डेटा प्रोसेसिंग समझौता

यह डेटा प्रोसेसिंग समझौता ("DPA") Melaya Labs LLC ("Melaya") और शर्तों को स्वीकार करने वाले व्यावसायिक ग्राहक ("ग्राहक") के बीच सेवा की शर्तों ("शर्तें") का हिस्सा है। यह उन शर्तों को निर्धारित करता है जो तब लागू होती हैं जब Melaya, Melaya प्लेटफ़ॉर्म प्रदान करने में ग्राहक की ओर से व्यक्तिगत जानकारी का प्रसंस्करण करता है, जिसमें Agentic Framework, Assistant, कनेक्टर्स, Device Control, Browser Control, Computer Control, और संबंधित सेवाएं ("सेवाएं") शामिल हैं। यह DPA संदर्भ द्वारा शर्तों में सम्मिलित है और बिना हस्ताक्षर के ग्राहक तथा Melaya को बाध्य करता है। ग्राहक info@melaya.org पर लिखकर Melaya द्वारा प्रति-हस्ताक्षरित प्रति का अनुरोध कर सकता है।

1. परिभाषाएं और व्याख्या

इस DPA में, निम्नलिखित शब्दों के अर्थ नीचे दिए गए हैं। अन्य बड़े अक्षरों से चिह्नित शब्दों के वही अर्थ हैं जो शर्तों में दिए गए हैं।

• "डेटा संरक्षण कानून" का अर्थ है व्यक्तिगत जानकारी के संरक्षण से संबंधित वे सभी कानून जो शर्तों के अंतर्गत ग्राहक व्यक्तिगत जानकारी के प्रसंस्करण पर लागू होते हैं, जिनमें विनियम (EU) 2016/679 ("GDPR"), GDPR जहां तक यह यूनाइटेड किंगडम के कानून का हिस्सा है ("UK GDPR") तथा UK Data Protection Act 2018, और 25 सितंबर 2020 का Swiss Federal Act on Data Protection ("FADP") शामिल हैं, प्रत्येक अपने संशोधित या प्रतिस्थापित रूप में।
• "ग्राहक व्यक्तिगत जानकारी" का अर्थ है वह व्यक्तिगत जानकारी जिसे Melaya, सेवाएं प्रदान करने में ग्राहक की ओर से प्रसंस्करण करता है, जैसा कि अनुलग्नक I में वर्णित है, जिसमें User Content में निहित व्यक्तिगत जानकारी तथा वह व्यक्तिगत जानकारी शामिल है जिसे ग्राहक के एजेंट, पाइपलाइन, और Assistant वार्तालाप कनेक्टेड सेवाओं से पढ़ते हैं या उन्हें भेजते हैं।
• "अधिकृत उपयोगकर्ता" का अर्थ है वह व्यक्ति जिसे ग्राहक अपने खाते या प्रोजेक्ट्स के अंतर्गत सेवाओं का उपयोग करने की अनुमति देता है।
• "कनेक्टेड सेवा" का अर्थ है कोई तृतीय-पक्ष एप्लिकेशन, खाता, सेवा, डिवाइस, या मॉडल प्रदाता जिसे ग्राहक या उसके अधिकृत उपयोगकर्ता सेवाओं के साथ उपयोग के लिए कनेक्ट करते हैं या चुनते हैं, जैसे Odoo, HubSpot, Google Workspace, Microsoft Teams, Slack, कोई एक्सचेंज खाता, या कोई भाषा मॉडल प्रदाता।
• "उप-प्रोसेसर" का अर्थ है कोई तृतीय पक्ष जिसे Melaya अपनी ओर से ग्राहक व्यक्तिगत जानकारी का प्रसंस्करण करने हेतु नियुक्त करता है। कोई कनेक्टेड सेवा उप-प्रोसेसर नहीं है, सिवाय इसके कि धारा 3.5 में बताया गया है।
• "व्यक्तिगत जानकारी उल्लंघन" का अर्थ है सुरक्षा का ऐसा उल्लंघन जिसके परिणामस्वरूप Melaya या उसके उप-प्रोसेसरों द्वारा प्रेषित, संग्रहीत, या अन्यथा प्रसंस्कृत ग्राहक व्यक्तिगत जानकारी का आकस्मिक या अवैध विनाश, हानि, परिवर्तन, अनधिकृत प्रकटीकरण, या उस तक अनधिकृत पहुंच होती है। इसमें असफल प्रयास या ऐसी गतिविधियां शामिल नहीं हैं जो ग्राहक व्यक्तिगत जानकारी की सुरक्षा से समझौता नहीं करतीं, जैसे पिंग, पोर्ट स्कैन, या असफल लॉग-इन प्रयास।
• "SCCs" का अर्थ है व्यक्तिगत जानकारी के तृतीय देशों को स्थानांतरण हेतु मानक संविदात्मक खंड, जो Commission Implementing Decision (EU) 2021/914, दिनांक 4 जून 2021 के अनुलग्नक में निर्धारित हैं।
• "UK Addendum" का अर्थ है UK Information Commissioner द्वारा Data Protection Act 2018 की धारा 119A के अंतर्गत जारी किया गया, EU Commission Standard Contractual Clauses का International Data Transfer Addendum, संस्करण B1.0, जो 21 मार्च 2022 से प्रभावी है।
• "नियंत्रक", "प्रोसेसर", "डेटा विषय", "व्यक्तिगत जानकारी", "प्रसंस्करण", और "पर्यवेक्षी प्राधिकरण" के वही अर्थ हैं जो GDPR में दिए गए हैं, और इनमें अन्य डेटा संरक्षण कानूनों में समतुल्य शब्द भी शामिल हैं।

2. दायरा और पक्षों की भूमिकाएं

2.1 यह DPA तब लागू होता है जब ग्राहक व्यावसायिक या पेशेवर उद्देश्यों के लिए सेवाओं का उपयोग करता है और Melaya, ग्राहक की ओर से ग्राहक व्यक्तिगत जानकारी का प्रसंस्करण करता है। यह उस व्यक्ति पर लागू नहीं होता जो विशुद्ध रूप से व्यक्तिगत या घरेलू उद्देश्यों के लिए सेवाओं का उपयोग करता है; उस उपयोग पर गोपनीयता नीति लागू होती है।

2.2 ग्राहक व्यक्तिगत जानकारी के संबंध में, ग्राहक नियंत्रक है, या अपने नियंत्रक की ओर से कार्य करने वाला प्रोसेसर है, और Melaya प्रोसेसर है, या जहां ग्राहक प्रोसेसर के रूप में कार्य करता है वहां उप-प्रोसेसर है। जहां ग्राहक प्रोसेसर के रूप में कार्य करता है, वहां ग्राहक यह वारंट करता है कि उसके नियंत्रक ने ग्राहक के निर्देशों और Melaya की नियुक्ति को अधिकृत किया है, और ग्राहक Melaya का एकमात्र संपर्क बिंदु बना रहता है।

2.3 Melaya उस व्यक्तिगत जानकारी के लिए, जिसे वह अपने स्वयं के उद्देश्यों हेतु प्रसंस्कृत करता है, एक स्वतंत्र नियंत्रक के रूप में कार्य करता है, न कि इस DPA के अंतर्गत: खाते बनाना और प्रशासित करना, अधिकृत उपयोगकर्ताओं को प्रमाणित करना, बिलिंग और भुगतान, धोखाधड़ी और दुरुपयोग की रोकथाम, सेवाओं की सुरक्षा और अखंडता, सहायता और सेवा संचार, समेकित उपयोग विश्लेषण, कानूनी अनुपालन, तथा कानूनी दावों की स्थापना या बचाव। गोपनीयता नीति उस प्रसंस्करण का वर्णन करती है।

2.4 यह DPA तब तक लागू रहता है जब तक Melaya ग्राहक व्यक्तिगत जानकारी का प्रसंस्करण करता है, जिसमें शर्तें समाप्त होने के बाद की अवधि भी शामिल है, जब तक कि Melaya धारा 11 के अंतर्गत ग्राहक व्यक्तिगत जानकारी को विलोपित नहीं कर देता।

3. ग्राहक के निर्देशों पर प्रसंस्करण

3.1 Melaya ग्राहक व्यक्तिगत जानकारी का प्रसंस्करण केवल ग्राहक के प्रलेखित निर्देशों पर करेगा, जिसमें किसी तृतीय देश को स्थानांतरण के संबंध में निर्देश भी शामिल हैं, जब तक कि Melaya जिस कानून के अधीन है वह अन्यथा आवश्यक न करे। ऐसी स्थिति में Melaya प्रसंस्करण से पहले ग्राहक को उस कानूनी आवश्यकता की सूचना देगा, जब तक कि वह कानून सार्वजनिक हित के महत्वपूर्ण आधारों पर ऐसा करने से निषिद्ध न करे।

3.2 ग्राहक के प्रलेखित निर्देशों में शामिल हैं: शर्तें और यह DPA; ग्राहक और उसके अधिकृत उपयोगकर्ताओं द्वारा सेवाओं का विन्यास और उपयोग, जिसमें पाइपलाइन, एजेंट, प्रॉम्प्ट, Assistant वार्तालाप, शेड्यूल, ट्रिगर, अपलोड किए गए दस्तावेज़, रिट्रीवल इंडेक्स, कनेक्टर्स, चयनित मॉडल और प्रदाता, तथा चयनित अनुमोदन या स्वायत्तता मोड शामिल हैं; और पक्षों द्वारा सहमत कोई भी अतिरिक्त लिखित निर्देश। ग्राहक अपने अधिकृत उपयोगकर्ताओं और विन्यासित स्वचालनों द्वारा दिए गए निर्देशों के लिए उत्तरदायी है।

3.3 यदि Melaya की राय में कोई निर्देश डेटा संरक्षण कानूनों का उल्लंघन करता है, तो Melaya अनुचित विलंब के बिना ग्राहक को सूचित करेगा, और जब तक ग्राहक निर्देश की पुष्टि या परिवर्तन नहीं करता तब तक संबंधित प्रसंस्करण को निलंबित कर सकता है। Melaya ग्राहक के निर्देशों की कानूनी समीक्षा करने के लिए बाध्य नहीं है।

3.4 जब ग्राहक कोई कनेक्टेड सेवा कनेक्ट करता है, उदाहरण के लिए Odoo के लिए Melaya मॉड्यूल के माध्यम से कोई Odoo डेटाबेस, कोई HubSpot खाता, कोई Google खाता, Microsoft Teams, या कोई Slack वर्कस्पेस, तो Melaya उस डेटा का प्रसंस्करण करता है जिसे ग्राहक के एजेंट, पाइपलाइन, और Assistant वार्तालाप उस सेवा से पढ़ते हैं या उसमें लिखते हैं, केवल ग्राहक द्वारा निर्देशित कार्यों को पूरा करने के लिए, और केवल उस पहुंच के भीतर जो ग्राहक उस कनेक्शन को प्रदान करता है, जैसे ग्राहक द्वारा अनुमोदित OAuth स्कोप, या Odoo के मामले में, Melaya Agent उपयोगकर्ता के पहुंच अधिकार। ग्राहक यह तय करता है कि कौन-सी सेवाएं, खाते, स्कोप, और रिकॉर्ड कनेक्ट किए जाते हैं, और वह उन्हें किसी भी समय डिस्कनेक्ट कर सकता है।

3.5 वह डेटा जिसे ग्राहक सेवाओं को किसी कनेक्टेड सेवा को भेजने का निर्देश देता है, जिसमें ग्राहक द्वारा चयनित किसी मॉडल प्रदाता को भेजे गए प्रॉम्प्ट और संदर्भ शामिल हैं, ग्राहक के निर्देशों पर प्रकट किया जाता है, और कनेक्टेड सेवा उसका प्रसंस्करण ग्राहक के साथ अपनी स्वयं की शर्तों के अंतर्गत करती है। Melaya किसी कनेक्टेड सेवा द्वारा उन शर्तों के अंतर्गत किए गए प्रसंस्करण के लिए उत्तरदायी नहीं है। जहां कोई प्रदाता ग्राहक व्यक्तिगत जानकारी का प्रसंस्करण ग्राहक के बजाय Melaya के साथ किए गए अनुबंध के अंतर्गत करता है, वहां Melaya उस प्रदाता को धारा 6 के अंतर्गत उप-प्रोसेसर मानता है।

3.6 Melaya ग्राहक व्यक्तिगत जानकारी को न तो बेचेगा और न ही विज्ञापन के लिए उपयोग करेगा। इस धारा 3.6 में निर्धारित के अतिरिक्त, Melaya ग्राहक व्यक्तिगत जानकारी का उपयोग AI मॉडल को प्रशिक्षित या बेहतर बनाने के लिए नहीं करेगा। Melaya, गोपनीयता नीति में वर्णित अनुसार, Computer Control और डेस्कटॉप ऐप इंटरैक्शन डेटा का उपयोग अपने स्वयं के मॉडल और सुविधाओं को प्रशिक्षित करने, मूल्यांकन करने, और बेहतर बनाने के लिए कर सकता है, जब तक कि ग्राहक info@melaya.org पर लिखकर आपत्ति न करे। आपत्ति के बाद, Melaya आगे से ग्राहक के डेटा के उस उपयोग को बंद कर देगा।

3.7 ग्राहक इसके लिए उत्तरदायी है: जिस प्रसंस्करण का वह निर्देश देता है उसके लिए वैध आधार रखना, डेटा संरक्षण कानूनों द्वारा अपेक्षित सूचनाएं देना और सहमतियां प्राप्त करना, जिन कनेक्टेड सेवाओं, डिवाइसों, कंप्यूटरों, और खातों को वह कनेक्ट करता है उन पर अधिकार रखना, और ग्राहक व्यक्तिगत जानकारी की सटीकता सुनिश्चित करना। ग्राहक ऐसे प्रसंस्करण का निर्देश नहीं देगा जिसे डेटा संरक्षण कानून निषिद्ध करते हैं।

4. गोपनीयता

Melaya यह सुनिश्चित करेगा कि जिन व्यक्तियों को वह ग्राहक व्यक्तिगत जानकारी का प्रसंस्करण करने हेतु अधिकृत करता है, उन्होंने स्वयं को गोपनीयता के प्रति प्रतिबद्ध किया है या वे गोपनीयता के किसी उपयुक्त सांविधिक दायित्व के अधीन हैं, और यह कि उनकी पहुंच केवल उतनी ही सीमित है जितनी सेवाओं को प्रदान करने, समर्थन देने, और सुरक्षित रखने के लिए आवश्यक है। Melaya ग्राहक व्यक्तिगत जानकारी को तृतीय पक्षों के समक्ष प्रकट नहीं करेगा, सिवाय इसके कि इस DPA द्वारा अनुमत हो, ग्राहक के निर्देशों पर हो, या कानून द्वारा अपेक्षित हो। यदि कोई सार्वजनिक प्राधिकरण ग्राहक व्यक्तिगत जानकारी तक पहुंच का अनुरोध करता है, तो Melaya, जहां कानूनी रूप से अनुमत हो, ग्राहक को सूचित करेगा और प्राधिकरण को ग्राहक की ओर निर्देशित करेगा, और केवल उतना न्यूनतम डेटा प्रकट करेगा जितना अनुरोध हेतु कानूनी रूप से आवश्यक है।

5. सुरक्षा

5.1 Melaya, GDPR के अनुच्छेद 32 द्वारा अपेक्षित अनुसार, ग्राहक व्यक्तिगत जानकारी को व्यक्तिगत जानकारी उल्लंघन से बचाने के लिए उपयुक्त तकनीकी और संगठनात्मक उपायों को लागू करेगा और बनाए रखेगा। ये उपाय अनुलग्नक II में तथा melaya.org/legal/security पर सुरक्षा अवलोकन में वर्णित हैं।

5.2 ग्राहक ने अनुलग्नक II और सुरक्षा अवलोकन की समीक्षा कर ली है, जिसमें वे नियंत्रण भी शामिल हैं जिन्हें वे प्रगति में या अभी तक लागू न किए गए के रूप में वर्णित करते हैं, और सहमत है कि, तकनीक की वर्तमान स्थिति, कार्यान्वयन की लागत, तथा प्रसंस्करण की प्रकृति, दायरे, संदर्भ, और उद्देश्यों को ध्यान में रखते हुए, वे उस ग्राहक व्यक्तिगत जानकारी के जोखिम के अनुरूप सुरक्षा का स्तर प्रदान करते हैं जिसे ग्राहक सेवाओं के साथ प्रसंस्करण करने हेतु चुनता है।

5.3 Melaya समय के साथ अपने उपायों को अद्यतन कर सकता है, बशर्ते कि कोई अद्यतन सेवाओं की समग्र सुरक्षा को भौतिक रूप से कम न करे।

