डेटा प्रोसेसिंग परिशिष्ट (DPA)

पक्ष और प्रभावी तिथि

यह डेटा प्रोसेसिंग परिशिष्ट (DPA) उस समझौते का हिस्सा है जो ग्राहक द्वारा सेवाओं के उपयोग को नियंत्रित करता है (समझौता), जब इसे हस्ताक्षरित किया जाता है या उसमें स्पष्ट रूप से शामिल किया जाता है।

• ग्राहक वह व्यक्ति या संगठन है जिसकी पहचान समझौते, ऑर्डर फ़ॉर्म या हस्ताक्षर अनुभाग में की गई है।
• Phaseo का अर्थ Daniel Butler है, जो Phaseo नाम से व्यवसाय करते हैं; सेवा पता [सेवा पता तथा आवश्यक कर या पंजीकरण विवरण यहाँ भरें]।

प्रभावी तिथि वह तारीख है जिस दिन इस DPA पर अंतिम हस्ताक्षर होता है या इसे वैध रूप से समझौते में शामिल किया जाता है।

यदि ग्राहक के व्यक्तिगत डेटा की प्रोसेसिंग के संबंध में यह DPA और समझौता परस्पर विरोधी हों, तो यह DPA प्रभावी होगा। समझौते के अन्य प्रावधान अपरिवर्तित रहेंगे।

1. परिभाषाएँ

• लागू डेटा संरक्षण कानून इस DPA के अंतर्गत प्रोसेसिंग पर लागू गोपनीयता और डेटा संरक्षण कानून है। इसमें UK GDPR, Data Protection Act 2018, Data (Use and Access) Act 2025 (जहाँ तक वह यूके के डेटा संरक्षण कानून में संशोधन करता है), EU GDPR और उन्हें लागू या पूरक करने वाला लागू राष्ट्रीय कानून शामिल है।
• ग्राहक डेटा वह डेटा है जो ग्राहक या उसकी ओर से सेवाओं में जमा किया जाता है, या जिसे सेवाओं के माध्यम से Phaseo से प्रोसेस करने का निर्देश ग्राहक देता है।
• ग्राहक का व्यक्तिगत डेटा ग्राहक डेटा में मौजूद वह व्यक्तिगत डेटा है जिसे Phaseo ग्राहक की ओर से प्रोसेस करता है।
• AI प्रदाता ऐसा तृतीय पक्ष है जिसे AI model या संबंधित सेवा चलाने का अनुरोध प्राप्त होता है।
• सेवाएँ समझौते के दायरे में आने वाली Phaseo सेवाएँ हैं।
• उप-प्रोसेसर ऐसा अन्य processor है जिसे Phaseo सेवाओं के लिए ग्राहक का व्यक्तिगत डेटा प्रोसेस करने हेतु नियुक्त करता है।
• नियंत्रक, प्रोसेसर, डेटा विषय, व्यक्तिगत डेटा उल्लंघन और प्रोसेस करना के वही अर्थ हैं जो लागू डेटा संरक्षण कानून में दिए गए हैं।

2. दायरा, भूमिकाएँ और निर्देश

1. ग्राहक, ग्राहक के व्यक्तिगत डेटा का नियंत्रक है और Phaseo उसका processor है। यदि ग्राहक स्वयं processor है, तो Phaseo ग्राहक का उप-प्रोसेसर होगा और ग्राहक पुष्टि करता है कि संबंधित नियंत्रक ने उसके निर्देश अधिकृत किए हैं।
2. Phaseo ग्राहक के व्यक्तिगत डेटा को केवल ग्राहक के दस्तावेज़ीकृत निर्देशों के अनुसार प्रोसेस करेगा। समझौता, यह DPA, ग्राहक के API अनुरोध, चुने गए model और provider, routing नियम, उत्पाद सेटिंग और लिखित सहायता अनुरोध दस्तावेज़ीकृत निर्देश हैं। इनमें सेवाएँ देने के लिए आवश्यक transfer भी शामिल हैं।
3. यदि यूके या EU कानून के तहत Phaseo को ग्राहक के निर्देश के बिना ग्राहक का व्यक्तिगत डेटा प्रोसेस करना आवश्यक हो, तो कानून द्वारा सूचना देने पर रोक न होने पर Phaseo प्रोसेसिंग से पहले ग्राहक को बताएगा।
4. यदि Phaseo को लगे कि कोई निर्देश लागू डेटा संरक्षण कानून का उल्लंघन करता है, तो वह ग्राहक को बताएगा। पक्षों द्वारा समस्या हल किए जाने तक Phaseo प्रभावित प्रोसेसिंग रोक सकता है।
5. अनुबंध 1 में प्रोसेसिंग का विषय, अवधि, प्रकृति और उद्देश्य, व्यक्तिगत डेटा के प्रकार, डेटा विषयों की श्रेणियाँ तथा पक्षों के संबंधित अधिकार और दायित्व बताए गए हैं।
6. जहाँ Phaseo अपने प्रोसेसिंग उद्देश्यों और साधनों का निर्धारण करता है, वहाँ वह स्वतंत्र नियंत्रक के रूप में कार्य करता है; इसमें खाता प्रशासन, बिलिंग, धोखाधड़ी रोकथाम, कानूनी अनुपालन और सेवाओं की सुरक्षा शामिल हैं। इस प्रोसेसिंग पर गोपनीयता नीति लागू होती है। केवल सेवाओं से होकर गुजरने के कारण Phaseo gateway सामग्री को स्वतंत्र नियंत्रक डेटा नहीं मानेगा।

3. ग्राहक की ज़िम्मेदारियाँ

1. ग्राहक लागू डेटा संरक्षण कानून का पालन करेगा, सभी आवश्यक सूचनाएँ देगा और अपने निर्देशों तथा ग्राहक के व्यक्तिगत डेटा के लिए वैध कानूनी आधार रखेगा।
2. ग्राहक विशेष श्रेणी के डेटा, अपराध-संबंधी डेटा, भुगतान कार्ड का पूरा डेटा या अन्य अत्यधिक संवेदनशील डेटा जमा नहीं करेगा, जब तक समझौता इसकी स्पष्ट अनुमति न दे और ग्राहक चुनी गई सेटिंग तथा AI प्रदाताओं का आकलन न कर ले।
3. ग्राहक अपने AI प्रदाताओं पर लगाए गए प्रतिबंधों, डेटा रखने और लॉगिंग सेटिंग, credentials तथा ग्राहक द्वारा निर्देशित गंतव्यों के लिए जिम्मेदार है।
4. ग्राहक सेवाओं तक पहुँच सीमित रखेगा, अपने credentials सुरक्षित रखेगा और अनधिकृत पहुँच या गैर-कानूनी प्रोसेसिंग का संदेह होने पर तुरंत Phaseo को सूचित करेगा।

4. गोपनीयता और सुरक्षा

1. Phaseo ग्राहक के व्यक्तिगत डेटा तक पहुँच केवल उन लोगों को देगा जिन्हें सेवाएँ प्रदान करने, सुरक्षित रखने, सहायता देने या कानून का पालन करने के लिए इसकी आवश्यकता हो।
2. Phaseo द्वारा ग्राहक का व्यक्तिगत डेटा प्रोसेस करने के लिए अधिकृत प्रत्येक व्यक्ति पर संविदात्मक गोपनीयता दायित्व या उपयुक्त वैधानिक दायित्व लागू होगा।
3. Phaseo अनुबंध 2 में दिए गए तकनीकी और संगठनात्मक उपाय बनाए रखेगा। ये UK GDPR और EU GDPR के अनुच्छेद 32 में सूचीबद्ध कारकों को ध्यान में रखते हुए जोखिम के अनुरूप सुरक्षा स्तर देंगे।
4. सेवाओं के विकास के साथ Phaseo अलग-अलग उपाय बदल सकता है, लेकिन समझौते की अवधि के दौरान ग्राहक के व्यक्तिगत डेटा की समग्र सुरक्षा को महत्वपूर्ण रूप से कम नहीं करेगा।

5. उप-प्रोसेसर और AI प्रदाता

1. ग्राहक Phaseo को उप-प्रोसेसर सूची में दिए गए उप-प्रोसेसरों का उपयोग करने की सामान्य लिखित अनुमति देता है।
2. नया उप-प्रोसेसर ग्राहक का व्यक्तिगत डेटा प्रोसेस करना शुरू करे उससे कम-से-कम 30 दिन पहले Phaseo ग्राहक को सूचित करेगा। सूचना खाते के ईमेल पते पर भेजी जाएगी और सूची में दर्ज होगी। यदि तत्काल सुरक्षा या सेवा-निरंतरता की आवश्यकता के कारण पहले सूचना देना संभव न हो, तो Phaseo यथाशीघ्र सूचना देगा।
3. सूचना अवधि के दौरान ग्राहक उचित डेटा-संरक्षण आधार पर लिखित आपत्ति कर सकता है। पक्ष सद्भावना से आपत्ति सुलझाने की कोशिश करेंगे। समाधान न होने पर Phaseo उस उप-प्रोसेसर का उपयोग टाल सकता है, सेवा में उचित बदलाव दे सकता है या ग्राहक को समझौते के अनुसार प्रभावित सेवाएँ बंद करने दे सकता है।
4. Phaseo प्रत्येक उप-प्रोसेसर पर लिखित शर्तें लागू करेगा जो ग्राहक के व्यक्तिगत डेटा को इस DPA की लागू शर्तों से कम सुरक्षा न दें। लागू डेटा संरक्षण कानून की सीमा तक Phaseo उप-प्रोसेसर के काम के लिए जिम्मेदार रहेगा।
5. Phaseo-प्रबंधित route से उपयोग किया गया AI प्रदाता तब उप-प्रोसेसर है जब वह Phaseo की ओर से ग्राहक का व्यक्तिगत डेटा प्रोसेस करे। यदि ग्राहक अपने credentials देता है या AI प्रदाता से सीधा समझौता करता है, तो सूची में अलग बात न होने पर वह ग्राहक द्वारा निर्देशित प्राप्तकर्ता होगा। प्रदाता की कानूनी भूमिका वास्तविक प्रोसेसिंग और लागू कानून पर निर्भर है, इस DPA में दिए नाम पर नहीं।
6. ग्राहक Phaseo को अपने routing कॉन्फ़िगरेशन से अनुमत AI प्रदाताओं को ग्राहक डेटा बताने का निर्देश देता है। प्रदाता की पहचान, स्थान, डेटा रखने या training नीति महत्वपूर्ण हो तो ग्राहक उपलब्ध प्रतिबंध लगा सकता है।

6. सहायता और नियामक दायित्व

1. प्रोसेसिंग की प्रकृति को ध्यान में रखते हुए, Phaseo डेटा विषयों के अनुरोधों का लागू डेटा संरक्षण कानून के अनुसार उत्तर देने में ग्राहक की मदद के लिए उचित तकनीकी और संगठनात्मक उपाय करेगा।
2. यदि किसी डेटा विषय से ग्राहक के व्यक्तिगत डेटा के बारे में अनुरोध सीधे Phaseo को मिलता है, तो Phaseo उसे ग्राहक के पास भेजेगा। ग्राहक के निर्देश या कानूनी आवश्यकता के बिना Phaseo ग्राहक की ओर से जवाब नहीं देगा।
3. प्रोसेसिंग की प्रकृति और उपलब्ध जानकारी को ध्यान में रखते हुए, Phaseo सुरक्षा, व्यक्तिगत डेटा उल्लंघन सूचनाओं, डेटा संरक्षण प्रभाव आकलन और पर्यवेक्षी प्राधिकरण से पूर्व परामर्श संबंधी दायित्व पूरे करने में ग्राहक की सहायता करेगा।
4. जहाँ लागू डेटा संरक्षण कानून आवश्यक करे, Phaseo रिकॉर्ड रखेगा और पर्यवेक्षी प्राधिकरणों के साथ सहयोग करेगा।
5. यदि ग्राहक मानक उत्पाद सुविधाओं से अधिक पर्याप्त सहायता माँगता है, तो Phaseo उचित और सहमत लागत ले सकता है, जब तक कि सहायता Phaseo द्वारा इस DPA के उल्लंघन के कारण आवश्यक न हुई हो।

