डेटा प्रोसेसिंग एग्रीमेंट

1. पक्ष और दायरा

1.1 यह डेटा प्रोसेसिंग एग्रीमेंट ("DPA") BlinkFix Ltd (कंपनी संख्या 13505930), 27 Old Gloucester Street, London WC1N 3AX, यूनाइटेड किंगडम ("BlinkFix", "प्रोसेसर"), और उस संगठन, आपूर्तिकर्ता या डिलीवरी कंपनी के बीच है जिसने Enterprise शर्तें को स्वीकार किया है, या उस व्यवसाय के बीच है जिसने मर्चेंट शर्तें ("कस्टमर", "कंट्रोलर") को स्वीकार किया है।

1.2 यह उस व्यक्तिगत डेटा पर लागू होता है जिसे BlinkFix, BlinkFix Enterprise या किसी प्रतिष्ठान के स्टाफ और इंटीग्रेशन टूल्स प्रदान करने के दौरान कस्टमर की ओर से प्रोसेस करता है ("कस्टमर व्यक्तिगत डेटा")। यह Enterprise शर्तें या मर्चेंट शर्तें ("एग्रीमेंट") का हिस्सा है और उनके साथ ही स्वीकार किया जाता है।

1.3 यह उस व्यक्तिगत डेटा पर लागू नहीं होता है जिसे BlinkFix एक कंट्रोलर के रूप में प्रोसेस करता है, जिसका वर्णन गोपनीयता नीति में किया गया है। BlinkFix निम्नलिखित का कंट्रोलर है, उदाहरण के लिए: (a) BlinkFix अकाउंट्स; (b) कस्टमर्स के ऑर्डर और भुगतान; (c) बिलिंग, वॉलेट, पेआउट्स और विवरण; (d) ऑर्डर का डिलीवरी विवरण (नाम, पता, फोन, डिलीवरी कोड) और डिलीवरी का रिकॉर्ड, जिसमें डिलीवरी कंपनी द्वारा की गई डिलीवरी शामिल है; (e) आपूर्तिकर्ता ऑर्डर, जिसमें खरीदार का डिलीवरी विवरण शामिल है; (f) कार डिपॉजिट, जिसमें दावे, तस्वीरें और BlinkFix के निर्णय शामिल हैं; (g) वह सीमित जानकारी जो BlinkFix किसी चैनल पार्टनर को उन अकाउंट्स के बारे में देता है जिन्हें उसने पेश किया है; (h) डिलीवरी कंपनी द्वारा अपलोड किए गए कागजात की अपनी जांच ताकि उसे मंजूरी दी जा सके। जब BlinkFix ऐसा डेटा किसी आपूर्तिकर्ता, डिलीवरी कंपनी या चैनल पार्टनर को देता है ताकि वह अपना हिस्सा पूरा कर सके, तो वह व्यवसाय इसे केवल उस उद्देश्य के लिए एक अलग कंट्रोलर के रूप में प्राप्त करता है, जैसा कि फ्लीट शर्तें, Enterprise शर्तें का खंड 16 और चैनल पार्टनर शर्तें कहती हैं।

1.4 "UK GDPR", "EU GDPR" (विनियम (EU) 2016/679), "डेटा सुरक्षा कानून", "व्यक्तिगत डेटा", "प्रोसेसिंग", "कंट्रोलर", "प्रोसेसर", "डेटा विषय", "व्यक्तिगत डेटा उल्लंघन" और "पर्यवेक्षी प्राधिकरण" के वही अर्थ हैं जो UK GDPR, डेटा सुरक्षा अधिनियम 2018 और, जहां यह लागू होता है, EU GDPR में हैं।

2. प्रोसेसिंग का विवरण

3. कंट्रोलर के निर्देश

3.1 BlinkFix कस्टमर के पर्सनल डेटा को केवल कस्टमर के लिखित निर्देशों पर प्रोसेस करता है, जिसमें अंतरराष्ट्रीय ट्रांसफर भी शामिल है, जब तक कि यूके या ईयू कानून द्वारा अन्यथा आवश्यक न हो, ऐसी स्थिति में BlinkFix प्रोसेसिंग से पहले कस्टमर को सूचित करता है जब तक कि वह कानून इसे प्रतिबंधित न करता हो।

