డేటా ప్రాసెసింగ్ ఒప్పందం

ఈ డేటా ప్రాసెసింగ్ ఒప్పందం (“ DPA ”) అనేది ELXAO SASU (“ ప్రాసెసర్ ”) మరియు క్లయింట్ (“ కంట్రోలర్ ”) మధ్య ఒప్పందంలో ఒక అంతర్భాగం మరియు రెగ్యులేషన్ (EU) 2016/679 (“ GDPR ”)లోని ఆర్టికల్ 28 మరియు ఫ్రెంచ్ డేటా ప్రొటెక్షన్ యాక్ట్ (సవరించిన విధంగా 6 జనవరి 1978 నాటి Loi n° 78-17)ను అమలు చేస్తుంది. సేవలను అందించే క్రమంలో ELXAO కంట్రోలర్ తరపున వ్యక్తిగత డేటాను ప్రాసెస్ చేసినప్పుడల్లా ఇది వర్తిస్తుంది.

నిర్వచనాలు

“వ్యక్తిగత డేటా”, “ప్రాసెసింగ్”, “కంట్రోలర్”, “ప్రాసెసర్”, “సబ్-ప్రాసెసర్”, “డేటా సబ్జెక్ట్”, “ప్రత్యేక వర్గ డేటా” మరియు “వ్యక్తిగత డేటా ఉల్లంఘన” అనే పదాలకు GDPRలోని ఆర్టికల్ 4లో ఇవ్వబడిన అర్థాలు వర్తిస్తాయి. ఈ DPA స్పష్టంగా వాటిని అధిగమించిన సందర్భాలు మినహా, ఒప్పందంలోని నిబంధనలు ఈ DPAకి వర్తిస్తాయి.

విషయం, వ్యవధి మరియు ప్రాసెసింగ్ స్వభావం

పాత్రలు & సూచనలు

ప్రాసెసింగ్ యొక్క ప్రయోజనాలను మరియు మార్గాలను కంట్రోలర్ నిర్ధారిస్తారు. ELXAO వ్యక్తిగత డేటాను కేవలం కంట్రోలర్ యొక్క పత్రబద్ధమైన సూచనల మేరకు మాత్రమే ప్రాసెస్ చేస్తుంది, ఈ సూచనలు ఒప్పందం, ఆర్డర్‌లు, SLAలు, కంట్రోలర్ యొక్క గోప్యతా విధానం మరియు ఆ తర్వాత పంపబడిన ఏవైనా నిర్దిష్ట లిఖిత సూచనల ద్వారా లాంఛనప్రాయంగా రూపొందించబడతాయి. ఒక సూచన డేటా-రక్షణ చట్టాన్ని ఉల్లంఘిస్తోందని ELXAO భావిస్తే, అది అనవసరమైన జాప్యం లేకుండా కంట్రోలర్‌కు తెలియజేస్తుంది.

సిబ్బంది గోప్యత

వ్యక్తిగత డేటాను ప్రాసెస్ చేయడానికి అధికారం పొందిన ప్రతి వ్యక్తి అమలు చేయదగిన గోప్యతా బాధ్యతకు (ఉద్యోగ ఒప్పందం, ఫ్రీలాన్స్ ఒప్పందం లేదా NDA) కట్టుబడి ఉండేలా మరియు వారి పాత్రకు తగిన వ్యక్తిగత-డేటా రక్షణలో శిక్షణ పొందేలా ELXAO నిర్ధారిస్తుంది.

భద్రతా చర్యలు

ELXAO తగిన సాంకేతిక మరియు సంస్థాగత చర్యలను (ఆర్టికల్ 32 GDPR) అమలు చేస్తుంది, వాటిలో ఇవి ఉన్నాయి:

• ప్రొడక్షన్ డేటా స్టోర్‌ల కోసం ట్రాన్సిట్‌లో TLS 1.2+ ఎన్‌క్రిప్షన్ మరియు రెస్ట్‌లో AES-256 ఎన్‌క్రిప్షన్.
• కనీస అధికార సూత్రంతో కూడిన పాత్ర-ఆధారిత యాక్సెస్ నియంత్రణ; నిర్వాహకులందరికీ తప్పనిసరి బహుళ-కారకాల ప్రమాణీకరణ.
• క్రమబద్ధమైన దుర్బలత్వ స్కానింగ్ మరియు ప్యాచ్‌లతో కూడిన, పటిష్టమైన, EU-ఆధారిత మౌలిక సదుపాయాలు.
• కోడ్ సమీక్ష, రహస్యాల నిర్వహణ, సురక్షితమైన SDLC మరియు ప్రొడక్షన్/స్టేజింగ్ వాతావరణాల విభజన.
• కేంద్రీకృత, సమగ్రత-రక్షిత లాగింగ్; అనుమానాస్పద ప్రమాణీకరణ మరియు డేటా-ఎగుమతి ఈవెంట్‌లపై హెచ్చరికలు.
• పత్రబద్ధమైన పునరుద్ధరణ పరీక్షలతో కూడిన, గుప్తీకరించబడిన, భౌగోళికంగా వేరు చేయబడిన బ్యాకప్‌లు.
• సిబ్బందిని నియమించుకునే/విడిచిపెట్టే విధానాలు, పాస్‌వర్డ్ మేనేజర్, పూర్తి-డిస్క్ ఎన్‌క్రిప్షన్‌తో సురక్షితమైన ల్యాప్‌టాప్‌లు.
• వ్యాపార కొనసాగింపు మరియు సంఘటన-ప్రతిస్పందన ప్రణాళికలను కనీసం సంవత్సరానికి ఒకసారి సమీక్షిస్తారు.

ఉప-ప్రాసెసింగ్

నిర్దిష్ట ప్రాసెసింగ్ కార్యకలాపాలను (హోస్టింగ్, ఇమెయిల్ డెలివరీ, అనలిటిక్స్, యాడ్ ప్లాట్‌ఫారమ్‌లు, కస్టమర్ సపోర్ట్ టూల్స్, ఈవెంట్-మేనేజ్‌మెంట్ ప్లాట్‌ఫారమ్‌లు) నిర్వహించడం కోసం సబ్-ప్రాసెసర్‌లను నియమించుకోవడానికి కంట్రోలర్, ELXAOకు సాధారణ అధికారాన్ని మంజూరు చేస్తుంది. ELXAO, సబ్-ప్రాసెసర్‌ల యొక్క తాజా జాబితాను నిర్వహిస్తుంది, ఇది [email protected] వద్ద అభ్యర్థనపై అందుబాటులో ఉంటుంది, మరియు ఉద్దేశించిన ఏదైనా చేర్పు లేదా భర్తీకి కనీసం ముప్పై (30) రోజుల ముందుగా నోటీసు ఇస్తుంది, ఈ సమయంలో కంట్రోలర్ సహేతుకమైన డేటా-రక్షణ కారణాలపై అభ్యంతరం తెలపవచ్చు. ELXAO ప్రతి సబ్-ప్రాసెసర్‌పై, ఈ DPAలో నిర్దేశించిన వాటి కంటే తక్కువ రక్షణ కల్పించని డేటా-రక్షణ బాధ్యతలను విధిస్తుంది.

అంతర్జాతీయ బదిలీలు

వ్యక్తిగత డేటా ప్రధానంగా యూరోపియన్ ఎకనామిక్ ఏరియా (EEA) పరిధిలో ప్రాసెస్ చేయబడుతుంది. ప్రాసెసింగ్‌లో భాగంగా తగిన నిర్ణయం లేని దేశానికి EEA వెలుపల బదిలీ చేయాల్సి వచ్చినప్పుడు, ELXAO సంస్థ GDPRలోని ఆర్టికల్ 46 ప్రకారం తగిన రక్షణ చర్యలను తీసుకుంటుంది. వీటిలో ప్రధానంగా, 4 జూన్ 2021 నాటి యూరోపియన్ కమిషన్ యొక్క స్టాండర్డ్ కాంట్రాక్చువల్ క్లాజులు (SCCలు) ఉంటాయి. వీటికి అదనంగా, బదిలీ ప్రభావ అంచనాకు అవసరమైన ఏవైనా అదనపు చర్యలను కూడా ఇది అనుసరిస్తుంది.

కంట్రోలర్‌కు సహాయం

డేటా-సబ్జెక్ట్ అభ్యర్థనలకు (ఆర్టికల్స్ 12–22 GDPR) ప్రతిస్పందించే బాధ్యతలను నెరవేర్చడంలో మరియు ఆర్టికల్స్ 32–36 GDPR (భద్రత, ఉల్లంఘన నోటిఫికేషన్, DPIA, ముందస్తు సంప్రదింపులు)కు అనుగుణంగా ఉండేలా చూసుకోవడంలో, ELXAO తగిన సాంకేతిక మరియు సంస్థాగత చర్యల ద్వారా కంట్రోలర్‌కు సహాయం చేస్తుంది. సేవలలో ప్రామాణిక సహాయం చేర్చబడింది; ప్రతి అభ్యర్థనకు ఒక (1) పని దినం కంటే ఎక్కువ చేసే గణనీయమైన పనికి, వ్రాతపూర్వక నోటీసు తర్వాత ELXAO యొక్క అప్పటి ప్రస్తుత వృత్తిపరమైన రేట్ల ప్రకారం బిల్లు వేయబడవచ్చు.

వ్యక్తిగత డేటా ఉల్లంఘన

కంట్రోలర్ యొక్క డేటాను ప్రభావితం చేసే వ్యక్తిగత డేటా ఉల్లంఘన గురించి తెలుసుకున్న తర్వాత, ELXAO అనవసరమైన జాప్యం లేకుండా మరియు ఏ సందర్భంలోనైనా డెబ్బై రెండు (72) గంటలలోపు కంట్రోలర్‌కు తెలియజేస్తుంది. ఈ నోటిఫికేషన్‌లో ఉల్లంఘన స్వభావం, ప్రభావితమైన వర్గాలు మరియు సుమారు పరిమాణాలు, సంభావ్య పరిణామాలు మరియు దానిని పరిష్కరించడానికి తీసుకున్న లేదా ప్రతిపాదించిన చర్యలు ఉంటాయి.

ఆడిట్‌లు

ఈ DPAకి అనుగుణంగా ఉన్నట్లు నిరూపించడానికి అవసరమైన సమాచారాన్ని, అందుబాటులో ఉన్నప్పుడు సబ్-ప్రాసెసర్‌ల నుండి ISO 27001 / SOC 2 రకం నివేదికలతో సహా, ELXAO సహేతుకమైన అభ్యర్థన మేరకు మరియు సంవత్సరానికి ఒకసారి మించకుండా (ఉల్లంఘన జరిగిన తర్వాత తప్ప) కంట్రోలర్‌కు అందుబాటులో ఉంచుతుంది. ఆన్-సైట్ ఆడిట్‌లను కంట్రోలర్ లేదా పరస్పరం ఆమోదించబడిన, గోప్యతకు కట్టుబడి ఉండే మూడవ పక్ష ఆడిటర్, కంట్రోలర్ ఖర్చుతో, సహేతుకమైన ముందస్తు నోటీసుతో మరియు వ్యాపార వేళల్లో, ELXAO కార్యకలాపాలకు అసమంజసంగా అంతరాయం కలిగించని రీతిలో నిర్వహించవచ్చు.

డేటాను తిరిగి ఇవ్వడం లేదా తొలగించడం

ఒప్పందం ముగిసిన తర్వాత, కంట్రోలర్ ముప్పై (30) రోజులలోపు వ్యక్తపరిచిన ఎంపిక మేరకు, ELXAO అన్ని వ్యక్తిగత డేటాను ఒక క్రమబద్ధమైన, సాధారణంగా ఉపయోగించే మరియు మెషిన్-రీడబుల్ ఫార్మాట్‌లో తిరిగి ఇస్తుంది, లేదా దానిని అన్ని ప్రొడక్షన్ మరియు ఆపరేషనల్ సిస్టమ్‌ల నుండి తొలగిస్తుంది. బ్యాకప్ కాపీలు ప్రామాణిక రొటేషన్ సైకిల్ (తొంభై (90) రోజుల వరకు) ప్రకారం తొలగించబడతాయి మరియు వర్తించే చట్టం ప్రకారం అవసరమైన చోట మాత్రమే ఆ కాలానికి మించి ఉంచుకోవచ్చు, అటువంటి సందర్భంలో అవి ఈ DPA యొక్క భద్రత మరియు గోప్యతా బాధ్యతలకు లోబడి ఉంటాయి.

బాధ్యత

ఈ DPA కింద తలెత్తే క్లెయిమ్‌లకు MSA యొక్క బాధ్యత నిబంధనలు వర్తిస్తాయి. GDPRలోని ఆర్టికల్ 82 ప్రకారం ప్రతి పక్షం డేటా సబ్జెక్ట్‌లకు మరియు పర్యవేక్షక అధికారులకు బాధ్యత వహిస్తుంది.

సంప్రదించండి

ఈ DPA కింద డేటా-రక్షణకు సంబంధించిన ఏవైనా ప్రశ్నలు, అభ్యర్థనలు లేదా నోటీసుల కోసం, ELXAO ను [email protected] వద్ద సంప్రదించండి.