Processor, Personal Data को केवल Controller को सहमत सेवाएँ प्रदान करने के लिए ही संसाधित करता है। उस Personal Data के संबंध में Controller ही controller है और Nashua processor है। प्रत्येक पक्ष लागू डेटा-सुरक्षा कानून के अंतर्गत अपने-अपने दायित्वों का पालन करता है। संसाधन के विवरण, डेटा विषयों की श्रेणियाँ और Personal Data के प्रकार Annex A में निर्धारित किए गए हैं।

Processor, Personal Data को केवल Controller के प्रलेखित निर्देशों पर ही संसाधित करता है, जिसमें अनुबंध और यह DPA शामिल हैं, तथा जितना सेवाएँ प्रदान करने के लिए आवश्यक हो, सिवाय इसके कि Union या Member State कानून द्वारा संसाधन अपेक्षित हो, जिस स्थिति में वह पहले Controller को सूचित करता है, बशर्ते वह कानून ऐसा करने से न रोकता हो। यदि Processor की राय में कोई निर्देश डेटा-सुरक्षा कानून का उल्लंघन करता है, तो वह Controller को सूचित करता है।

Processar यह सुनिश्चित करता है कि Personal Data को संसाधित करने के लिए अधिकृत व्यक्ति उपयुक्त गोपनीयता कर्तव्य से बाध्य हों और डेटा को केवल निर्देशानुसार ही संसाधित करें। पहुँच उन्हीं कर्मियों तक सीमित है जिन्हें सेवाएँ प्रदान करने के लिए इसकी आवश्यकता है।

Processor, जोखिम के अनुरूप सुरक्षा का स्तर सुनिश्चित करने के लिए उपयुक्त तकनीकी और संगठनात्मक उपाय लागू करता है, जैसा कि Article 32 GDPR द्वारा अपेक्षित है। ये उपाय Annex B में वर्णित हैं और ISO/IEC 27001 तथा SOC 2 Trust Services Criteria के अनुरूप एक सूचना-सुरक्षा कार्यक्रम को प्रतिबिंबित करते हैं, और डच कानून में क्रियान्वित DORA तथा NIS2 के अंतर्गत Processor के दायित्वों को ध्यान में रखते हैं। Processor इन उपायों को अद्यतन कर सकता है, बशर्ते सुरक्षा का स्तर कम न हो।

Controller, Processor को सेवाएँ प्रदान करने के लिए sub-processors को नियुक्त करने का सामान्य प्राधिकरण देता है, जिसमें Annex C में सूचीबद्ध hosting और infrastructure प्रदाता शामिल हैं। Processor प्रत्येक sub-processor पर, अनुबंध के माध्यम से, इस DPA के समकक्ष डेटा-सुरक्षा दायित्व अधिरोपित करता है, और प्रत्येक sub-processor के कार्य-निष्पादन के लिए Controller के प्रति पूरी तरह उत्तरदायी बना रहता है। Processor, sub-processors में अभिप्रेत परिवर्तनों की सूचना Controller को देता है, जिससे Controller को उचित डेटा-सुरक्षा आधारों पर आपत्ति करने का उचित अवसर मिलता है।

Processor, Personal Data को European Economic Area के बाहर किसी adequacy decision अथवा Chapter V GDPR के अंतर्गत उपयुक्त सुरक्षा उपायों के बिना स्थानांतरित नहीं करता, विशेष रूप से European Commission के Standard Contractual Clauses के साथ किसी भी अपेक्षित पूरक उपाय के। पूर्वनिर्धारित रूप से Personal Data को नीदरलैंड्स और EEA के भीतर होस्ट किया जाता है।

संसाधन की प्रकृति को ध्यान में रखते हुए, Processor उपयुक्त तकनीकी और संगठनात्मक उपायों द्वारा, जहाँ तक संभव हो, अपने अधिकारों का प्रयोग करने वाले डेटा विषयों के अनुरोधों का उत्तर देने संबंधी Controller के दायित्वों को पूरा करने में Controller की सहायता करता है, और Article 32 से 36 GDPR के अंतर्गत अपने दायित्वों का अनुपालन सुनिश्चित करने में Controller की सहायता करता है, जिसमें सुरक्षा, breach अधिसूचना, डेटा-सुरक्षा प्रभाव आकलन और पूर्व परामर्श शामिल हैं, तथा Processor को उपलब्ध जानकारी को ध्यान में रखा जाता है।

Processor, Controller के Personal Data को प्रभावित करने वाले किसी व्यक्तिगत डेटा breach के बारे में अवगत होने के बाद बिना किसी अनुचित विलंब के Controller को सूचित करता है, और वह जानकारी प्रदान करता है जिसकी Controller को supervisory authorities तथा डेटा विषयों के प्रति अपने अधिसूचना दायित्वों को पूरा करने के लिए उचित रूप से आवश्यकता होती है। Processor, breaches तथा की गई सुधारात्मक कार्रवाई का प्रलेखन करता है।

सेवाओं की समाप्ति पर, और Controller के चयन के अनुसार, Processor समस्त Personal Data को हटा देता है या लौटा देता है और मौजूदा प्रतियाँ हटा देता है, सिवाय इसके कि Union या Member State कानून भंडारण की अपेक्षा करे। अनुरोध पर Processor लिखित रूप में पुष्टि करता है कि उसने ऐसा किया है।

Processor, Article 28 GDPR के अनुपालन को प्रदर्शित करने के लिए आवश्यक जानकारी Controller को उपलब्ध कराता है, और Controller या उसके द्वारा नियुक्त किसी auditor द्वारा किए जाने वाले audits, जिसमें निरीक्षण शामिल हैं, की अनुमति देता है और उनमें योगदान करता है। Processor, वर्तमान प्रमाणन और अनुप्रमाणन प्रदान करके audit अनुरोधों को पूरा कर सकता है, जैसे ISO/IEC 27001 प्रमाणपत्र या SOC 2 रिपोर्ट, और audits उचित सूचना पर, कार्य-समय के दौरान, गोपनीयता के अधीन तथा Processor के संचालन में अनुचित व्यवधान के बिना किए जाते हैं।

इस DPA के अंतर्गत प्रत्येक पक्ष का दायित्व मुख्य अनुबंध में सहमत दायित्व की सीमाओं के अधीन है, उस सीमा तक जितनी अनिवार्य कानून द्वारा अनुमत हो। इस DPA में कुछ भी GDPR के अंतर्गत किसी डेटा विषय के अधिकारों अथवा किसी supervisory authority के प्रति किसी भी पक्ष के दायित्व को सीमित नहीं करता।

यह DPA अनुबंध के साथ प्रभावी होता है और तब तक लागू रहता है जब तक Processor, Controller की ओर से Personal Data संसाधित करता है। यह नीदरलैंड्स के कानूनों द्वारा शासित है, और विवाद मुख्य अनुबंध में सहमत अधिकार-क्षेत्र के अधीन हैं। डेटा-सुरक्षा मामलों पर इस DPA और मुख्य अनुबंध के बीच टकराव की स्थिति में, यह DPA अभिभावी होगा।

विषय-वस्तु और अवधि: अनुबंध की अवधि के लिए सहमत सेवाओं का प्रावधान। प्रकृति और प्रयोजन: Controller के निर्देशानुसार Nashua 360 Enterprise Platform और संबंधित सेवाओं की hosting, storage, संसाधन, विश्लेषण, समर्थन और संचालन। डेटा विषयों की श्रेणियाँ: जैसा Controller द्वारा निर्धारित किया गया हो, जिसमें Controller के कर्मचारी, ग्राहक, आपूर्तिकर्ता और संपर्क शामिल हो सकते हैं। Personal Data के प्रकार: जैसा Controller द्वारा सेवाओं के उपयोग के माध्यम से निर्धारित किया गया हो, जिसमें पहचान, संपर्क, संविदात्मक, वित्तीय, रोजगार और लेन-देन संबंधी डेटा शामिल हो सकते हैं। Controller, Personal Data की विशेष श्रेणियों के संसाधन का निर्देश नहीं देता, जब तक कि स्पष्ट रूप से सहमति न हो और उपयुक्त अतिरिक्त उपायों द्वारा उन्हें आच्छादित न किया गया हो।

Processor जोखिम के अनुरूप उपाय बनाए रखता है, जिनमें शामिल हैं: ISO/IEC 27001 और SOC 2 Trust Services Criteria के अनुरूप एक सूचना-सुरक्षा प्रबंधन प्रणाली; multi-factor authentication के साथ role-based access control और least privilege; transit और rest दोनों में Personal Data का encryption; network segmentation और परिधि नियंत्रण; केंद्रीकृत logging, monitoring और alerting; सुरक्षित software development, code review और change management; vulnerability management और penetration testing; सहमत recovery उद्देश्यों के अनुरूप backup और परीक्षित disaster recovery; आपूर्तिकर्ता और sub-processor जोखिम प्रबंधन; DORA के अनुरूप व्यवसाय निरंतरता और परिचालन प्रत्यास्थता; कार्मिक जाँच, गोपनीयता दायित्व और सुरक्षा जागरूकता प्रशिक्षण; तथा एक प्रलेखित incident-management और breach-notification प्रक्रिया। वर्तमान, विस्तृत उपाय अनुरोध पर Controller को उपलब्ध हैं।

Processor, सेवाएँ प्रदान करने के लिए sub-processors का एक सीमित समूह नियुक्त करता है, मुख्यतः नीदरलैंड्स और EEA के भीतर hosting और infrastructure के लिए, तथा संचार और समर्थन उपकरणों के लिए। sub-processors की एक वर्तमान सूची, उनकी भूमिका और स्थान सहित, अनुरोध पर Controller को उपलब्ध है, और Processor, अभिप्रेत परिवर्धन या प्रतिस्थापन की सूचना clause 5 के अनुसार Controller को देता है।