व्याप्तीची समस्या
बहुतेक संस्था विक्रेता व्याप्ती 3-5 पट कमी लेखतात. खरेदी विभागाने राखलेली 'अधिकृत' विक्रेता यादी कदाचित खऱ्या प्रोसेसरपैकी एक तृतीयांश व्यापते. उर्वरित म्हणजे वैयक्तिक संघांनी जोडलेली साधने, खरेदी विभागाशिवाय घेतलेली बिंदू एकत्रीकरणे, विभागांनी वापरलेल्या SaaS च्या मोफत श्रेणी, कंत्राटदाराने आणलेले उप-विक्रेते.
सामान्य मध्यम आकाराच्या B2C कंपनीत पूर्ण यादी केल्यास 80-150 प्रोसेसर असतात. सामान्य B2B SaaS कंपनीत 30-80. दोघेही सरावाच्या सुरुवातीला आपल्या 'अधिकृत' यादीत 20-30 मोजतात.
क्रमवारी
तुम्ही सर्व काही एकाच वेळी दुरुस्त करू शकत नाही. 12-महिन्यांच्या कार्यक्रमासाठी योग्य क्रम:
महिने 1-2: शोध
प्रत्येक संघाचे सर्वेक्षण करा. नेटवर्क एग्रेस, OAuth अ‍ॅप्स, SaaS वर्गणीचे खर्च अहवाल, पेमेंट-अ‍ॅग्रिगेटर व्यवहार याद्या यांचे लेखापरीक्षण करा. निष्पत्ती: संपूर्ण विक्रेता यादी.
महिने 2-4: वर्गवारी
विक्रेत्यांचे जोखमीनुसार (डेटा संवेदनशीलता × प्रमाण × निर्णायकता) वर्गीकरण करा. वरचा स्तर: सर्वात मोठे, सर्वात संवेदनशील डेटा संच ठेवणारे 10-20 विक्रेते. यांना सखोल DPA, संपूर्ण सुरक्षा आढावा, आणि महत्त्वाचे असल्यास प्रत्यक्ष लेखापरीक्षण.
महिने 3-9: वरच्या-स्तराची दुरुस्ती
वरच्या-स्तरातील विक्रेत्यांसोबत DPA अद्यतनित करा. प्रत्येकासाठी Vendor DDQ (Template 08). उप-प्रोसेसर प्रवाह, उल्लंघन उत्तरदायित्व, नुकसानभरपाई नोंदवा. प्रति वरच्या-स्तराच्या विक्रेत्यासाठी सरासरी चक्र वेळ: 4-8 आठवड्यांची कायदेशीर-आणि-खरेदी देवाणघेवाण.
महिने 6-12: मध्य-स्तर
मध्य-स्तरातील विक्रेत्यांना प्रमाणित DPA परिशिष्ट. हलका DDQ. एकावेळी 5-10 च्या तुकड्यांत पूर्ण.
महिने 9-12: लांब शेपूट
खालच्या-स्तरातील विक्रेत्यांसाठी (कमी डेटा संवेदनशीलता, कमी प्रमाण) सोपा दृष्टिकोन: एक-पानी DPDP प्रमाणन, क्लिकरॅप DPA, किंवा तुमच्या प्रमाणित अटींचा संदर्भ देणारे करार कलम. जे खरोखर कमी-जोखमीचे आहे त्यावर कायदेशीर चक्र वेळ कमी करा.
Master DPA
आमच्या ग्रंथालयातील Template 07 हा Section 8(2) शी जुळणारा 14-कलमी Master DPA आहे. तो उद्देश मर्यादा, सुरक्षा, उल्लंघन अधिसूचना, उप-प्रोसेसर, लेखापरीक्षण हक्क, समाप्तीवर परतावा / नाश, आणि सहाय्यक वेळापत्रके व्यापतो. वरच्या-स्तराच्या दुरुस्तीसाठी हा तुमचा आधार बनवा.
प्रोसेसर यादी दस्तऐवज
एकच प्रोसेसर यादी राखा: विक्रेत्याचे नाव, वैयक्तिक डेटाच्या श्रेणी, उद्देश, तुम्हाला माहीत असलेले उप-प्रोसेसर, DPA स्थिती (स्वाक्षरित / प्रलंबित / कालबाह्य), DDQ गुण, शेवटच्या आढाव्याची तारीख. प्रोसेसरशी संबंधित कोणत्याही उल्लंघनाचा तपास करताना नियामक सर्वात आधी हाच दस्तऐवज मागेल.
'DPA नाही, गो-लाइव्ह नाही' धोरण
नवीन विक्रेता जोडणीसाठी सर्वात सोपे नियंत्रण: DPA नाही, उत्पादन प्रवेश नाही. खरेदी गेटला अंमलबजावणी बिंदू बनवा. तुम्ही दुरुस्त करू शकाल त्यापेक्षा वेगाने यादी वाढण्यापासून हे थांबवते.