त्वरित उत्तर: एक AVV (Auftragsverarbeitungsvertrag) GDPR अनुच्छेद 28 के तहत एक डेटा नियंत्रक और एक डेटा प्रोसेसर के बीच एक कानूनी रूप से अनिवार्य अनुबंध है। कोई भी संगठन जो किसी अन्य पक्ष की ओर से व्यक्तिगत डेटा संसाधित करता है, उसके पास एक होना चाहिए। AVV के बिना काम करने से दोनों पक्षों को €20 मिलियन या वैश्विक वार्षिक कारोबार का 4% तक का जुर्माना लग सकता है, जो भी अधिक हो।
मुख्य बातें
- एक AVV डेटा प्रोसेसिंग एग्रीमेंट (DPA) के लिए जर्मन शब्द है, जिसकी आवश्यकता GDPR अनुच्छेद 28 के तहत तब होती है जब कोई प्रोसेसर नियंत्रक के लिए व्यक्तिगत डेटा को संभालता है।
- समझौते में विषय वस्तु, उद्देश्य, अवधि, डेटा प्रकार, तकनीकी और संगठनात्मक उपाय (TOMs), और उप-प्रोसेसर नियम निर्दिष्ट होने चाहिए।
- एक वैध AVV न होने पर नियामक जुर्माना लग सकता है, भले ही डेटा उल्लंघन हुआ हो या नहीं।
- छोटे व्यवसाय छूट नहीं हैं: क्लाउड होस्टिंग, पेरोल सॉफ्टवेयर, और ईमेल मार्केटिंग टूल सभी आमतौर पर AVV आवश्यकता को ट्रिगर करते हैं।
- एक AVV दो पक्षों के बीच एक अनुबंध है, न कि एक गोपनीयता सूचना, और यह स्वयं एन्क्रिप्शन जैसे सुरक्षा उपायों को लागू नहीं करता है।
- जब भी उप-प्रोसेसर बदलते हैं, तीसरे देशों में डेटा स्थानांतरण होता है, या प्रसंस्करण गतिविधियों को संशोधित किया जाता है, तो AVV की समीक्षा की जानी चाहिए।
- DACH क्षेत्र (जर्मनी, ऑस्ट्रिया, स्विट्जरलैंड) में, AVV SaaS विक्रेताओं, होस्टिंग प्रदाताओं और ERP प्रणालियों के साथ मानक अभ्यास हैं।
- अनुपालन संगठनों और विक्रेताओं से टेम्पलेट उपलब्ध हैं, लेकिन वास्तविक प्रसंस्करण गतिविधियों को दर्शाने के लिए अनुकूलन आवश्यक है।
डेटा प्रोसेसिंग में AVV का क्या अर्थ है?
AVV का अर्थ है Auftragsverarbeitungsvertrag, एक जर्मन यौगिक शब्द जिसका सीधा अनुवाद अंग्रेजी में "डेटा प्रोसेसिंग एग्रीमेंट" होता है। यह यूरोपीय संघ के सामान्य डेटा संरक्षण विनियमन (GDPR) के अनुच्छेद 28 द्वारा अनिवार्य संविदात्मक उपकरण है जो एक डेटा नियंत्रक और एक डेटा प्रोसेसर के बीच संबंध को नियंत्रित करता है।
यह शब्द जर्मन-भाषी न्यायालयों (जर्मनी, ऑस्ट्रिया और स्विट्जरलैंड) के लिए विशिष्ट है, लेकिन अंतर्निहित कानूनी अवधारणा पूरे यूरोपीय संघ और EEA में सार्वभौमिक रूप से लागू होती है। अंग्रेजी-भाषा के संदर्भों में, उसी दस्तावेज़ को डेटा प्रोसेसिंग एग्रीमेंट (DPA) कहा जाता है। अंतरराष्ट्रीय स्तर पर काम करने वाले संगठनों को यह सुनिश्चित करना चाहिए कि उनके AVV समझ और अनुपालन को सुविधाजनक बनाने के लिए प्रासंगिक भाषाओं में उपलब्ध हों [5]।
AVV कोई गोपनीयता नीति या कुकी सहमति बैनर नहीं है। यह एक बाध्यकारी द्विपक्षीय अनुबंध है जो परिभाषित करता है कि एक प्रोसेसर व्यक्तिगत डेटा को कैसे संभाल सकता है, किन शर्तों के तहत, और किन सुरक्षा उपायों के साथ।
डेटा प्रोसेसर को AVV की आवश्यकता क्यों है?
