Så bevakar du leverantörers villkor för ändringar

En leverantörs villkor, biträdesavtal, lista över underbiträden, säkerhetssida och SLA är de löften er regelefterlevnad vilar på. Alla är webbsidor som leverantören kan redigera, och de flesta standardvillkor säger det rakt ut: “vi kan komma att uppdatera dessa villkor; fortsatt användning innebär godkännande”. Ingen skriver och berättar. Den här guiden går igenom varför det spelar roll, vilka ändringar som är väsentliga och hur ni dokumenterar att ni såg en ändring — så att versionen ni litade på är ett faktum ni kan visa, inte ett minne.

Varför villkor ändras utan förvarning

Tre vardagliga skäl. Leverantören lägger till ett underbiträde och uppdaterar listan, för det är det listan är till för. Juristerna reviderar biträdesavtalet efter en dom eller nya standardklausuler. En produktändring kommer med ett stycke om att använda kundinnehåll för att förbättra tjänsten. Om leverantören måste berätta beror på dokumentet. GDPR artikel 28.2 kräver förvarning om ändringar av underbiträden innan de träder i kraft. Förordning (EU) 2019/1150 om onlinebaserade förmedlingstjänster, artikel 3.2, kräver att marknadsplatser och appbutiker ger sina företagsanvändare minst 15 dagars varsel vid ändrade villkor. För allt annat — allmänna villkor, säkerhetssidor, SLA — är förvarningen vad avtalet säger, och avtal skrivna av leverantörer säger sällan mycket.

Varför det är ert problem

Enligt GDPR behandlar biträdet enligt era dokumenterade instruktioner (artikel 28.3 a), så ett ändrat biträdesavtal ändrar vad ni har instruerat. Ert register enligt artikel 30 ska visa dagens mottagare och överföringar, inte förra årets. Artikel 5.2 gör er ansvariga för att visa att reglerna följs, och artikel 24.1 kräver att ni ser över och uppdaterar era åtgärder “när så krävs”. En leverantör som flyttat sin hosting till ett annat land har gjort en uppdatering nödvändig oavsett om ni märkte det.

Enligt NIS2, för verksamheter som omfattas, kräver artikel 21.2 d i direktiv (EU) 2022/2555 säkerhet i leveranskedjan “inbegripet säkerhetsrelaterade aspekter som rör förhållandet mellan varje entitet och dess direkta leverantörer”, och artikel 21.3 ber er beakta “den övergripande kvaliteten på produkter och cybersäkerhetspraxis” hos dessa leverantörer. En leverantörs säkerhetssida är ert bevis för dess praxis; ändras den, ändras er bedömning. Era kunder som omfattas kommer att fråga detsamma om er.

Enligt avtalet avgör den version som gällde när något gick fel vad leverantören är skyldig er. Halverades ansvarsbegränsningen i mars och inträffade incidenten i juni vill ni kunna visa vad ni godkände, när, och om ni informerades.

Vad som räknas som en väsentlig ändring

En väsentlig ändring ändrar vad leverantören lovar eller vad som händer med era uppgifter. Det här är listan värd att kontrollera en differens mot:

• Underbiträden som lagts till, tagits bort eller flyttats till ett annat land; ändrad förvarningstid eller rätt att invända.
• Datalokalisering och överföringar: en ny region, en annan överföringsmekanism, ett underbiträde utanför EU och EES.
• Lagring och radering: längre lagringstid; ett raderingslöfte som blir “i enlighet med vår policy”; säkerhetskopior undantagna.
• Säkerhetsåtaganden: kryptering, MFA, certifieringar, penetrationstester, loggning — allt som tagits bort eller mjukats upp.
• Incidentanmälan: en frist som blir längre eller försvinner.
• AI och träningsdata: en ny rätt att använda kundinnehåll för modellträning eller “tjänsteförbättring”.
• Granskningsrätt, ansvarsbegränsningar, skadeslöshet, tillämplig lag.
• SLA-villkor: tillgänglighet, servicekrediter, underhållsfönster, supportkanaler och tider.
• Den juridiska personen: en överlåtelseklausul eller en ny avtalspart efter ett förvärv.

Inte väsentligt, men värt att anteckna: en ny adress, en omdöpt produkt, omformatering, ett rättat stavfel. Skillnaden spelar roll eftersom en granskning som behandlar varje redigering som ett larm stängs av inom en månad.

Så dokumenterar ni att ni såg den

Det bevis som håller är texten före, texten efter, differensen mellan dem och en anteckning om vem som tittade och vad som beslutades. Per dokument:

1. En daterad kopia av versionen ni litade på. Leverantörens rad “senast uppdaterad” är leverantörens påstående, inte ert bevis.
2. Kontrollen. Hur ofta ni läser om sidan, och en notering om att kontrollen kördes även när ingenting ändrats. “Vi kontrollerar månadsvis” är en policy; en logg över kontrollerna är bevis.
3. Differensen, stycke för stycke, så att granskaren läser det som ändrats i stället för hela dokumentet igen.
4. Bedömningen. Väsentlig eller inte, av vem, vilket datum, med en rad motivering.
5. Åtgärden. Godkänd; frågor skickade; invändning enligt artikel 28.2; leverantör utbytt — och leverantörens svar.
6. Uppdateringen av ert eget register. Flyttade ändringen uppgifter eller lade till en mottagare ändras ert register enligt artikel 30 samma dag.

Behåll historiken. “När fick ni veta att leverantör X började använda underbiträde Y?” besvaras av loggen, inte av någons minne.

Frågorna att ställa till leverantören

1. Hur meddelar ni ändringar i villkor, biträdesavtal, lista över underbiträden och säkerhetssida, och hur långt i förväg?
2. Var finns ändringshistoriken för vart och ett av de dokumenten?
3. Gäller ändringen daterad [datum] vårt befintliga avtal, eller bara nya kunder?
4. Om vi inte godtar den, vilka alternativ har vi och när måste vi agera?

Så gör Maditon

Maditon läser om varje bevakat dokument enligt schema, jämför den nya texten med den senaste versionen stycke för stycke och låter en modell bedöma om skillnaden är väsentlig: en lagringstid, en överföringsmekanism, ett nytt underbiträde. Ni får ett mejl om dagen med vad som ändrats och vad som inte kunde läsas, och appen behåller båda versionerna och differensen, så att sammanfattningen är något ni kontrollerar mot leverantörens egna ord i stället för att lita på. En ändring modellen inte kunde läsa antecknas som oklassificerad, aldrig som “inte väsentlig”, eftersom ingen kontrollerat den. Dokument hos en leverantör ni markerat som i bruk bevakas automatiskt, och historiken över hämtningar och ändringar följer dokumentet.

Mekaniken står i Hur vet Maditon när en leverantör ändrar sina villkor? och vad som sparas i Är Maditon ett arkiv för mina avtal?. Eller sätt era leverantörers dokument under bevakning i appen.