أدِر معالِجي كل عميل مقابل المادة 28 — مع بيان صريح لما تُثبته النتيجة

ما تشترطه المادة 28 على المتحكم

لا يجوز للمتحكم الاستعانة إلا بمعالِجين يقدّمون ضمانات كافية للامتثال لـ GDPR (المادة 28(1))، بموجب اتفاقية معالجة بيانات تحمل شروط المادة 28(3). والمعالجة الفرعية ليست حرة: لا يجوز للمعالِج الاستعانة بمعالِج فرعي دون تفويض مسبق من المتحكم (المادة 28(2))، وعلى كل معالِج فرعي أن يلتزم بالتزامات حماية البيانات نفسها (المادة 28(4)).

بالنسبة إلى مزوّد خدمات مُدارة أو استشارة، هذا هو العمل — أنت تدير معالِجي عملائك، محفظة موردين في كل مرة، ويتركّز التعرّض في سلسلة التوريد: فمعظم إخفاقات الخصوصية تنشأ من معالِج فرعي لم يأذن به أحد.

• المادة 28(1) — ضمانات كافية قبل الإدراج
• المادة 28(2) — تفويض مسبق للمعالِجين الفرعيين
• المادة 28(3) — شروط اتفاقية معالجة البيانات المطلوبة
• المادة 28(4) — المعالِجون الفرعيون ملزَمون بالالتزامات نفسها

ما الذي يفشل عبر قاعدة موردين

على نطاق المحفظة، الإخفاقات هي ما تُغفله مراجعة واحدة. مورّد أُجيز مرة يتقادم عند التجديد، حين تُضاف معالِجات فرعية جديدة وتُعاد صياغة الشروط دون نظرة أخرى. وضعف اتفاقية معالجة — تفويض عام للمعالِجين الفرعيين دون إخطار، أو حق تدقيق مُقلَّص إلى استبيان — نادراً ما يخصّ مورّداً واحداً: بل يتكرر عبر المحفظة لأن الموردين يعيدون استخدام القوالب نفسها. والموردون الأعلى خطورةً ليسوا دائماً الأكبر: معالِج صغير يعالج بيانات فئات خاصة لعميل قد يفوق في الأهمية كبيراً لا يلمسها أبداً.

إعادة التقييم المستمرة موجودة لهذا بالضبط: المورّد ليس ممتثلاً لأنه اجتاز مرة.

• الموردون يتقادمون عند التجديد — معالِجات فرعية جديدة، شروط مُعاد التفاوض عليها
• الضعف نفسه في اتفاقية المعالجة يتكرر عبر موردين كثيرين على قوالب مشتركة
• المخاطرة تتبع البيانات، لا حجم المورّد

كيف يديرها RINS.AI

يُنشَأ الموردون في سجل — تسجّل المعالِجين الذين يستخدمهم العميل — ويُربطون بنتائج فحوصات وتقييمات اتفاقيات معالجة ذلك العميل. تُقيَّم المخاطر، وتُتابَع حالة اتفاقية المعالجة، وتُجرى إعادة التقييم وفق جدول زمني، بحيث لا يتقادم مورّد رُوجِع مرة بصمت. السجل هو نظام السجل؛ وتُرفَق النتائج بالموردين الموجودين فيه، وترى أولاً الموردين الأعلى خطورةً مع مهام معالجة واضحة وآثار تدقيق.

• الموردون يُنشَأون في السجل ثم يُربطون بالنتائج
• حالة اتفاقية المعالجة والضوابط التعاقدية لكل مورّد
• تقييم المخاطر وإعادة التقييم المُجدوَلة
• عرض للمحفظة عبر قاعدة موردي العميل كاملة

ما الذي يمكن أن تخبرك به النتيجة وما لا يمكنها

هنا تهمّ الصراحة أكثر من التسويق. حين يُبرز RINS.AI مشكلة معالِج فرعي، تخبرك النتيجة بشيء محدد واحد: اتفاقية المعالجة تسكت عن معالِجيها الفرعيين — لا تسمّيهم، أو لا تشترط تفويضاً مسبقاً، أو لا تُلزمهم بالمادة 28(4). والدليل نصّ نثري عن غياب في العقد.

ولا يمكنها أن تخبرك من هم المعالِجون الفرعيون. سكوت العقد ليس قائمة؛ واكتشاف أن مورّداً يستخدم فعلاً معالِجاً فرعياً بعينه عملية مختلفة لا يحتويها المستند. الموردون تُنشئهم أنت في السجل ويُربطون بالنتائج — لا يُكتشفون من النتائج. أداة تزعم كشف هوية معالِج فرعي غير مسمّى من عقد صامت إنما تختلقها.