Vendor contract मध्ये personal data बद्दल काय असायला हवे?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: हो, personal data हाताळणाऱ्या प्रत्येक vendor साठी
तुमचे vendors personal data चे जे करतात, त्याची जबाबदारी तुमचीच राहते. Contract मध्ये हे हवे: त्यांना कोणता data मिळतो, कोणत्या purpose साठी, त्यांनी कोणती security ठेवायची, incident झाल्यास किती लवकर कळवायचे, sub-contractors साठी तुमची approval लागेल, आणि शेवटी data परत कसा द्यायचा किंवा delete कसा करायचा.
कायदा काय सांगतो
Section 8(1) नुसार जबाबदारी तुमच्याकडेच राहते. Section 8(2) नुसार processor फक्त valid contract खालीच नेमता येतो. Rule 6 नुसार त्या contract मध्ये security terms हवेत.
- Section 8(1)–(2): Obligations of Data Fiduciary — vendors ची जबाबदारी. Data का आणि कसा वापरायचा हे ठरवणारी संस्था (Data Fiduciary) जबाबदार राहते, काम vendor (Data Processor) करत असला तरीही. Processor ला फक्त valid contract अंतर्गतच काम देता येते.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
- Section 8(6) · Rule 7: Personal data breach intimation — breach बद्दल कळवणे. Personal data breach लक्षात येताच, प्रत्येक बाधित व्यक्तीला आणि Data Protection Board ला विलंब न करता कळवा. Board ला 72 तासांच्या आत सविस्तर report पाठवा. Request केल्यावर Board ने जास्त वेळ दिला, तर त्या मुदतीत.
- Section 8(7) · Rule 8: Erasure and retention — data delete करणे आणि ठेवणे. Purpose संपला किंवा consent withdraw झाला की personal data delete करा. एखाद्या कायद्याने तो ठेवणे बंधनकारक असेल, तर तेवढा अपवाद. तुमच्या processors कडूनही तो delete करून घ्या. Rule 8(3) नुसार प्रत्येक Data Fiduciary ने Rules मध्ये दिलेल्या purposes साठी personal data, traffic data आणि logs किमान एक वर्ष ठेवायचे आहेत.
Steps
- Personal data मिळणाऱ्या किंवा पाहू शकणाऱ्या vendors ची यादी करा.
- किती data आणि किती sensitive, यानुसार त्यांचा क्रम लावा.
- प्रत्येक contract ला data-protection schedule जोडा, top ten पासून सुरुवात करा.
- Evidence मागा: certificates, test results, deletion confirmations.
- Top vendors चा दरवर्षी review करा.
ठेवायचा evidence
- Vendor register
- Signed data-protection schedules
- दरवर्षीच्या review च्या notes
नेहमीच्या चुका
- Vendor च्या standard terms वरच अवलंबून राहणे
- Incident कळवण्याची मुदतच नाही
- Exit आणि deletion clause नाही
कोणाची काय जबाबदारी
- DPO / Privacy Lead: Vendor register IT आणि Procurement सोबत ठेवा. कोणत्या vendors कडे personal data चा सर्वात जास्त risk आहे, आणि आधी कोणाचे review करायचे, हे तुम्ही ठरवा.
- CISO / Security Head: Vendors साठी technical schedule तुम्ही ठरवा: incident notice काही तासांत, logging, MFA, आणि sub-contractor साठी तुमची approval. वर्षातून एकदा evidence मागा.
- CIO / IT Head: कोणत्या vendors ना data दिसणार, हे तुमचे architecture decisions ठरवतात. Vendors ना फक्त गरजेपुरते पाठवणारे designs निवडा.
- CEO / MD: Personal data किती आहे त्यानुसार top ten vendors ची list मागा. ती list बनवायला आठवडे लागत असतील, तर तोच पहिला gap आहे.
- Director: सर्वात जास्त personal data कोणत्या तीन vendors कडे आहे, आणि त्यांचे contracts शेवटचे कधी review झाले, ते विचारा.
- Legal & Compliance: एक data-protection schedule draft करा, आणि personal data असलेल्या प्रत्येक contract साठी तेच वापरा.
- Chief Risk Officer: Vendor risk हा सहसा सर्वात मोठा single item असतो. Top vendors वेगवेगळ्या risk lines म्हणून track करा.
- Internal Audit Head: सर्वात मोठे तीन vendors निवडा, आणि त्यांचे contracts त्या सहा मुद्द्यांशी पडताळून वाचा.
- CFO / Finance Head: Vendors सोबतचे contract changes इथेच finance आणि DPDP एकत्र येतात. Procurement सोबत ते track करा.
- Data & Analytics Head: Analytics आणि cloud vendors कडे मोठ्या copies जातात. त्यांचे terms तपासा.
- Marketing Head (CMO): Agencies आणि ad platforms साठी data terms हवेत.
- IT विभाग: Vendor access named, time-bound आणि logged आहे ना, ते तपासा.
- Administration विभाग: Security, housekeeping, transport आणि CCTV चे vendors, सगळेच personal data हाताळतात. त्यांच्या contracts मध्ये data terms असायला हवेत.
- Finance विभाग: Payroll, payment आणि collection vendors कडे sensitive data असतो. त्यांचे contracts तपासा.
- Marketing विभाग: Agencies, ad platforms आणि event partners ना data मिळतो. त्यांच्या contracts मध्ये data terms हवेत.
- Legal विभाग: एक standard data-protection schedule ठेवा, आणि तेच वापरण्याचा आग्रह धरा.
- Procurement विभाग: Personal data असलेल्या प्रत्येक purchase मध्ये data-protection schedule जोडा. त्याशिवाय sign करू नका.
- Internal Audit विभाग: Top contracts वाचा.
- Information security / SOC विभाग: Vendor access monitor करा.
- Facilities आणि physical security विभाग: Security agency contracts.
Management कडून चांगले उत्तर कसे असते
“आमच्या top vendors सोबत data terms आहेत, incident कळवण्याची मुदत कमी ठेवली आहे, आणि आम्ही दरवर्षी review करतो.” मेहनत आणि वेळ: मध्यम · top vendors साठी 8 ते 16 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →