डेटा प्रसंस्करण समझौता (डीपीए)

मानक संविदात्मक प्रावधान

EUR-Lex (CELEX 32021D0915) के अनुसार निर्णय के परिशिष्ट में आधिकारिक पाठ। चयनित विकल्पों को [Option: …] से चिह्नित किया गया है, अचयनित विकल्पों को रेखांकित किया गया है; अन्यथा, पाठ अपरिवर्तित रहता है।

खंड I

धारा 1: उद्देश्य और क्षेत्राधिकार

क) ये मानक संविदात्मक धाराएँ (इसके पश्चात ‘धाराएँ’ के रूप में संदर्भित) विनियम (ईयू) के अनुच्छेद 28(3) और (4) के अनुपालन को सुनिश्चित करने के लिए अभिप्रेत हैं 2016/679 यूरोपीय संसद और परिषद का 27 अप्रैल 2016 का प्राकृतिक व्यक्तियों के व्यक्तिगत डेटा के प्रसंस्करण के संबंध में सुरक्षा और ऐसे डेटा के मुक्त आवागमन पर, और निर्देश 95/46/EC को निरस्त करने वाला। [चयन: विकल्प 1]

ख) परिशिष्ट I में सूचीबद्ध डेटा नियंत्रक और डेटा प्रोसेसर इन खंडों से सहमत हुए हैं ताकि विनियमन के अनुच्छेद 28(3) और (4) के अनुपालन को सुनिश्चित किया जा सके (EU) 2016/679 और/या विनियम (EU) 2018/1725 के अनुच्छेद 29(3) और (4)।

c) ये खंड अनुलग्नक II में निर्धारित अनुसार व्यक्तिगत डेटा की प्रसंस्करण पर लागू होते हैं।

d) परिशिष्ट I से IV इन खंडों का एक अभिन्न अंग हैं।

e) ये खंड उन दायित्वों के अधीन नहीं हैं जिनके नियंत्रक (controller) के अधीन विनियम (EU) 2016/679 और/या विनियम (EU) 2018/1725 के तहत है।

f) ये खंड अपने आप में यह सुनिश्चित नहीं करते हैं कि विनियम (ईयू) 2016/679 और/या विनियम (ईयू) 2018/1725 के अध्याय V के तहत अंतर्राष्ट्रीय डेटा हस्तांतरण से संबंधित दायित्वों को पूरा किया गया है।

धारा 2: धाराओं में संशोधन न करने का प्रावधान

क) पक्षकार, परिशिष्टों में दी गई जानकारी को पूरक या अद्यतन करने को छोड़कर, धाराओं ### मेंसंशोधन न करने के लिए प्रतिबद्ध हैं।

ख) यह पक्षों को इन खंडों में निर्धारित मानक संविदात्मक खंडों को एक अधिक व्यापक अनुबंध में शामिल करने और आगे के खंड या अतिरिक्त सुरक्षा उपाय जोड़ने से नहीं रोकेगा, बशर्ते कि वे प्रत्यक्ष या अप्रत्यक्ष रूप से खंडों के साथ टकराव न करें या डेटा विषयों के मौलिक अधिकारों या स्वतंत्रताओं को कम न करें।

धारा 3: व्याख्या

(क) जहाँ इन खंडों में विनियम (ईयू) 2016/679 या विनियम (ईयू) 2018/1725 में परिभाषित शर्तों का उपयोग किया गया है, तो उन शर्तों का वही अर्थ होगा जो संबंधित विनियम में है।

ख) इन खंडों की व्याख्या विनियम (ईयू) 2016/679 या विनियम (ईयू) 2018/1725 के प्रावधानों के आलोक में की जाएगी।

ग) इन खंडों की व्याख्या इस तरह से नहीं की जाएगी जो विनियम में प्रदान किए गए अधिकारों और दायित्वों के साथ संघर्ष करता हो (ईयू) 2016/679 या विनियमन (ईयू) 2018/1725, या जो डेटा विषयों के मौलिक अधिकारों या स्वतंत्रताओं को कम करता हो।

धारा 4: प्राथमिकता

इन खंडों और पक्षों के बीच मौजूदा या बाद की तारीख में किए गए या संपन्न हुए संबंधित समझौतों के प्रावधानों के बीच किसी भी संघर्ष की स्थिति में, ये खंड प्रभावी होंगे।

खंड 5 - वैकल्पिक: टाईिंग क्लॉज

[विकल्प: सहमत नहीं]

खंड II: पक्षकारों के दायित्व

धारा 6: प्रसंस्करण का विवरण

प्रसंस्करण संचालन का विवरण, विशेष रूप से नियंत्रक की ओर से संसाधित किए जाने वाले व्यक्तिगत डेटा की श्रेणियाँ और जिन उद्देश्यों के लिए व्यक्तिगत डेटा संसाधित किया जाता है, परिशिष्ट II में दिए गए हैं।

धारा 7: पक्षों के दायित्व

7.1. निर्देश

(क) प्रोसेसर केवल नियंत्रक के प्रलेखित निर्देशों पर ही व्यक्तिगत डेटा को संसाधित करेगा, जब तक कि वह यूनियन कानून या किसी सदस्य राज्य के कानून, जिसके वह अधीन है, के तहत ऐसा करने के लिए बाध्य न हो। ऐसे मामले में, प्रोसेसर को प्रसंस्करण से पहले उन कानूनी आवश्यकताओं के बारे में नियंत्रक को सूचित करना होगा, जब तक कि संबंधित कानून किसी महत्वपूर्ण सार्वजनिक हित के आधार पर इसे प्रतिबंधित न करे। नियंत्रक व्यक्तिगत डेटा के प्रसंस्करण की अवधि के दौरान और निर्देश जारी कर सकता है। इन निर्देशों का हमेशा दस्तावेजीकरण किया जाएगा।

(ख) यदि प्रोसेसर को यह लगता है कि नियंत्रक द्वारा जारी निर्देश विनियमन (ईयू) 2016/679 का उल्लंघन करते हैं, तो उसे बिना देरी के नियंत्रक को सूचित करना चाहिए, नियम (ईयू) 2018/1725 या संघ या सदस्य राज्यों के लागू डेटा सुरक्षा प्रावधानों का उल्लंघन करते हैं।

7.2. उद्देश्य की सीमा

प्रोसेसर केवल परिशिष्ट II में निर्दिष्ट विशिष्ट उद्देश्य(ओं) के लिए व्यक्तिगत डेटा को संसाधित करेगा, जब तक कि उसे नियंत्रक से आगे के निर्देश न मिलें।

7.3. व्यक्तिगत डेटा के प्रसंस्करण की अवधि

डेटा को प्रोसेसर द्वारा केवल अनुलग्नक II में निर्दिष्ट अवधि के लिए संसाधित किया जाएगा।

7.4. प्रसंस्करण की सुरक्षा

क) प्रोसेसर व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए कम से कम अनुलग्नक III में निर्धारित तकनीकी और संगठनात्मक उपायों को लागू करेगा। इसमें डेटा को सुरक्षा उल्लंघन से बचाना शामिल है, जो चाहे आकस्मिक हो या गैरकानूनी, डेटा के विनाश, हानि, परिवर्तन या अनधिकृत प्रकटीकरण, या डेटा तक अनधिकृत पहुँच का परिणाम हो (इसके बाद ‘व्यक्तिगत डेटा उल्लंघन’ कहा जाएगा)। सुरक्षा के उचित स्तर का आकलन करते समय, पक्षों को प्रौद्योगिकी की वर्तमान उन्नत स्थिति, कार्यान्वयन की लागत, प्रसंस्करण की प्रकृति, दायरा, संदर्भ और उद्देश्यों, और डेटा विषयों के लिए जोखिमों को उचित रूप से ध्यान में रखना चाहिए।

ख) डेटा प्रोसेसर अपने कर्मचारियों को संसाधित किए जा रहे व्यक्तिगत डेटा तक केवल अनुबंध के निष्पादन, प्रबंधन और निगरानी के लिए सख्त रूप से आवश्यक सीमा तक ही पहुंच प्रदान करेगा। डेटा प्रोसेसर यह सुनिश्चित करेगा कि प्राप्त व्यक्तिगत डेटा को संसाधित करने के लिए अधिकृत व्यक्ति गोपनीयता बनाए रखने के लिए प्रतिबद्ध हैं या वे गोपनीयता के उचित वैधानिक दायित्व के अधीन हैं।

7.5. संवेदनशील डेटा

जहाँ प्रसंस्करण नस्लीय या जातीय उत्पत्ति, राजनीतिक राय, धार्मिक या दार्शनिक विश्वास, या ट्रेड यूनियन सदस्यता प्रकट करने वाले व्यक्तिगत डेटा, या एक प्राकृतिक व्यक्ति की अनूठी पहचान करने के उद्देश्य से आनुवंशिक डेटा या बायोमेट्रिक डेटा से संबंधित है, किसी व्यक्ति के स्वास्थ्य, यौन जीवन या यौन अभिविन्यास, या आपराधिक दोषसिद्धि और अपराधों से संबंधित डेटा (इसके बाद ‘संवेदनशील डेटा’), पर प्रोसेसर विशिष्ट प्रतिबंध और/या अतिरिक्त सुरक्षा उपाय लागू करेगा।

7.6. दस्तावेज़ीकरण और खंडों का अनुपालन

क) पक्षकारों को इन खंडों के अनुपालन का प्रदर्शन करने में सक्षम होना चाहिए।

ख) प्रोसेसर इन खंडों के अनुसार डेटा की प्रक्रिया के संबंध में नियंत्रक से किसी भी पूछताछ से शीघ्रता से और उचित तरीके से निपटेगा।

ग) प्रोसेसर नियंत्रक को इन खंडों में निर्धारित और विनियम (ईयू) 2016/679 और/या विनियम से सीधे उत्पन्न होने वाले दायित्वों के अनुपालन का प्रदर्शन करने के लिए आवश्यक सभी जानकारी प्रदान करेगा (EU) 2018/1725. नियंत्रक के अनुरोध पर, प्रोसेसर इन खंडों के अंतर्गत आने वाली प्रसंस्करण गतिविधियों का उचित अंतराल पर या जहाँ अनुपालन न करने के संकेत हैं, वहाँ ऑडिट करने की अनुमति भी देगा, और ऐसे ऑडिट में सहयोग करेगा। यह निर्णय लेते समय कि समीक्षा या ऑडिट किया जाए या नहीं, नियंत्रक प्रोसेसर द्वारा धारित किसी भी प्रासंगिक प्रमाणपत्र को ध्यान में रख सकता है।

(d) नियंत्रक स्वयं लेखा परीक्षा कर सकता है या एक स्वतंत्र लेखा परीक्षक नियुक्त कर सकता है। लेखा परीक्षा में प्रोसेसर के परिसर या भौतिक सुविधाओं का निरीक्षण भी शामिल हो सकता है और जहां उपयुक्त हो, इसे उचित सूचना के साथ किया जाना चाहिए।

(ई) पक्ष इस खंड में संदर्भित जानकारी, जिसमें ऑडिट के परिणाम शामिल हैं, को अनुरोध पर सक्षम पर्यवेक्षी प्राधिकरण या प्राधिकरणों को उपलब्ध कराएंगे।

7.7. उप-प्रोसेसरों का उपयोग

ग) विकल्प 2: सामान्य लिखित प्राधिकरण: प्रोसेसर के पास एक सहमत सूची में सूचीबद्ध उप-प्रोसेसरों को नियुक्त करने के लिए नियंत्रक का सामान्य प्राधिकरण है। प्रोसेसर नियंत्रक को लिखित रूप में, कम से कम 30 दिन पहले, इस सूची में उप-प्रोसेसरों को जोड़ने या बदलने से संबंधित किसी भी प्रस्तावित परिवर्तन के बारे में स्पष्ट रूप से सूचित करेगा, जिससे नियंत्रक को पर्याप्त समय मिल सके संबंधित सब-प्रोसेसर(रों) को नियुक्त किए जाने से पहले इन परिवर्तनों पर आपत्ति उठाने में सक्षम होने के लिए डेटा नियंत्रक को आवश्यक जानकारी प्रदान करेगा। डेटा प्रोसेसर डेटा नियंत्रक को आपत्ति करने के अपने अधिकार का प्रयोग करने में सक्षम बनाने के लिए आवश्यक जानकारी प्रदान करेगा। [विकल्प: विकल्प 2, 30-दिन की सूचना अवधि; सहमत सूची परिशिष्ट IV में दी गई है]

