Vendor contract-இல் personal data பற்றி என்ன இருக்க வேண்டும்?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: ஆம், personal data-வைத் தொடும் ஒவ்வொரு vendor-க்கும்
உங்கள் vendors personal data-வை வைத்து என்ன செய்கிறார்களோ, அதற்கு நீங்களே பொறுப்பு. Contract-இல் இவை இருக்க வேண்டும்: அவர்களுக்கு என்ன data போகிறது, எந்த purpose-க்கு, அவர்கள் வைக்க வேண்டிய security, incident நடந்தால் எவ்வளவு சீக்கிரம் உங்களுக்குச் சொல்ல வேண்டும், sub-contractors-க்கு உங்கள் approval தேவை என்பது, முடிவில் data எப்படித் திருப்பித் தரப்படும் அல்லது delete செய்யப்படும் என்பது.
சட்டம் என்ன சொல்கிறது
Section 8(1): பொறுப்பு உங்களிடமே இருக்கிறது. Section 8(2): valid contract இருந்தால் மட்டுமே processor-ஐப் பயன்படுத்தலாம். Rule 6: அந்த contract-இல் security terms கேட்கிறது.
- Section 8(1)–(2): Data Fiduciary responsibility — vendor வேலை செய்தாலும் பொறுப்பு உங்களுடையது. Data எதற்காக, எப்படிப் பயன்படுத்தப்படுகிறது என்று முடிவு செய்யும் நிறுவனமே (Data Fiduciary) பொறுப்பு. வேலையை ஒரு vendor (Data Processor) செய்தாலும் இது மாறாது. Valid contract இருந்தால் மட்டுமே ஒரு processor-ஐ engage செய்யலாம்.
- Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
- Section 8(6) · Rule 7: Data Breach intimation — பாதிக்கப்பட்டவர்களுக்குத் தெரிவித்தல். Personal data breach பற்றித் தெரியவந்தவுடன், பாதிக்கப்பட்ட ஒவ்வொருவருக்கும் Data Protection Board-க்கும் தாமதமின்றித் தெரிவிக்க வேண்டும். 72 மணி நேரத்துக்குள் Board-க்கு விரிவான report அனுப்ப வேண்டும். Request செய்து Board கூடுதல் காலம் அனுமதித்தால், அந்தக் காலத்துக்குள் அனுப்பலாம்.
- Section 8(7) · Rule 8: Erasure and retention — எப்போது நீக்க வேண்டும், எவ்வளவு காலம் வைக்க வேண்டும். Purpose முடிந்தவுடன் அல்லது consent திரும்பப் பெறப்பட்டவுடன் personal data-வை erase செய்ய வேண்டும். ஏதாவது சட்டம் அதை வைத்திருக்கச் சொன்னால் மட்டுமே விதிவிலக்கு. உங்கள் processors-உம் erase செய்வதை உறுதிசெய்யுங்கள். Rules-இல் சொல்லப்பட்ட purposes-க்காக, ஒவ்வொரு Data Fiduciary-உம் personal data, traffic data, logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருக்க வேண்டும் என்று Rule 8(3) சொல்கிறது.
Steps
- Personal data-வைப் பெறும் அல்லது பார்க்க முடியும் vendors-ஐ list செய்யுங்கள்.
- எவ்வளவு data, எவ்வளவு sensitive என்பதை வைத்து அவர்களை வரிசைப்படுத்துங்கள்.
- ஒவ்வொரு contract-க்கும் ஒரு data-protection schedule சேருங்கள்; முதல் பத்து vendors-இலிருந்து தொடங்குங்கள்.
- Evidence கேளுங்கள்: certificates, test results, deletion confirmations.
- முக்கிய vendors-ஐ வருடந்தோறும் review செய்யுங்கள்.
வைத்திருக்க வேண்டிய evidence
- Vendor register
- Sign செய்யப்பட்ட data-protection schedules
- வருடாந்திர review notes
பொதுவான தவறுகள்
- Vendor-இன் standard terms-ஐயே நம்பியிருப்பது
- Incident-ஐச் சொல்ல நேர வரம்பு இல்லை
- Exit மற்றும் deletion clause இல்லை
யார் என்ன செய்ய வேண்டும்
- DPO / Privacy Lead: Vendor register-ஐ IT, Procurement-உடன் சேர்ந்து வையுங்கள். எந்த vendors-இடம் personal data risk அதிகம், யாரை முதலில் review செய்வது என்பதை நீங்கள் முடிவு செய்யுங்கள்.
- CISO / Security Head: Technical schedule-ஐ நீங்கள் வையுங்கள்: மணி நேரங்களில் incident notice, logging, MFA, sub-contractor approval. ஆண்டுக்கு ஒரு முறை evidence கேளுங்கள்.
- CIO / IT Head: எந்த vendors data-வைப் பார்ப்பார்கள் என்பதை உங்கள் architecture முடிவுகள்தான் தீர்மானிக்கின்றன. Vendors-க்குத் தேவையானதை மட்டும் அனுப்பும் designs-ஐத் தேர்வு செய்யுங்கள்.
- CEO / MD: அதிக personal data வைத்திருக்கும் முதல் பத்து vendors list-ஐக் கேளுங்கள். அந்த list தயாராகப் பல வாரங்கள் ஆனால், அதுதான் முதல் gap.
- Director: அதிக personal data வைத்திருக்கும் மூன்று vendors யார், அவர்களின் contracts கடைசியாக எப்போது review செய்யப்பட்டன என்று கேளுங்கள்.
- Legal & Compliance: ஒரே data-protection schedule-ஐ draft செய்து, personal data சம்பந்தப்பட்ட ஒவ்வொரு contract-க்கும் அதையே பயன்படுத்துங்கள்.
- Chief Risk Officer: Vendor risk தான் வழக்கமாக மிகப் பெரிய ஒற்றை item. முக்கிய vendors-ஐத் தனித்தனி risk lines ஆக track செய்யுங்கள்.
- Internal Audit Head: மிகப் பெரிய மூன்று vendors-ஐ எடுத்து, அவர்களின் contracts-ஐ அந்த ஆறு விஷயங்களுடன் ஒப்பிட்டுப் படியுங்கள்.
- CFO / Finance Head: Vendors-உடனான contract மாற்றங்களில்தான் finance-உம் DPDP-யும் சந்திக்கின்றன. Procurement-உடன் சேர்ந்து அவற்றை track செய்யுங்கள்.
- Data & Analytics Head: Analytics, cloud vendors பெரிய copies-ஐப் பெறுகிறார்கள். அவர்களின் terms-ஐப் பாருங்கள்.
- Marketing Head (CMO): Agencies-க்கும் ad platforms-க்கும் data terms வேண்டும்.
- IT துறை: Vendor access named, நேர வரம்புடன், log செய்யப்பட்டதாக உள்ளதா என்று பாருங்கள்.
- Admin துறை: Security, housekeeping, transport, CCTV vendors எல்லோரும் personal data-வைத் தொடுகிறார்கள். அவர்களின் contracts-இல் data terms வேண்டும்.
- Finance துறை: Payroll, payment, collection vendors sensitive data வைத்திருக்கிறார்கள். அவர்களின் contracts-ஐப் பாருங்கள்.
- Marketing துறை: Agencies, ad platforms, event partners data பெறுகிறார்கள். அவர்களின் contracts-இல் data terms வேண்டும்.
- Legal துறை: ஒரு standard data-protection schedule வையுங்கள், அதை வலியுறுத்துங்கள்.
- Procurement துறை: Personal data சம்பந்தப்பட்ட ஒவ்வொரு purchase-இலும் data-protection schedule-ஐச் சேருங்கள். அது இல்லாமல் கையெழுத்திட வேண்டாம்.
- Internal Audit துறை: முக்கிய contracts-ஐப் படியுங்கள்.
- Information security / SOC துறை: Vendor access-ஐ monitor செய்யுங்கள்.
- Facilities & security துறை: Security agency-உடனான contracts.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“எங்கள் முக்கிய vendors-இன் contracts-இல் data terms உள்ளன; incident-ஐச் சொல்லக் குறுகிய நேர வரம்பும் உள்ளது. அவற்றை வருடந்தோறும் review செய்கிறோம்.” முயற்சியும் நேரமும்: நடுத்தரம் · முக்கிய vendors-க்கு 8 முதல் 16 வாரங்கள்.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →