डेटा प्रसंस्करण समझौता (DPA)

1. उद्देश्य, प्रकृति और प्रयोजन

साइबर सुरक्षा प्लेटफ़ॉर्म की आपूर्ति: डेटा प्रसंस्करण के उत्तरदायी के डिवाइस की सुरक्षा, इन्वेंटरी, अपडेट और निगरानी, घटनाओं की पहचान और प्रतिक्रिया, अनुपालन रिपोर्ट और, विकल्पों के अनुसार, ई-मेल सुरक्षा।

2. डेटा और व्यक्तियों की श्रेणियाँ

• संबंधित व्यक्ति: डेटा प्रसंस्करण के उत्तरदायी के कर्मचारी, प्रबंधक और डिवाइस के उपयोगकर्ता; K-Mail के लिए ई-मेल संवाददाता।
• डेटा: पहचानकर्ता और उपयोगकर्ता नाम, डिवाइस के नाम और विशेषताएँ, सॉफ़्टवेयर इन्वेंटरी, DNS लॉग, सुरक्षा घटनाएँ, फ़िंगरप्रिंट और, स्पष्ट सहमति से, फ़ाइलों के नमूने, विश्लेषित ई-मेल का मेटाडेटा और सामग्री (K-Mail)।
• डेटा की किसी विशेष श्रेणी की खोज नहीं की जाती; विश्लेषित सामग्री में उनकी आकस्मिक उपस्थिति को उन्हीं गारंटियों के साथ संभाला जाता है।

3. अवधि

यह समझौता सदस्यता की पूरी अवधि के दौरान और उसके समाप्त होने पर डेटा हटाए जाने तक लागू रहता है।

4. प्रसंस्करणकर्ता के दायित्व

• डेटा को केवल नियंत्रक के दस्तावेज़ी निर्देश पर प्रोसेस करना, स्थानांतरण सहित, सिवाय उस स्थिति के जब यूरोपीय संघ या किसी सदस्य राज्य के क़ानून से बाध्यता हो, जिसकी सूचना वह नियंत्रक को पहले देता है;
• डेटा प्रोसेस करने के लिए अधिकृत व्यक्तियों की गोपनीयता सुनिश्चित करना;
• अनुच्छेद 5 में वर्णित सुरक्षा उपाय लागू करना;
• अधिकारों के प्रयोग के अनुरोधों का उत्तर देने और GDPR के अनुच्छेद 32 से 36 के अंतर्गत नियंत्रक के दायित्व निभाने में उसकी सहायता करना, जिनमें प्रभाव आकलन और पर्यवेक्षी प्राधिकारी से पूर्व परामर्श शामिल हैं;
• अपने उप-प्रोसेसरों के दायित्वों के निष्पादन के लिए नियंत्रक के प्रति पूर्ण रूप से उत्तरदायी बने रहना;
• यदि कोई निर्देश नियमों के विरुद्ध लगे तो नियंत्रक को तुरंत सूचित करना।

5. सुरक्षा उपाय

• ग्राहक डेटा की यूरोपीय संघ में होस्टिंग [À VALIDER : होस्टिंग प्रदाता का नाम];
• ट्रांज़िट (TLS 1.3) और संग्रहण में एन्क्रिप्शन, प्रत्येक ग्राहक की अपनी कुंजियों के साथ;
• व्यवस्थित फ़िल्टरिंग और डेटाबेस के पंक्ति-स्तरीय सुरक्षा नियमों द्वारा ग्राहकों का पृथक्करण;
• एजेंट का पारस्परिक प्रमाणीकरण, हस्ताक्षरित कमांड और अपडेट, रीप्ले के विरुद्ध सुरक्षा;
• सशक्त प्रमाणीकरण, न्यूनतम विशेषाधिकार और आंतरिक एक्सेस का ऑडिट लॉग;
• स्वतः लागू भंडारण अवधियाँ; एन्क्रिप्टेड बैकअप।

6. अग्रिम प्रसंस्करणकर्ता

डेटा प्रसंस्करण का उत्तरदायी प्रसंस्करणकर्ता पृष्ठ पर सूचीबद्ध अग्रिम प्रसंस्करणकर्ताओं के उपयोग को सामान्य रूप से अधिकृत करता है। प्रसंस्करणकर्ता किसी भी जोड़ या प्रतिस्थापन की सूचना कम से कम 30 दिन पहले डेटा प्रसंस्करण के उत्तरदायी को देता है; वह वैध कारण से उस पर आपत्ति कर सकता है और, सहमति न बनने पर, बिना दंड के अनुबंध समाप्त कर सकता है। प्रत्येक अग्रिम प्रसंस्करणकर्ता समतुल्य दायित्वों के अधीन है।

7. डेटा उल्लंघन

प्रसंस्करणकर्ता व्यक्तिगत डेटा के किसी भी उल्लंघन की सूचना जानकारी मिलने के बाद यथाशीघ्र और अधिकतम 48 घंटे के भीतर डेटा प्रसंस्करण के उत्तरदायी को देता है, साथ में वे जानकारियाँ जो पर्यवेक्षी प्राधिकरण को उसकी अपनी सूचना के लिए उपयोगी हों। [À VALIDER : समय-सीमा]

8. ऑडिट

प्रसंस्करणकर्ता इस समझौते के अनुपालन को प्रदर्शित करने के लिए आवश्यक जानकारी उपलब्ध कराता है और ऑडिट की अनुमति देता है, घटना को छोड़कर वर्ष में अधिकतम एक बार, उचित पूर्व सूचना के साथ और अन्य ग्राहकों की गोपनीयता का सम्मान करते हुए।

9. अनुबंध की समाप्ति

सदस्यता समाप्त होने पर प्रोसेसर 30 दिनों तक डेटा के निर्यात की अनुमति देता है, फिर नियंत्रक की पसंद के अनुसार उसे लौटा देता है या उसकी प्रतियों सहित मिटा देता है, सिवाय उस स्थिति के जब क़ानूनन उसे रखना आवश्यक हो।

10. स्थानांतरण

ग्राहक डेटा की होस्टिंग यूरोपीय संघ में प्रस्तावित है। केवल वे उप-प्रोसेसर, जिन्हें उप-प्रोसेसर पृष्ठ पर EU के बाहर स्थापित बताया गया है (लेन-देन संबंधी ईमेल भेजना और, सक्रिय होने पर, Kayzen Copilot जैसी वैकल्पिक सेवाएँ), GDPR के अनुच्छेद 45 या 46 की सुरक्षाओं (पर्याप्तता निर्णय या मानक संविदात्मक खंड) के अंतर्गत डेटा प्राप्त कर सकते हैं।