Субпроцессор (Subprocessor)

Субпроцессор (subprocessor) — это сторонний вендор, которого ваш SaaS использует для обработки клиентских данных от вашего имени: облачный хостинг (AWS), сервис рассылки писем (Postmark), инструменты аналитики или поддержки. По GDPR и схожим режимам, если вы являетесь обработчиком данных (data processor) для своих клиентов, то каждый нижестоящий вендор, касающийся их данных, — ваш субпроцессор, и вы несёте за него договорную и юридическую ответственность. На практике для разработчиков это означает две вещи. Во-первых, вы обязаны вести и публиковать список субпроцессоров (обычно страница, на изменения которой клиенты могут подписаться) и передавать эти обязательства вниз через соглашения об обработке данных (DPA). Во-вторых, оценивая инструменты, на которых строите продукт, вы наследуете их субпроцессоров и их риски — добавление вендора это не только техническое, но и комплаенс-решение. Корпоративные и security-проверки изучают этот список пристально. Держать его коротким, задокументированным и в приемлемых юрисдикциях (см. резидентность данных) — часть готовности к enterprise и прохождения SOC 2 и оценок вендоров.