como sei se o software que uso cumpre o RGPD

Uma ferramenta SaaS é conforme ao RGPD se o contrato e a prática estão alinhados

Não existe uma certificação ou visto que declare oficialmente uma ferramenta SaaS 'conforme ao RGPD' — o RGPD não avalia o software em si, mas a forma como um fornecedor trata os dados pessoais e o que foi acordado sobre isso. Na maioria dos casos, uma ferramenta é utilizável sem risco significativo se três coisas estão corretas: existe um contrato de processamento de dados com o fornecedor, esse contrato regula os componentes obrigatórios como a finalidade do processamento e as medidas de segurança, e fica claro onde os dados são fisicamente processados e armazenados.

Estes últimos dois pontos são onde as coisas costumam falhar na prática. Muitas ferramentas SaaS contratam outras partes — um fornecedor de hospedagem, um suporte técnico noutro país — e isso é chamado de subprocessador. Também acontece que os dados são processados fora da UE, o que está sujeito a condições adicionais. Quem tem dúvidas sobre se um fornecedor assume o papel de processador ou de responsável pelo tratamento de dados na sua empresa encontra mais informações em a distinção entre processador e responsável pelo tratamento de dados. E quem quer saber exatamente o que deve constar no contrato com o fornecedor, lê isso na página sobre o conteúdo de um contrato de processamento de dados.

Baseado em: artigos 28.º e 44.º do RGPD

A obrigação de acordar com uma parte que trata dados pessoais decorre do artigo 28.º do RGPD, que também indica o que esse contrato deve regular no mínimo — incluindo a contratação de um subprocessador. O processamento de dados fora da UE está coberto pelo artigo 44.º do RGPD, que impõe condições adicionais a uma transferência para um país terceiro. Estas disposições aplicam-se diretamente em toda a UE, portanto, o essencial da avaliação — existe um contrato de processamento de dados, e a transferência fora da UE é adequadamente coberta — não muda por país. O EDPB desenvolve ainda mais nas suas orientações como estes artigos são aplicados na prática, por exemplo ao avaliar subprocessadores e transferências internacionais.