डेटा प्रोसेसिंग परिशिष्ट

यह डेटा प्रोसेसिंग परिशिष्ट (“DPA”) आपके (“ग्राहक”, नियंत्रक) और Empire Luxury International Corporation (DBA Neuro Empire) (“NeuroCRM”, प्रोसेसर) के बीच सेवा की शर्तों का भाग है और ग्राहक सामग्री में निहित व्यक्तिगत डेटा के प्रसंस्करण को शासित करता है। जहाँ डेटा-संरक्षण मामलों पर कोई टकराव हो, वहाँ यह DPA शर्तों पर प्रभावी होता है।

1. भूमिकाएँ और कार्यक्षेत्र

ग्राहक सामग्री के लिए, ग्राहक नियंत्रक है (या अपने स्वयं के ग्राहकों के लिए कार्य करने वाला प्रोसेसर है) और NeuroCRM प्रोसेसर है (या उप-प्रोसेसर है)। NeuroCRM ग्राहक सामग्री को केवल सेवा प्रदान करने के लिए और ग्राहक के दस्तावेज़ी निर्देशों पर संसाधित करता है, जिनमें शर्तें, यह DPA, और सेवा की सुविधाओं का उपयोग शामिल है। NeuroCRM एक स्वतंत्र नियंत्रक के रूप में केवल सीमित खाता, बिलिंग, और सुरक्षा डेटा के लिए कार्य करता है जैसा गोपनीयता नीति में वर्णित है।

2. प्रसंस्करण का विवरण

विषय-वस्तु: NeuroCRM सेवा का प्रावधान। अवधि: ग्राहक की सदस्यता की अवधि और कोई भी समापन अवधि। प्रकृति और उद्देश्य: ग्राहक द्वारा कॉन्फ़िगर की गई सेवा को प्रदान करने के लिए आवश्यक होस्टिंग, भंडारण, और प्रसंस्करण संक्रियाएँ। डेटा विषयों की श्रेणियाँ: ग्राहक के संपर्क, लीड, ग्राहक, स्टाफ़, और अन्य व्यक्ति जिनका डेटा ग्राहक दर्ज करता है। व्यक्तिगत डेटा की श्रेणियाँ: जैसा ग्राहक द्वारा निर्धारित किया गया हो, आम तौर पर पहचान और संपर्क डेटा, व्यावसायिक रिकॉर्ड, और संप्रेषण; ग्राहक को विशेष-श्रेणी डेटा दर्ज नहीं करना चाहिए जब तक कि लिखित रूप में सहमति न हो।

3. ग्राहक निर्देश और अनुपालन

NeuroCRM ग्राहक सामग्री को केवल दस्तावेज़ी निर्देशों पर संसाधित करेगा, जिसमें हस्तांतरण के लिए भी शामिल है, जब तक कि लागू कानून द्वारा अपेक्षित न हो (ऐसी स्थिति में NeuroCRM ग्राहक को सूचित करेगा जब तक कि यह वर्जित न हो)। NeuroCRM ग्राहक को सूचित करेगा यदि, उसकी राय में, कोई निर्देश लागू डेटा-संरक्षण कानून का उल्लंघन करता है। ग्राहक, ग्राहक सामग्री की वैधता के लिए और सभी अपेक्षित सूचनाओं तथा सहमतियों को रखने के लिए ज़िम्मेदार है।

4. कर्मियों की गोपनीयता

NeuroCRM सुनिश्चित करता है कि ग्राहक सामग्री को संसाधित करने के लिए अधिकृत कर्मी गोपनीयता बाध्यताओं से बंधे हैं और डेटा को केवल निर्देशानुसार संसाधित करते हैं।

5. सुरक्षा उपाय

NeuroCRM जोखिम के अनुरूप सुरक्षा का स्तर सुनिश्चित करने के लिए उपयुक्त तकनीकी और संगठनात्मक उपाय लागू करता है, जिनमें संप्रेषण में और विश्राम में एक्सेस टोकनों का एन्क्रिप्शन, तार्किक टेनेंट पृथक्करण, एक्सेस नियंत्रण और लॉगिंग, समुत्थानशीलता और बैकअप, और नियमित समीक्षा शामिल हैं। एक सारांश अनुरोध पर और गोपनीयता नीति में उपलब्ध है।

6. उप-प्रोसेसर

ग्राहक NeuroCRM को उप-प्रोसेसरों को नियुक्त करने के लिए सामान्य प्राधिकरण प्रदान करता है। एक वर्तमान सूची /legal/subprocessors पर है। NeuroCRM प्रत्येक उप-प्रोसेसर पर ऐसी डेटा-संरक्षण बाध्यताएँ आरोपित करता है जो इस DPA से कम संरक्षणकारी नहीं हैं और उनके निष्पादन के लिए ज़िम्मेदार रहता है। NeuroCRM किसी भी नए या प्रतिस्थापन उप-प्रोसेसर की कम से कम 30 दिनों की सूचना देगा; ग्राहक उचित डेटा-संरक्षण आधारों पर आपत्ति कर सकता है, और यदि पक्ष आपत्ति का समाधान नहीं कर सकते, तो ग्राहक प्रभावित सेवा को समाप्त कर सकता है और पूर्व-भुगतान किए गए अप्रयुक्त शुल्क की वापसी प्राप्त कर सकता है।

7. डेटा-विषय अनुरोध और सहायता

प्रसंस्करण की प्रकृति को ध्यान में रखते हुए, NeuroCRM, उपयुक्त उपायों द्वारा और व्यावसायिक रूप से उचित सीमा तक, डेटा-विषय अनुरोधों का जवाब देने में और सुरक्षा, उल्लंघन अधिसूचना, डेटा-संरक्षण प्रभाव आकलन, तथा पूर्व परामर्श से संबंधित अपनी बाध्यताओं का अनुपालन करने में ग्राहक की सहायता करेगा। यदि NeuroCRM को सीधे किसी डेटा विषय से कोई अनुरोध प्राप्त होता है, तो वह उसे ग्राहक को अग्रेषित करेगा और निर्देशानुसार या कानून द्वारा अपेक्षित को छोड़कर जवाब नहीं देगा।

8. व्यक्तिगत डेटा उल्लंघन अधिसूचना

NeuroCRM ग्राहक सामग्री को प्रभावित करने वाले किसी पुष्ट या उचित रूप से संदिग्ध व्यक्तिगत डेटा उल्लंघन के बारे में अवगत होने पर ग्राहक को अनुचित विलंब के बिना, और किसी भी स्थिति में 24 घंटे के भीतर सूचित करेगा, और ग्राहक को उसकी अधिसूचना बाध्यताओं को पूरा करने में मदद के लिए उपलब्ध जानकारी प्रदान करेगा, तथा जाँच की प्रगति के साथ अद्यतन देगा। ऐसी अधिसूचना दोष या दायित्व की स्वीकृति नहीं है। यह निर्धारित करना कि नियामकों या डेटा विषयों को सूचित किया जाए या नहीं, और ऐसी अधिसूचनाएँ देना, नियंत्रक के रूप में ग्राहक की ज़िम्मेदारी है; NeuroCRM उचित सहयोग प्रदान करता है।

9. अंतरराष्ट्रीय हस्तांतरण

जहाँ प्रसंस्करण में EEA, UK, या स्विट्ज़रलैंड से किसी ऐसे देश में व्यक्तिगत डेटा का हस्तांतरण शामिल हो जिसके लिए कोई पर्याप्तता निर्णय नहीं है, वहाँ पक्ष यूरोपीय आयोग के मानक संविदात्मक खंड (Standard Contractual Clauses) (2021/914), मॉड्यूल टू (नियंत्रक से प्रोसेसर) को, इस DPA की जानकारी के साथ पूरित कर, समाविष्ट करते हैं, साथ ही UK International Data Transfer Addendum और स्विस अनुकूलन, जैसा लागू हो; वैकल्पिक रूप से NeuroCRM जहाँ प्रमाणित हो वहाँ EU-US Data Privacy Framework पर निर्भर रह सकता है। NeuroCRM यथोचित पूरक उपाय लागू करता है। टकराव की स्थिति में, SCCs केवल उतनी सीमा तक प्रभावी होते हैं जितना आवश्यक हो।

10. रूसी डेटा कंटूर (152-FZ)

रूसी संघ में व्यक्तियों के व्यक्तिगत डेटा के लिए, NeuroCRM संघीय कानून संख्या 152-FZ के अनुसार रूस में स्थित सर्वरों पर प्राथमिक रिकॉर्डिंग और भंडारण के साथ एक पृथक्कृत रूसी कंटूर बनाए रखता है, और ऐसे डेटा को Article 6(3) 152-FZ के अंतर्गत ग्राहक के निर्देश पर संसाधित करता है। यह कंटूर और इसका उल्लंघन-अधिसूचना प्रवाह (Roskomnadzor को 24 घंटे के भीतर प्रारंभिक और 72 घंटे के भीतर परिणाम) GDPR शृंखला से स्वतंत्र रूप से संचालित होता है। व्यक्तिगत डेटा प्रसंस्करण नीति (रूस) देखें।

11. ऑडिट

NeuroCRM इस DPA के अनुपालन को प्रदर्शित करने के लिए आवश्यक जानकारी उपलब्ध कराएगा और ऑडिट की अनुमति देगा। व्यवधान को न्यूनतम करने के लिए, NeuroCRM ऑडिट अनुरोधों को, जहाँ उपलब्ध हो, वर्तमान तृतीय-पक्ष प्रमाणन या रिपोर्ट (जैसे ISO 27001 या SOC 2 Type II) प्रदान करके पूरा कर सकता है। ऑन-साइट या विस्तृत ऑडिट प्रति वर्ष एक बार तक सीमित हैं (किसी उल्लंघन के बाद को छोड़कर), इनके लिए कम से कम 30 दिनों की सूचना, परस्पर सहमत कार्यक्षेत्र, गोपनीयता की आवश्यकता होती है, और ये अनुचित हस्तक्षेप के बिना कार्य-घंटों के दौरान संचालित किए जाते हैं।

12. वापसी और हटाना

समाप्ति पर, 30 दिनों के भीतर किए गए ग्राहक के चयन के अनुसार, NeuroCRM ग्राहक सामग्री को एक सामान्यतः प्रयुक्त प्रारूप में वापस करेगा या उसे हटा देगा और, अनुरोध पर, एक उचित अवधि के भीतर हटाने को प्रमाणित करेगा, सिवाय उस सीमा तक जहाँ प्रतिधारण कानून द्वारा अपेक्षित हो। नियमित बैकअप मानक रोटेशन चक्र पर अधिलेखित कर दिए जाते हैं।

13. दायित्व और पूर्वता

इस DPA के अंतर्गत प्रत्येक पक्ष का दायित्व सेवा की शर्तों में दी गई सीमाओं और बहिष्करणों के अधीन है, जिसमें डेटा-संरक्षण उल्लंघनों के लिए बढ़ी हुई सीमा शामिल है। यह DPA, जिसमें इसके समाविष्ट SCCs शामिल हैं, डेटा-संरक्षण मामलों पर शर्तों के टकराने वाले प्रावधानों पर प्रभावी होता है। DPA, ग्राहक पर लागू शर्तों के कानून और विवाद-समाधान प्रावधानों द्वारा शासित होता है।