Dados pessoais de titulares de dados indianos processados digitalmente — alcance extraterritorial quando há oferta de bens ou serviços na Índia.

Regras operacionais que abrangem consentimento, aviso, salvaguardas de segurança, notificação de violações e procedimentos do Data Protection Board.

Práticas de segurança razoáveis da Seção 43A, obrigações de privacidade da Seção 72A e relatórios de incidentes ao CERT-In conforme as diretrizes de 2022.

Regras de Dados ou Informações Pessoais Sensíveis (Sensitive Personal Data or Information) — referência provisória até que as DPDP Rules sejam plenamente publicadas e aplicadas.

Relatório obrigatório de incidentes em 6 horas para incidentes cibernéticos designados; retenção de logs por 180 dias.

Obrigações de localização, terceirização e notificação de violações sobrepostas à DPDPA para entidades reguladas.