डेटा प्रसंस्करण समझौता

यह दस्तावेज़ कई भाषाओं में प्रकाशित है। भाषा संस्करणों में किसी भी अंतर की स्थिति में पोलिश संस्करण बाध्यकारी है।

संस्करण 2.2 · अंतिम अद्यतन: 29 अक्टूबर 2026

सामान्य डेटा संरक्षण विनियमन (GDPR) के Art. 28 के अनुसार नियंत्रक की ओर से व्यक्तिगत डेटा के प्रसंस्करण का समझौता

formexposed के ग्राहक, नियंत्रक के रूप में (“ग्राहक”), और LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, NIP (पोलिश कर पहचान संख्या) 7252266190, प्रसंस्करणकर्ता के रूप में (“हम”), के बीच।

प्रारंभिक टिप्पणियाँ: यह समझौता किस बारे में है

formexposed वेबसाइटों के संपर्क फ़ॉर्म की स्पैम और दुरुपयोग से सुरक्षा जाँचता है, उनकी निगरानी करता है और बदलावों की रिपोर्ट देता है। इस प्रक्रिया में उत्पन्न अधिकांश डेटा के नियंत्रक हम स्वयं हैं: ग्राहक खाते, बिलिंग, सेवा की सुरक्षा, लॉग और बिना खाते की जाँचों के लिए। हमारी गोपनीयता नीति इस प्रसंस्करण का वर्णन करती है; यह समझौता उस पर लागू नहीं होता।

लेकिन कुछ सुविधाएँ तृतीय पक्षों का व्यक्तिगत डेटा सेवा में लाती हैं और उस डेटा के निर्णय ग्राहक करता है: उसकी वेबसाइट के आगंतुकों की वास्तविक पूछताछ की प्रतियाँ, उसके अलर्ट पाने वाले व्यक्तियों के पते, परीक्षण खाते के लॉगिन विवरण, हमारे काम करने के लिए दिया गया कोड। इस डेटा को हम केवल ग्राहक की ओर से प्रसंस्कृत करते हैं। यह समझौता उस पर लागू है। ये सुविधाएँ ठीक कौन सी हैं, यह समझौते के अंत में अनुलग्नक 1 में बताया गया है।

समझौता Art. 28(3) GDPR का अनुसरण करता है और उसकी संरचना तथा सामग्री नियंत्रकों और प्रसंस्करणकर्ताओं के बीच यूरोपीय आयोग के मानक संविदात्मक खंडों (कार्यान्वयन निर्णय (EU) 2021/915) पर आधारित है। यह उन्हें शब्दशः नहीं अपनाता बल्कि वास्तविक सेवा का वर्णन करता है। जहाँ हम Art. 28 GDPR का दायित्व अधिक विस्तार से बताते हैं, वहाँ विनियमन के सुरक्षा स्तर से नीचे नहीं जाया जा सकता।

§ 1 विषय, दायरा और भूमिकाएँ

(1) इस समझौते का विषय हमारी सेवा की शर्तें के अंतर्गत सेवा देते समय ग्राहक की ओर से हमारे द्वारा व्यक्तिगत डेटा का प्रसंस्करण है। प्रत्येक सुविधा के लिए प्रसंस्करण का विषय, प्रकृति और उद्देश्य, व्यक्तिगत डेटा के प्रकार और डेटा विषयों की श्रेणियाँ अनुलग्नक 1 में दी गई हैं।

(2) यह समझौता वह प्रसंस्करण कवर नहीं करता जिसके नियंत्रक हम स्वयं हैं, विशेष रूप से ग्राहक खाता और कार्यस्थान के सदस्य, साइन इन और खाते की सुरक्षा, बिलिंग, सहायता, लॉग, हमारे अपने इस डेटा के बैकअप, बिना खाते की निःशुल्क जाँच, खाते के उन डोमेन की जाँच जिनके लिए ग्राहक ने अभी नियंत्रण का प्रमाण नहीं दिया, संभावित ग्राहक की जाँच, अध्ययन, बैज और WordPress प्लगइन तथा TYPO3 एक्सटेंशन द्वारा भेजी गई जानकारी: दैनिक आँकड़े, प्लगइन सूची और जुड़े WordPress प्लगइन के लिए सामूहिक सुरक्षा हेतु ब्लॉक संदेशों के लिंक के डोमेन (डिफ़ॉल्ट रूप से चालू)। इसके अतिरिक्त इन एक्सटेंशन की बनावट के कारण इस डेटा में आगंतुकों की कोई सामग्री, नाम, पते या IP पते नहीं होते। इसके विपरीत, बैकअप जहाँ तक उनमें ग्राहक डेटा हो, और संचालन, समस्या समाधान तथा सुरक्षा के लिए ग्राहक डेटा तक पहुँच ग्राहक की ओर से प्रसंस्करण का हिस्सा हैं; उन पर § 7(3) और § 15(5) लागू होते हैं।

(3) अनुलग्नक 1 के डेटा के लिए ग्राहक Art. 4(7) GDPR के अर्थ में नियंत्रक है। यदि ग्राहक स्वयं तृतीय पक्ष के प्रसंस्करणकर्ता के रूप में काम करता है, जैसे अपने ग्राहकों के लिए एजेंसी, तो उस डेटा के लिए हम उप-प्रसंस्करणकर्ता हैं। तब ग्राहक सुनिश्चित करता है कि यह समझौता उसके अपने अनुबंध के दायित्वों से संगत हो और तृतीय पक्ष के निर्देश हमें केवल अपने माध्यम से देता है।

(4) संपन्न होना: पंजीकरण पर सेवा की शर्तों के साथ यह समझौता प्रत्येक ग्राहक के साथ संपन्न होता है, भले ही वह अनुलग्नक 1 की कोई सुविधा उपयोग न करे। यह इलेक्ट्रॉनिक रूप में संपन्न होता है; इससे Art. 28(9) GDPR पूरा होता है। इसके लिए हम प्रदर्शित संस्करण, उसका चेकसम तथा स्वीकृति का समय, IP पता और ब्राउज़र पहचान सहेजते हैं।

§ 2 परिभाषाएँ

“व्यक्तिगत डेटा”, “प्रसंस्करण”, “नियंत्रक”, “प्रसंस्करणकर्ता” और “व्यक्तिगत डेटा उल्लंघन” जैसे शब्दों का अर्थ Art. 4 GDPR के अनुसार है। इसके अतिरिक्त:

• ग्राहक डेटा का अर्थ वह व्यक्तिगत डेटा है जिसे हम अनुलग्नक 1 के अंतर्गत ग्राहक की ओर से प्रसंस्कृत करते हैं।
• उप-प्रसंस्करणकर्ता का अर्थ हमारे द्वारा नियुक्त अन्य प्रसंस्करणकर्ता है जो इस कार्य में ग्राहक डेटा प्रसंस्कृत करता है (Art. 28(2) और (4) GDPR)।
• कार्यस्थान का अर्थ सेवा का वह क्षेत्र है जिसमें ग्राहक अपने डोमेन, सेटिंग और सदस्य प्रबंधित करता है। पूरा ग्राहक डेटा किसी कार्यस्थान को सौंपा जाता है।
• पाठ रूप का अर्थ स्थायी माध्यम पर कोई भी पठनीय घोषणा है, विशेष रूप से ईमेल।
• दिन का अर्थ कैलेंडर दिन है। यदि अवधि का अंत पोलैंड में शनिवार, रविवार या सार्वजनिक छुट्टी को पड़े, तो वह अगले कार्यदिवस पर समाप्त होती है।

§ 3 अवधि

(1) समझौता तब तक लागू है जब तक हम ग्राहक डेटा प्रसंस्कृत करते हैं। यह पंजीकरण से शुरू होता है और केवल सशुल्क योजना समाप्त होने से समाप्त नहीं होता: रद्द करने के बाद खाता निःशुल्क खाते के रूप में जारी रहता है और जहाँ लागू हो उसके साथ ग्राहक डेटा भी। यह तब समाप्त होता है जब खाता मिटा दिया गया हो और हमारे पास ग्राहक का कोई ग्राहक डेटा न हो, बैकअप में उनकी समाप्ति तक रहने वाले डेटा को छोड़कर (§ 15)।

(2) जिन दायित्वों का प्रभाव उनकी प्रकृति से जारी रहता है, वे समाप्ति के बाद भी बने रहते हैं, विशेष रूप से गोपनीयता, विलोपन, प्रमाण और दायित्व।

(3) केवल इस समझौते की सामान्य समाप्ति बाहर रखी गई है, क्योंकि इसके बिना खाता रहने तक ग्राहक डेटा का प्रसंस्करण नहीं किया जा सकता। ग्राहक इसे समाप्त करना चाहे तो अपना खाता मिटाता है (§ 15(3))। § 9(3) और § 16 के समाप्ति अधिकार तथा सेवा की शर्तों के समाप्ति अधिकार अप्रभावित रहते हैं।

§ 4 निर्देश

(1) हम ग्राहक डेटा केवल ग्राहक के प्रलेखित निर्देशों पर प्रसंस्कृत करते हैं, तीसरे देश या अंतरराष्ट्रीय संगठन को हस्तांतरण के संबंध में भी। यह तब लागू नहीं है जब हम पर लागू संघ या सदस्य राज्य का कानून हमें प्रसंस्करण करने के लिए बाध्य करे। उस स्थिति में प्रसंस्करण से पहले ग्राहक को उस कानूनी आवश्यकता की जानकारी देते हैं, जब तक वह कानून महत्वपूर्ण सार्वजनिक हित के आधार पर ऐसी सूचना निषिद्ध न करे (Art. 28(3), दूसरा वाक्य, बिंदु (a) GDPR)।

(2) ग्राहक के निर्देश इस समझौते, सेवा की शर्तों और सेवा में ग्राहक द्वारा की गई सेटिंग में संपूर्ण रूप से प्रलेखित हैं। उदाहरण: संदेश पहुँचने की जाँच स्थापित करना फ़ॉर्म ईमेल की प्रतियाँ स्वीकार और मूल्यांकित करने का निर्देश है; अलर्ट गंतव्य बनाना वहाँ अधिसूचनाएँ भेजने का निर्देश है; परीक्षण खाता सहेजना लॉगिन के पीछे स्कैन के लिए उससे साइन इन करने का निर्देश है। सेवा इस प्रकार बनी है कि केवल वही करती है जो इन सेटिंग में निर्धारित है।

(3) ग्राहक अतिरिक्त निर्देश पाठ रूप में contact@lukaswojcik.com पर या सहायता विंडो से देता है। कार्यस्थान के स्वामी और प्रशासकों को निर्देश देने का अधिकार है; सेवा की सेटिंग के माध्यम से निर्देश वह व्यक्ति देता है जिसकी भूमिका उसे वह सेटिंग करने देती है। ग्राहक मौखिक निर्देश की पुष्टि बिना अनुचित देरी के पाठ रूप में करता है; तब तक हम उसे लागू करने से पहले प्रतीक्षा कर सकते हैं, जब तक निर्देश डेटा मिटाने या प्रतिबंधित करने से संबंधित न हो। सहमत सेवा दायरे से आगे के निर्देश को हम सेवाओं में बदलाव का अनुरोध मानते हैं; हम उसे अस्वीकार कर सकते हैं या पाठ रूप में पहले बताए पारिश्रमिक की शर्त लगा सकते हैं। GDPR के किसी दायित्व, जैसे विलोपन, से संबंधित निर्देश को इस आधार पर अस्वीकार नहीं करते।

(4) यदि हमारे मत में कोई निर्देश कानून का उल्लंघन करता है, तो ग्राहक को तुरंत बताते हैं (Art. 28(3), दूसरा उपअनुच्छेद, GDPR)। ग्राहक के निर्देश की पुष्टि या संशोधन तक हम उसका निष्पादन रोक सकते हैं। स्पष्ट रूप से गैरकानूनी निर्देश लागू नहीं करते। प्रत्येक निर्देश की व्यापक कानूनी समीक्षा करना हमारा दायित्व नहीं है; उसकी वैधता का उत्तरदायित्व ग्राहक का रहता है।

§ 5 उद्देश्य की सीमा और ग्राहक डेटा के साथ हम क्या नहीं करते

(1) हम ग्राहक डेटा केवल अनुलग्नक 1 के उद्देश्यों के लिए और केवल संबंधित सुविधा की आवश्यक सीमा तक प्रसंस्कृत करते हैं।

(2) ग्राहक डेटा का उपयोग अपने उद्देश्यों के लिए नहीं करते। विशेष रूप से विज्ञापन के लिए उसका विश्लेषण नहीं करते, उसे बेचते नहीं, अन्य ग्राहकों के डेटा से मिलाकर प्रोफ़ाइल नहीं बनाते और भाषा मॉडल प्रशिक्षित करने में उपयोग नहीं करते। अलग-अलग सुविधाओं में सहायता करने वाला भाषा मॉडल हमारे अपने सर्वर पर चलता है; बाहरी AI सेवा को कुछ नहीं भेजा जाता।

(3) ग्राहक हमें ग्राहक डेटा से ऐसे समेकित आँकड़े बनाने की अनुमति देता है जिन्हें किसी व्यक्ति, ग्राहक या डोमेन से नहीं जोड़ा जा सके, उदाहरण के लिए डिलीवरी, त्रुटियों या जाँच परिणामों के बारे में। समेकन इस समझौते के अंतर्गत प्रसंस्करण है; उससे प्राप्त आँकड़े व्यक्तिगत डेटा और ग्राहक डेटा नहीं रहते। हम उनसे व्यक्तियों को दोबारा पहचानने का प्रयास नहीं करते।

§ 6 ग्राहक के दायित्व

(1) ग्राहक द्वारा हमें निर्देशित प्रसंस्करण की वैधता का उत्तरदायित्व ग्राहक का है। इसमें उसके लिए कानूनी आधार होना और Art. 13 तथा 14 GDPR के अंतर्गत डेटा विषयों को जानकारी देना शामिल है।

(2) संदेश पहुँचने की जाँच उपयोग करने पर ग्राहक अपनी गोपनीयता नीति में वेबसाइट के आगंतुकों को बताता है कि फ़ॉर्म ईमेल की प्रतिलिपि हमें भेजी जाती है। सेवा डोमेन पृष्ठ पर इसके लिए सुझाया पाठ दिखाती है; अतिरिक्त पाठ खंड आपकी वेबसाइट के लिए गोपनीयता नीति का पाठ पर उपलब्ध हैं। सुझाव ग्राहक के अपने मूल्यांकन का स्थान नहीं लेता।

(3) लॉगिन के पीछे स्कैन के लिए ग्राहक एक समर्पित परीक्षण खाता बनाता है जिसके पास केवल निर्दिष्ट पृष्ठ पढ़ने के लिए आवश्यक अधिकार हों और जो ग्राहकों, रोगियों, सदस्यों या कर्मचारियों का वास्तविक डेटा न दिखाए। वह किसी वास्तविक व्यक्ति के लॉगिन विवरण या ऐसे लॉगिन विवरण नहीं सहेजता जिनके उपयोग का उसे अधिकार न हो। उपयोग के नियम स्वीकार्य उपयोग और दुरुपयोग में भी दिए गए हैं।

(4) जहाँ तक इससे बच सकता है, ग्राहक सेवा के माध्यम से व्यक्तिगत डेटा की विशेष श्रेणियाँ (Art. 9 GDPR) या आपराधिक दोषसिद्धियों से संबंधित डेटा (Art. 10 GDPR) प्रसंस्कृत नहीं करवाता। “Fix it for me” उपयोग करते समय वास्तविक व्यक्तिगत डेटा वाला कोड पेस्ट नहीं करता और क्लाइंट पोर्टल केवल उन व्यक्तियों के लिए बनाता है जिन्होंने रिपोर्ट मँगाई है।

(5) क्लाइंट पोर्टल: सदस्यों की मासिक रिपोर्ट के लिए ग्राहक, सामान्यतः एजेंसी, नियंत्रक है। सेवा पुष्टि लिंक के माध्यम से प्रत्येक सदस्य की पुष्टि लेती है (दोहरी सहमति) और प्रत्येक ईमेल में सदस्यता रद्द करने का विकल्प देती है। सहमति रिपोर्ट की सामग्री को कवर करती है या नहीं, इसका मूल्यांकन ग्राहक करता है।

(6) ग्राहक को प्रसंस्करण में त्रुटियाँ या अनियमितताएँ मिलें, तो हमें बिना अनुचित देरी के बताता है।

(7) यदि ग्राहक बैज एम्बेड करता है, तो यह उसकी ओर से प्रसंस्करण नहीं है; हमारी गोपनीयता नीति संबंधित प्रसंस्करण बताती है। ग्राहक अपनी गोपनीयता नीति में इसका उल्लेख करता है।

§ 7 गोपनीयता

(1) हम ग्राहक डेटा की पहुँच केवल उन व्यक्तियों को देते हैं जिन्हें अपने कार्यों के लिए उसकी आवश्यकता है और जिन्होंने गोपनीयता का वचन दिया है या जो उपयुक्त वैधानिक गोपनीयता दायित्व में हैं (Art. 28(3), दूसरा वाक्य, बिंदु (b) GDPR)। उनके कार्य समाप्त होने के बाद भी वचन जारी रहता है।

(2) वर्तमान में स्वामी सेवा स्वयं चलाता है। अन्य व्यक्तियों के जुड़ने पर पहली पहुँच से पहले उन्हें गोपनीयता से बाँधा जाता है और व्यक्तिगत डेटा संभालने के निर्देश दिए जाते हैं।

(3) हम किसी कार्यस्थान को केवल उतना देखते हैं जितना संचालन, समस्या समाधान, सहायता या दुरुपयोग रोकथाम के लिए आवश्यक हो। सहायता सुविधा “ग्राहक के रूप में देखें” एक घंटे तक सीमित है, पासवर्ड, पता, दूसरा कारक, सदस्यता, निर्यात और विलोपन में बदलाव रोकती है और लॉग की जाती है; ग्राहक अपने डेटा निर्यात में यह पहुँच देखता है।

§ 8 प्रसंस्करण की सुरक्षा

(1) हम Art. 32 GDPR के तकनीकी और संगठनात्मक उपाय करते हैं जो जोखिम के अनुरूप सुरक्षा स्तर सुनिश्चित करते हैं। उनका वर्णन तकनीकी और संगठनात्मक उपाय पृष्ठ पर है। वह पृष्ठ संबंधित समय पर प्रकाशित संस्करण में इस समझौते का हिस्सा है (अनुलग्नक 2)। समझौता करने से पहले ग्राहक विवरण देख सकता था। ग्राहक हमें जो प्रसंस्करण सौंपता है उसके लिए उपाय उचित सुरक्षा स्तर देते हैं या नहीं, इसका मूल्यांकन ग्राहक अपने उत्तरदायित्व पर करता है (Art. 28(1) GDPR), विशेष रूप से अनुलग्नक 1 की कोई सुविधा चालू करने से पहले।

(2) पृष्ठ केवल वास्तव में लागू उपाय बताता है। जो नियोजित लेकिन अभी लागू नहीं है, उसे वहाँ स्पष्ट रूप से “नियोजित” बताया जाता है और लागू होने तक वह हमारे प्रतिबद्ध उपायों का हिस्सा नहीं है।

(3) जब तक समग्र सुरक्षा स्तर कम न हो, हम तकनीकी प्रगति और सेवा के विकास के अनुसार उपाय बदल सकते हैं। हर बदलाव नई संस्करण संख्या और तिथि के साथ उस पृष्ठ तथा अनुबंध दस्तावेज़ों में बदलाव के अवलोकन में प्रकाशित करते हैं। यदि बदलाव पहले बताए उपाय को बिना प्रतिस्थापन हटाए या कमजोर करे, तो ग्राहक को कम से कम 30 दिन पहले पाठ रूप में भी बताते हैं; तब ग्राहक नए उप-प्रसंस्करणकर्ता की तरह आपत्ति कर सकता है (§ 9(3))। खतरे का मुकाबला करने के लिए किसी उपाय को अल्प सूचना पर बदलना पड़े, तो बिना अग्रिम सूचना यह किया जा सकता है, बशर्ते इससे सुरक्षा स्तर कम न हो; फिर बिना अनुचित देरी के सूचना दी जाती है।

§ 9 उप-प्रसंस्करणकर्ता

(1) ग्राहक हमें उप-प्रसंस्करणकर्ता नियुक्त करने का सामान्य लिखित प्राधिकरण देता है (Art. 28(2) GDPR)। वर्तमान में नियुक्त उप-प्रसंस्करणकर्ता, उनके पंजीकृत कार्यालय, उद्देश्य, डेटा, प्रसंस्करण स्थान और तीसरे देश को किसी हस्तांतरण के आधार सहित उप-प्रसंस्करणकर्ता पृष्ठ पर सूचीबद्ध हैं। वह सूची वहाँ प्रकाशित संस्करण में इस समझौते का हिस्सा है (अनुलग्नक 3)। वहाँ नामित उप-प्रसंस्करणकर्ताओं के लिए प्राधिकरण दिया हुआ माना जाता है।

(2) उप-प्रसंस्करणकर्ता जोड़ने या बदलने के किसी इरादे की जानकारी खाताधारक के पते पर ईमेल से कम से कम 30 दिन पहले देते हैं। सूचना में उप-प्रसंस्करणकर्ता, उसका पंजीकृत कार्यालय, संबंधित सुविधा, डेटा, प्रसंस्करण स्थान और हस्तांतरण का आधार बताया जाता है। साथ ही घोषित बदलाव उप-प्रसंस्करणकर्ता पृष्ठ और बदलावों के अवलोकन में दिखाया जाता है।

(3) ग्राहक इन 30 दिनों के भीतर पाठ रूप में आपत्ति कर सकता है यदि उसके पास डेटा संरक्षण से संबंधित वस्तुनिष्ठ कारण हो; आपत्ति में वह कारण बताता है। तब हम ग्राहक के साथ समाधान खोजते हैं, उदाहरण के लिए संबंधित सुविधा उसके लिए नए उप-प्रसंस्करणकर्ता के बिना चलाना या बंद करना। समाधान मिलने तक इस ग्राहक के ग्राहक डेटा के लिए नया उप-प्रसंस्करणकर्ता उपयोग नहीं करते; तकनीकी रूप से यह संभव न हो तो ग्राहक के लिए संबंधित सुविधा स्थगित रहती है। समाधान न मिलने पर ग्राहक सेवा या प्रभावित सेवा का अनुबंध बदलाव की तिथि से समाप्त कर सकता है, और यदि हम उस तिथि के बाद बताते हैं कि समाधान संभव नहीं है, तो उस सूचना से 14 दिनों के भीतर तत्काल प्रभाव से समाप्त कर सकता है। इसके कारण उपयोग न कर सकने वाली अग्रिम भुगतान अवधि की आनुपातिक राशि वापस करते हैं। सेवा की शर्तों के अंतर्गत सामान्य समाप्ति का हमारा अधिकार अप्रभावित रहता है।

(4) प्रत्येक उप-प्रसंस्करणकर्ता पर अनुबंध से वही डेटा संरक्षण दायित्व लगाते हैं जो यह समझौता हम पर लगाता है, विशेष रूप से उचित तकनीकी और संगठनात्मक उपाय लागू करने की पर्याप्त गारंटियाँ (Art. 28(4), पहला वाक्य, GDPR)। प्रत्येक का चयन सावधानी से करते हैं और नियुक्ति से पहले इन गारंटियों की जाँच करते हैं, उसकी शर्तें महत्वपूर्ण रूप से बदलने पर फिर और अन्यथा अपने उपायों की वार्षिक समीक्षा में। उप-प्रसंस्करणकर्ता केवल प्रमाणपत्र, ऑडिट रिपोर्ट या प्रकाशित शर्तों के रूप में प्रमाण दे, तो वर्तमान और सार्थक होने पर हम उसी पर जाँच आधारित करते हैं। अनुरोध पर ग्राहक को उप-प्रसंस्करणकर्ता के अनुबंध या उसकी डेटा संरक्षण शर्तों की प्रति भेजते हैं; पहले व्यापार रहस्य और मूल्य जैसी अन्य गोपनीय जानकारी छिपा सकते हैं।

(5) उप-प्रसंस्करणकर्ता अपने डेटा संरक्षण दायित्व पूरे न करे, तो उसके दायित्वों के निष्पादन के लिए हम ग्राहक के प्रति अपने आचरण की तरह उत्तरदायी रहते हैं (Art. 28(4), दूसरा वाक्य, GDPR)। हमारा उप-प्रसंस्करणकर्ता चुनना कोई उत्तरदायित्व ग्राहक पर नहीं डालता। उप-प्रसंस्करणकर्ता संविदात्मक दायित्व पूरा न करे और यह ग्राहक के ग्राहक डेटा से संबंधित हो, तो ग्राहक को बिना अनुचित देरी के बताते हैं। यदि हम वस्तुतः लुप्त हो जाएँ, कानून में अस्तित्व समाप्त हो जाए या दिवालिया हो जाएँ और कोई कानूनी उत्तराधिकारी हमारे दायित्व न ले, तो ग्राहक उप-प्रसंस्करणकर्ता से ग्राहक डेटा मिटाने या लौटाने की माँग कर सके; जहाँ तक वह अनुमति दे, हम प्रत्येक उप-प्रसंस्करणकर्ता के साथ यह सहमत करते हैं (देखें मानक संविदात्मक खंड 2021/915 का खंड 7.7(e))।

(6) वे प्राप्तकर्ता उप-प्रसंस्करणकर्ता नहीं हैं जिन्हें डेटा केवल इसलिए भेजा जाता है क्योंकि ग्राहक स्वयं उन्हें सेवा में गंतव्य बनाता है: चैट सेवाएँ (जैसे Slack, Discord, Microsoft Teams, Google Chat) और अलर्ट के वेबहुक पते। गंतव्य स्थापित करना वहाँ अधिसूचना भेजने का निर्देश है; इन प्रदाताओं से संविदात्मक संबंध और तीसरे देश को हस्तांतरण के लिए आवश्यक आधार ग्राहक का उत्तरदायित्व हैं। अधिसूचना सौंपे जाने तक इस समझौते के हमारे अपने दायित्व अप्रभावित रहते हैं। Telegram भी ग्राहक का चुना गंतव्य है, लेकिन अलग तरह से काम करता है: हम अपने बॉट से उस चैट में संदेश भेजते हैं जिसे प्राप्तकर्ता ने स्वयं बॉट से जोड़ा है, और Telegram उसे यूरोपीय आर्थिक क्षेत्र के बाहर प्रसंस्कृत करता है। Telegram चुनकर ग्राहक हमें वहाँ अधिसूचनाएँ हस्तांतरित करने का स्पष्ट निर्देश देता है (Art. 28(3), दूसरा वाक्य, बिंदु (a) GDPR); यदि इस संबंध में Telegram को हमारा उप-प्रसंस्करणकर्ता मानना आवश्यक हो, तो इस गंतव्य का चुनाव साथ ही इस उद्देश्य के लिए Art. 28(2) GDPR के अंतर्गत विशिष्ट प्राधिकरण माना जाता है। GDPR के अध्याय V के अंतर्गत इस हस्तांतरण का आधार अभी अंतिम रूप से तय नहीं हुआ है; निश्चित आधार के बिना हस्तांतरण से बचना चाहने वाला अन्य गंतव्य चुनता है। इसी तरह केवल डेटा पहुँचाने वाले सेवा प्रदाता, जैसे हमारा इंटरनेट सेवा प्रदाता, उप-प्रसंस्करणकर्ता नहीं हैं।

(7) भाषा मॉडल सहित सर्वर, डेटाबेस और कंप्यूटिंग क्षमता हम स्वयं पोलैंड में चलाते हैं। कोई होस्टिंग या क्लाउड प्रदाता शामिल नहीं है।

§ 10 तीसरे देशों को हस्तांतरण

(1) ग्राहक डेटा प्रसंस्कृत करने वाले हमारे अपने सर्वर पोलैंड में हैं; उप-प्रसंस्करणकर्ता जहाँ ग्राहक डेटा प्रसंस्कृत करे, उसका स्थान अनुलग्नक 3 बताता है। यूरोपीय आर्थिक क्षेत्र के बाहर किसी देश को हस्तांतरण केवल Art. 44 से 49 GDPR की शर्तें पूरी होने पर और केवल § 4 के ग्राहक निर्देशों पर या § 9 के अंतर्गत अधिकृत उप-प्रसंस्करणकर्ता को होता है।

(2) प्रत्येक उप-प्रसंस्करणकर्ता का आधार (पर्याप्तता निर्णय, जैसे प्रमाणित प्राप्तकर्ताओं के लिए EU-U.S. Data Privacy Framework का निर्णय, या Art. 46(2)(c) GDPR के मानक संविदात्मक खंड) उप-प्रसंस्करणकर्ता सूची में बताया गया है। सूची में किसी प्राप्तकर्ता के लिए “सत्यापन आवश्यक” लिखा हो, तो आधार प्रलेखित होने तक उसे ग्राहक डेटा नहीं भेजा जाता। पर्याप्तता निर्णय लागू हुए बिना यूरोपीय आर्थिक क्षेत्र के बाहर उप-प्रसंस्करणकर्ता नियुक्त करने पर हम उससे कार्यान्वयन निर्णय (EU) 2021/914 के मानक संविदात्मक खंड (मॉड्यूल 3: प्रसंस्करणकर्ता से प्रसंस्करणकर्ता) सहमत करते हैं, पहले मूल्यांकन करते हैं कि गंतव्य देश का कानून और व्यवहार उनके अनुपालन की अनुमति देते हैं या नहीं, आवश्यक पूरक उपाय लेते हैं और परिणाम दर्ज करते हैं। ग्राहक को अनुरोध पर इस मूल्यांकन का सार मिलता है।

(3) ग्राहक द्वारा स्वयं चुने गंतव्यों को हस्तांतरण (§ 9(6)) के आधार का उत्तरदायित्व ग्राहक का है।

§ 11 डेटा विषयों के अधिकारों में सहायता

(1) प्रसंस्करण की प्रकृति को ध्यान में रखते हुए हम उचित तकनीकी और संगठनात्मक उपायों से, जहाँ तक संभव हो, GDPR के अध्याय III के अंतर्गत डेटा विषयों के अनुरोधों का उत्तर देने में ग्राहक की सहायता करते हैं (Art. 28(3), दूसरा वाक्य, बिंदु (e) GDPR)।

(2) इसमें से बहुत कुछ ग्राहक सेवा में स्वयं कर सकता है: अलर्ट गंतव्य, परीक्षण लॉगिन और अपनी ब्रांडिंग बदलना या मिटाना; फ़ॉर्म यात्राएँ बदलना या बंद करना; क्लाइंट पोर्टल निरस्त करना (उनके सदस्य कार्यस्थान मिटाने तक सहेजे रहते हैं); डोमेन उसके डेटा सहित हटाना; डेटा निर्यात डाउनलोड करना। जहाँ यह पर्याप्त न हो, पाठ रूप में अनुरोध पर सहायता करते हैं।

(3) डेटा विषय ग्राहक डेटा के अनुरोध से हमसे संपर्क करे, तो हम स्वयं उसके गुण-दोष पर उत्तर नहीं देते बल्कि जहाँ तक ग्राहक की पहचान कर सकें, बिना अनुचित देरी के और प्राप्ति के अधिकतम सात दिनों के भीतर उसे ग्राहक को भेजते हैं और व्यक्ति को ऐसा करने की सूचना देते हैं। ग्राहक पहचान न सके, तो व्यक्ति को बताते हैं कि उसे खोजने के लिए कौन सी जानकारी चाहिए।

(4) एक सीमा हम स्पष्ट बताते हैं: संदेश पहुँचने की जाँच के फ़ॉर्म ईमेल की प्रतियाँ डेटाबेस में नहीं रखते और सफल प्रसंस्करण के बाद ईमेल मेलबॉक्स से मिटा दिया जाता है, या प्राप्ति अथवा विलोपन त्रुटि पर देरी से। इसलिए किसी विशेष आगंतुक के बारे में सामान्यतः केवल यह कह सकते हैं कि अब हमारे पास कोई सामग्री नहीं है।

(5) ग्राहक डेटा गलत या पुराना होने की जानकारी मिले, तो ग्राहक को बिना अनुचित देरी के बताते हैं। तब ग्राहक सेवा में स्वयं या हमें निर्देश देकर उसे सुधार, मिटा या प्रतिबंधित कर सकता है।

§ 12 सुरक्षा, प्रभाव आकलन और परामर्श में सहायता

(1) प्रसंस्करण की प्रकृति और उपलब्ध जानकारी को ध्यान में रखकर हम Art. 32 से 36 GDPR के दायित्वों के अनुपालन में ग्राहक की सहायता करते हैं: प्रसंस्करण की सुरक्षा, उल्लंघनों की अधिसूचना और जानकारी देना, डेटा संरक्षण प्रभाव आकलन तथा पर्यवेक्षी प्राधिकरण से पूर्व परामर्श (Art. 28(3), दूसरा वाक्य, बिंदु (f) GDPR)।

(2) इसके लिए विशेष रूप से उपायों का विवरण, उप-प्रसंस्करणकर्ता सूची और अनुरोध पर डेटा प्रवाह तथा प्रतिधारण अवधि की अतिरिक्त जानकारी देते हैं। सेवा के जोखिमों का अपना आकलन डेटा संरक्षण प्रभाव आकलन में प्रकाशित करते हैं; ग्राहक अपने आकलन के लिए उसका उपयोग कर सकता है।

(3) §§ 11 और 12 की वह सहायता जो ग्राहक सेवा की सुविधाओं या प्रकाशित दस्तावेज़ों से स्वयं नहीं कर सकता, जिसमें प्रति कैलेंडर वर्ष चार घंटे से अधिक प्रयास लगे और जो हमारी ओर से इस समझौते या GDPR के उल्लंघन के कारण न हो, उसके लिए हम उससे अधिक समय का पारिश्रमिक पाठ रूप में पहले बताई प्रति घंटा दर पर ले सकते हैं। अनुरोध आगे भेजना और उल्लंघन की सूचना देना हमेशा निःशुल्क हैं। कानूनन देय सहायता को हम भुगतान या पारिश्रमिक की सहमति पर निर्भर नहीं करते।

§ 13 व्यक्तिगत डेटा उल्लंघन

(1) ग्राहक के ग्राहक डेटा को प्रभावित करने वाले व्यक्तिगत डेटा उल्लंघन की जानकारी मिले, तो हम ग्राहक को बिना अनुचित देरी के, संभव हो तो 48 घंटों के भीतर, खाताधारक के पते पर ईमेल से बताते हैं (Art. 33(2) GDPR)। इसका उद्देश्य ग्राहक को पर्यवेक्षी प्राधिकरण के प्रति निभानी वाली 72 घंटे की अवधि कम न करना है। जैसे ही उचित निश्चितता से स्थापित कर लें कि सुरक्षा घटना ग्राहक के ग्राहक डेटा को प्रभावित करती है, हमें उल्लंघन की जानकारी हुई मानी जाती है; किसी भी संदेह की जाँच बिना अनुचित देरी के करते हैं। उप-प्रसंस्करणकर्ता के उल्लंघन पर भी हमें उसकी सूचना मिलते ही यही लागू होता है।

(2) अधिसूचना में, जहाँ तक ज्ञात हो, Art. 33(3) GDPR की जानकारी होती है: उल्लंघन की प्रकृति, उसके होने का समय या अवधि सहित, जहाँ संभव हो प्रभावित डेटा विषयों और अभिलेखों की श्रेणियाँ तथा अनुमानित संख्या, अतिरिक्त जानकारी का संपर्क बिंदु, संभावित परिणाम और किए या प्रस्तावित उपाय। पहली अधिसूचना के समय जो स्थापित नहीं हुआ, उसे आगे बिना अनुचित देरी के देते हैं।

(3) उल्लंघन दूर करने और परिणाम कम करने के आवश्यक उपाय हम तुरंत लेते हैं और आगे के कदम ग्राहक से सहमत करते हैं। हर उल्लंघन के तथ्य, प्रभाव और सुधारात्मक कार्रवाई प्रलेखित करते हैं और अनुरोध पर ग्राहक को दस्तावेज़ देते हैं।

(4) पर्यवेक्षी प्राधिकरण को अधिसूचना या डेटा विषयों को जानकारी ग्राहक देता है। हम ऐसा केवल उसके निर्देशों पर करते हैं।

(5) तृतीय पक्ष द्वारा सेवा में पाई गई सुरक्षा खामियों की रिपोर्ट सुरक्षा पर प्राप्त करते हैं।

(6) इस खंड की अधिसूचना और सहयोग दायित्व उल्लंघन या उत्तरदायित्व की स्वीकृति नहीं हैं। यदि उल्लंघन उस डेटा को भी प्रभावित करे जिसके नियंत्रक हम स्वयं हैं, तो उस डेटा के लिए Art. 33 और 34 GDPR के अपने दायित्व पूरे करते हैं; ऐसा करते समय ग्राहक के ग्राहक डेटा का प्रकटीकरण केवल उस उद्देश्य की आवश्यक सीमा तक करते हैं।

§ 14 प्रमाण और ऑडिट

(1) हम Art. 28 GDPR के दायित्वों का अनुपालन दर्शाने की सभी आवश्यक जानकारी ग्राहक को उपलब्ध कराते हैं और ग्राहक या उसके नियुक्त ऑडिटर द्वारा किए ऑडिट, निरीक्षण सहित, की अनुमति देते हैं तथा उसमें योगदान करते हैं (Art. 28(3), दूसरा वाक्य, बिंदु (h) GDPR)।

(2) अनुपालन मुख्यतः दस्तावेज़ों से दिखाते हैं: उपायों का विवरण, उप-प्रसंस्करणकर्ता सूची, ग्राहकों की ओर से प्रसंस्करण को कवर करने वाले प्रसंस्करण गतिविधियों के अभिलेख (Art. 30(2) GDPR), प्रश्नावलियों के लिखित उत्तर और अनुरोध पर लॉग या पुनर्स्थापना परीक्षण परिणामों के अंश। प्रश्नावलियों के उत्तर प्राप्ति के 30 दिनों में और अनुच्छेद 4 का कारण होने पर उसकी आवश्यकता जितनी जल्दी हो देते हैं। वर्तमान में बाहरी ऑडिट रिपोर्ट या प्रमाणन नहीं हैं; यह इसलिए कहते हैं ताकि कोई उनके होने की धारणा न बनाए।

(3) दस्तावेज़ पर्याप्त न हों, तो ग्राहक स्थल पर सहित ऑडिट माँग सकता है। नियमित ऑडिट की सूचना ग्राहक कम से कम 30 दिन पहले पाठ रूप में विषय, अपेक्षित अवधि और ऑडिटर बताते हुए देता है; वह पोलैंड के सामान्य व्यावसायिक समय में होती है और ऐसे निर्धारित होती है कि संचालन अनावश्यक रूप से बाधित न हो। नियमित स्थल ऑडिट प्रति कैलेंडर वर्ष अधिकतम एक बार होती है; अनुच्छेद 4 अप्रभावित रहता है।

(4) तत्काल कारण होने पर निश्चित प्रतीक्षा अवधि नहीं। व्यक्तिगत डेटा उल्लंघन, इस समझौते या GDPR के उल्लंघन के ठोस संकेत और पर्यवेक्षी प्राधिकरण के ऑडिट अनुरोध की स्थिति में न 30 दिन की सूचना अवधि और न प्रति वर्ष एक ऑडिट की सीमा लागू होती है। तब कारण की आवश्यकता और संगठनात्मक संभावना के अनुसार यथाशीघ्र ऑडिट होती है।

(5) ग्राहक ऐसा ऑडिटर नियुक्त कर सकता है जो गोपनीयता से बँधा हो और न formexposed जैसी सेवा देता हो, न ऐसे प्रदाता के लिए काम करता हो। हम ऑडिटर से अन्य ग्राहकों के रहस्य, लॉगिन विवरण या सुरक्षा विवरण न ले जाने या दर्ज न करने की माँग कर सकते हैं। ऑडिट में हमारे संचालन की जो जानकारी मिले, ग्राहक और उसका ऑडिटर उसे गोपनीय रखते हैं तथा केवल इस समझौते और GDPR का अनुपालन जाँचने के लिए उपयोग करते हैं; वे सक्षम पर्यवेक्षी प्राधिकरण, गोपनीयता से बँधे सलाहकारों और कानून की आवश्यक सीमा तक उसका प्रकटीकरण कर सकते हैं। ऐसी व्यवस्थाएँ वैधानिक ऑडिट अधिकार विफल नहीं कर सकतीं।

(6) प्रत्येक पक्ष ऑडिट की अपनी लागत वहन करता है। ग्राहक की ऑडिट और प्रश्नावलियों पर हमारा कुल प्रयास प्रति कैलेंडर वर्ष आठ घंटे से अधिक हो, तो हम अतिरिक्त समय का पारिश्रमिक पाठ रूप में पहले बताई प्रति घंटा दर पर ले सकते हैं, लेकिन तब नहीं जब ऑडिट हमारी ओर का उल्लंघन उजागर करे या अनुच्छेद 4 के ऐसे कारण से हो जिसके लिए हम उत्तरदायी हैं। ऑडिट को स्वयं भुगतान पर निर्भर नहीं करते।

(7) पर्यवेक्षी प्राधिकरणों की शक्तियाँ अप्रभावित रहती हैं। हमारे लिए सक्षम पर्यवेक्षी प्राधिकरण व्यक्तिगत डेटा संरक्षण कार्यालय के अध्यक्ष (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa हैं। दोनों पक्ष इस खंड की जानकारी, ऑडिट परिणामों सहित, अनुरोध पर सक्षम पर्यवेक्षी प्राधिकरण को देते हैं।

§ 15 विलोपन और वापसी

(1) अनुबंध अवधि के दौरान अनुलग्नक 1 की प्रतिधारण अवधियाँ लागू होती हैं। उन्हें रात्रिकालीन प्रक्रिया लागू करती है, जो उन्हीं सेटिंग के अनुसार मिटाती है जो पाठ में भी दिखाई देती हैं।

(2) वापसी और विलोपन का चुनाव। प्रसंस्करण समाप्त होने के बाद ग्राहक तय करता है कि हम ग्राहक डेटा लौटाएँ या मिटाएँ (Art. 28(3), दूसरा वाक्य, बिंदु (g) GDPR)। वापसी डेटा निर्यात से होती है, जिसे ग्राहक सेटिंग में मशीन द्वारा पढ़ी जा सकने वाली फ़ाइल के रूप में स्वयं डाउनलोड कर सकता है, या पाठ रूप में अनुरोध पर हम 30 दिनों के भीतर देते हैं; उस स्थिति में निर्यात में न आने वाला ग्राहक डेटा भी शामिल होता है, जहाँ तक लौटाना संभव हो (अनुच्छेद 4)। विलोपन डोमेन हटाकर होता है, जिससे उसका डेटा मिटता है, या ग्राहक द्वारा स्वयं खाता मिटाने से। ग्राहक वापसी और विलोपन दोनों चाहे, तो पहले निर्यात डाउनलोड करता है और फिर मिटाता है।

(3) ग्राहक कोई चुनाव न करे और अपना खाता मिटाए, तो इसे विलोपन चुनना माना जाता है। खाता मिटाते समय ग्राहक के एकमात्र स्वामित्व वाले कार्यस्थान पूरे ग्राहक डेटा सहित लाइव सिस्टम से तुरंत मिटा दिए जाते हैं। कार्यस्थान में अन्य सदस्य हों, तो वह सबसे लंबे समय से जुड़े सदस्य को मिलता है, दर्शकों से पहले प्रशासकों को प्राथमिकता दी जाती है, और मिटता नहीं; इससे वह सदस्य उस कार्यस्थान का ग्राहक बनता है। जो यह नहीं चाहता, वह मिटाने से पहले अन्य सदस्यों या डोमेन को हटा देता है। खाते का अनुबंध किसी अन्य तरीके से समाप्त हो, उदाहरण के लिए सेवा की शर्तों के अंतर्गत हमारी समाप्ति से, तो समाप्ति सूचना के साथ ग्राहक को निर्यात का ध्यान दिलाते हैं और वह अनुबंध के अंत तक डाउनलोड कर सकता है। अनुबंध समाप्त होने के अधिकतम 30 दिनों के भीतर ग्राहक डेटा सहित खाता मिटाते हैं; वर्तमान में यह मैन्युअल होता है।

(4) क्या लौटाया नहीं जा सकता, हम पहले कहते हैं: लॉगिन के पीछे स्कैन के लॉगिन विवरण निर्यात का हिस्सा नहीं हैं क्योंकि वेब सर्वर उन्हें डिक्रिप्ट नहीं कर सकता (अनुलग्नक 1, मद 5); संदेश पहुँचने की जाँच की प्रतियाँ प्रसंस्करण के बाद नहीं रहतीं; “Fix it for me” का कोड बिल्कुल सहेजा नहीं जाता।

(5) बैकअप। हर रात डेटाबेस का बैकअप बनता है। प्रत्येक बैकअप 14 दिनों के बाद मिटा दिया जाता है। लाइव सिस्टम में मिटाया गया ग्राहक डेटा तब तक पुराने बैकअप में रहता है; बैकअप के भीतर अलग अभिलेख चुनकर नहीं मिटाते, क्योंकि बैकअप किसी समय की अपरिवर्तित प्रतिछवि होना चाहिए। समाप्ति तक बैकअप डेटाबेस की तरह सुरक्षित रहते हैं और केवल पुनर्स्थापना तथा उसके परीक्षण में उपयोग होते हैं; उनमें खोज या विश्लेषण नहीं किया जाता। बैकअप पुनर्स्थापित करना पड़े, तो उसकी तिथि के बाद के ज्ञात विलोपन अनुरोध सेवा फिर चालू होने से पहले दोबारा लागू करते हैं। इसलिए लाइव सिस्टम में मिटाने के अधिकतम 14 दिनों के बाद अभिलेख बैकअप से भी समाप्त हो जाता है।

(6) वर्तमान स्थिति में ग्राहक डेटा रखने का हमारा कोई दायित्व नहीं है। संघ या पोलिश कानून के अंतर्गत वैधानिक प्रतिधारण दायित्व उत्पन्न हो, तो संबंधित डेटा मिटाने के बजाय प्रतिबंधित करते हैं, केवल उसी उद्देश्य से उपयोग करते हैं और दायित्व समाप्त होने पर मिटाते हैं।

(7) अनुरोध पर 30 दिनों में पाठ रूप में विलोपन की पुष्टि करते हैं और बताते हैं कि अनुच्छेद 5 तथा 6 के अंतर्गत क्या और कब तक बाकी है।

§ 16 उल्लंघन, स्थगन और समाप्ति

(1) किसी भी कारण से इस समझौते का दायित्व पूरा न कर सकें, तो ग्राहक को बिना अनुचित देरी के बताते हैं।

(2) हम इस समझौते या GDPR का उल्लंघन करें, तो ग्राहक हमसे संबंधित ग्राहक डेटा का प्रसंस्करण उल्लंघन दूर होने तक स्थगित करने की माँग कर सकता है। उल्लंघन जारी रहे या गंभीर हो, तो ग्राहक उचित कारण से सेवा का अनुबंध समाप्त कर सकता है, विशेष रूप से यदि सूचना के एक महीने के भीतर उल्लंघन दूर न करें या उससे संबंधित न्यायालय अथवा पर्यवेक्षी प्राधिकरण का निर्णय न मानें। अनुबंध समाप्ति के बाद की अवधि के अग्रिम भुगतान किए शुल्क आनुपातिक रूप से वापस करते हैं।

(3) ग्राहक ऐसे निर्देश पर अड़ा रहे जिसे हम § 4(4) के अंतर्गत गैरकानूनी मानते हैं, तो प्रभावित सेवा का अनुबंध समाप्त कर सकते हैं, बशर्ते पहले ग्राहक को यह बताया हो और वह एक महीने में निर्देश न बदले।

(4) समाप्ति के बाद § 15 लागू होता है।

§ 17 दायित्व

(1) डेटा विषय की क्षति पर Art. 82 GDPR लागू होता है। इस दायित्व पर किसी संविदात्मक दायित्व सीमा का प्रतिबंध नहीं है, सेवा की शर्तों की सीमा का भी नहीं।

(2) कोई पक्ष Art. 82 GDPR के अंतर्गत डेटा विषय को मुआवज़ा दे, तो दूसरे पक्ष से उसकी क्षति की जिम्मेदारी के हिस्से के अनुरूप भाग वापस माँग सकता है (Art. 82(4) और (5) GDPR)। इस प्रतिपूर्ति पर भी सेवा की शर्तों की दायित्व सीमाएँ लागू नहीं हैं।

(3) इस समझौते के अंतर्गत ग्राहक और हमारे बीच अन्य सभी दावों पर, उदाहरण के लिए पक्ष की अपनी क्षति या लागत के मुआवज़े पर, कानून की अनुमत सीमा तक सेवा की शर्तों के दायित्व नियम लागू होते हैं। § 9(5) के अंतर्गत उप-प्रसंस्करणकर्ताओं के लिए अपने आचरण की तरह उत्तरदायी हैं। किसी पक्ष पर उसके अपने उल्लंघन के लिए पर्यवेक्षी प्राधिकरण द्वारा लगाया जुर्माना वह पक्ष स्वयं वहन करता है।

(4) डेटा विषय या पर्यवेक्षी प्राधिकरण किसी पक्ष के विरुद्ध दावा करे, तो वह दूसरे को बिना अनुचित देरी के बताता है और दोनों मामला स्पष्ट करने में सहयोग करते हैं। कोई पक्ष उस दावे को दूसरे की सहमति के बिना स्वीकार नहीं करता जिसके लिए दूसरे से प्रतिपूर्ति माँगना चाहता हो; सहमति वस्तुनिष्ठ कारण के बिना अस्वीकार नहीं की जा सकती।

§ 18 संपर्क बिंदु और डेटा संरक्षण अधिकारी

(1) ग्राहक इस समझौते से संबंधित डेटा संरक्षण प्रश्न, निर्देश और सूचनाएँ contact@lukaswojcik.com पर या सहायता विंडो और संपर्क पृष्ठ से भेजता है। इस समझौते की हमारी सूचनाएँ खाताधारक के ईमेल पते पर भेजी जाती हैं; ग्राहक उसे अद्यतित रखता है।

(2) हमने डेटा संरक्षण अधिकारी नियुक्त नहीं किया है क्योंकि हमारे आकलन में Art. 37(1) GDPR की शर्तें पूरी नहीं होतीं। यह बदले तो नियुक्ति की घोषणा इस समझौते में करेंगे।

§ 19 अंतिम प्रावधान

(1) प्राथमिकता। सेवा की शर्तों या अन्य समझौते का प्रावधान इससे टकराए, तो ग्राहक डेटा के प्रसंस्करण से संबंधित सभी मामलों में यह समझौता प्राथमिक है; ग्राहक की अपनी शर्तें लागू नहीं हैं। किसी व्यक्तिगत मामले में इस समझौते के संशोधन और परिवर्धन के लिए पाठ रूप और इसका स्पष्ट संदर्भ आवश्यक है; वे इसका हिस्सा बनते हैं और अपने प्रावधानों की सीमा तक इस पर प्राथमिकता रखते हैं। GDPR के अनिवार्य प्रावधानों से यह समझौता टकराए, तो वे प्रावधान प्राथमिक हैं।

(2) संशोधन। हम समझौता केवल निम्न वस्तुनिष्ठ कारणों में से किसी से संशोधित करते हैं: कानून या न्यायालयों और प्राधिकरणों द्वारा उसकी व्याख्या में बदलाव, यूरोपीय आयोग के नए मानक संविदात्मक खंडों से भी; सेवा, सुविधाओं या तकनीकी आधार में बदलाव; सेवा देने के लिए आवश्यक तृतीय पक्ष में बदलाव; दुरुपयोग या सुरक्षा जोखिम रोकना; या त्रुटियाँ और अस्पष्टताएँ सुधारना। संशोधित पाठ, कारण और नियोजित तिथि सहित संशोधन की घोषणा कम से कम 30 दिन पहले खाताधारक के पते पर ईमेल से और बदलावों के अवलोकन में करते हैं। इस सूचना अवधि के बिना केवल वही संशोधित करते हैं जो पूर्णतः ग्राहक के लाभ में हो, शुद्ध भाषाई हो या स्पष्ट त्रुटियाँ सुधारे, जिसे कानून, न्यायालय या प्राधिकरण कम सूचना में आवश्यक करे और जो आसन्न सुरक्षा जोखिम टालने के लिए आवश्यक हो; इन मामलों में भी यथाशीघ्र संशोधन बताते हैं और कारण देते हैं। मौन सहमति नहीं है। संशोधन में ग्राहक की सहमति आवश्यक हो, तो स्पष्ट रूप से लेते हैं; उसके बिना पिछला संस्करण लागू रहता है और वैधानिक तथा संविदात्मक समाप्ति अधिकार बने रहते हैं। ग्राहक घोषित संशोधन के प्रभावी होने तक पाठ रूप में आपत्ति कर सकता है; परिणाम सेवा की शर्तों में संशोधन पर आपत्ति के प्रावधानों से शासित हैं। अनुलग्नक 2 और 3 के संशोधन § 8(3) तथा § 9(2) और (3) से शासित हैं। सभी संस्करण अनुबंध दस्तावेज़ों में बदलाव के अवलोकन में दर्ज हैं।

(3) लागू कानून और अधिकार क्षेत्र। सेवा की शर्तों द्वारा निर्धारित कानून लागू है; GDPR के अनिवार्य प्रावधान अप्रभावित रहते हैं। अधिकार क्षेत्र सेवा की शर्तों से शासित है।

(4) भाषा। समझौता यूरोपीय संघ की सभी आधिकारिक भाषाओं में उपलब्ध है। विसंगति होने पर पोलिश संस्करण प्रामाणिक है।

(5) कोई प्रावधान अवैध हो, तो समझौते का शेष भाग वैध रहता है। अवैध प्रावधान का स्थान उसके उद्देश्य के सबसे निकट वैधानिक प्रावधान लेता है; संदेह होने पर ऐसा प्रावधान जो Art. 28(3) GDPR की आवश्यकताएँ पूरा करे।

अनुलग्नक 1 – ग्राहक की ओर से प्रसंस्करण

यह अनुलग्नक प्रत्येक सुविधा के लिए प्रसंस्करण का विषय, प्रकृति और उद्देश्य, व्यक्तिगत डेटा के प्रकार, डेटा विषयों की श्रेणियाँ और विलोपन बताता है (Art. 28(3), पहला वाक्य, GDPR)। अन्यथा न कहा हो, तो प्रसंस्करण की प्रकृति है: एकत्र करना, भंडारण, प्राप्त करना, मिलान, ग्राहक के निर्दिष्ट गंतव्यों को भेजना और मिटाना। प्रसंस्करण स्थान पोलैंड के हमारे अपने सर्वर हैं; उप-प्रसंस्करणकर्ता शामिल हो, तो बताया जाता है। घुँघराले कोष्ठकों की अवधियाँ वे सेटिंग हैं जिनके अनुसार रात्रिकालीन विलोपन वास्तव में होता है। प्रसंस्करण की अवधि इस समझौते की अवधि है (§ 3); उसके भीतर हर सुविधा की बताई विलोपन अवधि लागू होती है। ग्राहक सुविधा उपयोग करता रहे तब तक प्रसंस्करण लगातार होता है। व्यक्तिगत डेटा की विशेष श्रेणियाँ प्रसंस्करण का विषय नहीं हैं; फिर भी फ़ॉर्म ईमेल से सेवा में आएँ, तो § 6(4) लागू होता है।

1. संदेश पहुँचने की जाँच

उद्देश्य: जाँचना कि ग्राहक के फ़ॉर्म के ईमेल पहुँचते हैं और प्रामाणिक हैं या नहीं (SPF, DKIM, DMARC)।

कार्यप्रणाली: सुविधा वैकल्पिक है। ग्राहक अपने फ़ॉर्म में नियंत्रण मेलबॉक्स का पता गुप्त प्रतिलिपि (Bcc) के रूप में दर्ज करता है। इससे हर फ़ॉर्म ईमेल की प्रतिलिपि हमें भेजी जाती है, केवल हमारे परीक्षण सबमिशन की नहीं बल्कि आगंतुकों की वास्तविक पूछताछ की भी। स्वचालित प्राप्ति प्रक्रिया IMAP से हेडर और पाठ के अधिकतम शुरुआती 8 KB पढ़ती है, ईमेल को डोमेन और जहाँ लागू हो परीक्षण सबमिशन से जोड़ती है तथा प्रामाणिकता विशेषताएँ जाँचती है। सफल प्रसंस्करण के बाद ईमेल मेलबॉक्स से मिटा दिया जाता है। प्राप्ति या विलोपन त्रुटि पर वह अगली सफल प्रक्रिया तक मेलबॉक्स में रह सकता है।

डेटा: फ़ॉर्म ईमेल की सामग्री और हेडर, आगंतुकों द्वारा दर्ज नाम, ईमेल पता, टेलीफ़ोन संख्या और संदेश जैसी सभी जानकारी सहित, तथा प्रेषक और प्राप्तकर्ता पते और संबंधित मेल सर्वरों की तकनीकी जानकारी।

डेटा विषय: ग्राहक की वेबसाइट पर फ़ॉर्म जमा करने वाले आगंतुक; ग्राहक की ओर फ़ॉर्म ईमेल पाने वाले।

भंडारण और विलोपन: डेटाबेस में केवल समय, डोमेन से संबद्धता, जहाँ लागू हो परीक्षण सबमिशन की पहचान और प्रामाणिकता जाँच के परिणाम सहेजते हैं। समय और संबद्धता 180 दिनों तक रखे जाते हैं; सबसे नया प्रामाणिकता परिणाम डोमेन के साथ तब तक रहता है जब तक अगला ईमेल उसका स्थान न ले या डोमेन मिट न जाए। प्रामाणिकता परिणाम में ईमेल पहुँचाने वाले मेल सर्वर का IP पता और प्रेषक पते का डोमेन है; अलर्ट इस डोमेन का नाम केवल तब देता है जब वह वेबसाइट का न हो। आगंतुकों की सामग्री और पूरे प्रेषक पते डेटाबेस में नहीं रखे जाते। ईमेल सफल प्रसंस्करण के बाद मेलबॉक्स से मिटता है या प्राप्ति अथवा विलोपन त्रुटि पर देरी से मिटता है।

शामिल पक्ष: मेलबॉक्स का मेल सेवा प्रदाता (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA); प्रतियाँ हमारी डोमेन के MX रिकॉर्ड से सीधे उसके पास जाती हैं, अग्रेषण से नहीं, उप-प्रसंस्करणकर्ता देखें।

सीमा: मिलान केवल पुष्टि करता है कि संबंधित प्रतिलिपि नियंत्रण मेलबॉक्स में पहुँची, वास्तविक प्राप्तकर्ता को मिलने या CRM में प्रविष्टि की नहीं। नियंत्रण मेलबॉक्स के बिना सुविधा उपलब्ध नहीं है। प्रतियों में व्यक्तिगत डेटा की विशेष श्रेणियाँ नहीं होनी चाहिए (§ 6(4))।

2. क्लाइंट पोर्टल और सदस्यों को मासिक रिपोर्ट

उद्देश्य: ग्राहक की ओर से वेबसाइट के फ़ॉर्म की मासिक रिपोर्ट भेजना, सामान्यतः एजेंसी द्वारा अपने ग्राहकों को, और इन रिपोर्टों का पोर्टल देना।

डेटा: ईमेल पता, भाषा, सदस्यता का समय और IP पता, पुष्टि का समय (दोहरी सहमति) और सदस्यता रद्द करने का समय; रिपोर्ट की सामग्री (डोमेन, जाँच परिणाम, आँकड़े)।

डेटा विषय: ग्राहक के वे ग्राहक और संपर्क व्यक्ति जो रिपोर्ट की सदस्यता लेते हैं।

विलोपन: अपुष्ट सदस्यताएँ 30 दिनों के बाद। सदस्यता रद्द करने के बाद सदस्यता, पुष्टि और रद्द करने का अभिलेख तीन वर्ष रखा जाता है ताकि ग्राहक सहमति दिखा सके। अधिकतम कार्यस्थान के साथ सब मिट जाता है; केवल पोर्टल निरस्त करने से उसके सदस्य नहीं मिटते।

शामिल पक्ष: भेजने के लिए मेल सेवा प्रदाता (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA)।

3. अलर्ट, रिपोर्टें और घटनाएँ

उद्देश्य: ग्राहक द्वारा स्थापित गंतव्यों पर अलर्ट, संकलित सूचनाएँ और रिपोर्टें पहुँचाना तथा घटनाएँ प्रबंधित करना।

डेटा: ईमेल पते, वेबहुक और चैट चैनल के पते, प्राप्तकर्ता द्वारा जोड़ने के बाद Telegram चैट का ID; अधिसूचनाओं की सामग्री (डोमेन, घटना, समय, सेवा का लिंक, जाँच अलर्ट के लिए रिपोर्ट लिंक जिससे बिना साइन इन परिणाम और स्क्रीनशॉट देखे जा सकते हैं; Telegram को रिपोर्ट लिंक के बजाय केवल खाते के डोमेन पृष्ठ का लिंक मिलता है जिसके लिए साइन इन आवश्यक है); प्रेषण लॉग; प्रति घटना और गंतव्य एस्केलेशन पहुँचाने के प्रयास (संख्या, समय, परिणाम, त्रुटि); घटना की प्राप्ति की पुष्टि करने वाले का नाम या ईमेल पता और देय तिथि सहित उत्तरदायी व्यक्ति।

डेटा विषय: ग्राहक के कर्मचारी और सेवा प्रदाता जो अलर्ट पाते या घटनाएँ संभालते हैं।

विलोपन: गंतव्य तब तक जब तक ग्राहक उन्हें हटाए या डोमेन मिटाए; प्रेषण लॉग 90 दिनों के बाद; एकत्र अधिसूचनाएँ भेजने के 30 दिनों बाद; घटनाएँ अनसुलझी रहने तक और समाधान के 180 दिनों बाद तक, उनके एस्केलेशन पहुँचाने के प्रयासों सहित।

शामिल पक्ष: ईमेल के लिए मेल सेवा प्रदाता (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA); चैट सेवाओं और वेबहुक के लिए ग्राहक के चुने प्रदाता (§ 9(6))।

4. ग्राहक की वेबसाइटों की जाँच: संयोगवश दिखाई देने वाले व्यक्ति

उद्देश्य: ग्राहक के उन डोमेन के फ़ॉर्म और सुरक्षा की जाँच तथा निगरानी जिनके लिए उसने नियंत्रण का प्रमाण दिया है। डोमेन का प्रमाण न होने तक हम केवल निष्क्रिय जाँच करते हैं और इन जाँचों के नियंत्रक स्वयं हैं; यह गोपनीयता नीति में बताया गया है।

डेटा: स्कैन डोमेन के सार्वजनिक पृष्ठ पढ़ता है: पृष्ठों के पते, फ़ॉर्म की संरचना (फ़ील्ड नाम, प्रकार, लेबल, अनिवार्यता और दृश्यता एट्रिब्यूट, मान नहीं; पहले से भरे छिपे फ़ील्ड और डेटा एट्रिब्यूट के शुरुआती हिस्से स्कैनर केवल जाँच के दौरान पढ़ता है और सहेजता नहीं), एम्बेड स्क्रिप्ट, सुरक्षा उपाय। यह मुखपृष्ठ और फ़ॉर्म के दृश्यमान क्षेत्र के स्क्रीनशॉट लेता है और सक्रिय परीक्षण सबमिशन पर प्रतिक्रिया पृष्ठ के भी; इनमें जानकारी छिपाई नहीं जाती। उनमें और पढ़ी गई पृष्ठ सामग्री में ग्राहक द्वारा स्वयं प्रकाशित व्यक्तिगत डेटा हो सकता है, जैसे संपर्क व्यक्तियों के नाम और संपर्क विवरण, फ़ोटो या समीक्षाएँ। फ़ॉर्म के प्राप्तकर्ता पते केवल डोमेन के रूप में सहेजते हैं। प्रत्येक जाँच के लिए सेवा यादृच्छिक लिंक पर रिपोर्ट बनाती है जिससे जाँच मिटने तक परिणाम और स्क्रीनशॉट बिना साइन इन देखे जा सकते हैं; लिंक खाते और अलर्ट में आता है (मद 3)। जो लिंक आगे देता है, वह रिपोर्ट आगे देता है।

डेटा विषय: वे व्यक्ति जिनके विवरण ग्राहक की वेबसाइट पर दिखाई देते हैं।

विलोपन: स्क्रीनशॉट सहित जाँच परिणाम अधिकतम 13 महीनों के लिए; सबसे नई जाँच डोमेन खाते में रहने तक रखी जाती है। डोमेन हटने पर उसका डेटा, जाँचें, निष्कर्ष और स्क्रीनशॉट सहित, मिटता है।

टिप्पणी: हमारे अपने सर्वर का भाषा मॉडल उन फ़ॉर्म का वर्गीकरण करने में सहायता करता है जिनका उद्देश्य केवल नियम नहीं पहचान सकते। इस प्रकार वर्गीकृत फ़ॉर्म कभी जमा नहीं किए जाते और स्कोर या निर्णय में नहीं गिने जाते। सक्रिय परीक्षण सबमिशन (प्रति जाँच अधिकतम पाँच) में केवल चिह्नित परीक्षण पाठ होते हैं, व्यक्तिगत डेटा नहीं।

पात्र रिपोर्टों में कार्य योजना। मद 4 में वर्णित सत्यापित डोमेन की जाँचों के लिए हमारा स्थानीय भाषा मॉडल होस्ट नाम, फ़ॉर्म वाले पृष्ठों के पते, फ़ॉर्म के प्रकार, CMS की जानकारी, जहाँ उपलब्ध हो मौजूदा जोखिम स्तर और स्कोर, पहचाने गए किसी प्लगइन तथा विफल या अस्पष्ट परिणाम वाले चुने गए निष्कर्षों से एक छोटी, प्राथमिकता के क्रम में व्यवस्थित कार्य योजना भी बना सकता है। इन फ़ील्ड में संयोगवश व्यक्तिगत डेटा हो सकता है। प्रॉम्प्ट में स्क्रीनशॉट, दर्ज किए गए फ़ॉर्म मान या पृष्ठ का पूरा स्रोत शामिल नहीं होता। योजना उसी फ़ॉर्म सुरक्षा जाँच में सहायता करती है, वेबसाइट को नहीं बदलती और उसका स्कोर या निर्णय तय नहीं करती। अस्थायी अनुरोध और उत्तर आंतरिक कार्य कतार में परिणाम प्राप्त कर लिए जाने या एक घंटे से अधिक पुरानी प्रविष्टियों की निर्धारित सफ़ाई तक रखे जाते हैं; सेवा बंद होने के दौरान यह बिना शर्त मिटाने की गारंटी नहीं है। प्राप्त योजना स्कैन के साथ उन्हीं प्रतिधारण और विलोपन नियमों के अधीन रखी जाती है। मद 4 में असत्यापित डोमेन की निष्क्रिय जाँचों के लिए भूमिकाओं का जो भेद बताया गया है, वह लागू रहता है।

5. लॉगिन के पीछे स्कैन के लिए परीक्षण खाते के लॉगिन विवरण

उद्देश्य: ग्राहक द्वारा निर्दिष्ट साइन इन के पीछे अधिकतम पाँच पृष्ठों पर फ़ॉर्म पढ़ना। केवल सत्यापित डोमेन के लिए, केवल कार्यस्थान के स्वामी और प्रशासकों द्वारा, केवल सशुल्क योजनाओं में। परीक्षण खाता केवल पूर्ण जाँच में उपयोग होता है, ब्राउज़र जाँचों में नहीं (मद 6)।

डेटा: साइन इन पता, परीक्षण खाते का उपयोगकर्ता नाम और पासवर्ड, साइन इन फ़ील्ड की जानकारी; पढ़े गए पृष्ठों पर खाते को दिखाई देने वाली जानकारी, जहाँ तक फ़ॉर्म संरचना से संबंधित हो।

डेटा विषय: वह व्यक्ति जिसके नाम पर परीक्षण खाता है, यदि किसी व्यक्ति को सौंपा हो; वे व्यक्ति जिनके विवरण परीक्षण खाते में दिखाई दें।

सुरक्षा: वेब सर्वर पर उपयोगकर्ता नाम और पासवर्ड स्कैन सर्वर की सार्वजनिक कुंजी से एन्क्रिप्ट और डोमेन से बाँधे जाते हैं। स्कैन के दौरान केवल स्कैन सर्वर उन्हें डिक्रिप्ट कर सकता है; वेब सर्वर, डेटाबेस और बैकअप में केवल एन्क्रिप्टेड पाठ है। लॉगिन विवरण कभी प्रदर्शित, लॉग या इंटरफ़ेस से आउटपुट नहीं किए जाते; उपयोगकर्ता इंटरफ़ेस केवल उपयोगकर्ता नाम का पहला अक्षर और लंबाई दिखाता है। लॉगिन के पीछे कुछ जमा नहीं होता, कोई सक्रिय परीक्षण या स्क्रीनशॉट नहीं होता; साइन आउट, मिटाने या रद्द करने वाले पृष्ठ नहीं खोले जाते।

विलोपन: ग्राहक द्वारा लॉगिन विवरण हटाने या डोमेन मिटाने तक; हटाने पर एन्क्रिप्टेड पाठ अधिलेखित और लंबित कार्य साफ होते हैं। व्यक्तिगत स्कैन कार्य से जुड़ी प्रतिलिपि प्रक्रिया के बाद साफ होती है, कोई अवशेष अधिकतम एक घंटे बाद।

6. फ़ॉर्म यात्राएँ और ब्राउज़र जाँचें

उद्देश्य: नियमित जाँच कि कॉन्फ़िगर फ़ॉर्म वास्तविक ब्राउज़र में सबमिशन के पहले तक काम करते हैं या नहीं।

डेटा: फ़ॉर्म पते, चयनकर्ता, पूर्ववर्ती क्लिक और जाँच चरण, ब्राउज़र चुनाव, उत्तरदायी व्यक्ति और देय तिथि; स्थिति, तकनीकी त्रुटि श्रेणियों, संवेदनशील जानकारी से साफ त्रुटि संदेशों, समय मापन और ढके इनपुट फ़ील्ड वाले फ़ॉर्म स्क्रीनशॉट सहित परिणाम। व्यक्तिगत संबंध मुख्यतः उत्तरदायी व्यक्ति और ग्राहक द्वारा स्वयं चरणों या लेबल में लिखी सामग्री से आता है।

डेटा विषय: ग्राहक के वे कर्मचारी जिन्हें फ़ॉर्म सौंपे गए हैं।

विलोपन: कॉन्फ़िगरेशन डोमेन मिटाने तक; ग्राहक उन्हें अलग बदल या बंद कर सकता है, लेकिन अभी अलग हटा नहीं सकता। परिणाम 13 महीनों के बाद।

सीमा: ब्राउज़र जाँचें कुछ जमा नहीं करतीं। सेवा में स्वतंत्र दूसरी जाँच की व्यवस्था है लेकिन अभी स्थापित नहीं है; उसके बिना दूसरे स्थान से पुष्टि नहीं होती। तृतीय पक्ष के साथ स्थापित होने पर § 9 लागू होता है।

7. “Fix it for me”

उद्देश्य: ग्राहक द्वारा पेस्ट किए फ़ॉर्म कोड में सुरक्षा घटक जोड़ना।

डेटा: पेस्ट किया कोड, यदि उसमें व्यक्तिगत डेटा हो, उदाहरण के लिए टिप्पणियों, नमूना मानों या सीधे लिखे पतों में।

डेटा विषय: वे व्यक्ति जिनके विवरण कोड में हों।

प्रसंस्करण और विलोपन: हमारे अपने सर्वर का भाषा मॉडल घटक जोड़ता है। कोड केवल अनुरोध की अवधि तक प्रसंस्कृत होता है और सहेजा नहीं जाता। सेवा ग्राहक के सिस्टम के लॉगिन विवरण के बिना काम करती है और उसके सर्वर पर कुछ स्थापित नहीं करती।

8. अपनी ब्रांडिंग (व्हाइट-लेबल)

उद्देश्य: रिपोर्टों और क्लाइंट पोर्टल में ग्राहक की ब्रांडिंग दिखाना।

डेटा: कंपनी नाम, वेबसाइट, संपर्क विवरण और लोगो, जहाँ लागू हो संपर्क व्यक्ति का नाम और संपर्क विवरण।

डेटा विषय: ग्राहक के संपर्क व्यक्ति।

विलोपन: ग्राहक के विवरण बदलने या मिटाने तक, अधिकतम कार्यस्थान के साथ।

9. व्यक्तिगत संबंध के बिना पूरक आँकड़े

WordPress एक्सटेंशन के वैकल्पिक फ़ॉर्म और फ़ील्ड त्रुटि आँकड़ों में इनपुट, फ़ील्ड नाम या आगंतुक पहचान नहीं हैं और वे 13 महीनों तक रखे जाते हैं। फ़ॉर्म यात्राओं का रिकॉर्डर ग्राहक के ब्राउज़र में चरण अधिकतम 15 मिनट रखता है; स्थानीय दैनिक गणक उसकी वेबसाइट पर अधिकतम 14 दिन रहते हैं। पूर्ण चित्र देने के लिए उन्हें यहाँ सूचीबद्ध करते हैं; उनकी बनावट के कारण वे ग्राहक डेटा नहीं हैं।

10. फ़ॉर्म सुरक्षा (formconfirmed)

यह क्रमांक केवल तब लागू होता है जब ग्राहक फ़ॉर्म सुरक्षा चालू करता है (सेवा की शर्तें खंड 5.7)।

उद्देश्य: स्वचालित सबमिशन पहचानने के लिए ग्राहक की वेबसाइटों के फ़ॉर्म से आए सबमिशन का आकलन।

यह कैसे काम करता है: सुरक्षित फ़ॉर्म वाला पेज खुलने पर आगंतुक के ब्राउज़र में एक स्क्रिप्ट हमारे सर्वर से एक हस्ताक्षरित कार्य लाती है और उसे हल करती है (गणना का प्रमाण)। सबमिट करने पर ग्राहक का सर्वर परिणाम हमारे जाँच इंटरफ़ेस को प्रस्तुत करता है। हम जाँच टोकन के हस्ताक्षर, आयु, एकबारगी उपयोग और डोमेन की तथा अन्य संकेतों की जाँच करते हैं, जैसे फ़ॉर्म भरने में लगा समय, एक अदृश्य ट्रैप फ़ील्ड और एक ही छोटे किए गए पते से बार-बार आने वाले अनुरोध। यदि ग्राहक सामग्री जाँच चालू करता है, तो एक भाषा मॉडल संदेश के उस पाठ का आकलन करता है जिसे ग्राहक का सर्वर साथ भेजता है। उत्तर में अनुशंसित क्रिया और कारणों सहित एक स्कोर लौटता है; सबमिशन के साथ क्या हो, यह ग्राहक तय करता है। कोई कुकी नहीं, ब्राउज़र में कोई संग्रहण नहीं और कोई डिवाइस फ़िंगरप्रिंट नहीं।

डेटा: कार्य लाते समय और जाँच के समय आगंतुक का IP पता, पेज का पता और डोमेन, समय और फ़ॉर्म भरने में लगा समय, ट्रैप फ़ील्ड भरा गया या नहीं, वेब सर्वर लॉग में ब्राउज़र पहचानकर्ता; केवल सामग्री जाँच चालू होने पर संदेश का पाठ।

डेटा विषय: ग्राहक की वेबसाइटों के आगंतुक जो सुरक्षित फ़ॉर्म वाला पेज खोलते हैं या ऐसा फ़ॉर्म सबमिट करते हैं।

संग्रहण और विलोपन: IP पता केवल छोटा करके (IPv4 अंतिम बाइट के बिना, IPv6 पहले 48 बिट) और प्रतिदिन बदलने वाली कुंजी के साथ हैश मान के रूप में एक घंटे तक संग्रहीत होता है; उपयोग हो चुके जाँच टोकन अधिकतम ग्यारह मिनट; IP पते और पाठ के बिना जाँच परिणाम (क्रिया, स्कोर, कारण, डोमेन, सामग्री जाँच की श्रेणी) 30 दिन; व्यक्तिगत संबंध के बिना दैनिक आँकड़े 400 दिन; वेब सर्वर लॉग 14 दिन। संदेश का पाठ केवल कार्य-स्मृति में प्रसंस्कृत होता है और न संग्रहीत होता है, न लॉग होता है, न प्रशिक्षण में उपयोग होता है।

कहाँ: पोलैंड में हमारे अपने सर्वरों पर, भाषा मॉडल हमारे अपने हार्डवेयर पर; कोई अतिरिक्त उप-प्रसंस्करणकर्ता नहीं हैं।

अनुलग्नक 2 – तकनीकी और संगठनात्मक उपाय

उपाय तकनीकी और संगठनात्मक उपाय पृष्ठ पर हैं। संबंधित समय पर प्रकाशित संस्करण में वह इस समझौते का हिस्सा है; बदलाव § 8(3) से शासित हैं।

अनुलग्नक 3 – उप-प्रसंस्करणकर्ता

अधिकृत उप-प्रसंस्करणकर्ता उप-प्रसंस्करणकर्ता पृष्ठ पर सूचीबद्ध हैं। संबंधित समय पर प्रकाशित संस्करण में वह इस समझौते का हिस्सा है; बदलाव § 9(2) और (3) से शासित हैं।

शुरू करने से पहले लंबित: नियोजित मेल सेवा प्रदाता Namecheap, Inc. (Private Email), Phoenix, Arizona, USA है। इस उपयोग पर लागू डेटा प्रसंस्करण समझौता, वास्तविक प्रसंस्करण स्थान और हस्तांतरण का उपयुक्त आधार अभी प्रलेखित किए जाने हैं। यह संस्करण न संपन्न समझौते और न Data Privacy Framework के अंतर्गत प्रमाणन की पुष्टि करता है।

संस्करण

29 अक्टूबर 2026 का संस्करण 2.2, संस्करण 2.1 का प्रतिस्थापन। बदलाव: फ़ॉर्म सुरक्षा formconfirmed पर अनुलग्नक 1 में नया क्रमांक 10; यह केवल तब लागू होता है जब ग्राहक इसे चालू करता है। अन्य कोई प्रावधान नहीं बदलता।

22 अक्टूबर 2026 का संस्करण 2.1, संस्करण 2.0 का प्रतिस्थापन। बदलाव: विसंगति होने पर अब जर्मन के बजाय पोलिश संस्करण प्रामाणिक है; समझौता यूरोपीय संघ की सभी आधिकारिक भाषाओं में उपलब्ध है (भाषा खंड)। अन्य कोई प्रावधान नहीं बदलता।

11 अक्टूबर 2026 का संस्करण 2.0, 9 अक्टूबर 2026 के संस्करण का प्रतिस्थापन। बदलाव: मानक संविदात्मक खंड 2021/915 के संदर्भ के साथ Art. 28(3) GDPR के अनुसार संरचना; प्रत्येक सुविधा के लिए अनुलग्नक 1 संपूर्ण, अब लॉगिन के पीछे स्कैन के लॉगिन विवरण, फ़ॉर्म यात्राएँ और संदेश पहुँचने की जाँच की सीमाएँ भी शामिल; तकनीकी और संगठनात्मक उपाय तथा उप-प्रसंस्करणकर्ता सूची अलग पृष्ठ हैं और अनुलग्नक 2 और 3 के रूप में समझौते का हिस्सा हैं; वापसी और विलोपन का चुनाव, समाप्ति वाले बैकअप और विलोपन अनुरोध फिर लागू करना, तत्काल ऑडिट के लिए निश्चित प्रतीक्षा अवधि नहीं, उप-प्रसंस्करणकर्ताओं के लिए अपने आचरण जैसा दायित्व।