Data Processing Addendum

1. 1. परिभाषाएँ

"डेटा संरक्षण कानून" का अर्थ है इस DPA के अंतर्गत व्यक्तिगत डेटा की प्रोसेसिंग पर लागू सभी कानून, जिनमें EU जनरल डेटा प्रोटेक्शन रेगुलेशन (2016/679) ("EU GDPR"), UK GDPR और डेटा प्रोटेक्शन एक्ट 2018, स्विस फ़ेडरल एक्ट ऑन डेटा प्रोटेक्शन, तथा संशोधित CCPA सहित अमेरिकी राज्यों के गोपनीयता कानून शामिल हैं।

"व्यक्तिगत डेटा" का अर्थ है डेटा संरक्षण कानून के अंतर्गत व्यक्तिगत डेटा, व्यक्तिगत जानकारी या उसके समकक्ष, जिसे VERA सेवा की शर्तों के अंतर्गत ग्राहक की ओर से प्रोसेस करता है। "नियंत्रक" (Controller), "प्रोसेसर" (Processor), "डेटा विषय" (Data Subject), "प्रोसेसिंग" (Processing), "व्यक्तिगत डेटा उल्लंघन" (Personal Data Breach) और "पर्यवेक्षी प्राधिकरण" (Supervisory Authority) के वही अर्थ हैं जो EU GDPR में दिए गए हैं।

"सब-प्रोसेसर" का अर्थ है VERA द्वारा व्यक्तिगत डेटा प्रोसेस करने के लिए नियुक्त कोई तृतीय पक्ष। "स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़" या "SCCs" का अर्थ है कमीशन इम्प्लीमेंटिंग डिसीज़न (EU) 2021/914 के साथ संलग्न क्लॉज़। "UK एडेंडम" का अर्थ है UK इन्फ़ॉर्मेशन कमिश्नर द्वारा डेटा प्रोटेक्शन एक्ट 2018 की धारा 119A के अंतर्गत जारी इंटरनेशनल डेटा ट्रांसफ़र एडेंडम।

2. 2. भूमिकाएँ और दायरा

ग्राहक द्वारा अपने ग्राहकों, लीड्स, संपर्कों, कर्मचारियों और ठेकेदारों के बारे में सेवा में जमा किए गए व्यक्तिगत डेटा के संबंध में, ग्राहक नियंत्रक (Controller) है और VERA प्रोसेसर (Processor) है।

ग्राहक (Customer) के अपने अकाउंट डेटा, बिलिंग डेटा, सपोर्ट पत्राचार और प्रोडक्ट उपयोग डेटा के संबंध में VERA एक स्वतंत्र नियंत्रक (Controller) है। वह प्रोसेसिंग निजता नीति (Privacy Policy) द्वारा नियंत्रित होती है, इस DPA द्वारा नहीं।

प्रोसेसिंग की विषय-वस्तु सेवा का प्रावधान है। इसकी अवधि सेवा की शर्तों की अवधि और धारा 10 के तहत डिलीट किए जाने से पहले की कोई भी अवधि है। इसकी प्रकृति और उद्देश्य व्यक्तिगत डेटा को होस्ट करना, संग्रहीत करना, व्यवस्थित करना, उससे सामग्री तैयार करना, उसे ट्रांसमिट करना और प्रदर्शित करना है, ताकि ग्राहक अपना व्यवसाय चला सके।

• डेटा सब्जेक्ट की श्रेणियाँ। ग्राहक के ग्राहक, संभावित ग्राहक और लीड्स, ग्राहक संगठनों के संपर्क व्यक्ति, ग्राहक के कर्मचारी, टेक्नीशियन और क्रू, तथा ग्राहक द्वारा भेजे गए संदेशों के प्राप्तकर्ता।
• व्यक्तिगत डेटा की श्रेणियाँ। नाम, ईमेल पते, टेलीफ़ोन नंबर, डाक और सेवा पते, व्यवसाय और काम का विवरण, अपॉइंटमेंट के समय, संचार की सामग्री जिसमें SMS और MMS संदेशों का मुख्य भाग और मीडिया शामिल हैं, मैसेजिंग सहमति और ऑप्ट-आउट रिकॉर्ड, एस्टिमेट और इनवॉइस की सामग्री, खर्च के रिकॉर्ड और रसीदों की तस्वीरें, माइलेज रिकॉर्ड और उनके प्रमाण की तस्वीरें, परिसरों और कार्यस्थलों की तस्वीरें जिनमें संयोगवश लोग भी शामिल हो सकते हैं, स्वीकृत एस्टिमेट पर लिए गए हस्ताक्षर, प्रकाशन के लिए जमा की गई सोशल सामग्री, और कोई भी अन्य डेटा जिसे ग्राहक दर्ज करना चुनता है।
• सटीक लोकेशन, और यह किसके बारे में है। जहाँ ग्राहक या उसके कर्मचारी माइलेज रिकॉर्डिंग का उपयोग करते हैं, वहाँ सेवा किसी रिकॉर्ड की गई ड्राइव के दौरान ली गई सटीक लोकेशन रीडिंग को, और उनसे निकाले गए यात्रा के शुरुआती स्थान और गंतव्य को प्रोसेस करती है। यह किसी पहचाने गए व्यक्ति (आमतौर पर ग्राहक के अपने कर्मचारी) के बारे में संवेदनशील व्यक्तिगत डेटा है, और ग्राहक इसका नियंत्रक (Controller) है। वैध आधार रखने और अपने कर्मचारियों को सूचित करने की ज़िम्मेदारी ग्राहक की है, जिसमें कोई भी वर्क्स काउंसिल या कर्मचारी परामर्श शामिल है जो उसके अपने कानून के तहत आवश्यक हो। सेवा केवल उसी ड्राइव के दौरान लोकेशन एकत्र करती है जिसे व्यक्ति स्वयं शुरू करता है, विकल्प के रूप में मैन्युअल माइलेज प्रविष्टि की सुविधा देती है, कोई लाइव-ट्रैकिंग या निगरानी व्यू प्रदान नहीं करती, और ग्राहक को कच्ची रीडिंग को रखे जाने की अवधि कॉन्फ़िगर करने देती है, जिसमें उनका स्टोरेज बंद करना भी शामिल है।
• विशेष श्रेणियाँ। सेवा को अनुच्छेद 9 के तहत विशेष श्रेणी के डेटा, या आपराधिक दोषसिद्धि से संबंधित डेटा को प्रोसेस करने के लिए डिज़ाइन नहीं किया गया है। ग्राहक ऐसा डेटा जमा नहीं करेगा। यदि ग्राहक फिर भी ऐसा करता है, तो वह अपनी ज़िम्मेदारी पर ऐसा करता है और यह वारंटी देता है कि उसके पास इसका वैध आधार है।

3. 3. प्रलेखित निर्देशों के अनुसार प्रोसेसिंग

VERA व्यक्तिगत डेटा को केवल ग्राहक के दस्तावेज़ित निर्देशों पर ही प्रोसेस करता है, जिसमें अंतरराष्ट्रीय ट्रांसफ़र भी शामिल हैं, जब तक कि VERA पर लागू किसी कानून द्वारा अन्यथा आवश्यक न हो; ऐसी स्थिति में VERA प्रोसेसिंग से पहले ग्राहक को सूचित करेगा, जब तक कि वह कानून सार्वजनिक हित के महत्वपूर्ण आधारों पर ऐसी सूचना देने पर रोक न लगाता हो।

सेवा की शर्तें, यह DPA, ग्राहक द्वारा सेवा में सेट किया गया कॉन्फ़िगरेशन, और ग्राहक द्वारा सेवा में की गई या मंज़ूर की गई कार्रवाइयाँ, मिलकर ग्राहक के दस्तावेज़ित निर्देश बनाते हैं। अतिरिक्त निर्देशों के लिए सहमति आवश्यक है, और जहाँ उनके लिए सेवा की सामान्य कार्यक्षमता से बाहर काम करना पड़े, वहाँ शुल्क लग सकता है।

यदि VERA की राय में कोई निर्देश डेटा संरक्षण कानून का उल्लंघन करता है, तो VERA ग्राहक को सूचित करेगा।

CCPA की अपेक्षा के अनुसार, VERA व्यक्तिगत डेटा नहीं बेचता, क्रॉस-कॉन्टेक्स्ट बिहेवियरल विज्ञापन के लिए इसे साझा नहीं करता, और सेवा प्रदान करने के अलावा किसी अन्य उद्देश्य के लिए इसे न अपने पास रखता है, न इसका उपयोग करता है और न इसका खुलासा करता है। VERA प्रमाणित करता है कि वह इन प्रतिबंधों को समझता है और इनका पालन करेगा।

4. 4. गोपनीयता

VERA यह सुनिश्चित करता है कि व्यक्तिगत डेटा को प्रोसेस करने के लिए अधिकृत कर्मी गोपनीयता के उचित दायित्व से बंधे हों और उन्हें एक्सेस केवल वहीं दिया जाए जहाँ उनकी भूमिका निभाने के लिए आवश्यक हो।

प्रोडक्शन डेटा तक एक्सेस केवल उन कर्मियों तक सीमित है जिन्हें सेवा चलाने और सपोर्ट करने के लिए इसकी ज़रूरत है। VERA ऑपरेटरों द्वारा की गई प्रशासनिक कार्रवाइयाँ एक append-only (केवल जोड़ने योग्य) प्रशासनिक ऑडिट लॉग में दर्ज की जाती हैं।

5. 5. सुरक्षा उपाय

VERA व्यक्तिगत डेटा की सुरक्षा के लिए उपयुक्त तकनीकी और संगठनात्मक उपाय लागू करता है, जिनमें नवीनतम तकनीकी स्तर, लागू करने की लागत, और प्रोसेसिंग की प्रकृति, दायरे, संदर्भ और उद्देश्यों को ध्यान में रखा जाता है। लागू उपायों का विस्तृत विवरण सुरक्षा नीति में दिया गया है और उनका सारांश यहाँ है:

• ट्रांज़िट में एन्क्रिप्शन। हर जगह HTTPS, प्रोडक्शन में HTTP अनुरोधों को HTTPS पर रीडायरेक्ट किया जाता है, और HTTP Strict Transport Security दो साल के max-age और includeSubDomains के साथ लागू है।
• स्टोर किए गए क्रेडेंशियल का एन्क्रिप्शन। थर्ड-पार्टी कनेक्टर टोकन और API कुंजियाँ AES-256-GCM से एन्क्रिप्ट की जाती हैं, एक समर्पित कुंजी का उपयोग करके, जिसे प्रोडक्शन में सेट करना अनिवार्य है और जो सेशन-साइनिंग सीक्रेट से अलग है।
• प्रमाणीकरण। 12 के वर्क फ़ैक्टर पर bcrypt से हैश किए गए पासवर्ड, पासवर्ड से साइन-इन से पहले अनिवार्य ईमेल वेरिफ़िकेशन, एक बार इस्तेमाल होने वाले और समय-सीमित रीसेट टोकन, और एक सेशन रिवोकेशन काउंटर जो जारी किए गए हर सेशन को एक साथ अमान्य कर देता है।
• एक्सेस कंट्रोल। हर क्वेरी केवल प्रमाणित (authenticated) अकाउंट तक सीमित होती है। एडमिन एक्सेस केवल उन्हीं ऑपरेटरों तक सीमित है जो एनवायरनमेंट में कॉन्फ़िगर की गई स्पष्ट अनुमति सूची (allowlist) में शामिल हैं।
• एप्लिकेशन हार्डनिंग। एक Content Security Policy, framing पर रोक, MIME sniffing बंद, एक सख़्त referrer policy, और camera=(), microphone=(self), geolocation=(self) वाली Permissions-Policy। यह कैमरा को पूरी तरह ब्लॉक करती है और माइक्रोफ़ोन व लोकेशन को VERA के अपने पेजों तक सीमित रखती है, ताकि कोई embedded third party इन्हें माँग न सके। साथ ही authentication endpoints पर स्थायी rate limiting, और server-side fetches की private और internal network ranges के विरुद्ध जाँच।
• बाहरी इवेंट्स की अखंडता। इनबाउंड वेबहुक हर प्रोवाइडर की सिग्नेचर स्कीम के अनुसार सत्यापित और इवेंट id के आधार पर डुप्लिकेट-मुक्त, ताकि दोबारा भेजी गई डिलीवरी दो बार लागू न हो सके।
• ऑडिट-योग्यता। अकाउंट में हर प्रस्ताव, मंज़ूरी, अमल और सुरक्षा इवेंट का ऐसा ऑडिट ट्रेल जिसमें केवल जोड़ा जा सकता है (append-only)।
• कॉन्फ़िगरेशन सुरक्षा। स्टार्टअप वैलिडेशन, जो डिफ़ॉल्ट सेशन सीक्रेट होने या एन्क्रिप्शन की न होने पर प्रोडक्शन में चलने से इनकार कर देता है।

6. 6. सब-प्रोसेसर

ग्राहक, VERA को सबप्रोसेसरों को नियुक्त करने का सामान्य प्राधिकार देता है। मौजूदा सूची, हर एक की भूमिका और स्थान के साथ, सबप्रोसेसर सूची पेज पर प्रकाशित है, जो इस DPA का हिस्सा है।

VERA किसी सबप्रोसेसर को जोड़ने या बदलने से पहले, उस पेज को अपडेट करके और अकाउंट धारकों को सूचित करके, ग्राहक को कम से कम 30 दिन का नोटिस देगा। ग्राहक उस अवधि के भीतर डेटा संरक्षण के उचित आधारों पर आपत्ति कर सकता है। यदि हम आपत्ति का समाधान नहीं कर पाते, तो ग्राहक सेवा के प्रभावित हिस्से को समाप्त कर सकता है और अवधि के शेष अप्रयुक्त हिस्से के लिए अग्रिम भुगतान की गई फ़ीस का आनुपातिक रिफ़ंड प्राप्त कर सकता है।

VERA प्रत्येक सब-प्रोसेसर पर ऐसे डेटा सुरक्षा दायित्व लागू करता है जो इस DPA में दिए गए दायित्वों से कम सुरक्षात्मक नहीं हैं, और किसी सब-प्रोसेसर के कार्य-निष्पादन के लिए ग्राहक के प्रति पूरी तरह उत्तरदायी बना रहता है।

7. 7. अंतरराष्ट्रीय अंतरण

VERA संयुक्त राज्य अमेरिका में व्यक्तिगत डेटा को प्रोसेस करता है। जहाँ ग्राहक EU GDPR, UK GDPR या स्विस कानून के अधीन व्यक्तिगत डेटा VERA को ट्रांसफ़र करता है, वहाँ पक्षकार सहमत हैं कि मानक संविदात्मक खंड (Standard Contractual Clauses) संदर्भ द्वारा इस DPA में शामिल किए जाते हैं और निम्नानुसार लागू होते हैं।

मॉड्यूल दो (नियंत्रक से प्रोसेसर) वहाँ लागू होता है जहाँ ग्राहक नियंत्रक है। मॉड्यूल तीन (प्रोसेसर से प्रोसेसर) वहाँ लागू होता है जहाँ ग्राहक स्वयं प्रोसेसर है। क्लॉज़ 7 में, डॉकिंग क्लॉज़ लागू होता है। क्लॉज़ 9 में, विकल्प 2 (सामान्य लिखित प्राधिकरण) खंड 6 में दी गई 30 दिनों की सूचना अवधि के साथ लागू होता है। क्लॉज़ 11 में, वैकल्पिक स्वतंत्र विवाद समाधान निकाय का चयन नहीं किया गया है। क्लॉज़ 17 में, क्लॉज़ आयरलैंड के कानून द्वारा शासित होते हैं। क्लॉज़ 18(b) में, विवादों का समाधान आयरलैंड की अदालतों में किया जाता है। अनुलग्नक I इस DPA के खंड 2 और सबप्रोसेसर सूची से भरा जाता है; अनुलग्नक II खंड 5 से भरा जाता है।

UK GDPR के अधीन ट्रांसफ़र के लिए, SCCs पर UK एडेंडम लागू होता है, जिसकी तालिका 1 से 3 ऊपर बताए अनुसार भरी गई हैं, और तालिका 4 में, कोई भी पक्ष धारा 19 में बताए अनुसार एडेंडम को समाप्त नहीं कर सकता। स्विस कानून के अधीन ट्रांसफ़र के लिए, GDPR के संदर्भों को स्विस FADP के संदर्भ माना जाएगा, सक्षम प्राधिकरण स्विस संघीय डेटा संरक्षण और सूचना आयुक्त है, और ये क्लॉज़ कानूनी संस्थाओं के डेटा की भी सुरक्षा करते हैं।

8. 8. ग्राहक को सहायता

प्रोसेसिंग की प्रकृति को ध्यान में रखते हुए, VERA उचित तकनीकी और संगठनात्मक उपायों के ज़रिए, जहाँ तक संभव हो, GDPR के अध्याय III और समकक्ष कानूनों के तहत डेटा विषयों (Data Subjects) के अनुरोधों का जवाब देने के ग्राहक के दायित्व को पूरा करने में ग्राहक की सहायता करता है।

व्यवहार में, इस क्षमता का ज़्यादातर हिस्सा सेवा खुद ही देती है: ग्राहक किसी डेटा विषय से जुड़े रिकॉर्ड सीधे खोज, सुधार, एक्सपोर्ट और डिलीट कर सकता है। जहाँ कोई अनुरोध ग्राहक के बजाय VERA तक पहुँचता है, वहाँ VERA उसका सारगत जवाब नहीं देगा; वह डेटा विषय को ग्राहक से संपर्क करने के लिए कहेगा और बिना अनुचित देरी के ग्राहक को सूचित करेगा।

VERA, उसे उपलब्ध जानकारी को ध्यान में रखते हुए, अनुच्छेद 32 से 36 का अनुपालन करने में ग्राहक की सहायता करता है, जिसमें डेटा संरक्षण प्रभाव आकलन और पर्यवेक्षी प्राधिकरण के साथ पूर्व परामर्श भी शामिल हैं।

9. 9. व्यक्तिगत डेटा उल्लंघन

इस DPA के तहत प्रोसेस किए गए व्यक्तिगत डेटा (Personal Data) को प्रभावित करने वाले किसी व्यक्तिगत डेटा उल्लंघन (Personal Data Breach) की जानकारी मिलने के बाद, VERA बिना अनुचित देरी के, और किसी भी स्थिति में 72 घंटों के भीतर, ग्राहक को सूचित करता है।

सूचना में उल्लंघन की प्रकृति, संबंधित डेटा सब्जेक्ट्स (Data Subjects) और रिकॉर्ड्स की श्रेणियाँ और अनुमानित संख्या (जहाँ तक ज्ञात हो), संभावित परिणाम, उठाए गए या प्रस्तावित उपाय, और अधिक जानकारी के लिए एक संपर्क बिंदु का विवरण होगा। जहाँ पूरी स्थिति तुरंत उपलब्ध न हो, वहाँ VERA बिना किसी और अनुचित देरी के चरणों में जानकारी प्रदान करता है।

VERA की सूचना किसी गलती या दायित्व की स्वीकृति नहीं है। कंट्रोलर के रूप में पर्यवेक्षी प्राधिकरणों और डेटा विषयों को सूचित करना ग्राहक की ज़िम्मेदारी है; VERA उचित सहायता प्रदान करेगा।

10. 10. वापसी और विलोपन

ग्राहक किसी भी समय सेवा के भीतर से अपना डेटा एक्सपोर्ट कर सकता है और अपना अकाउंट डिलीट कर सकता है, जिससे अकाउंट डिलीशन नीति में बताए अनुसार व्यक्तिगत डेटा लाइव डेटाबेस से स्थायी रूप से हट जाता है।

सेवा की शर्तों के समाप्त होने या उनकी अवधि पूरी होने पर, VERA, ग्राहक की पसंद के अनुसार, व्यक्तिगत डेटा को हटा देगा या लौटा देगा और उसकी मौजूदा प्रतियाँ हटा देगा, जब तक कि VERA पर लागू कोई कानून उसे आगे भी संग्रहीत रखना अनिवार्य न करे। यदि ग्राहक कोई विकल्प नहीं चुनता है, तो VERA खाता मौजूद रहने तक डेटा को बनाए रखेगा और खाता हटाए जाने पर उसे हटा देगा।

अकाउंट डिलीट होने के बाद भी बचे रहने वाले सीमित रिकॉर्ड अकाउंट डिलीशन नीति में बताए गए हैं। इनमें शामिल हैं: हमारे पेमेंट प्रोसेसर के पास रखे बिलिंग रिकॉर्ड, ऑपरेटर जवाबदेही लॉग, दुरुपयोग-रोधी काउंटर, वेबहुक रीप्ले पहचानकर्ता, एक जियोकोडिंग कैश जिसकी कुंजी अकाउंट के बजाय हैश पर आधारित है, अन्य ग्राहकों के बिज़नेस के भीतर के रोज़गार रिकॉर्ड जिन्हें मिटाने के बजाय बंद किया जाता है, और इन्फ़्रास्ट्रक्चर लॉग व बैकअप जो अपने चक्र के अनुसार अपने-आप समाप्त हो जाते हैं: VERA के दैनिक डेटाबेस बैकअप के लिए 30 दिन, और प्रदाता के पास रखे स्नैपशॉट के लिए प्रदाता का शेड्यूल।

11. 11. ऑडिट अधिकार

VERA ग्राहक को अनुच्छेद 28 के अनुपालन को प्रदर्शित करने के लिए आवश्यक जानकारी उपलब्ध कराता है, और ग्राहक या उसके द्वारा अधिकृत किसी ऑडिटर द्वारा किए जाने वाले ऑडिट, जिनमें निरीक्षण भी शामिल हैं, की अनुमति देता है और उनमें योगदान देता है।

पहले चरण में VERA किसी ऑडिट अनुरोध को यह DPA, सुरक्षा नीति, सबप्रोसेसर सूची और एक उचित सुरक्षा प्रश्नावली के लिखित उत्तर देकर पूरा करेगा। VERA के पास फ़िलहाल कोई SOC 2 या ISO 27001 रिपोर्ट नहीं है जिसे इसके स्थान पर दिया जा सके।

जहाँ यह अनुपालन साबित करने के लिए वास्तव में अपर्याप्त हो, वहाँ Customer किसी भी 12 महीने की अवधि में अधिकतम एक बार, कम से कम 30 दिन के लिखित नोटिस पर, कामकाजी घंटों के दौरान, गोपनीयता की शर्त के अधीन, VERA के संचालन में अनुचित बाधा डाले बिना, और किसी अन्य ग्राहक के डेटा तक या ऑडिट के लिए आवश्यक सीमा से आगे VERA के मल्टी-टेनेंट इन्फ़्रास्ट्रक्चर के आंतरिक विवरण तक पहुँच के बिना, ऑन-साइट या रिमोट ऑडिट कर सकता है। Customer अपनी लागत और VERA की उचित लागत वहन करेगा। कोई Supervisory Authority कानून के प्रावधानों के अनुसार किसी भी समय ऑडिट कर सकती है।

12. 12. दायित्व और अवधि

इस DPA के तहत प्रत्येक पक्ष का दायित्व, डेटा संरक्षण कानून द्वारा अनुमत सीमा तक, सेवा की शर्तों (Terms of Service) में दी गई दायित्व की सीमाओं और अपवर्जनों के अधीन है। इस DPA में कुछ भी मानक संविदात्मक खंडों (Standard Contractual Clauses) के तहत किसी डेटा सब्जेक्ट के अधिकारों को सीमित नहीं करता।

यह DPA तब प्रभावी होता है जब ग्राहक सेवा की शर्तें स्वीकार करता है, और तब तक जारी रहता है जब तक VERA ग्राहक की ओर से व्यक्तिगत डेटा प्रोसेस करना बंद नहीं कर देता। गोपनीयता, डेटा हटाने और दायित्व से संबंधित सेक्शन इसके बाद भी लागू रहते हैं।

प्रति-हस्ताक्षरित प्रति का अनुरोध करने, या इस DPA के बारे में कोई प्रश्न उठाने के लिए, legal@meetmyvera.com पर लिखें।