त्वरित उत्तर: AVV (Auftragsverarbeitungsvertrag) और DPA (Data Processing Agreement) GDPR अनुच्छेद 28 के तहत एक ही कानूनी रूप से आवश्यक अनुबंध को संदर्भित करते हैं, जर्मन शब्द AVV का उपयोग DACH-क्षेत्र के क्षेत्राधिकारों में किया जाता है, जबकि DPA अधिकांश अन्य यूरोपीय संघ के सदस्य राज्यों और अंतरराष्ट्रीय स्तर पर उपयोग किया जाने वाला अंग्रेजी-भाषा समकक्ष है। दोनों यह नियंत्रित करते हैं कि एक डेटा प्रोसेसर एक नियंत्रक की ओर से व्यक्तिगत डेटा को कैसे संभालता है। गलत फ्रेमिंग चुनना, या समझौते को पूरी तरह से छोड़ना, आपके संगठन को महत्वपूर्ण नियामक दंडों के लिए उजागर कर सकता है।
मुख्य बातें
- AVV Auftragsverarbeitungsvertrag का जर्मन संक्षिप्त नाम है; DPA का अर्थ डेटा प्रोसेसिंग समझौता है, वे GDPR के तहत कार्यात्मक रूप से एक ही उपकरण हैं।
- दोनों समझौते अनुच्छेद 28 GDPR के तहत अनिवार्य हैं जब भी कोई नियंत्रक व्यक्तिगत डेटा को संभालने के लिए एक प्रोसेसर को नियुक्त करता है।
- शब्दावली का अंतर क्षेत्रीय है: AVV जर्मनी, ऑस्ट्रिया और स्विट्जरलैंड में मानक है; DPA का उपयोग अंग्रेजी बोलने वाले और अधिकांश अन्य यूरोपीय संघ के संदर्भों में किया जाता है।
- एक वैध समझौते में विषय वस्तु, प्रसंस्करण की अवधि, डेटा श्रेणियां, डेटा विषय अधिकार, उप-प्रोसेसर की शर्तें, सुरक्षा उपाय और ऑडिट प्रावधान शामिल होने चाहिए। [1]
- सही समझौता न होने पर पर्यवेक्षी प्राधिकरण की जांच, जुर्माना और अनुबंध विवाद हो सकते हैं।
- कार्यान्वयन की लागत शून्य (विक्रेता के मानक टेम्पलेट का उपयोग करके) से लेकर कस्टम कानूनी ड्राफ्टिंग के लिए कई हजार यूरो तक होती है।
- DACH और गैर-DACH बाजारों में काम करने वाले कुछ व्यवसाय स्पष्टता के लिए एक ही समझौते में दोनों शब्दों का वैध रूप से उपयोग करते हैं।
- Biscotti CMP जैसा एक सहमति प्रबंधन प्लेटफ़ॉर्म आपकी व्यापक GDPR अनुपालन स्थिति का समर्थन कर सकता है, लेकिन यह विधिवत निष्पादित AVV या DPA का स्थान नहीं लेता है।
डेटा सुरक्षा में AVV का क्या अर्थ है, और क्या यह DPA के समान है?
AVV का अर्थ Auftragsverarbeitungsvertrag है, जो डेटा प्रोसेसिंग समझौते के लिए जर्मन-भाषा का शब्द है। व्यावहारिक कानूनी शब्दों में, एक AVV और एक DPA एक ही दस्तावेज़ हैं, दोनों डेटा नियंत्रक और डेटा प्रोसेसर के बीच एक लिखित अनुबंध के लिए GDPR के अनुच्छेद 28 में निर्धारित आवश्यकता को पूरा करते हैं। [1]
अंतर विशुद्ध रूप से भाषाई और क्षेत्रीय है। जर्मन, ऑस्ट्रियाई और स्विस डेटा संरक्षण व्यवसायी अनुबंधों, गोपनीयता नीतियों और नियामक पत्राचार में AVV को मानक शब्द के रूप में उपयोग करते हैं। अंग्रेजी बोलने वाले व्यवसायी और अधिकांश अन्य यूरोपीय संघ के सदस्य राज्य DPA का उपयोग करते हैं। जब एक जर्मन SaaS विक्रेता आपको "AVV" प्रदान करता है, तो वे वही कानूनी उपकरण प्रदान कर रहे होते हैं जिसे यूके-आधारित विक्रेता "DPA" कहेगा।
मुख्य स्पष्टीकरण: कोई भी शब्द एक अलग कानूनी मानक का अर्थ नहीं है। दोनों को वैध होने के लिए समान GDPR अनुच्छेद 28(3) सामग्री आवश्यकताओं को पूरा करना होगा। [1]
AVV और DPA के बीच क्या अंतर है?
