डेटा प्रोसेसिंग समझौता

यह डेटा प्रोसेसिंग समझौता (“ डीपीए ”) ELXAO एसएएसयू (“ प्रोसेसर ”) और ग्राहक (“ नियंत्रक ”) के बीच समझौते का एक अभिन्न अंग है और विनियमन (ईयू) 2016/679 (“ जीडीपीआर ”) के अनुच्छेद 28 और फ्रांसीसी डेटा संरक्षण अधिनियम (6 जनवरी 1978 का लोई नं. 78-17, संशोधित रूप में) को लागू करता है। यह तब लागू होता है जब ELXAO सेवाओं के प्रावधान के दौरान नियंत्रक की ओर से व्यक्तिगत डेटा को संसाधित करता है।

परिभाषाएं

“व्यक्तिगत डेटा”, “प्रसंस्करण”, “नियंत्रक”, “प्रोसेसर”, “उप-प्रोसेसर”, “डेटा विषय”, “विशेष श्रेणी डेटा” और “व्यक्तिगत डेटा उल्लंघन” शब्दों का वही अर्थ है जो GDPR के अनुच्छेद 4 में दिया गया है। इस समझौते की शर्तें इस डेटा सुरक्षा समझौते पर लागू होती हैं, सिवाय उन मामलों के जहां यह डेटा सुरक्षा समझौता स्पष्ट रूप से उन्हें निरस्त करता है।

विषयवस्तु, अवधि और प्रक्रिया की प्रकृति

भूमिकाएँ और निर्देश

नियंत्रक प्रसंस्करण के उद्देश्यों और साधनों का निर्धारण करता है। ELXAO व्यक्तिगत डेटा को केवल नियंत्रक के दस्तावेजित निर्देशों के अनुसार संसाधित करता है, जिन्हें समझौते, आदेशों, मानक दायित्व अनुबंधों (SLA), नियंत्रक की गोपनीयता नीति और उसके बाद भेजे गए किसी भी विशिष्ट लिखित निर्देशों द्वारा औपचारिक रूप दिया गया है। यदि ELXAO को लगता है कि कोई निर्देश डेटा-सुरक्षा कानून का उल्लंघन करता है, तो वह नियंत्रक को बिना किसी अनुचित देरी के सूचित करेगा।

कर्मचारियों की गोपनीयता

ELXAO यह सुनिश्चित करता है कि व्यक्तिगत डेटा को संसाधित करने के लिए अधिकृत प्रत्येक व्यक्ति एक लागू करने योग्य गोपनीयता दायित्व (रोजगार अनुबंध, फ्रीलांस अनुबंध या एनडीए) से बंधा हो और उसने अपनी भूमिका के अनुरूप व्यक्तिगत डेटा सुरक्षा में प्रशिक्षण प्राप्त किया हो।

सुरक्षा उपाय

ELXAO उचित तकनीकी और संगठनात्मक उपाय लागू करता है (अनुच्छेद 32 GDPR), जिनमें शामिल हैं:

• उत्पादन डेटा भंडारों के लिए ट्रांज़िट में TLS 1.2+ एन्क्रिप्शन और रेस्ट में AES-256 एन्क्रिप्शन।
• न्यूनतम विशेषाधिकार के सिद्धांत के साथ भूमिका-आधारित पहुंच नियंत्रण; सभी प्रशासकों के लिए अनिवार्य बहु-कारक प्रमाणीकरण।
• नियमित रूप से सुरक्षा संबंधी खामियों की जांच और उन्हें ठीक करने की सुविधा के साथ, यूरोपीय संघ में स्थापित मजबूत बुनियादी ढांचा।
• कोड समीक्षा, गोपनीय प्रबंधन, सुरक्षित एसडीएलसी और उत्पादन/स्टेजिंग वातावरण का पृथक्करण।
• केंद्रीकृत, अखंडता-सुरक्षित लॉगिंग; संदिग्ध प्रमाणीकरण और डेटा-निर्यात घटनाओं पर अलर्ट।
• दस्तावेजीकृत पुनर्स्थापना परीक्षणों के साथ एन्क्रिप्टेड, भौगोलिक रूप से अलग-अलग बैकअप।
• कर्मचारियों की भर्ती/नौकरी छोड़ने की प्रक्रिया, पासवर्ड मैनेजर, पूर्ण-डिस्क एन्क्रिप्शन वाले सुरक्षित लैपटॉप।
• व्यवसाय निरंतरता और घटना-प्रतिक्रिया योजनाओं की समीक्षा कम से कम वार्षिक रूप से की जाती है।

उप प्रसंस्करण

नियंत्रक, ELXAO को विशिष्ट प्रसंस्करण गतिविधियों (होस्टिंग, ईमेल वितरण, विश्लेषण, विज्ञापन प्लेटफ़ॉर्म, ग्राहक सहायता उपकरण, इवेंट-मैनेजमेंट प्लेटफ़ॉर्म) के निष्पादन हेतु उप-प्रोसेसरों को नियुक्त करने का सामान्य प्राधिकरण प्रदान करता है। ELXAO उप-प्रोसेसरों की एक अद्यतन सूची रखता है, जो [email protected] पर अनुरोध करने पर उपलब्ध है, और किसी भी प्रस्तावित जोड़ या प्रतिस्थापन की कम से कम तीस (30) दिन पूर्व सूचना देगा, जिसके दौरान नियंत्रक उचित डेटा-सुरक्षा आधारों पर आपत्ति कर सकता है। ELXAO प्रत्येक उप-प्रोसेसर पर इस डेटा सुरक्षा समझौते में निर्धारित दायित्वों से कम सुरक्षात्मक दायित्व नहीं, बल्कि समान दायित्व लागू करता है।

अंतर्राष्ट्रीय स्थानांतरण

व्यक्तिगत डेटा का प्रसंस्करण मुख्य रूप से यूरोपीय आर्थिक क्षेत्र (ईईए) के भीतर किया जाता है। जहां प्रसंस्करण में ईईए के बाहर किसी ऐसे देश में स्थानांतरण शामिल होता है जिसके लिए पर्याप्तता निर्णय नहीं लिया गया है, वहां ELXAO, GDPR के अनुच्छेद 46 के तहत उचित सुरक्षा उपायों पर निर्भर करता है, मुख्य रूप से यूरोपीय आयोग के 4 जून 2021 के मानक संविदात्मक खंड (एससीसी), साथ ही स्थानांतरण प्रभाव मूल्यांकन द्वारा आवश्यक किसी भी अतिरिक्त उपायों का भी उपयोग करता है।

नियंत्रक को सहायता

ELXAO, डेटा नियंत्रक को उचित तकनीकी और संगठनात्मक उपायों के माध्यम से, डेटा विषय अनुरोधों का जवाब देने (अनुच्छेद 12-22 GDPR) और अनुच्छेद 32-36 GDPR (सुरक्षा, उल्लंघन अधिसूचना, DPIA, पूर्व परामर्श) के अनुपालन को सुनिश्चित करने में सहायता करता है। मानक सहायता सेवाओं में शामिल है; प्रति अनुरोध एक (1) कार्य दिवस से अधिक के महत्वपूर्ण कार्य के लिए लिखित सूचना के बाद ELXAO की तत्कालीन पेशेवर दरों पर शुल्क लिया जा सकता है।

व्यक्तिगत डेटा का उल्लंघन

ELXAO, नियंत्रक के डेटा को प्रभावित करने वाले व्यक्तिगत डेटा उल्लंघन की जानकारी प्राप्त होने के बाद, बिना किसी अनावश्यक देरी के और किसी भी स्थिति में बहत्तर (72) घंटों के भीतर नियंत्रक को सूचित करता है। इस सूचना में उल्लंघन की प्रकृति, प्रभावित डेटा की श्रेणियां और अनुमानित मात्रा, संभावित परिणाम और इससे निपटने के लिए उठाए गए या प्रस्तावित उपाय शामिल होते हैं।

ऑडिट

ELXAO, नियंत्रक को उचित अनुरोध पर और वर्ष में एक बार से अधिक नहीं (उल्लंघन की स्थिति को छोड़कर), इस डेटा प्रोसेसिंग समझौते (डीपीए) के अनुपालन को प्रदर्शित करने के लिए आवश्यक जानकारी उपलब्ध कराता है, जिसमें उपलब्ध होने पर उप-प्रोसेसरों से ISO 27001 / SOC 2 प्रकार की रिपोर्टें शामिल हैं। नियंत्रक या पारस्परिक रूप से अनुमोदित किसी गोपनीयता से बंधे तृतीय-पक्ष लेखा परीक्षक द्वारा, नियंत्रक के खर्च पर, उचित पूर्व सूचना के साथ और व्यावसायिक घंटों के दौरान, ऑन-साइट ऑडिट किए जा सकते हैं, इस प्रकार कि ELXAO के संचालन में अनुचित रूप से बाधा न पड़े।

डेटा की वापसी या विलोपन

समझौते की समाप्ति पर, नियंत्रक द्वारा तीस (30) दिनों के भीतर व्यक्त किए गए विकल्प के अनुसार, ELXAO या तो सभी व्यक्तिगत डेटा को संरचित, सामान्य रूप से उपयोग किए जाने वाले और मशीन-पठनीय प्रारूप में वापस कर देगा, या इसे सभी उत्पादन और परिचालन प्रणालियों से हटा देगा। बैकअप प्रतियां मानक रोटेशन चक्र (नब्बे (90) दिनों तक) पर हटाई जाती हैं और लागू कानून द्वारा आवश्यक होने पर ही उस अवधि के बाद रखी जा सकती हैं, ऐसी स्थिति में वे इस डेटा सुरक्षा समझौते के सुरक्षा और गोपनीयता दायित्वों के अधीन रहेंगी।

देयता

इस डेटा सुरक्षा समझौते के अंतर्गत उत्पन्न होने वाले दावों पर एमएसए के दायित्व प्रावधान लागू होते हैं। प्रत्येक पक्ष अनुच्छेद 82 जीडीपीआर के अनुसार डेटा विषयों और पर्यवेक्षी अधिकारियों के प्रति उत्तरदायी बना रहता है।

संपर्क

इस डेटा सुरक्षा समझौते के अंतर्गत किसी भी प्रश्न, अनुरोध या सूचना के लिए, ELXAO से [email protected] पर संपर्क करें।