डेटा प्रोसेसिंग समझौता

पक्ष

प्रोसेसिंग-नियंत्रक ("ग्राहक")

प्रोसेसर ("Alvoru")

इसके बाद संयुक्त रूप से: "पक्ष".

यह विचार करते हुए कि

• पक्षों ने एक मुख्य समझौता किया है जिसमें Alvoru प्रोसेसर के रूप में ग्राहक की ओर से व्यक्तिगत डेटा संसाधित करता है (इसके बाद: "मुख्य समझौता");
• GDPR अनुच्छेद 28 खंड 3 के आधार पर एक लिखित प्रोसेसिंग समझौता आवश्यक है जिसमें इस बात के बारे में व्यवस्थाएँ निर्धारित हों कि प्रोसेसर व्यक्तिगत डेटा को किस प्रकार संसाधित करता है;
• यह प्रोसेसिंग समझौता (इसके बाद: "DPA") मुख्य समझौते का अभिन्न हिस्सा है।

अनुच्छेद 1 — परिभाषाएँ

इस DPA में बड़े अक्षर से लिखे गए शब्दों का वही अर्थ है जो उन्हें GDPR में दिया गया है, जो Alvoru की सामान्य नियम व शर्तों की परिभाषाओं से पूरक है।

अनुच्छेद 2 — विषय और अवधि

2.1 यह DPA मुख्य समझौते के ढाँचे में ग्राहक के आदेश पर Alvoru द्वारा व्यक्तिगत डेटा की प्रोसेसिंग को नियंत्रित करता है।

2.2 यह DPA उस तिथि को प्रभावी होता है जिस दिन मुख्य समझौता शुरू होता है और मुख्य समझौते की समाप्ति पर स्वतः समाप्त हो जाता है, उन प्रावधानों को छोड़कर जो अपनी प्रकृति के अनुसार लागू रहने के लिए अभिप्रेत हैं।

अनुच्छेद 3 — प्रोसेसिंग की प्रकृति और उद्देश्य

3.1 प्रोसेसिंग की प्रकृति और उद्देश्य मुख्य समझौते में वर्णित सेवा (AI-ग्राहक सेवा, जिसमें चैटबॉट, ई-मेल और कैलेंडर शामिल हैं) प्रदान करना है।

3.2 Alvoru व्यक्तिगत डेटा को केवल ग्राहक के प्रलेखित निर्देश पर संसाधित करता है, भिन्न कानूनी दायित्वों को छोड़कर (GDPR अनुच्छेद 28 खंड 3 उप-खंड a)। उस अंतिम स्थिति में Alvoru प्रोसेसिंग से पहले ग्राहक को सूचित करता है, जब तक कि वह कानून महत्वपूर्ण कारणों से इसे निषिद्ध न करे।

अनुच्छेद 4 — व्यक्तिगत डेटा का प्रकार और संबंधित व्यक्तियों की श्रेणियाँ

व्यक्तिगत डेटा की विशेष श्रेणियाँ (GDPR अनुच्छेद 9) और आपराधिक डेटा (GDPR अनुच्छेद 10) संसाधित नहीं किए जाते, जब तक कि लिखित रूप में अतिरिक्त रूप से सहमति न हो।

अनुच्छेद 5 — प्रोसेसर के दायित्व

5.1 Alvoru व्यक्तिगत डेटा को केवल मुख्य समझौते और इस DPA में निर्धारित उद्देश्यों के लिए और ग्राहक के लिखित निर्देश पर संसाधित करता है।

5.2 Alvoru सुनिश्चित करता है कि व्यक्तिगत डेटा संसाधित करने वाले व्यक्तियों का गोपनीयता का दायित्व हो, चाहे कानून के आधार पर हो या किसी समझौते के आधार पर।

5.3 Alvoru, प्रोसेसिंग की प्रकृति को ध्यान में रखते हुए, GDPR के आधार पर अपने अधिकारों का प्रयोग करने के लिए संबंधित व्यक्तियों के अनुरोधों को पूरा करने में ग्राहक को उचित सहायता प्रदान करता है।

5.4 Alvoru ग्राहक को वह सभी जानकारी उपलब्ध कराता है जो GDPR अनुच्छेद 28 के अनुपालन को प्रदर्शित करने के लिए आवश्यक है।

5.5 AI-प्रशिक्षण निषेध। Alvoru उस व्यक्तिगत डेटा का, जिसे वह प्रोसेसिंग-नियंत्रक की ओर से संसाधित करता है, कभी भी AI-मॉडलों के प्रशिक्षण, फ़ाइन-ट्यूनिंग या अन्यथा सुधार के लिए उपयोग नहीं करेगा, न ही अपने या तृतीय-पक्ष AI-अनुप्रयोगों के विकास के लिए।

अनुच्छेद 6 — सुरक्षा-उपाय (GDPR अनुच्छेद 32)

Alvoru जोखिम के अनुरूप सुरक्षा-स्तर सुनिश्चित करने के लिए उचित तकनीकी और संगठनात्मक उपाय करता है, जिनमें शामिल हैं:

• परिवहन के दौरान एन्क्रिप्शन (TLS 1.2+) और जहाँ लागू हो, विश्राम-अवस्था में एन्क्रिप्शन;
• इसके आधार पर पहुँच-नियंत्रण least privilege; प्रशासकों के लिए दो-कारक प्रमाणीकरण;
• फ़ायरवॉल, fail2ban और घुसपैठ-निगरानी;
• अधिकतम 90 दिनों की प्रतिधारण-अवधि के साथ दैनिक एन्क्रिप्टेड बैकअप;
• कॉन्फ़िगरेशन- और डेटा-फ़ाइलों पर प्रतिबंधात्मक फ़ाइल-अनुमतियाँ (600);
• उत्पादन-सिस्टम तक पहुँच की लॉगिंग और निगरानी;
• सुरक्षा-उपायों का आवधिक मूल्यांकन और अद्यतनीकरण।

अनुच्छेद 7 — उप-प्रोसेसर

7.1 ग्राहक Alvoru को उप-प्रोसेसरों को नियुक्त करने की एक सामान्य लिखित सहमति प्रदान करता है, बशर्ते Alvoru इस अनुच्छेद के शेष प्रावधानों का पालन करे।

7.2 वर्तमान में नियुक्त उप-प्रोसेसर हैं:

7.3 Alvoru उप-प्रोसेसरों पर वही डेटा सुरक्षा दायित्व लागू करता है जो इस DPA में शामिल हैं (अनुच्छेद 28 खंड 4 GDPR)।

7.4 Alvoru उप-प्रोसेसरों के प्रतिस्थापन या जोड़ के बारे में ग्राहक को कम से कम 14 दिन पहले सूचित करता है। ग्राहक उस अवधि के भीतर तर्कसंगत आपत्ति उठा सकता है। वैध आपत्ति की स्थिति में, ग्राहक को मुख्य समझौते को निःशुल्क समाप्त करने का अधिकार है।

अनुच्छेद 8 — EEA के बाहर स्थानांतरण

यूरोपीय आर्थिक क्षेत्र के बाहर किसी देश में व्यक्तिगत डेटा का स्थानांतरण केवल पर्याप्तता निर्णय (अनुच्छेद 45 GDPR), बाध्यकारी कॉर्पोरेट नियमों, EU मानक अनुबंध खंडों (अनुच्छेद 46 खंड 2 उप c GDPR) या GDPR में प्रदान की गई किसी अन्य सुरक्षा के आधार पर होता है, जहाँ आवश्यक हो वहाँ अतिरिक्त तकनीकी और संगठनात्मक उपायों के साथ पूरक।

अनुच्छेद 9 — डेटा विषयों के अधिकार

9.1 Alvoru ग्राहक पोर्टल में तकनीकी सुविधाओं और जहाँ आवश्यक हो वहाँ अतिरिक्त सहायता के माध्यम से डेटा विषयों के अनुरोधों (पहुँच, सुधार, हटाना, प्रतिबंध, पोर्टेबिलिटी, आपत्ति) को संभालने में ग्राहक को उचित सहायता प्रदान करता है।

9.2 Alvoru डेटा विषयों के उन अनुरोधों को जो सीधे Alvoru के पास आते हैं, बिना देरी के ग्राहक को अग्रेषित करता है।

अनुच्छेद 10 — डेटा उल्लंघन

10.1 Alvoru ग्राहक को सूचित करता है बिना देरी के और अधिकतम 48 घंटे के भीतर व्यक्तिगत डेटा से संबंधित उल्लंघन का पता चलने के बाद (अनुच्छेद 33 खंड 2 GDPR), ताकि ग्राहक समय पर Autoriteit Persoonsgegevens को 72 घंटे के भीतर अपने सूचना दायित्व को पूरा कर सके।

10.2 सूचना में कम से कम शामिल है: उल्लंघन की प्रकृति, संबंधित व्यक्तियों की श्रेणियाँ और संख्या, संबंधित रिकॉर्ड की श्रेणियाँ और संख्या, संभावित परिणाम और उठाए गए या प्रस्तावित उपाय।

10.3 Alvoru Autoriteit Persoonsgegevens को और जहाँ प्रासंगिक हो वहाँ डेटा विषयों को सूचना देने में ग्राहक को उचित सहायता प्रदान करता है।

अनुच्छेद 11 — ऑडिट

11.1 ग्राहक प्रति कैलेंडर वर्ष में एक बार, कम से कम 30 दिनों की पूर्व लिखित सूचना के बाद, अपने खर्च पर Alvoru द्वारा इस DPA के अनुपालन का ऑडिट (करवा) सकता है।

11.2 ऑडिट एक स्वतंत्र, गोपनीयता के लिए बाध्य ऑडिटर द्वारा, कार्यालय समय के दौरान और ऐसे तरीके से किया जाता है जो Alvoru के सामान्य व्यावसायिक संचालन को बाधित न करे।

11.3 Alvoru ऑन-साइट ऑडिट के बजाय किसी स्वतंत्र तीसरे पक्ष की एक वर्तमान रिपोर्ट (उदाहरण के लिए ISO 27001 या SOC 2) से काम चला सकता है, बशर्ते यह रिपोर्ट उचित रूप से पर्याप्त आश्वासन प्रदान करे।

अनुच्छेद 12 — समाप्ति और डेटा हटाना

12.1 मुख्य समझौते की समाप्ति के बाद Alvoru, ग्राहक की पसंद के अनुसार और पहले लिखित अनुरोध पर, सभी व्यक्तिगत डेटा को हटा देगा या ग्राहक को वापस कर देगा, अनुच्छेद 28 खंड 3 उप g GDPR के अनुसार।

12.2 ऐसा अनुरोध समाप्ति के 60 दिनों के भीतर प्रस्तुत किया जा सकता है। इसके अभाव में, डेटा 60 दिनों के बाद स्वचालित रूप से हटा दिया जाता है।

12.3 ऑफ़लाइन बैकअप नियमित रोटेशन शेड्यूल के अनुसार समाप्ति के अधिकतम 90 दिनों के बाद मिटा दिए जाते हैं।

12.4 जो डेटा Alvoru को कानून के आधार पर संग्रहीत करना आवश्यक है, उसे कानूनी रूप से निर्धारित अवधि तक संग्रहीत किया जाता है।

अनुच्छेद 13 — दायित्व

13.1 इस DPA के तहत Alvoru का दायित्व मुख्य समझौते से संबंधित सामान्य नियमों और शर्तों के दायित्व प्रावधानों में शामिल है और उनके द्वारा सीमित है।

13.2 GDPR के अनिवार्य कानूनी प्रावधान अप्रभावित रहते हैं।

अनुच्छेद 13a — प्रसंस्करण गतिविधियों का रजिस्टर

Alvoru अनुच्छेद 30 GDPR के अनुसार प्रसंस्करण गतिविधियों का एक रजिस्टर रखता है। इस रजिस्टर में कम से कम शामिल है: प्रोसेसर के रूप में Alvoru का नाम और संपर्क विवरण, नियंत्रकों की ओर से किए जाने वाले प्रसंस्करण की श्रेणियाँ, तीसरे देशों को स्थानांतरण और लागू सुरक्षा उपाय, और तकनीकी तथा संगठनात्मक सुरक्षा उपायों का एक सामान्य विवरण। यह रजिस्टर अनुरोध पर Autoriteit Persoonsgegevens के लिए उपलब्ध है।

अनुच्छेद 14 — लागू कानून और विवाद

इस DPA पर डच कानून लागू होता है। विवादों को Overijssel न्यायालय, Almelo स्थान पर प्रस्तुत किया जाता है।

हस्ताक्षर

हस्ताक्षरित संस्करण (स्कैन किया हुआ या डिजिटल रूप से हस्ताक्षरित) भेजें info@alvoru.com। Alvoru एक सह-हस्ताक्षरित प्रति वापस करता है।