AVV और DPA के बीच का अंतर शब्दावली संबंधी है, सारभूत नहीं। दोनों GDPR अनुच्छेद 28 द्वारा अनिवार्य अनुबंध का वर्णन करते हैं जो एक डेटा नियंत्रक (वह इकाई जो प्रसंस्करण के उद्देश्य और साधनों को निर्धारित करती है) और एक डेटा प्रोसेसर (वह इकाई जो नियंत्रक की ओर से डेटा संसाधित करती है) के बीच होता है।
जहां वास्तविक अंतर उभर सकते हैं, वे ड्राफ्टिंग शैली और स्थानीय नियामक मार्गदर्शन में हैं:
- जर्मन पर्यवेक्षी अधिकारियों (Datenschutzbehörden) ने विशिष्ट टेम्पलेट खंड और मार्गदर्शन नोट्स प्रकाशित किए हैं जिन्हें AVV दस्तावेज़ अक्सर शामिल करते हैं।
- यूके या आयरिश क्षेत्राधिकारों के लिए तैयार किए गए अंग्रेजी-भाषा के DPAs GDPR के साथ राष्ट्रीय कार्यान्वयन कानून का संदर्भ दे सकते हैं।
- स्विस AVVs को संशोधित संघीय डेटा संरक्षण अधिनियम (revFADP) को भी ध्यान में रखना चाहिए, जो कुछ मामलों में GDPR से भिन्न है।
निचली रेखा: यदि कोई विक्रेता आपको एक AVV भेजता है और आपको एक DPA की आवश्यकता है, तो आपको वह मिल गया है जिसकी आपको आवश्यकता है, बशर्ते सामग्री अनुच्छेद 28(3) आवश्यकताओं को पूरा करती हो। [1]
आपको AVV बनाम DPA की कब आवश्यकता है?
आपको इनमें से किसी एक समझौते की आवश्यकता तब होती है जब आपका संगठन किसी तीसरे पक्ष के सेवा प्रदाता के साथ व्यक्तिगत डेटा साझा करता है जो आपके निर्देशों पर उस डेटा को संसाधित करता है। ट्रिगर नियंत्रक-प्रोसेसर संबंध है, न कि अनुबंध की भाषा।
AVV का उपयोग तब करें जब:
- आपका प्रतिपक्ष जर्मनी, ऑस्ट्रिया या स्विट्जरलैंड में स्थित है और उनका मानक अनुबंध उस शब्दावली का उपयोग करता है।
- आपका अपना संगठन जर्मन डेटा संरक्षण कानून के तहत संचालित होता है और आपके आंतरिक टेम्पलेट BfDI या राज्य DPA मार्गदर्शन का पालन करते हैं।
DPA का उपयोग तब करें जब:
- आपका प्रतिपक्ष अंग्रेजी बोलने वाले क्षेत्राधिकार में संचालित होता है या अनुबंध भाषा के रूप में अंग्रेजी का उपयोग करता है।
- आप एक यूएस-आधारित क्लाउड प्रदाता, एक यूके SaaS विक्रेता, या किसी भी अंतरराष्ट्रीय प्रोसेसर के साथ अनुबंध कर रहे हैं जिसके टेम्पलेट डिफ़ॉल्ट रूप से "DPA" पर होते हैं।
सामान्य गलती: यह मान लेना कि क्योंकि एक विक्रेता अपने दस्तावेज़ को DPA के बजाय AVV कहता है, इसलिए अलग-अलग कानूनी नियम लागू होते हैं। GDPR के तहत सामग्री आवश्यकताएं समान हैं। महत्वपूर्ण बात सार है, कवर पेज पर लेबल नहीं।
किसे AVV की आवश्यकता है और किसे DPA की आवश्यकता है?
