डेटा प्रोसेसिंग परिशिष्ट

• लागू डेटा सुरक्षा कानून का मतलब उन सभी कानूनों से है जो समझौते के तहत ग्राहक के निजी डेटा की प्रोसेसिंग पर लागू होते हैं। इनमें GDPR, UK GDPR, स्विस संघीय डेटा सुरक्षा अधिनियम और संयुक्त राज्य अमेरिका के राज्यों के निजता कानून, जैसे कैलिफ़ोर्निया उपभोक्ता निजता अधिनियम, शामिल हो सकते हैं।
• ग्राहक का निजी डेटा का मतलब ग्राहक की सामग्री में मौजूद उस निजी डेटा से है जिसे Zurelay सेवाएँ देने के लिए ग्राहक की ओर से प्रोसेस करता है।
• उप-प्रोसेसर का मतलब Zurelay की ओर से नियुक्त किसी तीसरे पक्ष से है जो ग्राहक के निजी डेटा को प्रोसेस करता है। इसमें इंफ़्रास्ट्रक्चर प्रदाता भी शामिल हैं।
• निजी डेटा का उल्लंघन का मतलब Zurelay के नियंत्रण वाले सिस्टम में सुरक्षा का ऐसा उल्लंघन है जिसके कारण ग्राहक का निजी डेटा दुर्घटनावश या गैरकानूनी तरीके से नष्ट हो जाए, खो जाए, बदल जाए, बिना अनुमति उजागर हो जाए या उस तक बिना अनुमति पहुँच मिल जाए।
• SCCs का मतलब यूरोपीय आयोग के निर्णय (EU) 2021/914 में मंज़ूर किए गए मानक संविदात्मक खंड हैं।
• नियंत्रक, प्रोसेसर, डेटा से संबंधित व्यक्ति, निजी डेटा, प्रोसेसिंग, व्यवसाय और सेवा प्रदाता के अर्थ वही हैं जो लागू डेटा सुरक्षा कानून में दिए गए हैं।

ग्राहक के निजी डेटा के लिए, ग्राहक नियंत्रक है (या अपने ग्राहकों की ओर से काम करने वाला प्रोसेसर) और Zurelay प्रोसेसर है (या उप-प्रोसेसर)। यह DPA उस निजी डेटा पर लागू नहीं होता जिसे Zurelay एक स्वतंत्र नियंत्रक के तौर पर प्रोसेस करता है, जैसे खाता, बिलिंग, सहायता, सुरक्षा और वेबसाइट से जुड़ा डेटा। वह डेटा हमारी निजता नीति के दायरे में आता है।

3.1 निर्देश। Zurelay ग्राहक के निजी डेटा को केवल समझौते, इस DPA और ग्राहक द्वारा सेवाओं के इस्तेमाल व कॉन्फ़िगरेशन के अनुसार सेवाएँ देने, उन्हें सुरक्षित रखने और उनके लिए सहायता देने के लिए, और कानून की ज़रूरत के अनुसार प्रोसेस करेगा। ये सभी मिलकर ग्राहक के पूरे दस्तावेज़ित निर्देश हैं। जहाँ कानून इन निर्देशों से आगे बढ़कर प्रोसेसिंग की माँग करता है, वहाँ Zurelay पहले ग्राहक को बताएगा, बशर्ते कानून इसकी मनाही न करता हो।

3.2 रूटिंग एक निर्देश है। ग्राहक Zurelay को निर्देश देता है कि वह ग्राहक की सामग्री Zurelay द्वारा चुने गए इंफ़्रास्ट्रक्चर प्रदाताओं को भेजे और आउटपुट जनरेट करने के लिए ज़रूरत के अनुसार अनुरोधों को दोबारा भेजे, उनका रूट बदले और किसी प्रदाता के विफल होने पर उन्हें दूसरे प्रदाता को भेजे।

3.3 कानून का उल्लंघन करने वाले निर्देश। अगर Zurelay की राय में कोई निर्देश लागू डेटा सुरक्षा कानून का उल्लंघन करता है, तो वह ग्राहक को बताएगा। Zurelay के लिए ग्राहक के निर्देशों की कानूनी समीक्षा करना ज़रूरी नहीं है।

समझौते के तहत ग्राहक के निजी डेटा की प्रोसेसिंग के लिए कानूनी आधार सुनिश्चित करने, सभी ज़रूरी सूचनाएँ देने और सभी ज़रूरी सहमतियाँ लेने की ज़िम्मेदारी ग्राहक की है। ग्राहक प्रतिबंधित डेटा नहीं भेजेगा, जिसमें निजी डेटा की विशेष श्रेणियाँ और बच्चों का निजी डेटा शामिल हैं, जब तक कि पक्षों ने इसकी अनुमति देने वाले अलग लिखित समझौते पर हस्ताक्षर न किए हों। इनपुट में निजी डेटा को सेवाओं के इस्तेमाल के लिए ज़रूरी मात्रा तक सीमित रखने की ज़िम्मेदारी ग्राहक की है। यह तय करना भी ग्राहक की ज़िम्मेदारी है कि सेवाएँ उसके डेटा के लिए उपयुक्त हैं या नहीं। इसमें उन इंफ़्रास्ट्रक्चर प्रदाताओं द्वारा अपनी शर्तों के तहत की जाने वाली प्रोसेसिंग भी शामिल है, जिनकी पहचान Zurelay उजागर नहीं करता, जैसा कि खंड 7 में बताया गया है।

Zurelay यह सुनिश्चित करेगा कि ग्राहक के व्यक्तिगत डेटा को प्रोसेस करने के लिए उसके द्वारा अधिकृत लोग गोपनीयता के उचित दायित्वों से बंधे हों और सेवाएँ प्रदान करने के लिए आवश्यक होने पर ही उस डेटा को ऐक्सेस करें।

Zurelay परिशिष्ट II में बताए गए तकनीकी और संगठनात्मक उपायों को लागू करेगा और बनाए रखेगा। ये उपाय Zurelay के नियंत्रण वाले सिस्टम में ग्राहक के व्यक्तिगत डेटा की सुरक्षा के लिए तैयार किए गए हैं। Zurelay इन उपायों को अपडेट कर सकता है, बशर्ते सुरक्षा का समग्र स्तर महत्वपूर्ण रूप से कम न हो।

7.1 सामान्य अनुमति। ग्राहक Zurelay को इन श्रेणियों के उप-प्रोसेसर नियुक्त करने की सामान्य अनुमति देता है: (a) होस्टिंग, डेटाबेस, स्टोरेज और नेटवर्किंग प्रदाता; (b) भुगतान, ईमेल और सहायता प्रदाता, जहाँ तक वे ग्राहक के व्यक्तिगत डेटा को प्रोसेस करते हैं; और (c) मॉडल उपलब्ध कराने वाले इन्फ़्रास्ट्रक्चर प्रदाता, जिनमें मॉडल डेवलपर, क्लाउड प्लेटफ़ॉर्म, स्वतंत्र रीसेलर और मॉडल क्षमता के अन्य प्रदाता शामिल हो सकते हैं।

7.2 इन्फ़्रास्ट्रक्चर प्रदाताओं की पहचान। Zurelay के इन्फ़्रास्ट्रक्चर प्रदाताओं की पहचान गोपनीय व्यावसायिक जानकारी है और Zurelay इसे साझा नहीं करता। धारा 7.1 में दी गई ग्राहक की अनुमति में इन्फ़्रास्ट्रक्चर प्रदाता उनकी पहचान बताए बिना, श्रेणी के आधार पर शामिल हैं। लिखित अनुरोध पर, Zurelay ग्राहक को अपने अन्य मौजूदा उप-प्रोसेसर की सूची देगा, जो समझौते के तहत ग्राहक के गोपनीयता संबंधी दायित्वों के अधीन होगी। यदि ग्राहक के कानूनी दायित्वों के अनुसार किसी उप-प्रोसेसर को व्यक्तिगत डेटा भेजने से पहले उसकी पहचान जानना आवश्यक है, तो ग्राहक को ऐसा व्यक्तिगत डेटा ग्राहक की सामग्री में शामिल नहीं करना चाहिए।

7.3 बदलाव। सेवाएँ उपलब्ध बनाए रखने के लिए, Zurelay किसी भी समय इन्फ़्रास्ट्रक्चर प्रदाताओं को जोड़, हटा या बदल सकता है। Zurelay इस DPA को अपडेट करके ग्राहक को उप-प्रोसेसर की किसी भी नई श्रेणी के बारे में सूचित करेगा। यदि ग्राहक डेटा सुरक्षा के उचित आधार पर आपत्ति करता है, तो पक्ष सद्भावना से उस आपत्ति पर चर्चा करेंगे; यदि उसका समाधान नहीं हो पाता, तो ग्राहक के पास एकमात्र उपाय प्रभावित सेवाओं का उपयोग बंद करना और समझौता समाप्त करना होगा।

7.4 उप-प्रोसेसर की शर्तें। जहाँ Zurelay किसी उप-प्रोसेसर की शर्तों पर बातचीत कर सकता है, वहाँ वह डेटा सुरक्षा के ऐसे दायित्वों की शर्त रखेगा जो मूल रूप से इस DPA के दायित्वों से कम सुरक्षा न देते हों, उस सीमा तक जहाँ वे उप-प्रोसेसर की सेवाओं के लिए प्रासंगिक हों। कुछ इन्फ़्रास्ट्रक्चर प्रदाता अपनी सेवाएँ केवल अपनी मानक शर्तों पर उपलब्ध कराते हैं। ग्राहक स्वीकार करता है कि ऐसे प्रदाताओं द्वारा ग्राहक की सामग्री की प्रोसेसिंग उनकी मानक शर्तों के अनुसार होती है और Zurelay उनसे अतिरिक्त प्रतिबद्धताएँ प्राप्त करने में असमर्थ हो सकता है।

7.5 ज़िम्मेदारी। समझौते में दी गई दायित्व की सीमाओं के अधीन, Zurelay लागू डेटा सुरक्षा कानून द्वारा अपेक्षित सीमा तक अपने उप-प्रोसेसर के लिए ज़िम्मेदार रहेगा।

प्रोसेसिंग की प्रकृति को ध्यान में रखते हुए, Zurelay डेटा से संबंधित व्यक्तियों के अपने अधिकारों का प्रयोग करने के अनुरोधों का जवाब देने में ग्राहक को उचित सहायता देगा। यदि Zurelay को ग्राहक के व्यक्तिगत डेटा के बारे में ऐसा अनुरोध मिलता है और वह ग्राहक की पहचान कर सकता है, तो वह अनुरोधकर्ता को ग्राहक से संपर्क करने के लिए कहेगा। वह स्वयं जवाब नहीं देगा, सिवाय यह पुष्टि करने के कि अनुरोधकर्ता को ग्राहक से संपर्क करने के लिए कहा गया है या जहाँ कानून ऐसा करना आवश्यक बनाता है। सेवाओं में उपलब्ध सहायता से अतिरिक्त सहायता के लिए ग्राहक Zurelay की उचित लागतों का भुगतान करेगा।

व्यक्तिगत डेटा के उल्लंघन की जानकारी मिलने के बाद Zurelay बिना अनुचित देरी के ग्राहक को सूचित करेगा और अपने पास यथोचित रूप से उपलब्ध वह जानकारी देगा जिसकी ग्राहक को अपने सूचना देने के दायित्व पूरे करने के लिए आवश्यकता है। Zurelay उल्लंघन को सीमित करने और उसकी जाँच करने के लिए उचित कदम उठाएगा। सूचना देना दोष या दायित्व स्वीकार करना नहीं है। जहाँ आवश्यक हो, नियामकों और डेटा से संबंधित व्यक्तियों को सूचित करना ग्राहक की ज़िम्मेदारी है। यदि कोई इन्फ़्रास्ट्रक्चर प्रदाता Zurelay को ग्राहक के व्यक्तिगत डेटा को प्रभावित करने वाली सुरक्षा घटना के बारे में सूचित करता है, तो Zurelay प्राप्त हुई प्रासंगिक जानकारी ग्राहक को देगा।

10.1 सहायता। प्रोसेसिंग की प्रकृति और अपने पास उपलब्ध जानकारी को ध्यान में रखते हुए, Zurelay डेटा सुरक्षा प्रभाव आकलन और नियामकों के साथ पूर्व परामर्श में ग्राहक को उचित सहायता देगा, जहाँ लागू डेटा सुरक्षा कानून के तहत ये आवश्यक हों। यदि सहायता न्यूनतम से अधिक होती है, तो उसकी लागत ग्राहक वहन करेगा।

10.2 जानकारी। लिखित अनुरोध पर, किसी भी 12-महीने की अवधि में अधिकतम एक बार, Zurelay सुरक्षा और निजता से जुड़ी एक उचित प्रश्नावली के लिखित उत्तर और इस DPA का अनुपालन दर्शाने के लिए यथोचित रूप से आवश्यक अन्य जानकारी देगा।

10.3 ऑडिट. यदि लागू डेटा सुरक्षा कानून के तहत उस जानकारी से आगे किसी ऑडिट की आवश्यकता हो, तो ग्राहक अपने खर्च पर, किसी भी 12 महीने की अवधि में अधिकतम एक बार, कम से कम 30 दिन पहले लिखित सूचना देकर, सामान्य कामकाजी समय में, उचित गोपनीयता दायित्वों के अधीन और ऐसे ऑडिटर से ऑडिट करा सकता है जो Zurelay का प्रतिस्पर्धी न हो। ऑडिट के दौरान अन्य ग्राहकों के डेटा, इन्फ़्रास्ट्रक्चर प्रदाताओं के सिस्टम या इन्फ़्रास्ट्रक्चर प्रदाताओं की पहचान तक पहुँच नहीं दी जाएगी, जब तक कि Zurelay पर अधिकार रखने वाला कोई न्यायालय या नियामक इसकी माँग न करे।

Zurelay, API के ज़रिए भेजे गए चैट और टेक्स्ट अनुरोधों को पूरा करने के बाद उनकी सामग्री संग्रहीत नहीं करता। Playground की चैट उन्हें करने वाले व्यक्ति के लिए तब तक रखी जाती हैं जब तक वह उन्हें मिटा न दे (हर वर्कस्पेस में उसकी सबसे नई 300 चैट), लेकिन अटैच की गई फ़ाइलें नहीं रखी जातीं। Playground में जोड़ी गई तस्वीरें वर्कस्पेस के लिए रखी जाती हैं और 30 दिन बाद मिटा दी जाती हैं। जनरेट की गई इमेज और वीडियो, उनके प्रॉम्प्ट और रेफ़रेंस इमेज, और विफल प्रयासों की गड़बड़ी का विवरण 30 दिन बाद मिटा दिया जाता है। अनुबंध समाप्त होने के 90 दिन के भीतर, Zurelay अपने नियंत्रण वाले सिस्टम में बचे ग्राहक के सभी व्यक्तिगत डेटा को मिटा देगा, सिवाय उन प्रतियों के जिन्हें कानून के तहत रखना आवश्यक है और बैकअप में मौजूद प्रतियों के, जिन्हें उनकी सामान्य समय-सारणी के अनुसार मिटाया जाता है। इन्फ़्रास्ट्रक्चर प्रदाताओं द्वारा प्रोसेस किया गया ग्राहक का व्यक्तिगत डेटा उनकी अपनी शर्तों के अनुसार रखा जाता है।

12.1 अनुमति. ग्राहक, Zurelay और उसके उप-प्रोसेसरों को ग्राहक का व्यक्तिगत डेटा संयुक्त राज्य अमेरिका और उन अन्य देशों में ट्रांसफ़र और प्रोसेस करने की अनुमति देता है जहाँ वे काम करते हैं।

12.2 यूरोपीय ट्रांसफ़र. जहाँ तक ग्राहक का व्यक्तिगत डेटा GDPR के अधीन है और उसे ऐसे देश में ट्रांसफ़र किया जाता है जिसके लिए पर्याप्त डेटा सुरक्षा का निर्णय नहीं है, SCCs को इस DPA में इस प्रकार शामिल किया जाता है: जहाँ ग्राहक नियंत्रक है वहाँ मॉड्यूल दो और जहाँ ग्राहक प्रोसेसर है वहाँ मॉड्यूल तीन लागू होता है; खंड 7 में वैकल्पिक पक्ष-प्रवेश प्रावधान लागू होता है; खंड 9 में विकल्प 2 लागू होता है, जिसके लिए धारा 7.3 में वर्णित सूचना दी जाएगी; खंड 11 का वैकल्पिक पाठ लागू नहीं होता; खंड 17 के तहत, SCCs आयरलैंड के कानूनों द्वारा शासित होते हैं; और खंड 18 के तहत, आयरलैंड के न्यायालयों का अधिकार क्षेत्र होता है। इस DPA के अनुलग्नक I और II, SCCs के संबंधित अनुलग्नकों को पूरा करते हैं।

12.3 यूनाइटेड किंगडम और स्विट्ज़रलैंड. UK GDPR के अधीन व्यक्तिगत डेटा के लिए, SCCs यूनाइटेड किंगडम के सूचना आयुक्त द्वारा जारी अंतरराष्ट्रीय डेटा ट्रांसफ़र परिशिष्ट के संशोधनों के साथ लागू होते हैं। स्विस कानून के अधीन व्यक्तिगत डेटा के लिए, SCCs में दिए गए संदर्भों को स्विस संघीय डेटा सुरक्षा अधिनियम के अनुरूप ढालकर लागू किया जाता है, और स्विस संघीय डेटा सुरक्षा एवं सूचना आयुक्त सक्षम प्राधिकारी होते हैं।

12.4 प्राथमिकता. यदि SCCs और इस DPA के बीच टकराव हो, तो उस टकराव की सीमा तक SCCs को प्राथमिकता मिलेगी।

जहाँ तक संयुक्त राज्य अमेरिका के राज्य-स्तरीय निजता कानून लागू होते हैं, Zurelay ग्राहक के व्यक्तिगत डेटा के लिए ग्राहक का सेवा प्रदाता या प्रोसेसर है। Zurelay ग्राहक का व्यक्तिगत डेटा न बेचेगा, न साझा करेगा; अनुबंध में निर्धारित व्यावसायिक उद्देश्यों के अलावा किसी अन्य उद्देश्य के लिए या Zurelay और ग्राहक के बीच सीधे व्यावसायिक संबंध से बाहर उसे न रखेगा, न इस्तेमाल करेगा और न प्रकट करेगा; और उन कानूनों द्वारा अनुमति दिए जाने के अलावा उसे अन्य स्रोतों के व्यक्तिगत डेटा के साथ नहीं मिलाएगा। Zurelay उन कानूनों के लागू दायित्वों का पालन करेगा, यदि वह उन्हें पूरा करने में असमर्थ हो जाता है तो ग्राहक को सूचित करेगा, और ग्राहक को उसके व्यक्तिगत डेटा का अनधिकृत इस्तेमाल रोकने तथा उसका निवारण करने के लिए उचित कदम उठाने का अधिकार देता है।

ग्राहक के व्यक्तिगत डेटा की सुरक्षा के मामले में इस DPA को शर्तों पर प्राथमिकता मिलेगी। अन्य मामलों में शर्तें लागू होंगी, जिनमें दायित्व की सीमाएँ, लागू कानून और विवाद समाधान संबंधी प्रावधान शामिल हैं, सिवाय उन मामलों के जहाँ लागू डेटा सुरक्षा कानून या SCCs अन्यथा आवश्यक ठहराते हैं। Zurelay कानून, सेवाओं या अपने उप-प्रोसेसरों में बदलावों को शामिल करने के लिए इस DPA को अपडेट कर सकता है और महत्वपूर्ण बदलावों की सूचना ग्राहक को देगा। अनुबंध समाप्त होने पर यह DPA समाप्त हो जाता है, सिवाय उन दायित्वों के जो अपनी प्रकृति के कारण जारी रहते हैं।

• एन्क्रिप्शन: सेवाओं से आने-जाने वाले डेटा के लिए TLS; संग्रहीत डेटा के लिए Zurelay के होस्टिंग प्रदाताओं द्वारा दिया गया एन्क्रिप्शन।
• क्रेडेंशियल: API कुंजियाँ केवल वन-वे हैश के रूप में संग्रहीत की जाती हैं; एक बार इस्तेमाल होने वाले कोड से साइन इन किया जाता है; वर्कस्पेस की भूमिकाएँ तय करती हैं कि कुंजियाँ और बिलिंग कौन प्रबंधित कर सकता है।
• पहुँच नियंत्रण: प्रोडक्शन सिस्टम और डेटा तक पहुँच केवल उन्हीं कर्मचारियों को दी जाती है जिन्हें इसकी आवश्यकता है।
• न्यूनतम डेटा रखना: API के ज़रिए भेजी गई चैट और टेक्स्ट सामग्री मेमोरी में प्रोसेस की जाती है और संग्रहीत नहीं की जाती; Playground की चैट केवल उन्हें करने वाले व्यक्ति के लिए रखी जाती हैं, अटैच की गई फ़ाइलों के बिना; Playground में जोड़ी गई तस्वीरें 30 दिन बाद मिटा दी जाती हैं; जनरेट की गई फ़ाइलें, उनके प्रॉम्प्ट और गड़बड़ी का विवरण 30 दिन बाद मिटा दिया जाता है; इन्फ़्रास्ट्रक्चर प्रदाताओं को अनुरोध भेजने से पहले उनमें से ग्राहक के अंतिम उपयोगकर्ताओं के पहचानकर्ता हटा दिए जाते हैं।
• निगरानी: सेवाओं और इन्फ़्रास्ट्रक्चर प्रदाताओं की उपलब्धता और व्यवहार की लगातार निगरानी, साथ ही घटनाओं को दर्ज करना और उनकी जाँच करना।
• लचीलापन: इन्फ़्रास्ट्रक्चर प्रदाताओं के बीच अपने-आप दोबारा कोशिश करना और ज़रूरत पड़ने पर दूसरे प्रदाता पर स्विच करना।
• घटना पर कार्रवाई: सेक्शन 9 में बताए अनुसार व्यक्तिगत डेटा के उल्लंघनों की जाँच करना, उनका असर सीमित करना और ग्राहकों को सूचना देना।
• विक्रेताओं की निगरानी: इस्तेमाल से पहले और उसके दौरान इन्फ़्रास्ट्रक्चर प्रदाताओं की जाँच करना, जैसे कि वे माँगा गया मॉडल उपलब्ध कराते हैं या नहीं और कितने भरोसेमंद ढंग से ऐसा करते हैं, और Zurelay की जाँच में विफल रहने वालों को हटाना। ये जाँचें सेवा की गुणवत्ता से जुड़ी हैं, इन्फ़्रास्ट्रक्चर प्रदाताओं की अपनी सुरक्षा से नहीं, जिसे वे अपनी शर्तों के तहत सँभालते हैं।