जब भी कोई डेटा नियंत्रक अपनी ओर से व्यक्तिगत डेटा को संभालने के लिए एक प्रोसेसर को नियुक्त करता है, तो एक AVV अनिवार्य होता है। यह वैकल्पिक मार्गदर्शन नहीं है; यह GDPR अनुच्छेद 28 [1] के तहत एक कठोर कानूनी आवश्यकता है।
सामान्य परिदृश्य जो AVV आवश्यकता को ट्रिगर करते हैं उनमें शामिल हैं:
- क्लाउड होस्टिंग और इन्फ्रास्ट्रक्चर (उदाहरण के लिए, ग्राहक डेटाबेस संग्रहीत करने वाले सर्वर)
- किसी तीसरे पक्ष के HR प्रदाता द्वारा संभाला गया पेरोल प्रसंस्करण
- ईमेल मार्केटिंग प्लेटफॉर्म जो ग्राहक सूचियों को संग्रहीत करते हैं
- SaaS ERP विक्रेता जो व्यवसाय और कर्मचारी डेटा तक पहुँचते हैं
- विश्लेषण और ट्रैकिंग टूल जो आगंतुक व्यवहार डेटा को संसाधित करते हैं
एक AVV के बिना, किसी भी पक्ष के पास प्रसंस्करण संबंध के लिए एक प्रलेखित कानूनी आधार नहीं होता है। पर्यवेक्षी अधिकारी AVV की अनुपस्थिति को एक स्टैंडअलोन अनुपालन उल्लंघन मानते हैं, जो किसी भी डेटा उल्लंघन जांच से अलग है [3]।
क्या AVV DPA के समान है?
हाँ, एक AVV और एक DPA एक ही कानूनी दस्तावेज़ को संदर्भित करते हैं। AVV जर्मन-भाषा का पदनाम है; DPA अधिकांश अन्य यूरोपीय संघ के सदस्य राज्यों और अंतरराष्ट्रीय अनुपालन संदर्भों में उपयोग किया जाने वाला अंग्रेजी समकक्ष है [5]।
दोनों दस्तावेज़ GDPR अनुच्छेद 28 की आवश्यकताओं को पूरा करते हैं और इसमें समान अनिवार्य तत्व होने चाहिए। यदि एक जर्मन कंपनी US-आधारित SaaS विक्रेता के साथ DPA पर हस्ताक्षर करती है, तो वह DPA GDPR अनुपालन उद्देश्यों के लिए AVV के रूप में कार्य करता है, बशर्ते कि वह सभी महत्वपूर्ण आवश्यकताओं को पूरा करता हो।
याद रखने योग्य मुख्य अंतर: दस्तावेज़ पर लेबल उसकी सामग्री से कम मायने रखता है। "डेटा प्रोसेसिंग एडेंडम," "प्रोसेसिंग एग्रीमेंट," या "AVV" शीर्षक वाला दस्तावेज़ कानूनी रूप से तब तक समान है जब तक इसमें सभी आवश्यक तत्व शामिल हैं।
GDPR अनुपालन के लिए किसे AVV की आवश्यकता है?
कोई भी संगठन जो एक डेटा नियंत्रक है और एक तृतीय-पक्ष सेवा का उपयोग करता है जो उसकी ओर से व्यक्तिगत डेटा संसाधित करता है, उसे एक AVV की आवश्यकता होती है। यह सभी उद्योगों में सभी आकार के व्यवसायों पर लागू होता है [1]।
नियंत्रक जिन्हें आमतौर पर AVV की आवश्यकता होती है:
| परिदृश्य | नियंत्रक | प्रोसेसर |
|---|---|---|
| कंपनी क्लाउड CRM का उपयोग करती है | व्यवसाय | CRM विक्रेता |
| वेबसाइट विश्लेषण का उपयोग करती है | वेबसाइट मालिक | विश्लेषण प्रदाता |
| HR पेरोल आउटसोर्स करता है | नियोक्ता | पेरोल ब्यूरो |
| ऑनलाइन दुकान ईमेल टूल का उपयोग करती है | खुदरा विक्रेता | ईमेल प्लेटफॉर्म |
| एजेंसी ग्राहक विज्ञापन प्रबंधित करती है | एजेंसी | विज्ञापन तकनीक प्लेटफॉर्म |
कौन प्रोसेसर नहीं है: एक पक्ष जो स्वतंत्र रूप से प्रसंस्करण के उद्देश्यों और साधनों को निर्धारित करता है, वह अपने आप में एक नियंत्रक है, प्रोसेसर नहीं। संयुक्त नियंत्रकों को GDPR अनुच्छेद 26 के तहत एक अलग प्रकार के समझौते की आवश्यकता होती है।
छोटे व्यवसाय अक्सर इस आवश्यकता को अनदेखा कर देते हैं, यह मानते हुए कि यह केवल बड़े उद्यमों पर लागू होता है। यह धारणा गलत है। कोई भी वेबसाइट मालिक जो तृतीय-पक्ष होस्टिंग प्रदाता, न्यूज़लेटर सेवा, या बुकिंग सिस्टम का उपयोग करता है, उसे संभवतः कम से कम एक AVV की आवश्यकता होती है [5]।
AVV में क्या शामिल होना चाहिए?
एक अनुपालन AVV में विशिष्ट अनिवार्य तत्व होने चाहिए। एक भी गायब होने से GDPR जांच के तहत समझौता अपर्याप्त हो सकता है [2]।
अनिवार्य घटक:
- प्रसंस्करण का विषय वस्तु और अवधि
- प्रसंस्करण की प्रकृति और उद्देश्य
- व्यक्तिगत डेटा का प्रकार और डेटा विषयों की श्रेणियां
- नियंत्रक के दायित्व और अधिकार
- प्रोसेसर द्वारा लागू किए गए तकनीकी और संगठनात्मक उपाय (TOMs)
- उप-प्रोसेसरों की नियुक्ति को नियंत्रित करने वाले नियम
- डेटा विषय अधिकारों के अनुरोधों के लिए प्रक्रियाएं
- डेटा उल्लंघन अधिसूचना दायित्व
- अनुबंध समाप्ति पर डेटा की वापसी या विलोपन
- नियंत्रक के लिए ऑडिट अधिकार
TOMs अनुभाग विशेष रूप से महत्वपूर्ण है। जबकि AVV स्वयं सुरक्षा उपायों को लागू नहीं करता है, इसे यह दस्तावेज़ करना चाहिए कि प्रोसेसर के पास कौन से उपाय हैं, जैसे एन्क्रिप्शन मानक, एक्सेस नियंत्रण और छद्मनामीकरण प्रथाएं [1]।
यदि आपके पास AVV नहीं है तो क्या होगा?
