Vendor contract में personal data के बारे में क्या लिखा होना चाहिए?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: हाँ, हर उस vendor के लिए जो personal data छूता है
Vendors personal data के साथ जो करते हैं, उसकी ज़िम्मेदारी आपकी ही रहती है। Contract में लिखा हो कि उन्हें कौन-सा data मिलेगा, किस purpose के लिए, कौन-सी security रखनी है, incident होने पर कितनी जल्दी बताना है, sub-contractor के लिए आपकी मंज़ूरी चाहिए, और आखिर में data कैसे लौटेगा या delete होगा।
कानून क्या कहता है
Section 8(1) ज़िम्मेदारी आप पर रखता है। Section 8(2) processor को सिर्फ़ valid contract के तहत allow करता है। Rule 6 उस contract में security terms माँगता है।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(6) · Rule 7: Data Breach intimation — लोगों और Board को बताना. Personal data breach का पता चलते ही हर प्रभावित व्यक्ति और Data Protection Board को बिना देरी बताएँ। Board को 72 घंटे के अंदर detailed report भेजें, या request करने पर Board जो लंबा समय दे, उसके अंदर।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
Steps
- उन vendors की list बनाइए जिन्हें personal data मिलता है या जो उसे देख सकते हैं।
- Data कितना है और कितना sensitive, इस हिसाब से उन्हें rank कीजिए।
- हर contract में data-protection schedule जोड़िए, top ten से शुरू कीजिए।
- Evidence माँगिए: certificates, test results, deletion confirmations.
- Top vendors का हर साल review कीजिए।
कौन-सा evidence रखना है
- Vendor register
- Signed data-protection schedules
- Annual review notes
आम गलतियाँ
- Vendor की standard terms पर भरोसा कर लेना
- Incident बताने का कोई time तय नहीं
- कोई exit और deletion clause नहीं
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: Vendor register IT और Procurement के साथ मिलकर रखें। किन vendors में personal data का risk सबसे ज़्यादा है और किनका review पहले होगा, यह आप तय करते हैं।
- CISO / Security Head: Technical schedule आप तय करें: incident notice घंटों में, logging, MFA, sub-contractor approval। साल में एक बार evidence माँगें।
- CIO / IT Head: आपके architecture के फ़ैसले तय करते हैं कि कौन-से vendors data देखेंगे। ऐसा design चुनें जिसमें vendors को सिर्फ़ ज़रूरी data जाए।
- CEO / MD: Personal data के हिसाब से top दस vendors की list माँगें। अगर list बनने में हफ़्ते लगें, तो वही पहला gap है।
- Director: पूछें कि सबसे ज़्यादा personal data किन तीन vendors के पास है, और उनके contracts का आखिरी review कब हुआ।
- Legal & Compliance: एक data-protection schedule draft करें, और personal data वाले हर contract में वही इस्तेमाल करें।
- Chief Risk Officer: Vendor risk अक्सर सबसे बड़ा single item होता है। Top vendors को अलग risk lines के रूप में track करें।
- Internal Audit Head: तीन सबसे बड़े vendors चुनें, और उनके contracts उन छह बातों के against पढ़ें।
- CFO / Finance Head: Vendors के साथ contract changes वहीं हैं जहाँ finance और DPDP मिलते हैं। इन्हें procurement के साथ track करें।
- Data और Analytics Head: Analytics और cloud vendors के पास बड़ी copies जाती हैं। उनकी terms check करें।
- Marketing Head (CMO): Agencies और ad platforms के साथ data terms चाहिए।
- IT department: Check करें कि vendor access named, time-bound और logged हो।
- Administration department: Security, housekeeping, transport और CCTV vendors सभी personal data छूते हैं। उनके contracts में data terms चाहिए।
- Finance department: Payroll, payment और collection vendors के पास sensitive data होता है। उनके contracts check करें।
- Marketing department: Agencies, ad platforms और event partners को data मिलता है। उनके contracts में data terms चाहिए।
- Legal department: एक standard data-protection schedule रखें और उस पर ज़ोर दें।
- Procurement department: Personal data वाली हर purchase में data-protection schedule जोड़ें, और उसके बिना sign न करें।
- Internal Audit department: Top contracts पढ़ें।
- Information security / SOC department: Vendor access monitor करें।
- Facilities और physical security department: Security agency के contracts।
Management का अच्छा जवाब कैसा होता है
“हमारे top vendors के साथ data terms हैं, incident बताने का time छोटा है, और हम हर साल इनका review करते हैं।” Effort और समय: मध्यम · top vendors के लिए 8 से 16 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →