यह अनुबंध किस प्रकार किया जाता है
यह डेटा प्रसंस्करण अनुबंध (जर्मनी और ऑस्ट्रिया में Auftragsverarbeitungsvertrag या AVV) FastComments की सेवा की शर्तें का भाग है। यह उन सभी ग्राहकों के लिए, जो GDPR, UK GDPR या स्विस FADP के अधीन नियंत्रक के रूप में व्यक्तिगत डेटा के प्रसंस्करण हेतु सेवा का उपयोग करते हैं, बिना हस्ताक्षर के और किसी भी पक्षकार द्वारा कोई अतिरिक्त कार्रवाई किए बिना स्वतः प्रभावी हो जाता है। GDPR का अनुच्छेद 28(9) अपेक्षा करता है कि यह संविदा इलेक्ट्रॉनिक रूप सहित लिखित रूप में हो; सेवा की शर्तों की स्वीकृति इस अपेक्षा को पूरा करती है।
WinrickLabs LLC ने इस अनुबंध को अग्रिम रूप से निष्पादित कर दिया है। इसके हस्ताक्षर धारा 24 में दिए गए हैं। जिस ग्राहक को अपने अभिलेखों के लिए प्रतिहस्ताक्षरित प्रति की आवश्यकता हो, वह इस पृष्ठ पर अपना विवरण भरकर ऐसी प्रति तैयार कर सकता है, या privacy@fastcomments.com से प्रति का अनुरोध कर सकता है।
प्रस्तावना
A. नियंत्रक और प्रसंस्करणकर्ता ने एक वाणिज्यिक संबंध स्थापित किया है जिसके अंतर्गत प्रसंस्करणकर्ता एक होस्ट किया गया ऑनलाइन टिप्पणी, लाइव चैट और चर्चा प्लेटफ़ॉर्म ("सेवा") प्रदान करता है।
B. वह संबंध https://fastcomments.com/terms-of-service पर प्रकाशित सेवा की शर्तों ("मूल अनुबंध") द्वारा शासित है।
C. नियंत्रक द्वारा सेवा के उपयोग में ऐसे व्यक्तिगत डेटा का प्रसंस्करण शामिल है जो विनियमन (EU) 2016/679 ("GDPR"), डेटा संरक्षण अधिनियम 2018 के साथ पठित यूनाइटेड किंगडम सामान्य डेटा संरक्षण विनियमन (संयुक्त रूप से, "UK GDPR"), और/या स्विस संघीय डेटा संरक्षण अधिनियम ("FADP") के अधीन है। अतः पक्षकार GDPR के अनुच्छेद 28 द्वारा और, जहाँ प्रासंगिक हो, GDPR के अध्याय V द्वारा अपेक्षित शर्तों पर सहमत होते हैं।
1. परिभाषाएँ
"ग्राहक व्यक्तिगत डेटा" से अभिप्राय वह व्यक्तिगत डेटा है जो नियंत्रक की ओर से सेवा में प्रस्तुत की गई या सेवा के माध्यम से उत्पन्न टिप्पणियों, चैट संदेशों, उत्तरों, वोटों, प्रतिक्रियाओं, फ़्लैगों, अपलोडों, अंतिम-उपयोगकर्ता प्रोफ़ाइलों, सिंगल साइन-ऑन विशेषताओं और मॉडरेशन अभिलेखों में निहित है या उनसे व्युत्पन्न है।
"खाता डेटा" से अभिप्राय नियंत्रक का अपना संपर्क, बिलिंग, प्रमाणीकरण, सहायता और उत्पाद-उपयोग डेटा है।
"डेटा संरक्षण कानून" से अभिप्राय GDPR, UK GDPR, FADP और इस अनुबंध के अंतर्गत किसी पक्षकार के प्रसंस्करण पर लागू कोई अन्य डेटा संरक्षण कानून है।
"उप-प्रसंस्करणकर्ता" से अभिप्राय ग्राहक व्यक्तिगत डेटा के प्रसंस्करण के लिए प्रसंस्करणकर्ता द्वारा नियुक्त कोई तृतीय पक्ष है।
"SCC" से अभिप्राय 4 जून 2021 के आयोग कार्यान्वयन निर्णय (EU) 2021/914 के साथ संलग्न मानक संविदात्मक खंड हैं।
"UK अनुपूरक" से अभिप्राय डेटा संरक्षण अधिनियम 2018 की धारा 119A के अंतर्गत सूचना आयुक्त द्वारा जारी, यूरोपीय आयोग के मानक संविदात्मक खंडों का अंतर्राष्ट्रीय डेटा अंतरण अनुपूरक (International Data Transfer Addendum), संस्करण B1.0 है, जो 21 मार्च 2022 से लागू है।
"उप-प्रसंस्करणकर्ता पृष्ठ" से अभिप्राय https://fastcomments.com/dpa/sub-processors है।
"प्रभावी तिथि" से अभिप्राय वह तिथि है जिसको नियंत्रक ने पहली बार मूल अनुबंध स्वीकार किया, या वह तिथि जिसको इस अनुबंध पर प्रतिहस्ताक्षर किए गए, इनमें से जो भी पहले हो।
"नियंत्रक", "प्रसंस्करणकर्ता", "व्यक्तिगत डेटा", "प्रसंस्करण", "व्यक्तिगत डेटा उल्लंघन", "डेटा विषय" और "पर्यवेक्षी प्राधिकरण" के वही अर्थ हैं जो GDPR के अनुच्छेद 4 में दिए गए हैं।
2. दायरा, समावेशन और पूर्वता का क्रम
2.1 यह अनुबंध मूल अनुबंध का अभिन्न अंग है और प्रसंस्करणकर्ता द्वारा ग्राहक व्यक्तिगत डेटा के सभी प्रसंस्करण पर लागू होता है।
2.2 यह अनुबंध पक्षकारों के बीच किन्हीं भी पूर्ववर्ती डेटा प्रसंस्करण शर्तों का अधिक्रमण करता है।
2.3 जहाँ यह अनुबंध सेवा की शर्तों और गोपनीयता नीति सहित मूल अनुबंध के विरोध में हो, वहाँ ग्राहक व्यक्तिगत डेटा के प्रसंस्करण के संबंध में यह अनुबंध अभिभावी होगा। जहाँ यह अनुबंध SCC के विरोध में हो, वहाँ SCC अभिभावी होंगे।
2.4 अनुलग्नक और परिशिष्ट इस अनुबंध के अभिन्न अंग हैं।
3. पक्षकारों की भूमिकाएँ
3.1 ग्राहक व्यक्तिगत डेटा के संबंध में, ग्राहक नियंत्रक है और WinrickLabs LLC प्रसंस्करणकर्ता है।
3.2 खाता डेटा के संबंध में, WinrickLabs LLC एक स्वतंत्र नियंत्रक के रूप में कार्य करता है। वह प्रसंस्करण गोपनीयता नीति द्वारा शासित है, न कि इस अनुबंध द्वारा।
3.3 जहाँ नियंत्रक स्वयं किसी तृतीय-पक्ष नियंत्रक की ओर से कार्य करने वाला प्रसंस्करणकर्ता है, वहाँ वह आश्वासन देता है कि उसे प्रसंस्करणकर्ता को उप-प्रसंस्करणकर्ता के रूप में नियुक्त करने का प्राधिकार है, और यह अनुबंध SCC के मॉड्यूल दो के स्थान पर मॉड्यूल तीन को प्रतिस्थापित करते हुए आवश्यक परिवर्तनों सहित लागू होता है।
3.4 यदि प्रसंस्करणकर्ता किसी ग्राहक व्यक्तिगत डेटा के प्रसंस्करण के प्रयोजनों और साधनों का निर्धारण करता है, तो GDPR के अनुच्छेद 28(10) के प्रयोजनों के लिए वह उस प्रसंस्करण के संबंध में नियंत्रक है।
4. प्रलेखित निर्देशों पर प्रसंस्करण
4.1 प्रसंस्करणकर्ता ग्राहक व्यक्तिगत डेटा का प्रसंस्करण केवल नियंत्रक के प्रलेखित निर्देशों पर करता है, जिसमें किसी तृतीय देश को अंतरण के संबंध में निर्देश भी शामिल हैं। यह अनुबंध, मूल अनुबंध, सेवा का प्रलेखन और सेवा द्वारा उपलब्ध कराए गए कॉन्फ़िगरेशन विकल्पों का नियंत्रक द्वारा उपयोग, मिलकर नियंत्रक के संपूर्ण प्रलेखित निर्देश बनाते हैं।
4.2 प्रसंस्करणकर्ता ग्राहक व्यक्तिगत डेटा का विक्रय नहीं करता, निर्देशानुसार या कानून द्वारा अपेक्षित के सिवाय उसका प्रकटीकरण नहीं करता, और सेवा प्रदान करने के सिवाय किसी अन्य प्रयोजन के लिए उसका उपयोग नहीं करता। प्रसंस्करणकर्ता किसी मशीन लर्निंग या कृत्रिम बुद्धिमत्ता मॉडल को विकसित करने, प्रशिक्षित करने, फ़ाइन-ट्यून करने या उसका मूल्यांकन करने के लिए ग्राहक व्यक्तिगत डेटा का उपयोग नहीं करता, और स्वचालित वर्गीकरण या मॉडरेशन के लिए इसे प्राप्त करने वाले प्रत्येक उप-प्रसंस्करणकर्ता से भी यही अपेक्षा करता है।
4.3 जहाँ संघ, सदस्य राज्य, यूनाइटेड किंगडम या अन्य लागू कानून प्रसंस्करणकर्ता से ग्राहक व्यक्तिगत डेटा का प्रसंस्करण नियंत्रक के निर्देशों से भिन्न रूप में करने की अपेक्षा करता है, वहाँ प्रसंस्करणकर्ता प्रसंस्करण से पहले नियंत्रक को उस विधिक अपेक्षा की सूचना देता है, जब तक कि वह कानून लोकहित के महत्वपूर्ण आधारों पर ऐसी सूचना देने का निषेध न करता हो।
4.4 यदि प्रसंस्करणकर्ता की राय में कोई निर्देश डेटा संरक्षण कानूनों का उल्लंघन करता है, तो वह नियंत्रक को तुरंत सूचित करता है, और पक्षकारों द्वारा मामले का समाधान किए जाने तक संबंधित निर्देश के निष्पादन को निलंबित कर सकता है।
5. नियंत्रक के दायित्व और आश्वासन
5.1 नियंत्रक ग्राहक व्यक्तिगत डेटा के प्रसंस्करण के प्रयोजनों और साधनों का निर्धारण करता है और उस प्रसंस्करण की वैधता के लिए उत्तरदायी है।
5.2 नियंत्रक आश्वासन देता है कि उसने प्रसंस्करण के लिए एक वैध विधिक आधार स्थापित किया है, कि उसने संबंधित डेटा विषयों को GDPR के अनुच्छेद 12 से 14 द्वारा अपेक्षित सभी जानकारी प्रदान की है, और कि उसने प्रसंस्करण के लिए तथा सेवा द्वारा कोई कुकी या समान तकनीकें स्थापित किए जाने के लिए अपेक्षित सभी सहमतियाँ प्राप्त कर ली हैं।
5.3 नियंत्रक उस सामग्री के लिए उत्तरदायी है जो उसके अंतिम उपयोगकर्ता सेवा के माध्यम से प्रस्तुत करते हैं, तथा अपने स्वयं के मॉडरेशन निर्णयों के लिए भी उत्तरदायी है।
5.4 सेवा को GDPR के अनुच्छेद 9 के अर्थ में व्यक्तिगत डेटा की विशेष श्रेणियों, या GDPR के अनुच्छेद 10 के अर्थ में आपराधिक दोषसिद्धियों और अपराधों से संबंधित व्यक्तिगत डेटा के प्रसंस्करण के लिए अभिकल्पित नहीं किया गया है। नियंत्रक अपने अंतिम उपयोगकर्ताओं को तदनुसार निर्देश देता है और जानबूझकर ऐसा डेटा सेवा में प्रस्तुत नहीं करता।
6. कार्मिकों की गोपनीयता
6.1 ग्राहक व्यक्तिगत डेटा तक पहुँच उन्हीं व्यक्तियों तक सीमित है जिन्हें मूल अनुबंध के निष्पादन के लिए इसकी आवश्यकता है। 5 अगस्त 2026 की स्थिति के अनुसार किसी भी ठेकेदार की ग्राहक व्यक्तिगत डेटा तक पहुँच नहीं है।
6.2 ग्राहक व्यक्तिगत डेटा के प्रसंस्करण के लिए अधिकृत प्रत्येक व्यक्ति गोपनीयता के ऐसे कर्तव्य से बाध्य है जो उसकी नियुक्ति की समाप्ति के बाद भी बना रहता है। किसी ठेकेदार को ग्राहक व्यक्तिगत डेटा तक पहुँच प्रदान करने से पहले, प्रसंस्करणकर्ता ऐसी शर्तों पर लिखित गोपनीयता वचनबद्धता की अपेक्षा करता है जो इस धारा से कम सुरक्षात्मक न हों।
7. प्रसंस्करण की सुरक्षा
7.1 प्रसंस्करणकर्ता अत्याधुनिक तकनीकी स्थिति, कार्यान्वयन की लागत, प्रसंस्करण की प्रकृति, दायरा, संदर्भ और प्रयोजनों, तथा प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रताओं के लिए जोखिम को ध्यान में रखते हुए, अनुलग्नक II में निर्धारित तकनीकी और संगठनात्मक उपायों को लागू करता है और बनाए रखता है।
7.2 प्रसंस्करणकर्ता उन उपायों को अद्यतन कर सकता है, बशर्ते कि सुरक्षा का समग्र स्तर कम न हो। महत्वपूर्ण परिवर्तन इस पृष्ठ पर प्रकाशित किए जाते हैं।
7.3 नियंत्रक यह आकलन करने के लिए उत्तरदायी है कि क्या वे उपाय उसकी अपनी जोखिम प्रोफ़ाइल के अनुरूप हैं, और सेवा को सुरक्षित रूप से कॉन्फ़िगर करने के लिए भी उत्तरदायी है, जिसमें उसकी प्रतिधारण सेटिंग्स, उसकी मॉडरेशन सेटिंग्स, उसकी IP पता गैर-अनामीकरण सेटिंग और उसकी सिंगल साइन-ऑन हस्ताक्षर कुंजियों का प्रबंधन शामिल है।
8. उप-प्रसंस्करणकर्ता
8.1 नियंत्रक प्रसंस्करणकर्ता को GDPR के अनुच्छेद 28(2) के अर्थ में अनुलग्नक III में सूचीबद्ध उप-प्रसंस्करणकर्ताओं को नियुक्त करने, और इस धारा के अधीन रहते हुए अतिरिक्त उप-प्रसंस्करणकर्ताओं को नियुक्त करने का सामान्य लिखित प्राधिकार देता है। उप-प्रसंस्करणकर्ता पृष्ठ आधिकारिक वर्तमान सूची है, और जहाँ यह अनुलग्नक III से भिन्न हो, वहाँ उप-प्रसंस्करणकर्ता पृष्ठ मान्य होगा।
8.2 किसी नए उप-प्रसंस्करणकर्ता द्वारा ग्राहक व्यक्तिगत डेटा का प्रसंस्करण आरंभ करने से पहले, या किसी मौजूदा उप-प्रसंस्करणकर्ता की भूमिका में महत्वपूर्ण परिवर्तन होने से पहले, प्रसंस्करणकर्ता नियंत्रक को कम से कम 30 दिन की सूचना देता है। सूचना खाता व्यवस्थापक को और FastComments व्यवस्थापन कंसोल में नामित किसी भी गोपनीयता संपर्क को ईमेल द्वारा, तथा प्रभावी तिथि के साथ उप-प्रसंस्करणकर्ता पृष्ठ पर प्रकाशन द्वारा दी जाती है। वह सूचना प्राप्त करने के लिए किसी मेलिंग सूची में साइन-अप या ऑप्ट-इन की आवश्यकता नहीं है।
8.3 जहाँ सेवा की सुरक्षा, अखंडता या निरंतरता को बनाए रखने के लिए कोई परिवर्तन तत्काल करना आवश्यक हो, जिसमें वह स्थिति भी शामिल है जहाँ कोई मौजूदा उप-प्रसंस्करणकर्ता संबंधित सेवा प्रदान करना बंद कर देता है, दिवालिया हो जाता है, या उसकी नियुक्ति समाप्त हो जाती है, वहाँ प्रसंस्करणकर्ता किसी प्रतिस्थापन को नियुक्त कर सकता है और इसके स्थान पर यथोचित रूप से व्यवहार्य होते ही यथाशीघ्र सूचना दे सकता है। धारा 8.4 में दिया गया आपत्ति का अधिकार उस सूचना की तिथि से अपरिवर्तित रूप में लागू होता है।
8.4 नियंत्रक डेटा संरक्षण से संबंधित उचित आधारों पर, धारा 8.2 या 8.3 के अंतर्गत सूचना के 30 दिनों के भीतर privacy@fastcomments.com को लिखित सूचना देकर किसी नए उप-प्रसंस्करणकर्ता पर आपत्ति कर सकता है।
8.5 आपत्ति होने पर पक्षकार 30 दिनों तक सद्भावपूर्वक मामले पर चर्चा करते हैं और प्रसंस्करणकर्ता ऐसा परिवर्तन उपलब्ध कराने के लिए उचित प्रयास करता है जिससे उस प्रसंस्करण से बचा जा सके जिस पर आपत्ति की गई है। संबंधित उप-प्रसंस्करणकर्ता के आधार पर, इसमें उस वैकल्पिक सुविधा को अक्षम करना जिसके लिए उसे नियुक्त किया जाता है, सेवा को इस प्रकार कॉन्फ़िगर करना कि आपत्ति वाला प्रसंस्करण न हो, या नियंत्रक के खाते को यूरोपीय संघ क्षेत्र में स्थानांतरित करना शामिल हो सकता है। प्रसंस्करणकर्ता अनुरोध पर और बिना किसी शुल्क के वह स्थानांतरण करता है। जहाँ ऐसा कोई परिवर्तन उपलब्ध न हो, वहाँ नियंत्रक लिखित सूचना देकर, बिना किसी शीघ्र समाप्ति शुल्क या अन्य प्रतिकूल परिणाम के, और अवधि के अप्रयुक्त भाग के लिए अग्रिम भुगतान किए गए शुल्कों की आनुपातिक वापसी के साथ, सेवा के प्रभावित भाग को, या मूल अनुबंध को, समाप्त कर सकता है। इस आधार पर समाप्ति, आपत्ति के संबंध में नियंत्रक का एकमात्र उपचार है।
8.6 प्रसंस्करणकर्ता प्रत्येक उप-प्रसंस्करणकर्ता पर, लिखित संविदा द्वारा, इस अनुबंध के दायित्वों के सारतः समतुल्य डेटा संरक्षण दायित्व अधिरोपित करता है, जिनमें GDPR के अनुच्छेद 32 के सुरक्षा दायित्व और, जहाँ उप-प्रसंस्करणकर्ता यूरोपीय आर्थिक क्षेत्र के बाहर स्थापित है, एक उपयुक्त अंतरण तंत्र शामिल है। जहाँ किसी उप-प्रसंस्करणकर्ता ने अभी तक ऐसी संविदा नहीं की है, वहाँ उस उप-प्रसंस्करणकर्ता को उसके द्वारा किए जाने वाले प्रसंस्करण के साथ अनुलग्नक III में इसी रूप में चिह्नित किया गया है, और प्रसंस्करणकर्ता इस धारा की अपेक्षाओं को पूरा करने वाली संविदा संपन्न करने का प्रयास करता है।
8.7 प्रत्येक उप-प्रसंस्करणकर्ता के दायित्वों के निष्पादन के लिए प्रसंस्करणकर्ता नियंत्रक के प्रति पूर्णतः उत्तरदायी बना रहता है।
9. डेटा विषय के अधिकारों में सहायता
9.1 प्रसंस्करणकर्ता ग्राहक व्यक्तिगत डेटा के संबंध में किसी डेटा विषय से सीधे प्राप्त किसी भी अनुरोध की सूचना नियंत्रक को तुरंत देता है, और जब तक नियंत्रक अन्यथा निर्देश न दे, डेटा विषय को नियंत्रक के पास भेजने के सिवाय ऐसे अनुरोध का सारभूत उत्तर नहीं देता।
9.2 प्रसंस्करणकर्ता किसी पर्यवेक्षी प्राधिकरण या अन्य सक्षम नियामक से प्राप्त, ग्राहक व्यक्तिगत डेटा के प्रसंस्करण से संबंधित किसी भी अन्य अनुरोध, शिकायत, नोटिस या संसूचना की, और उस प्रसंस्करण के संबंध में किए गए क्षतिपूर्ति के किसी भी दावे की सूचना नियंत्रक को तुरंत देता है।
9.3 प्रसंस्करण की प्रकृति को ध्यान में रखते हुए, प्रसंस्करणकर्ता GDPR के अध्याय III के अंतर्गत अधिकारों के प्रयोग हेतु किए गए अनुरोधों का उत्तर देने के नियंत्रक के दायित्व को पूरा करने में, जहाँ तक संभव हो, उपयुक्त तकनीकी और संगठनात्मक उपायों द्वारा नियंत्रक की सहायता करता है। सेवा नियंत्रक को किसी अंतिम उपयोगकर्ता को खोजने, अलग-अलग टिप्पणियों और चैट संदेशों को संपादित करने, हटाने या अनामीकृत करने, किसी अंतिम उपयोगकर्ता और उससे संबद्ध सामग्री को हटाने, नियंत्रक के खाते के लिए रखे गए टिप्पणी और उपयोगकर्ता डेटा का निर्यात करने, और यह कॉन्फ़िगर करने के उपकरण प्रदान करती है कि IP पते गैर-अनामीकृत रूप में संग्रहीत किए जाएँ या नहीं। जहाँ वे उपकरण नियंत्रक को प्रसंस्करणकर्ता की भागीदारी के बिना उत्तर देने में सक्षम बनाते हैं, वहाँ उनकी उपलब्धता इस धारा द्वारा अपेक्षित सहायता मानी जाती है। प्रसंस्करणकर्ता उचित लागत पर अतिरिक्त सहायता प्रदान करता है।
10. व्यक्तिगत डेटा उल्लंघन
10.1 ग्राहक व्यक्तिगत डेटा को प्रभावित करने वाले किसी व्यक्तिगत डेटा उल्लंघन की जानकारी मिलने के बाद, प्रसंस्करणकर्ता अनुचित विलंब के बिना, और किसी भी स्थिति में 48 घंटों के भीतर, नियंत्रक को सूचित करता है।
10.2 अधिसूचना में, उस समय ज्ञात सीमा तक, निम्नलिखित का वर्णन होता है: उल्लंघन की प्रकृति, जिसमें जहाँ संभव हो संबंधित डेटा विषयों की श्रेणियाँ और अनुमानित संख्या तथा संबंधित अभिलेखों की श्रेणियाँ और अनुमानित संख्या शामिल है; उल्लंघन के संभावित परिणाम; उससे निपटने के लिए किए गए या प्रस्तावित उपाय, जिनमें उसके संभावित प्रतिकूल प्रभावों को कम करने के उपाय शामिल हैं; और एक संपर्क बिंदु जिससे अधिक जानकारी प्राप्त की जा सकती है। जहाँ जानकारी एक साथ उपलब्ध न हो, वहाँ वह उपलब्ध होने के साथ चरणों में प्रदान की जाती है।
10.3 प्रसंस्करणकर्ता GDPR के अनुच्छेद 33 और 34 के अंतर्गत नियंत्रक के अपने दायित्वों के संबंध में नियंत्रक को उचित सहयोग और सहायता प्रदान करता है।
10.4 इस धारा के अंतर्गत दी गई अधिसूचना दोष या देयता की स्वीकृति नहीं है।
11. डेटा संरक्षण प्रभाव आकलन
प्रसंस्करण की प्रकृति और उसके पास उपलब्ध जानकारी को ध्यान में रखते हुए, प्रसंस्करणकर्ता GDPR के अनुच्छेद 35 के अंतर्गत डेटा संरक्षण प्रभाव आकलनों में और GDPR के अनुच्छेद 36 के अंतर्गत पर्यवेक्षी प्राधिकरण से पूर्व परामर्श में नियंत्रक को उचित सहायता प्रदान करता है, मुख्य रूप से अनुलग्नक II, उप-प्रसंस्करणकर्ता पृष्ठ, धारा 14 में दी गई अंतरण संबंधी जानकारी, और उचित प्रश्नों के लिखित उत्तर उपलब्ध कराकर। इससे अधिक सहायता उचित लागत पर प्रदान की जाती है।
12. ग्राहक व्यक्तिगत डेटा को हटाना और लौटाना
12.1 नियंत्रक के विकल्प पर, प्रसंस्करणकर्ता सेवा प्रदान किए जाने की समाप्ति के बाद सभी ग्राहक व्यक्तिगत डेटा को हटा देता है या लौटा देता है, और धारा 12.3 के अधीन रहते हुए मौजूदा प्रतियों को हटा देता है, जब तक कि संघ, सदस्य राज्य या अन्य लागू कानून निरंतर भंडारण की अपेक्षा न करता हो।
12.2 नियंत्रक सेवा प्रदान किए जाने की समाप्ति से पहले, या उसके बाद 30 दिनों के भीतर, अपने विकल्प की लिखित सूचना देता है। नियंत्रक उस अवधि के दौरान सेवा के निर्यात उपकरणों का उपयोग करके अपना डेटा निर्यात कर सकता है। उस अवधि के भीतर कोई विकल्प न चुने जाने पर, प्रसंस्करणकर्ता डेटा हटा देता है।
12.3 लाइव प्रणालियों और उनकी प्रतिकृतियों से विलोपन, विकल्प चुने जाने के, या धारा 12.2 में दी गई अवधि की समाप्ति के, 30 दिनों के भीतर होता है। आवर्ती बैकअप में निहित अवशिष्ट प्रतियाँ तब मिटा दी जाती हैं जब वह बैकअप, जिसमें वे विद्यमान हैं, अपने आवर्तन चक्र के सामान्य क्रम में अधिलेखित हो जाता है, और किसी भी स्थिति में बारह महीनों के भीतर। तब तक वे प्रतियाँ संग्रहीत अवस्था में एन्क्रिप्टेड रहती हैं, उनका सक्रिय रूप से प्रसंस्करण नहीं किया जाता और आपदा पुनर्प्राप्ति के सिवाय किसी अन्य प्रयोजन के लिए उनका उपयोग नहीं किया जाता।
12.4 सेवा की समाप्ति से पहले, नियंत्रक के या किसी डेटा विषय के निर्देश पर, धारा 9.3 में वर्णित उपकरणों का उपयोग करके अलग-अलग अभिलेख हटाए जाते हैं।
13. लेखापरीक्षा और अनुपालन का प्रदर्शन
13.1 प्रसंस्करणकर्ता GDPR के अनुच्छेद 28 के अनुपालन को प्रदर्शित करने के लिए आवश्यक सभी जानकारी नियंत्रक को उपलब्ध कराता है, और नियंत्रक द्वारा या नियंत्रक द्वारा अधिदेशित किसी अन्य लेखापरीक्षक द्वारा की जाने वाली लेखापरीक्षाओं, जिनमें निरीक्षण भी शामिल हैं, की अनुमति देता है और उनमें योगदान देता है। धारा 13.2 से 13.5 में वर्णित है कि व्यवहार में उस अधिकार का प्रयोग किस प्रकार किया जाता है।
13.2 अनुरोध पर जानकारी। नियंत्रक के लिखित अनुरोध पर, और बिना किसी शुल्क के, प्रसंस्करणकर्ता 30 दिनों के भीतर निम्नलिखित प्रदान करता है: उस समय लागू अनुलग्नक II; वर्तमान उप-प्रसंस्करणकर्ता सूची; प्रसंस्करणकर्ता की मानक सुरक्षा प्रश्नावली की भरी हुई प्रति; उसके सबसे हाल के सुरक्षा परीक्षण के परिणामों का सारांश; और उस नियंत्रक की ओर से किए गए व्यक्तिगत डेटा के प्रसंस्करण से संबंधित उचित लिखित प्रश्नों के लिखित उत्तर। यह किसी भी 12 महीने की अवधि में एक बार उपलब्ध है, और इसके अतिरिक्त उस नियंत्रक की ओर से संसाधित व्यक्तिगत डेटा को प्रभावित करने वाले किसी व्यक्तिगत डेटा उल्लंघन के बाद, या जहाँ कोई पर्यवेक्षी प्राधिकरण इसकी अपेक्षा करे, उपलब्ध है।
13.3 लेखापरीक्षा साक्षात्कार। जहाँ नियंत्रक उचित रूप से यह प्रदर्शित करता है कि धारा 13.2 के अंतर्गत प्रदान की गई जानकारी अनुपालन प्रदर्शित करने के लिए अपर्याप्त है, या उस नियंत्रक की ओर से संसाधित व्यक्तिगत डेटा को प्रभावित करने वाले किसी व्यक्तिगत डेटा उल्लंघन के बाद, या जहाँ कोई पर्यवेक्षी प्राधिकरण इसकी अपेक्षा करे, वहाँ प्रसंस्करणकर्ता कम से कम 30 दिन की लिखित सूचना पर और परस्पर सहमत समय पर, वीडियो कॉन्फ़्रेंस द्वारा अधिकतम दो घंटे के दूरस्थ लेखापरीक्षा साक्षात्कार के लिए एक उपयुक्त रूप से योग्य प्रतिनिधि उपलब्ध कराता है। नियंत्रक या उसका अधिदेशित लेखापरीक्षक प्रश्न पूछ सकता है और स्क्रीन शेयर द्वारा विशिष्ट नियंत्रणों के प्रदर्शन का अनुरोध कर सकता है। यह किसी भी 12 महीने की अवधि में एक बार बिना शुल्क के उपलब्ध है।
13.4 निरीक्षण। जहाँ कोई पर्यवेक्षी प्राधिकरण या अनिवार्य कानून इसकी अपेक्षा करता है, या जहाँ धारा 13.2 और 13.3 से किसी विशिष्ट प्रलेखित अनुपालन चिंता का समाधान नहीं हुआ है, वहाँ नियंत्रक या उसके द्वारा अधिदेशित कोई स्वतंत्र लेखापरीक्षक, उस नियंत्रक की ओर से किए गए व्यक्तिगत डेटा के प्रसंस्करण से संबंधित प्रणालियों और अभिलेखों का निरीक्षण 60 दिन की लिखित सूचना पर, सामान्य कार्य समय के दौरान, किसी भी 12 महीने की अवधि में एक बार, नियंत्रक की लागत पर कर सकता है, जिसमें प्रसंस्करणकर्ता के उचित समय की लागत भी शामिल है, जो निरीक्षण से पहले नियंत्रक को सूचित की गई प्रति घंटा दर पर होगी। प्रसंस्करणकर्ता कोई डेटा केंद्र संचालित नहीं करता और उसका कोई व्यावसायिक परिसर आगंतुकों के लिए खुला नहीं है। उत्पादन प्रणालियाँ अनुलग्नक III में सूचीबद्ध उप-प्रसंस्करणकर्ताओं द्वारा संचालित सुविधाओं में होस्ट की जाती हैं; उन सुविधाओं का भौतिक निरीक्षण संबंधित उप-प्रसंस्करणकर्ता का विषय है, और प्रसंस्करणकर्ता उन उप-प्रसंस्करणकर्ताओं के पास मौजूद प्रमाणन उपलब्ध कराता है तथा जहाँ वे अनुमति दें, वहाँ उनसे किए जाने वाले अनुरोध का समर्थन करता है। तदनुसार, इस धारा के अंतर्गत निरीक्षण स्क्रीन शेयर और दस्तावेज़ समीक्षा द्वारा दूरस्थ रूप से, या दोनों पक्षकारों द्वारा सहमत किसी स्थान पर किया जाता है, और किसी निजी निवास पर नहीं होता। लेखापरीक्षक प्रसंस्करणकर्ता का प्रतिस्पर्धी नहीं होना चाहिए और उसे लिखित गोपनीयता वचनबद्धता से बाध्य होना चाहिए। किसी अन्य ग्राहक के व्यक्तिगत डेटा तक, साझा अवसंरचना तक ऐसे तरीके से जिससे किसी अन्य ग्राहक के डेटा की सुरक्षा से समझौता हो, या पर्यवेक्षित निरीक्षण के सिवाय स्रोत कोड तक कोई पहुँच नहीं दी जाती।
13.5 WinrickLabs LLC के पास SOC 2 रिपोर्ट या ISO/IEC 27001 प्रमाणन नहीं है और वह इनमें से किसी को भी प्राप्त करने का वचन नहीं देता। यदि वह अवधि के दौरान कोई स्वतंत्र तृतीय-पक्ष लेखापरीक्षा रिपोर्ट या प्रमाणन प्राप्त करता है, तो उस रिपोर्ट का प्रदान किया जाना, उसमें शामिल विषयों के संबंध में, धारा 13.2 और 13.3 की अपेक्षाओं को पूरा करता है।
13.6 इस धारा की कोई भी बात GDPR के अनुच्छेद 28(3)(h) या SCC के खंड 8.9 के अंतर्गत नियंत्रक के अधिकारों को सीमित नहीं करती या उनका अल्पीकरण नहीं करती। जहाँ कोई पर्यवेक्षी प्राधिकरण ऊपर निर्धारित शर्तों से भिन्न शर्तों पर लेखापरीक्षा या निरीक्षण की अपेक्षा करता है, वहाँ प्रसंस्करणकर्ता उस अपेक्षा का पालन करता है।
14. अंतर्राष्ट्रीय अंतरण
14.1 ग्राहक व्यक्तिगत डेटा कहाँ संग्रहीत किया जाता है
यूरोपीय संघ क्षेत्र। eu.fastcomments.com पर बनाए गए खाते यूरोपीय संघ क्षेत्र में प्रावधानित किए जाते हैं। उन खातों का ग्राहक व्यक्तिगत डेटा, सभी लाइव प्रतिकृतियों और सभी बैकअप प्रतियों सहित, यूरोपीय आर्थिक क्षेत्र के भीतर स्थित अवसंरचना पर संग्रहीत और संसाधित किया जाता है। वह डेटा यूरोपीय आर्थिक क्षेत्र के बाहर किसी भी क्षेत्र में प्रतिकृत नहीं किया जाता।
वैश्विक क्षेत्र। fastcomments.com पर बनाए गए खातों के लिए, उपलब्धता सुनिश्चित करने और अंतिम उपयोगकर्ताओं के निकट से डेटा उपलब्ध कराने के लिए, ग्राहक व्यक्तिगत डेटा को संयुक्त राज्य अमेरिका के क्षेत्रों सहित अनेक क्षेत्रों, होस्टिंग प्रदाताओं और देशों में प्रतिकृत किया जाता है। प्रत्येक क्षेत्र किसी भिन्न क्षेत्र में और किसी भिन्न होस्टिंग प्रदाता के साथ एक लाइव प्रतिकृति बनाए रखता है।
प्रत्येक पर लागू क्षेत्र, होस्टिंग प्रदाता और देश अनुलग्नक III में सूचीबद्ध हैं।
14.2 दूरस्थ प्रशासन
WinrickLabs LLC संयुक्त राज्य अमेरिका में स्थापित है। इसके कार्मिक संयुक्त राज्य अमेरिका से दूरस्थ पहुँच द्वारा यूरोपीय संघ क्षेत्र सहित सभी क्षेत्रों का प्रशासन, रखरखाव, निगरानी, सहायता और घटना प्रतिक्रिया करते हैं। पक्षकार स्वीकार करते हैं कि ऐसी दूरस्थ पहुँच GDPR के अध्याय V के अर्थ में किसी तृतीय देश को व्यक्तिगत डेटा का अंतरण है, जिसमें वह डेटा भी शामिल है जो केवल यूरोपीय आर्थिक क्षेत्र के भीतर संग्रहीत है। अतः धारा 14.3 द्वारा समाविष्ट SCC इस अनुबंध के अंतर्गत संसाधित सभी ग्राहक व्यक्तिगत डेटा पर लागू होते हैं।
14.3 मानक संविदात्मक खंड
SCC, मॉड्यूल दो (नियंत्रक से प्रसंस्करणकर्ता को अंतरण), संदर्भ द्वारा इस अनुबंध में समाविष्ट हैं और इसके अभिन्न अंग हैं। उनका पाठ https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj पर प्रकाशित है। नियंत्रक डेटा निर्यातक है और WinrickLabs LLC डेटा आयातक है। जहाँ धारा 3.3 लागू होती है, वहाँ मॉड्यूल तीन प्रतिस्थापित किया जाता है।
पक्षकार SCC के अंतर्गत निम्नलिखित चयन करते हैं:
| प्रावधान | चयन |
|---|---|
| खंड 7 (डॉकिंग खंड) | शामिल। जो इकाई पक्षकार नहीं है, वह अनुलग्नक I को पूरा करके और अनुलग्नक I.A पर हस्ताक्षर करके डेटा निर्यातक के रूप में सम्मिलित हो सकती है। |
| खंड 9(a) (उप-प्रसंस्करणकर्ता) | विकल्प 2, सामान्य लिखित प्राधिकार। सूचना अवधि 30 दिन है, जैसा कि धारा 8.2 में निर्धारित है। |
| खंड 11(a), वैकल्पिक पैराग्राफ़ (स्वतंत्र विवाद समाधान निकाय) | नहीं अपनाया गया। वैकल्पिक पैराग्राफ़ लागू नहीं होता। |
| खंड 13 और अनुलग्नक I.C (सक्षम पर्यवेक्षी प्राधिकरण) | अनुलग्नक I.C के अंतर्गत निर्धारित अनुसार। |
| खंड 17 (शासी कानून) | विकल्प 1। SCC आयरलैंड के कानून द्वारा शासित हैं। |
| खंड 18(b) (न्यायालय का चयन) | आयरलैंड के न्यायालय। खंड 18(c) संरक्षित है: कोई डेटा विषय अपने अभ्यस्त निवास वाले सदस्य राज्य में कार्यवाही आरंभ कर सकता है। |
SCC के खंड 8.9, 12, 14, 15 और 16 बिना संशोधन के लागू होते हैं। इस अनुबंध की धारा 13 और 15 यह वर्णन करती हैं कि व्यवहार में उन खंडों का प्रयोग किस प्रकार किया जाता है, और उन्हें सीमित नहीं करतीं।
14.4 यूनाइटेड किंगडम
UK GDPR के अधीन अंतरणों के लिए, UK अनुपूरक संदर्भ द्वारा समाविष्ट है और धारा 14.3 द्वारा समाविष्ट SCC पर लागू होता है। इसकी तालिकाएँ परिशिष्ट 1 में पूरी की गई हैं।
14.5 स्विट्ज़रलैंड
FADP के अधीन अंतरणों के लिए, SCC परिशिष्ट 2 द्वारा यथासंशोधित रूप में लागू होते हैं।
14.6 अंतरण प्रभाव
अंतरण की परिस्थितियों, संयुक्त राज्य अमेरिका के कानूनों और प्रथाओं तथा लागू सुरक्षा उपायों को ध्यान में रखते हुए, पक्षकारों के पास यह मानने का कोई कारण नहीं है कि WinrickLabs LLC पर लागू कानून और प्रथाएँ उसे SCC के अंतर्गत अपने दायित्वों को पूरा करने से रोकती हैं।
अंतरण की परिस्थितियाँ। ग्राहक व्यक्तिगत डेटा में मुख्य रूप से वह सामग्री शामिल है जिसे नियंत्रक अपनी स्वयं की वेबसाइटों और डिजिटल संपत्तियों पर सार्वजनिक रूप से प्रकाशित करता है, साथ ही प्रदर्शन नाम, वैकल्पिक ईमेल पते और, डिफ़ॉल्ट रूप से, स्वयं IP पतों के बजाय IP पतों के सॉल्टेड क्रिप्टोग्राफ़िक हैश। व्यक्तिगत डेटा की किसी विशेष श्रेणी का न तो अनुरोध किया जाता है और न ही उसकी आवश्यकता होती है। प्रत्येक डेटा विषय से संबंधित व्यक्तिगत डेटा की मात्रा अभिकल्पना के स्तर पर ही न्यूनतम रखी गई है।
संयुक्त राज्य अमेरिका का निगरानी कानून। WinrickLabs LLC एक निजी स्वामित्व वाली सीमित देयता कंपनी है। इसे कभी भी विदेशी आसूचना निगरानी अधिनियम (Foreign Intelligence Surveillance Act) की धारा 702 के अंतर्गत, कार्यकारी आदेश 12333 के अंतर्गत, राष्ट्रीय सुरक्षा पत्र (National Security Letter) के रूप में, या Clarifying Lawful Overseas Use of Data Act के अंतर्गत जारी कोई निर्देश, आदेश, अनुरोध या अन्य प्रक्रिया प्राप्त नहीं हुई है। इसका संयुक्त राज्य अमेरिका की किसी भी आसूचना एजेंसी के साथ किसी भी प्रकार का कोई संबंध नहीं है, और इसने कभी भी किसी सरकार को ग्राहक व्यक्तिगत डेटा तक प्रत्यक्ष या अप्रत्यक्ष पहुँच प्रदान नहीं की है। यह उन बड़े संचार और क्लाउड प्रदाताओं में शामिल नहीं है जिन्हें ऐतिहासिक रूप से धारा 702 के निर्देश दिए गए हैं, और यह ऐसी कोई सुविधा संचालित नहीं करता जिस पर इस प्रकार का संग्रहण लागू किया गया हो।
सुरक्षा उपाय। बैकअप लक्ष्यों सहित सभी सर्वरों पर संग्रहीत अवस्था में फ़ुल-डिस्क एन्क्रिप्शन; पारगमन में सभी डेटा के लिए TLS 1.2 या उच्चतर; यूरोपीय संघ क्षेत्र में डेटा का निवास, जिसमें उस डेटा का यूरोपीय आर्थिक क्षेत्र के बाहर कोई प्रतिकृतिकरण नहीं होता; जब तक नियंत्रक अन्यथा न चुने, IP पतों का सॉल्टेड हैश के रूप में भंडारण; सभी उत्पादन, प्रदाता, डोमेन रजिस्ट्रार और स्रोत नियंत्रण खातों पर बहु-कारक प्रमाणीकरण; न्यूनतम विशेषाधिकार के सिद्धांत पर उत्पादन प्रणालियों तक पहुँच का नामित व्यक्तियों तक सीमित होना; और धारा 15 में दी गई ये प्रतिबद्धताएँ कि अवैध अनुरोधों को चुनौती दी जाएगी, केवल न्यूनतम अपेक्षित जानकारी का प्रकटीकरण किया जाएगा और जहाँ भी विधिक रूप से अनुमत हो, नियंत्रक को सूचित किया जाएगा।
पुनर्मूल्यांकन। प्रसंस्करणकर्ता यह आकलन कम से कम वार्षिक रूप से, और लागू कानून या प्रथा में ऐसे किसी परिवर्तन की जानकारी मिलने पर जो इसे प्रभावित कर सकता हो, पुनः करता है। जहाँ वह अब SCC का पालन नहीं कर सकता, वहाँ वह खंड 14(f) और 16 के अनुसार नियंत्रक को सूचित करता है।
14.7 डेटा गोपनीयता फ़्रेमवर्क
WinrickLabs LLC, EU-US डेटा गोपनीयता फ़्रेमवर्क, उसके UK विस्तार, या स्विस-US डेटा गोपनीयता फ़्रेमवर्क के अंतर्गत प्रमाणित नहीं है, और अपने अंतरण तंत्र के रूप में किसी पर्याप्तता निर्णय पर निर्भर नहीं करता। यह SCC पर निर्भर करता है।
15. सरकारी और विधि प्रवर्तन अनुरोध
ग्राहक व्यक्तिगत डेटा के प्रकटीकरण के लिए किसी सार्वजनिक प्राधिकरण से विधिक रूप से बाध्यकारी अनुरोध प्राप्त होने पर, प्रसंस्करणकर्ता: जब तक विधिक रूप से ऐसा करने से निषिद्ध न हो, नियंत्रक को तुरंत सूचित करता है, और जहाँ निषिद्ध हो वहाँ उस निषेध से छूट प्राप्त करने के लिए उचित प्रयास करता है; जहाँ अनुरोध अवैध, अत्यधिक व्यापक, या यूरोपीय संघ या किसी सदस्य राज्य के कानून के विपरीत हो, वहाँ अनुरोध को चुनौती देता है; अनुरोध के सावधानीपूर्वक आकलन के आधार पर अपेक्षित न्यूनतम से अधिक का प्रकटीकरण नहीं करता; और अनुरोध का प्रलेखन करता है तथा अनुरोध पर वह प्रलेखन नियंत्रक और सक्षम पर्यवेक्षी प्राधिकरण को उपलब्ध कराता है।
5 अगस्त 2026 की स्थिति के अनुसार, WinrickLabs LLC को ऐसा कोई अनुरोध प्राप्त नहीं हुआ है।
16. प्रसंस्करण के अभिलेख
प्रसंस्करणकर्ता नियंत्रकों की ओर से किए गए प्रसंस्करण क्रियाकलापों की सभी श्रेणियों का एक अभिलेख रखता है जिसमें GDPR के अनुच्छेद 30(2) द्वारा अपेक्षित जानकारी होती है, और अनुरोध पर वह अभिलेख पर्यवेक्षी प्राधिकरण को उपलब्ध कराता है।
17. देयता
17.1 इस अनुबंध के अंतर्गत प्रत्येक पक्षकार की देयता, मूल अनुबंध में निर्धारित देयता के अपवर्जनों और सीमाओं के अधीन है, उस सीमा तक जहाँ तक वे अपवर्जन और सीमाएँ उस पक्षकार पर लागू होती हैं। वही अपवर्जन और सीमाएँ इस अनुबंध के अंतर्गत दावों और मूल अनुबंध के अंतर्गत दावों पर समान रूप से लागू होती हैं। यह अनुबंध देयता की कोई पृथक या अतिरिक्त सीमा सृजित नहीं करता।
17.2 धारा 17.1 निम्नलिखित को सीमित या अपवर्जित नहीं करती: कोई भी देयता जिसे लागू कानून के अंतर्गत सीमित या अपवर्जित नहीं किया जा सकता; SCC के खंड 12 या GDPR के अनुच्छेद 82 के अंतर्गत किसी डेटा विषय के प्रति किसी भी पक्षकार की देयता; या किसी पर्यवेक्षी प्राधिकरण के प्रति किसी भी पक्षकार के दायित्व।
17.3 सेवा की शर्तों के मध्यस्थता और सामूहिक कार्रवाई अधित्यजन संबंधी प्रावधान इस अनुबंध या SCC के अंतर्गत उत्पन्न होने वाले किसी भी दावे पर लागू नहीं होते।
18. अवधि, समाप्ति और उत्तरजीविता
यह अनुबंध प्रभावी तिथि को प्रभावी होता है और मूल अनुबंध की किसी भी समाप्ति के बावजूद तब तक जारी रहता है जब तक प्रसंस्करणकर्ता ग्राहक व्यक्तिगत डेटा का प्रसंस्करण करता है। धारा 6, 7, 10, 12, 13, 14, 15 और 17 समाप्ति के बाद भी प्रभावी रहती हैं।
19. शासी कानून और क्षेत्राधिकार
19.1 यह अनुबंध, और इससे या इसके संबंध में उत्पन्न होने वाला कोई भी विवाद या दावा, जिसमें गैर-संविदात्मक विवाद या दावा भी शामिल है, आयरलैंड गणराज्य के कानूनों द्वारा शासित है, और आयरलैंड के न्यायालयों को क्षेत्राधिकार प्राप्त है। इस अनुबंध के अंतर्गत उत्पन्न विवादों के संबंध में यह धारा सेवा की शर्तों के शासी कानून, स्थान, मध्यस्थता और सामूहिक कार्रवाई अधित्यजन संबंधी प्रावधानों पर अभिभावी है।
19.2 धारा 19.1, SCC के खंड 18(c) पर प्रतिकूल प्रभाव डाले बिना है, जिसके अंतर्गत कोई डेटा विषय अपने अभ्यस्त निवास वाले सदस्य राज्य में कार्यवाही आरंभ कर सकता है।
19.3 UK GDPR के अधीन अंतरणों के लिए, धारा 19.1 के स्थान पर UK अनुपूरक के शासी कानून और न्यायालय संबंधी प्रावधान लागू होते हैं।
20. इस अनुबंध में परिवर्तन
20.1 जहाँ डेटा संरक्षण कानूनों में कोई परिवर्तन, किसी पर्यवेक्षी प्राधिकरण या न्यायालय का कोई निर्णय, SCC या UK अनुपूरक में कोई परिवर्तन, या सेवा में कोई परिवर्तन इसकी अपेक्षा करता है, वहाँ प्रसंस्करणकर्ता इस अनुबंध को अद्यतन कर सकता है।
20.2 प्रसंस्करणकर्ता किसी महत्वपूर्ण परिवर्तन के प्रभावी होने से कम से कम 30 दिन पहले नियंत्रक के खाता व्यवस्थापक को ईमेल द्वारा सूचित करता है, और अद्यतन अनुबंध इस पृष्ठ पर प्रकाशित करता है। गैर-महत्वपूर्ण परिवर्तन प्रकाशन पर प्रभावी हो जाते हैं।
20.3 जहाँ नियंत्रक सूचना के 30 दिनों के भीतर उचित डेटा संरक्षण आधारों पर किसी महत्वपूर्ण परिवर्तन पर आपत्ति करता है, वहाँ पक्षकार सद्भावपूर्वक मामले पर चर्चा करते हैं। सहमति न होने पर, नियंत्रक बिना किसी शीघ्र समाप्ति शुल्क या अन्य प्रतिकूल परिणाम के, और अवधि के अप्रयुक्त भाग के लिए अग्रिम भुगतान किए गए शुल्कों की आनुपातिक वापसी के साथ, प्रभावित सेवा को समाप्त कर सकता है।
21. सामान्य
21.1 सूचनाएँ। इस अनुबंध के अंतर्गत प्रसंस्करणकर्ता को सूचनाएँ privacy@fastcomments.com पर भेजी जाती हैं। नियंत्रक को सूचनाएँ खाता व्यवस्थापक के ईमेल पते पर और व्यवस्थापन कंसोल में नामित किसी भी गोपनीयता संपर्क को भेजी जाती हैं। ईमेल द्वारा भेजी गई सूचना भेजे जाने के बाद अगले कार्य दिवस पर प्राप्त मानी जाती है।
21.2 इलेक्ट्रॉनिक रूप। पक्षकार सहमत हैं कि इलेक्ट्रॉनिक रूप में यह अनुबंध GDPR के अनुच्छेद 28(9) को और इस अपेक्षा को पूरा करता है कि संविदा लिखित रूप में हो।
21.3 पृथक्करणीयता। यदि इस अनुबंध का कोई प्रावधान अमान्य या अप्रवर्तनीय ठहराया जाता है, तो शेष भाग प्रभावी बना रहता है।
21.4 अधित्यजन नहीं। इस अनुबंध के अंतर्गत किसी अधिकार का प्रयोग न करना उस अधिकार का अधित्यजन नहीं है।
21.5 समनुदेशन। प्रसंस्करणकर्ता अपनी सभी या लगभग सभी परिसंपत्तियों के विलय, अधिग्रहण या विक्रय के संबंध में, नियंत्रक को सूचना देकर, इस अनुबंध को किसी उत्तराधिकारी को समनुदेशित कर सकता है।
21.6 संपूर्ण अनुबंध। ग्राहक व्यक्तिगत डेटा के प्रसंस्करण के संबंध में यह अनुबंध पक्षकारों के बीच संपूर्ण अनुबंध है।
22. भाषा
यह अनुबंध अंग्रेज़ी भाषा में तैयार और निष्पादित किया गया है। अनुवाद केवल सुविधा के लिए उपलब्ध कराए जाते हैं। अंग्रेज़ी संस्करण और किसी अनुवाद के बीच किसी भी असंगति, अस्पष्टता, विरोध या व्याख्या के अंतर की स्थिति में, व्याख्या, निष्पादन और किसी भी विवाद के समाधान सहित सभी प्रयोजनों के लिए अंग्रेज़ी संस्करण अभिभावी होगा और वही एकमात्र प्रामाणिक और बाध्यकारी संस्करण है। इकाइयों के नाम, पते, वैधानिक उद्धरण और SCC का पाठ अनूदित नहीं किए जाते। प्रत्येक पक्षकार पुष्टि करता है कि वह अपने व्यवसाय के क्रम में कार्य करता है और उसे स्वतंत्र अनुवाद तथा विधिक सलाह प्राप्त करने का अवसर मिला है। यह धारा डेटा विषयों को स्पष्ट और सरल भाषा में जानकारी प्रदान करने के लिए GDPR के अनुच्छेद 12 से 14 के अंतर्गत नियंत्रक के अपने दायित्वों को प्रभावित नहीं करती।
23. संपर्क बिंदु और नियामक स्थिति
23.1 धारा 8.4, 13.2 और 13.3 के अंतर्गत अनुरोधों सहित सभी डेटा संरक्षण मामलों के लिए संपर्क बिंदु है: privacy@fastcomments.com, WinrickLabs LLC, 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States।
23.2 WinrickLabs LLC ने कोई डेटा संरक्षण अधिकारी नियुक्त नहीं किया है, क्योंकि उसने यह आकलन किया है कि GDPR के अनुच्छेद 37(1) के मानदंड पूरे नहीं होते।
23.3 WinrickLabs LLC के पास SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS या CSA STAR प्रमाणन नहीं है, और वह ऐसा कोई प्रमाणन होने का दावा नहीं करता। इस अनुबंध में किसी उप-प्रसंस्करणकर्ता के संबंध में उल्लिखित कोई भी प्रमाणन उस उप-प्रसंस्करणकर्ता के पास उसकी अपनी सुविधाओं और सेवाओं के संबंध में है और वह WinrickLabs LLC का प्रमाणन नहीं है।
24. निष्पादन
प्रसंस्करणकर्ता
WinrickLabs LLC, जो FastComments के नाम से व्यवसाय करता है
50 Iron Point Circle, Suite 140, PMB 1019
Folsom, CA 95630, United States
मुख्य कार्यकारी अधिकारी
5 अगस्त 2026 को निष्पादित
नियंत्रक
नियंत्रक द्वारा भरा जाना है
नियंत्रक द्वारा भरा जाना है
सेवा की शर्तों की स्वीकृति पर, या इस अनुबंध पर प्रतिहस्ताक्षर द्वारा, नियंत्रक द्वारा स्वीकृत।
अनुलग्नक I
A. पक्षों की सूची
डेटा निर्यातक
| नाम | नियंत्रक द्वारा भरा जाना है |
|---|---|
| पता | नियंत्रक द्वारा भरा जाना है |
| संपर्क व्यक्ति | नियंत्रक द्वारा भरा जाना है |
| हस्तांतरित डेटा से संबंधित गतिविधियाँ | एक या अधिक वेबसाइटों, एप्लिकेशनों या सेवाओं का संचालन, जिन पर FastComments टिप्पणी, लाइव चैट और चर्चा सेवा तैनात है, और उसके माध्यम से प्रस्तुत उपयोगकर्ता-जनित सामग्री का प्रशासन। |
| हस्ताक्षर और तिथि | प्रभावी तिथि को सेवा की शर्तों की स्वीकृति द्वारा, या इस अनुबंध पर प्रतिहस्ताक्षर द्वारा संपन्न। |
| भूमिका | नियंत्रक। जहाँ धारा 3.3 लागू होती है, वहाँ प्रसंस्करणकर्ता। |
डेटा आयातक
| नाम | WinrickLabs LLC, जो FastComments के नाम से व्यवसाय करती है, संयुक्त राज्य अमेरिका के कैलिफ़ोर्निया राज्य के कानूनों के अधीन गठित एक सीमित दायित्व कंपनी। |
|---|---|
| पता | 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States. |
| संपर्क व्यक्ति | मुख्य कार्यकारी अधिकारी, privacy@fastcomments.com |
| हस्तांतरित डेटा से संबंधित गतिविधियाँ | एक बहु-टेनेंट ऑनलाइन टिप्पणी, लाइव चैट और चर्चा प्लेटफ़ॉर्म का प्रावधान, होस्टिंग, प्रशासन, रखरखाव, सहायता और सुरक्षा, जिसमें संयुक्त राज्य अमेरिका से यूरोपीय संघ क्षेत्र और गैर-यूरोपीय संघ क्षेत्र के इंफ्रास्ट्रक्चर का दूरस्थ प्रशासन शामिल है। |
| हस्ताक्षर और तिथि | 5 अगस्त 2026 को निष्पादित। |
| भूमिका | प्रसंस्करणकर्ता। |
B. हस्तांतरण का विवरण
डेटा विषयों की श्रेणियाँ
- नियंत्रक की वेबसाइटों और एप्लिकेशनों के अंतिम उपयोगकर्ता और आगंतुक, जो टिप्पणियाँ या चैट संदेश पोस्ट करते हैं, संपादित करते हैं, उन पर प्रतिक्रिया देते हैं, मत देते हैं, उनकी सदस्यता लेते हैं या जिनका उनमें नाम लिया गया है।
- वे अंतिम उपयोगकर्ता जो सेवा द्वारा प्रस्तुत सामग्री पढ़ते हैं और जिनके कनेक्शन मेटाडेटा का सुरक्षा और दुरुपयोग की रोकथाम के लिए प्रसंस्करण किया जाता है।
- नियंत्रक के अपने कर्मी, जो सेवा की मॉडरेशन, प्रशासन या API सुविधाओं का उपयोग करते हैं।
- सिंगल साइन-ऑन के माध्यम से नियंत्रक द्वारा प्रावधानित अंतिम उपयोगकर्ता।
व्यक्तिगत डेटा की श्रेणियाँ
- प्रदर्शित नाम या उपयोगकर्ता नाम।
- ईमेल पता, जहाँ डेटा विषय या नियंत्रक इसे प्रदान करता है। अनाम टिप्पणी समर्थित है।
- अवतार या प्रोफ़ाइल छवि, या उसका लिंक।
- टिप्पणियों, चैट संदेशों और उत्तरों की सामग्री, तथा डेटा विषय द्वारा अपलोड किया गया कोई भी मीडिया या फ़ाइलें।
- IP पते का सॉल्टेड क्रिप्टोग्राफ़िक हैश। जहाँ नियंत्रक धारा 7.3 में वर्णित डी-एनोनिमाइज़ेशन सेटिंग सक्षम करता है, वहाँ इसके स्थान पर IP पता अपने मूल रूप में संग्रहीत किया जाता है।
- मत, प्रतिक्रियाएँ, फ़्लैग, ब्लॉक और मॉडरेशन स्थिति।
- टाइमस्टैम्प, पृष्ठ और थ्रेड पहचानकर्ता, और यूज़र एजेंट स्ट्रिंग।
- सूचना और सदस्यता प्राथमिकताएँ।
- सिंगल साइन-ऑन पहचानकर्ता और कोई भी अतिरिक्त विशेषताएँ जिन्हें नियंत्रक प्रेषित करने का चयन करता है।
- नियंत्रक के प्रशासनिक उपयोगकर्ताओं के लिए: नाम, ईमेल पता, हैश किए गए रूप में प्रमाणीकरण क्रेडेंशियल, सत्र डेटा, और प्रशासनिक कार्रवाइयों से संबद्ध IP पते, जहाँ नियंत्रक ने ऑडिट लॉग सक्षम किया है।
संवेदनशील डेटा
सेवा व्यक्तिगत डेटा की विशेष श्रेणियों के लिए अभिकल्पित नहीं है, और धारा 5.4 के अधीन नियंत्रक जानबूझकर उन्हें प्रस्तुत नहीं करता है तथा अपने अंतिम उपयोगकर्ताओं को तदनुसार निर्देश देता है। जहाँ कोई अंतिम उपयोगकर्ता अपनी इच्छा से मुक्त-पाठ सामग्री में ऐसा डेटा शामिल करता है, वहाँ निम्नलिखित प्रतिबंध लागू होते हैं: संग्रहीत अवस्था में एन्क्रिप्शन; पहुँच अधिकृत व्यक्तियों की न्यूनतम संख्या तक सीमित; कोई द्वितीयक उपयोग नहीं; कोई प्रोफ़ाइलिंग नहीं; नियंत्रक द्वारा निर्देशित या कानून द्वारा अपेक्षित के अतिरिक्त कोई प्रकटीकरण नहीं; और किसी भी मॉडल के विकास या प्रशिक्षण के लिए कोई उपयोग नहीं।
हस्तांतरण की आवृत्ति
मूल अनुबंध की अवधि के दौरान, निरंतर और चालू आधार पर।
प्रसंस्करण की प्रकृति
संग्रह, अभिलेखन, संगठन, संरचना, भंडारण, पुनर्प्राप्ति, परामर्श, प्रेषण और नियंत्रक की संपत्तियों पर सार्वजनिक प्रदर्शन, मॉडरेशन और सामग्री फ़िल्टरिंग, जहाँ नियंत्रक इसे सक्षम करता है वहाँ स्वचालित स्पैम और छवि मॉडरेशन स्कोरिंग, सूचना वितरण, बैकअप और प्रतिकृति, प्रतिबंधन, मिटाना और विनाश।
हस्तांतरण और आगे के प्रसंस्करण का उद्देश्य
नियंत्रक को सेवा का प्रावधान, सूचनाओं का वितरण, मॉडरेशन और दुरुपयोग की रोकथाम, सुरक्षा, उपलब्धता और आपदा पुनर्प्राप्ति, तथा तकनीकी सहायता, प्रत्येक मामले में केवल नियंत्रक के प्रलेखित निर्देशों पर।
प्रतिधारण अवधि
मूल अनुबंध की अवधि के दौरान और उसके बाद धारा 12 में निर्धारित अनुसार। नियंत्रक या किसी डेटा विषय के निर्देश पर अलग-अलग अभिलेख पहले ही मिटा दिए जाते हैं।
उप-प्रसंस्करणकर्ताओं को हस्तांतरण
अनुलग्नक III में निर्धारित अनुसार, जो प्रत्येक उप-प्रसंस्करणकर्ता के लिए उसके प्रसंस्करण की विषय-वस्तु और प्रकृति तथा उसकी अवधि बताता है, जो मूल अनुबंध की अवधि है या, केवल किसी वैकल्पिक सुविधा द्वारा नियोजित उप-प्रसंस्करणकर्ता के लिए, वह अवधि है जिसके लिए नियंत्रक उस सुविधा को सक्षम करता है।
C. सक्षम पर्यवेक्षी प्राधिकरण
- जहाँ डेटा निर्यातक यूरोपीय संघ के किसी सदस्य राज्य में स्थापित है: उस सदस्य राज्य का पर्यवेक्षी प्राधिकरण।
- जहाँ डेटा निर्यातक यूरोपीय संघ के किसी सदस्य राज्य में स्थापित नहीं है, किंतु अनुच्छेद 3(2) के अधीन GDPR के क्षेत्रीय दायरे में आता है और उसने अनुच्छेद 27 के अधीन एक प्रतिनिधि नियुक्त किया है: उस सदस्य राज्य का पर्यवेक्षी प्राधिकरण जिसमें वह प्रतिनिधि स्थापित है।
- जहाँ डेटा निर्यातक यूरोपीय संघ के किसी सदस्य राज्य में स्थापित नहीं है और उसने अनुच्छेद 27 के अधीन कोई प्रतिनिधि नियुक्त नहीं किया है: आयरलैंड का Data Protection Commission।
- UK GDPR के अधीन हस्तांतरणों के लिए: Information Commissioner's Office।
- FADP के अधीन हस्तांतरणों के लिए: Federal Data Protection and Information Commissioner।
अनुलग्नक II - तकनीकी और संगठनात्मक उपाय
नीचे दिए गए उपाय WinrickLabs LLC द्वारा कार्यान्वित किए गए उपाय हैं। किसी डेटा सेंटर या किसी उप-प्रसंस्करणकर्ता के प्लेटफ़ॉर्म पर लागू होने के रूप में वर्णित उपाय उस उप-प्रसंस्करणकर्ता द्वारा उसकी अपनी सुविधाओं के संबंध में कार्यान्वित किए जाते हैं।
1. व्यक्तिगत डेटा का छद्मनामीकरण और एन्क्रिप्शन
- बैकअप प्रतियाँ रखने वाले सर्वरों सहित सभी सर्वरों पर संग्रहीत अवस्था में फ़ुल-डिस्क एन्क्रिप्शन लागू किया जाता है।
- पारगमन में सभी डेटा TLS संस्करण 1.2 या उच्चतर द्वारा संरक्षित है।
- IP पते सॉल्टेड क्रिप्टोग्राफ़िक हैश के रूप में संग्रहीत किए जाते हैं। मूल IP पता केवल वहीं संग्रहीत किया जाता है जहाँ नियंत्रक अपने खाते के लिए डी-एनोनिमाइज़ेशन सेटिंग सक्षम करता है। IP पते का सॉल्टेड हैश व्यक्तिगत डेटा ही रहता है और इस अनुबंध के अधीन उसे व्यक्तिगत डेटा के रूप में ही माना जाता है।
- प्रशासनिक खातों के प्रमाणीकरण क्रेडेंशियल सॉल्टेड हैश के रूप में संग्रहीत किए जाते हैं और कभी भी पुनर्प्राप्त करने योग्य रूप में नहीं रखे जाते।
2. प्रसंस्करण प्रणालियों की गोपनीयता, अखंडता, उपलब्धता और लचीलापन
- सेवा कई क्षेत्रों और कई होस्टिंग प्रदाताओं में तैनात है।
- प्रत्येक क्षेत्र किसी भिन्न क्षेत्र में और किसी भिन्न होस्टिंग प्रदाता के पास एक लाइव प्रतिकृति बनाए रखता है।
- टेनेंट डेटा को एप्लिकेशन और डेटा मॉडल की प्रत्येक परत पर टेनेंट पहचानकर्ता द्वारा तार्किक रूप से पृथक किया जाता है।
- उत्पादन होस्ट फ़ायरवॉल से सुरक्षित हैं और उत्पादन नेटवर्क अन्य सभी परिवेशों से पृथक हैं।
3. किसी घटना के बाद उपलब्धता और पहुँच की बहाली
- बैकअप प्रतियाँ दैनिक, मासिक और वार्षिक चक्रों पर ली जाती हैं। उन्हें एन्क्रिप्टेड वॉल्यूम पर लिखा जाता है, TLS पर प्रेषित किया जाता है, और लाइव डेटा रखने वाले होस्टिंग प्रदाता से भिन्न किसी होस्टिंग प्रदाता के पास तथा एक स्वतंत्र ऑब्जेक्ट स्टोरेज प्रदाता के पास, दोनों स्थानों पर संग्रहीत किया जाता है।
- यूरोपीय संघ क्षेत्र के डेटा की बैकअप प्रतियाँ केवल यूरोपीय आर्थिक क्षेत्र के भीतर संग्रहीत की जाती हैं।
- बहाली प्रक्रिया प्रलेखित है, और प्रत्येक वर्ष कम से कम एक बार बहाली की जाती है और उसका सत्यापन किया जाता है।
4. प्रभावशीलता का नियमित परीक्षण, आकलन और मूल्यांकन
- प्रत्येक वर्ष कम से कम एक बार स्वतंत्र तृतीय-पक्ष पेनेट्रेशन परीक्षण किया जाता है।
- उत्पादन कोडबेस पर स्वचालित डिपेंडेंसी और भेद्यता स्कैनिंग निरंतर चलती है।
- उत्पादन कोड में सभी परिवर्तन परिनियोजन से पहले सुरक्षा-केंद्रित समीक्षा के अधीन होते हैं।
5. उपयोगकर्ता पहचान और प्राधिकरण
- ग्राहक व्यक्तिगत डेटा वाली उत्पादन प्रणालियों तक पहुँच प्रलेखित परिचालन आवश्यकता वाले नामित व्यक्तियों तक सीमित है।
- सर्वत्र प्रत्येक व्यक्ति के अलग नामित खातों का उपयोग किया जाता है। साझा क्रेडेंशियल का उपयोग नहीं किया जाता है।
- सभी उत्पादन प्रणालियों पर, सभी होस्टिंग और सेवा प्रदाता खातों पर, डोमेन रजिस्ट्रार खाते पर और सोर्स कंट्रोल खाते पर बहु-कारक प्रमाणीकरण लागू है।
- पहुँच अधिकार न्यूनतम विशेषाधिकार के सिद्धांत पर प्रदान किए जाते हैं, कर्मियों में किसी भी परिवर्तन पर उनकी समीक्षा की जाती है, और किसी व्यक्ति की नियुक्ति समाप्त होने पर उन्हें बिना विलंब के रद्द कर दिया जाता है।
6. प्रेषण के दौरान डेटा की सुरक्षा
- टिप्पणी और चैट विजेट, सार्वजनिक API, प्रशासन कंसोल, वेबहुक वितरण और अंतर-क्षेत्रीय प्रतिकृति के लिए TLS संस्करण 1.2 या उच्चतर लागू है।
- HTTP Strict Transport Security सक्षम है। कोई सादा-पाठ (प्लेनटेक्स्ट) एंडपॉइंट प्रदान नहीं किया जाता है।
7. भंडारण के दौरान डेटा की सुरक्षा
- इस अनुलग्नक की धारा 1 में वर्णित अनुसार संग्रहीत अवस्था में एन्क्रिप्शन, जो लाइव प्रणालियों, प्रतिकृतियों और बैकअप मीडिया पर समान रूप से लागू है।
- डिस्क एन्क्रिप्शन कुंजियाँ WinrickLabs LLC के पास रहती हैं और किसी भी होस्टिंग प्रदाता के लिए सुलभ नहीं हैं।
8. भौतिक सुरक्षा
- WinrickLabs LLC अपना कोई डेटा सेंटर संचालित नहीं करती है। सभी उत्पादन प्रणालियाँ अनुलग्नक III में सूचीबद्ध होस्टिंग उप-प्रसंस्करणकर्ताओं द्वारा संचालित सुविधाओं में होस्ट की जाती हैं, जो उन सुविधाओं के लिए भौतिक पहुँच नियंत्रण, अतिरिक्त (रिडंडेंट) विद्युत आपूर्ति, शीतलन और नेटवर्क कनेक्टिविटी प्रदान करते हैं।
- व्यवस्थापक वर्कस्टेशन फ़ुल-डिस्क एन्क्रिप्शन, स्वचालित स्क्रीन लॉकिंग और बहु-कारक प्रमाणीकरण द्वारा संरक्षित हैं।
9. घटना लॉगिंग
- प्रशासनिक कार्रवाइयाँ और प्रमाणीकरण घटनाएँ लॉग की जाती हैं।
- लॉगिंग, त्रुटि रिपोर्टिंग और सहायता टिकटिंग WinrickLabs LLC द्वारा अपने स्वयं के इंफ्रास्ट्रक्चर पर संचालित की जाती हैं। कोई भी तृतीय-पक्ष लॉगिंग, त्रुटि ट्रैकिंग, एनालिटिक्स या सहायता डेस्क सेवा ग्राहक व्यक्तिगत डेटा प्राप्त नहीं करती है।
- प्रशासनिक कार्रवाइयों का ऑडिट लॉग प्रशासन कंसोल के भीतर नियंत्रक के लिए उपलब्ध है।
10. सिस्टम कॉन्फ़िगरेशन और शासन
- सुरक्षा पैच जोखिम-प्राथमिकता के आधार पर लागू किए जाते हैं, और महत्वपूर्ण पैच बिना विलंब के लागू किए जाते हैं।
- स्थापित सेवाओं को न्यूनतम आवश्यक तक सीमित रखा जाता है। किसी डिफ़ॉल्ट क्रेडेंशियल का उपयोग नहीं किया जाता है।
- गोपनीय कुंजियाँ और पासवर्ड (सीक्रेट्स) सोर्स कंट्रोल से बाहर रखे जाते हैं।
- WinrickLabs LLC एक लिखित घटना प्रतिक्रिया योजना बनाए रखती है, जिसमें पहचान, नियंत्रण, आकलन, अधिसूचना और घटना-पश्चात समीक्षा शामिल है।
- सुरक्षा और भेद्यता रिपोर्टों के लिए संपर्क बिंदु privacy@fastcomments.com पर प्रकाशित है।
11. प्रमाणन और आश्वासन
WinrickLabs LLC के पास SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS या CSA STAR प्रमाणन नहीं है, न ही वह ऐसा प्रमाणन होने का दावा करती है, और वह यह कोई अभ्यावेदन नहीं करती है कि वह ऐसा कोई प्रमाणन प्राप्त करेगी। इस अनुबंध में किसी उप-प्रसंस्करणकर्ता के संबंध में उल्लिखित कोई भी प्रमाणन उस उप-प्रसंस्करणकर्ता के पास उसकी अपनी सुविधाओं और सेवाओं के संबंध में है। भुगतान कार्ड डेटा WinrickLabs LLC द्वारा संग्रहीत या प्रसंस्कृत नहीं किया जाता है; कार्ड विवरण उसके भुगतान उप-प्रसंस्करणकर्ता द्वारा सीधे एकत्र और प्रसंस्कृत किए जाते हैं।
12. डेटा न्यूनीकरण, गुणवत्ता और प्रतिधारण
- सेवा को केवल एक प्रदर्शित नाम की आवश्यकता होती है। ईमेल पता वैकल्पिक है और अनाम टिप्पणी समर्थित है।
- IP पते डिफ़ॉल्ट रूप से छद्मनामीकृत किए जाते हैं, जैसा कि इस अनुलग्नक की धारा 1 में वर्णित है।
- डेटा विषय और नियंत्रक सेवा के माध्यम से प्रोफ़ाइल डेटा सुधार सकते हैं और सामग्री संपादित या हटा सकते हैं।
- प्रतिधारण नियंत्रक द्वारा कॉन्फ़िगर करने योग्य है। समाप्ति पर हटाना इस अनुबंध की धारा 12 द्वारा शासित है।
13. पोर्टेबिलिटी और मिटाना
- प्रशासन कंसोल नियंत्रक के खाते के लिए रखे गए टिप्पणी और उपयोगकर्ता डेटा का निर्यात प्रदान करता है।
- प्रशासन कंसोल और API अलग-अलग टिप्पणियों, अलग-अलग अंतिम उपयोगकर्ताओं और नियंत्रक के पूरे खाते को हटाने की सुविधा प्रदान करते हैं।
14. उप-प्रसंस्करणकर्ताओं को हस्तांतरण के लिए उपाय
- प्रत्येक उप-प्रसंस्करणकर्ता को एक लिखित संविदा के अधीन नियोजित किया जाता है, जो इस अनुबंध के दायित्वों के सारतः समतुल्य डेटा संरक्षण दायित्व अधिरोपित करती है, सिवाय वहाँ जहाँ अनुलग्नक III अन्यथा इंगित करता है।
- प्रत्येक उप-प्रसंस्करणकर्ता का नियोजन से पहले आकलन किया जाता है और उसकी भूमिका अनुलग्नक III में तथा उप-प्रसंस्करणकर्ता पृष्ठ पर दर्ज की जाती है।
- यूरोपीय संघ क्षेत्र के खातों के लिए उपयोग किए जाने वाले उप-प्रसंस्करणकर्ता उस डेटा का प्रसंस्करण यूरोपीय आर्थिक क्षेत्र के भीतर करते हैं।
अनुलग्नक III - उप-प्रसंस्करणकर्ताओं की सूची
नियंत्रक नीचे सूचीबद्ध उप-प्रसंस्करणकर्ताओं के नियोजन के लिए सामान्य लिखित प्राधिकार देता है। उप-प्रसंस्करणकर्ता पृष्ठ प्रामाणिक वर्तमान सूची है और संदर्भ द्वारा इस अनुबंध में सम्मिलित है। उप-प्रसंस्करणकर्ताओं को प्रत्येक क्षेत्र के लिए अलग-अलग सूचीबद्ध किया गया है। eu.fastcomments.com पर बनाए गए खाते यूरोपीय संघ क्षेत्र से संबंधित हैं, और fastcomments.com पर बनाए गए खाते वैश्विक क्षेत्र से संबंधित हैं। दोनों क्षेत्रों में नियोजित कोई उप-प्रसंस्करणकर्ता दोनों तालिकाओं में, उस क्षेत्र के लिए प्रसंस्करण के स्थान के साथ, दिखाई देता है।
यूरोपीय संघ क्षेत्र
| उप-प्रसंस्करणकर्ता | प्रसंस्करण गतिविधि | प्रसंस्करण का स्थान |
|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Germany |
एप्लिकेशन और डेटाबेस सर्वरों की होस्टिंग। Hetzner Finland Oy, Huurrekuja 10, 04360 Tuusula, Finland, को Hetzner Online GmbH द्वारा फ़िनलैंड स्थित साइट पर भवन किराये और तकनीकी सहायता के लिए नियोजित किया गया है। | Falkenstein, जर्मनी। Tuusula, फ़िनलैंड। |
| OVH SAS 2 rue Kellermann, 59100 Roubaix, France |
एप्लिकेशन और डेटाबेस सर्वरों की होस्टिंग। | Gravelines, फ़्रांस |
| OVH GmbH Oskar-Jäger-Str. 173/K6, 50825 Köln, Germany |
एप्लिकेशन और डेटाबेस सर्वरों की होस्टिंग। | Limburg an der Lahn, जर्मनी |
| Wasabi Technologies LLC 75 Arlington Street, Suite 810, Boston, MA 02116, United States |
एन्क्रिप्टेड आवधिक बैकअप प्रतियों का ऑब्जेक्ट स्टोरेज। | Frankfurt, जर्मनी |
| Akamai Technologies, Inc. 145 Broadway, Cambridge, MA 02142, United States |
नियंत्रक द्वारा नामित एंडपॉइंट्स पर आउटबाउंड वेबहुक घटनाओं का वितरण। | Frankfurt, जर्मनी |
| Deep Infra, Inc. 2625 Middlefield Road #460, Palo Alto, CA 94306, United States |
स्वचालित स्पैम वर्गीकरण, छवि सामग्री मॉडरेशन, तथा मॉडरेशन एजेंट और सहायक सुविधाएँ। केवल वहीं नियोजित जहाँ नियंत्रक इनमें से एक या अधिक सुविधाओं को सक्षम करता है। | संयुक्त राज्य अमेरिका |
| Mailgun Technologies, Inc. 112 E Pecan Street #1135, San Antonio, TX 78205, United States |
अंतिम उपयोगकर्ताओं और व्यवस्थापकों को सूचना और लेन-देन संबंधी ईमेल का वितरण। | यूरोपीय संघ |
| SIB INC. US, जो Brevo के नाम से व्यापार करती है 2140 South Dupont Highway, Camden, DE 19934, United States, जो Sendinblue SAS, 17 rue Salneuve, 75017 Paris, France की अध्यक्षता वाले समूह का भाग है |
अंतिम उपयोगकर्ताओं और व्यवस्थापकों को सूचना और लेन-देन संबंधी ईमेल का वितरण। | फ़्रांस और बेल्जियम |
वैश्विक क्षेत्र
| उप-प्रसंस्करणकर्ता | प्रसंस्करण गतिविधि | प्रसंस्करण का स्थान |
|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Germany |
एप्लिकेशन और डेटाबेस सर्वरों की होस्टिंग। Hetzner Finland Oy, Huurrekuja 10, 04360 Tuusula, Finland, को Hetzner Online GmbH द्वारा फ़िनलैंड स्थित साइट पर भवन किराये और तकनीकी सहायता के लिए नियोजित किया गया है। | Falkenstein, जर्मनी। Tuusula, फ़िनलैंड। |
| OVH US LLC 11950 Democracy Drive, Suite 300, Reston, VA 20190, United States |
एप्लिकेशन और डेटाबेस सर्वरों की होस्टिंग। | Hillsboro, Oregon और Vint Hill, Virginia, संयुक्त राज्य अमेरिका |
| BrainStorm Network, Inc., जो OneProvider के नाम से व्यापार करती है 3275 Av Francis-Hughes, Laval, QC H7L 5A5, Canada |