एक वैध AVV के बिना काम करने से नियंत्रक और प्रोसेसर दोनों को महत्वपूर्ण नियामक दंड का सामना करना पड़ता है। GDPR अनुच्छेद 83(4) के तहत, अनुच्छेद 28 के उल्लंघनों के लिए जुर्माना €10 मिलियन या वैश्विक वार्षिक कारोबार का 2% तक पहुंच सकता है, और अधिक गंभीर उल्लंघनों के लिए अनुच्छेद 83(5) के तहत, €20 मिलियन या वैश्विक वार्षिक कारोबार का 4% तक, जो भी अधिक हो [3]।
महत्वपूर्ण रूप से, ये जुर्माना इस बात की परवाह किए बिना लगाया जा सकता है कि डेटा उल्लंघन हुआ है या नहीं। एक पर्यवेक्षी प्राधिकरण जो एक नियमित ऑडिट कर रहा है या शिकायत का जवाब दे रहा है, वह AVV की अनुपस्थिति की पहचान कर सकता है और केवल उसी आधार पर जुर्माना लगा सकता है।
अतिरिक्त परिणामों में शामिल हैं:
- प्रतिष्ठा को नुकसान और ग्राहक विश्वास का नुकसान
- नियंत्रक और प्रोसेसर के बीच संविदात्मक दायित्व
- उपचार लंबित प्रसंस्करण गतिविधियों का संभावित निलंबन
AVV बनाम डेटा प्रोसेसिंग एग्रीमेंट: मुख्य अंतर
AVV और DPA अलग-अलग नामों के तहत अनिवार्य रूप से एक ही दस्तावेज़ हैं। हालांकि, अंतरराष्ट्रीय संगठनों के लिए ध्यान देने योग्य व्यावहारिक अंतर हैं।
| आयाम | AVV | DPA |
|---|---|---|
| भाषा | जर्मन | अंग्रेजी (या स्थानीय) |
| क्षेत्राधिकार फोकस | DACH क्षेत्र | यूरोपीय संघ/EEA व्यापक रूप से |
| सामान्य उपयोग संदर्भ | जर्मन-भाषा अनुबंध | अंतर्राष्ट्रीय SaaS समझौते |
| कानूनी आधार | GDPR अनुच्छेद 28 | GDPR अनुच्छेद 28 |
| सामग्री आवश्यकताएँ | समान | समान |
DACH क्षेत्र (जर्मनी, ऑस्ट्रिया, स्विट्जरलैंड) में AVV के आसपास विशेष रूप से मजबूत प्रवर्तन संस्कृति है, जिससे वे होस्टिंग प्रदाताओं, SaaS ERP विक्रेताओं और अन्य सेवा भागीदारों के साथ विक्रेता अनुबंधों में मानक अभ्यास बन गए हैं [1]।
एक AVV की लागत कितनी है?
एक AVV की लागत इस बात पर निर्भर करती है कि इसे कैसे बनाया और समीक्षा की जाती है।
- टेम्पलेट-आधारित AVV: कई विक्रेता अपनी सेवा शर्तों के हिस्से के रूप में अपना AVV प्रदान करते हैं, आमतौर पर बिना किसी अतिरिक्त शुल्क के। NexDeck जैसे संगठन उप-प्रोसेसर सूचियों सहित विस्तृत AVV टेम्पलेट प्रदान करते हैं [4]।
- कानूनी वकील समीक्षा: एक डेटा संरक्षण वकील द्वारा एक कस्टम AVV का मसौदा तैयार करना या उसकी समीक्षा करना आमतौर पर जटिलता और क्षेत्राधिकार के आधार पर €300 और €2,000 के बीच खर्च होता है।
- DPO-सहायता प्राप्त मसौदा: इन-हाउस या बाहरी डेटा संरक्षण अधिकारी (DPO) वाले संगठन अक्सर उस संसाधन का उपयोग DPO प्रतिधारण से परे कोई सीमांत लागत पर AVV का मसौदा तैयार करने के लिए कर सकते हैं।
छोटे व्यवसायों के लिए, सबसे व्यावहारिक दृष्टिकोण एक प्रतिष्ठित टेम्पलेट से शुरू करना और हस्ताक्षर करने से पहले एक योग्य पेशेवर द्वारा इसकी समीक्षा करवाना है।
मैं एक AVV टेम्पलेट कैसे बनाऊं?