कोई भी संगठन जो GDPR के तहत डेटा नियंत्रक के रूप में योग्य है और अपनी ओर से व्यक्तिगत डेटा को संसाधित करने के लिए किसी तीसरे पक्ष को नियुक्त करता है, उसे इनमें से किसी एक समझौते की आवश्यकता होती है। यह इन पर लागू होता है:
- तीसरे पक्ष के भुगतान प्रोसेसर या ईमेल मार्केटिंग प्लेटफॉर्म का उपयोग करने वाले ई-कॉमर्स व्यवसाय।
- क्लाउड इन्फ्रास्ट्रक्चर प्रदाताओं (IaaS, PaaS, SaaS) का उपयोग करने वाले उद्यम।
- क्लाइंट ग्राहक डेटा को संसाधित करने वाली ऑनलाइन मार्केटिंग एजेंसियां।
- बाहरी API के माध्यम से अंतिम-उपयोगकर्ता व्यक्तिगत डेटा को संभालने वाले एप्लिकेशन बनाने वाले डेवलपर्स।
- एनालिटिक्स टूल, CDN, या CRM सिस्टम का उपयोग करने वाले वेबसाइट मालिक जो विज़िटर डेटा को संसाधित करते हैं।
DACH बाजारों में स्थित संगठनों को आमतौर पर AVV लेबल का सामना करना पड़ेगा; अंतरराष्ट्रीय स्तर पर काम करने वाले अक्सर DPAs से निपटेंगे। दोनों श्रेणियों के संगठनों को समान कानूनी दायित्व का सामना करना पड़ता है।
AVV बनाम DPA में क्या शामिल होना चाहिए?
एक AVV और एक DPA दोनों में GDPR अनुच्छेद 28(3) के तहत समान अनिवार्य तत्व होने चाहिए। इनमें से किसी भी खंड को गायब करने से समझौता गैर-अनुपालन हो जाता है। [1]
| आवश्यक खंड | विवरण |
|---|---|
| विषय वस्तु और अवधि | कौन सा डेटा संसाधित किया जाता है और कब तक |
| प्रकृति और उद्देश्य | क्यों और कैसे प्रसंस्करण होता है |
| डेटा प्रकार और डेटा विषय | व्यक्तिगत डेटा की श्रेणियां और प्रभावित व्यक्ति |
| नियंत्रक के अधिकार और दायित्व | प्रोसेसर को किन निर्देशों का पालन करना चाहिए |
| सुरक्षा उपाय | तकनीकी और संगठनात्मक सुरक्षा उपाय (TOMs) |
| उप-प्रोसेसर की शर्तें | डाउनस्ट्रीम प्रोसेसर को नियुक्त करने के नियम |
| डेटा विषय अधिकार सहायता | पहुंच, मिटाने, पोर्टेबिलिटी अनुरोधों के लिए समर्थन |
| उल्लंघन अधिसूचना | घटनाओं के नियंत्रक को सूचित करने का प्रोसेसर का दायित्व |
| डेटा वापसी या विलोपन | अनुबंध समाप्त होने पर डेटा का क्या होता है |
| ऑडिट अधिकार | अनुपालन को सत्यापित करने का नियंत्रक का अधिकार |
विशेष मामला: यदि किसी विक्रेता के टेम्पलेट में ऑडिट अधिकार या उप-प्रोसेसर की शर्तें नहीं हैं, तो इसे वैसे ही हस्ताक्षर न करें। ये अनुच्छेद 28(3) के तहत गैर-परक्राम्य हैं। [1]
AVV या DPA स्थापित करने में कितना खर्च आता है?
लागत पूरी तरह से इस बात पर निर्भर करती है कि आप किसी विक्रेता के मानक टेम्पलेट का उपयोग करते हैं या कस्टम कानूनी ड्राफ्टिंग का कमीशन करते हैं।
- विक्रेता-प्रदत्त टेम्पलेट (सबसे आम): निःशुल्क। अधिकांश प्रमुख SaaS और क्लाउड प्रदाता एक मानक AVV या DPA प्रकाशित करते हैं जिसे नियंत्रक ऑनलाइन या क्लिक-थ्रू प्रक्रिया के माध्यम से स्वीकार कर सकते हैं।
- परक्रामित कस्टम समझौता: जटिलता, क्षेत्राधिकार और वकील दरों के आधार पर कानूनी शुल्क आमतौर पर 500 से 5,000 यूरो तक होता है। महत्वपूर्ण डेटा वॉल्यूम या संवेदनशील डेटा श्रेणियों वाले एंटरप्राइज़ अनुबंध उच्च अंत पर होते हैं।
- आंतरिक टेम्पलेट विकास: एक पुन: प्रयोज्य टेम्पलेट बनाने के लिए कानूनी वकील के समय का एक बार का निवेश; चल रही लागत न्यूनतम है।
व्यावहारिक नोट: अधिकांश SMEs और वेबसाइट मालिकों के लिए, विक्रेता का मानक टेम्पलेट पर्याप्त है। कस्टम बातचीत तब उचित होती है जब प्रसंस्करण में विशेष श्रेणी का डेटा (स्वास्थ्य, बायोमेट्रिक, वित्तीय) शामिल होता है या जब नियंत्रक महत्वपूर्ण देयता जोखिम वहन करता है।
AVV और DPA की आवश्यकताएं देश के अनुसार कैसे भिन्न होती हैं?
GDPR के तहत, सभी यूरोपीय संघ के सदस्य राज्यों में सारभूत आवश्यकताएं सामंजस्यपूर्ण हैं, इसलिए एक AVV और एक DPA की मुख्य सामग्री समान है चाहे आप बर्लिन, पेरिस या वारसॉ में हों। हालांकि, राष्ट्रीय स्तर पर बारीकियां मौजूद हैं:
- जर्मनी: BfDI और राज्य-स्तरीय DPAs ने विस्तृत मार्गदर्शन और मॉडल खंड जारी किए हैं। जर्मन AVVs में अक्सर अधिक विस्तृत तकनीकी और संगठनात्मक उपाय (TOMs) दस्तावेज़ीकरण शामिल होता है।
- स्विट्जरलैंड: revFADP (सितंबर 2023 से प्रभावी) GDPR से परे अतिरिक्त आवश्यकताएं लगाता है, जिसमें सीमा पार डेटा स्थानांतरण और डेटा उल्लंघन अधिसूचना समय-सीमा के लिए विशिष्ट प्रावधान शामिल हैं।
- यूके (ब्रेक्सिट के बाद): यूके GDPR लागू होता है; DPAs को यूरोपीय संघ के पर्यवेक्षी अधिकारियों के बजाय यूके ICO के मार्गदर्शन का संदर्भ देना चाहिए। मानक संविदात्मक खंड यूरोपीय संघ के SCCs से भिन्न होते हैं।
- अन्य यूरोपीय संघ के सदस्य राज्य: GDPR अनुच्छेद 28 सीधे लागू होता है; स्थानीय DPA मार्गदर्शन पूरक हो सकता है लेकिन न्यूनतम आवश्यकताओं को कम नहीं कर सकता है।
शासकीय कानून खंड को ध्यान से चुनें। एक जर्मन-कानून AVV और एक आयरिश-कानून DPA समान दिख सकते हैं लेकिन विभिन्न अदालतों और पर्यवेक्षी अधिकारियों द्वारा व्याख्या की जाएगी।
क्या आप DPA के बजाय AVV का उपयोग कर सकते हैं, या एक ही समय में दोनों का उपयोग कर सकते हैं?
हाँ, एक AVV DPA का स्थान ले सकता है क्योंकि वे कानूनी रूप से समतुल्य उपकरण हैं। DACH और गैर-DACH बाजारों में काम करने वाली एक कंपनी भ्रम से बचने के लिए एक ही अनुबंध हेडर में दोनों शब्दों को शामिल कर सकती है (उदाहरण के लिए, "डेटा प्रोसेसिंग समझौता / Auftragsverarbeitungsvertrag"), यह द्विभाषी उद्यम अनुबंधों में एक सामान्य प्रथा है और पूरी तरह से अनुमेय है।
एक साथ दोनों लेबल का उपयोग करने से दो अलग-अलग कानूनी दायित्व नहीं बनते हैं। यह केवल यह सुनिश्चित करता है कि जर्मन-भाषी और अंग्रेजी-भाषी पक्ष समझते हैं कि वे एक ही दस्तावेज़ को देख रहे हैं।
AVV और DPA के बीच चयन करते समय सामान्य गलतियाँ क्या हैं?
