डेटा प्रोसेसिंग परिशिष्ट (DPA)

यह डेटा प्रोसेसिंग परिशिष्ट (“DPA”) BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “हम”) और उस ग्राहक के बीच है जिसने LumaKol की सेवा की शर्तें स्वीकार की हैं (“ग्राहक”, “आप”)।

यह DPA हर ग्राहक के लिए सेवा की शर्तों का हिस्सा है और तब लागू होता है जब भी LumaKol ग्राहक की ओर से व्यक्तिगत डेटा प्रोसेस करता है — भारत के डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023, GDPR, UK GDPR या किसी अन्य डेटा संरक्षण कानून के तहत। यह अपने आप लागू होता है; आपको इस पर हस्ताक्षर करने की ज़रूरत नहीं है।

अगर कोई ग्राहक अपने रिकॉर्ड के लिए प्रति-हस्ताक्षरित प्रति चाहता है, तो वह [email protected] पर इसका अनुरोध कर सकता है। जहाँ व्यक्तिगत डेटा की सुरक्षा के विषय में यह DPA और सेवा की शर्तें परस्पर विरोधी हों, वहाँ यह DPA मान्य होगा।

• “डेटा संरक्षण कानून” का अर्थ है प्रोसेसिंग पर लागू होने वाला हर डेटा संरक्षण कानून, जिसमें भारत का डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 और उसके तहत बने नियम (“DPDP अधिनियम”), EU General Data Protection Regulation 2016/679 (GDPR), UK GDPR और UK Data Protection Act 2018, और संशोधित California Consumer Privacy Act (“CCPA”) शामिल हैं।
• “ग्राहक व्यक्तिगत डेटा” का अर्थ है वह व्यक्तिगत डेटा जिसे LumaKol सेवा प्रदान करने के लिए ग्राहक की ओर से प्रोसेस करता है।
• “कंट्रोलर”, “प्रोसेसर”, “डेटा विषय”, “व्यक्तिगत डेटा उल्लंघन” और “प्रोसेसिंग” के वही अर्थ हैं जो डेटा संरक्षण कानून में दिए गए हैं। जहाँ DPDP अधिनियम लागू होता है, वहाँ “कंट्रोलर” का अर्थ डेटा फ़िड्यूशरी, “प्रोसेसर” का अर्थ डेटा प्रोसेसर और “डेटा विषय” का अर्थ डेटा प्रिंसिपल है।
• “सब-प्रोसेसर” का अर्थ है वह तृतीय पक्ष जिसे LumaKol ग्राहक व्यक्तिगत डेटा प्रोसेस करने के लिए नियुक्त करता है।
• “SCCs” का अर्थ है European Commission द्वारा Implementing Decision (EU) 2021/914 में स्वीकृत standard contractual clauses, और “UK Addendum” का अर्थ है UK Information Commissioner द्वारा जारी International Data Transfer Addendum।

बड़े अक्षरों से शुरू होने वाले अन्य शब्दों के वही अर्थ हैं जो सेवा की शर्तों में दिए गए हैं।

ग्राहक, ग्राहक व्यक्तिगत डेटा का कंट्रोलर है और LumaKol उसका प्रोसेसर है। जहाँ ग्राहक स्वयं किसी अन्य कंट्रोलर के लिए काम करने वाला प्रोसेसर है, वहाँ LumaKol उसका सब-प्रोसेसर है और संबंधित निर्देश आगे पहुँचाने की ज़िम्मेदारी ग्राहक की है।

ग्राहक का खाता चलाने के लिए ज़रूरी व्यक्तिगत डेटा, जैसे उपयोगकर्ता नाम, साइन-इन विवरण और बिलिंग रिकॉर्ड, के लिए LumaKol एक अलग कंट्रोलर है। वह डेटा गोपनीयता नीति के अंतर्गत आता है, इस DPA के नहीं।