एक AVV बनाना उन सभी प्रसंस्करण संबंधों की पहचान करने से शुरू होता है जहां एक तीसरा पक्ष आपकी ओर से व्यक्तिगत डेटा को संभालता है। वहां से, प्रक्रिया इन चरणों का पालन करती है:
- अपने प्रोसेसर की सूची बनाएं: हर विक्रेता, टूल या सेवा की सूची बनाएं जो आपके द्वारा नियंत्रित व्यक्तिगत डेटा तक पहुंचता है।
- AVV प्राप्त करें या मसौदा तैयार करें: कई प्रोसेसर (विशेषकर SaaS विक्रेता) अपना मानक AVV प्रदान करते हैं। ऊपर सूचीबद्ध अनिवार्य तत्वों के खिलाफ इसकी समीक्षा करें।
- TOMs अनुभाग को अनुकूलित करें: सुनिश्चित करें कि तकनीकी और संगठनात्मक उपाय प्रोसेसर की वास्तविक सुरक्षा प्रथाओं को दर्शाते हैं।
- उप-प्रोसेसरों की सूची बनाएं: किसी भी उप-प्रोसेसर की पहचान करने वाला एक अनुबंध शामिल करें जिसका प्रोसेसर उपयोग करता है, साथ ही उनकी भूमिकाएं और स्थान भी।
- डेटा स्थानांतरण तंत्र को परिभाषित करें: यदि डेटा यूरोपीय संघ/EEA के बाहर स्थानांतरित किया जाता है, तो कानूनी स्थानांतरण तंत्र (उदाहरण के लिए, मानक संविदात्मक खंड) निर्दिष्ट करें।
- हस्ताक्षर करें और बनाए रखें: दोनों पक्षों को AVV पर हस्ताक्षर करना चाहिए। अपने डेटा प्रोसेसिंग रिकॉर्ड के साथ एक प्रति बनाए रखें।
अनुपालन-केंद्रित संगठनों के टेम्पलेट एक ठोस संरचनात्मक आधार प्रदान करते हैं, लेकिन हर AVV को विशिष्ट प्रसंस्करण गतिविधि के अनुरूप बनाया जाना चाहिए जिसे वह नियंत्रित करता है [2]।
छोटे व्यवसायों के लिए AVV आवश्यकताएँ
छोटे व्यवसाय AVV आवश्यकता से छूट नहीं हैं। GDPR के अधीन कोई भी संगठन जो तृतीय-पक्ष प्रोसेसर का उपयोग करता है, उसे कंपनी के आकार या कर्मचारी संख्या की परवाह किए बिना एक AVV होना चाहिए [1]।
छोटे व्यवसायों के लिए, व्यावहारिक बोझ जितना लगता है उससे कम है:
- अधिकांश प्रमुख SaaS विक्रेता (ईमेल प्लेटफॉर्म, बुकिंग सिस्टम, विश्लेषण टूल) पहले से ही अपनी सेवा शर्तों के हिस्से के रूप में एक मानक AVV या DPA प्रदान करते हैं। इन शर्तों को स्वीकार करना आमतौर पर एक वैध समझौता होता है।
- मुख्य कार्य यह सुनिश्चित करना है कि आपने वास्तव में उन शर्तों की समीक्षा की है और उन्हें स्वीकार किया है, बजाय यह मानने के कि वे मौजूद हैं।
- अपने प्रोसेसर और संबंधित AVV का एक साधारण रजिस्टर बनाए रखें।
सामान्य गलती: छोटे व्यवसाय के मालिक अक्सर यह मान लेते हैं कि क्योंकि एक विक्रेता बड़ा और प्रतिष्ठित है, कानूनी कागजी कार्रवाई स्वचालित रूप से संभाली जाती है। एक AVV की स्वीकृति एक सक्रिय, प्रलेखित कदम होना चाहिए।
AVV ऑडिट ट्रेल आवश्यकताएँ
एक AVV में नियंत्रक को प्रोसेसर के अनुपालन का ऑडिट करने का अधिकार देने वाले प्रावधान शामिल होने चाहिए। यह ऑडिट अधिकार GDPR अनुच्छेद 28(3)(h) [2] के तहत एक अनिवार्य तत्व है।
व्यवहार में, ऑडिट ट्रेल आवश्यकताओं का अर्थ है:
- प्रोसेसर को GDPR अनुच्छेद 30(2) के तहत प्रसंस्करण गतिविधियों के रिकॉर्ड बनाए रखने होंगे।
- नियंत्रक को ऑडिट करने या अनुपालन को सत्यापित करने के लिए तृतीय-पक्ष ऑडिटरों को नियुक्त करने का अधिकार है।
- कई प्रोसेसर ISO 27001 या SOC 2 जैसे तृतीय-पक्ष प्रमाणपत्रों के माध्यम से इस आवश्यकता को पूरा करते हैं, जो कई मामलों में ऑन-साइट ऑडिट के लिए प्रतिस्थापित कर सकते हैं।
AVV ISO 27001 अनुलग्नक A नियंत्रण A.5.19 से A.5.22 तक सीधे प्रासंगिक है, जो आपूर्तिकर्ता संबंधों और आपूर्ति श्रृंखलाओं में सूचना सुरक्षा को नियंत्रित करते हैं [2]। एक औपचारिक सूचना सुरक्षा प्रबंधन प्रणाली (ISMS) वाले संगठनों को यह सुनिश्चित करना चाहिए कि उनके AVV उनकी आपूर्तिकर्ता प्रबंधन प्रक्रियाओं में एकीकृत हैं।
अंतर्राष्ट्रीय डेटा स्थानांतरण के लिए AVV
जब एक प्रोसेसर यूरोपीय संघ/EEA के बाहर स्थित होता है, तो AVV को उस तीसरे देश में व्यक्तिगत डेटा स्थानांतरित करने के लिए कानूनी तंत्र को संबोधित करना चाहिए। मानक संविदात्मक खंड (SCCs) सबसे अधिक उपयोग किए जाने वाले तंत्र हैं और आमतौर पर AVV के अनुबंध के रूप में शामिल किए जाते हैं [2]।
अंतर्राष्ट्रीय AVV के लिए मुख्य विचार:
- पहचानें कि क्या प्रोसेसर के देश में यूरोपीय संघ का पर्याप्तता निर्णय है।
- यदि नहीं, तो उपयुक्त SCCs (संबंध के आधार पर नियंत्रक-से-प्रोसेसर या नियंत्रक-से-नियंत्रक) को शामिल करें।
- जहां आवश्यक हो, एक स्थानांतरण प्रभाव मूल्यांकन (TIA) करें।
- सुनिश्चित करें कि AVV दोनों अनुबंधित पक्षों की भाषाओं में उपलब्ध है [5]।
आपको अपना AVV कितनी बार अपडेट करना चाहिए?
जब भी प्रसंस्करण संबंध में महत्वपूर्ण परिवर्तन होते हैं, तो एक AVV की समीक्षा और अद्यतन किया जाना चाहिए। कोई निश्चित वैधानिक समीक्षा अंतराल नहीं है, लेकिन सर्वोत्तम अभ्यास कम से कम वार्षिक समीक्षा की ओर इशारा करता है [2]।
तत्काल AVV अपडेट के लिए ट्रिगर:
- प्रोसेसर एक नया उप-प्रोसेसर नियुक्त करता है या एक मौजूदा को हटाता है
- प्रसंस्करण गतिविधियों की प्रकृति, उद्देश्य या दायरे में परिवर्तन होता है
- डेटा एक नए तीसरे देश में स्थानांतरित किया जाता है
- प्रोसेसर के TOMs को महत्वपूर्ण रूप से अद्यतन किया जाता है
- लागू कानून या नियामक मार्गदर्शन में परिवर्तन होता है
AVV की सक्रिय समीक्षा एक मुख्य अनुपालन अनुशासन है। पुराने समझौते जो अब वास्तविक प्रसंस्करण गतिविधियों को प्रतिबिंबित नहीं करते हैं, वही नियामक जोखिम पैदा करते हैं जो कोई AVV न होने पर होता है।
AVV स्थापित करते समय सामान्य गलतियाँ
यहां तक कि जो संगठन AVV आवश्यकता को समझते हैं, वे भी अक्सर कार्यान्वयन में त्रुटियां करते हैं।
गलती 1: विक्रेता के बॉयलरप्लेट को स्वचालित रूप से पर्याप्त मानना। एक विक्रेता-प्रदत्त AVV टेम्पलेट आपकी विशिष्ट प्रसंस्करण गतिविधियों को कवर नहीं कर सकता है। हमेशा अनिवार्य तत्वों के खिलाफ इसकी समीक्षा करें।
गलती 2: TOMs को छोड़ना या अस्पष्ट रूप से वर्णित करना। पर्यवेक्षी अधिकारी TOMs अनुभाग की बारीकी से जांच करते हैं। "उपयुक्त सुरक्षा उपाय" जैसे अस्पष्ट भाषा बिना विशिष्टताओं के अपर्याप्त है।
गलती 3: उप-प्रोसेसरों को भूल जाना। AVV में उप-प्रोसेसरों की सूची होनी चाहिए। जब एक प्रोसेसर अपने उप-प्रोसेसरों को बदलता है तो इस सूची को अपडेट करने में विफल होना एक सामान्य अनुपालन अंतर है [2]।
गलती 4: हस्ताक्षरित प्रतियों को बनाए न रखना। एक AVV जिसे ऑडिट के दौरान प्रस्तुत नहीं किया जा सकता है, कोई कानूनी सुरक्षा प्रदान नहीं करता है। संगठित रिकॉर्ड बनाए रखें।
गलती 5: AVV को गोपनीयता नीति के साथ भ्रमित करना। ये पूरी तरह से अलग दस्तावेज़ हैं जो अलग-अलग उद्देश्यों की पूर्ति करते हैं। एक गोपनीयता नीति डेटा विषयों को सूचित करती है; एक AVV नियंत्रक-प्रोसेसर संबंध को नियंत्रित करता है [1]।
निष्कर्ष
AVV के लिए अंतिम मार्गदर्शिका: हर डेटा प्रोसेसर को इसकी आवश्यकता क्यों है, अंततः एक सीधी अनुपालन वास्तविकता पर आती है: यदि व्यक्तिगत डेटा एक नियंत्रक और एक प्रोसेसर के बीच हाथ बदलता है, तो उस प्रसंस्करण के शुरू होने से पहले एक वैध AVV मौजूद होना चाहिए। कोई आकार छूट नहीं है, कोई उद्योग छूट नहीं है, और GDPR के तहत पहले से ही काम कर रहे संगठनों के लिए कोई अनुग्रह अवधि नहीं है।
2026 के लिए कार्रवाई योग्य अगले कदम:
- हर तीसरे पक्ष के विक्रेता का ऑडिट करें जो आपके द्वारा नियंत्रित व्यक्तिगत डेटा तक पहुंचता है और पुष्टि करें कि प्रत्येक के लिए एक AVV मौजूद है।
- अनिवार्य तत्वों की चेकलिस्ट के खिलाफ मौजूदा AVV की समीक्षा करें, TOMs और उप-प्रोसेसर सूचियों पर विशेष ध्यान दें।
- वार्षिक AVV समीक्षाओं और प्रसंस्करण गतिविधियों में परिवर्तन होने पर ट्रिगर-आधारित अपडेट के लिए एक कैलेंडर अनुस्मारक स्थापित करें।
- अपनी AVV के साथ सहमति और कुकी अनुपालन का प्रबंधन करने वाले संगठनों के लिए, एक पूर्ण और रक्षात्मक अनुपालन स्थिति बनाए रखने के लिए अपने डेटा प्रोसेसिंग दस्तावेज़ों को Biscotti CMP जैसे अनुपालन सहमति प्रबंधन प्लेटफॉर्म के साथ जोड़ने पर विचार करें।
- जटिल प्रसंस्करण गतिविधियों या अंतर्राष्ट्रीय डेटा स्थानांतरण से जुड़े किसी भी AVV के लिए एक योग्य डेटा संरक्षण पेशेवर से परामर्श करें।
AVV को सही करने की लागत न्यूनतम है। उन्हें गलत करने की लागत नहीं है।
अक्सर पूछे जाने वाले प्रश्न
सरल शब्दों में AVV क्या है? एक AVV एक कंपनी (नियंत्रक) और एक कंपनी (प्रोसेसर) के बीच एक लिखित अनुबंध है जो उसकी ओर से व्यक्तिगत डेटा को संसाधित करती है। यह निर्दिष्ट करता है कि कौन सा डेटा संसाधित किया जाता है, क्यों, इसे कैसे संरक्षित किया जाता है, और दोनों पक्षों को क्या करने के लिए बाध्य किया जाता है।
क्या हर विक्रेता संबंध के लिए AVV की आवश्यकता होती है? केवल उन विक्रेताओं के लिए जो आपकी ओर से व्यक्तिगत डेटा संसाधित करते हैं। एक विक्रेता जो केवल एक उपकरण प्रदान करता है जिसका उपयोग आप स्वयं डेटा संसाधित करने के लिए करते हैं (डेटा तक पहुंच के बिना) आमतौर पर एक प्रोसेसर नहीं होता है और उसे AVV की आवश्यकता नहीं होती है।
क्या एक मौखिक समझौता AVV का स्थान ले सकता है? नहीं। GDPR अनुच्छेद 28 स्पष्ट रूप से प्रसंस्करण समझौते को लिखित रूप में, इलेक्ट्रॉनिक रूप सहित, होने की आवश्यकता है।
क्या एक AVV GDPR जुर्माने से बचाता है? एक वैध AVV होने से नियामक जोखिम काफी कम हो जाता है, लेकिन यह पूर्ण प्रतिरक्षा प्रदान नहीं करता है। अन्य उल्लंघनों के लिए अभी भी जुर्माना लगाया जा सकता है। एक AVV विशेष रूप से अनुच्छेद 28 के अनुपालन को प्रदर्शित करता है।
एक उप-प्रोसेसर और एक प्रोसेसर के बीच क्या अंतर है? एक प्रोसेसर सीधे नियंत्रक के लिए डेटा को संभालता है। एक उप-प्रोसेसर को प्रोसेसर द्वारा उस प्रसंस्करण में सहायता के लिए नियुक्त किया जाता है। नियंत्रक को उप-प्रोसेसरों के बारे में सूचित किया जाना चाहिए, और प्रोसेसर को उप-प्रोसेसरों को समान दायित्वों के लिए बाध्य करना चाहिए।
एक AVV को कितने समय तक बनाए रखना चाहिए? GDPR में AVV के लिए कोई स्पष्ट प्रतिधारण अवधि निर्दिष्ट नहीं है, लेकिन उन्हें प्रसंस्करण संबंध की अवधि के लिए और उसके बाद एक उचित अवधि के लिए बनाए रखा जाना चाहिए, आमतौर पर प्रासंगिक क्षेत्राधिकार में नियामक कार्रवाई के लिए सीमा के कानून के साथ संरेखित।
क्या एक अमेरिकी कंपनी के साथ हस्ताक्षरित DPA एक AVV के रूप में गिना जाता है? हाँ, बशर्ते इसमें GDPR अनुच्छेद 28 द्वारा आवश्यक सभी तत्व शामिल हों और इसमें मानक संविदात्मक खंड जैसे उपयुक्त स्थानांतरण तंत्र शामिल हों।
क्या प्रोसेसर अपने स्वयं के उद्देश्यों के लिए व्यक्तिगत डेटा का उपयोग कर सकता है? नहीं। एक प्रोसेसर केवल नियंत्रक के प्रलेखित निर्देशों पर व्यक्तिगत डेटा संसाधित कर सकता है। प्रोसेसर के अपने उद्देश्यों के लिए प्रसंस्करण उस पक्ष को एक नियंत्रक के रूप में पुनर्वर्गीकृत करेगा, जिसमें अलग-अलग कानूनी दायित्व होंगे।
AVV के संदर्भ में TOM क्या है? TOM का अर्थ तकनीकी और संगठनात्मक उपाय है। ये वे सुरक्षा प्रथाएं हैं जिन्हें एक प्रोसेसर व्यक्तिगत डेटा की सुरक्षा के लिए लागू करता है, जैसे एन्क्रिप्शन, एक्सेस नियंत्रण और छद्मनामीकरण। AVV को इन उपायों को दस्तावेज़ करना चाहिए।
क्या AVV को नोटरीकृत करने की आवश्यकता है? नहीं। GDPR को नोटरीकरण की आवश्यकता नहीं है। एक हस्ताक्षरित लिखित समझौता (इलेक्ट्रॉनिक हस्ताक्षर सहित) पर्याप्त है।
संदर्भ
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai