MSP डेटा प्रोसेसिंग एग्रीमेंट

यह डेटा प्रोसेसिंग एग्रीमेंट ("Agreement") Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland, कंपनी पहचान संख्या CHE-354.686.492 ("Processor" के रूप में संदर्भित) और Principal Agreement में पहचाने गए MSP ("Company" के रूप में संदर्भित, और जिसे उसके कानूनी स्वरूप की परवाह किए बिना, अपने Managed Customers को सेवाएं प्रदान करने, बिलिंग करने और उनकी सहायता करने के लिए सेवाओं का उपयोग करने वाले मैनेज्ड सर्विस प्रोवाइडर के रूप में समझा जाना चाहिए) के बीच Managed Services Provider Agreement ("Principal Agreement") का हिस्सा है।

यह एग्रीमेंट उस सीमा तक डेटा संरक्षण कानूनों की विशिष्ट आवश्यकताओं को नियंत्रित करता है, जिस सीमा तक कंपनी द्वारा सेवाओं का उपयोग, जिसमें Managed Customers को कंपनी द्वारा सेवाओं का प्रावधान शामिल है, डेटा संरक्षण कानूनों के अधीन व्यक्तिगत डेटा के प्रोसेसिंग को इंगित करता है।

इस अनुबंध की अवधि मुख्य अनुबंध की अवधि के अनुसार होगी। यहाँ परिभाषित नहीं किए गए शब्दों का वही अर्थ होगा जो Principal Agreement में दिया गया है।

जबकि

A) कंपनी डेटा नियंत्रक के रूप में कार्य करती है, या जहां कोई Managed Customer स्वयं अपने व्यक्तिगत डेटा के प्रोसेसिंग का निर्देश देता है, वहां उस Managed Customer की ओर से डेटा प्रोसेसर के रूप में कार्य करती है (दोनों ही मामलों में, "Controller")।

B) कंपनी कुछ ऐसी सेवाओं का उप-अनुबंध Proton AG को देना चाहती है, जिनमें व्यक्तिगत डेटा का प्रोसेसिंग शामिल है, जो डेटा प्रोसेसर ("Processor") के रूप में कार्य कर रही है।

C) पक्ष एक ऐसा डेटा प्रोसेसिंग एग्रीमेंट लागू करना चाहते हैं जो डेटा प्रोसेसिंग के संबंध में वर्तमान कानूनी ढांचे की आवश्यकताओं का अनुपालन करता हो, जिसमें Regulation (EU) 2016/679 ("GDPR") और Swiss Federal Act on Data Protection ("FADP") और अन्य लागू डेटा संरक्षण कानून शामिल हैं।

D) पक्ष अपने संबंधित अधिकारों और दायित्वों को निर्धारित करना चाहते हैं।

निम्नलिखित रूप से सहमति व्यक्त की जाती है:

1। परिभाषाएं, भूमिकाएं और दायरा

1.1 परिभाषाएं। जब तक कि यहाँ अन्यथा परिभाषित न किया गया हो, बड़े अक्षरों वाले शब्दों का वही अर्थ होगा जो Principal Agreement में दिया गया है या जहाँ वहाँ परिभाषित नहीं है, वहाँ निम्नलिखित अर्थ होगा:

• "Company Personal Data" का अर्थ है Principal Agreement के कनेक्शन में प्रोसेस किया गया कंपनी, कंपनी के Managed Customers, या उनके संबंधित ग्राहकों या कर्मचारियों से संबंधित कोई भी व्यक्तिगत डेटा।
• "Contracted Processor" का अर्थ है सब-प्रोसेसर।
• "Data Protection Laws" का अर्थ है GDPR, FADP, और लागू सीमा तक किसी अन्य देश के डेटा संरक्षण या निजता कानून।
• "Data Transfer" का अर्थ है (i) कंपनी से प्रोसेसर या कॉन्ट्रैक्टेड प्रोसेसर को Company Personal Data का ट्रांसफर, या (ii) प्रोसेसर से सब-प्रोसेसर को, या सब-प्रोसेसर के दो प्रतिष्ठानों के बीच Company Personal Data का आगे का ट्रांसफर।
• "Managed Customer" का वही अर्थ है जो Principal Agreement में दिया गया है: एक अंतिम-उपयोगकर्ता इकाई जिसे कंपनी अपनी स्वयं की प्रबंधित-सेवा पेशकश के हिस्से के रूप में सेवाएं प्रदान और वितरित करती है।
• “Subprocessor” का अर्थ है एग्रीमेंट के कनेक्शन में व्यक्तिगत डेटा को प्रोसेस करने के लिए प्रोसेसर द्वारा या उसकी ओर से नियुक्त कोई भी व्यक्ति।
• "Commission", "Controller", "Data Subject", "Member State", "Personal Data", "Personal Data Breach", "Processing", और "Supervisory Authority" शब्दों का वही अर्थ है जो GDPR या अन्य लागू Data Protection Law में है।

1.2 पक्षों की भूमिकाएं। Proton और कंपनी के बीच, Principal Agreement के तहत प्रोसेस किए गए सभी Company Personal Data के संबंध में, जिसमें Managed Customers और उनके संबंधित अंतिम उपयोगकर्ताओं का या उनसे संबंधित व्यक्तिगत डेटा शामिल है, कंपनी Controller है (या, जहां लागू हो, Managed Customer के निर्देशों पर कार्य करने वाला Processor) और Proton Processor है। यह एग्रीमेंट Proton और Managed Customer श्रृंखला में किसी भी पक्ष के बीच संपूर्ण और अनन्य डेटा प्रोसेसिंग व्यवस्था है। Proton का किसी भी Managed Customer के साथ कोई सीधा संविदात्मक, Controller-Processor, या Processor-Subprocessor संबंध नहीं है, और कोई भी Managed Customer इस एग्रीमेंट का पक्ष या तीसरे-पार्टी का लाभार्थी नहीं है। कंपनी अपने Managed Customers के साथ अपने समझौतों और उनके प्रति अपने दायित्वों के लिए पूरी तरह से जिम्मेदार है, जिसमें लागू कानून या अनुबंध के तहत कंपनी पर लागू होने वाली कोई भी डेटा-सुरक्षा शर्तें शामिल हैं।

1.3 कंपनी की डाउनस्ट्रीम जिम्मेदारी। कंपनी प्रत्येक Managed Customer के साथ एक लिखित समझौता करेगी जो कंपनी पर उस Managed Customer के व्यक्तिगत डेटा के संरक्षण के लिए ऐसे दायित्व लागू करेगा जो इस एग्रीमेंट के तहत Proton द्वारा कंपनी के प्रति दायित्वों से कम सुरक्षात्मक नहीं होंगे, उस सीमा तक जो कंपनी द्वारा उस Managed Customer को प्रदान की जाने वाली सेवाओं की प्रकृति पर लागू होती है। इस एग्रीमेंट के तहत Proton के दायित्व पूरी तरह से कंपनी के प्रति हैं; कंपनी और उसके Managed Customers के बीच, Proton के किसी भी कार्य या चूक सहित उनके व्यक्तिगत डेटा के प्रोसेसिंग के लिए कंपनी पूरी तरह से अपने Managed Customers के प्रति उत्तरदायी बनी रहेगी।

2। कंपनी व्यक्तिगत डेटा का प्रसंस्करण

प्रोसेसर:

• Company Personal Data के Processing में सभी लागू Data Protection Laws का अनुपालन करना; और
• नीचे दिए गए अनुसार, कंपनी के प्रलेखित निर्देशों के अलावा Company Personal Data को प्रोसेस न करना।

कंपनी Processor को निम्नलिखित के लिए Company Personal Data प्रोसेस करने का निर्देश देती है:

• कंपनी को और कंपनी के माध्यम से Managed Customers को सेवाएं और संबंधित तकनीकी सहायता प्रदान करना;
• कानूनी दायित्वों को पूरा करना या विवादों का समाधान करना;
• सेवाओं की सुरक्षा, निजता, गोपनीयता और कार्यक्षमता को अनुकूलित करने के उद्देश्य से किसी भी आंतरिक कार्य को पूरा करना; और
• आंतरिक रिपोर्टिंग, वित्तीय रिपोर्टिंग और अन्य समान आंतरिक कार्यों को पूरा करना।

3। प्रोसेसर कर्मी

Processor किसी भी Contracted Processor के ऐसे किसी भी कर्मचारी, एजेंट या ठेकेदार की विश्वसनीयता सुनिश्चित करने के लिए उचित कदम उठाएगा, जिसकी Company Personal Data तक पहुंच हो सकती है, और हर मामले में यह सुनिश्चित करेगा कि पहुंच केवल उन व्यक्तियों तक ही सीमित हो जिन्हें Principal Agreement के उद्देश्यों और/या Data Protection Laws का अनुपालन करने के लिए प्रासंगिक Company Personal Data को जानने या उस तक पहुंच की सख्त आवश्यकता है, और यह सुनिश्चित करेगा कि ऐसे सभी व्यक्ति गोपनीयता के वचनों या गोपनीयता के पेशेवर या वैधानिक दायित्वों के विषय हैं।

4। सुरक्षा

GDPR के अनुच्छेद 32(1) के अनुसार, Processor आधुनिक तकनीकों, कार्यान्वयन की लागत और Processing की प्रकृति, दायरे, संदर्भ और उद्देश्यों को ध्यान में रखते हुए जोखिम के लिए उपयुक्त सुरक्षा स्तर सुनिश्चित करने हेतु उचित तकनीकी और संगठनात्मक उपाय लागू करेगा। ये उपाय प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रताओं की रक्षा करने के लिए डिज़ाइन किए गए हैं, जिसमें विभिन्न संभावनाओं और गंभीरता के जोखिमों पर विचार किया गया है, जिसमें Personal Data Breach का जोखिम भी शामिल है। कंपनी Company Personal Data के अपने स्वयं के Processing के लिए उचित तकनीकी और संगठनात्मक उपायों को लागू करेगी, जिसमें MSP Admin Licenses के माध्यम से Managed Customer खातों का प्रशासन शामिल है, और यह सुनिश्चित करेगी कि ऐसे खातों तक पहुंच केवल उन कंपनी कर्मियों तक सीमित हो जिन्हें इसकी आवश्यकता है, उचित प्रमाणीकरण नियंत्रणों द्वारा संरक्षित हो, और आवश्यकता न रहने पर तुरंत वापस लिया जाए।

5। सब-प्रोसेसिंग

इस एग्रीमेंट के विषय, कंपनी Subprocessors को संलग्न करने और उन्हें Company Personal Data का खुलासा करने या ट्रांसफर करने के लिए Processor को सामान्य प्राधिकरण प्रदान करती है। कंपनी Processor की निजता नीति में उल्लिखित Subprocessors की सूची को स्वीकार और अनुमोदित करती है, यह समझते हुए कि इस सूची को Processor द्वारा समय-समय पर अपडेट किया जा सकता है, जिस स्थिति में कंपनी को निजता नीति सूचना प्रक्रिया के अनुसार सूचित किया जाएगा। कंपनी Processor को अपने कॉर्पोरेट ग्रुप के भीतर किसी भी कंपनी को व्यक्तिगत डेटा का खुलासा करने और ट्रांसफर करने के लिए आगे अधिकृत करती है। Processor यह सुनिश्चित करेगा कि Subprocessors उस Subprocessor द्वारा प्रदान की जाने वाली सेवाओं की प्रकृति के अनुसार लागू सीमा तक, Company Personal Data के संरक्षण के संबंध में Processor के साथ एक ऐसे समझौते के विषय हों जो इस एग्रीमेंट से कम प्रतिबंधात्मक और सुरक्षात्मक न हो। संदेह से बचने के लिए, कंपनी Proton की Subprocessor नहीं है और यह अनुभाग कंपनी द्वारा किसी भी Managed Customer या तीसरे पक्ष के साथ अपने स्वयं के जुड़ाव पर लागू नहीं होता है।

6। डेटा विषय अधिकार

Processing की प्रकृति को ध्यान में रखते हुए, Processor Data Protection Laws के तहत Data Subject के अधिकारों का प्रयोग करने के अनुरोधों का जवाब देने के कंपनी के दायित्वों को पूरा करने में कंपनी की उचित सहायता करेगा, जिसमें वे अनुरोध शामिल हैं जो कंपनी Managed Customer या उस Managed Customer के अपने अंतिम उपयोगकर्ताओं से या उनकी ओर से प्राप्त करती है।

प्रोसेसर:

• यदि उसे Company Personal Data के संबंध में किसी भी Data Protection Law के तहत किसी Data Subject से कोई अनुरोध प्राप्त होता है, तो तुरंत कंपनी को सूचित करना; और

• यह सुनिश्चित करना कि वह कंपनी के प्रलेखित निर्देशों के अलावा या लागू कानून द्वारा आवश्यक होने के अलावा उस अनुरोध का जवाब न दे, जिस स्थिति में Processor कानूनी रूप से अनुमत सीमा तक, जवाब देने से पहले कंपनी को उस कानूनी आवश्यकता के बारे में सूचित करेगा।

उस Managed Customer के व्यक्तिगत डेटा से संबंधित किसी भी Data Subject के अनुरोध का जवाब देने और उसके संबंध में किसी भी Managed Customer के साथ समन्वय करने के लिए कंपनी पूरी तरह से जिम्मेदार है; किसी भी Managed Customer की सीधे पहचान करने या उससे संवाद करने के लिए Processor का कोई दायित्व नहीं है।

7। व्यक्तिगत डेटा उल्लंघन

Processor लागू Data Protection Laws और अपनी आंतरिक Personal Data Breach प्रक्रियाओं के अनुपालन में किसी भी Personal Data Breach को संभालेगा। Company Personal Data को प्रभावित करने वाले Personal Data Breach के कार्यक्रम में, Processor बिना किसी देरी के कंपनी को सूचित करेगा, जिससे कंपनी Data Protection Laws के तहत अपने दायित्वों को पूरा करने में सक्षम हो सके, जिसमें जहां लागू हो, प्रभावित Managed Customers और Data Subjects को सूचित करना शामिल है। Processor ऐसे प्रत्येक Personal Data Breach की जांच, शमन और निवारण में सहायता के लिए कंपनी के साथ सहयोग करेगा और कंपनी द्वारा निर्देशित उचित व्यावसायिक कदम उठाएगा। प्रत्येक पक्ष जांच, निवारण, शमन और अन्य संबंधित लागतों को उस सीमा तक वहन करेगा जिस सीमा तक Personal Data Breach उस पक्ष के कारण हुआ है। प्रत्येक पक्ष एक सक्षम नियामक प्राधिकरण द्वारा लगाए गए किसी भी जुर्माने, दंड, हर्जाने, या अन्य संबंधित राशियों की लागत को उस सीमा तक वहन करेगा जो इस एग्रीमेंट के तहत उसके दायित्वों के लीक से उत्पन्न होती है। कंपनी अपने Managed Customers और उनके Data Subjects को लीक सूचनाओं और उन सूचनाओं के समय व सामग्री के लिए पूरी तरह से जिम्मेदार है।

8। डेटा सुरक्षा प्रभाव आकलन और पूर्व परामर्श

Processor डेटा संरक्षण प्रभाव आकलनों और पर्यवेक्षी प्राधिकरणों के साथ पूर्व परामर्शों में कंपनी को उचित सहायता प्रदान करेगा, जिसे कंपनी GDPR के अनुच्छेद 35 या 36 अथवा किसी अन्य Data Protection Law के समकक्ष प्रावधानों के तहत उचित रूप से आवश्यक मानती है, प्रत्येक मामले में पूरी तरह से Contracted Processors द्वारा Company Personal Data के Processing के संबंध में और Processing की प्रकृति तथा उनके पास उपलब्ध जानकारी को ध्यान में रखते हुए।

9। Company Personal Data को मिटाना या वापस करना

Company Personal Data के Processing से संबंधित किसी भी सेवा की समाप्ति पर, Processor लागू कानून द्वारा अनुमत सीमा तक और Processor के नियम और शर्तें व निजता नीति के अनुसार सभी Company Personal Data को मिटा देगा। यदि कंपनी को Company Personal Data की एक प्रति की आवश्यकता है, तो उसे मिटाने से पहले इसका अनुरोध करना होगा; मिटाने के बाद किए गए अनुरोधों पर विचार नहीं किया जा सकेगा। Principal Agreement की समाप्ति पर, कंपनी और उस Managed Customer के बीच किसी भी Managed Customer के व्यक्तिगत डेटा को मिटाने, वापस करने या ट्रांसफर करने को संभालने के लिए कंपनी पूरी तरह से जिम्मेदार रहेगी, जो Principal Agreement की धारा 5.4 (ट्रांजिशन सहायता) के अनुरूप है।

10। ऑडिट अधिकार

इस धारा 10 के विषय, Processor अनुरोध पर कंपनी को इस एग्रीमेंट के अनुपालन को प्रदर्शित करने के लिए आवश्यक सभी जानकारी उपलब्ध कराएगा, और Contracted Processors द्वारा Company Personal Data के Processing के संबंध में कंपनी या कंपनी द्वारा अनिवार्य किए गए ऑडिटर द्वारा निरीक्षण सहित ऑडिट की अनुमति देगा और उसमें योगदान देगा। कंपनी Personal Data Breach या किसी नियामक प्राधिकरण के निर्देश के अलावा, प्रति कैलेंडर वर्ष में एक बार से अधिक इस धारा के तहत अपने ऑडिट अधिकारों का प्रयोग नहीं करेगी। कंपनी ऑडिट करने के अपने इरादे की कम से कम साठ (60) दिन पहले Processor को लिखित सूचना देगी। ऑडिट Processor के व्यावसायिक घंटों के दौरान आयोजित किया जाएगा, Processor के संचालन को बाधित नहीं करेगा, और कंपनी, Processor और अन्य Data Subjects के व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करेगा। पक्ष ऑडिट पर लागू होने वाली तिथि, दायरे, अवधि, और सुरक्षा व गोपनीयता नियंत्रणों पर पहले से पारस्परिक रूप से सहमत होंगे; Processor ऑडिट से पहले गैर-प्रकटीकरण समझौते की मांग कर सकता है। इस धारा के तहत सूचना और ऑडिट अधिकार केवल उसी सीमा तक उत्पन्न होते हैं जिस सीमा तक यह एग्रीमेंट कंपनी को Data Protection Law की प्रासंगिक आवश्यकताओं को पूरा करने वाले सूचना और ऑडिट अधिकार अन्यथा नहीं देता है। जहां कोई Managed Customer उस Managed Customer के प्रति कंपनी के अपने उचित परिश्रम दायित्वों के हिस्से के रूप में Proton के Processing के बारे में जानकारी का अनुरोध करता है, वहां कंपनी Processor से आवश्यक जानकारी प्राप्त करने और उसे आगे भेजने के लिए इस धारा पर भरोसा कर सकती है, लेकिन स्वयं Managed Customer के पास Processor के खिलाफ कोई स्वतंत्र ऑडिट अधिकार नहीं है।

11। डेटा स्थानांतरण

जहां तक संभव हो, Processor केवल स्विट्जरलैंड, EU, और/या पर्याप्तता निर्णय के विषय देशों में ही Company Personal Data स्थानांतरित करेगा या स्थानांतरण को अधिकृत करेगा, जैसा कि GDPR के अनुच्छेद 45 और Swiss FADP के अनुच्छेद 16 में प्रदान किया गया है। यदि इस एग्रीमेंट के तहत प्रोसेस किया गया Company Personal Data स्विट्जरलैंड, EU, या पर्याप्तता निर्णय के विषय किसी देश से उस दायरे से बाहर के किसी देश में स्थानांतरित किया जाता है, तो पक्ष यह सुनिश्चित करेंगे कि व्यक्तिगत डेटा पर्याप्त रूप से सुरक्षित है, जब तक कि अन्यथा सहमति न हो, स्विट्जरलैंड-, EU-, और/या UK-अनुमोदित और तत्कालीन मानक संविदात्मक धाराओं, या Data Protection Laws द्वारा प्रदान किए गए अन्य स्थानांतरण तंत्रों पर निर्भर करते हुए। Processor Subprocessors को ऐसे स्थानांतरण करने के लिए अधिकृत होगा बशर्ते कि स्थानांतरण की प्रकृति को ध्यान में रखते हुए पर्याप्त सुरक्षा उपाय लागू किए जाएं।

12। सामान्य शर्तें

12.1 लागू कानूनों का अनुपालन। Processor इस एग्रीमेंट और इस एग्रीमेंट के तहत अपनी भूमिका पर लागू होने वाले Data Protection Laws के अनुसार Company Personal Data को प्रोसेस करेगा। Processor केवल कंपनी, या किसी भी Managed Customer पर उनके संबंधित व्यवसाय या उद्योग के आधार पर लागू होने वाले Data Protection Laws के अनुपालन के लिए जिम्मेदार नहीं है।

12.2 गोपनीयता। प्रत्येक पक्ष इस एग्रीमेंट के कनेक्शन में दूसरे पक्ष के बारे में प्राप्त किसी भी जानकारी को गोपनीय रखेगा, और दूसरे पक्ष की पूर्व लिखित सहमति के बिना इसका उपयोग या खुलासा नहीं करेगा, सिवाय उस सीमा तक जहां (a) कानून द्वारा खुलासा आवश्यक है, या (b) जानकारी पक्षों की किसी गलती के बिना पहले से ही सार्वजनिक डोमेन में है।

12.3 नोटिस। इस एग्रीमेंट के तहत नोटिस Principal Agreement के नोटिस प्रावधानों के अनुसार दिए जाएंगे। डेटा सुरक्षा मामलों के संबंध में Processor को भेजे जाने वाले नोटिस की एक प्रति अतिरिक्त रूप से legal@proton.ch पर भेजी जाएगी

12.4 दायित्व। इस एग्रीमेंट से या इसके कनेक्शन में उत्पन्न होने वाले प्रत्येक पक्ष का दायित्व Principal Agreement के दायित्व सीमा प्रावधानों के विषय है और उसके अनुसार सीमित है, जिसमें गोपनीयता और डेटा सुरक्षा दायित्वों के लीक के लिए निर्धारित कोई भी विशिष्ट सीमा शामिल है। इस एग्रीमेंट में कुछ भी किसी सक्षम पर्यवेक्षी प्राधिकरण द्वारा लागू Data Protection Laws के उस पक्ष के अपने लीक से उत्पन्न होने वाले सीधे उस पर लगाए गए जुर्माने या दंड के लिए किसी भी पक्ष के दायित्व को सीमित नहीं करता है। कंपनी स्वीकार करती है कि अपने Managed Customers के लिए एकमात्र Controller-फेसिंग पक्ष के रूप में, कंपनी किसी Managed Customer के प्रति होने वाले किसी भी ऐसे दायित्व के लिए पूरी जिम्मेदारी उठाती है जो Principal Agreement के दायित्व कैप के तहत कंपनी द्वारा Processor से रिकवर करने में सक्षम होने से अधिक है।

12.5 शासी कानून और क्षेत्राधिकार। यह एग्रीमेंट किसी भी अन्य क्षेत्राधिकार के कानून प्रावधानों के विकल्प या टकराव की परवाह किए बिना स्विस कानून द्वारा शासित होता है, और इस एग्रीमेंट से या इसके कनेक्शन में उत्पन्न होने वाले विवाद जिनेवा, स्विट्जरलैंड की अदालतों के अनन्य क्षेत्राधिकार के विषय हैं।

12.6 पूर्वता का क्रम। व्यक्तिगत डेटा के Processing के संबंध में इस एग्रीमेंट और Principal Agreement के बीच विसंगति के मामले में, Principal Agreement की धारा 10.1 के अनुरूप यह एग्रीमेंट प्रभावी होगा। इस एग्रीमेंट के अंग्रेजी संस्करण और किसी भी अनुवादित संस्करण के बीच विसंगति के मामले में, अंग्रेजी संस्करण प्रभावी होगा।