डेटा प्रोसेसिंग ऐडेंडम (DPA) — MultiLipi

परिभाषाएँ

यहां परिभाषित नहीं किए गए बड़े अक्षर वाले शब्दों का अर्थ Agreement में है। "डेटा संरक्षण कानून" का अर्थ है समझौते के तहत व्यक्तिगत डेटा के प्रसंस्करण पर लागू सभी कानून और नियम, जिसमें GDPR (EU) 2016/679 और यूके GDPR, और कोई भी स्थानीय लागू कानून शामिल हैं। "व्यक्तिगत डेटा", "नियंत्रक", "प्रोसेसर", "डेटा विषय", "प्रसंस्करण", और "पर्यवेक्षी प्राधिकरण" जीडीपीआर में अर्थ हैं।

"संवेदनशील डेटा" का अर्थ है अतिरिक्त सुरक्षा की आवश्यकता वाली या विशेष नियमों के अधीन जानकारी (उदाहरण के लिए: GDPR अनुच्छेद 9 के तहत विशेष-श्रेणी डेटा जैसे स्वास्थ्य/बायोमेट्रिक/आनुवंशिक डेटा; 16 वर्ष से कम उम्र के बच्चों का व्यक्तिगत डेटा; सरकार द्वारा जारी पहचानकर्ता; वित्तीय खाता या भुगतान डेटा; सटीक जियोलोकेशन; या क्रेडेंशियल/पासवर्ड/एपीआई कुंजी/रहस्य)। सेवाएँ संवेदनशील डेटा को संसाधित करने के लिए डिज़ाइन नहीं की गई हैं।

स्कोप और भूमिकाएं

ग्राहक एक नियंत्रकऔर MultiLipi एक प्रोसेसर अनुलग्नक I में वर्णित व्यक्तिगत डेटा के संबंध में। जहाँ ग्राहक किसी तीसरे पक्ष के नियंत्रक के लिए प्रोसेसर के रूप में कार्य करता है, मल्टीलिपि ग्राहक के रूप में कार्य करता है उप-प्रोसेसरग्राहक वारंट करता है कि उसके पास मल्टीलिपि को नियुक्त करने के लिए कंट्रोलर का authorization है। मल्टीलिपि Personal Data को केवल निम्नलिखित के लिए संसाधित करेगा: (क) सेवाएँ प्रदान करने के लिए; (ख) Agreement और इस DPA में ग्राहक द्वारा प्रलेखित के अनुसार; और (ग) law द्वारा आवश्यक के अनुसार।

ग्राहक निर्देश

ग्राहक सेवाओं को प्रदान करने और बेहतर बनाने के लिए (गोपनीयता-संरक्षण तरीकों से), जिसमें ग्राहक द्वारा सक्षम अनुवाद, भाषा द्वारा रूटिंग, शब्दावली/टीएम, मीडिया अनुवाद, एनालिटिक्स और एसईओ सुविधाएँ शामिल हैं, व्यक्तिगत डेटा को प्रोसेस करने के लिए मल्टीलिपि को निर्देश देता है।

ग्राहक Sensitive Data को प्रोसेस करने के लिए सेवाओं को सबमिट या कारण नहीं बनेगा। यदि ग्राहक फिर भी Sensitive Data सबमिट करता है, तो ग्राहक सभी आवश्यक सहमति और सुरक्षा प्राप्त करने के लिए पूरी तरह से जिम्मेदार है; MultiLipi के पास Sensitive Data की निगरानी का कोई दायित्व नहीं है।

कानूनी आवश्यकता के कारण मल्टीलिपि निर्देशों का पालन नहीं कर पाने पर ग्राहक को सूचित करेगा, जब तक कि निषिद्ध न हो। मल्टीलिपि व्यक्तिगत डेटा नहीं बेचेगा, न ही ग्राहक की स्पष्ट सहमति के बिना सामान्यीकृत एआई मॉडल बनाने या प्रशिक्षित करने के लिए इसका उपयोग करेगा।