जहाँ CCPA लागू होता है, वहाँ ग्राहक एक “business” है और LumaKol उसका “service provider”। LumaKol ग्राहक व्यक्तिगत डेटा को न बेचेगा न साझा करेगा, सेवा प्रदान करने के अलावा किसी अन्य उद्देश्य के लिए या ग्राहक के साथ अपने सीधे व्यावसायिक संबंध से बाहर उसे न रखेगा, न इस्तेमाल करेगा, न प्रकट करेगा, और CCPA की अनुमति के अलावा उसे अन्य स्रोतों के व्यक्तिगत डेटा के साथ नहीं मिलाएगा। अगर LumaKol इन दायित्वों को आगे पूरा नहीं कर सकता, तो वह ग्राहक को बताएगा।

प्रोसेसिंग के लिए वैध आधार (DPDP अधिनियम के तहत, सहमति या कोई वैध उपयोग) होना, ग्राहक व्यक्तिगत डेटा की सटीकता, जिन लोगों से वह संपर्क करता है उन्हें कानून द्वारा अपेक्षित कोई भी सूचना देना, और मार्केटिंग कॉल व कॉल रिकॉर्डिंग से जुड़े कानूनों का अपना अनुपालन — इन सबकी ज़िम्मेदारी ग्राहक की है।

• विषय-वस्तु: LumaKol का प्रावधान, एक कॉलिंग CRM जिसमें ग्राहक की टीम लीड मैनेज करती है, अपने मोबाइल फ़ोन से कॉल करती है और हर कॉल का परिणाम दर्ज करती है।
• अवधि: जब तक ग्राहक सेवा का उपयोग करता है, और उसके बाद “हटाना और वापसी” के तहत डेटा हटाए जाने तक।
• प्रकृति: संग्रह, भंडारण, व्यवस्थित करना, पुनः प्राप्ति, प्रदर्शन, ग्राहक के उपयोगकर्ताओं और डिवाइसों तक प्रेषण, और हटाना।
• उद्देश्य: ग्राहक के लिए सेवा प्रदान करना, सुरक्षित रखना और उसका समर्थन करना, और कोई अन्य उद्देश्य नहीं।

LumaKol ग्राहक व्यक्तिगत डेटा को केवल ग्राहक के दस्तावेज़ित निर्देशों पर प्रोसेस करता है। सेवा की शर्तें, यह DPA और ग्राहक द्वारा सेवा का उपयोग और कॉन्फ़िगरेशन ही वे निर्देश हैं। अगर LumaKol को लगता है कि कोई निर्देश डेटा संरक्षण कानून का उल्लंघन करता है, तो वह ग्राहक को बताएगा, जब तक कानून उसे ऐसा करने से न रोके।

अगर कानून LumaKol से ग्राहक व्यक्तिगत डेटा को किसी अन्य तरीके से प्रोसेस करने की अपेक्षा करता है, तो वह ऐसा करने से पहले ग्राहक को बताएगा, जब तक कानून इसे प्रतिबंधित न करे।

LumaKol सुनिश्चित करता है कि ग्राहक व्यक्तिगत डेटा प्रोसेस करने के लिए अधिकृत हर व्यक्ति गोपनीयता के दायित्व से बँधा हो। ग्राहक व्यक्तिगत डेटा तक स्टाफ़ की पहुँच उतनी ही सीमित है जितनी सेवा चलाने और उसका समर्थन करने के लिए ज़रूरी है, और यह लॉग की जाती है।

LumaKol जोखिम के अनुरूप तकनीकी और संगठनात्मक उपाय बनाए रखता है, जिनमें शामिल हैं:

• ट्रांज़िट में डेटा का एन्क्रिप्शन (TLS), स्टोरेज में डेटाबेस का एन्क्रिप्शन, और टोकन व कनेक्ट किए मेलबॉक्स के पासवर्ड जैसे सीक्रेट के लिए AES-256 एन्क्रिप्शन की दूसरी परत;
• हर ग्राहक के डेटा का वर्कस्पेस के अनुसार अलगाव, हर क्वेरी ग्राहक के वर्कस्पेस से फ़िल्टर;
• Argon2id से हैश किए गए पासवर्ड और केवल हैश के रूप में संग्रहीत सत्र टोकन;
• साइन-इन पर रेट लिमिटिंग और लॉकआउट;
• प्रोडक्ट में भूमिका-आधारित एक्सेस, फ़ोन नंबर मास्क करने, निर्यात सीमित करने और रिकॉर्डिंग कौन सुन सकता है यह प्रतिबंधित करने के विकल्पों के साथ;
• संवेदनशील कार्रवाइयों के केवल-जोड़ने वाले ऑडिट लॉग;
• LumaKol स्टाफ़ के लिए मल्टी-फ़ैक्टर ऑथेंटिकेशन, प्रोडक्शन डेटा तक लॉग की गई पहुँच के साथ;
• किसी विफलता के बाद रिकवरी के लिए बैकअप, जो लगभग चार हफ़्तों में हट जाते हैं।

LumaKol इन उपायों को अपडेट कर सकता है, बशर्ते सुरक्षा का कुल स्तर कम न हो।

ग्राहक LumaKol को नीचे दी गई तालिका में वर्णित सब-प्रोसेसर नियुक्त करने के लिए अधिकृत करता है। LumaKol हर सब-प्रोसेसर को लिखित अनुबंध द्वारा ऐसे डेटा संरक्षण दायित्वों से बाँधता है जो इस DPA से कम सुरक्षात्मक न हों, और हर सब-प्रोसेसर के प्रदर्शन के लिए ग्राहक के प्रति ज़िम्मेदार रहता है। वर्तमान सब-प्रोसेसर के नाम किसी भी ग्राहक को [email protected] पर अनुरोध करने पर दिए जाते हैं, और ये इस DPA का हिस्सा हैं।

कोई नया सब-प्रोसेसर ग्राहक व्यक्तिगत डेटा प्रोसेस करना शुरू करे, उससे कम से कम 30 दिन पहले LumaKol वर्कस्पेस मालिक को ईमेल द्वारा उसका नाम बताते हुए सूचित करेगा। ग्राहक उस अवधि में उचित डेटा संरक्षण आधारों पर आपत्ति कर सकता है। अगर पक्ष आपत्ति का समाधान नहीं कर पाते, तो ग्राहक सेवा के प्रभावित हिस्से का उपयोग बंद कर सकता है या सदस्यता समाप्त कर सकता है।

जब iPhone ऐप रिलीज़ होगा, तो iPhone प्लेटफ़ॉर्म की अपनी सेवा उसकी पुश सूचनाएँ पहुँचाएगी; ऐसा होने से पहले हम ऊपर बताई गई सूचना के साथ उसे इस सूची में जोड़ देंगे। Google Drive, Sheets और Calendar, Microsoft Outlook कैलेंडर और Facebook व Instagram लीड विज्ञापन अभी कनेक्ट नहीं किए जा सकते।

कॉल रिकॉर्डिंग LumaKol के सर्वरों पर संग्रहीत होती हैं। वॉइस नोट और फ़ील्ड-विज़िट फ़ोटो उस टीम सदस्य की Google Drive में सहेजे जाएँगे जो इसे कनेक्ट करता है, LumaKol के सर्वरों पर नहीं।

ग्राहक अपनी लीड को जो ईमेल भेजता है, वे ग्राहक के अपने मेलबॉक्स (सेटिंग्स → ईमेल) से जाते हैं, LumaKol के ईमेल प्रदाता से नहीं। ग्राहक द्वारा खुद कनेक्ट किए गए सिस्टम, जैसे उसकी अपनी वेबसाइट, लीड स्रोत, API क्लाइंट और वेबहुक एंडपॉइंट, ग्राहक के निर्देशों पर डेटा प्राप्त करते हैं और LumaKol के सब-प्रोसेसर नहीं हैं।

