जलद उत्तर: AVV (Auftragsverarbeitungsvertrag) आणि DPA (Data Processing Agreement) GDPR अनुच्छेद 28 अंतर्गत समान कायदेशीर आवश्यक करार दर्शवतात, जर्मन शब्द AVV DACH-क्षेत्रातील न्यायालयांमध्ये वापरला जातो, तर DPA बहुतेक इतर EU सदस्य राज्यांमध्ये आणि आंतरराष्ट्रीय स्तरावर वापरला जातो. दोन्ही एक डेटा प्रोसेसर कसा नियंत्रकाच्या वतीने वैयक्तिक डेटा हाताळतो हे नियंत्रित करतात. चुकीचा फ्रेमिंग निवडणे किंवा करार पूर्णपणे वगळणे आपल्या संस्थेला महत्त्वपूर्ण नियामक दंडांना सामोरे जाऊ शकते.
मुख्य मुद्दे
- AVV हा Auftragsverarbeitungsvertrag साठी जर्मन संक्षेप आहे; DPA म्हणजे डेटा प्रोसेसिंग करार, ते GDPR अंतर्गत कार्यात्मकदृष्ट्या समान साधन आहेत.
- जेव्हा एक नियंत्रक एक प्रोसेसरला वैयक्तिक डेटा हाताळण्यासाठी गुंतवतो, तेव्हा अनुच्छेद 28 GDPR अंतर्गत दोन्ही करार अनिवार्य आहेत.
- शब्दसंग्रहातील फरक प्रादेशिक आहे: AVV जर्मनी, ऑस्ट्रिया आणि स्वित्झर्लंडमध्ये मानक आहे; DPA इंग्रजी बोलणाऱ्या आणि इतर बहुतेक EU संदर्भात वापरला जातो.
- एक वैध करार विषय, प्रोसेसिंग कालावधी, डेटा श्रेणी, डेटा विषयांचे हक्क, उप-प्रोसेसर अटी, सुरक्षा उपाय आणि ऑडिट तरतुदींचा समावेश करावा लागतो. [1]
- योग्य करार नसल्यास निरीक्षण प्राधिकरणाच्या तपासण्या, दंड आणि करारातील वाद निर्माण होऊ शकतात.
- अंमलबजावणीचा खर्च शून्य (विक्रेत्याच्या मानक टेम्पलेटचा वापर करून) पासून हजारो युरोपर्यंत असतो, कस्टम कायदेशीर मसुदा तयार करण्यासाठी.
- DACH आणि नॉन-DACH बाजारांमध्ये कार्यरत असलेल्या काही व्यवसायांनी स्पष्टतेसाठी एकाच करारात दोन्ही शब्दांचा वैधपणे वापर केला आहे.
- Biscotti CMP सारखी एक सहमती व्यवस्थापन प्लॅटफॉर्म आपल्या व्यापक GDPR अनुपालन स्थितीला समर्थन देऊ शकते, परंतु योग्यरित्या कार्यान्वित AVV किंवा DPA चा पर्याय नाही.
डेटा संरक्षणात AVV म्हणजे काय, आणि हे DPA सारखेच आहे का?
AVV म्हणजे Auftragsverarbeitungsvertrag, डेटा प्रोसेसिंग करारासाठी जर्मन भाषेतील शब्द. व्यावहारिक कायदेशीर दृष्टिकोनातून, AVV आणि DPA हे समान दस्तऐवज आहेत, दोन्ही डेटा नियंत्रक आणि डेटा प्रोसेसर यांच्यातील लेखी करारासाठी GDPR च्या अनुच्छेद 28 मध्ये दिलेल्या आवश्यकतेची पूर्तता करतात. [1]
फरक हा केवळ भाषिक आणि न्यायालयीन आहे. जर्मन, ऑस्ट्रियन आणि स्विस डेटा संरक्षण व्यावसायिक AVV ला करार, गोपनीयता धोरणे आणि नियामक पत्रव्यवहारात मानक शब्द म्हणून वापरतात. इंग्रजी बोलणारे व्यावसायिक आणि इतर बहुतेक EU सदस्य राज्ये DPA वापरतात. जेव्हा एक जर्मन SaaS विक्रेता तुम्हाला "AVV" ऑफर करतो, तेव्हा ते तुम्हाला तेच कायदेशीर साधन देत आहेत जे यूके-आधारित विक्रेता "DPA" म्हणेल.
मुख्य स्पष्टता: कोणताही शब्द वेगवेगळा कायदेशीर मानक दर्शवत नाही. दोन्हीला वैध असण्यासाठी समान GDPR अनुच्छेद 28(3) सामग्री आवश्यकतांची पूर्तता करावी लागते. [1]
AVV आणि DPA यामध्ये काय फरक आहे?
AVV आणि DPA यामध्ये फरक शब्दसंग्रहात्मक आहे, सामग्रीात्मक नाही. दोन्ही डेटा नियंत्रक (प्रक्रियेसाठी कारणे आणि साधने ठरवणारी संस्था) आणि डेटा प्रोसेसर (नियंत्रकाच्या वतीने डेटा प्रोसेस करणारी संस्था) यांच्यात GDPR अनुच्छेद 28 द्वारे अनिवार्य कराराचे वर्णन करतात.
जिथे खरे फरक येऊ शकतात ते म्हणजे मसुदा शैली आणि स्थानिक नियामक मार्गदर्शन:
- जर्मन निरीक्षण प्राधिकरणांनी (Datenschutzbehörden) AVV दस्तऐवजांमध्ये समाविष्ट केलेल्या विशिष्ट टेम्पलेट क्लॉजेस आणि मार्गदर्शक नोट्स प्रकाशित केल्या आहेत.
- यूके किंवा आयरिश न्यायालयांसाठी मसुदा केलेले इंग्रजी DPAs राष्ट्रीय अंमलबजावणी कायद्यासोबत GDPR संदर्भित करू शकतात.
- स्विस AVVs ने GDPR च्या काही बाबतीत भिन्न असलेल्या सुधारित फेडरल डेटा संरक्षण कायद्यास (revFADP) देखील लक्षात घेणे आवश्यक आहे.
तळटीप: जर एक विक्रेता तुम्हाला AVV पाठवतो आणि तुम्हाला DPA आवश्यक असेल, तर तुम्हाला आवश्यक असलेले तुम्हाला मिळाले आहे, दिलेल्या सामग्रीने अनुच्छेद 28(3) आवश्यकतांची पूर्तता केली तरी. [1]
तुम्हाला AVV की DPA कधी आवश्यक आहे?
तुमच्या संस्थेने वैयक्तिक डेटा तिसऱ्या पक्षाच्या सेवा प्रदात्यासोबत सामायिक केल्यास तुम्हाला या करारांपैकी एकाची आवश्यकता आहे, जो त्या डेटा तुमच्या सूचनेनुसार प्रोसेस करतो. ट्रिगर हा नियंत्रक-प्रोसेसर संबंध आहे, कराराची भाषा नाही.
AVV वापरा जेव्हा:
- तुमचा समोरचा पक्ष जर्मनी, ऑस्ट्रिया किंवा स्वित्झर्लंडमध्ये आहे आणि त्यांचा मानक करार त्या शब्दसंग्रहाचा वापर करतो.
- तुमची स्वतःची संस्था जर्मन डेटा संरक्षण कायद्यानुसार कार्यरत आहे आणि तुमचे अंतर्गत टेम्पलेट BfDI किंवा राज्य DPA मार्गदर्शनाचे अनुसरण करतात.
DPA वापरा जेव्हा:
- तुमचा समोरचा पक्ष इंग्रजी बोलणाऱ्या न्यायालयात कार्यरत आहे किंवा कराराची भाषा म्हणून इंग्रजी वापरतो.