गोपनीयता

MultiLipi यह सुनिश्चित करता है कि व्यक्तिगत डेटा को प्रोसेस करने के लिए अधिकृत व्यक्ति गोपनीयता दायित्वों से बंधे हों और उचित डेटा सुरक्षा प्रशिक्षण प्राप्त करें।

सुरक्षा उपाय

MultiLipi, प्रसंस्करण की प्रकृति, दायरे, संदर्भ और उद्देश्यों, तथा प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रताओं के जोखिमों को ध्यान में रखते हुए, अनुलग्नक II में वर्णित व्यक्तिगत डेटा की सुरक्षा के लिए उचित तकनीकी और संगठनात्मक उपायों ("TOMs") को लागू और बनाए रखता है।

उप-प्रोसेसर

ग्राहक मल्टीलिपी को सेवाएँ प्रदान करने के लिए उप-प्रोसेसरों को नियुक्त करने के लिए एक सामान्य प्राधिकरण प्रदान करता है। वर्तमान उप-प्रोसेसर /legal/subprocessors पर सूचीबद्ध हैं। मल्टीलिपी उप-प्रोसेसरों पर इस DPA के बराबर डेटा सुरक्षा दायित्व लागू करेगी और उनके प्रदर्शन के लिए जिम्मेदार बनी रहेगी।

यदि उप-प्रसंस्करणकर्ताओं से असंतुष्ट हैं, तो ग्राहक को मल्टीलिपी से संपर्क करना होगा और डेटा सुरक्षा से संबंधित उचित आधारों पर आपत्ति करने का अवसर प्रदान करना होगा। यदि सद्भावनापूर्वक अनसुलझा रहता है, तो ग्राहक प्रभावित सेवाओं को निलंबित या समाप्त कर सकता है (पूर्व-भुगतान शुल्क की आनुपातिक वापसी)।

सहायता, DPIAs और पूर्व परामर्श

प्रसंस्करण की प्रकृति और MultiLipi को उपलब्ध जानकारी को ध्यान में रखते हुए, हम ग्राहक को GDPR के अनुच्छेद 32-36 (सुरक्षा, उल्लंघन सूचनाएं, DPIAs और पूर्व परामर्श) के तहत दायित्वों को सुनिश्चित करने में सहायता करेंगे, जिसमें हमारे TOMs और उप-प्रोसेसरों के बारे में प्रासंगिक दस्तावेज प्रदान करना भी शामिल है।

व्यक्तिगत डेटा उल्लंघन सूचना

MultiLipi बिना किसी अनुचित देरी के ग्राहक को व्यक्तिगत डेटा उल्लंघन के बारे में सूचित करेगा जो ग्राहक डेटा को प्रभावित करता है। अधिसूचना में उस समय MultiLipi के लिए यथोचित रूप से उपलब्ध जानकारी शामिल होगी, जिसमें शामिल हैं: उल्लंघन की प्रकृति, डेटा विषयों और रिकॉर्ड की श्रेणियां और अनुमानित संख्या, संभावित परिणाम, और उल्लंघन को दूर करने के लिए उठाए गए या प्रस्तावित उपाय।

MultiLipi तुरंत प्रतिकूल प्रभावों को कम करने के लिए कदम उठाएगा और किसी भी उल्लंघन अधिसूचना दायित्वों को पूरा करने के लिए Customer's के उचित अनुरोधों के साथ सहयोग करेगा।

डेटा विषय अनुरोध

कानूनी रूप से अनुमत सीमा तक, यदि हमें Data Protection Laws के तहत अधिकारों का प्रयोग करने वाले डेटा विषय से Customer Data से संबंधित कोई अनुरोध प्राप्त होता है, तो MultiLipi तुरंत Customer को सूचित करेगा। MultiLipi ग्राहक के प्रलेखित निर्देशों पर कार्रवाई को छोड़कर प्रतिक्रिया नहीं देगा और ऐसे अनुरोधों का जवाब देने के लिए Customer को उचित सहायता प्रदान करेगा।

