Organizacja zobowiązuje się do przetwarzania danych zgodnie ze swoimi obowiązkami wynikającymi z Umowy o przetwarzaniu danych (DPA). 

Organ ochrony danych wymaga, aby dane osobowe były:

• przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty w odniesieniu do osób fizycznych;
• zbierane w konkretnych, wyraźnych i zgodnych z prawem celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uważane za niezgodne z celami pierwotnymi;
• adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane;
• dokładne i, w razie potrzeby, aktualizowane; należy podjąć wszelkie uzasadnione kroki w celu zapewnienia, że dane osobowe, które są nieprawidłowe, biorąc pod uwagę cele, dla których są przetwarzane, zostaną niezwłocznie usunięte lub poprawione;
• przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez czas nie dłuższy, niż jest to niezbędne do celów, w których dane osobowe są przetwarzane; dane osobowe mogą być przechowywane przez dłuższy okres, o ile dane osobowe będą przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, pod warunkiem wdrożenia odpowiednich środków technicznych i organizacyjnych wymaganych przez OOD w celu ochrony praw i wolności osób fizycznych; i
• przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przed przypadkową utratą, zniszczeniem lub uszkodzeniem, z zastosowaniem odpowiednich środków technicznych lub organizacyjnych."