डाटा प्रोसेसिंग एग्रीमेंट (DPA) क्या है?
जानें कि अनुपालन के लिए डाटा प्रोसेसिंग एग्रीमेंट (DPA) क्यों आवश्यक है। मुख्य धाराओं, क्षेत्राधिकार के अंतर और सुरक्षित डाटा शर्तों पर बातचीत के सुझावों को समझें।
छोटा जवाब
डाटा प्रोसेसिंग एग्रीमेंट (DPA) डाटा कंट्रोलर (data controller) और डाटा प्रोसेसर (data processor) के बीच एक कानूनी रूप से बाध्यकारी अनुबंध है। यह डाटा प्रोसेसिंग गतिविधियों के दायरे, प्रकृति और उद्देश्य को रेखांकित करता है, जिससे यह सुनिश्चित होता है कि दोनों पक्ष GDPR, CCPA, या डिजिटल व्यक्तिगत डाटा संरक्षण अधिनियम (DPDP Act) जैसे गोपनीयता नियमों का पालन करें। यह समझौता बताता है कि व्यक्तिगत डाटा को कैसे संभाला, संग्रहीत और सुरक्षित किया जाता है, जिससे अनधिकृत उपयोग को रोका जा सके। अनिवार्य रूप से, यह सुनिश्चित करता है कि प्रोसेसर केवल कंट्रोलर के निर्देशों पर कार्य करें और संवेदनशील जानकारी के लिए सख्त सुरक्षा मानक बनाए रखें।
क्या आपके पास कॉन्ट्रैक्ट है? Lawly AI से मुफ्त जांच के लिए अपलोड करें और अपने दस्तावेज़ में सही शब्द देखें।
DPA का मुख्य उद्देश्य
डाटा प्रोसेसिंग एग्रीमेंट एक रोडमैप के रूप में कार्य करता है कि बाहरी पक्षों द्वारा व्यक्तिगत जानकारी को कैसे संभाला जाएगा। यह केवल एक अच्छी प्रथा नहीं है, बल्कि यूरोपीय संघ के GDPR और ब्रिटेन के समान कानूनों के तहत एक कानूनी आवश्यकता है। DPA के बिना, क्लाउड प्रदाता या मार्केटिंग एजेंसी के साथ उपयोगकर्ता डाटा साझा करने वाली कंपनी को अनुपालन न करने के लिए भारी जुर्माने का सामना करना पड़ सकता है।
यह दस्तावेज़ 'कंट्रोलर' (जो तय करता है कि डाटा क्यों एकत्र किया गया है) और 'प्रोसेसर' (जो कंट्रोलर की ओर से डाटा संभालता है) की भूमिकाओं को स्पष्ट रूप से परिभाषित करता है। इस पर हस्ताक्षर करके, प्रोसेसर तकनीकी और संगठनात्मक सुरक्षा उपायों के संबंध में पर्याप्त गारंटी देने के लिए प्रतिबद्ध होता है।
क्षेत्राधिकार संबंधी अंतर और मानक
यूरोपीय संघ और ब्रिटेन में, GDPR के तहत DPA में विशिष्ट भाषा का होना अनिवार्य है, जिसमें ऑडिट और उल्लंघन की सूचना (breach notification) में सहायता करने का प्रोसेसर का कर्तव्य शामिल है। संयुक्त राज्य अमेरिका में, कोई एकल संघीय कानून नहीं है, लेकिन कैलिफोर्निया जैसे राज्यों के कानून (CCPA/CPRA) निवासियों के डाटा को संभालने वाले 'सेवा प्रदाताओं' के लिए समान अनुबंध सुरक्षा की मांग करते हैं।
भारत में, डिजिटल व्यक्तिगत डाटा संरक्षण अधिनियम (DPDP) ने डाटा फिडुशियरी (data fiduciaries) और प्रोसेसर के लिए सख्त आवश्यकताएं पेश की हैं। हालांकि शब्दावली अलग हो सकती है, वैश्विक रुझान अनिवार्य लिखित अनुबंधों की ओर बढ़ रहा है जो कंट्रोलर की पूर्व लिखित सहमति के बिना डाटा के अनधिकृत उप-प्रसंस्करण (sub-processing) को दंडित करते हैं।
- EU/UK GDPR: अनुच्छेद 28 के तहत अनिवार्य विशिष्ट धाराएं।
- USA (CCPA): व्यक्तिगत डाटा की बिक्री पर रोक लगाने पर केंद्रित है।
- भारत (DPDP): डाटा की सुरक्षा के लिए डाटा फिडुशियरी के कर्तव्य पर जोर देता है।
- मानक अनुबंध धाराएं (SCCs): अंतर्राष्ट्रीय डाटा हस्तांतरण के लिए उपयोग किया जाता है।
- देयता (Liability): बातचीत के दौरान अक्सर घर्षण का एक मुख्य बिंदु।
सब-प्रोसेंसिंग और पारदर्शिता
DPA का एक सबसे महत्वपूर्ण पहलू सब-प्रोसेसर (sub-processor) पर नियंत्रण है। सब-प्रोसेसर वह तीसरा पक्ष है जिसे प्रोसेसर अपने कर्तव्यों को निभाने में मदद के लिए नियुक्त करता है। कंट्रोलर को यह पता होना चाहिए कि उनका डाटा कहां जा रहा है, इसलिए DPA के तहत आमतौर पर प्रोसेसर को नए सब-कॉन्ट्रैक्टर जोड़ने से पहले अनुमोदन लेना आवश्यक होता है।
सब-प्रोसेसर सूची में नियमित अपडेट के माध्यम से पारदर्शिता बनाए रखी जाती है। यदि कोई कंट्रोलर सुरक्षा कारणों से नए सब-प्रोसेसर पर आपत्ति करता है, तो DPA में कंट्रोलर के लिए भारी जुर्माने के बिना सेवा समाप्त करने का तंत्र होना चाहिए।
सुरक्षा उपाय और ऑडिट
DPA में उन विशिष्ट सुरक्षा मानकों का विवरण होना चाहिए जिन्हें प्रोसेसर लागू करेगा, जैसे एन्क्रिप्शन (encryption), छद्म नामकरण (pseudonymization), और नियमित भेद्यता परीक्षण। यह कहना पर्याप्त नहीं है कि सुरक्षा 'उपयुक्त' होगी; अनुबंध में ISO 27001 या SOC 2 जैसे विशिष्ट प्रमाणपत्रों का संदर्भ होना चाहिए।
इसके अलावा, ऑडिट (audit) का अधिकार एक मानक आवश्यकता है। कंट्रोलर या एक स्वतंत्र ऑडिटर को सहमत शर्तों के अनुपालन सुनिश्चित करने के लिए प्रोसेसर की सुविधाओं या डिजिटल लॉग का निरीक्षण करने की अनुमति दी जानी चाहिए।
- संग्रहीत और भेजे जा रहे डाटा का एन्क्रिप्शन।
- डाटा संभालने वाले सभी कर्मियों के लिए गोपनीयता की बाध्यता।
- उल्लंघन की सूचना के लिए अनिवार्य 24-72 घंटे की समय सीमा।
- डाटा विषय पहुंच अनुरोध (DSARs) में सहायता।
- अनुबंध समाप्त होने के बाद डाटा हटाने या वापस करने का प्रोटोकॉल।
डाटा हटाना और वापसी
जब एक व्यावसायिक संबंध समाप्त होता है, तो DPA तय करता है कि शेष डाटा का क्या होगा। प्रोसेसर केवल अनिश्चित काल के लिए अपने अभिलेखागार में डाटा नहीं रख सकता है। उन्हें या तो इसे पूरी तरह से हटाना होगा या इसे उपयोग करने योग्य प्रारूप में कंट्रोलर को वापस करना होगा।
यह धारा कंट्रोलर को 'वेंडर लॉक-इन' से बचाती है और यह सुनिश्चित करती है कि डाटा विषय के 'विस्मृत होने के अधिकार' (right to be forgotten) का सम्मान किया जाए। प्रोसेसर को लिखित प्रमाण देना चाहिए कि बैकअप सहित डाटा की सभी प्रतियां हटा दी गई हैं।
नमूना क्लॉज़
इस गाइड के लिए लिखे गए उदाहरण - किसी असली कॉन्ट्रैक्ट से नहीं लिए गए।
प्रोसेसर कंट्रोलर को सूचित किए बिना अपने विवेक से तीसरे पक्ष के सब-प्रोसेसर नियुक्त कर सकता है। प्रोसेसर ऐसे सब-प्रोसेसरों के डाटा उल्लंघन के लिए उत्तरदायी नहीं होगा, और कंट्रोलर इन तीसरे पक्षों के ऑडिट करने के अधिकार को छोड़ देता है।
यह अत्यधिक जोखिम भरा है। यह सभी पारदर्शिता और जवाबदेही को हटा देता है, जिससे प्रोसेसर के अज्ञात भागीदारों के लिए कंट्रोलर उत्तरदायी हो जाता है।
प्रोसेसर कम से कम 30 दिन पहले सब-प्रोसेसरों को जोड़ने या बदलने के संबंध में किसी भी इच्छित परिवर्तन के बारे में कंट्रोलर को सूचित करेगा। कंट्रोलर उचित आधार पर ऐसे परिवर्तनों पर आपत्ति कर सकता है, जिस स्थिति में पक्ष समाधान खोजने के लिए नेक नियत से काम करेंगे।
यह संतुलित है। यह प्रोसेसर को बढ़ने की अनुमति देता है जबकि कंट्रोलर को दृश्यता और जोखिम भरे भागीदारों पर आपत्ति करने का अधिकार देता है।
किन बातों से सावधान रहें
- ऐसी धाराएं जो प्रोसेसर को अपने स्वयं के मार्केटिंग उद्देश्यों के लिए डाटा का उपयोग करने की अनुमति देती हैं।
- क्षतिपूर्ति सीमाएं (Indemnity caps) जो डाटा उल्लंघन के लिए प्रोसेसर की देयता को सीमित करती हैं।
- उल्लंघन की सूचना देने की समय सीमा के संबंध में अस्पष्ट भाषा।
- ऐसी शर्तें जो कंट्रोलर के सुरक्षा ऑडिट करने के अधिकार को छोड़ देती हैं।
- प्रावधान जो प्रोसेसर को सहमति के बिना उच्च जोखिम वाले क्षेत्राधिकारों में डाटा ले जाने की अनुमति देते हैं।
- अनुबंध समाप्त होने के बाद डाटा हटाने की कोई स्पष्ट प्रक्रिया नहीं।
क्या मांगें
- डाटा उल्लंघन सूचनाओं के लिए अधिकतम 48 घंटे की समय सीमा की मांग करें।
- निर्दिष्ट करें कि सब-प्रोसेसरों को उन्हीं अनुबंध मानकों पर रखा जाना चाहिए जैसे प्राथमिक प्रोसेसर को।
- सुनिश्चित करें कि ऑडिट करने का अधिकार उच्च प्रशासनिक शुल्क के नीचे न दबा हो।
- स्पष्ट करें कि प्रोसेसर द्वारा उपयोग किए जाने के लिए 'गुमनाम डाटा' (anonymized data) वास्तव में अपरिवर्तनीय होना चाहिए।
- DPA को मुख्य सेवा समझौते की समाप्ति धारा से जोड़ें।
अपने कॉन्ट्रैक्ट में जांचें
अपने एग्रीमेंट की PDF, Word फाइल या फोटो अपलोड करें - Lawly AI ज़रूरी क्लॉज़, सही शब्द, डेडलाइन और जोखिम आसान भाषा में बताएगा। पहले पांच दस्तावेज़ मुफ्त हैं।
How Counsl's AI legal document review worksअक्सर पूछे जाने वाले सवाल
क्या डाटा पहले से ही एन्क्रिप्टेड होने पर DPA की आवश्यकता है?
हाँ। एन्क्रिप्शन एक सुरक्षा उपाय है, लेकिन DPA कानूनी अधिकारों, जिम्मेदारियों और निर्देशों को कवर करता है जो डाटा की तकनीकी स्थिति के बावजूद लागू होते हैं।
यदि DPA लागू नहीं है तो क्या होगा?
दोनों पक्षों को नियामक जुर्माने का सामना करना पड़ सकता है, और प्रोसेसर के स्तर पर होने वाले किसी भी उल्लंघन के लिए कंट्रोलर को पूरी तरह से उत्तरदायी ठहराया जा सकता है।
क्या DPA मुख्य अनुबंध का हिस्सा हो सकता है?
हाँ, इसे अक्सर प्राथमिक सेवा समझौते के भीतर एक परिशिष्ट (addendum) या एक विशिष्ट 'डाटा सुरक्षा धारा' के रूप में शामिल किया जाता है।
क्या DPA कर्मचारी डाटा पर लागू होता है?
हाँ, यदि कोई तीसरा पक्ष (जैसे पेरोल प्रदाता) नियोक्ता की ओर से कर्मचारी डाटा संसाधित करता है, तो DPA की आवश्यकता होती है।
संबंधित गाइड
यह गाइड सामान्य शैक्षिक जानकारी है, कानूनी सलाह नहीं। कानून हर जगह अलग होता है। महत्वपूर्ण फैसले के लिए किसी योग्य वकील से बात करें।