- तुम्ही यूएस-आधारित क्लाउड प्रदाता, यूके SaaS विक्रेता, किंवा "DPA" म्हणून डिफॉल्ट टेम्पलेट असलेल्या कोणत्याही आंतरराष्ट्रीय प्रोसेसरसह करार करत आहात.
सामान्य चूक: विक्रेता त्यांच्या दस्तऐवजाला AVV म्हणून संबोधतो म्हणून वेगवेगळे कायदेशीर नियम लागू आहेत असे गृहित धरणे. सामग्री आवश्यकतांमध्ये GDPR अंतर्गत समानता आहे. महत्त्वाची गोष्ट म्हणजे सामग्री, कव्हर पृष्ठावरील लेबल नाही.
कोणाला AVV आवश्यक आहे आणि कोणाला DPA आवश्यक आहे?
कोणतीही संस्था जी GDPR अंतर्गत डेटा नियंत्रक म्हणून पात्र आहे आणि तिसऱ्या पक्षाला वैयक्तिक डेटा प्रोसेस करण्यासाठी गुंतवते, तिला या करारांपैकी एकाची आवश्यकता आहे. हे लागू होते:
- तिसऱ्या पक्षाच्या पेमेंट प्रोसेसर किंवा ई-मेल मार्केटिंग प्लॅटफॉर्मचा वापर करणाऱ्या ई-कॉमर्स व्यवसायांना.
- क्लाउड इन्फ्रास्ट्रक्चर प्रदात्यांचा वापर करणाऱ्या उद्यमांना (IaaS, PaaS, SaaS).
- ग्राहक डेटा प्रोसेस करणाऱ्या ऑनलाइन मार्केटिंग एजन्सींना.
- बाह्य API द्वारे अंतिम वापरकर्त्यांचा वैयक्तिक डेटा हाताळणाऱ्या अनुप्रयोगांचा विकास करणाऱ्या विकासकांना.
- वेबसाइट मालक जे विश्लेषण साधने, CDN, किंवा CRM प्रणाली वापरतात जे अभ्यागतांचा डेटा प्रोसेस करतात.
DACH बाजारांमध्ये आधारित संस्थांना सामान्यतः AVV लेबलचा सामना करावा लागतो; आंतरराष्ट्रीय स्तरावर कार्यरत असलेल्या संस्थांना बहुतेक वेळा DPA चा सामना करावा लागतो. दोन्ही श्रेणीच्या संस्थांना समान कायदेशीर जबाबदारीचा सामना करावा लागतो.
AVV आणि DPA मध्ये काय समाविष्ट करावे?
AVV आणि DPA दोन्हीला GDPR अनुच्छेद 28(3) अंतर्गत समान अनिवार्य घटक असणे आवश्यक आहे. या क्लॉजेसपैकी कोणतीही चूक कराराला अनुपालनात आणत नाही. [1]
| आवश्यक क्लॉज | वर्णन |
|---|---|
| विषय आणि कालावधी | कोणता डेटा प्रोसेस केला जातो आणि किती काळ |
| स्वरूप आणि उद्देश | प्रोसेसिंग का आणि कशी होते |
| डेटा प्रकार आणि डेटा विषय | वैयक्तिक डेटा श्रेणी आणि प्रभावित व्यक्ती |
| नियंत्रकाचे हक्क आणि कर्तव्ये | प्रोसेसरने पाळावे लागणारे निर्देश |
| सुरक्षा उपाय | तांत्रिक आणि संघटनात्मक सुरक्षा उपाय (TOMs) |
| उप-प्रोसेसर अटी | डाउनस्ट्रीम प्रोसेसर्ससाठी नियम |
| डेटा विषयांचे हक्क सहाय्य | प्रवेश, नष्ट करणे, पोर्टेबिलिटीच्या विनंत्या साठी समर्थन |
| उल्लंघन सूचना | घटनांच्या बाबतीत नियंत्रकाला सूचित करण्याची प्रोसेसरची जबाबदारी |
| डेटा परतावा किंवा नष्ट करणे | कराराच्या समाप्तीवर डेटा काय होतो |
| ऑडिट हक्क | अनुपालनाची पडताळणी करण्याचा नियंत्रकाचा हक्क |
कडवट प्रकरण: जर विक्रेत्याच्या टेम्पलेटमध्ये ऑडिट हक्क किंवा उप-प्रोसेसर अटींचा समावेश नसेल, तर ते जसे आहे तसे साइन करू नका. हे अनुच्छेद 28(3) अंतर्गत नॉन-नेगोशिएबल आहेत. [1]
AVV किंवा DPA सेट अप करण्याचा खर्च किती आहे?
खर्च पूर्णपणे तुमच्या विक्रेत्याच्या मानक टेम्पलेटचा वापर करतो की कस्टम कायदेशीर मसुदा कमी करतो यावर अवलंबून आहे.
- विक्रेता-पुरवठा केलेले टेम्पलेट (सर्वाधिक सामान्य): मोफत. बहुतेक प्रमुख SaaS आणि क्लाउड प्रदाते एक मानक AVV किंवा DPA प्रकाशित करतात ज्याला नियंत्रक ऑनलाइन किंवा क्लिक-थ्रू प्रक्रियेद्वारे स्वीकारू शकतात.
- मसुदा केलेला कस्टम करार: कायदेशीर शुल्क सामान्यतः 500 ते 5,000 युरो दरम्यान असते, जटिलता, न्यायालयीन क्षेत्र आणि सल्लागार दरांवर अवलंबून. महत्त्वपूर्ण डेटा प्रमाण किंवा संवेदनशील डेटा श्रेणी असलेल्या उद्यम करारांचा उच्च अंत असतो.
- आंतरिक टेम्पलेट विकास: एक वेळेस कायदेशीर सल्लागाराच्या वेळेचा गुंतवणूक, पुनर्वापरयोग्य टेम्पलेट तयार करण्यासाठी; चालू खर्च कमी आहे.
व्यावहारिक नोट: बहुतेक SMEs आणि वेबसाइट मालकांसाठी, विक्रेत्याचे मानक टेम्पलेट पुरेसे आहे. विशेष श्रेणीच्या डेटासह प्रोसेसिंग करताना किंवा नियंत्रकाला महत्त्वपूर्ण जबाबदारी असताना कस्टम चर्चा आवश्यक आहे.
AVV आणि DPA आवश्यकतांमध्ये देशानुसार काय फरक आहे?
GDPR अंतर्गत, सामग्री आवश्यकतांमध्ये सर्व EU सदस्य राज्यांमध्ये समरूपता आहे, त्यामुळे AVV आणि DPA चा मुख्य सामग्री बर्लिन, पॅरिस किंवा वॉरसा मध्ये असला तरी समान आहे. तथापि, राष्ट्रीय स्तरावर सूक्ष्मता अस्तित्वात आहे:
- जर्मनी: BfDI आणि राज्य स्तरावरील DPAs ने तपशीलवार मार्गदर्शन आणि मॉडेल क्लॉजेस जारी केल्या आहेत. जर्मन AVVs सहसा अधिक सूक्ष्म तांत्रिक आणि संघटनात्मक उपाय (TOMs) दस्तऐवज समाविष्ट करतात.
- स्वित्झर्लंड: revFADP (सप्टेंबर 2023 पासून प्रभावी) GDPR पेक्षा अतिरिक्त आवश्यकतांची पूर्तता करतो, ज्यामध्ये क्रॉस-बॉर्डर डेटा ट्रान्सफर आणि डेटा उल्लंघन सूचना कालावधीसाठी विशिष्ट तरतुदींचा समावेश आहे.