सबसे महत्वपूर्ण गलतियाँ इस बारे में नहीं हैं कि आप किस शब्द का उपयोग करते हैं, बल्कि इस बारे में हैं कि समझौते में क्या शामिल है और क्या यह बिल्कुल मौजूद है।
- समझौते को पूरी तरह से छोड़ देना क्योंकि एक विक्रेता संबंध अनौपचारिक या कम जोखिम वाला लगता है। GDPR के तहत, दायित्व प्रसंस्करण के कार्य से शुरू होता है, न कि कथित जोखिम स्तर से।
- एक अधूरा टेम्पलेट स्वीकार करना जिसमें उप-प्रोसेसर खंड या ऑडिट अधिकार नहीं हैं, यह मानते हुए कि विक्रेता का संस्करण स्वचालित रूप से अनुपालन करता है।
- एक DPA को डेटा साझाकरण समझौते के साथ भ्रमित करना। एक DPA प्रोसेसर संबंधों को नियंत्रित करता है; एक डेटा साझाकरण समझौता संयुक्त नियंत्रक या नियंत्रक-से-नियंत्रक डेटा एक्सचेंजों को नियंत्रित करता है। ये अलग-अलग उपकरण हैं।
- समझौतों को अपडेट करने में विफल रहना जब कोई प्रोसेसर नए उप-प्रोसेसरों को नियुक्त करता है या प्रसंस्करण की प्रकृति को बदलता है।
- यह मान लेना कि GDPR अनुपालन स्विस कानून को कवर करता है। स्विस डेटा विषयों वाले संगठनों को यह सुनिश्चित करना चाहिए कि उनका AVV revFADP आवश्यकताओं को भी पूरा करता है।
AVV बनाम DPA को गलत करने के कानूनी परिणाम क्या हैं?
एक वैध, पूर्ण समझौते को लागू करने में विफल रहने से नियंत्रक और प्रोसेसर दोनों नियामक और नागरिक देयता के संपर्क में आते हैं।
GDPR अनुच्छेद 83(4) के तहत, अनुच्छेद 28 (DPA/AVV आवश्यकता) के उल्लंघन के परिणामस्वरूप 10 मिलियन यूरो या वैश्विक वार्षिक कारोबार का 2% तक का प्रशासनिक जुर्माना हो सकता है, जो भी अधिक हो। जर्मनी में पर्यवेक्षी अधिकारियों ने लापता या दोषपूर्ण प्रसंस्करण समझौतों के लिए संगठनों की जांच और जुर्माना लगाने की इच्छा दिखाई है।
जुर्माने के अलावा, परिणामों में शामिल हैं:
- पर्यवेक्षी प्राधिकरण ऑडिट और सुधारात्मक आदेश।
- गैर-अनुपालन प्रोसेसर के खिलाफ संविदात्मक शर्तों को लागू करने में असमर्थता।
- यदि सुरक्षा दायित्वों का दस्तावेजीकरण करने वाले वैध समझौते के बिना डेटा उल्लंघन होता है तो नागरिक देयता जोखिम।
- B2B संदर्भों में प्रतिष्ठा को नुकसान जहां उद्यम ग्राहक विक्रेता की उचित परिश्रम करते हैं।
आपको कैसे पता चलेगा कि आपके व्यवसाय को वास्तव में किस समझौते की आवश्यकता है?
एक बार जब आप संबंध और क्षेत्राधिकार की पहचान कर लेते हैं तो निर्णय सीधा हो जाता है।
चरण 1: निर्धारित करें कि आपका संगठन नियंत्रक है (आप तय करते हैं कि डेटा क्यों और कैसे संसाधित किया जाता है) या प्रोसेसर (आप किसी और के निर्देशों पर डेटा संसाधित करते हैं)।
चरण 2: अपने प्रतिपक्ष की भाषा और क्षेत्राधिकार की पहचान करें। यदि वे DACH क्षेत्र में हैं, तो एक AVV की अपेक्षा करें। यदि वे कहीं और हैं, तो एक DPA की अपेक्षा करें।
चरण 3: सत्यापित करें कि आपको जो भी दस्तावेज़ प्राप्त होता है उसमें अनुच्छेद 28(3) GDPR के तहत सभी दस अनिवार्य तत्व शामिल हैं। [1]
चरण 4: यदि आपके संगठन को कुकीज़ और ट्रैकिंग तकनीकों के लिए उपयोगकर्ता सहमति का प्रबंधन करने की भी आवश्यकता है, तो Biscotti CMP जैसा एक सहमति प्रबंधन प्लेटफ़ॉर्म GDPR अनुपालन की उस परत को संबोधित करता है, लेकिन यह विधिवत निष्पादित AVV या DPA के बजाय, उसके साथ संचालित होता है।
निर्णय नियम: यदि आप किसी अन्य संगठन की ओर से व्यक्तिगत डेटा संसाधित करते हैं, तो आपको एक DPA या AVV की आवश्यकता है, भले ही व्यावसायिक रूप से संबंध को क्या कहा जाता है। यदि कोई अन्य संगठन आपकी ओर से डेटा संसाधित करता है, तो आप यह सुनिश्चित करने के लिए जिम्मेदार हैं कि प्रसंस्करण शुरू होने से पहले वह समझौता मौजूद हो।
अक्सर पूछे जाने वाले प्रश्न
प्रश्न: क्या AVV जर्मनी के बाहर कानूनी रूप से वैध है? एक AVV कानूनी रूप से कहीं भी वैध है जहां GDPR लागू होता है, बशर्ते यह अनुच्छेद 28(3) सामग्री आवश्यकताओं को पूरा करता हो। जर्मन शब्दावली अन्य यूरोपीय संघ के क्षेत्राधिकारों में इसकी प्रवर्तनीयता को सीमित नहीं करती है।
प्रश्न: क्या DPA पर दोनों पक्षों द्वारा हस्ताक्षर किए जाने चाहिए? हाँ। GDPR अनुच्छेद 28(9) के लिए समझौते को लिखित रूप में होना आवश्यक है, जिसमें इलेक्ट्रॉनिक रूप भी शामिल है। नियंत्रक और प्रोसेसर दोनों इसके नियमों से बंधे होने चाहिए।
प्रश्न: क्या किसी विक्रेता का ऑनलाइन क्लिक-थ्रू DPA GDPR आवश्यकताओं को पूरा कर सकता है? हाँ, यदि सामग्री अनुच्छेद 28(3) आवश्यकताओं को पूरा करती है। कई प्रमुख क्लाउड प्रदाता अनुपालन क्लिक-थ्रू DPAs प्रदान करते हैं जिनकी पर्यवेक्षी अधिकारियों द्वारा समीक्षा की गई है।
प्रश्न: उप-प्रोसेसर क्या है, और DPA या AVV में यह क्यों मायने रखता है? एक उप-प्रोसेसर एक तीसरा पक्ष है जिसे प्रोसेसर द्वारा प्रसंस्करण गतिविधियों को पूरा करने के लिए नियुक्त किया जाता है। DPA या AVV को उन शर्तों को निर्दिष्ट करना चाहिए जिनके तहत उप-प्रोसेसरों को नियुक्त किया जा सकता है, जिसमें आपत्ति करने का नियंत्रक का अधिकार भी शामिल है। [1]
प्रश्न: क्या मुझे हर बार जब कोई प्रोसेसर अपनी उप-प्रोसेसर सूची को अपडेट करता है तो एक नए AVV या DPA की आवश्यकता होती है? जरूरी नहीं। कई समझौतों में उप-प्रोसेसर परिवर्तनों के लिए एक सामान्य प्राधिकरण शामिल होता है, बशर्ते प्रोसेसर नियंत्रक को सूचित करे और नियंत्रक एक निर्दिष्ट अवधि के भीतर आपत्ति करने का अधिकार रखता हो।
प्रश्न: क्या DPA यूरोपीय संघ के बाहर डेटा स्थानांतरण को कवर करता है? एक DPA प्रसंस्करण संबंध को नियंत्रित करता है लेकिन अपने आप में सीमा पार डेटा स्थानांतरण को अधिकृत नहीं करता है। तीसरे देशों में स्थानांतरण के लिए अलग स्थानांतरण तंत्र (मानक संविदात्मक खंड, पर्याप्तता निर्णय) की आवश्यकता होती है।
प्रश्न: DPA या AVV को कब तक बनाए रखना चाहिए? प्रसंस्करण संबंध की अवधि के लिए और उसके बाद एक उचित अवधि के लिए समझौते को बनाए रखें, आमतौर पर कम से कम तीन से पांच साल, ताकि पर्यवेक्षी प्राधिकरण की जांच की स्थिति में अनुपालन प्रदर्शित किया जा सके।
प्रश्न: DPA और DPIA के बीच क्या अंतर है? एक DPA (डेटा प्रोसेसिंग समझौता) नियंत्रक और प्रोसेसर के बीच एक अनुबंध है। एक DPIA (डेटा संरक्षण प्रभाव आकलन) उच्च जोखिम वाली प्रसंस्करण गतिविधियों के लिए आवश्यक एक आंतरिक जोखिम आकलन है। वे विभिन्न उद्देश्यों की पूर्ति करते हैं और न तो एक दूसरे का स्थान लेता है।
प्रश्न: क्या एक फ्रीलांसर या छोटी एजेंसी को AVV या DPA पर हस्ताक्षर करने की आवश्यकता हो सकती है? हाँ। दायित्व प्रोसेसर के आकार की परवाह किए बिना लागू होता है। क्लाइंट ग्राहक डेटा को संभालने वाला एक फ्रीलांस डेवलपर एक प्रोसेसर है और उसे प्रत्येक क्लाइंट नियंत्रक के साथ एक DPA या AVV पर हस्ताक्षर करना होगा।
प्रश्न: क्या Biscotti CMP DPA या AVV की आवश्यकता को प्रतिस्थापित करता है? नहीं। Biscotti CMP एक सहमति प्रबंधन प्लेटफ़ॉर्म है जो कुकीज़ और ट्रैकिंग के लिए उपयोगकर्ता सहमति का प्रबंधन करने में मदद करता है, जो एक अलग GDPR अनुपालन आवश्यकता है। व्यक्तिगत डेटा से जुड़े किसी भी प्रोसेसर संबंध के लिए एक DPA या AVV अभी भी आवश्यक है।
निष्कर्ष
AVV बनाम DPA प्रश्न जल्दी हल हो जाता है जब आप यह पहचान लेते हैं कि दोनों शब्द GDPR अनुच्छेद 28 के तहत एक ही कानूनी रूप से आवश्यक उपकरण का वर्णन करते हैं। वास्तविक चुनौती उनके बीच चयन करना नहीं है, यह सुनिश्चित करना है कि जो भी दस्तावेज़ आपके प्रोसेसर संबंधों को नियंत्रित करता है उसमें प्रत्येक अनिवार्य खंड शामिल है, विधिवत निष्पादित किया गया है, और प्रसंस्करण गतिविधियों के विकसित होने पर अद्यतन रखा जाता है।
कार्रवाई योग्य अगले कदम:
- सभी वर्तमान विक्रेता संबंधों का ऑडिट करें ताकि यह पुष्टि हो सके कि आपकी ओर से व्यक्तिगत डेटा को संभालने वाले प्रत्येक प्रोसेसर के लिए एक वैध DPA या AVV मौजूद है।
- GDPR के अनुच्छेद 28(3) के दस अनिवार्य तत्वों के खिलाफ मौजूदा समझौतों की समीक्षा करें और किसी भी कमी के लिए संशोधन का अनुरोध करें। [1]
- यदि स्विट्जरलैंड में काम कर रहे हैं, तो सत्यापित करें कि समझौते GDPR आधारभूत के अलावा revFADP आवश्यकताओं को भी पूरा करते हैं।
- नए प्रोसेसर को ऑनबोर्ड करने के लिए एक आंतरिक प्रक्रिया स्थापित करें, समझौते पर हस्ताक्षर होने से पहले कोई प्रसंस्करण शुरू नहीं होना चाहिए।
- अपनी वेबसाइट या एप्लिकेशन पर सहमति प्रबंधन और कुकी अनुपालन के लिए, अपने व्यापक GDPR अनुपालन ढांचे के हिस्से के रूप में Biscotti CMP का मूल्यांकन करें।
डेटा संरक्षण अनुपालन एक बार का प्रोजेक्ट नहीं है। जब प्रसंस्करण बदलता है, जब उप-प्रोसेसर जोड़े जाते हैं, और जब नियामक मार्गदर्शन विकसित होता है तो समझौतों की समीक्षा करने की आवश्यकता होती है। अपने अनुपालन कार्यक्रम में उस समीक्षा ताल को बनाना नियामक जोखिम के खिलाफ सबसे व्यावहारिक सुरक्षा उपाय है।
संदर्भ
[1] डेटा प्रोसेसिंग समझौता - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai