अंतिम समीक्षा: 27 अगस्त 2026। आधार: DPDP Act, 2023 और DPDP Rules, 2025 (नवंबर 2025 में अधिसूचित)।
SaaS कंपनियों के लिए DPDP अनुपालन एक ही प्रश्न पर टिका है: आप जिस भी व्यक्तिगत डेटा को छूते हैं, उसके प्रत्येक समुच्चय के लिए आप Data Fiduciary हैं या Data Processor? आपके प्लेटफ़ॉर्म में लोड किए गए ग्राहक डेटा के लिए आप लगभग हमेशा processor होते हैं, जिसका अर्थ है कि आप केवल अपने ग्राहक के साथ एक वैध अनुबंध के अंतर्गत कार्य करते हैं और Data Protection Board के प्रति क़ानूनी रूप से ग्राहक ही उत्तरदायी रहता है। अपने स्वयं के उपयोगकर्ताओं, संभावित ग्राहकों और कर्मचारियों के लिए आप Data Fiduciary हैं, जिन पर Section 5 से Section 8 तक के पूरे कर्तव्य लागू होते हैं। यह मार्गदर्शक उस कसौटी, processor-पक्ष के DPA, sub-processor प्रबंधन, और उन DPDP प्रश्नावलियों को कवर करता है जो एंटरप्राइज़ ग्राहक मई 2027 की प्रवर्तन तिथि से पहले ही भेजने लगे हैं।
क्या आप DPDP Act के अंतर्गत Data Processor हैं या Data Fiduciary?
Data Fiduciary प्रसंस्करण का प्रयोजन और साधन तय करता है; Data Processor fiduciary की ओर से प्रसंस्करण करता है। Act लगभग हर मूलभूत दायित्व (सूचना, सहमति, सुरक्षा उपाय, उल्लंघन-सूचना, अधिकार, विलोपन) fiduciary पर डालता है। Processor मुख्यतः Section 8 में दिखाई देता है: कोई fiduciary उसे 'केवल एक वैध अनुबंध के अंतर्गत' नियुक्त कर सकता है, और उस अनुबंध के बावजूद अनुपालन के लिए उत्तरदायी बना रहता है।
व्यावहारिक कसौटी
हमारे आकलन में, प्रत्येक डेटा-समुच्चय पर तीन प्रश्न इसे तय कर देते हैं:
यह डेटा एकत्र किया जाएगा, यह किसने तय किया, और क्यों? यदि आपके ग्राहक ने, तो आप उनके लिए प्रसंस्करण कर रहे हैं।
इसका प्रयोजन कौन बदल सकता है? यदि आप ग्राहक के निर्देश के बिना ऐसा नहीं कर सकते, तो आप processor हैं।
ये Data Principals किसके हैं? यदि संबंध आपसे नहीं बल्कि आपके ग्राहक से है, तो यह processor की स्थिति की ओर संकेत करता है।
उदाहरण
400 क्लाइंट कंपनियों के लिए वेतन और बैंक विवरण संग्रहीत करने वाला कोई payroll SaaS उस डेटा के लिए processor है: क्लाइंट ने उसे एकत्र करने का निर्णय लिया और वह कल ही विक्रेता बदल सकता है। वही कंपनी उन HR प्रबंधकों के लिए fiduciary है जो लॉगिन करते हैं, क्योंकि उसने उनके नाम, ईमेल और लॉगिन लॉग अपने ही खाता-प्रबंधन के लिए एकत्र करना चुना।
ऐसा CRM या एनालिटिक्स उत्पाद जो बेंचमार्क मॉडल बनाने हेतु ग्राहक डेटा को एकत्रित करता है, कठिन मामला है। यदि वह ग्राहक डेटा का उपयोग अपने उत्पाद-सुधार या मॉडल-प्रशिक्षण के लिए करता है, तो वह अपना एक प्रयोजन तय कर रहा है, और हमारे आकलन में उस प्रसंस्करण के लिए fiduciary बन जाता है। Act and Rules Explorer इन परिभाषाओं के सटीक वैधानिक शब्द देता है।
DPDP Act के अंतर्गत किसी Data Processor को वास्तव में क्या करना होता है
ये दायित्व Section 8 और DPDP Rules, 2025 (नवंबर 2025 में अधिसूचित) से आपके अनुबंध के माध्यम से आते हैं, साथ ही अप्रैल 2022 के CERT-In Directions जो आप पर सीधे लागू होते हैं।
| दायित्व | स्रोत | SaaS processor के लिए इसका अर्थ |
|---|---|---|
| केवल एक वैध अनुबंध के अंतर्गत कार्य करना | s.8 | डेटा-संबंधी शर्तों वाले हस्ताक्षरित समझौते के बाहर ग्राहक के व्यक्तिगत डेटा का कोई प्रसंस्करण नहीं। 'काग़ज़ी काम बाद में कर लेंगे' इसकी पूर्ति नहीं करता। |
| केवल प्रलेखित निर्देशों पर प्रसंस्करण | संविदात्मक, s.8 से निकला हुआ | डेटा का उपयोग केवल अनुबंधित सेवा देने हेतु करें। एनालिटिक्स, मॉडल-प्रशिक्षण या बेंचमार्किंग के लिए स्पष्ट प्राधिकार चाहिए। |
| उचित सुरक्षा उपाय | s.8, सुरक्षा उपायों पर Rules | एन्क्रिप्शन, पहुँच नियंत्रण, एक वर्ष के प्रतिधारण सहित लॉगिंग, बैकअप, संविदात्मक उपाय। ग्राहक आश्वासन नहीं, प्रमाण चाहते हैं। |
| उल्लंघन में सहयोग | s.8, उल्लंघन-सूचना पर Rules | fiduciary को principals और Board को बिना विलंब सूचित करना होगा तथा 72 घंटे के भीतर विस्तृत रिपोर्ट देनी होगी। ग्राहक को आपकी सूचना इतनी शीघ्र होनी चाहिए कि यह संभव हो सके। |
| समाप्ति पर विलोपन | अनुबंध के माध्यम से s.8 | निकास पर डेटा हटाएँ या लौटाएँ, जिसमें एक निर्धारित अवधि के भीतर बैकअप भी शामिल हैं, और उसका प्रमाणन दें। |
| CERT-In घटना रिपोर्टिंग | CERT-In Directions, अप्रैल 2022 | सूचीबद्ध घटनाएँ 6 घंटे के भीतर रिपोर्ट करें, लॉग 180 दिन भारत के भीतर रखें, NTP सिंक। यह आप पर सीधे लागू होता है। |
वैधानिक दायित्व आपके ग्राहक पर है; अनुबंध उसे आपका बना देता है। एक कमज़ोर DPA ही वह रास्ता है जिससे आप कर्तव्यों के प्रबंधनीय समुच्चय के बजाय एक असीमित क्षतिपूर्ति स्वीकार कर बैठते हैं। दाँव पर क्या है, यह बताता है कि ग्राहक इतने आक्रामक क्यों हैं: Schedule के अंतर्गत, सुरक्षा उपायों की विफलता पर Rs 250 crore तक और उल्लंघन की सूचना न देने पर Rs 200 crore तक का जुर्माना है। ये जुर्माने fiduciary पर पड़ते हैं, जो उस processor से वसूली चाहेगा जिसका नियंत्रण विफल हुआ। हमारा जुर्माना Schedule व्याख्याता प्रत्येक स्तर को समझाता है।
भारत के ग्राहक जिस SaaS डेटा प्रसंस्करण समझौते की अपेक्षा करेंगे, उसमें क्या होना चाहिए
DPA का कोई निर्धारित प्रारूप नहीं है। व्यवहार में बाज़ार GDPR के Article 28 शैली के दस्तावेज़ों की ओर बढ़ रहा है, जिन्हें भारतीय क़ानून के अनुसार समायोजित किया गया हो। भारत के ग्राहक जिस SaaS डेटा प्रसंस्करण समझौते को स्वीकार करेंगे, उसमें निम्नलिखित शामिल होने चाहिए।
दायरा और निर्देश
डेटा श्रेणियाँ, Data Principals, प्रयोजन और अवधि परिभाषित करें। यह कहें कि आप केवल प्रलेखित निर्देशों पर प्रसंस्करण करते हैं, जिसमें सेवा-दस्तावेज़ीकरण और एडमिन कंसोल की सेटिंग्स निर्देश मानी जाएँगी, और भारतीय क़ानून द्वारा अपेक्षित प्रसंस्करण को अलग रखें।
सुरक्षा उपाय
Rules की सुरक्षा-उपाय सूची से मैप किया गया एक सुरक्षा अनुलग्नक जोड़ें: पारगमन और विश्राम दोनों में एन्क्रिप्शन, भूमिका-आधारित पहुँच, विशेषाधिकार-प्राप्त पहुँच के लिए MFA, एक वर्ष के प्रतिधारण सहित केंद्रीकृत लॉगिंग, परखे गए बैकअप, भेद्यता प्रबंधन। यदि आपके पास हैं तो ISO 27001 या SOC 2 Type II का उल्लेख करें। 'बैंक-स्तरीय सुरक्षा' नहीं, बल्कि विशिष्ट और सत्यापन-योग्य नियंत्रणों का वचन दें।
उल्लंघन-सूचना की समय-सीमा
यही वह खंड है जिस पर ग्राहक सबसे कड़ी बातचीत करते हैं। चूँकि fiduciary को Board को बिना विलंब सूचित करना होता है और 72 घंटे के भीतर रिपोर्ट देनी होती है, अधिकांश एंटरप्राइज़ ग्राहक पुष्टि के 24 घंटे के भीतर processor की सूचना माँगते हैं, और कुछ 12 घंटे के भीतर। जो आपकी घटना-प्रक्रिया वास्तव में दे सकती है, उसी का वचन दें, और 'जानकारी में आना' को ध्यानपूर्वक परिभाषित करें। हमारा 72-घंटे उल्लंघन-प्रतिक्रिया मार्गदर्शक ऐसी समय-रेखा देता है जो processor की ओर से भी काम करती है।
Sub-processing
अपने रजिस्टर में दर्ज sub-processors के लिए सामान्य लिखित प्राधिकार लें, तथा किसी नए को जोड़ने से पहले एक सूचना-अवधि (सामान्यतः 30 दिन) और आपत्ति का अधिकार रखें। समकक्ष शर्तें आगे तक पहुँचाने और sub-processor के प्रदर्शन के लिए उत्तरदायी बने रहने का वचन दें।
सीमा-पार स्थानांतरण
Section 16 भारत से बाहर स्थानांतरण की अनुमति देती है, सिवाय उन देशों के जिन्हें केंद्र सरकार की अधिसूचना द्वारा प्रतिबंधित किया गया हो। होस्टिंग क्षेत्रों और विदेश से मिलने वाली सहायता-पहुँच को प्रकट करें, और किसी भी प्रतिबंध-अधिसूचना के अनुपालन का वचन दें। हमारा Section 16 सीमा-पार व्याख्याता देखें।
अधिकारों में सहायता, निकास और दायित्व
अधिकार-अनुरोधों के लिए उपकरण देने का वचन दें (ग्राहक को अपनी प्रकाशित प्रतिक्रिया-अवधि पूरी करनी होती है, जो Rules के अंतर्गत अधिकतम 90 दिन है), सूचना पर ऑडिट, जिसमें किसी तृतीय-पक्ष रिपोर्ट को प्रतिस्थापित करने का अधिकार हो, तथा समाप्ति के बाद एक निर्धारित अवधि के भीतर विलोपन, जिसकी लिखित पुष्टि हो। असीमित दायित्व का विरोध करें; वार्षिक अनुबंध मूल्य के दो से तीन गुना की एक ऊपरी सीमा सामान्य व्यावसायिक पड़ाव है। DPDP Starter Templates में एक विक्रेता समझौता पैक शामिल है जिसे processor-पक्ष के अनुरूप ढाला जा सकता है।
B2B सॉफ़्टवेयर के लिए DPDP: दोहरी भूमिका का जाल
B2B सॉफ़्टवेयर के लिए DPDP दिखने से कहीं अधिक कठिन है, क्योंकि अधिकांश SaaS कंपनियाँ ख़ुद को 'बस एक processor' मान लेती हैं और वहीं रुक जाती हैं। दोहरी भूमिका का जाल उन प्रवाहों का समुच्चय है जहाँ आप वास्तव में fiduciary हैं और किसी ने ध्यान ही नहीं दिया।
आपके ग्राहक के उपयोगकर्ताओं से जुड़ा उत्पाद-उपयोग डेटा। अपने ही एनालिटिक्स के लिए एकत्र किए गए लॉगिन समय, फ़ीचर क्लिक और सेशन रिकॉर्डिंग आपको उस डेटा के लिए fiduciary बना देते हैं, जिसके लिए Section 5 की सूचना और Section 6 या 7 का आधार चाहिए।
आपके अपने कर्मचारी। Section 7 रोज़गार संबंधी एक legitimate use देती है, परंतु सुरक्षा उपाय, उल्लंघन-प्रबंधन और शिकायत-संपर्क फिर भी लागू रहते हैं।
संभावित ग्राहक और वेबसाइट आगंतुक। फ़ॉर्म भरना, कुकी ट्रैकिंग और लीड एनरिचमेंट पहले बाइट से ही fiduciary गतिविधियाँ हैं। यह मान लेने से पहले कि कोई legitimate use B2B प्रॉस्पेक्टिंग को कवर करता है, हमारा Section 7 वैध-आधार व्याख्याता पढ़ें; हमारे आकलन में सामान्यतः वह कवर नहीं करता।
इसका समाधान है एक ऐसी डेटा इन्वेंट्री जो प्रत्येक डेटा-समुच्चय को एक भूमिका सौंपे। 'fiduciary' के रूप में चिह्नित प्रवाह आपके अपने अनुपालन कार्यक्रम से गुज़रते हैं: सूचना, वैध आधार, प्रतिधारण, अधिकार-प्रबंधन। 'processor' के रूप में चिह्नित प्रवाह ऊपर बताए गए अनुबंध कार्यक्रम से गुज़रते हैं। जो प्रवाह दोनों रूपों में चिह्नित हो, जैसे उत्पाद टेलीमेट्री, उसे परामर्शदाता तक पहुँचाना चाहिए। DPDP 101 उन उत्पाद और मार्केटिंग टीमों के लिए अच्छी बुनियाद है जिन्हें कारण समझना है।
Sub-processor DPDP फ़्लो-डाउन और वह रजिस्टर जो आपको रखना होगा
हर SaaS कंपनी sub-processors का उपयोग करती है: होस्टिंग, ईमेल डिलीवरी, भुगतान गेटवे, त्रुटि-ट्रैकिंग और, बढ़ते हुए, AI मॉडल प्रदाता। एक sub-processor DPDP फ़्लो-डाउन उनमें से प्रत्येक को कम-से-कम उतनी ही सुरक्षात्मक शर्तों से बाँधता है जितनी आपके अपने DPA में हैं, क्योंकि आपके ग्राहक की Section 8 वाली ज़िम्मेदारी आपके होते हुए उन तक जाती है।
फ़्लो-डाउन के तीन नियम
पहला, डेटा प्रसंस्करण शर्तों के बिना कोई व्यक्तिगत डेटा किसी विक्रेता तक नहीं पहुँचे। क्लिक-थ्रू ToS भी एक अनुबंध है, परंतु उसे पढ़ें: कई अमेरिकी विक्रेताओं की शर्तें उत्पाद-सुधार संबंधी ऐसे उपयोगों की अनुमति देती हैं जिनका प्राधिकार आपके ग्राहकों ने नहीं दिया है।
दूसरा, प्रत्येक sub-processor को उस डेटा से मैप करें जिसे वह छू सकता है; पूरे request payload प्राप्त करने वाला कोई त्रुटि-ट्रैकिंग टूल अपनी श्रेणी के संकेत से कहीं अधिक देखता है।
तीसरा, एक रजिस्टर और एक परिवर्तन-सूचना प्रक्रिया बनाए रखें; ग्राहक उस पर आपत्ति नहीं कर सकते जिसे वे देख ही नहीं सकते। हमारा विक्रेता-सुधार व्याख्याता उन विक्रेताओं को कवर करता है जो हस्ताक्षर करने से मना कर देते हैं।
Sub-processor रजिस्टर टेम्पलेट
| Sub-processor | प्रदान की गई सेवा | अभिगम्य डेटा श्रेणियाँ | Data Principal के प्रकार | होस्टिंग स्थान | अनुबंध और सुरक्षा उपाय | जोड़ने की तिथि | समीक्षा तिथि |
|---|---|---|---|---|---|---|---|
| क्लाउड IaaS प्रदाता | कंप्यूट, स्टोरेज, बैकअप | विश्राम में समस्त ग्राहक डेटा | ग्राहक के उपयोगकर्ता, अंतिम ग्राहक | मुंबई और हैदराबाद क्षेत्र | DPA सहित एंटरप्राइज़ समझौता; ISO 27001, SOC 2 Type II | 01 अप्रैल 2024 | 01 अप्रैल 2027 |
| लेनदेन ईमेल सेवा | सूचना और OTP डिलीवरी | नाम, ईमेल, फ़ोन | ग्राहक के उपयोगकर्ता | सिंगापुर | DPA हस्ताक्षरित; पारगमन में एन्क्रिप्शन; 30-दिन लॉग प्रतिधारण | 15 जून 2024 | 15 जून 2027 |
| त्रुटि निगरानी टूल | एप्लिकेशन अपवाद कैप्चर | Request payloads (स्क्रब किए गए), उपयोगकर्ता IDs, IP | ग्राहक के उपयोगकर्ता | संयुक्त राज्य अमेरिका | मानक DPA; PII स्क्रबिंग सक्षम; 90-दिन प्रतिधारण | 10 जनवरी 2025 | 10 जनवरी 2027 |
| LLM API प्रदाता | AI फ़ीचर | Prompt टेक्स्ट, जिसमें व्यक्तिगत डेटा हो सकता है | ग्राहक के उपयोगकर्ता | संयुक्त राज्य अमेरिका | शून्य-प्रतिधारण एंडपॉइंट; इनपुट पर कोई प्रशिक्षण नहीं; DPA हस्ताक्षरित | 05 अगस्त 2025 | 05 फ़रवरी 2027 |
रजिस्टर को संस्करण-नियंत्रण में रखें; समीक्षा-तिथि वाला कॉलम ग्राहकों को दिखाता है कि आप वास्तव में इसका प्रबंधन करते हैं।
ग्राहकों की DPDP प्रश्नावलियों का उत्तर कैसे दें और ट्रस्ट पेज पर क्या रखें
बैंकिंग, बीमा, फ़ार्मा और IT सेवाओं की ख़रीद टीमें पहले से ही SaaS विक्रेताओं को DPDP प्रश्नावलियाँ भेज रही हैं। प्रश्न पूर्वानुमेय हैं, और जो विक्रेता सबसे तेज़ उत्तर देते हैं वे सौदे जीतते हैं।
आपसे जो प्रश्न पूछे जाएँगे
| प्रश्न | एक सशक्त उत्तर में क्या होता है |
|---|---|
| हमारे डेटा के लिए आप fiduciary हैं या processor? | 'आप जो डेटा प्लेटफ़ॉर्म में लोड करते हैं उसके लिए processor; आपके एडमिन उपयोगकर्ताओं के खाता-डेटा के लिए fiduciary, जैसा हमारी गोपनीयता सूचना में वर्णित है।' |
| हमारा डेटा कहाँ संग्रहीत होता है? | बैकअप और DR सहित नामित क्षेत्र, तथा नियंत्रणों के साथ विदेश से मिलने वाली सहायता-पहुँच। |
| आपके सुरक्षा उपाय क्या हैं? | Rules की सूची से मैपिंग, प्रमाणन, अंतिम पेनिट्रेशन टेस्ट, लॉग प्रतिधारण। |
| उल्लंघन की सूचना आप हमें कितनी शीघ्र देंगे? | घंटों की एक विशिष्ट संख्या, उन्नयन-मार्ग, और यह कि पहली सूचना में क्या होगा। |
| आपके sub-processors कौन हैं? | परिवर्तन-सूचना प्रक्रिया सहित रजिस्टर का लिंक। |
| समाप्ति पर हमारे डेटा का क्या होता है? | विलोपन अवधि, बैकअप शुद्धिकरण की समय-रेखा, विलोपन प्रमाणपत्र। |
ट्रस्ट पेज
एक सार्वजनिक ट्रस्ट पेज प्रश्नावलियों की संख्या घटा देता है। उसमें आपका भूमिका-कथन, होस्टिंग और डेटा-निवास का सारांश, Rules के सुरक्षा उपायों से मैप किया गया सुरक्षा अवलोकन, आपका sub-processor रजिस्टर, आपका मानक DPA, आपकी उल्लंघन-सूचना प्रतिबद्धता, तिथियों सहित प्रमाणन, और शिकायतों हेतु एक नामित गोपनीयता संपर्क होना चाहिए। 'एंटरप्राइज़-स्तरीय सुरक्षा' किसी को नहीं मनाती; 'लॉग मुंबई क्षेत्र में 12 महीने रखे जाते हैं, सभी विशेषाधिकार-प्राप्त पहुँच पर MFA' मनाती है।
प्रकाशित करने से पहले अपनी processor प्रतिबद्धताओं और fiduciary दायित्वों — दोनों के विरुद्ध Readiness Checklist चलाएँ; नियंत्रणों को बढ़ा-चढ़ाकर बताने वाला ट्रस्ट पेज किसी विवाद में आपके ही विरुद्ध साक्ष्य बन जाता है। मई 2027 की प्रतीक्षा न करें: 2026 में हस्ताक्षरित अनुबंध तब भी प्रभावी रहेंगे जब प्रवर्तन आरंभ होगा।
अक्सर पूछे जाने वाले प्रश्न
यदि कोई SaaS कंपनी केवल processor है, तो क्या वह DPDP Act के अंतर्गत क़ानूनी रूप से उत्तरदायी है?
Act वैधानिक दायित्व और जुर्माने Data Fiduciary पर रखता है, जो processor के साथ किसी भी अनुबंध के बावजूद उत्तरदायी बना रहता है। व्यवहार में processor का दायित्व DPA के माध्यम से आता है, जिसमें क्षतिपूर्ति और उल्लंघन-सूचना की प्रतिबद्धताएँ शामिल हैं। Processor पर CERT-In Directions के अंतर्गत प्रत्यक्ष दायित्व भी होते हैं, जिनमें छह-घंटे की घटना-रिपोर्टिंग शामिल है।
यदि हमारे पास पहले से GDPR Article 28 का DPA है, तो क्या हमें DPDP-विशिष्ट DPA चाहिए?
GDPR का DPA अच्छा आधार है, परंतु उसमें समायोजन चाहिए। भारतीय ग्राहक DPDP Act और Rules के संदर्भ, ऐसी उल्लंघन-समय-सीमाएँ जो Board को fiduciary की 72-घंटे की रिपोर्ट में सहायक हों, और Section 16 की स्थानांतरण भाषा की अपेक्षा करेंगे। कई फ़र्में एक वैश्विक DPA और उसके साथ एक भारत परिशिष्ट रखती हैं।
क्या हम अपने AI मॉडलों को प्रशिक्षित करने या अपना उत्पाद बेहतर बनाने के लिए ग्राहक डेटा का उपयोग कर सकते हैं?
केवल तभी जब अनुबंध स्पष्ट रूप से इसका प्राधिकार देता हो, और हमारे आकलन में वह उपयोग आपको उस प्रसंस्करण के लिए fiduciary बना देता है, जिसकी अपनी सूचना और वैध-आधार अपेक्षाएँ होती हैं। एकत्रीकरण या अनामीकरण संबंधी खंड तभी सहायक होते हैं जब परिणाम वास्तव में व्यक्तिगत डेटा न रह जाए।
किसी processor को उल्लंघन की सूचना अपने ग्राहक को कितनी शीघ्र देनी होगी?
Act और Rules processor-से-fiduciary की कोई समय-सीमा तय नहीं करते; वे fiduciary से अपेक्षा करते हैं कि वह प्रभावित Data Principals और Board को बिना विलंब सूचित करे तथा 72 घंटे के भीतर विस्तृत रिपोर्ट दाख़िल करे। इसलिए एंटरप्राइज़ अनुबंध सामान्यतः पुष्टि के 12 से 24 घंटे के भीतर processor की सूचना अपेक्षित करते हैं।
क्या भारत से बाहर के sub-processors DPDP के अंतर्गत समस्या खड़ी करते हैं?
Section 16 सीमा-पार स्थानांतरण की अनुमति देती है, सिवाय उन देशों के जिन्हें केंद्र सरकार की अधिसूचना द्वारा प्रतिबंधित किया गया हो, इसलिए विदेशी sub-processors सामान्यतः अनुमेय हैं। अपने रजिस्टर में स्थान प्रकट करें, किसी भी भावी प्रतिबंध के अनुपालन का वचन दें, और भुगतान डेटा पर स्वतंत्र रूप से स्थानीयकरण लगाने वाली RBI अपेक्षाओं जैसे क्षेत्रीय नियम जाँच लें।
संबंधित व्याख्याता
अगला क़दम
यदि आपके ग्राहक पहले से DPDP प्रश्नावलियाँ भेज रहे हैं या आपके DPA में संशोधन माँग रहे हैं, तो एक processor-पक्षीय समीक्षा यह तय कर देगी कि आप किस बात का वचन दे सकते हैं और दोहरी भूमिका के अंतराल कहाँ हैं। हमारी Privacy Governance Review एक ही सेवा में आपके DPA, sub-processor रजिस्टर, सुरक्षा साक्ष्य और ट्रस्ट पेज को कवर करती है। इसे अपने अगले एंटरप्राइज़ नवीनीकरण चक्र से पहले बुक करें।