डेटा की वापसी और विलोपन

ग्राहक के प्रलेखित अनुरोध पर, MultiLipi व्यक्तिगत डेटा को हटा देगा या वापस कर देगा (और मौजूदा प्रतियों को हटा देगा) एक व्यावसायिक रूप से उचित अवधि के भीतर, जब तक कि कानून द्वारा प्रतिधारण आवश्यक न हो। बैकअप शेड्यूल चक्रों पर अधिलेखित हो जाते हैं; बैकअप से विलोपन सामान्य पाठ्यक्रम में होगा।

अंतर्राष्ट्रीय डेटा स्थानांतरण (SCCs/UK Addendum)

EEA Transfers. जहाँ Processing GDPR के अधीन व्यक्तिगत डेटा का किसी ऐसे तीसरे देश में हस्तांतरण शामिल है जिसके लिए कोई पर्याप्तता निर्णय नहीं है, पक्ष सहमत हैं कि यूरोपीय आयोग द्वारा निर्णय (EU) 2021/914 ("SCCs") में स्वीकृत मानक संविदात्मक खंड (Standard Contractual Clauses) संदर्भ द्वारा शामिल किए गए हैं और नीचे बताए अनुसार इस DPA का हिस्सा बनते हैं:
मॉड्यूल 2 (नियंत्रक से प्रोसेसर) और/या मॉड्यूल 3 (प्रोसेसर से उप-प्रोसेसर), जैसा लागू हो।
खंड 7 (डॉकिंग खंड): लागू होता है।
खंड 11 (प्रतिकार): लागू नहीं होता है।
खंड 17 (शासी कानून): आयरलैंड के कानून।
खंड 18 (फोरम और क्षेत्राधिकार): आयरलैंड की अदालतें।
परिशिष्ट I–III SCCs को इस DPA के परिशिष्ट I, परिशिष्ट II और परिशिष्ट III में दी गई जानकारी से पूरा किया जाता है। यूके स्थानांतरण। यूके जीडीपीआर के अधीन स्थानांतरण के लिए, पक्षकार ICO के अंतर्राष्ट्रीय डेटा स्थानांतरण एडेंडम (IDTA) एडेंडम B को ईयू SCCs में शामिल करने के लिए सहमत हैं, जिसे संदर्भ द्वारा शामिल किया गया है। यदि कोई टकराव होता है, तो यूके एडेंडम यूके स्थानांतरण पर प्रभावी होगा। स्विस स्थानांतरण। स्विस FADP के अधीन स्थानांतरण के लिए, SCCs में GDPR के संदर्भों को FADP के संदर्भों के रूप में पढ़ा जाएगा; यूरोपीय संघ के सदस्य देशों के संदर्भ स्विट्जरलैंड बन जाते हैं; और सक्षम प्राधिकारी FDPIC है।

दायित्व और क्षतिपूर्ति

इस डीपीए के तहत देयता Agreement में देयता की सीमाओं और बहिष्करणों के अधीन है, सिवाय उस हद के जहाँ लागू कानून द्वारा निषिद्ध हो। प्रत्येक पक्ष Data Protection Laws के तहत अपने स्वयं के कार्यों और चूक के लिए उत्तरदायी होगा।

विविध

इस DPA और समझौते के बीच किसी भी टकराव की स्थिति में, डेटा सुरक्षा के संबंध में टकराव की सीमा तक यह DPA नियंत्रण करेगा। यदि इस DPA का कोई प्रावधान अमान्य पाया जाता है, तो शेष प्रभावी रहेगा। MultiLipi कानून या हमारी सेवाओं में बदलाव को दर्शाने के लिए इस DPA को अपडेट कर सकता है।

अनुलग्नक I - प्रसंस्करण का विवरण

क: पक्ष

B: प्रसंस्करण का विवरण

अनुलग्नक II — तकनीकी और संगठनात्मक उपाय (TOMs)

सूचना सुरक्षा कार्यक्रम। पहुँच नियंत्रण, डेटा प्रबंधन, घटना प्रतिक्रिया, परिवर्तन प्रबंधन, विक्रेता जोखिम, और सुरक्षित विकास को कवर करने वाली लिखित नीतियाँ।
पहुँच नियंत्रण। भूमिका-आधारित पहुँच, न्यूनतम विशेषाधिकार, मजबूत प्रमाणीकरण, व्यवस्थापकों के लिए MFA, सत्र प्रबंधन, नियमित पहुँच समीक्षा, भूमिका परिवर्तन/समाप्ति पर तत्काल निरसन।
एन्क्रिप्शन। ट्रांजिट में डेटा के लिए टीएलएस; संग्रहीत रहस्यों और कुंजियों का एन्क्रिप्शन; कुंजी रोटेशन और कुंजी सामग्री तक सीमित पहुंच।
नेटवर्क और एप्लिकेशन सुरक्षा। खंडित नेटवर्क; फ़ायरवॉल/WAF; DDoS सुरक्षा (जहां लागू हो CDN/एज के माध्यम से); हार्डनिंग बेसलाइन; कोड समीक्षा और निर्भरता स्कैनिंग सहित सुरक्षित SDLC।
लॉगिंग और निगरानी। सुरक्षा-प्रासंगिक घटनाओं का केंद्रीकृत लॉगिंग; विसंगतियों पर अलर्टिंग; समय तुल्यकालन; छेड़छाड़-प्रतिरोधी लॉग भंडारण।
भेद्यता और पैच प्रबंधन। नियमित भेद्यता स्कैनिंग; समय पर सुधार; उपयुक्ततानुसार तृतीय-पक्ष परीक्षण।
व्यावसायिक निरंतरता और आपदा बहाली। महत्वपूर्ण घटकों के लिए अतिरेक अवसंरचना; परीक्षण किए गए बैकअप; प्रलेखित RTO/RPO लक्ष्य।
डेटा अलगाव। ग्राहक वातावरण और डेटा का तार्किक पृथक्करण।
कार्मिक सुरक्षा और प्रशिक्षण। कानून द्वारा अनुमत पृष्ठभूमि की जाँच; ऑनबोर्डिंग/वार्षिक सुरक्षा और गोपनीयता प्रशिक्षण; गोपनीयता उपक्रम।
घटना प्रतिक्रिया। परिभाषित भूमिकाओं, ट्राइएज, रोकथाम, उन्मूलन, पुनर्प्राप्ति, सीखे गए सबक और ग्राहक अधिसूचना वर्कफ़्लो के साथ प्रलेखित योजना।
विक्रेता और उप-प्रोसेसर प्रबंधन। जोखिम-आधारित मूल्यांकन, संविदात्मक सुरक्षा/गोपनीयता दायित्व, निरंतर निगरानी।
भौतिक सुरक्षा। उद्योग-मानक नियंत्रणों (बैजिंग, सीसीटीवी, विज़िटर लॉग) के साथ सत्यापित प्रदाताओं द्वारा संचालित डेटा सेंटर।
डेटा न्यूनीकरण। केवल वही एकत्र करें जो आवश्यक है; प्रतिधारण सीमाएं; जहां उपयुक्त हो वहां गुमनामी/छद्म नामकरण।
ग्राहक नियंत्रण। एक्सेस प्रबंधन के लिए एडमिन टूल; डैशबोर्ड में ऑडिट ट्रेल्स (जहां उपलब्ध हो); एपीआई कुंजी प्रबंधन; एमएफए समर्थन।

अनुलग्नक III — उप-प्रोसेसर

अनुमोदित उप-प्रोसेसरों की वर्तमान सूची https://multilipi.com/legal/subprocessors पर रखी जाती है। प्रत्येक उप-प्रोसेसर के लिए, MultiLipi प्रकट करेगा: नाम, उद्देश्य, प्रसंस्करण का स्थान, और स्थानांतरण तंत्र (जैसे, SCCs)।

हस्ताक्षर

ग्राहक	MultiLipi Technologies Private Limited
नाम: ___________________________ शीर्षक: ___________________________ दिनांक: ___________________________ हस्ताक्षर: ______________________	नाम: कुणाल सिंह शेखावत शीर्षक: सह-संस्थापक @MultiLipi दिनांक: 10/09/2025 हस्ताक्षर: