जलद उत्तर: AVV (Auftragsverarbeitungsvertrag) हा GDPR अनुच्छेद 28 अंतर्गत डेटा नियंत्रक आणि डेटा प्रोसेसर यांच्यातील कायदेशीरदृष्ट्या अनिवार्य करार आहे. कोणतीही संस्था जी दुसऱ्या पक्षाच्या वतीने वैयक्तिक डेटा प्रक्रिया करते, तिने एक तयार करणे आवश्यक आहे. AVV न करता कार्य करणे दोन्ही पक्षांना €20 दशलक्ष किंवा जागतिक वार्षिक उलाढालीच्या 4% पर्यंत दंडाच्या धोक्यात आणते, जो उच्च असेल.
मुख्य मुद्दे
- AVV हा डेटा प्रोसेसिंग करार (DPA) साठी जर्मन शब्द आहे, जो GDPR अनुच्छेद 28 अंतर्गत आवश्यक आहे जेव्हा प्रोसेसर नियंत्रकाच्या वतीने वैयक्तिक डेटा हाताळतो.
- करारात विषय, उद्देश, कालावधी, डेटा प्रकार, तांत्रिक आणि संघटनात्मक उपाय (TOMs), आणि उप-प्रोसेसर नियम स्पष्ट केले पाहिजेत.
- वैध AVV न ठेवणे नियामक दंडांना कारणीभूत ठरू शकते, डेटा उल्लंघन झाले की नाही हे महत्त्वाचे नाही.
- लहान व्यवसायांना सूट नाही: क्लाउड होस्टिंग, पेरोल सॉफ्टवेअर, आणि ईमेल मार्केटिंग साधने सामान्यतः AVV आवश्यकता सक्रिय करतात.
- AVV हा दोन पक्षांमधील करार आहे, गोपनीयता नोटीस नाही, आणि तो स्वतः सुरक्षा उपाय जसे की एन्क्रिप्शन लागू करत नाही.
- उप-प्रोसेसर बदलल्यास, तिसऱ्या देशांमध्ये डेटा हस्तांतरण झाल्यास, किंवा प्रक्रिया क्रियाकलापांमध्ये बदल झाल्यास AVV पुनरावलोकन केले पाहिजे.
- DACH क्षेत्रात (जर्मनी, ऑस्ट्रिया, स्वित्झर्लंड), AVV SaaS विक्रेत्यांसोबत, होस्टिंग प्रदात्यांसोबत, आणि ERP प्रणालींसोबत मानक प्रथा आहे.
- अनुपालन संस्थांकडून आणि विक्रेत्यांकडून टेम्पलेट उपलब्ध आहेत, परंतु वास्तविक प्रक्रिया क्रियाकलापांचे प्रतिबिंबित करण्यासाठी वैयक्तिकृत करणे आवश्यक आहे.
AVV म्हणजे डेटा प्रोसेसिंगमध्ये काय?
AVV म्हणजे Auftragsverarbeitungsvertrag, एक जर्मन संयोगिक शब्द जो इंग्रजीत "डेटा प्रोसेसिंग करार" म्हणून थेट अनुवादित होतो. हा करारात्मक साधन आहे जे EU सामान्य डेटा संरक्षण नियम (GDPR) च्या अनुच्छेद 28 द्वारे डेटा नियंत्रक आणि डेटा प्रोसेसर यांच्यातील संबंध नियंत्रित करण्यासाठी अनिवार्य आहे.
हा शब्द जर्मन-भाषिक क्षेत्रांमध्ये (जर्मनी, ऑस्ट्रिया, आणि स्वित्झर्लंड) विशिष्ट आहे, परंतु अंतर्गत कायदेशीर संकल्पना EU आणि EEA मध्ये सर्वत्र लागू होते. इंग्रजी भाषिक संदर्भात, त्याच दस्तऐवजाला डेटा प्रोसेसिंग करार (DPA) म्हटले जाते. आंतरराष्ट्रीय स्तरावर कार्यरत संस्थांनी त्यांच्या AVV संबंधित भाषांमध्ये उपलब्ध आहेत याची खात्री करणे आवश्यक आहे [5].
AVV हा गोपनीयता धोरण किंवा कुकी सहमती बॅनर नाही. हा एक बंधनकारक द्विपक्षीय करार आहे जो प्रोसेसर कसे वैयक्तिक डेटा हाताळू शकतो, कोणत्या अटींवर, आणि कोणत्या सुरक्षिततेसह हे परिभाषित करतो.
डेटा प्रोसेसर्सना AVV ची आवश्यकता का आहे?
जेव्हा डेटा नियंत्रक एक प्रोसेसर नियुक्त करतो ज्याला वैयक्तिक डेटा त्यांच्या वतीने हाताळायचा असतो, तेव्हा AVV अनिवार्य आहे. हे वैकल्पिक मार्गदर्शन नाही; हे GDPR अनुच्छेद 28 अंतर्गत एक कठोर कायदेशीर आवश्यकता आहे [1].
AVV आवश्यकता सक्रिय करणारे सामान्य परिदृश्ये समाविष्ट आहेत:
- क्लाउड होस्टिंग आणि इन्फ्रास्ट्रक्चर (उदा., ग्राहक डेटाबेस संग्रहित करणारे सर्व्हर)
- पेरोल प्रक्रिया जी तिसऱ्या पक्षाच्या HR प्रदात्याद्वारे हाताळली जाते
- ईमेल मार्केटिंग प्लॅटफॉर्म जे सदस्य सूची संग्रहित करतात
- SaaS ERP विक्रेते व्यवसाय आणि कर्मचारी डेटा प्रवेश करतात
- विश्लेषण आणि ट्रॅकिंग साधने जे अभ्यागतांच्या वर्तन डेटा प्रक्रिया करतात
AVV न करता, कोणत्याही पक्षाकडे प्रक्रिया संबंधासाठी दस्तऐवजीकरण केलेला कायदेशीर आधार नाही. पर्यवेक्षकीय प्राधिकरण AVV च्या अनुपस्थितीला एक स्वतंत्र अनुपालन उल्लंघन म्हणून मानतात, डेटा उल्लंघनाच्या तपासणीपासून वेगळे [3].
AVV आणि DPA सारखेच आहेत का?
होय, AVV आणि DPA हे एकाच कायदेशीर दस्तऐवजाचे संदर्भ आहेत. AVV हा जर्मन भाषेतील नामांकन आहे; DPA हा इंग्रजी समकक्ष आहे जो इतर EU सदस्य राज्यांमध्ये आणि आंतरराष्ट्रीय अनुपालन संदर्भात वापरला जातो [5].
दोन्ही दस्तऐवज GDPR अनुच्छेद 28 च्या आवश्यकतांची पूर्तता करतात आणि त्यात समान अनिवार्य घटक असणे आवश्यक आहे. जर एक जर्मन कंपनी एका अमेरिकन SaaS विक्रेत्यासोबत DPA साइन करते, तर तो DPA GDPR अनुपालन उद्देशांसाठी AVV म्हणून कार्य करतो, जर तो सर्व सामग्रीच्या आवश्यकतांची पूर्तता करतो.
स्मरण ठेवण्यासारखी मुख्य भिन्नता: दस्तऐवजावरील लेबल त्याच्या सामग्रीपेक्षा कमी महत्त्वाचे आहे. "डेटा प्रोसेसिंग अ‍ॅडेंडम," "प्रोसेसिंग करार," किंवा "AVV" शीर्षक असलेला दस्तऐवज सर्व आवश्यक घटक समाविष्ट असल्यास कायदेशीरदृष्ट्या समकक्ष आहे.
GDPR अनुपालनासाठी कोणाला AVV ची आवश्यकता आहे?
कोणतीही संस्था जी डेटा नियंत्रक आहे आणि तिसऱ्या पक्षाच्या सेवांचा वापर करते जी त्यांच्या वतीने वैयक्तिक डेटा प्रक्रिया करते, तिला AVV ची आवश्यकता आहे. हे सर्व आकाराच्या व्यवसायांवर लागू होते [1].
सामान्यतः AVV ची आवश्यकता असलेले नियंत्रक:
| परिदृश्य | नियंत्रक | प्रोसेसर |
|---|---|---|
| कंपनी क्लाउड CRM वापरते | व्यवसाय | CRM विक्रेता |
| वेबसाइट विश्लेषण वापरते | वेबसाइट मालक | विश्लेषण प्रदाता |
| HR पेरोल आउटसोर्स करते | नियोक्ता | पेरोल ब्यूरो |
| ऑनलाइन दुकान ईमेल साधन वापरते | किरकोळ विक्रेता | ईमेल प्लॅटफॉर्म |
| एजन्सी क्लायंट जाहिराती व्यवस्थापित करते | एजन्सी | जाहिरात तंत्रज्ञान प्लॅटफॉर्म |
कोणता प्रोसेसर नाही: जो पक्ष प्रक्रिया करण्याच्या उद्देश आणि साधने स्वतंत्रपणे ठरवतो तो स्वतःच एक नियंत्रक आहे, प्रोसेसर नाही. संयुक्त नियंत्रकांना GDPR अनुच्छेद 26 अंतर्गत भिन्न प्रकारच्या कराराची आवश्यकता असते.
लहान व्यवसाय अनेकदा या आवश्यकतेकडे दुर्लक्ष करतात, हे मानून की हे फक्त मोठ्या उद्योगांवर लागू आहे. हे अनुमान चुकीचे आहे. कोणतीही वेबसाइट मालक जी तिसऱ्या पक्षाच्या होस्टिंग प्रदात्याचा, न्यूजलेटर सेवांचा, किंवा बुकिंग प्रणालीचा वापर करते, तिला किमान एक AVV असणे आवश्यक आहे [5].
AVV मध्ये काय समाविष्ट असावे?
एक अनुपालन AVV मध्ये विशिष्ट अनिवार्य घटक असणे आवश्यक आहे. एकही घटक गहाळ झाल्यास करार GDPR च्या तपासणी अंतर्गत अपूर्ण ठरू शकतो [2].
अनिवार्य घटक:
- प्रक्रियेचा विषय आणि कालावधी
- प्रक्रियेची निसर्ग आणि उद्देश
- वैयक्तिक डेटा प्रकार आणि डेटा विषयांच्या श्रेणी
- नियंत्रकाच्या कर्तव्ये आणि हक्क
- प्रोसेसरद्वारे लागू केलेले तांत्रिक आणि संघटनात्मक उपाय (TOMs)
- उप-प्रोसेसरच्या संलग्नतेसाठी नियम
- डेटा विषयांच्या हक्कांच्या विनंत्या प्रक्रियेसाठी प्रक्रिया
- डेटा उल्लंघनाची माहिती देण्याची कर्तव्ये
- करार समाप्तीवर डेटा परत करणे किंवा हटवणे
- नियंत्रकासाठी ऑडिट हक्क
TOMs विभाग विशेषतः महत्त्वाचा आहे. AVV स्वतः सुरक्षा उपाय लागू करत नाही, परंतु प्रोसेसरकडे कोणते उपाय आहेत, जसे की एन्क्रिप्शन मानक, प्रवेश नियंत्रण, आणि छद्मनामकरण पद्धती यांचे दस्तऐवजीकरण करणे आवश्यक आहे [1].
AVV नसल्यानंतर काय होते?
वैध AVV न ठेवणे नियंत्रक आणि प्रोसेसर दोन्हीला महत्त्वपूर्ण नियामक दंडाच्या धोक्यात आणते. GDPR अनुच्छेद 83(4) अंतर्गत, अनुच्छेद 28 च्या उल्लंघनांसाठी दंड €10 दशलक्ष किंवा जागतिक वार्षिक उलाढालीच्या 2% पर्यंत पोहोचू शकतात, आणि अनुच्छेद 83(5) अंतर्गत अधिक गंभीर उल्लंघनांसाठी, €20 दशलक्ष किंवा जागतिक वार्षिक उलाढालीच्या 4% पर्यंत, जो उच्च असेल [3].
महत्त्वाचे म्हणजे, या दंडांची अंमलबजावणी डेटा उल्लंघन झाले की नाही यावर अवलंबून नाही. एक पर्यवेक्षकीय प्राधिकरण नियमित ऑडिट करताना किंवा तक्रारीला प्रतिसाद देताना AVV च्या अनुपस्थितीची ओळख करू शकते आणि त्यावर आधारित दंड जारी करू शकते.
अतिरिक्त परिणामांमध्ये समाविष्ट आहे:
- प्रतिष्ठेचे नुकसान आणि ग्राहकांचा विश्वास गमावणे
- नियंत्रक आणि प्रोसेसर यांच्यातील करारात्मक जबाबदारी
- सुधारणा होईपर्यंत प्रक्रिया क्रियाकलापांचे संभाव्य निलंबन
AVV आणि डेटा प्रोसेसिंग करार: मुख्य भिन्नता
AVV आणि DPA हे भिन्न नावांखालील सारखेच दस्तऐवज आहेत. तथापि, आंतरराष्ट्रीय संस्थांसाठी लक्षात घेण्यासारख्या व्यावहारिक भिन्नता आहेत.
| आयाम | AVV | DPA |
|---|---|---|
| भाषा | जर्मन | इंग्रजी (किंवा स्थानिक) |
| न्यायालयीन लक्ष | DACH क्षेत्र | EU/EEA व्यापक |
| सामान्य वापर संदर्भ | जर्मन-भाषिक करार | आंतरराष्ट्रीय SaaS करार |
| कायदेशीर आधार | GDPR अनुच्छेद 28 | GDPR अनुच्छेद 28 |
| सामग्री आवश्यकता | समान | समान |
DACH क्षेत्र (जर्मनी, ऑस्ट्रिया, स्वित्झर्लंड) AVV च्या आसपास विशेषतः मजबूत अंमलबजावणी संस्कृती आहे, ज्यामुळे ते होस्टिंग प्रदात्यांसोबत, SaaS ERP विक्रेत्यांसोबत, आणि इतर सेवा भागीदारांसोबत मानक प्रथा बनतात [1].
AVV ची किंमत किती आहे?
AVV ची किंमत कशी तयार केली जाते आणि पुनरावलोकन केले जाते यावर अवलंबून असते.
- टेम्पलेट-आधारित AVV: अनेक विक्रेते त्यांच्या सेवा अटींचा भाग म्हणून स्वतःचा AVV प्रदान करतात, सामान्यतः कोणत्याही अतिरिक्त शुल्काशिवाय. NexDeck सारख्या संस्थांनी उप-प्रोसेसर यादीसह तपशीलवार AVV टेम्पलेट्स प्रदान केल्या आहेत [4].
- कायदेशीर सल्लागार पुनरावलोकन: एक डेटा संरक्षण वकील एक कस्टम AVV तयार करणे किंवा पुनरावलोकन करणे सामान्यतः €300 ते €2,000 दरम्यान खर्च करते, जटिलता आणि न्यायालयीन क्षेत्रानुसार.
- DPO-सहाय्यित मसुदा: घरगुती किंवा बाह्य डेटा संरक्षण अधिकारी (DPO) असलेल्या संस्थांनी अनेकदा AVV तयार करण्यासाठी त्या संसाधनाचा वापर केला आहे, DPO रिटेनरच्या व्यतिरिक्त कोणत्याही अतिरिक्त खर्चाशिवाय.
लहान व्यवसायांसाठी, सर्वात व्यावहारिक दृष्टिकोन म्हणजे एक विश्वासार्ह टेम्पलेट वापरणे आणि साइन करण्यापूर्वी योग्य व्यावसायिकाने त्याचे पुनरावलोकन करणे.
AVV टेम्पलेट कसे तयार करावे?
AVV तयार करणे म्हणजे तिसऱ्या पक्षाने तुमच्या वतीने वैयक्तिक डेटा हाताळणाऱ्या सर्व प्रक्रिया संबंधांची ओळख करणे. त्यानंतर, प्रक्रिया या चरणांचे पालन करते:
- तुमच्या प्रोसेसर्सची सूची तयार करा: प्रत्येक विक्रेता, साधन, किंवा सेवा यांची यादी करा जी तुम्ही नियंत्रित केलेल्या वैयक्तिक डेटावर प्रवेश करते.
- AVV मिळवा किंवा तयार करा: अनेक प्रोसेसर्स (विशेषतः SaaS विक्रेते) त्यांच्या स्वतःच्या मानक AVV प्रदान करतात. वरील अनिवार्य घटकांच्या विरुद्ध त्याचे पुनरावलोकन करा.
- TOMs विभाग वैयक्तिकृत करा: तांत्रिक आणि संघटनात्मक उपाय प्रोसेसरच्या वास्तविक सुरक्षा पद्धतींचे प्रतिबिंबित करतात याची खात्री करा.
- उप-प्रोसेसर्सची यादी करा: प्रोसेसर वापरत असलेल्या कोणत्याही उप-प्रोसेसर्सची ओळख करणारे एक परिशिष्ट समाविष्ट करा, त्यांच्या भूमिका आणि स्थानांसह.
- डेटा हस्तांतरण यांत्रिके निश्चित करा: जर डेटा EU/EEA बाहेर हस्तांतरित केला जात असेल, तर कायदेशीर हस्तांतरण यांत्रिके निर्दिष्ट करा (उदा., मानक करारात्मक कलम).
- साइन करा आणि ठेवा: दोन्ही पक्षांनी AVV साइन करणे आवश्यक आहे. तुमच्या डेटा प्रोसेसिंग रेकॉर्डसह एक प्रत ठेवा.
अनुपालन-केंद्रित संस्थांकडून टेम्पलेट्स एक मजबूत संरचनात्मक पाया प्रदान करतात, परंतु प्रत्येक AVV त्या विशेष प्रक्रिया क्रियाकलापांचे प्रतिबिंबित करण्यासाठी वैयक्तिकृत केले पाहिजे [2].
लहान व्यवसायांसाठी AVV आवश्यकता
लहान व्यवसाय AVV आवश्यकता पासून सूट नाहीत. GDPR अंतर्गत कोणतीही संस्था जी तिसऱ्या पक्षाच्या प्रोसेसरचा वापर करते, तिला AVV असणे आवश्यक आहे, कंपनीच्या आकार किंवा कर्मचाऱ्यांच्या संख्येची पर्वा न करता [1].
लहान व्यवसायांसाठी, व्यावहारिक भार तो जितका दिसतो तितका कमी आहे:
- बहुतेक प्रमुख SaaS विक्रेते (ईमेल प्लॅटफॉर्म, बुकिंग प्रणाली, विश्लेषण साधने) त्यांच्या सेवा अटींचा भाग म्हणून एक मानक AVV किंवा DPA आधीच प्रदान करतात. या अटी स्वीकारणे सामान्यतः एक वैध करार म्हणून गणले जाते.
- मुख्य कार्य म्हणजे तुम्ही त्या अटींचे पुनरावलोकन केले आहे आणि स्वीकारले आहे याची खात्री करणे, त्यांचा अस्तित्व आहे असे मानणे नाही.
- तुमच्या प्रोसेसर्सची साधी नोंद ठेवा आणि संबंधित AVV.
सामान्य चूक: लहान व्यवसाय मालक अनेकदा असे मानतात की कारण विक्रेता मोठा आणि प्रतिष्ठित आहे, कायदेशीर कागदपत्रे स्वयंचलितपणे हाताळली जातात. AVV स्वीकारणे एक सक्रिय, दस्तऐवजीकरण केलेले पाऊल असावे लागते.
AVV ऑडिट ट्रेल आवश्यकता
AVV मध्ये नियंत्रकाला प्रोसेसरच्या अनुपालनाचे ऑडिट करण्याचा अधिकार देणारे तरतुदी समाविष्ट असणे आवश्यक आहे. हा ऑडिट हक्क GDPR अनुच्छेद 28(3)(h) अंतर्गत एक अनिवार्य घटक आहे [2].
व्यवहारात, ऑडिट ट्रेल आवश्यकता म्हणजे:
- प्रोसेसरने GDPR अनुच्छेद 30(2) अंतर्गत प्रक्रिया क्रियाकलापांचे रेकॉर्ड ठेवणे आवश्यक आहे.
- नियंत्रकाला ऑडिट करण्याचा अधिकार आहे किंवा अनुपालनाची पडताळणी करण्यासाठी तृतीय-पक्षीय ऑडिटर्सची नियुक्ती करण्याचा अधिकार आहे.
- अनेक प्रोसेसर्स या आवश्यकतेची पूर्तता तृतीय-पक्षीय प्रमाणपत्रे जसे की ISO 27001 किंवा SOC 2 द्वारे करतात, जे अनेक प्रकरणांमध्ये ऑन-साइट ऑडिटसाठी पर्यायी ठरू शकतात.
AVV ISO 27001 Annex A नियंत्रण A.5.19 ते A.5.22 शी थेट संबंधित आहे, जे पुरवठादार संबंध आणि पुरवठा साखळीत माहिती सुरक्षा नियंत्रित करतात [2]. औपचारिक माहिती सुरक्षा व्यवस्थापन प्रणाली (ISMS) असलेल्या संस्थांनी त्यांच्या AVV च्या पुरवठादार व्यवस्थापन प्रक्रियेत समाविष्ट केले आहे याची खात्री करणे आवश्यक आहे.
आंतरराष्ट्रीय डेटा हस्तांतरणांसाठी AVV
जेव्हा प्रोसेसर EU/EEA बाहेर असतो, तेव्हा AVV ने त्या तिसऱ्या देशात वैयक्तिक डेटा हस्तांतरित करण्यासाठी कायदेशीर यांत्रिकेवर लक्ष केंद्रित करणे आवश्यक आहे. मानक करारात्मक कलम (SCCs) सर्वात सामान्यतः वापरली जाणारी यांत्रिकी आहे आणि सामान्यतः AVV च्या परिशिष्ट म्हणून समाविष्ट केली जाते [2].
आंतरराष्ट्रीय AVV साठी मुख्य विचार:
- प्रोसेसरच्या देशाला EU च्या योग्यतेचा निर्णय आहे का ते ओळखा.
- जर नाही, तर योग्य SCCs समाविष्ट करा (नियंत्रक-प्रोसेसर किंवा नियंत्रक-नियंत्रक, संबंधानुसार).
- आवश्यक असल्यास ट्रान्सफर इम्पॅक्ट अस्सेसमेंट (TIA) करा.
- AVV दोन्ही करार करणाऱ्या पक्षांच्या भाषांमध्ये उपलब्ध आहे याची खात्री करा [5].
तुमचा AVV किती वेळा अद्यतनित करावा?
जेव्हा प्रक्रिया संबंधांमध्ये महत्त्वपूर्ण बदल होतात, तेव्हा AVV चे पुनरावलोकन आणि अद्यतन करणे आवश्यक आहे. निश्चित कायदेशीर पुनरावलोकन कालावधी नाही, परंतु सर्वोत्तम प्रथा किमान वार्षिक पुनरावलोकनाकडे निर्देश करते [2].
तत्काळ AVV अद्यतनासाठी ट्रिगर:
- प्रोसेसर एक नवीन उप-प्रोसेसर नियुक्त करतो किंवा विद्यमान एकाला काढून टाकतो
- प्रक्रिया क्रियाकलापांचा निसर्ग, उद्देश, किंवा व्याप्ती बदलते
- डेटा नवीन तिसऱ्या देशात हस्तांतरित केला जातो
- प्रोसेसरच्या TOMs मध्ये महत्त्वपूर्ण अद्यतने आहेत
- लागू कायदा किंवा नियामक मार्गदर्शन बदलते
AVV च्या सक्रिय पुनरावलोकनाची एक मुख्य अनुपालन शिस्त आहे. जुन्या करारांनी जे आता वास्तविक प्रक्रिया क्रियाकलापांचे प्रतिबिंबित करत नाहीत, ते AVV न असण्यासारखेच नियामक धोक्याचे निर्माण करतात.
AVV सेट करताना सामान्य चुका
AVV आवश्यकता समजून घेणाऱ्या संस्थाही अंमलबजावणीमध्ये चुका करतात.
चूक 1: विक्रेत्याच्या बॉयलरप्लेटला स्वयंचलितपणे पुरेसे मानणे. विक्रेत्याद्वारे प्रदान केलेला AVV टेम्पलेट तुमच्या विशिष्ट प्रक्रिया क्रियाकलापांचे कव्हर करू शकत नाही. नेहमी अनिवार्य घटकांच्या विरुद्ध त्याचे पुनरावलोकन करा.
चूक 2: TOMs चा समावेश किंवा अस्पष्ट वर्णन करणे. पर्यवेक्षकीय प्राधिकरण TOMs विभागाची काळजीपूर्वक तपासणी करतात. "योग्य सुरक्षा उपाय" सारख्या अस्पष्ट भाषेत विशेष माहिती नसल्यास अपूर्ण आहे.
चूक 3: उप-प्रोसेसर्स विसरणे. AVV मध्ये उप-प्रोसेसर्सची यादी असणे आवश्यक आहे. प्रोसेसरने त्याचे उप-प्रोसेसर्स बदलल्यास या यादीत अद्यतन न करणे एक सामान्य अनुपालन गॅप आहे [2].
चूक 4: साइन केलेल्या प्रती ठेवणे विसरणे. ऑडिट दरम्यान सादर करता येणार नाही असा AVV कोणतीही कायदेशीर सुरक्षा प्रदान करत नाही. सुव्यवस्थित रेकॉर्ड ठेवा.
चूक 5: AVV ला गोपनीयता धोरणाशी गोंधळणे. हे पूर्णपणे भिन्न दस्तऐवज आहेत जे भिन्न उद्देशांसाठी कार्य करतात. गोपनीयता धोरण डेटा विषयांना माहिती देते; AVV नियंत्रक-प्रोसेसर संबंधाचे शासन करते [1].
निष्कर्ष
AVV चा अंतिम मार्गदर्शक: प्रत्येक डेटा प्रोसेसरला एकाची आवश्यकता का आहे हे एक सोपे अनुपालन वास्तव आहे: जर वैयक्तिक डेटा नियंत्रक आणि प्रोसेसर यांच्यात हस्तांतरित केला जात असेल, तर त्या प्रक्रियेला सुरुवात होण्यापूर्वी एक वैध AVV असणे आवश्यक आहे. आकाराच्या सूट नाहीत, उद्योगाच्या कापण्या नाहीत, आणि GDPR अंतर्गत कार्यरत असलेल्या संस्थांसाठी कोणतेही ग्रेस पीरियड नाहीत.
2026 साठी कार्यवाही करण्यायोग्य पुढील पायऱ्या:
- तुमच्या नियंत्रणात असलेल्या वैयक्तिक डेटा प्रवेश करणाऱ्या प्रत्येक तिसऱ्या पक्षाच्या विक्रेत्याचे ऑडिट करा आणि प्रत्येकासाठी AVV अस्तित्वात आहे याची खात्री करा.
- विद्यमान AVV चा पुनरावलोकन करा अनिवार्य घटकांच्या चेकलिस्टच्या विरुद्ध, विशेषतः TOMs आणि उप-प्रोसेसर यादीवर लक्ष केंद्रित करा.
- वार्षिक AVV पुनरावलोकनांसाठी कॅलेंडर स्मरणिका तयार करा आणि प्रक्रिया क्रियाकलाप बदलल्यास अद्यतन ट्रिगर करा.
- गोपनीयता आणि कुकी अनुपालन व्यवस्थापित करणाऱ्या संस्थांसाठी, तुमच्या डेटा प्रोसेसिंग दस्तऐवजांसोबत एक अनुपालन Consent Management Platform जसे की Biscotti CMP सह जोडण्याचा विचार करा, संपूर्ण आणि बचावात्मक अनुपालन स्थिती राखण्यासाठी.
- जटिल प्रक्रिया क्रियाकलाप किंवा आंतरराष्ट्रीय डेटा हस्तांतरणांसाठी कोणत्याही AVV साठी योग्य डेटा संरक्षण व्यावसायिकाशी सल्ला घ्या.
AVV योग्य ठरवण्याचा खर्च कमी आहे. त्यांना चुकीचे ठरवण्याचा खर्च नाही.
FAQ
AVV म्हणजे साध्या भाषेत काय? AVV म्हणजे एक लेखी करार जो वैयक्तिक डेटा असलेल्या कंपनी (नियंत्रक) आणि त्या डेटा त्यांच्या वतीने प्रक्रिया करणाऱ्या कंपनी (प्रोसेसर) यांच्यात आहे. हे कोणता डेटा प्रक्रिया केला जातो, का, तो कसा संरक्षित केला जातो, आणि दोन्ही पक्षांना काय करणे आवश्यक आहे हे स्पष्ट करते.
प्रत्येक विक्रेता संबंधासाठी AVV आवश्यक आहे का? फक्त त्या विक्रेत्यांसाठी जे तुमच्या वतीने वैयक्तिक डेटा प्रक्रिया करतात. एक विक्रेता जो फक्त एक साधन प्रदान करतो ज्याचा तुम्ही स्वतः डेटा प्रक्रिया करण्यासाठी वापर करता (डेटावर प्रवेश न करता) तो सामान्यतः प्रोसेसर नाही आणि AVV ची आवश्यकता नाही.
एक मौखिक करार AVV च्या जागी वापरला जाऊ शकतो का? नाही. GDPR अनुच्छेद 28 स्पष्टपणे प्रक्रिया करार लेखी स्वरूपात असावा लागतो, इलेक्ट्रॉनिक स्वरूपात समाविष्ट आहे.
AVV GDPR दंडांपासून संरक्षण करते का? एक वैध AVV असणे नियामक धोका महत्त्वाने कमी करते, परंतु ते संपूर्ण प्रतिकूलता प्रदान करत नाही. इतर उल्लंघनांसाठी दंड जारी केले जाऊ शकतात. AVV विशेषतः अनुच्छेद 28 च्या अनुपालनाचे प्रदर्शन करते.
उप-प्रोसेसर आणि प्रोसेसर यामध्ये काय फरक आहे? एक प्रोसेसर नियंत्रकासाठी थेट डेटा हाताळतो. एक उप-प्रोसेसर प्रोसेसरद्वारे त्या प्रक्रियेसाठी सहाय्य करण्यासाठी नियुक्त केला जातो. नियंत्रकाला उप-प्रोसेसर्सची माहिती असणे आवश्यक आहे, आणि प्रोसेसरने उप-प्रोसेसर्सना समकक्ष कर्तव्यांवर बंधनकारक करणे आवश्यक आहे.
AVV किती काळ ठेवले पाहिजे? AVV साठी GDPR मध्ये स्पष्ट ठेवण्याची कालावधी निर्दिष्ट केलेली नाही, परंतु त्यांना प्रक्रिया संबंधाच्या कालावधीसाठी आणि त्यानंतरच्या एक उचित कालावधीसाठी ठेवले पाहिजे, सामान्यतः संबंधित न्यायालयीन क्षेत्रातील नियामक कारवाईसाठी मर्यादेच्या कालावधीसह समांतर.
यूएस कंपनीसह साइन केलेला DPA AVV म्हणून गणला जातो का? होय, जर त्यात GDPR अनुच्छेद 28 द्वारे आवश्यक असलेल्या सर्व घटकांचा समावेश असेल आणि मानक करारात्मक कलमांसारख्या योग्य हस्तांतरण यांत्रिकांचा समावेश असेल.
प्रोसेसर वैयक्तिक डेटा स्वतःच्या उद्देशांसाठी वापरू शकतो का? नाही. प्रोसेसर फक्त नियंत्रकाच्या दस्तऐवजीकरण केलेल्या सूचनांच्या आधारे वैयक्तिक डेटा प्रक्रिया करू शकतो. प्रोसेसरच्या स्वतःच्या उद्देशांसाठी प्रक्रिया करणे त्या पक्षाला नियंत्रक म्हणून पुन्हा वर्गीकृत करेल, ज्यामुळे वेगळ्या कायदेशीर कर्तव्ये येतील.
AVV संदर्भात TOM म्हणजे काय? TOM म्हणजे तांत्रिक आणि संघटनात्मक उपाय. हे सुरक्षा पद्धती आहेत ज्या प्रोसेसर वैयक्तिक डेटा संरक्षित करण्यासाठी लागू करतो, जसे की एन्क्रिप्शन, प्रवेश नियंत्रण, आणि छद्मनामकरण. AVV ने या उपायांचे दस्तऐवजीकरण करणे आवश्यक आहे.
AVV ना नोटरीकरणाची आवश्यकता आहे का? नाही. GDPR नोटरीकरणाची आवश्यकता नाही. एक साइन केलेला लेखी करार (इलेक्ट्रॉनिक स्वाक्षऱ्या समाविष्ट) पुरेसे आहे.
संदर्भ
[1] डेटा प्रोसेसिंग करार - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai