डेटा प्रसंस्करण समझौता (DPA)

1. परिभाषाएँ

• “क्लाइंट व्यक्तिगत डेटा” का अर्थ वह व्यक्तिगत डेटा है जिसे Nebs-Creative समझौते के अंतर्गत क्लाइंट की ओर से संसाधित करती है।
• “डेटा संरक्षण कानून” का अर्थ है UK GDPR, Data Protection Act 2018 और, जहाँ प्रसंस्करण पर लागू हो, EU GDPR, लागू अमेरिकी राज्य गोपनीयता कानून तथा अन्य लागू गोपनीयता/डेटा-संरक्षण कानून, जैसा कि संशोधित या प्रतिस्थापित किया गया हो।
• “EU SCCs” का अर्थ है कार्यान्वयन निर्णय (EU) 2021/914 द्वारा अनुमोदित यूरोपीय आयोग की मानक संविदात्मक धाराएँ।
• “प्रतिबंधित अंतरण” (Restricted Transfer) का अर्थ ऐसा अंतरण है जिसे लागू डेटा संरक्षण कानून उचित सुरक्षा उपाय के बिना प्रतिबंधित करते।
• “उप-प्रसंस्करणकर्ता” (Sub-processor) का अर्थ ऐसा तृतीय पक्ष या सहयोगी संस्था है जिसे Nebs-Creative ने क्लाइंट के व्यक्तिगत डेटा का प्रसंस्करण करने के लिए नियुक्त किया है।
• “अंतरण तंत्र” (Transfer Mechanism) का अर्थ UK इंटरनेशनल डेटा ट्रांसफर एग्रीमेंट, EU SCCs के लिए UK एडेंडम, EU SCCs, या लागू डेटा संरक्षण कानूनों द्वारा मान्यता प्राप्त कोई अन्य तंत्र है।
• “कार्य दिवस” (Working Day) का अर्थ रविवार से गुरुवार तक है, जिसमें बांग्लादेश के सार्वजनिक अवकाश और सूचित किया गया कोई भी स्टूडियो बंद रहने का दिन शामिल नहीं है।

नियंत्रक, प्रसंस्करणकर्ता, डेटा विषय, व्यक्तिगत डेटा, व्यक्तिगत डेटा उल्लंघन, प्रसंस्करण और पर्यवेक्षी प्राधिकरण के वही अर्थ हैं जो UK GDPR द्वारा दिए गए हैं, या लागू समकक्ष कानूनी शब्दों द्वारा दिए गए हैं।

2. भूमिकाएँ और दायरा

क्लाइंट के व्यक्तिगत डेटा के लिए क्लाइंट नियंत्रक है और Nebs-Creative प्रसंस्करणकर्ता है। यदि क्लाइंट स्वयं किसी अन्य नियंत्रक का प्रसंस्करणकर्ता है, तो Nebs-Creative उप-प्रसंस्करणकर्ता के रूप में कार्य करता है और क्लाइंट पुष्टि करता है कि वह इस DPA में दिए गए निर्देश देने के लिए अधिकृत है। अनुलग्नक 1 में प्रसंस्करण का वर्णन है। संबंध-प्रशासन के लिए प्रसंस्कृत सामान्य व्यावसायिक संपर्क डेटा के संबंध में प्रत्येक पक्ष एक स्वतंत्र नियंत्रक बना रहता है।

3. क्लाइंट की जिम्मेदारियाँ

• यह सुनिश्चित करना कि प्रसंस्करण के लिए वैध आधार मौजूद है और आवश्यक सूचनाएँ/सहमतियाँ प्रदान की जा चुकी हैं।
• केवल वही व्यक्तिगत डेटा प्रदान करना जो सेवाओं के लिए उचित रूप से आवश्यक हो, और जहाँ संभव हो नमूना, अनामीकृत या छद्मनामीकृत डेटा का उपयोग करना।
• विशेष श्रेणी का डेटा, आपराधिक अपराध संबंधी डेटा या बच्चों का डेटा प्रदान करने से पहले Nebs-Creative को लिखित रूप में सूचित करना।
• यह सुनिश्चित करना कि Nebs-Creative को दिए गए निर्देश लागू डेटा संरक्षण कानूनों का अनुपालन करते हैं।

4. Nebs-Creative के दायित्व

• क्लाइंट के दस्तावेजी निर्देशों पर ही, जिनमें अंतरराष्ट्रीय अंतरणों से संबंधित निर्देश भी शामिल हैं, क्लाइंट के व्यक्तिगत डेटा का प्रसंस्करण करना, जब तक कि कानून द्वारा अन्यथा अपेक्षित न हो।
• यदि कोई निर्देश लागू डेटा संरक्षण कानूनों का उल्लंघन करता प्रतीत होता है, तो कानूनी रूप से अनुमत सीमा तक क्लाइंट को सूचित करना।
• यह सुनिश्चित करना कि अधिकृत कर्मचारी गोपनीयता दायित्वों के अधीन हैं।
• उपयुक्त तकनीकी और संगठनात्मक उपाय बनाए रखना, जिनमें अनुलग्नक 2 में वर्णित उपाय भी शामिल हैं, सत्यापित होने के बाद।
• प्रसंस्करण की प्रकृति और उपलब्ध जानकारी को ध्यान में रखते हुए, डेटा विषय के अधिकारों, सुरक्षा दायित्वों, उल्लंघनों, DPIA और नियामक परामर्श में उचित सहायता प्रदान करना।
• उचित अनुपालन जानकारी उपलब्ध कराना और खंड 9 के अंतर्गत ऑडिट की अनुमति देना।
• क्लाइंट के व्यक्तिगत डेटा को न बेचना और न ही उसे Nebs-Creative के अपने उद्देश्यों के लिए उपयोग करना, जिनमें Nebs-Creative के AI मॉडल को प्रशिक्षित करना भी शामिल है।

5. उप-प्रसंस्करणकर्ता

क्लाइंट उप-प्रसंस्करणकर्ताओं के उपयोग के लिए सामान्य प्राधिकरण देता है। वर्तमान उप-प्रसंस्करणकर्ताओं को अनुलग्नक 3 में सूचीबद्ध किया जाना आवश्यक है। Nebs-Creative किसी प्रस्तावित जोड़ या प्रतिस्थापन की कम से कम 14 दिन पूर्व सूचना देगा। क्लाइंट उचित डेटा संरक्षण आधारों पर आपत्ति कर सकता है। यदि आपत्ति का उचित रूप से समाधान नहीं हो पाता, तो क्लाइंट प्रभावित सेवाओं को समाप्त कर सकता है और जो सेवाएँ प्रदान नहीं की गईं उनके लिए अग्रिम भुगतान किए गए शुल्क की वापसी प्राप्त कर सकता है। Nebs-Creative प्रत्येक उप-प्रसंस्करणकर्ता पर मूलतः समतुल्य डेटा संरक्षण दायित्व लागू करेगा और लागू कानून तथा अनुबंध के अनुसार उन दायित्वों के उप-प्रसंस्करणकर्ता द्वारा निष्पादन के लिए क्लाइंट के प्रति उत्तरदायी बना रहेगा।

6. अंतरराष्ट्रीय अंतरण

क्लाइंट स्वीकार करता है कि Nebs-Creative की टीम बांग्लादेश से कार्य करती है और अनुमोदित उप-प्रसंस्करणकर्ता अनुलग्नक 3 में बताए गए स्थानों पर क्लाइंट के व्यक्तिगत डेटा का प्रसंस्करण कर सकते हैं। प्रत्येक प्रतिबंधित अंतरण को वैध अंतरण तंत्र या अन्य वैध आधार का समर्थन प्राप्त होना चाहिए और, जहाँ आवश्यक हो, उपयुक्त अंतरण जोखिम मूल्यांकन या समतुल्य मूल्यांकन भी होना चाहिए।

Nebs-Creative द्वारा बांग्लादेश स्थित स्टूडियो इकाई या किसी उप-प्रसंस्करणकर्ता जैसे प्राप्तकर्ता को किए गए UK प्रतिबंधित अंतरणों के लिए, Nebs-Creative लागू UK इंटरनेशनल डेटा ट्रांसफर एग्रीमेंट, संबंधित EU SCC मॉड्यूल के साथ UK एडेंडम, या कोई अन्य वैध तंत्र उपयोग करेगा। जहाँ EU SCCs आवश्यक हैं वहाँ EEA अंतरणों के लिए, उपयुक्त रूप में लागू नियंत्रक-से-प्रसंस्करणकर्ता या प्रसंस्करणकर्ता-से-प्रसंस्करणकर्ता मॉड्यूल लागू होगा। यदि अनिवार्य अंतरण शर्तें इस DPA से टकराती हैं, तो अनिवार्य अंतरण शर्तें प्रभावी होंगी।

7. व्यक्तिगत डेटा उल्लंघन

Nebs-Creative, क्लाइंट के व्यक्तिगत डेटा को प्रभावित करने वाले किसी व्यक्तिगत-डेटा उल्लंघन की जानकारी होने के बाद, बिना अनुचित विलंब के और वर्तमान मानक DPA के अंतर्गत किसी भी स्थिति में 48 घंटों के भीतर क्लाइंट को सूचित करेगी। सूचना में उल्लंघन की प्रकृति, दायरे, संभावित परिणामों और शमन के बारे में उपलब्ध जानकारी दी जाएगी, तथा अतिरिक्त जानकारी उपलब्ध होते ही प्रदान की जाएगी। Nebs-Creative घटना को नियंत्रित करने और उसका समाधान करने के लिए उचित कदम उठाएगी और क्लाइंट के साथ सहयोग करेगी। जब तक कानून द्वारा अन्यथा अपेक्षित न हो, Nebs-Creative क्लाइंट के निर्देश के बिना क्लाइंट की ओर से किसी नियामक या डेटा विषय को सूचित नहीं करेगी।

8. डेटा-विषय अनुरोध

यदि Nebs-Creative को क्लाइंट के व्यक्तिगत डेटा से संबंधित कोई अनुरोध प्राप्त होता है, तो वह उस अनुरोध को 5 कार्य दिवसों के भीतर क्लाइंट को अग्रेषित करेगी और क्लाइंट द्वारा अधिकृत किए जाने या कानून द्वारा अपेक्षित होने के अतिरिक्त उस पर सारभूत उत्तर नहीं देगी।

9. ऑडिट और अनुपालन संबंधी जानकारी

Nebs-Creative उचित अनुपालन प्रश्नावलियों का उत्तर सामान्यतः वर्ष में एक बार देगी, और जहाँ उपयुक्त हो, किसी संबंधित उल्लंघन या नियामक के अनुरोध के बाद अतिरिक्त जानकारी प्रदान करेगी। यदि उचित लिखित जानकारी अनुपालन प्रदर्शित करने के लिए अपर्याप्त है, तो क्लाइंट या गोपनीयता से बद्ध कोई स्वतंत्र, गैर-प्रतिस्पर्धी ऑडिटर, लागू DPA में उल्लिखित सूचना, आवृत्ति, कार्य-घंटे और व्यवधान-निषेध संबंधी प्रतिबंधों के अधीन ऑडिट कर सकता है। प्रत्येक पक्ष अपने ऑडिट का खर्च स्वयं वहन करेगा, जब तक कि अनुबंध या लागू कानून में अन्यथा अपेक्षित न हो।

10. वापसी और विलोपन

संबंधित सेवाएँ समाप्त होने पर, या लिखित निर्देश पर उससे पहले, Nebs-Creative क्लाइंट की पसंद के अनुसार 30 दिनों के भीतर क्लाइंट का व्यक्तिगत डेटा लौटाएगी या हटा देगी, और मौजूदा प्रतियाँ हटा देगी, जब तक कि लागू कानून के तहत उन्हें रखना आवश्यक न हो। नियमित बैकअप में शेष डेटा, सामान्य बैकअप चक्र में ओवरराइट होने तक, इस DPA द्वारा संरक्षित रहता है। अनुरोध करने पर विलोपन की लिखित पुष्टि प्रदान की जाएगी।

11. अमेरिकी राज्य गोपनीयता शर्तें

जिस सीमा तक कोई लागू अमेरिकी राज्य गोपनीयता कानून Nebs-Creative को क्लाइंट के व्यक्तिगत डेटा के लिए सेवा प्रदाता, ठेकेदार या प्रोसेसर मानता है, उस सीमा तक Nebs-Creative उस डेटा को लागू कानून में परिभाषित अर्थ में न बेचेगी और न साझा करेगी, उसे अनुमत सेवा संबंध से बाहर न रखेगी/उपयोग करेगी/प्रकट करेगी, और न ही उसे अन्य व्यक्तिगत डेटा के साथ संयोजित करेगी, सिवाय इसके कि कानून अनुमति दे। Nebs-Creative अपनी भूमिका के लिए अपेक्षित स्तर की गोपनीयता सुरक्षा प्रदान करेगी और यदि वह उन दायित्वों को अब पूरा नहीं कर सकती तो क्लाइंट को सूचित करेगी। क्लाइंट अनधिकृत उपयोग को रोकने और उसका समाधान करने के लिए लागू कानून द्वारा अपेक्षित उचित कदम उठा सकता है।

12. दायित्व, प्राथमिकता और कानून

इस DPA के अंतर्गत दायित्व, डेटा संरक्षण कानूनों द्वारा अनुमत सीमा तक, अनुबंध की दायित्व संबंधी शर्तों के अधीन है। DPA तब तक जारी रहता है जब तक Nebs-Creative क्लाइंट के व्यक्तिगत डेटा का प्रसंस्करण करती है और व्यक्तिगत-डेटा संबंधी मामलों में अनुबंध की परस्पर विरोधी शर्तों पर प्रभावी रहता है। मानक DPA इंग्लैंड और वेल्स के कानून द्वारा शासित है, सिवाय उन मामलों के जहाँ अनिवार्य हस्तांतरण खंडों के लिए कोई अन्य शासी कानून या मंच आवश्यक हो।

अनुलग्नक 1 - प्रसंस्करण का विवरण

अनुलग्नक 2 - तकनीकी और संगठनात्मक उपाय

• क्लाइंट के व्यक्तिगत डेटा तक पहुँचने के लिए उपयोग किए जाने वाले खातों पर MFA, जहाँ सेवा इसका समर्थन करती है।
• परियोजना-आधारित पहुँच नियंत्रण; परियोजना की समाप्ति पर पहुँच हटाना; समय-समय पर पहुँच की समीक्षा।
• व्यक्तिगत उपयोगकर्ता खाते; साझा गोपनीय क्रेडेंशियल अनुमोदित एन्क्रिप्टेड पासवर्ड मैनेजर में रखे जाते हैं।
• क्लाइंट के कार्य के लिए उपयोग किए जाने वाले उपकरणों पर, आंतरिक नीति के अनुसार, पूर्ण-डिस्क एन्क्रिप्शन, स्क्रीन लॉक, समर्थित ऑपरेटिंग सिस्टम, स्वचालित सुरक्षा अपडेट और एंटी-मैलवेयर।
• क्लाइंट का व्यक्तिगत डेटा केवल अनुमोदित टूल में संग्रहीत किया जाता है; विशेष रूप से अनुमोदित न होने पर कोई रिमूवेबल मीडिया या व्यक्तिगत खाते में संग्रहण नहीं।
• डेटा न्यूनीकरण तथा जहाँ संभव हो नमूना/अनामित/छद्मनामित डेटा का उपयोग।
• प्रतिबंधित-लिंक/फ़ाइल साझाकरण और ट्रांज़िट में एन्क्रिप्शन; जहाँ लागू हो, स्टोरेज प्रदाता द्वारा एट-रेस्ट एन्क्रिप्शन।
• AI टूल में क्लाइंट का कोई व्यक्तिगत डेटा नहीं डाला जाएगा, सिवाय आवश्यक सुरक्षा उपायों/सेटिंग्स वाले अनुमोदित टूल और क्लाइंट की सहमति के साथ।
• टीम के लिए गोपनीयता/बौद्धिक संपदा समझौते तथा सुरक्षा/डेटा-संरक्षण प्रशिक्षण।
• आंतरिक रूप से घटनाओं की शीघ्र रिपोर्टिंग और घटना लॉगिंग।
• स्वीकृत क्लाउड सेवाओं के लिए प्रदाता की बैकअप/रिकवरी क्षमताएँ।
• DPA की प्रतिधारण संबंधी शर्तों के अनुसार क्लाइंट के व्यक्तिगत डेटा की वापसी/विलोपन।

अनुलग्नक 3 - उप-प्रोसेसर

हस्ताक्षर खंड (वैकल्पिक, जहाँ हस्ताक्षरित DPA का अनुरोध किया गया हो)