3.2 एग्रीमेंट, यह DPA और सर्विस का कस्टमर द्वारा उपयोग और कॉन्फ़िगरेशन (सेटिंग्स, इंटीग्रेशन और उसके एडमिन के कार्यों सहित) कस्टमर के पूर्ण निर्देश हैं। आगे के निर्देश लिखित में होने चाहिए और एग्रीमेंट के अनुरूप होने चाहिए।

3.3 यदि BlinkFix की राय में कोई निर्देश डेटा प्रोटेक्शन कानूनों का उल्लंघन करता है, तो BlinkFix कस्टमर को तुरंत सूचित करता है।

3.4 कस्टमर अपने द्वारा निर्देशित प्रोसेसिंग की वैधता, कानूनी आधार होने और डेटा सब्जेक्ट्स को आवश्यक जानकारी देने के लिए जिम्मेदार है।

4. गोपनीयता

BlinkFix यह सुनिश्चित करता है कि जिसे भी वह कस्टमर के पर्सनल डेटा को प्रोसेस करने के लिए अधिकृत करता है, वह गोपनीयता से बाध्य है और केवल सर्विस प्रदान करने, कस्टमर के अनुरोध पर सहायता करने, रिपोर्ट और दुरुपयोग को संभालने, या कानून का पालन करने के लिए ही इसे एक्सेस करता है।

5. सुरक्षा

BlinkFix कस्टमर के पर्सनल डेटा (अनुच्छेद 32 यूके/ईयू GDPR) की सुरक्षा के लिए उचित तकनीकी और संगठनात्मक उपाय लागू करता है, जिसमें शामिल हैं:

• सभी ट्रैफिक के लिए ट्रांजिट में एन्क्रिप्शन (TLS), और Google Cloud (हमारे सर्वर और डेटाबेस डिस्क) और Cloudflare (फाइलें और बैकअप) द्वारा प्रदान किया गया रेस्ट पर एन्क्रिप्शन;
• पासवर्ड और PIN केवल हैश के रूप में संग्रहीत; इंटीग्रेशन सीक्रेट्स एन्क्रिप्टेड रूप में संग्रहीत; API कीज़ स्कोप्ड और रिवोकेबल; वेबहुक साइन्ड;
• सीट और भूमिका के आधार पर एक्सेस कंट्रोल; प्रोडक्शन डेटा तक स्टाफ का एक्सेस केवल उन लोगों तक सीमित है जिन्हें इसकी आवश्यकता है; संवेदनशील आइटम तक स्टाफ के एक्सेस की लॉगिंग;
• एप्लीकेशन में ऑर्गेनाइजेशन के अनुसार कस्टमर के डेटा का पृथक्करण;
• रेट लिमिटिंग और दुरुपयोग से सुरक्षा;
• निरंतर चेंज लॉग के साथ हमारे डेटाबेस का दैनिक बैकअप, जिसे 7 दिनों के लिए एक अलग बैकअप स्टोर में रखा जाता है, और उन्हें रिस्टोर करने की एक प्रक्रिया;
• सर्विस में बदलाव के साथ उपायों की नियमित समीक्षा।

कस्टमर अपनी सुरक्षा के लिए स्वयं जिम्मेदार है, जिसमें सीट मैनेजमेंट, क्रेडेंशियल्स और API कीज़ को गुप्त रखना, और उन सिस्टम को सुरक्षित करना शामिल है जिन्हें वह कनेक्ट करता है।

6. सब-प्रोसेसर

6.1 कस्टमर BlinkFix को सब-प्रोसेसर सूची में शामिल सब-प्रोसेसर को नियुक्त करने के लिए सामान्य प्राधिकरण देता है।

6.2 BlinkFix सूची को अपडेट करके और कस्टमर के एडमिन या अकाउंट ओनर को ईमेल करके नए या प्रतिस्थापन सब-प्रोसेसर का कम से कम 30 दिनों का नोटिस देता है। कस्टमर उस अवधि के भीतर उचित डेटा सुरक्षा आधारों पर आपत्ति कर सकता है। पार्टियां सद्भावना के साथ आपत्ति पर चर्चा करेंगी; यदि इसका समाधान नहीं हो पाता है, तो कस्टमर प्रभावित सर्विस को समाप्त कर सकता है और शेष अवधि के लिए प्रीपेड फीस का रिफंड प्राप्त कर सकता है।

6.3 BlinkFix प्रत्येक सब-प्रोसेसर पर डेटा सुरक्षा के ऐसे दायित्व लागू करता है जो इस DPA से कम सुरक्षात्मक नहीं हैं और उनके परफॉरमेंस के लिए जिम्मेदार रहता है।

7. अंतर्राष्ट्रीय हस्तांतरण

7.1 BlinkFix की मुख्य होस्टिंग, जिसमें उसका डेटाबेस शामिल है, फ्रैंकफर्ट, जर्मनी (ईयू) में Google Cloud पर है। डेटाबेस बैकअप Cloudflare R2 में रखे जाते हैं। BlinkFix का ईमेल सर्वर कनाडा में है। कुछ सब-प्रोसेसर, जिनमें AI सर्विस भी शामिल है, सूची में दिखाए अनुसार यूएसए या अन्य जगहों पर डेटा प्रोसेस करते हैं।

7.2 जहां कस्टमर का पर्सनल डेटा यूके या ईईए के बाहर किसी ऐसे देश में ट्रांसफर किया जाता है जिसके पास पर्याप्तता का निर्णय नहीं है, वहां BlinkFix उचित सुरक्षा उपाय सुनिश्चित करता है: प्रमाणित प्राप्तकर्ताओं के लिए ईयू-यूएस डेटा प्राइवेसी फ्रेमवर्क और उसका यूके एक्सटेंशन, या यूरोपीय आयोग के मानक संविदात्मक खंड (निर्णय 2021/914, मॉड्यूल 3 प्रोसेसर-टू-प्रोसेसर या मॉड्यूल 2 जैसा लागू हो) यूके इंटरनेशनल डेटा ट्रांसफर एडेंडम के साथ, साथ ही जहां आवश्यक हो वहां ट्रांसफर जोखिम मूल्यांकन और पूरक उपाय। वाणिज्यिक संगठनों के लिए कनाडा जैसे पर्याप्तता निर्णय वाले देश में ट्रांसफर उस निर्णय पर निर्भर करता है।

7.3 जहाँ कस्टमर EEA में है और BlinkFix (UK में) कस्टमर का पर्सनल डेटा प्राप्त करता है, वहाँ यह ट्रांसफर UK के लिए यूरोपीय आयोग के पर्याप्तता निर्णय (adequacy decision) के अंतर्गत आता है। यदि वह निर्णय समाप्त हो जाता है, तो मानक संविदात्मक खंड (मॉड्यूल 2, कंट्रोलर से प्रोसेसर) लागू होंगे और संदर्भ द्वारा शामिल किए जाएंगे, जिनके लिए आयरिश कानून और अदालतों को चुना गया है, और कस्टमर का पर्यवेक्षी प्राधिकरण सक्षम प्राधिकरण होगा।

7.4 UK और EEA के बाहर के कस्टमर। जहाँ कस्टमर UK और EEA के बाहर है (उदाहरण के लिए संयुक्त अरब अमीरात या USA में) और उसका कानून पर्सनल डेटा को UK या सब-प्रोसेसर सूची में शामिल देशों में भेजने पर प्रतिबंध लगाता है, वहाँ पार्टियाँ इस DPA पर निर्भर करती हैं और, जहाँ वह कानून अधिक की मांग करता है, वहाँ 7.2 और 7.3 में नामित मानक खंडों और परिशिष्ट पर निर्भर करती हैं, जिनके लागू होने पर पार्टियाँ उस कानून की अनुमति की सीमा तक सहमत हैं।

8. सहायता

8.1 डेटा विषय के अनुरोध। BlinkFix, प्रोसेसिंग की प्रकृति को ध्यान में रखते हुए, कस्टमर को डेटा विषयों (एक्सेस, सुधार, विलोपन, प्रतिबंध, पोर्टेबिलिटी, आपत्ति) के अनुरोधों का जवाब देने में मदद करता है, मुख्य रूप से सर्विस की सुविधाओं के माध्यम से (एडमिन डेटा देख सकते हैं, संपादित कर सकते हैं, एक्सपोर्ट कर सकते हैं और हटा सकते हैं)। यदि BlinkFix को सीधे कोई अनुरोध प्राप्त होता है, तो वह उस व्यक्ति को कस्टमर के पास भेज देता है और जब तक कस्टमर न कहे, तब तक खुद जवाब नहीं देता।

8.2 प्रभाव आकलन और परामर्श। BlinkFix डेटा सुरक्षा प्रभाव आकलन और पर्यवेक्षी प्राधिकरण के साथ पूर्व परामर्श में कस्टमर की मदद करने के लिए उचित जानकारी प्रदान करता है।

9. पर्सनल डेटा का उल्लंघन

BlinkFix कस्टमर के पर्सनल डेटा को प्रभावित करने वाले पर्सनल डेटा के उल्लंघन के बारे में पता चलने के बाद, बिना किसी अनुचित देरी के, और किसी भी स्थिति में 48 घंटों के भीतर, कस्टमर को सूचित करता है, जिसमें वह जानकारी शामिल होती है जिसकी कस्टमर को अपने दायित्वों को पूरा करने के लिए उचित रूप से आवश्यकता होती है (उल्लंघन की प्रकृति, श्रेणियां और अनुमानित संख्या, संभावित परिणाम, किए गए या प्रस्तावित उपाय, और एक संपर्क बिंदु), और जैसे-जैसे अधिक जानकारी मिलती है, उसे अपडेट करता है। BlinkFix उल्लंघन को रोकने और सुधारने के लिए उचित कदम उठाता है। अधिसूचना गलती की स्वीकृति नहीं है।

10. ऑडिट

BlinkFix इस DPA और अनुच्छेद 28 के अनुपालन को प्रदर्शित करने के लिए उचित रूप से आवश्यक जानकारी उपलब्ध कराता है, जिसमें साल में एक बार सुरक्षा प्रश्नावली के लिखित उत्तर शामिल हैं। यदि यह पर्याप्त नहीं है, या कोई पर्यवेक्षी प्राधिकरण इसकी आवश्यकता रखता है, तो कस्टमर कम से कम 30 दिनों के नोटिस पर, व्यावसायिक घंटों के दौरान, साल में अधिकतम एक बार, अपने खर्च पर, और अन्य कस्टमर के डेटा तक पहुंच के बिना, एक ऑडिट (स्वयं या गोपनीयता से बंधे स्वतंत्र ऑडिटर के माध्यम से) कर सकता है।

11. विलोपन और वापसी

11.1 एग्रीमेंट के दौरान, एडमिन कस्टमर के पर्सनल डेटा को हटा सकते हैं और उसे एक्सपोर्ट कर सकते हैं (CSV और JSON एक्सपोर्ट, और API के माध्यम से)।

11.2 जब एग्रीमेंट समाप्त हो जाता है, तो कस्टमर के पास अपना डेटा एक्सपोर्ट करने के लिए 30 दिन होते हैं। इसके बाद BlinkFix अगले 30 दिनों के भीतर कस्टमर के पर्सनल डेटा को हटा देता है, जिसमें सक्रिय सिस्टम से डेटा भी शामिल है, जब तक कि UK या EU कानून इसे रखने की आवश्यकता न दे। बैकअप 7 दिनों के लिए रखे जाते हैं और फिर उनके सामान्य चक्र पर हटा दिए जाते हैं, और आपदा रिकवरी को छोड़कर उन्हें रिस्टोर नहीं किया जाता है। अनुरोध पर, BlinkFix लिखित में विलोपन की पुष्टि करता है।

11.3 BlinkFix पर प्रतिष्ठान, उनके ऑर्डर्स और उनके स्टाफ के पर्सनल BlinkFix अकाउंट के बारे में डेटा, एंटरप्राइज कस्टमर का पर्सनल डेटा नहीं है और यह मर्चेंट शर्तें और गोपनीयता नीति के तहत जारी रहता है।

12. दायित्व और प्राथमिकता

12.1 इस DPA के तहत प्रत्येक पार्टी का दायित्व एग्रीमेंट की सीमाओं के अधीन है।

12.2 यदि यह DPA एग्रीमेंट के साथ संघर्ष करता है, तो कस्टमर के पर्सनल डेटा की प्रोसेसिंग के लिए यह DPA प्रभावी होगा। यदि मानक संविदात्मक खंड या UK परिशिष्ट लागू होते हैं और इस DPA के साथ संघर्ष करते हैं, तो वे प्रभावी होंगे।

12.3 यह DPA उस कानून द्वारा शासित होता है जो एग्रीमेंट को नियंत्रित करता है।

13. संपर्क

गोपनीयता और डेटा सुरक्षा: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, यूनाइटेड किंगडम।

UK सूचना आयुक्त कार्यालय के साथ पंजीकरण: आवेदन किया गया (आवेदन C2042936)।

यूरोपीय संघ प्रतिनिधि (अनुच्छेद 27 GDPR)

EU GDPR के अनुच्छेद 27 के तहत यूरोपीय संघ में BlinkFix का प्रतिनिधि Michał Michalek, पोलैंड है (डाक पता [email protected] पर अनुरोध पर उपलब्ध), [email protected], +48 505 643 432। EU डेटा विषय और पर्यवेक्षी प्राधिकरण BlinkFix की प्रोसेसिंग के बारे में प्रतिनिधि से संपर्क कर सकते हैं, जिसमें इस DPA के तहत प्रोसेसिंग भी शामिल है।

14. अन्य देशों के कानून

14.1 EEA। जहाँ कस्टमर आइसलैंड, लिकटेंस्टीन या नॉर्वे में है, वहाँ यह DPA वैसे ही लागू होता है जैसे यह EU के लिए होता है, और "EU GDPR" में वह GDPR शामिल है जो EEA में लागू होता है।

14.2 संयुक्त अरब अमीरात। जहाँ पर्सनल डेटा के संरक्षण के संबंध में UAE का संघीय डिक्री-कानून संख्या 45 वर्ष 2021 कस्टमर के पर्सनल डेटा पर लागू होता है, वहाँ कस्टमर कंट्रोलर है और BlinkFix उसका प्रोसेसर है, और धारा 3 से 11 उस कानून के तहत प्रोसेसर के रूप में BlinkFix के कर्तव्य हैं। जहाँ दुबई इंटरनेशनल फाइनेंशियल सेंटर या अबू धाबी ग्लोबल मार्केट का डेटा सुरक्षा कानून लागू होता है, वहाँ उस कानून के तहत भी यही बात सत्य है। पार्टियाँ UAE से बाहर किसी भी ट्रांसफर के लिए इस DPA और धारा 7 पर निर्भर करती हैं।

14.3 संयुक्त राज्य अमेरिका। जहाँ कोई अमेरिकी राज्य गोपनीयता कानून कस्टमर पर्सनल डेटा पर लागू होता है (उदाहरण के लिए कैलिफ़ोर्निया कंज्यूमर प्राइवेसी एक्ट जैसा कि कैलिफ़ोर्निया प्राइवेसी राइट्स एक्ट द्वारा संशोधित है), BlinkFix कस्टमर का सर्विस प्रोवाइडर या प्रोसेसर है, और: (a) BlinkFix कस्टमर पर्सनल डेटा को केवल सेक्शन 2 के उद्देश्यों के लिए और कस्टमर के निर्देशों पर प्रोसेस करता है; (b) BlinkFix इसे बेचता या साझा नहीं करता है (जैसा कि कानून इन शब्दों को परिभाषित करता है); (c) BlinkFix इसे किसी अन्य उद्देश्य के लिए, या कस्टमर के साथ अपने प्रत्यक्ष व्यावसायिक संबंध के बाहर नहीं रखता, उपयोग या प्रकट नहीं करता है; (d) BlinkFix इसे अन्य स्रोतों से प्राप्त या स्वयं एकत्र किए गए व्यक्तिगत डेटा के साथ संयोजित नहीं करता है, सिवाय इसके कि कानून इसकी अनुमति देता है; (e) BlinkFix उस कानून का अनुपालन करता है और गोपनीयता सुरक्षा का समान स्तर प्रदान करता है; (f) कस्टमर यह सुनिश्चित करने के लिए उचित कदम उठा सकता है (सेक्शन 10 के तहत सहित) कि BlinkFix डेटा का उपयोग वैसे ही करता है जैसा कि यह DPA कहता है, और अनधिकृत उपयोग को रोकने और सुधारने के लिए; (g) यदि BlinkFix उस कानून के तहत अपने दायित्वों को पूरा करने में असमर्थ है, तो वह 5 व्यावसायिक दिनों के भीतर कस्टमर को सूचित करता है।

14.4 यदि किसी अन्य देश का डेटा सुरक्षा कानून लागू होता है और इस DPA से अधिक की मांग करता है, तो पार्टियां सद्भावना में सहमत होंगी कि क्या जोड़ना है।