कानूनी

डेटा प्रोसेसिंग समझौता

अंतिम अद्यतन 1 नवंबर 2026

यह अनुवाद आपकी सुविधा के लिए उपलब्ध कराया गया है। अंग्रेज़ी संस्करण ही क़ानूनी रूप से बाध्यकारी है, और दोनों में अंतर होने पर वही मान्य होगा। अंग्रेज़ी संस्करण पढ़ें।

यह डेटा प्रोसेसिंग समझौता ("DPA") ग्राहक और Astrizon Technology Solutions Private Limited, भारत में पंजीकृत एक कंपनी ("प्रोसेसर") के बीच सेवा की शर्तों का हिस्सा है। यह तब भी लागू होता है जब प्रोसेसर Zolensa के माध्यम से ग्राहक की ओर से व्यक्तिगत डेटा प्रोसेस करता है। अगर ग्राहक अपने ही क्लाइंट के लिए प्रोसेसर के रूप में कार्य करता है, तो प्रोसेसर उसका सब-प्रोसेसर है और शर्तें उसी के अनुसार लागू होती हैं।

1. परिभाषाएँ

"डेटा संरक्षण क़ानून" का अर्थ वे क़ानून हैं जो प्रोसेसिंग पर लागू होते हैं, जिनमें यूरोपीय संघ का सामान्य डेटा संरक्षण विनियमन (GDPR), यूके GDPR और डेटा संरक्षण अधिनियम 2018 (Data Protection Act 2018), स्विस संघीय डेटा संरक्षण अधिनियम, भारत का डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (DPDP Act), और कैलिफ़ोर्निया उपभोक्ता गोपनीयता अधिनियम (CCPA) जैसे अमेरिकी राज्यों के क़ानून शामिल हैं। "व्यक्तिगत डेटा", "डेटा नियंत्रक", "डेटा प्रोसेसर", "डेटा विषय", "व्यक्तिगत डेटा उल्लंघन" और "प्रोसेसिंग" के वही अर्थ हैं जो GDPR में दिए गए हैं। "ग्राहक का व्यक्तिगत डेटा" का अर्थ वह व्यक्तिगत डेटा है जिसे प्रोसेसर सेवा के माध्यम से ग्राहक के लिए प्रोसेस करता है।

2. भूमिकाएँ और निर्देश

ग्राहक डेटा नियंत्रक है (या अपने क्लाइंट के लिए कार्य करने वाला डेटा प्रोसेसर), और प्रोसेसर ग्राहक का व्यक्तिगत डेटा केवल ग्राहक के दस्तावेज़ी निर्देशों पर प्रोसेस करता है। शर्तें, यह DPA और सेवा का ग्राहक द्वारा उपयोग और सेटिंग्स ही वे निर्देश हैं। अगर प्रोसेसर को लगता है कि कोई निर्देश डेटा संरक्षण क़ानून का उल्लंघन करता है, तो वह ग्राहक को बताता है। प्रोसेसिंग का विवरण अनुलग्नक I में है।

3. गोपनीयता

प्रोसेसर यह सुनिश्चित करता है कि ग्राहक का व्यक्तिगत डेटा प्रोसेस करने के लिए अधिकृत हर व्यक्ति गोपनीयता से बँधा हो और उसके पास केवल वही पहुँच हो जो उसकी भूमिका को चाहिए।

4. सुरक्षा

प्रोसेसर जोखिम के अनुरूप, अनुलग्नक II में दिए तकनीकी और संगठनात्मक उपाय लागू करता है, और उन्हें तब तक अद्यतन कर सकता है जब तक सुरक्षा का समग्र स्तर कम न हो।

5. सब-प्रोसेसर

ग्राहक सब-प्रोसेसर पृष्ठ पर सूचीबद्ध सब-प्रोसेसरों के लिए सामान्य प्राधिकरण देता है। प्रोसेसर नए सब-प्रोसेसर की सूचना कम से कम 30 दिन पहले उस पृष्ठ को अद्यतन करके और वर्कस्पेस मालिकों को ईमेल करके देता है। ग्राहक उस अवधि के भीतर डेटा संरक्षण के उचित आधारों पर आपत्ति कर सकता है; अगर पक्ष किसी समाधान पर सहमत नहीं हो पाते, तो ग्राहक प्रभावित सेवा समाप्त कर सकता है और शेष अवधि के अग्रिम चुकाए शुल्क का रिफ़ंड पा सकता है। प्रोसेसर हर सब-प्रोसेसर पर डेटा संरक्षण के ऐसे दायित्व लगाता है जो इस DPA से कम सुरक्षात्मक न हों, और उनके लिए ज़िम्मेदार बना रहता है।

6. अंतर्राष्ट्रीय स्थानांतरण

प्रोसेसर सेवा को भारत में होस्ट करता है और कुछ सब-प्रोसेसर अन्य देशों में हैं। यूरोपीय आर्थिक क्षेत्र से व्यक्तिगत डेटा के स्थानांतरण के लिए, पक्ष आयोग निर्णय (EU) 2021/914 द्वारा अपनाई गई मानक संविदात्मक धाराओं (Standard Contractual Clauses), मॉड्यूल दो (डेटा नियंत्रक से डेटा प्रोसेसर) और, जहाँ ग्राहक प्रोसेसर है, मॉड्यूल तीन (प्रोसेसर से प्रोसेसर) पर सहमत होते हैं, जो संदर्भ द्वारा इन विकल्पों के साथ शामिल हैं: धारा 7 लागू नहीं होती; धारा 9 के अंतर्गत विकल्प 2 (सामान्य प्राधिकरण) 30 दिन की सूचना के साथ लागू होता है; धारा 11 का वैकल्पिक शब्दांकन लागू नहीं होता; धारा 13 ग्राहक की स्थापना के अनुसार चलती है; धारा 17 और 18 के अंतर्गत आयरलैंड के क़ानून और अदालतें लागू होती हैं; इस DPA के अनुलग्नक I और II धाराओं के अनुलग्नकों को पूरा करते हैं। यूनाइटेड किंगडम से स्थानांतरण के लिए सूचना आयुक्त द्वारा जारी अंतर्राष्ट्रीय डेटा स्थानांतरण परिशिष्ट लागू होता है, और स्विट्ज़रलैंड के लिए धाराएँ इस तरह लागू होती हैं कि संदर्भों को स्विस क़ानून के संदर्भ माना जाए। अगर ये धाराएँ इस DPA से टकराती हैं, तो धाराएँ प्रभावी रहेंगी।

7. ग्राहक की सहायता

प्रोसेसिंग की प्रकृति को ध्यान में रखते हुए, प्रोसेसर ग्राहक की सहायता करता है, मुख्य रूप से सेवा की सुविधाओं के माध्यम से, डेटा विषयों के अनुरोधों का उत्तर देने में, और सुरक्षा, उल्लंघन की सूचनाओं, डेटा संरक्षण प्रभाव आकलन और प्राधिकारियों के साथ परामर्श में। अगर कोई डेटा विषय सीधे प्रोसेसर से संपर्क करता है, तो प्रोसेसर अनुरोध का उत्तर दिए बिना उसे ग्राहक को भेज देता है, जब तक क़ानून अन्यथा अपेक्षित न करे।

8. व्यक्तिगत डेटा उल्लंघन

ग्राहक के व्यक्तिगत डेटा को प्रभावित करने वाले व्यक्तिगत डेटा उल्लंघन की जानकारी मिलने के बाद प्रोसेसर ग्राहक को अनुचित विलंब के बिना, और किसी भी स्थिति में 48 घंटे के भीतर, वह जानकारी देते हुए सूचित करता है जो ग्राहक को अपने दायित्व पूरे करने के लिए चाहिए, और जैसे-जैसे अधिक पता चलता है ग्राहक को सूचित रखता है। प्रोसेसर उल्लंघन को रोकने और उसके प्रभाव घटाने के लिए उचित क़दम उठाता है।

9. हटाना और लौटाना

ग्राहक किसी भी समय सेवा के माध्यम से ग्राहक का व्यक्तिगत डेटा एक्सपोर्ट और डिलीट कर सकता है, और हर अध्ययन की प्रतिधारण अवधि तय करता है। अनुबंध समाप्त होने पर, प्रोसेसर शर्तों में दी गई एक्सपोर्ट अवधि के बाद 30 दिनों के भीतर स्टोरेज की फ़ाइलों समेत ग्राहक का सारा व्यक्तिगत डेटा हटा देता है, जब तक क़ानून उसे कुछ डेटा रखने के लिए बाध्य न करे, जिस स्थिति में वह उस डेटा को गोपनीय रखता है और केवल उसी उद्देश्य के लिए प्रोसेस करता है।

10. ऑडिट

प्रोसेसर इस DPA के अनुपालन को दिखाने के लिए उचित रूप से आवश्यक जानकारी उपलब्ध कराता है। ग्राहक, या गोपनीयता से बँधा कोई स्वतंत्र ऑडिटर, साल में एक बार 30 दिन की सूचना के साथ, कार्य समय में और सेवा या अन्य ग्राहकों के डेटा में बाधा डाले बिना, अपने ख़र्च पर ऑडिट कर सकता है; या इससे अधिक बार, अगर कोई व्यक्तिगत डेटा उल्लंघन या कोई प्राधिकारी इसकी अपेक्षा करे।

11. अमेरिकी राज्यों के गोपनीयता क़ानून

जहाँ कैलिफ़ोर्निया उपभोक्ता गोपनीयता अधिनियम या समान क़ानून लागू होते हैं, वहाँ प्रोसेसर एक सेवा प्रदाता है और ग्राहक का व्यक्तिगत डेटा न बेचेगा, न साझा करेगा, न उसे प्रत्यक्ष व्यावसायिक संबंध के बाहर या सेवा के अलावा किसी उद्देश्य के लिए रखेगा, उपयोग करेगा या प्रकट करेगा, और न ही उसे अन्य व्यक्तिगत जानकारी के साथ मिलाएगा, सिवाय उतने के जितना वे क़ानून अनुमति दें। अगर प्रोसेसर ये दायित्व अब पूरे नहीं कर सकता, तो वह ग्राहक को बताएगा।

12. दायित्व और प्राथमिकता का क्रम

इस DPA के तहत प्रत्येक पक्ष का दायित्व शर्तों में दी गई सीमाओं के अधीन है, सिवाय वहाँ जहाँ डेटा संरक्षण क़ानून उनकी अनुमति नहीं देता। अगर यह DPA डेटा संरक्षण के विषय पर शर्तों से टकराता है, तो यह DPA प्रभावी रहेगा।

13. अनुलग्नक I: प्रोसेसिंग का विवरण

14. अनुलग्नक II: तकनीकी और संगठनात्मक उपाय

• सभी कनेक्शनों के लिए TLS के साथ ट्रांज़िट में एन्क्रिप्शन; रिकॉर्डिंग निजी रूप से संग्रहीत की जाती हैं और समाप्त हो जाने वाले हस्ताक्षरित लिंक के माध्यम से दी जाती हैं।
• पासवर्ड Argon2id से हैश किए जाते हैं; वर्कस्पेस मालिकों और प्लेटफ़ॉर्म कर्मचारियों के लिए टू-फ़ैक्टर प्रमाणीकरण अनिवार्य; प्रदाता कुंजियाँ और टू-फ़ैक्टर सीक्रेट स्टोरेज में एन्क्रिप्टेड।
• हर वर्कस्पेस के भीतर भूमिका-आधारित पहुँच; क्लाइंट प्रतिभागियों को केवल कोड से देखते हैं; संपर्क विवरण अध्ययन टीम तक सीमित।
• एप्लिकेशन में ग्राहकों के डेटा का वर्कस्पेस के आधार पर पृथक्करण; हर अनुरोध की जाँच उपयोगकर्ता के वर्कस्पेस और भूमिका से की जाती है।
• साइन-इन, आमंत्रण और अपलोड पर रेट लिमिट; क्रॉस-साइट रिक्वेस्ट फ़ोर्जरी से सुरक्षा; सुरक्षा हेडर।
• साइन-इन, आमंत्रण, सहमति, एक्सपोर्ट, डाउनलोड और हटाने का ऑडिट लॉग।
• डेटा न्यूनतमीकरण: फ़ोटो से लोकेशन डेटा हटाया जाता है; अपलोड की जाँच प्रकार और आकार से की जाती है; डाउनलोड सात दिन बाद समाप्त हो जाते हैं।
• ग्राहक द्वारा तय किया गया प्रति अध्ययन प्रतिधारण; प्रतिभागियों, अध्ययनों और फ़ाइलों समेत पूरे वर्कस्पेस को हटाना।
• सर्वर की सुदृढ़ीकरण, नियमित सुरक्षा अद्यतन, फ़ायरवॉल, और होस्टिंग प्रदाता द्वारा रखे गए बैकअप।
• पहुँच वाले कर्मचारी गोपनीयता से बँधे होते हैं, और पहुँच उतनी ही जितनी उनके काम को चाहिए।
• व्यक्तिगत डेटा उल्लंघनों का पता लगाने, आकलन करने और 48 घंटे के भीतर सूचित करने की प्रक्रिया।