(ख) जहाँ प्रोसेसर (नियंत्रक की ओर से) विशिष्ट प्रसंस्करण गतिविधियों को करने के लिए एक उप-प्रोसेसर को नियुक्त करता है, ऐसी नियुक्ति एक ऐसे अनुबंध द्वारा शासित होनी चाहिए जो उप-प्रोसेसर पर अनिवार्य रूप से वही डेटा सुरक्षा दायित्व थोपता हो जो इन खंडों के तहत प्रोसेसर पर लागू होते हैं। डेटा प्रोसेसर यह सुनिश्चित करेगा कि सब-प्रोसेसर उन दायित्वों को पूरा करता है जिनके अधीन डेटा प्रोसेसर इन खंडों और विनियमन (ईयू) 2016/679 और/या विनियमन (ईयू) 2018/1725 के अनुसार है।

(ग) प्रोसेसर, अनुरोध पर, नियंत्रक को ऐसे किसी भी उप-प्रसंस्करण समझौते और उसमें हुए किसी भी बाद के संशोधन की एक प्रति प्रदान करेगा। व्यापार रहस्यों या अन्य गोपनीय जानकारी, जिसमें व्यक्तिगत डेटा शामिल है, की रक्षा के लिए आवश्यक हद तक, प्रोसेसर प्रतिलिपि प्रदान करने से पहले समझौते के पाठ को संपादित कर सकता है।

(डी) प्रोसेसर, नियंत्रक के प्रति यह सुनिश्चित करने के लिए पूरी तरह से उत्तरदायी होगा कि उप-प्रोसेसर, प्रोसेसर के साथ संपन्न अनुबंध के तहत अपने दायित्वों को पूरा करता है। यदि उप-प्रोसेसर अपने संविदात्मक दायित्वों को पूरा करने में विफल रहता है तो प्रोसेसर नियंत्रक को सूचित करेगा।

ई) डेटा प्रोसेसर उप-प्रोसेसर के साथ एक तीसरे-पक्ष लाभार्थी खंड पर सहमत होगा, जिसके द्वारा डेटा नियंत्रक - इस घटना में कि डेटा प्रोसेसर डी फैक्टो या डी ज्यूर द्वारा अस्तित्व समाप्त कर देता है या दिवालिया हो जाता है - उप-संविदा को समाप्त करने और उप-प्रोसेसर को व्यक्तिगत डेटा को मिटाने या वापस करने का निर्देश देने का अधिकार है।

7.8. अंतर्राष्ट्रीय डेटा हस्तांतरण

क) डेटा प्रोसेसर द्वारा किसी तीसरे देश या अंतर्राष्ट्रीय संगठन को डेटा का कोई भी हस्तांतरण केवल डेटा नियंत्रक के लिखित निर्देशों के आधार पर या संघ कानून या किसी सदस्य राज्य के कानून, जिसके अधीन डेटा प्रोसेसर है, के तहत किसी विशिष्ट प्रावधान का अनुपालन करने के लिए किया जाएगा, और यह विनियमन के अध्याय V के अनुसार होना चाहिए (ईयू) 2016/679 या विनियमन (ईयू) 2018/1725 के अनुरूप होना चाहिए।

ख) नियंत्रक सहमत है कि, उन मामलों में जहाँ प्रसंस्करणकर्ता धारा 7.7 के अनुसार (नियंत्रक की ओर से) विशिष्ट प्रसंस्करण गतिविधियों को करने के लिए एक उप-प्रसंस्करणकर्ता को नियुक्त करता है और इन प्रसंस्करण गतिविधियों में विनियमन के अध्याय V के अर्थ के भीतर व्यक्तिगत डेटा का हस्तांतरण शामिल है (EU) 2016/679, प्रोसेसर और सब-प्रोसेसर विनियम (EU) के अध्याय V के अनुपालन को सुनिश्चित करेंगे 2016/679 के अनुच्छेद 46(2) के अनुसार आयोग द्वारा अपनाए गए मानक संविदात्मक प्रावधानों का उपयोग करके, बशर्ते कि उन मानक संविदात्मक प्रावधानों के अनुप्रयोग की शर्तें पूरी हों।

धारा 8: नियंत्रक की सहायता

(क) प्रोसेसर, डेटा विषय से प्राप्त किसी भी अनुरोध के बारे में नियंत्रक को बिना किसी देरी के सूचित करेगा। वह स्वयं अनुरोध का उत्तर नहीं देगा, जब तक कि नियंत्रक द्वारा ऐसा करने के लिए अधिकृत न किया जाए।

(ख) प्रसंस्करण की प्रकृति को ध्यान में रखते हुए, प्रोसेसर को नियंत्रक की उन अनुरोधों का जवाब देने की बाध्यता को पूरा करने में सहायता करनी चाहिए, जिनमें डेटा विषय अपने अधिकारों का प्रयोग करना चाहते हैं। (क) और (ख) बिंदुओं के तहत अपनी बाध्यताओं को पूरा करने में, प्रोसेसर को नियंत्रक के निर्देशों का पालन करना चाहिए।

ग) खंड 8(ख) के अनुसार डेटा नियंत्रक की सहायता करने के डेटा प्रोसेसर के दायित्व के अतिरिक्त, डेटा प्रोसेसर, डेटा प्रसंस्करण की प्रकृति और उसके पास उपलब्ध जानकारी को ध्यान में रखते हुए, डेटा नियंत्रक को निम्नलिखित दायित्वों का अनुपालन करने में भी सहायता करेगा:

1) व्यक्तिगत डेटा की सुरक्षा के लिए इच्छित प्रसंस्करण संचालन के निहितार्थों का आकलन करने का दायित्व (इसके बाद ‘डेटा सुरक्षा प्रभाव आकलन’ कहा जाएगा) जहां प्रसंस्करण का कोई रूप प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रताओं के लिए उच्च जोखिम का परिणाम होने की संभावना है;
2) प्रसंस्करण से पहले सक्षम पर्यवेक्षी प्राधिकरण या प्राधिकरणों से परामर्श करने का दायित्व, जहाँ डेटा सुरक्षा प्रभाव मूल्यांकन से यह संकेत मिलता है कि यदि नियंत्रक उस जोखिम को कम करने के उपाय नहीं करता है तो प्रसंस्करण के परिणामस्वरूप उच्च जोखिम होगा;
3) यह सुनिश्चित करने का दायित्व कि व्यक्तिगत डेटा तथ्यात्मक रूप से सटीक और अद्यतित हो, जिसके लिए प्रोसेसर को, यदि उसे पता चलता है कि उसका संसाधित किया जा रहा व्यक्तिगत डेटा गलत या पुराना है, तो बिना किसी देरी के नियंत्रक को सूचित करना होगा;
4) विनियम (ईयू) 2016/679 के अनुच्छेद 32 के अनुसार दायित्व। [चुनाव: विकल्प 1]

(d) पार्टियाँ अनुलग्नक III में इस खंड को लागू करने में नियंत्रक की सहायता के लिए प्रोसेसर द्वारा अपनाए जाने वाले उपयुक्त तकनीकी और संगठनात्मक उपायों के साथ-साथ आवश्यक सहायता के दायरे और सीमा को निर्धारित करेंगी।

धारा 9: व्यक्तिगत डेटा उल्लंघन की सूचना

व्यक्तिगत डेटा उल्लंघन कीस्थिति में, प्रोसेसर नियंत्रक के साथ सहयोग करेगा और उपयुक्त सहायता प्रदान करेगा ताकि नियंत्रक विनियमन की धारा 33 और 34 के तहत अपने दायित्वों को पूरा कर सके (EU) 2016/679 या, जहाँ लागू हो, विनियम (EU) 2018/1725 के अनुच्छेद 34 और 35, प्रसंस्करण की प्रकृति और प्रोसेसर के पास उपलब्ध जानकारी को ध्यान में रखते हुए।

9.1. नियंत्रक द्वारा संसाधित डेटा को प्रभावित करने वाली सुरक्षा की उल्लंघन

नियंत्रक द्वारा संसाधित डेटा से संबंधित व्यक्तिगत डेटा उल्लंघन की स्थिति में, प्रोसेसर निम्नलिखित तरीकों से नियंत्रक की सहायता करेगा:

क) व्यक्तिगत डेटा उल्लंघन के बारे में सक्षम पर्यवेक्षी प्राधिकरण या प्राधिकरणों को तुरंत सूचित करने में, एक बार जब नियंत्रक को उल्लंघन का पता चल जाता है, तो प्रासंगिक रूप से (जब तक कि व्यक्तिगत डेटा उल्लंघन से प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रताओं के लिए कोई जोखिम होने की संभावना न हो);

ख) निम्नलिखित जानकारी प्राप्त करने में, जिसे विनियम (ईयू) 2016/679 के अनुच्छेद 33(3) के अनुसार डेटा नियंत्रक की सूचना में शामिल किया जाना चाहिए, जिसमें यह जानकारी कम से कम निम्नलिखित शामिल होनी चाहिए: [चुनाव: विकल्प 1]

1) व्यक्तिगत डेटा की प्रकृति, जहाँ संभव हो, संबंधित डेटा विषयों के वर्गों और अनुमानित संख्या के साथ-साथ संबंधित व्यक्तिगत डेटा रिकॉर्ड के वर्गों और अनुमानित संख्या को निर्दिष्ट करते हुए;
2) व्यक्तिगत डेटा उल्लंघन के संभावित परिणाम;
3) नियंत्रक द्वारा व्यक्तिगत डेटा उल्लंघन को संबोधित करने के लिए उठाए गए या प्रस्तावित उपाय और, जहां उपयुक्त हो, इसके संभावित प्रतिकूल प्रभावों को कम करने के उपाय।

यदि और जहाँ तक यह सभी जानकारी एक ही समय पर प्रदान नहीं की जा सकती है, तो प्रारंभिक सूचना में उस समय उपलब्ध जानकारी शामिल होगी, और जैसे ही अतिरिक्त जानकारी उपलब्ध हो, उसे बिना किसी अनावश्यक देरी के प्रदान किया जाएगा;

(ग) विनियमन के अनुच्छेद 34 के तहत दायित्व का अनुपालन करते हुए (EU) 2016/679 के अनुच्छेद 34 में निर्धारित दायित्व का अनुपालन करते हुए डेटा विषय को व्यक्तिगत डेटा उल्लंघन के बारे में बिना किसी अनावश्यक देरी के सूचित करना, जहाँ उल्लंघन के परिणामस्वरूप प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रता के लिए उच्च जोखिम होने की संभावना हो। [विकल्प: विकल्प 1]

**9.2. डेटा प्रोसेसर द्वारा संसाधित डेटा की सुरक्षा का उल्लंघन

डेटाप्रोसेसर **द्वारासंसाधित डेटा से संबंधित व्यक्तिगत डेटा उल्लंघन की स्थिति में, डेटा प्रोसेसर को उल्लंघन के बारे में पता चलने के बाद बिना किसी अनावश्यक देरी के डेटा नियंत्रक को सूचित करना चाहिए। इस अधिसूचना में कम से कम निम्नलिखित जानकारी होनी चाहिए:

क) उल्लंघन की प्रकृति का विवरण (जहाँ संभव हो, प्रभावित डेटा विषयों की श्रेणियों और अनुमानित संख्या और प्रभावित डेटा रिकॉर्ड की अनुमानित संख्या निर्दिष्ट करते हुए);

ख) संपर्क विवरण, जिससे व्यक्तिगत डेटा उल्लंघन के संबंध में और जानकारी प्राप्त की जा सकती है;

ग) व्यक्तिगत डेटा उल्लंघन के संभावित परिणाम और उसे संबोधित करने के लिए उठाए गए या प्रस्तावित उपाय, जिसमें इसके संभावित प्रतिकूल प्रभावों को कम करने के उपाय शामिल हैं।

यदि और उस सीमा तक कि यह सभी जानकारी एक ही समय पर प्रदान नहीं की जा सकती है, तो प्रारंभिक अधिसूचना में उस समय उपलब्ध जानकारी शामिल होगी, और जैसे ही अतिरिक्त जानकारी उपलब्ध होती है, उसे बिना किसी अनावश्यक देरी के प्रदान किया जाएगा।

पक्ष अनुलग्नक III में कोई भी अन्य जानकारी निर्धारित करेंगे जो प्रोसेसर को विनियम (ईयू) 2016/679 के अनुच्छेद 33 और 34 के तहत नियंत्रक के अपने दायित्वों को पूरा करने में सहायता करने के लिए प्रदान करने की आवश्यकता होती है। [चुनाव: विकल्प 1]

खंड III: अंतिम प्रावधान

धारा 10: धाराओं का उल्लंघन और अनुबंध की समाप्ति

(a) यदि प्रोसेसर इन खंडों के तहत अपने दायित्वों को पूरा करने में विफल रहता है, तो नियंत्रक - विनियमन (EU) 2016/679 और/या विनियमन (EU) 2018/1725 के प्रावधानों को प्रभावित किए बिना - - प्रोसेसर को निर्देश देना कि वह इन शर्तों का अनुपालन करने या अनुबंध समाप्त होने तक व्यक्तिगत डेटा की प्रसंस्करण को निलंबित कर दे। यदि, किसी भी कारण से, प्रोसेसर इन शर्तों का अनुपालन करने में असमर्थ है, तो उसे नियंत्रक को बिना किसी देरी के सूचित करना चाहिए।

(ख) नियंत्रक इन खंडों के अनुसार व्यक्तिगत डेटा की प्रसंस्करण से संबंधित अनुबंध को समाप्त करने का हकदार है यदि

1) नियंत्रक ने बिंदु (a) के अनुसार डेटा प्रोसेसर द्वारा व्यक्तिगत डेटा की प्रसंस्करण को निलंबित कर दिया है और इन खंडों का अनुपालन एक उचित अवधि के भीतर, और किसी भी स्थिति में निलंबन के एक महीने के भीतर बहाल नहीं किया गया है;
2) प्रोसेसर इन खंडों का उल्लंघन महत्वपूर्ण रूप से या लगातार करता है, या विनियम (ईयू) 2016/679 और/या विनियम (ईयू) 2018/1725 के तहत अपने दायित्वों को पूरा करने में विफल रहता है;
3) डेटा प्रोसेसर इन शर्तों, विनियमन (ईयू) 2016/679 और/या विनियमन के तहत अपनी प्रतिबद्धताओं के संबंध में एक सक्षम न्यायालय या सक्षम पर्यवेक्षी प्राधिकरण या प्राधिकरणों के बाध्यकारी निर्णय का पालन करने में विफल रहता है (EU) 2018/1725.

ग) यदि नियंत्रक अपनी निर्देशों के पालन पर जोर देता है, तो प्रोसेसर इन खंडों के अनुसार व्यक्तिगत डेटा की प्रसंस्करण से संबंधित अनुबंध को समाप्त करने का हकदार होगा, प्रोसेसर द्वारा सूचित किए जाने के बाद कि उसकी निर्देशें धारा 7.1(ख) में निर्दिष्ट लागू कानूनी आवश्यकताओं का उल्लंघन करती हैं।

d) अनुबंध की समाप्ति पर, नियंत्रक के विवेक पर, प्रोसेसर या तो नियंत्रक की ओर से संसाधित सभी व्यक्तिगत डेटा को हटा देगा और नियंत्रक को प्रमाणित करेगा कि यह किया गया है, या सभी व्यक्तिगत डेटा को नियंत्रक को वापस कर देगा और किसी भी मौजूदा प्रतियों को हटा देगा, जब तक डेटा मिटाया या वापस नहीं किया जाता, तब तक प्रोसेसर इन खंडों के अनुपालन को सुनिश्चित करना जारी रखेगा।

परिशिष्ट I: पक्षों की सूची

डेटा प्रोसेसर

ट्रांसपेरियो एजी, टेक क्लस्टर ज़ग, ओबरअल्मेंडस्ट्रासे 18, 6300 ज़ग, स्विट्जरलैंड, वैट नंबर CHE-220.381.580, निदेशक मंडल के अध्यक्ष गुंटर राइचेल्ट द्वारा प्रतिनिधित्व किया गया। संपर्क: privacy@mail.transpareo.com.

डेटा सुरक्षा अधिकारी और जीडीपीआर के अनुच्छेद 27 के अनुसार ईयू में प्रतिनिधि: डीजीडी डॉयचे गेज़ेलशाफ्ट फर डाटास्चुट्ज़, प्रो. डॉ. एच.सी. हाइको जॉनी मैनिएरो, फ्रांज-जोसेफ-स्ट्र. 11, 80801 म्यूनिख, जर्मनी, info@mail.dg-datenschutz.de.

ट्रांसपेरियो स्विट्जरलैंड में स्थित है, जिसके लिए आयोग द्वारा एक पर्याप्तता निर्णय (2000/518/EC) अपनाया गया है। डेटा जर्मनी में संग्रहीत है।

डेटा नियंत्रक

ट्रांसपेरियो प्रत्येक डेटा नियंत्रक के साथ इन खंडों को व्यक्तिगत रूप से समाप्त करता है। डेटा नियंत्रक निम्नलिखित में से कोई एक है:

एक ग्राहक जो सामान्य नियम और शर्तों (GTC) के अनुसार Transpareo प्लेटफ़ॉर्म का उपयोग करता है। नाम, पता और संपर्क व्यक्ति वे विवरण हैं जो ग्राहक द्वारा प्लेटफ़ॉर्म के माध्यम से अनुबंध करते समय प्रदान किए जाते हैं और उनके खाते में बनाए रखे जाते हैं; संपर्क व्यक्ति खाता धारक है। इन अनुबंधों पर इस अनुबंध के समापन पर सहमति हो गई मानी जाती है (जीटीसी की धारा 14)।
एक आपूर्तिकर्ता जो आपूर्तिकर्ता पेज के माध्यम से अपनी आपूर्ति करने वालों को एक पूछताछ अग्रेषित करता है। डेटा नियंत्रक वह कंपनी है जिसे उस लिंक के माध्यम से निर्देशित किया जाता है जिसके माध्यम से पूछताछ अग्रेषित की जाती है, जैसा कि पूछताछ में निर्दिष्ट है। संपर्क व्यक्ति वह व्यक्ति है जो पूछताछ को आगे भेजता है, और वह इस प्रक्रिया में दिए गए अपने नाम और ईमेल पते का उपयोग करता है। आपूर्तिकर्ता पूछताछ को आगे भेजते समय अपनी कंपनी की ओर से इन शर्तों को स्वीकार करके इन्हें मान लेता है; ट्रांसपेरियो स्वीकृत संस्करण और लिंक के साथ-साथ भेजने का समय भी संग्रहीत करता है। इसके अतिरिक्त, आपूर्तिकर्ताओं के लिए उपयोग की शर्तें उन पर लागू होती हैं।

जैसे ही कोई डेटा नियंत्रक एक डेटा संरक्षण अधिकारी नियुक्त करता है, Transpareo उस डेटा नियंत्रक के लिए डेटा संरक्षण अधिकारी के रूप में कार्य करता है।

सामान्य नियम और शर्तें या आपूर्तिकर्ताओं के लिए उपयोग की शर्तें प्रत्येक मामले में मुख्य अनुबंध का गठन करती हैं। नियम और शर्तें इलेक्ट्रॉनिक रूप से संपन्न की जाती हैं (जीडीपीआर का अनुच्छेद 28(9)); अनुबंध की तारीख संपन्न होने का समय है।

परिशिष्ट II: प्रसंस्करण का विवरण

भाग ए: ग्राहक

डेटा विषयों के श्रेणियाँ: ग्राहक के कर्मचारी और एजेंट; इसके आपूर्तिकर्ता और उनके कर्मचारी; उत्पाद और पासपोर्ट डेटा में नामित व्यक्ति; ग्राहक की वेबसाइट पर आगंतुक, संपर्क और सदस्य।

व्यक्तिगत डेटा की श्रेणियाँ:

वर्कस्पेस उपयोगकर्ता: नाम, ईमेल पता, भाषा, भूमिकाएँ और समूह, लॉगिन और सुरक्षा विवरण, उनके कार्यों का लॉग टाइमस्टैम्प और आईपी पते के साथ
आपूर्तिकर्ता: कंपनी का नाम, संपर्क व्यक्ति का नाम, ईमेल पता, नोट्स
सप्लायर पोर्टल: उत्तर, छवियां, टिप्पणियां और उनके मशीन अनुवाद; खोलने और उत्तर देने का समय; टाइमस्टैम्प और आईपी पते के साथ कार्यों का लॉग
उत्पाद और पासपोर्ट डेटा, छवियों और दस्तावेज़ों में निहित व्यक्तियों से संबंधित जानकारी
ग्राहक की वेबसाइट पर संपर्क, न्यूज़लेटर सब्सक्राइबर और फ़ॉर्म में की गई प्रविष्टियाँ, जहाँ तक ग्राहक इन फ़ंक्शनों का उपयोग करता है
प्लेटफ़ॉर्म के माध्यम से ग्राहक द्वारा भेजे गए ईमेल
ग्राहक की वेबसाइट और पासवर्ड-संरक्षित पृष्ठों पर आने वालों से संबंधित एक्सेस डेटा

संवेदनशील डेटा: कोई भी प्रस्तावित नहीं है। ग्राहक खंड 7.5 में परिभाषित किसी भी संवेदनशील डेटा को प्लेटफ़ॉर्म में दर्ज नहीं करता है।

प्रसंस्करण का प्रकार: भंडारण, संगठन, प्रदर्शन, मशीन अनुवाद, क्रिप्टोग्राफिक हस्ताक्षर, प्रकाशन, निर्यात और हटाना; ग्राहक द्वारा प्रदान किए गए ईमेल खाते के माध्यम से ईमेल भेजना।

उद्देश्य: उत्पाद डेटा और डिजिटल उत्पाद पासपोर्ट बनाने, प्रबंधित करने और प्रकाशित करने के लिए; ग्राहक की वेबसाइट संचालित करने के लिए; आपूर्तिकर्ताओं से जानकारी का अनुरोध करने के लिए; कार्यक्षेत्र के भीतर सहयोग करने के लिए।

अवधि: मुख्य अनुबंध की अवधि के लिए, और उसके बाद अनुच्छेद 10(d) के अनुसार हटाए जाने तक:

परीक्षण अवधि का एक वर्कस्पेस जो सशुल्क सदस्यता में नहीं बदलता है, उसकी समाप्ति के पाँच दिन बाद उसे हटाने के लिए चिह्नित कर दिया जाएगा और अतिरिक्त सात दिनों के बाद हटा दिया जाएगा।
एक सशुल्क मुख्य अनुबंध की समाप्ति के बाद, कार्यक्षेत्र तब तक लॉक रहता है जब तक कि ग्राहक इसके विलोपन का अनुरोध नहीं करता।
यदि ग्राहक विलोपन का अनुरोध करता है, तो ट्रांसपेरियो सात-दिवसीय अवधि के बाद कार्यक्षेत्र के डेटाबेस को हटा देगा, जिसके दौरान ग्राहक अनुरोध को रद्द कर सकता है, और अपनी कुंजी को नष्ट कर देगा।
ईयू रजिस्टर में पंजीकृत डिजिटल उत्पाद पासपोर्ट के प्रकाशित संस्करण, और उनके प्रदर्शन और सत्यापन के लिए आवश्यक डेटा, दस वर्षों के लिए एक अपरिवर्तनीय अभिलेखागार में रहेंगे (सामान्य नियम और शर्तों की धारा 10)।
बैकअप परिशिष्ट III के अनुसार बनाए रखे जाते हैं।

भाग बी: आपूर्तिकर्ता जो एक पूछताछ अग्रेषित करते हैं

डेटा विषयों की श्रेणियाँ: डेटा नियंत्रक के कर्मचारी; इसके अपने आपूर्तिकर्ता और उनके कर्मचारी; प्रतिक्रियाओं में नामित व्यक्ति।

व्यक्तिगत डेटा की श्रेणियाँ:

प्रकटीकरण: प्राप्तकर्ता का नाम, जैसा कि डेटा नियंत्रक द्वारा दर्ज किया गया है; डेटा नियंत्रक द्वारा प्रदान किया गया नाम और ईमेल पता; टिप्पणी; पूछे गए प्रश्न; समाप्ति तिथि; पिन
नियंत्रक के अपने आपूर्तिकर्ताओं से प्रतिक्रियाएँ: मेटाडेटा के बिना टेक्स्ट, मान और छवियाँ, साथ ही उनके मशीन अनुवाद
समीक्षा: नियंत्रक द्वारा लिए गए निर्णय और टिप्पणियाँ
लॉग: अग्रेषित लिंक को खोलने, अनलॉक करने और उनका जवाब देने के समय, क्रिया और आईपी पता, और नियंत्रक की संबंधित क्रियाओं के दौरान

संवेदनशील डेटा: कोई प्रस्तावित नहीं।

प्रसंस्करण का प्रकार: भंडारण, प्रदर्शन, मशीन अनुवाद, लॉगिंग और हटाना।

उद्देश्य: डेटा नियंत्रक अपने स्वयं के आपूर्तिकर्ताओं से जानकारी का अनुरोध करता है, उनके उत्तरों की समीक्षा करता है और उन्हें अपने स्वयं के उत्तर में शामिल करता है।

स्थान: डेटा उस वर्कस्पेस के डेटाबेस में संग्रहीत किया जाता है जहाँ से मूल पूछताछ उत्पन्न हुई थी और इसे वहाँ डेटा नियंत्रक का होने के रूप में चिह्नित किया जाता है। इस वर्कस्पेस का मालिक ग्राहक केवल ऐसे रिकॉर्ड की संख्या देख सकता है और उनके संबंध में कोई निर्देश जारी नहीं कर सकता है।

अवधि: जब तक डेटा नियंत्रक द्वारा साझा किया गया डेटा वाला लिंक सक्रिय रहता है। यदि इसकी समाप्ति हो जाती है, तो डेटा नियंत्रक द्वारा साझा किए गए सभी लिंक समाप्त हो जाएंगे, और आपूर्तिकर्ता का पेज उनका डेटा प्रदर्शित नहीं करेगा। डेटा तब तक संग्रहीत रहता है जब तक कि ट्रांसपेरियो भाग A के अनुसार वर्कस्पेस को हटा नहीं देता या जब तक डेटा नियंत्रक इसके हटाने का अनुरोध नहीं करता। ट्रांसपेरियो उन छवियों को हटा देता है जो किसी खुले उत्तर या डेटा रिकॉर्ड से संबंधित नहीं हैं, उन्हें अपलोड किए जाने के सात दिनों के बाद।

उप-प्रोसेसर: उनकी प्रक्रिया का विषय, प्रकृति और अवधि अनुबंध IV में निर्धारित हैं।

परिशिष्ट III: तकनीकी और संगठनात्मक उपाय

एन्क्रिप्शन और छद्म-नामीकरण

सभी कनेक्शन TLS का उपयोग करके एन्क्रिप्ट किए जाते हैं।
लॉगिन विवरण और अन्य संवेदनशील जानकारी (पिन, एक-बार कोड के लिए कुंजियाँ, SMTP क्रेडेंशियल, एपीआई कुंजियाँ) प्रत्येक वर्कस्पेस के लिए एक अद्वितीय कुंजी के साथ AES-256-GCM का उपयोग करके एन्क्रिप्टेड डेटाबेस में संग्रहीत की जाती हैं।
बैकअप एन्क्रिप्ट किए जाते हैं।
विज़िटर सांख्यिकी केवल एक गुप्त कुंजी का उपयोग करके आईपी पतों को हैश मान के रूप में संग्रहीत करती है। आपूर्तिकर्ता पृष्ठ पर विज़िट इन सांख्यिकी में शामिल नहीं किए जाते हैं।

विनिर्देशन

प्रत्येक ग्राहक का अपना डेटाबेस होता है।

भौतिक सुरक्षा

सर्वर और ऑब्जेक्ट स्टोरेज, जर्मनी के फाल्केनस्टीन में Hetzner Online GmbH द्वारा संचालित डेटा सेंटर में रखे गए हैं, जो ISO 27001 से प्रमाणित हैं।

पहचान और प्राधिकरण

पासवर्ड केवल bcrypt हैश के रूप में संग्रहीत किए जाते हैं।
वन-टाइम कोड या सुरक्षा कुंजी का उपयोग करके दो-कारक प्रमाणीकरण सभी उपयोगकर्ताओं के लिए उपलब्ध है; ग्राहक को अपने वर्कस्पेस के लिए इसकी आवश्यकता हो सकती है।
ग्राहक द्वारा निर्धारित निष्क्रियता की अवधि के बाद एक सत्र समाप्त हो जाता है (डिफ़ॉल्ट सेटिंग: आठ घंटे)।
ग्राहक द्वारा सौंपी गई भूमिकाएँ और अनुमतियाँ कार्यक्षेत्र के भीतर लागू होती हैं।
Transpareo कर्मचारी केवल ग्राहक की ओर से लॉग इन करके ही एक कार्यक्षेत्र तक पहुँच सकते हैं; इसे प्लेटफ़ॉर्म के लॉग और कार्यक्षेत्र के सुरक्षा लॉग में दर्ज किया जाता है।
आपूर्तिकर्ता पक्ष: लिंक में एक यादृच्छिक 16-अक्षर की (80 बिट्स) होती है; पिन के बिना, पेज डेटा रिकॉर्ड का कोई भी हिस्सा प्रदर्शित नहीं करता है। पाँच गलत पिन दर्ज करने के बाद, लिंक 15 मिनट के लिए ब्लॉक हो जाता है। पेज प्रति आईपी पता प्रति मिनट अधिकतम 120 अनुरोध स्वीकार करता है। अनब्लॉक होने पर, सत्र को एक नया पहचानकर्ता दिया जाता है। पेज सर्च इंजन से ब्लॉक रहता है और बाहरी साइटों को अपना पता नहीं बताता है।

लॉगिंग

सप्लायर पेज पर डेटा रिकॉर्ड और गतिविधियों में बदलाव को समय, उपयोगकर्ता और आईपी पते के साथ लॉग किया जाता है, और पांच साल तक रखा जाता है; लॉगिन और अन्य सुरक्षा घटनाओं को एक साल तक रखा जाता है।
सर्वर लॉग 14 दिनों के बाद हटा दिए जाते हैं।

अखंडता

आपूर्तिकर्ताओं से प्राप्त छवियों को समीक्षा के बाद अनुमोदित होने तक सार्वजनिक भंडारण के बाहर एक संरक्षित क्षेत्र में मेटाडेटा के बिना संग्रहीत किया जाता है। एक प्रतिक्रिया समीक्षा के बाद ही डेटा रिकॉर्ड को संशोधित करती है।
प्रकाशित पासवर्ड संस्करणों पर क्रिप्टोग्राफ़िक रूप से हस्ताक्षर किए जाते हैं।

उपलब्धता और पुनर्प्राप्ति

हर चार घंटे में, प्रत्येक सक्रिय वर्कस्पेस के डेटाबेस और फ़ाइलों का बैकअप लिया जाता है, उन्हें एन्क्रिप्ट किया जाता है और जर्मनी में ऑब्जेक्ट स्टोरेज में सर्वर से अलग संग्रहीत किया जाता है। स्थानीय प्रतियां चार दिनों के बाद हटा दी जाती हैं। ऑब्जेक्ट स्टोरेज में बैकअप 90 दिनों तक रखे जाते हैं और आगे के 30 दिनों के भीतर स्थायी रूप से हटा दिए जाते हैं।
सेवाओं और सर्वरों की लगातार निगरानी की जाती है; सुरक्षा अपडेट नियमित रूप से इंस्टॉल किए जाते हैं।
ट्रांसपेरियो नियमित रूप से इन उपायों की समीक्षा करता है और उन्हें अत्याधुनिक तकनीक के अनुसार अनुकूलित करता है।

डेटा नियंत्रक के लिए सहायता (धारा 8 और 9)

एक ग्राहक प्लेटफ़ॉर्म पर अपने कार्यक्षेत्र से संबंधित डेटा को देख, सुधार और हटा सकता है। एक आपूर्तिकर्ता आपूर्तिकर्ता पृष्ठ पर अपने डेटा प्रकटीकरण के लिए प्रतिक्रियाएं देख सकता है और अपने द्वारा साझा किए गए किसी भी लिंक को रद्द कर सकता है।
ट्रांसपेरियो, डेटा विषयों से प्राप्त किसी भी अनुरोध को तुरंत डेटा नियंत्रक को अग्रेषित करेगा।
धारा 7.7 और 9.2 के अनुसार सूचनाएं ग्राहक के खाते के धारक को और साझा करने के समय आपूर्तिकर्ता द्वारा प्रदान किए गए ईमेल पते पर ईमेल द्वारा भेजी जाती हैं। धारा 9.2(b) के अनुसार संपर्क बिंदु privacy@mail.transpareo.com है।
धारा 9.2 के तहत एक अधिसूचना में उल्लंघन का समय और उसकी खोज, साथ ही प्रभावित कार्य क्षेत्रों या लिंक का भी उल्लेख होना चाहिए।

परिशिष्ट IV: उप-प्रोसेसरों की सूची

डेटा नियंत्रक आम तौर पर निम्नलिखित उप-प्रोसेसरों को अधिकृत करता है; यह खंड 7.7(a), विकल्प 2 के अनुसार सहमत सूची है।

Hetzner Online GmbH

पता: Industriestr. 25, 91710 Gunzenhausen, Germany

डेटा सुरक्षा संपर्क: data-protection@mail.hetzner.com

प्रसंस्करण: सर्वर, डेटाबेस, फ़ाइलों और बैकअप की होस्टिंग

स्थान: फाल्केनस्टीन, जर्मनी

लागू: भाग A और B

KeyCDN (proinity LLC)

पता: Reichenauweg 1, 8272 Ermatingen, Switzerland

डेटा सुरक्षा संपर्क: keycdn.com पर संपर्क फ़ॉर्म

प्रसंस्करण: एक सामग्री वितरण नेटवर्क के माध्यम से पृष्ठों और फ़ाइलों की डिलीवरी; इसमें आगंतुकों का कनेक्शन डेटा, विशेष रूप से आईपी पता शामिल है

स्थान: दुनिया भर में एज सर्वर, जिसमें ईयू और ईईए के बाहर भी शामिल हैं; इन स्थानों पर स्थानांतरण, ट्रांसपेरियो और प्रोइनिटी एलएलसी (धारा 7.8) के बीच संपन्न डेटा प्रसंस्करण समझौते के तहत जीडीपीआर के अध्याय V के अनुसार सुरक्षित हैं।

लागू होता है: भाग A और B

डीपएल एसई

पता: Maarweg 165, 50825 कोलोन, जर्मनी

डेटा सुरक्षा संपर्क: डेटा प्रोटेक्शन ऑफिसर डॉ. क्रिश्चियन लेन्ज़, dhpg IT-Services GmbH, datenschutz@mail.dhpg.de

प्रसंस्करण: पाठों का मशीन अनुवाद

स्थान: ईयू

लागू: भाग A और B

क्रिएटिव मीडिया जीएमबीएच

पता: होशगासे 45, 8008 ज़्यूरिख, स्विट्ज़रलैंड

डेटा सुरक्षा संपर्क: privacy@mail.kreativmedia.ch

प्रसंस्करण: अपने SMTP रिले के माध्यम से प्लेटफ़ॉर्म के सिस्टम और सूचना ईमेल का अग्रेषण; कोई होस्टिंग नहीं

स्थान: स्विट्जरलैंड

लागू होता है: भाग A

प्रत्येक उप-प्रोसेसर डेटा को केवल अपने नाम पर सेवा प्रदान करने के उद्देश्य से और तब तक संसाधित करता है, जब तक कि ट्रांसपेरियो नियंत्रक की ओर से उस सेवा को प्रदान करता है।

निम्नलिखित ट्रांसपेरियो के उप-प्रोसेसर नहीं हैं: ईमेल खाते का प्रदाता जिसके माध्यम से कोई ग्राहक तीसरे पक्षों को ईमेल भेजता है, और प्लेटफ़ॉर्म के भीतर ग्राहक द्वारा स्थापित एआई प्रदाता; ग्राहक स्वयं इन दोनों का चयन और कमीशन करता है, और उनका ब्राउज़र सीधे एआई प्रदाताओं के साथ संवाद करता है।

ट्रांसपेरियो अनुलग्नक III के अनुसार किसी भी नियोजित संलग्नता या प्रतिस्थापन की कम से कम 30 दिनों की सूचना देगा और संशोधित सूची को transpareo.com पर प्रकाशित करेगा। यदि ट्रांसपेरियो किसी आपत्ति को हल करने में असमर्थ है, तो ग्राहक उस तारीख से मुख्य अनुबंध को समाप्त कर सकता है जिस तारीख से परिवर्तन प्रभावी होता है; एक आपूर्तिकर्ता द्वारा प्रदान किए गए लिंक को रद्द कर सकता है।

स्विस परिशिष्ट

यह जोड़ अनुच्छेद 2(b) के बाद एक अतिरिक्त खंड का गठन करता है। जहाँ तक प्रसंस्करण स्विट्ज़रलैंड के संघीय डेटा संरक्षण अधिनियम (DSG) के अधीन है:

विनियम (ईयू) 2016/679 के संदर्भों को डीएसजी के अनुरूप प्रावधानों का संदर्भ भी माना जाएगा, अर्थात् जीडीपीआर के अनुच्छेद 28 से डीएसजी के अनुच्छेद 9 तक, अनुच्छेद 32 से अनुच्छेद 8 तक, अनुच्छेद 33 और 34 को अनुच्छेद 24, अनुच्छेद 35 और 36 को अनुच्छेद 22 और 23, अध्याय V को अनुच्छेद 16 से 18 तक, डेटा विषयों के अधिकारों को DSG के अनुच्छेद 25 से 32 तक, और खंड 7.5 के तहत संवेदनशील डेटा को DSG के अनुच्छेद 5(c) के तहत विशेष सुरक्षा की आवश्यकता वाले व्यक्तिगत डेटा से संबंधित माना जाएगा;
सक्षम पर्यवेक्षी प्राधिकरण संघीय डेटा संरक्षण और सूचना आयुक्त (FDPIC) है; जीडीपीआर के तहत पर्यवेक्षी प्राधिकरणों की क्षमता अप्रभावित रहेगी;
स्विस कानून को एक सदस्य राज्य का कानून भी माना जाएगा।

प्रभावी तिथि: 8 अक्टूबर 2026