All the scenariosLaw firmsContract review against your playbookSimple
The software vendor's processor agreement: no sub-processors, no deletion, no audit
The situation
FieldApp Cloud, the software Acme's technicians close their jobs with, sends its data processing agreement to sign with the licence renewal: customers, addresses, signatures and the technicians' positions go through it. The office manager uploads it as a DPA before signing.
The documents
The same files the agent was handed. Open them before you read the rest: the names, addresses and VAT numbers are invented, the structure is not.
What the agent does
The same four phases as every run, in order. In the console you watch them go by one at a time, with the credits beside them.
- 01DiagnoseReads the input and decides what the job actually is.
- 02AssemblePicks tools, data sources and the model you chose.
- 03ActDoes the work. Anything that leaves the building waits for approval.
- 04AssessChecks its output against your rules before settling credits.
The tools it used
Read off the recording of the run, not off a feature list.
- Read the document
- Extract the fields
- Search the reference documents
- Check the result
- Review the contract
The result
Nomina a responsabile (art. 28 GDPR) di FieldApp Cloud S.r.l.: 10 punti dell'art. 28 c. 3 · 3 mancano: sub-responsabili (lett. d), cancellazione o restituzione a fine rapporto (lett. g), audit e ispezioni (lett. h)
Tabella di controllo, non un parere: le regole sono scritte e verificabili, ogni citazione viene dal contratto; ogni riga va verificata e firmata dall'avvocato.
The clauses against the playbook
Processor agreement (art. 28(3) GDPR)
| Rule | Mandatory content | In the DPA |
|---|---|---|
| art. 28 c. 3, primo periodo | oggetto, durata, natura, finalità, dati e interessati | present |
| art. 28 c. 3 lett. a) | istruzioni documentate | present |
| art. 28 c. 3 lett. b) | riservatezza degli autorizzati | present |
| art. 28 c. 3 lett. c) | misure di sicurezza (art. 32) | present |
| art. 28 c. 3 lett. d) e cc. 2 e 4 | sub-responsabili | missing |
| art. 28 c. 3 lett. e) | assistenza per i diritti degli interessati | present |
| art. 28 c. 3 lett. f) | assistenza artt. 32–36 (sicurezza, violazioni, DPIA) | present |
| art. 28 c. 3 lett. g) | cancellazione o restituzione a fine rapporto | missing |
| art. 28 c. 3 lett. h) | audit e ispezioni | missing |
| art. 28 c. 3, ultimo periodo | avviso su istruzioni illecite | present |
Warnings
- To fix nomina a responsabile senza sub-responsabili, cancellazione o restituzione a fine rapporto, audit e ispezioni: Manca: Rispetta le condizioni per ricorrere a un altro responsabile: autorizzazione scritta, specifica o generale, informazione sulle modifiche con diritto di opporsi, gli stessi obblighi imposti al sub-responsabile. (art. 28 c. 3 lett. d) e cc. 2 e 4) Manca: Su scelta del titolare cancella o restituisce tutti i dati al termine della prestazione e cancella le copie esistenti. (art. 28 c. 3 lett. g)) Manca: Mette a disposizione le informazioni per dimostrare il rispetto degli obblighi e consente e contribuisce alle attività di revisione, comprese le ispezioni. (art. 28 c. 3 lett. h))
- To fix DPA: manca sub-responsabili (art. 28 c. 3 lett. d) e cc. 2 e 4).
- To fix DPA: manca cancellazione o restituzione a fine rapporto (art. 28 c. 3 lett. g)).
- To fix DPA: manca audit e ispezioni (art. 28 c. 3 lett. h)).
- Contract
- Accordo per il trattamento dei dati personali ai sensi dell'art. 28 del Regolamento (UE) 2016/679
- Other party
- FieldApp Cloud S.r.l.
- Playbook
- playbook di base
- The table
- revisione-contratto.docx · revisione-contratto.xlsx
real time 3 min 58 s33 credits
Minute by minute
- 0 sDiagnose1 credit
- 4 sAssemble1 credit
- 8 sAct1 credit
- 9 sToolRead the document0 credits
- 9 sAct2 credits
- 41 sAct3 credits
- 1 min 40 sAct3 credits
- 1 min 57 sAssess6 credits
- 2 min 20 sAct1 credit
- 2 min 21 sToolRead the document0 credits
- 2 min 21 sAct1 credit
- 2 min 32 sActExtract the fields1 credit
- 2 min 32 sToolExtract the fields0 credits
- 2 min 43 sAct2 credits
- 2 min 53 sToolSearch the reference documents0 credits
- 2 min 53 sAct2 credits
- 3 min 2 sToolCheck the result0 credits
- 3 min 2 sAct2 credits
- 3 min 8 sToolReview the contract0 credits
- 3 min 9 sAssess7 credits
What to look for
The first line lines up the ten points of art. 28(3) and the three missing: the rules on sub-processors (no clause governs the German cloud), deletion or return of the data at the end (only backups kept «as long as necessary»), audits (a declaration of conformity instead). The checklist goes letter by letter, quoting what is there.