7. व्यक्तिगत डेटा का उल्लंघन

1. ग्राहक के व्यक्तिगत डेटा को प्रभावित करने वाले व्यक्तिगत डेटा उल्लंघन का पता चलने पर Phaseo बिना अनुचित देरी के ग्राहक को सूचित करेगा।
2. उस समय उपलब्ध जानकारी के अनुसार, सूचना में उल्लंघन की प्रकृति, प्रभावित डेटा विषयों और रिकॉर्ड की श्रेणियाँ और अनुमानित संख्या, संभावित परिणाम, उठाए गए या प्रस्तावित कदम तथा आगे की जानकारी के लिए संपर्क शामिल होगा। Phaseo यह जानकारी चरणों में दे सकता है।
3. Phaseo उल्लंघन को रोकने, जाँचने, उसका प्रभाव कम करने और सुधारने के लिए उचित कदम उठाएगा। कानूनन आवश्यक सूचना देने के लिए ग्राहक को जिस जानकारी और सहायता की यथोचित आवश्यकता है, Phaseo वह देगा।
4. Phaseo की सूचना गलती या दायित्व स्वीकार करना नहीं है। पर्यवेक्षी प्राधिकरण या प्रभावित डेटा विषयों को सूचित करना आवश्यक है या नहीं, यह तय करने की जिम्मेदारी ग्राहक की है।

8. अंतरराष्ट्रीय transfers

1. Phaseo ग्राहक के व्यक्तिगत डेटा का प्रतिबंधित transfer केवल ग्राहक के दस्तावेज़ीकृत निर्देशों पर और लागू डेटा संरक्षण कानून का पालन करते हुए करेगा।
2. पक्ष लागू पर्याप्तता निर्णय या विनियम पर भरोसा कर सकते हैं। ऐसा न होने पर वे अंतरराष्ट्रीय transfers के लिए European Commission की 2021 Standard Contractual Clauses, UK International Data Transfer Agreement, उन EU clauses का UK Addendum या अन्य वैध सुरक्षा उपाय पूरा करेंगे।
3. यदि transfer सुरक्षा उपाय के लिए जोखिम आकलन या यूके डेटा संरक्षण परीक्षण आवश्यक हो, तो Phaseo उपलब्ध जानकारी देगा और पक्षों द्वारा सहमत पूरक उपाय लागू करेगा।
4. यदि कोई transfer तंत्र कानूनी आधार देना बंद कर दे, तो पक्ष कोई अन्य वैध तंत्र अपनाएँगे या प्रभावित प्रोसेसिंग रोक देंगे।
5. हस्ताक्षर से पहले अनुबंध 4 में पर्याप्तता से न ढके हर transfer के exporter और importer, लागू SCC module, शासक कानून, पर्यवेक्षी प्राधिकरण, वैकल्पिक clauses, यूके तंत्र और प्रोसेसिंग स्थान बताए जाएँगे।

9. वापसी और हटाना

1. समझौते की अवधि में ग्राहक उपलब्ध उत्पाद नियंत्रणों से समर्थित ग्राहक डेटा प्राप्त या हटा सकता है।
2. सेवाएँ समाप्त होने पर, ग्राहक की पसंद के अनुसार Phaseo ग्राहक का व्यक्तिगत डेटा लौटाएगा या हटाएगा और उसकी मौजूदा प्रतियाँ मिटाएगा, जब तक कानून उन्हें रखने की माँग न करे। ग्राहक समाप्ति से पहले या उसके 30 दिनों के भीतर अपनी पसंद बताएगा। कोई विकल्प न मिलने पर Phaseo डेटा हटा देगा।
3. Phaseo निर्देश या समाप्ति तिथि के 30 दिनों के भीतर सक्रिय सिस्टम से ग्राहक का व्यक्तिगत डेटा हटाएगा। स्वयं-सेवा workflow Auth खाता और सक्रिय database रिकॉर्ड हटाता है, जुड़े Stripe ग्राहक प्रोफ़ाइल मिटाता है और निजी R2 वस्तुओं तथा Gateway KV प्रविष्टियों को दोबारा प्रयास योग्य purge के लिए कतार में रखता है। पूर्णता रिकॉर्ड में उपयोगकर्ता या workspace पहचानकर्ता नहीं रखे जाते।
4. बैकअप प्रतियाँ सुरक्षित रहती हैं और बैकअप चक्र से हटाए जाने तक सामान्य उपयोग से अलग रखी जाती हैं। प्रोडक्शन Supabase प्रोजेक्ट में दैनिक डेटाबेस पुनर्स्थापन बिंदुओं का सात-दिवसीय इतिहास है और point-in-time recovery बंद है। Phaseo हस्ताक्षर से पहले और बैकअप योजना में बदलाव के बाद इस अवधि की फिर से जाँच करेगा।
5. Phaseo द्वारा हटाने से स्वतंत्र नियंत्रक या ग्राहक-निर्देशित प्राप्तकर्ता के पास रखा डेटा नहीं हटता। ग्राहक को उन पक्षों को अलग से निर्देश देना होगा।

10. जानकारी और ऑडिट

1. गोपनीयता और सुरक्षा दायित्वों के अधीन, Phaseo इस DPA और अनुच्छेद 28 के अनुपालन का उचित प्रमाण देने के लिए आवश्यक जानकारी उपलब्ध कराएगा।
2. जाँच का अनुरोध करने से पहले ग्राहक सामान्यतः Phaseo की वर्तमान trust सामग्री और लिखित उत्तरों की समीक्षा करेगा। इससे कानून या पर्यवेक्षी प्राधिकरण द्वारा आवश्यक ऑडिट सीमित नहीं होता।
3. ग्राहक हर 12 महीने में एक बार और व्यक्तिगत डेटा उल्लंघन या महत्वपूर्ण गैर-अनुपालन के विश्वसनीय प्रमाण के बाद Phaseo का ऑडिट कर सकता है। अत्यावश्यक स्थिति या पर्यवेक्षी प्राधिकरण द्वारा कम अवधि माँगे जाने को छोड़कर, कम-से-कम 30 दिन पहले सूचना देनी होगी।
4. ऑडिट ग्राहक या गोपनीयता से बँधे स्वतंत्र योग्य ऑडिटर द्वारा किया जाएगा। इसमें अन्य ग्राहकों के डेटा, source code या असंबंधित सिस्टम तक पहुँच नहीं होनी चाहिए। Phaseo सहयोग करेगा और सीधी पहुँच से सुरक्षा जोखिम होने पर समान प्रमाण दे सकता है।
5. ऑडिट में Phaseo द्वारा इस DPA का महत्वपूर्ण उल्लंघन न पाए जाने तक ग्राहक अपने और Phaseo के उचित ऑडिट खर्च वहन करेगा।
6. Phaseo के पास फिलहाल SOC 2 रिपोर्ट, ISO 27001 प्रमाणपत्र या स्वतंत्र penetration-test रिपोर्ट नहीं है।

11. अवधि, दायित्व और सामान्य शर्तें

1. यह DPA तब तक लागू रहेगा जब तक Phaseo समझौते के अंतर्गत ग्राहक का व्यक्तिगत डेटा प्रोसेस करता है।
2. इस DPA की कोई बात किसी पक्ष को लागू डेटा संरक्षण कानून द्वारा सीधे उस पर लगाए गए दायित्व या उत्तरदायित्व से मुक्त नहीं करती।
3. समझौते में दिए गए दायित्व-सीमा और अपवाद कानून द्वारा अनुमत सीमा तक इस DPA पर लागू होंगे।
4. समझौते के कानून-चयन और विवाद संबंधी प्रावधान लागू होंगे, जब तक लागू डेटा संरक्षण कानून या शामिल transfer तंत्र कुछ और आवश्यक न करे।

अनुबंध 1: प्रोसेसिंग का विवरण

अनुबंध 2: तकनीकी और संगठनात्मक उपाय

• सार्वजनिक सेवा वितरण और Phaseo से AI प्रदाताओं के कनेक्शन के लिए HTTPS।
• स्वयं-प्रबंधित प्रदाता क्रेडेंशियल को संग्रहीत करने से पहले AES-256-GCM से एन्क्रिप्ट किया जाता है। समर्थित वेबहुक और सूचना सीक्रेट भी एन्क्रिप्टेड रूप में रखे जाते हैं।
• API, प्रबंधन और OAuth secrets के लिए एक-तरफ़ा key-आधारित या password-आधारित derivation।
• Workspace भूमिकाएँ, database access नीतियाँ, सीमित API और OAuth अनुमतियाँ, consent screens और अनुमति वापस लेने के नियंत्रण।
• संवेदनशील प्रमाणीकरण और realtime routes पर rate limits तथा अनुरोध और कॉन्फ़िगरेशन की सीमाओं पर संरचित validation।
• मुख्य अनुरोध डेटाबेस और analytics से raw gateway सामग्री बाहर रखी जाती है, सिवाय response cache, I/O logging, data contribution, AI Provider और ग्राहक-निर्देशित destination paths के, जिनका वर्णन सुरक्षा दस्तावेज़ में है।
• प्रबंधित अवसंरचना लॉग, अनुरोध मेटाडेटा, प्रदाता की स्थिति के संकेत और सार्वजनिक घटना-स्थिति पृष्ठ।
• संस्करण नियंत्रण, निर्भरता लॉकफ़ाइलें, स्वचालित लिंटिंग, प्रकार-जाँच, लक्षित परीक्षण और निजी भेद्यता रिपोर्टिंग।

ये उपाय Phaseo के स्वयं दिए गए विवरण पर आधारित हैं। Phaseo स्वतंत्र रूप से ऑडिट किए गए सुरक्षा कार्यक्रम, परीक्षण किए गए disaster recovery कार्यक्रम या औपचारिक प्रमाणन का दावा नहीं करता।

अनुबंध 3: उप-प्रोसेसर

दिनांकित उप-प्रोसेसर सूची पर इस DPA के निष्पादन के समय अनुबंध 3 लागू होगा। नए प्रदाताओं और प्रतिस्थापन पर अनुभाग 5 लागू है।

Phaseo ने सक्रिय Phaseo-प्रबंधित AI प्रदाताओं का प्रारंभिक वर्गीकरण पूरा किया है। हस्ताक्षर से पहले, सूची में पहचानी गई लंबित प्रोसेसर-अनुबंध, खाता-सेटिंग, transfer और डेटा-रखने की जाँच पूरी करनी होगी और ग्राहक के व्यक्तिगत डेटा के लिए स्वीकृत न होने वाले managed provider को हटाना या सीमित करना होगा। ग्राहक के अपने credentials या समझौते के तहत उपयोग किए गए प्रदाता अलग सूचीबद्ध रहेंगे।

अनुबंध 4: प्रतिबंधित transfer की शर्तें

यदि ग्राहक का व्यक्तिगत डेटा किसी लागू पर्याप्तता निर्णय या विनियम के बिना transfer होगा, तो हस्ताक्षर से पहले यह अनुबंध पूरा करें। Transfer तंत्र, exporter और importer, देश, डेटा और डेटा विषयों की श्रेणियाँ, आवृत्ति, उद्देश्य, डेटा रखने की अवधि, सक्षम पर्यवेक्षी प्राधिकरण, शासक कानून, वैकल्पिक SCC clauses और पूरक उपाय बताएँ।

मसौदे का आधार

यह मसौदा यूके Information Commissioner's Office की वर्तमान प्रोसेसर-अनुबंध जाँचसूची और अनुच्छेद 28 तथा अंतरराष्ट्रीय transfers पर European Commission सामग्री पर आधारित है। ICO बताता है कि Data (Use and Access) Act 2025 के बाद उसके कुछ मार्गदर्शन की समीक्षा की जा रही है। योग्य वकील को हस्ताक्षर प्रति को उस समय लागू कानून और मार्गदर्शन के अनुसार जाँचना चाहिए।

• ICO: नियंत्रक-प्रोसेसर अनुबंध की अनिवार्य शर्तें
• ICO: अंतरराष्ट्रीय transfers
• European Commission: नियंत्रक-प्रोसेसर मानक clauses

हस्ताक्षर अनुभाग