- यूके (ब्रेक्झिटनंतर): यूके GDPR लागू आहे; DPAs ने EU निरीक्षण प्राधिकरणांच्या ऐवजी यूके ICO च्या मार्गदर्शनाचा संदर्भ द्यावा लागतो. मानक करार क्लॉजेस EU SCCs पेक्षा भिन्न आहेत.
- इतर EU सदस्य राज्ये: GDPR अनुच्छेद 28 थेट लागू आहे; स्थानिक DPA मार्गदर्शन पूरक असू शकते परंतु किमान आवश्यकतांना कमी करू शकत नाही.
शासन कायद्यातील क्लॉज काळजीपूर्वक निवडा. जर्मन-कायदा AVV आणि आयरिश-कायदा DPA समान दिसू शकतात परंतु वेगवेगळ्या न्यायालये आणि निरीक्षण प्राधिकरणांनी त्यांचे अर्थ लावले जातात.
तुम्ही AVV च्या ऐवजी DPA वापरू शकता का, किंवा एकाच वेळी दोन्ही वापरू शकता का?
होय, AVV DPA च्या ऐवजी वापरला जाऊ शकतो कारण ते कायदेशीरदृष्ट्या समान साधने आहेत. DACH आणि नॉन-DACH बाजारांमध्ये कार्यरत असलेली कंपनी एकाच कराराच्या शीर्षकात दोन्ही शब्दांचा समावेश करू शकते (उदा. "डेटा प्रोसेसिंग करार / Auftragsverarbeitungsvertrag") गोंधळ टाळण्यासाठी, हे द्विभाषिक उद्यम करारांमध्ये सामान्य प्रथा आहे आणि पूर्णपणे परवानगी आहे.
दोन्ही लेबल एकाच वेळी वापरणे दोन स्वतंत्र कायदेशीर जबाबदाऱ्या निर्माण करत नाही. हे फक्त सुनिश्चित करते की जर्मन बोलणारे आणि इंग्रजी बोलणारे पक्ष समजतात की ते एकाच दस्तऐवजाकडे पाहत आहेत.
AVV आणि DPA निवडताना सामान्य चुकांमध्ये काय आहे?
सर्वात गंभीर चुकांमध्ये कोणता शब्द वापरायचा याबद्दल नाही, तर करारात काय समाविष्ट आहे आणि तो अस्तित्वात आहे की नाही याबद्दल आहे.
- करार पूर्णपणे वगळणे कारण विक्रेता संबंध अनौपचारिक किंवा कमी जोखमीचा वाटतो. GDPR अंतर्गत, जबाबदारी प्रोसेसिंगच्या कृत्याने ट्रिगर होते, गृहित धरण्याच्या जोखमीच्या स्तराने नाही.
- अपूर्ण टेम्पलेट स्वीकारणे जे उप-प्रोसेसर क्लॉजेस किंवा ऑडिट हक्क वगळते, विक्रेत्याच्या आवृत्तीला स्वयंचलितपणे अनुपालन आहे असे मानणे.
- DPA आणि डेटा शेअरिंग करार यामध्ये गोंधळ करणे. DPA प्रोसेसर संबंधांचे व्यवस्थापन करते; डेटा शेअरिंग करार संयुक्त नियंत्रक किंवा नियंत्रक-ते-नियंत्रक डेटा विनिमयांचे व्यवस्थापन करते. हे वेगवेगळे साधन आहेत.
- प्रोसेसर नवीन उप-प्रोसेसर गुंतवतो किंवा प्रोसेसिंगची स्वरूप बदलते तेव्हा करार अद्यतनित करणे चुकवणे.
- GDPR अनुपालन स्विस कायद्याला कव्हर करते असे गृहित धरणे. स्विस डेटा विषय असलेल्या संस्थांनी त्यांच्या AVV ने revFADP आवश्यकतांची पूर्तता केली आहे याची खात्री करणे आवश्यक आहे.
AVV आणि DPA चुकल्यास काय कायदेशीर परिणाम आहेत?
वैध, पूर्ण करार नसल्यास नियंत्रक आणि प्रोसेसर दोन्ही नियामक आणि नागरी जबाबदारीला सामोरे जातात.
GDPR अनुच्छेद 83(4) अंतर्गत, अनुच्छेद 28 (DPA/AVV आवश्यकता) च्या उल्लंघनामुळे 10 दशलक्ष युरो किंवा जागतिक वार्षिक उलाढालचा 2%, जेही जास्त असेल, पर्यंत प्रशासकीय दंड होऊ शकतात. जर्मनीतील निरीक्षण प्राधिकरणांनी गहाळ किंवा अपूर्ण प्रोसेसिंग करारांसाठी संस्थांची तपासणी आणि दंड करण्याची तयारी दर्शवली आहे.
दंडांव्यतिरिक्त, परिणामांमध्ये समाविष्ट आहे:
- निरीक्षण प्राधिकरणाच्या ऑडिट आणि सुधारात्मक आदेश.
- अनुपालन न करणाऱ्या प्रोसेसरविरुद्ध कराराच्या अटी लागू करण्यास असमर्थता.
- वैध करार नसल्यास डेटा उल्लंघन झाल्यास नागरी जबाबदारीचा धोका.
- B2B संदर्भात प्रतिष्ठेचे नुकसान जिथे उद्यम ग्राहक विक्रेता तपासणी करतात.
तुमच्या व्यवसायाला कोणता करार आवश्यक आहे हे तुम्हाला कसे कळेल?
निर्णय सोपा आहे एकदा तुम्ही संबंध आणि न्यायालयीन क्षेत्र ओळखले की.
चरण 1: तुमची संस्था नियंत्रक आहे का (तुम्ही ठरवता की डेटा कसा आणि का प्रोसेस केला जातो) किंवा प्रोसेसर (तुम्ही दुसऱ्या व्यक्तीच्या सूचनेनुसार डेटा प्रोसेस करता) हे ठरवा.
चरण 2: तुमच्या समोरच्या पक्षाची भाषा आणि न्यायालयीन क्षेत्र ओळखा. जर ते DACH क्षेत्रात असतील, तर AVV ची अपेक्षा करा. जर ते इतरत्र असतील, तर DPA ची अपेक्षा करा.
चरण 3: तुम्हाला मिळालेला दस्तऐवज GDPR अनुच्छेद 28(3) अंतर्गत सर्व दहा अनिवार्य घटक समाविष्ट करतो याची खात्री करा. [1]
चरण 4: जर तुमच्या संस्थेला कुकीज आणि ट्रॅकिंग तंत्रज्ञानासाठी वापरकर्त्याची सहमती व्यवस्थापित करणे आवश्यक असेल, तर Biscotti CMP GDPR अनुपालनाच्या त्या स्तराचा विचार करते, परंतु हे योग्यरित्या कार्यान्वित AVV किंवा DPA च्या ऐवजी कार्य करते.
निर्णय नियम: जर तुम्ही दुसऱ्या संस्थेच्या वतीने वैयक्तिक डेटा प्रोसेस करत असाल, तर तुम्हाला DPA किंवा AVV आवश्यक आहे, हे व्यावसायिक संबंधाचे नाव काय आहे हे महत्त्वाचे नाही. जर दुसरी संस्था तुमच्या वतीने डेटा प्रोसेस करत असेल, तर तुम्हाला प्रोसेसिंग सुरू होण्यापूर्वी त्या कराराची खात्री करणे आवश्यक आहे.
FAQ
प्रश्न: AVV जर्मनीच्या बाहेर कायदेशीर मान्य आहे का? AVV GDPR लागू असलेल्या कोणत्याही ठिकाणी कायदेशीर मान्य आहे, जर ते अनुच्छेद 28(3) सामग्री आवश्यकतांची पूर्तता करत असेल. जर्मन शब्दावली इतर EU न्यायालयांमध्ये त्याच्या अंमलबजावणीवर मर्यादा आणत नाही.
प्रश्न: DPA दोन्ही पक्षांनी स्वाक्षरी करणे आवश्यक आहे का? होय. GDPR अनुच्छेद 28(9) करार लेखी असावा लागतो, ज्यामध्ये इलेक्ट्रॉनिक स्वरूप समाविष्ट आहे. नियंत्रक आणि प्रोसेसर दोन्ही त्याच्या अटींनी बंधनकारक असावे लागतात.
प्रश्न: विक्रेत्याच्या ऑनलाइन क्लिक-थ्रू DPA ने GDPR आवश्यकतांची पूर्तता केली जाऊ शकते का? होय, जर सामग्री अनुच्छेद 28(3) आवश्यकतांची पूर्तता करत असेल. अनेक प्रमुख क्लाउड प्रदाते अनुपालन असलेल्या क्लिक-थ्रू DPAs ऑफर करतात ज्यांची तपासणी निरीक्षण प्राधिकरणांनी केली आहे.
प्रश्न: उप-प्रोसेसर म्हणजे काय, आणि DPA किंवा AVV मध्ये याचे महत्त्व का आहे? उप-प्रोसेसर म्हणजे प्रोसेसरने प्रोसेसिंग क्रियाकलाप करण्यासाठी गुंतवलेला तिसरा पक्ष. DPA किंवा AVV ने उप-प्रोसेसर गुंतवण्याच्या अटी स्पष्ट करणे आवश्यक आहे, ज्यामध्ये नियंत्रकाच्या विरोध करण्याचा हक्क समाविष्ट आहे. [1]
प्रश्न: प्रोसेसर त्यांच्या उप-प्रोसेसर यादीत अद्यतनित केल्यास मला नवीन AVV किंवा DPA आवश्यक आहे का? नवीन आवश्यक नाही. अनेक करारांमध्ये उप-प्रोसेसर बदलांसाठी सामान्य अधिकृतता समाविष्ट असते, जर प्रोसेसर नियंत्रकाला सूचित करतो आणि नियंत्रकाला निर्दिष्ट कालावधीत विरोध करण्याचा हक्क राहतो.
प्रश्न: DPA EU च्या बाहेर डेटा ट्रान्सफर कव्हर करते का? DPA प्रोसेसिंग संबंधाचे व्यवस्थापन करते परंतु क्रॉस-बॉर्डर डेटा ट्रान्सफर अधिकृत करत नाही. तिसऱ्या देशांमध्ये ट्रान्सफरसाठी स्वतंत्र ट्रान्सफर यांत्रिके (मानक करार क्लॉजेस, योग्यतेचे निर्णय) आवश्यक आहेत.
प्रश्न: DPA किंवा AVV किती काळ ठेवले पाहिजे? प्रोसेसिंग संबंधाच्या कालावधीसाठी आणि त्यानंतरच्या एक उचित कालावधीसाठी, सामान्यतः किमान तीन ते पाच वर्षे, अनुपालन दर्शवण्यासाठी ठेवावे लागते.
प्रश्न: DPA आणि DPIA यामध्ये काय फरक आहे? DPA (डेटा प्रोसेसिंग करार) नियंत्रक आणि प्रोसेसर यांच्यातील करार आहे. DPIA (डेटा संरक्षण प्रभाव मूल्यांकन) उच्च जोखमीच्या प्रोसेसिंग क्रियाकलापांसाठी आवश्यक आंतरिक जोखमीचे मूल्यांकन आहे. त्यांचा उपयोग वेगवेगळा आहे आणि एकमेकांची जागा घेत नाहीत.
प्रश्न: एक फ्रीलांसर किंवा लहान एजन्सीला AVV किंवा DPA वर स्वाक्षरी करण्यास भाग पाडले जाऊ शकते का? होय. ही जबाबदारी प्रोसेसरच्या आकारावर अवलंबून नाही. ग्राहक डेटा हाताळणारा एक फ्रीलांसर विकासक एक प्रोसेसर आहे आणि प्रत्येक ग्राहक नियंत्रकासोबत DPA किंवा AVV वर स्वाक्षरी करणे आवश्यक आहे.
प्रश्न: Biscotti CMP DPA किंवा AVV ची आवश्यकता कमी करते का? नाही. Biscotti CMP एक सहमती व्यवस्थापन प्लॅटफॉर्म आहे जो कुकीज आणि ट्रॅकिंगसाठी वापरकर्त्याची सहमती व्यवस्थापित करण्यात मदत करतो, जो GDPR अनुपालनाची एक स्वतंत्र आवश्यकता आहे. वैयक्तिक डेटा समाविष्ट असलेल्या कोणत्याही प्रोसेसर संबंधासाठी DPA किंवा AVV आवश्यक आहे.
निष्कर्ष
AVV आणि DPA प्रश्न लवकरच सोडवला जातो एकदा तुम्ही ओळखता की दोन्ही शब्द GDPR अनुच्छेद 28 अंतर्गत समान कायदेशीर आवश्यक साधनाचे वर्णन करतात. खरा आव्हान हे नाही की त्यांच्यातून कोणता निवडायचा, तर हे सुनिश्चित करणे की कोणताही दस्तऐवज जो तुमच्या प्रोसेसर संबंधांचे व्यवस्थापन करतो त्यात प्रत्येक अनिवार्य क्लॉज समाविष्ट आहे, योग्यरित्या कार्यान्वित आहे, आणि प्रोसेसिंग क्रियाकलाप विकसित होत असताना अद्ययावत ठेवला जातो.
कार्यान्वयनासाठी पुढील पायऱ्या:
- सर्व वर्तमान विक्रेता संबंधांचे ऑडिट करा जेणेकरून तुमच्या वतीने वैयक्तिक डेटा हाताळणाऱ्या प्रत्येक प्रोसेसरसाठी वैध DPA किंवा AVV अस्तित्वात आहे याची खात्री करा.
- विद्यमान करारांची पुनरावलोकन करा अनुच्छेद 28(3) GDPR च्या दहा अनिवार्य घटकांच्या विरुद्ध आणि कोणत्याही गॅपसाठी सुधारणा मागा. [1]
- स्वित्झर्लंडमध्ये कार्यरत असल्यास, खात्री करा की करार GDPR च्या आधारभूत आवश्यकतांव्यतिरिक्त revFADP आवश्यकतांची पूर्तता करतात.
- नवीन प्रोसेसर्ससाठी ऑनबोर्डिंगसाठी एक आंतरिक प्रक्रिया स्थापित करा, प्रोसेसिंग सुरू होण्यापूर्वी करारावर स्वाक्षरी केली पाहिजे.
- तुमच्या वेबसाइट किंवा अनुप्रयोगावर सहमती व्यवस्थापन आणि कुकी अनुपालनासाठी, तुमच्या व्यापक GDPR अनुपालन फ्रेमवर्कचा भाग म्हणून Biscotti CMP याचा विचार करा.
डेटा संरक्षण अनुपालन हे एक एकल प्रकल्प नाही. करारांचे पुनरावलोकन करणे आवश्यक आहे जेव्हा प्रोसेसिंग बदलते, जेव्हा उप-प्रोसेसर्स जोडले जातात, आणि जेव्हा नियामक मार्गदर्शन विकसित होते. अनुपालन कार्यक्रमात त्या पुनरावलोकनाची गती तयार करणे नियामक जोखमीविरुद्ध सर्वात व्यावहारिक सुरक्षा आहे.
संदर्भ
[1] डेटा प्रोसेसिंग करार - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai