Vad gör Maditon med mina leverantörer?

Två skyldigheter gör det här till vanligt arbete snarare än en bonus. GDPR artikel 28 säger att ni bara får anlita ett biträde som ger tillräckliga garantier, och artikel 30 att ni för register över er behandling — inklusive vem som behandlar vad för er räkning. NIS2 artikel 21 lägger till leveranskedjesäkerhet för de verksamheter direktivet omfattar. Båda gör “vilka tjänster använder vi, och vad lovade de” till en fråga någon förr eller senare ställer skriftligt.

Vad som läses. Bara det leverantören publicerat: integritetspolicyn, villkoren, personuppgiftsbiträdesavtalet, underbiträdeslistan, säkerhetssidan. Du kan också ladda upp något en leverantör skickat privat — ett undertecknat biträdesavtal, ett ifyllt formulär — och det stannar privat hos ditt företag.

Vad som kommer ut. Fynd, vart och ett med det citat det bygger på, grupperade efter hur mycket de bör oroa. Ett fynd är en fråga att ställa till leverantören. Där dokumenten helt enkelt inte säger något blir resultatet “inte besvarat” i stället för ett underkännande — tystnad är inte en överträdelse, utan en lucka i det ni vet.

Vad den vägrar göra. Den certifierar ingen. Ingen läsning av en publicerad webbsida kan fastställa att ett företag faktiskt gör det sidan påstår, och ett verktyg som sade annat skulle sälja falsk trygghet.

Registret är också det som resten av produkten vilar på: ett inköp jämför kandidater i det, ett kundformulär besvaras ur det, och underbiträdeslistan ni publicerar härleds ur de leverantörer ni markerat som använda.