एप्लिकेशन और डेटाबेस सर्वरों की होस्टिंग। OneProvider इस स्थान पर तृतीय पक्षों द्वारा संचालित क्षमता का पुनर्विक्रय करता है। | São Paulo, ब्राज़ील |
| Wasabi Technologies LLC 75 Arlington Street, Suite 810, Boston, MA 02116, United States |
एन्क्रिप्टेड आवधिक बैकअप प्रतियों का ऑब्जेक्ट स्टोरेज। | Oregon, संयुक्त राज्य अमेरिका |
| Akamai Technologies, Inc. 145 Broadway, Cambridge, MA 02142, United States |
नियंत्रक द्वारा नामित एंडपॉइंट्स पर आउटबाउंड वेबहुक घटनाओं का वितरण। | संयुक्त राज्य अमेरिका |
| Deep Infra, Inc. 2625 Middlefield Road #460, Palo Alto, CA 94306, United States |
स्वचालित स्पैम वर्गीकरण, छवि सामग्री मॉडरेशन, तथा मॉडरेशन एजेंट और सहायक सुविधाएँ। केवल वहीं नियोजित जहाँ नियंत्रक इनमें से एक या अधिक सुविधाओं को सक्षम करता है। | संयुक्त राज्य अमेरिका |
| Mailgun Technologies, Inc. 112 E Pecan Street #1135, San Antonio, TX 78205, United States |
अंतिम उपयोगकर्ताओं और व्यवस्थापकों को सूचना और लेन-देन संबंधी ईमेल का वितरण। | संयुक्त राज्य अमेरिका |
| SIB INC. US, जो Brevo के नाम से व्यापार करती है 2140 South Dupont Highway, Camden, DE 19934, United States, जो Sendinblue SAS, 17 rue Salneuve, 75017 Paris, France की अध्यक्षता वाले समूह का भाग है |
अंतिम उपयोगकर्ताओं और व्यवस्थापकों को सूचना और लेन-देन संबंधी ईमेल का वितरण। | फ़्रांस और बेल्जियम |
उप-प्रसंस्करणकर्ताओं की संविदात्मक स्थिति। ऊपर सूचीबद्ध प्रत्येक उप-प्रसंस्करणकर्ता को उस प्रदाता की डेटा प्रसंस्करण शर्तों को सम्मिलित करने वाली एक लिखित संविदा के अधीन नियोजित किया गया है, निम्नलिखित दो अपवादों को छोड़कर, जिन्हें यहाँ इसलिए बताया गया है ताकि नियंत्रक उनका आकलन कर सके।
Deep Infra, Inc. कोई डेटा प्रसंस्करण अनुबंध या मानक संविदात्मक खंड प्रकाशित नहीं करती है, और 5 अगस्त 2026 की स्थिति में ऐसी कोई संविदा लागू नहीं है। WinrickLabs LLC ऐसी संविदा प्राप्त करने का प्रयास कर रही है। यह उप-प्रसंस्करणकर्ता केवल वहीं नियोजित किया जाता है जहाँ नियंत्रक स्वचालित स्पैम वर्गीकरण, छवि सामग्री मॉडरेशन, मॉडरेशन एजेंट या सहायक सुविधाओं को सक्षम करता है। ये सुविधाएँ डिफ़ॉल्ट रूप से बंद रहती हैं। जहाँ नियंत्रक उन्हें सक्षम नहीं करता है, वहाँ किसी भी समय इस उप-प्रसंस्करणकर्ता को कोई ग्राहक व्यक्तिगत डेटा प्रकट नहीं किया जाता है। जो नियंत्रक नहीं चाहता कि उसके डेटा का प्रसंस्करण इस उप-प्रसंस्करणकर्ता द्वारा किया जाए, वह किसी भी समय और बिना किसी शुल्क के उन सुविधाओं को अक्षम ही रहने दे सकता है, या उन्हें अक्षम कर सकता है। प्रदाता की प्रकाशित शर्तों में कहा गया है कि उसके इंटरफ़ेस पर प्रस्तुत डेटा न संग्रहीत किया जाता है, न बेचा जाता है और न ही मॉडलों के प्रशिक्षण के लिए उपयोग किया जाता है। सेवा द्वारा उपयोग किए जाने वाले मॉडल उस प्रदाता द्वारा उसके अपने इंफ्रास्ट्रक्चर पर होस्ट किए जाते हैं; कोई भी डेटा किसी अन्य मॉडल विक्रेता को आगे नहीं भेजा जाता है।
BrainStorm Network, Inc. कोई डेटा प्रसंस्करण अनुबंध प्रकाशित नहीं करती है, और 5 अगस्त 2026 की स्थिति में ऐसी कोई संविदा लागू नहीं है। WinrickLabs LLC ऐसी संविदा प्राप्त करने का प्रयास कर रही है। यह उप-प्रसंस्करणकर्ता केवल वैश्विक क्षेत्र में सर्वर होस्ट करता है। यूरोपीय संघ क्षेत्र के किसी खाते से संबंधित कोई भी ग्राहक व्यक्तिगत डेटा किसी भी समय इस उप-प्रसंस्करणकर्ता द्वारा प्रसंस्कृत नहीं किया जाता है।
वे विक्रेता जो ग्राहक व्यक्तिगत डेटा का प्रसंस्करण नहीं करते। Stripe, LLC, Corporation Trust Center, 1209 Orange Street, Wilmington, DE 19801, United States, नियंत्रक के अपने बिलिंग और भुगतान डेटा का प्रसंस्करण करती है। वह धारा 3.2 के अर्थ में खाता डेटा है, जिसके लिए WinrickLabs LLC एक स्वतंत्र नियंत्रक के रूप में कार्य करती है, और इसलिए Stripe इस अनुबंध के अधीन उप-प्रसंस्करणकर्ता नहीं है। भुगतान कार्ड विवरण सीधे Stripe द्वारा एकत्र और प्रसंस्कृत किए जाते हैं और WinrickLabs LLC द्वारा संग्रहीत नहीं किए जाते हैं।
तृतीय पक्ष के बिना संचालित सेवाएँ। सामग्री वितरण, एप्लिकेशन लॉगिंग, त्रुटि रिपोर्टिंग और सहायता टिकटिंग WinrickLabs LLC द्वारा ऊपर सूचीबद्ध इंफ्रास्ट्रक्चर पर संचालित की जाती हैं। कोई भी तृतीय-पक्ष कंटेंट डिलीवरी नेटवर्क, लॉगिंग सेवा, त्रुटि ट्रैकिंग सेवा, एनालिटिक्स सेवा या सहायता डेस्क ग्राहक व्यक्तिगत डेटा प्राप्त नहीं करती है।
परिशिष्ट 1 - UK International Data Transfer Addendum
UK GDPR के अधीन हस्तांतरणों के लिए, UK अनुपूरक (UK Addendum) संदर्भ द्वारा सम्मिलित किया जाता है और उसकी तालिकाएँ निम्नानुसार भरी जाती हैं। जहाँ UK अनुपूरक के अनिवार्य खंड धारा 14.3 द्वारा सम्मिलित SCC के विरोध में हों, वहाँ उन हस्तांतरणों के संबंध में UK अनुपूरक अभिभावी होगा।
| तालिका 1: पक्ष | आरंभ तिथि: प्रभावी तिथि। निर्यातक: नियंत्रक, जैसा कि अनुलग्नक I.A में निर्धारित है। आयातक: WinrickLabs LLC, जैसा कि अनुलग्नक I.A में निर्धारित है। प्रमुख संपर्क: जैसा कि अनुलग्नक I.A में निर्धारित है। |
|---|---|
| तालिका 2: चयनित SCC, मॉड्यूल और चयनित खंड | धारा 14.3 द्वारा सम्मिलित Approved EU SCCs, मॉड्यूल दो, उस धारा में बताए गए चयनों के साथ: खंड 7 सम्मिलित; खंड 9 विकल्प 2, 30 दिन की सूचना अवधि के साथ; खंड 11 का वैकल्पिक पैराग्राफ़ नहीं अपनाया गया; खंड 17 विकल्प 1, आयरलैंड; खंड 18(b) आयरलैंड। |
| तालिका 3: परिशिष्ट संबंधी जानकारी | Annex 1A पक्षों की सूची: इस अनुबंध का अनुलग्नक I.A। Annex 1B हस्तांतरण का विवरण: अनुलग्नक I.B। Annex II तकनीकी और संगठनात्मक उपाय: अनुलग्नक II। Annex III उप-प्रसंस्करणकर्ताओं की सूची: अनुलग्नक III। |
| तालिका 4: Approved Addendum में परिवर्तन होने पर इस अनुपूरक को समाप्त करना | कोई भी पक्ष नहीं। |
UK GDPR के अधीन हस्तांतरणों पर लागू होने वाले SCC में: GDPR के संदर्भों को UK GDPR के संदर्भों के रूप में पढ़ा जाएगा; विनियमन (EU) 2016/679 के संदर्भों को यूनाइटेड किंगडम के कानून में यथा प्रतिधारित उस विनियमन और डेटा संरक्षण अधिनियम 2018 (Data Protection Act 2018) के संदर्भों के रूप में पढ़ा जाएगा; पर्यवेक्षी प्राधिकरण के संदर्भों को Information Commissioner के संदर्भों के रूप में पढ़ा जाएगा; सदस्य राज्य के संदर्भों को यूनाइटेड किंगडम के संदर्भों के रूप में पढ़ा जाएगा; और यूरोपीय आर्थिक क्षेत्र के संदर्भों को यूनाइटेड किंगडम के संदर्भों के रूप में पढ़ा जाएगा।
परिशिष्ट 2 - स्विस संशोधन
जहाँ कोई हस्तांतरण FADP के अधीन है, वहाँ SCC निम्नलिखित संशोधनों के साथ लागू होते हैं।
- केवल FADP द्वारा शासित हस्तांतरणों के संबंध में, खंड 13 और अनुलग्नक I.C के अधीन सक्षम पर्यवेक्षी प्राधिकरण Federal Data Protection and Information Commissioner है। जहाँ कोई हस्तांतरण FADP और GDPR दोनों द्वारा शासित है, वहाँ स्विस पहलुओं के लिए Federal Data Protection and Information Commissioner सक्षम है और यूरोपीय संघ के पहलुओं के लिए अनुलग्नक I.C के अधीन पहचाना गया प्राधिकरण सक्षम है।
- जहाँ हस्तांतरण FADP द्वारा शासित है, वहाँ GDPR के संदर्भों को FADP के संदर्भों के रूप में पढ़ा जाएगा, और जहाँ लागू हो, वहाँ यूरोपीय संघ या सदस्य राज्य के कानून के संदर्भों को स्विस कानून के संदर्भों के रूप में पढ़ा जाएगा।
- "सदस्य राज्य" शब्द की व्याख्या इस प्रकार नहीं की जाएगी कि स्विट्ज़रलैंड में डेटा विषय खंड 18(c) के अनुसार अपने अभ्यस्त निवास स्थान पर कार्यवाही शुरू करने की संभावना से वंचित हो जाएँ।
- SCC लागू स्विस कानून द्वारा अपेक्षित सीमा तक विधिक संस्थाओं के व्यक्तिगत डेटा की भी सुरक्षा करते हैं।
- खंड 17 और खंड 18(b) धारा 14.3 में किए गए चयन के अनुसार लागू होते हैं, इस परिशिष्ट के पैराग्राफ़ 3 पर प्रतिकूल प्रभाव डाले बिना।