सेवा ग्राहक को अपनी लीड का डेटा देखने, सुधारने, निर्यात करने और हटाने और किसी लीड को आगे कॉल रोकने की सुविधा देती है, ताकि वह ज़्यादातर डेटा-विषय अनुरोधों का जवाब खुद दे सके। जहाँ वह ऐसा नहीं कर सकता, वहाँ LumaKol प्रोसेसिंग की प्रकृति को ध्यान में रखते हुए अनुरोध पर मदद करेगा।

अगर LumaKol को ग्राहक व्यक्तिगत डेटा के बारे में सीधे किसी डेटा विषय से अनुरोध मिलता है, तो वह उसे बिना अनुचित देरी के ग्राहक को भेज देगा और ग्राहक के निर्देशों के बिना उसका जवाब नहीं देगा।

LumaKol ग्राहक के डेटा संरक्षण प्रभाव आकलनों और पर्यवेक्षी प्राधिकरणों के साथ परामर्श में भी उचित मदद देगा, जिस हद तक वे LumaKol की प्रोसेसिंग से संबंधित हों।

ग्राहक व्यक्तिगत डेटा को प्रभावित करने वाले किसी व्यक्तिगत डेटा उल्लंघन की जानकारी होने के बाद LumaKol ग्राहक को बिना अनुचित देरी के, और किसी भी स्थिति में 48 घंटों के भीतर सूचित करेगा, ताकि ग्राहक नियामकों और प्रभावित लोगों को रिपोर्ट करने के अपने दायित्व पूरे कर सके — उदाहरण के लिए GDPR और DPDP अधिनियम के नियमों के तहत 72 घंटों के भीतर। सूचना में, उस समय तक जितना ज्ञात हो, उल्लंघन की प्रकृति, प्रभावित लोगों और रिकॉर्ड की श्रेणियाँ और अनुमानित संख्या, संभावित परिणाम और उठाए गए या प्रस्तावित उपाय बताए जाएँगे, और अधिक जानकारी के लिए एक संपर्क का नाम दिया जाएगा।

जैसे-जैसे और जानकारी मिलेगी, LumaKol ग्राहक को अपडेट करेगा और उल्लंघन को रोकने और उसके प्रभावों को सीमित करने के लिए उचित कदम उठाएगा। उल्लंघन की सूचना देना गलती की स्वीकारोक्ति नहीं है।

सदस्यता के दौरान ग्राहक अपनी लीड को CSV में निर्यात कर सकता है और सार्वजनिक API के ज़रिए अपना डेटा पढ़ सकता है। जब ग्राहक अपना वर्कस्पेस बंद करता है, या रद्द करने या भुगतान न होने से विराम के बाद उसका डेटा भुगतान की शर्तों में दी गई प्रतिधारण अवधि के अंत तक पहुँचता है, तो LumaKol सेवा से ग्राहक व्यक्तिगत डेटा हटा देता है।

बैकअप में मौजूद प्रतियाँ एक चक्रीय समय-सारणी पर समाप्त होती हैं और समाप्त होने पर हटा दी जाती हैं। LumaKol केवल वहीं डेटा रख सकता है जहाँ कानून इसकी अपेक्षा करता है, और तब केवल वही डेटा, इस DPA के तहत सुरक्षित, जितने समय तक कानून अपेक्षा करता है।

उचित अनुरोध पर, LumaKol वह जानकारी उपलब्ध कराएगा जो यह दिखाने के लिए ज़रूरी है कि वह इस DPA और GDPR के अनुच्छेद 28 के तहत अपने दायित्व पूरे करता है, जैसे सुरक्षा प्रश्नावलियों के लिखित उत्तर।

जहाँ वह जानकारी पर्याप्त न हो, वहाँ ग्राहक LumaKol के अनुपालन का ऑडिट कर सकता है, स्वयं या गोपनीयता से बँधे किसी स्वतंत्र ऑडिटर के ज़रिए, कम से कम 30 दिन की लिखित सूचना पर, कार्य समय के दौरान, साल में एक बार से अधिक नहीं (जब तक कोई पर्यवेक्षी प्राधिकरण इसकी अपेक्षा न करे या किसी व्यक्तिगत डेटा उल्लंघन के बाद), और ग्राहक के खर्च पर। पक्ष पहले से दायरा तय करेंगे ताकि ऑडिट से सेवा बाधित न हो या अन्य ग्राहकों का डेटा उजागर न हो।

LumaKol ग्राहक व्यक्तिगत डेटा को भारत में, सिंगापुर और जापान में जहाँ सेवा होस्ट की जाती है, और उन देशों में प्रोसेस करता है जहाँ उसके सब-प्रोसेसर काम करते हैं। जहाँ इसमें EEA से, या UK से, किसी ऐसे देश में व्यक्तिगत डेटा का ट्रांसफ़र शामिल हो जिसके लिए पर्याप्तता निर्णय या विनियम नहीं हैं, वहाँ पक्ष सहमत हैं कि:

• EEA डेटा के लिए, SCCs लागू होते हैं और संदर्भ द्वारा इस DPA में शामिल हैं: जहाँ ग्राहक कंट्रोलर है वहाँ Module Two (controller to processor), और जहाँ ग्राहक प्रोसेसर है वहाँ Module Three (processor to processor), वैकल्पिक docking clause, Clause 9 में option 2 (general authorisation), और Clauses 17 और 18 में आयरलैंड का शासी कानून और न्यायालय के साथ;
• UK डेटा के लिए, UK Addendum लागू होता है और संदर्भ द्वारा शामिल है, उसकी तालिकाएँ इस DPA की जानकारी से भरी हुई;
• SCCs अपने परिशिष्टों में जो जानकारी अपेक्षित करते हैं, वह ऊपर “पक्ष”, “विषय-वस्तु, अवधि, प्रकृति और उद्देश्य”, “डेटा विषय और व्यक्तिगत डेटा”, “सुरक्षा उपाय” और “सब-प्रोसेसर सूची” में दी गई जानकारी है।

जहाँ DPDP अधिनियम लागू होता है, वहाँ LumaKol ग्राहक व्यक्तिगत डेटा को ऐसे किसी देश या क्षेत्र में ट्रांसफ़र नहीं करेगा जिसे भारत सरकार ने प्रतिबंधित किया है।

अगर SCCs या UK Addendum इस DPA के विरोध में हों, तो वे मान्य होंगे। LumaKol अपने सब-प्रोसेसर से अपेक्षा करता है कि वे आगे के ट्रांसफ़र को उचित सुरक्षा उपायों से सुरक्षित रखें।

इस DPA के तहत हर पक्ष का दायित्व सेवा की शर्तों में दी गई सीमाओं के अधीन है, सिवाय वहाँ जहाँ डेटा संरक्षण कानून या SCCs दायित्व सीमित करने की अनुमति नहीं देते।

यह DPA तब तक चलता है जब तक LumaKol ग्राहक व्यक्तिगत डेटा प्रोसेस करता है। वे दायित्व जो अपनी प्रकृति से बने रहने चाहिए, जैसे गोपनीयता और हटाना, इसके समाप्त होने के बाद भी बने रहते हैं। LumaKol कानून या सेवा में बदलाव दर्शाने के लिए इस DPA को अपडेट कर सकता है; यह ग्राहक व्यक्तिगत डेटा को दी गई सुरक्षा कम नहीं करेगा, और ऊपर दी गई “अंतिम अपडेट” तारीख वर्तमान संस्करण दिखाती है।

इस DPA के बारे में प्रश्न, इसके तहत सूचनाएँ और प्रति-हस्ताक्षरित प्रति के अनुरोध [email protected] पर भेजें।

हस्ताक्षरित प्रति का अनुरोध करें: अपने संगठन के कानूनी नाम और पते के साथ [email protected] पर लिखें, और हम यह DPA प्रति-हस्ताक्षरित करके वापस भेज देंगे।