Instruksi pemrosesan
Prompt dan output diproses untuk menyediakan, melindungi, dan mendukung layanan sesuai perjanjian serta ketentuan provider yang dikonfigurasi.
Keamanan
Kontrol akses, perlindungan kredensial, audit, dan respons insiden harus didokumentasikan.
Subprosesor
Provider yang dapat memproses data pelanggan harus dicantumkan bersama tujuan dan lokasi yang relevan.
Penghapusan dan retensi
Aturan harus membedakan data layanan aktif, catatan keamanan, catatan keuangan, dan penyimpanan yang diwajibkan hukum.