_categories, international_transfer_context, standard_positions) täpsustavad analüüsi. Sisend party_role muudab olulisel määral raskusastme kalibreerimist:

• Vastutavad töötlejad / andmete eksportijad / ettevõtted / kaetud üksused soovivad tugevaid ja konkreetseid volitatud töötleja kohustusi — nad kannavad volitatud töötleja tõrgete eest regulatiivset vastutust.
• Volitatud töötlejad / andmete importijad / teenuseosutajad / ärikaaslased soovivad selget ja operatiivselt teostatavat ulatust — ebamäärased kohustused tekitavad piiritlemata vastutuse.

Kui party_role pole antud, kasuta vaikimisi vastutava töötleja vaatenurka (järelevalveasutused uurivad peaaegu alati vastutavat töötlejat, seega on vastutava töötleja kasuks tehtud analüüs ülevaatuste puhul ohutum vaikevalik) ja märgi see eeldus aruandes ära. Palu kasutajal oskus uuesti käivitada, kui ta on volitatud töötleja poolel.

Töövoog

Koosta ülevaatus kolmes läbimises.

1. läbimine: dokumendiga tutvumine

Enne sisulist ülevaatust:

• Kinnita, et dokument on tõepoolest DPA / DPA lisa / BAA. Kui see on privaatsuspoliitika, MSA, mille privaatsusklauslid pole eraldi välja toodud, või muu instrument, peatu ja ütle seda kasutajale.
• Märgi üles pooled ning kumb on vastutav töötleja / volitatud töötleja (või vastav roll asjaomase režiimi all).
• Märgi üles kohaldatav õigus ja mis tahes määratud andmekaitseasutus.
• Märgi üles struktuur: kas dokumendis on nõutavad tingimused jaotistesse korraldatud või on need laiali pillutud? Selgete struktuursete jaotisteta DPA-d on raskem hinnata.
• Tuvasta kõik lisad, ajakavad, eksponaadid ja liited ning märgi üles, mida need katavad (tavaliselt: andmekategooriad, töötlemise eesmärgid, turvameetmed, alamtöötlejad, SCC-d).

2. läbimine: režiimipõhine tingimuste kontroll

Käi määratud režiimi nõuded läbi vastava viitefaili abil:

• gdpr puhul: kasuta faili reference/gdpr_requirements.md. Nõutavad tingimused on GDPR artikli 28 lõike 3 üheksa punkti, artikli 32 kohased turvakohustused ning (asjakohasel juhul) rahvusvahelise edastuse mehhanismid.
• us_state_privacy puhul: kasuta faili reference/us_state_privacy_requirements.md. Nõutavad tingimused on CCPA/CPRA, VCDPA, CPA, CTDPA ja sarnaste seaduste ühisosa; seaduste erinevused on märgitud seal, kus need on olulised.
• hipaa_baa puhul: kasuta faili reference/hipaa_baa_requirements.md. Nõutavad tingimused on need, mis on loetletud 45 CFR §164.504(e)(2), pluss HITECH-i ja HIPAA Omnibus Rule'i täiendavad nõuded.
• general_commercial puhul: kasuta faili reference/general_commercial_requirements.md. Oodatavad tingimused on äriliselt tavapärased DPA tingimused konkreetse režiimi puudumisel — laias laastus ühilduvad nii GDPR-i, USA osariikide privaatsusõiguse kui ka HIPAA-ga, kuid ühegi jaoks optimeerimata.

Liigita iga nõutav tingimus:

• Present (olemas) — dokument käsitleb seda tingimust ja käsitlus vastab režiimi nõuetele.
• Partial (osaline) — dokument käsitleb seda tingimust, kuid käsitlus ei vasta nõuetele, on nõutust kitsam või sisaldab problemaatilisi erandeid.
• Missing (puudub) — dokument ei käsitle seda tingimust.
• Unclear (ebaselge) — dokument väidetavalt käsitleb seda tingimust, kuid sõnastus on nii mitmetähenduslik, et vastavust ei saa ilma läbirääkimisteta kinnitada.
• N/A (ei kohaldu) — see tingimus ei kohaldu dokumendi tüübi, režiimi variandi või konkreetsete asjaolude tõttu.

3. läbimine: kontrollnimekirja ja hoiaku koostamine

Koonda leiud struktureeritud kontrollnimekirja (vt jaotis „Väljund“). Lisa üldise hoiaku lõik, mis ütleb, kas dokument on:

• Nõuetele vastav — kõik nõutavad tingimused on olemas ja piisavad; vastavuse eesmärgil pole läbirääkimisi vaja (äriliste eelistuste tõttu võivad muudatused siiski põhjendatud olla).
• Nõuetele vastav väikeste lünkadega — enamik tingimusi on olemas; väiksemaid osalisi/puuduvaid punkte saab lahendada lühikeste läbirääkimistega või toetavates lepingutes.
• Nõuetele mittevastav — olulised lüngad, mis nõuavad enne allkirjastamist läbirääkimisi; dokument ei vasta praegu režiimi nõuetele.
• Oluliselt nõuetele mittevastav — mitu kriitilist tingimust puudub või on osaline; dokument vajab põhjalikku ümbertöötamist või peaks kasutaja tegema ettepaneku asendada see oma malliga.

Väljund

Koosta ülevaatus markdownis struktureeritud kontrollnimekirjana:

# DPA Checklist Review: [Document name or counterparty]

**Regulatory regime:** [gdpr | us_state_privacy | hipaa_baa | general_commercial]
**Party role:** [controller | processor | etc.]
**Data categories:** [user-provided context, or "not specified"]
**International transfer context:** [for GDPR; user-provided context, or "not specified"]

## Overall posture

[One paragraph: compliant / compliant with minor gaps / non-compliant / materially non-compliant. State the headline gap or strength. State the recommended next step at a high level.]

## Compliance checklist

| # | Required term | Source | Status | Severity | Clause | Assessment |
|---|---|---|---|---|---|---|
| 1 | [Term name] | [Statute reference, e.g., "GDPR Art. 28(3)(a)"] | Present / Partial / Missing / Unclear / N/A | High / Medium / Low | [§ ref or "—"] | [One-line assessment] |
| 2 | [...] | [...] | [...] | [...] | [...] | [...] |
| ... | | | | | | |

Every finding gets a severity rating. Calibrate severity using the Critical / Material / Minor bands in the regime reference file (`reference/gdpr_requirements.md`, `reference/us_state_privacy_requirements.md`, `reference/hipaa_baa_requirements.md`, `reference/general_commercial_requirements.md`), mapped as: **High** = Critical (regulator-facing requirement, missing it would render the document non-compliant); **Medium** = Material (gap creates real legal or operational risk but is not a per-se compliance failure); **Low** = Minor (drafting hygiene, commercial preference, or belt-and-braces). Severity is required even for Present items so the reader can see what the document gets right on the high-stakes terms at a glance.

## Detailed findings

[For each Partial, Missing, or Unclear item, a subsection with:]

### [#] [Term name] — [Status]

**Required by:** [Statute reference]

**What's required:** [Brief plain-language statement of what the regime requires.]

**What the document says:** [Quoted or paraphrased clause language, with citation. If the term is missing, "Not addressed."]

**Why this is a gap:** [Specific deficiency from the regime's perspective.]

**Recommended language:** [Specific suggested clause language to add or modify. Reference any applicable model clauses (e.g., EU SCCs) where appropriate.]

## Items requiring human judgment

[Items the skill cannot resolve and that need the user's regulatory-counsel expertise or business judgment. Examples: jurisdictional applicability questions, novel data flows the skill is unfamiliar with, regulator-specific guidance the skill cannot verify is current.]

## Recommended next steps

[Short bulleted list. Common options: sign as-is (if compliant), negotiate the redlines proposed above, propose user's own DPA template, escalate specific issues to outside privacy counsel, run an additional review under another regime.]

Kontrollnimekirja tabel on keskne osa. Üksikasjalikud leiud katavad ainult punkte, mis pole olekus Present — ära paisuta teksti ridadega „Olemas ja standardne, lisamärkusi pole“; tabel näitab seda juba.

Erijuhud ja keeldumised

• Dokument ei ole DPA/BAA. Peatu ja ütle seda kasutajale. Levinud lähedased dokumendid, mida aetakse DPA-dega segi: privaatsuspoliitikad, turvaküsimustikud, andmete jagamise lepingud (GDPR-i all erinev instrument), andmete litsentsilepingud, privaatsusklauslitega MSA-d ilma DPA lisata.
• Režiim on gdpr, kuid dokument ei sisalda SCC-sid ega muud edastusmehhanismi ning international_transfer_context näitab, et edastusi toimub. Kriitiline lünk; too see esile hoiakus ja üksikasjalikes leidudes isegi siis, kui vastutava ja volitatud töötleja tingimused on muidu nõuetele vastavad.
• Režiim on hipaa_baa, kuid dokument ei viita HIPAA-le üldse (puuduvad viited PHI-le, BAA-le, 164.504-le jne). Dokument ei pruugi tegelikult olla BAA. Too see esile ja palu kasutajal kinnitada.
• Dokument on DPA ajast enne olulisi režiimimuudatusi (nt 2018. aasta GDPR DPA ilma Schrems II / 2021. aasta SCC uuendusteta; 2020. aasta CCPA DPA ilma CPRA muudatusteta). Too see hoiakus esile ja märgi regulatiivne nihe ära.
• Dokument sisaldab tingimusi mitme režiimi jaoks. Mõned DPA-d on kirjutatud nii, et need rahuldaksid korraga GDPR-i + CCPA ja teisi. Vaata dokument üle soovitud režiimi alusel ja märgi ära, kus mitme režiimi jaoks koostamine tekitab mitmetähenduslikkust (nt vastuolulised kustutamistähtajad).
• Dokument viitab näidisklauslitele või mallidele, mida pole lisatud. Kui dokumendis on kirjas „pooled on sõlminud EL-i SCC-d“, kuid SCC-sid pole lisatud ega konkreetselt viidatud, too see esile — SCC-d on nõutav dokument, mitte pelgalt viide.

Mida see oskus ei tee

• Ei anna lõplikku vastavusarvamust. Väljundid on mustandid inimese ülevaatuseks; lõplikud vastavusotsused kuuluvad kvalifitseeritud privaatsusjuristile.
• Ei ennusta järelevalveasutuse käitumist. Toob lüngad esile; ei avalda arvamust täitemenetluse riski kohta.
• Ei pea läbirääkimisi. Pakub sõnastust; ei koosta lisakirju.
• Ei asenda privaatsuse mõjuhinnangut, edastuse mõjuhinnangut ega muud ametlikku vastavusdokumenti. Need on eraldi protsessid.
• Ei kata versioonis v1.0.0 USA-väliseid/EL-iväliseid režiime (Kanada PIPEDA, Brasiilia LGPD, Hiina PIPL jne). Struktuur toetab režiimipõhiste viitefailide lisamist; kogukonna panused on teretulnud.

Viitematerjalid

• reference/gdpr_requirements.md — artikli 28 lõike 3 nõutavad tingimused, artikli 32 turvalisus, edastusmehhanismide nõuded.
• reference/us_state_privacy_requirements.md — CCPA/CPRA/VCDPA/CPA/CTDPA/UCPA/OCPA ühised nõuded volitatud töötleja lepingutele.
• reference/hipaa_baa_requirements.md — 45 CFR §164.504(e)(2) BAA nõuded pluss HITECH/Omnibus uuendused.
• reference/general_commercial_requirements.md — äriliselt tavapärased DPA tingimused, kui konkreetset režiimi pole märgitud.
• examples/example_gdpr.md — läbitöötatud näide: GDPR DPA ülevaatus vastutava töötleja vaatenurgast.
• examples/example_us_state.md — läbitöötatud näide: USA osariigi privaatsusõiguse DPA ülevaatus teenuseosutaja/volitatud töötleja vaatenurgast.

Kvaliteedikontrolli parandused (LegalQuants, 2026-05)

LegalQuantsi kvaliteedikontroll hindas seda oskust 2026-05-11 Legal Skill Design Frameworki alusel hinnanguga SOME CONCERN. 2026-05 rakendati sihipärased parandused:

• Advokaadisaladuse käsitlust tugevdati. Ulatuse osasse lisati selgesõnaline jaotis „Advokaadisaladus ja konfidentsiaalsus“, mis nõuab, et kasutaja kinnitaks enne oskuse käivitamist juristi järelevalve all oleva töövoo ja vastuvõetava mudelisse suunamise korra. Väljundit käsitletakse eeldatavalt kaitstud tööproduktina ja hoiatatakse konfidentsiaalsete kliendidokumentide väliste mudelitega kokkupuute eest. Tugevdati juba jaotises „Mida see oskus ei tee“ olemas olnud raamistust „mustand kvalifitseeritud privaatsusjuristi ülevaatuseks“.
• Raskusaste toodi peamisse kontrollnimekirja. Kohustuslikku kontrollnimekirja tabelisse lisati veerg Severity (High / Medium / Low), et režiimide viitefailide kalibreering Critical / Material / Minor kanduks peamisesse dokumenti, selle asemel et jääda proosasse peitu. Raskusaste on nõutav igal real, sh Present-punktidel, et tabelit silmitsev lugeja näeks korraga dokumendi seisu kõrge panusega tingimuste osas.
• Päritolu ühtlustati. Väli author seati väärtusele Kevin Keller (vastavalt registri README-le). Lisati väljad last_reviewed ja last_reviewed_by, et kvaliteedikontrolli sagedus oleks nähtav dokumendis endas.

Tehniline sisu (töövoo läbimised, režiimide viitefailid, väljundi struktuur, erijuhud, keeldumise päästikud) on säilitatud muutmata. Selle oskuse kasutamiseks vajalik sisuline privaatsusjuristi otsustusvõime on muutmata.