5.4 सुरक्षा साझा जिम्मेदारी है। ग्राहक अपने स्वयं के खातों, क्रेडेंशियल, डिवाइसों, कंप्यूटरों, और कनेक्टेड सेवाओं की सुरक्षा के लिए, सेवाओं को उपयुक्त रूप से विन्यासित करने के लिए, जिसमें अनुमतियां, कनेक्टेड स्कोप, ऐप allowlists, और अनुमोदन मोड शामिल हैं, और उस सामग्री के लिए जिसे वह प्रस्तुत करना चुनता है, उत्तरदायी है।

6. उप-प्रोसेसर

6.1 ग्राहक, Melaya को उप-प्रोसेसरों को नियुक्त करने हेतु एक सामान्य लिखित प्राधिकरण देता है। किसी भी समय Melaya जिन उप-प्रोसेसरों का उपयोग करता है, वे melaya.org/legal/subprocessors पर सूचीबद्ध हैं, जो अनुलग्नक III का निर्माण करते हैं।

6.2 किसी उप-प्रोसेसर द्वारा ग्राहक व्यक्तिगत जानकारी का प्रसंस्करण करने से पहले, Melaya उसके साथ एक लिखित अनुबंध करेगा जो, उप-प्रोसेसर द्वारा प्रदान की जाने वाली सेवा पर लागू होने की सीमा तक, इस DPA में दिए गए दायित्वों से कम सुरक्षात्मक डेटा संरक्षण दायित्व नहीं लगाता। Melaya प्रत्येक उप-प्रोसेसर के दायित्वों के निष्पादन के लिए ग्राहक के प्रति उत्तरदायी बना रहता है।

6.3 Melaya किसी नए उप-प्रोसेसर द्वारा ग्राहक व्यक्तिगत जानकारी का प्रसंस्करण शुरू करने से पहले कम से कम पंद्रह (15) दिन की सूचना देगा, जो उप-प्रोसेसर पृष्ठ को अद्यतन करके तथा ईमेल द्वारा या सेवाओं के माध्यम से ग्राहक को सूचित करके दी जाएगी। जहां Melaya को कानून का पालन करने या किसी सुरक्षा अथवा सेवा-निरंतरता जोखिम को दूर करने हेतु किसी उप-प्रोसेसर को तत्काल प्रतिस्थापित करना आवश्यक हो, वहां वह कम अवधि की सूचना दे सकता है और उसके बाद यथासंभव शीघ्र सूचना देगा।

6.4 ग्राहक, सूचना अवधि के भीतर info@melaya.org पर लिखकर, उचित डेटा संरक्षण आधारों पर किसी नए उप-प्रोसेसर पर आपत्ति कर सकता है। पक्ष सद्भावपूर्वक उस आपत्ति पर चर्चा करेंगे। यदि वे उचित समय के भीतर इसका समाधान नहीं कर पाते, तो ग्राहक लिखित सूचना द्वारा नए उप-प्रोसेसर से प्रभावित सेवाओं को समाप्त कर सकता है, और Melaya समाप्ति के बाद की अवधि के लिए किसी भी पूर्व-भुगतान किए गए शुल्क को वापस करेगा। समाप्ति और वह वापसी किसी अनसुलझी आपत्ति के लिए ग्राहक का एकमात्र उपाय है।

7. अंतरराष्ट्रीय स्थानांतरण

7.1 Melaya Labs LLC संयुक्त राज्य अमेरिका में स्थापित है, और Melaya का प्राथमिक उत्पादन बुनियादी ढांचा, जिसमें प्राथमिक डेटाबेस और कैश शामिल हैं, सिंगापुर में होस्ट किया गया है। ग्राहक व्यक्तिगत जानकारी का प्रसंस्करण उप-प्रोसेसर पृष्ठ पर सूचीबद्ध उप-प्रोसेसरों के स्थानों पर भी किया जा सकता है। Melaya ग्राहक व्यक्तिगत जानकारी को सीमाओं के पार केवल इस धारा 7 और डेटा संरक्षण कानूनों के अनुसार स्थानांतरित करेगा।

7.2 जिस सीमा तक Melaya को ग्राहक व्यक्तिगत जानकारी का ग्राहक द्वारा स्थानांतरण किसी ऐसे तृतीय देश को स्थानांतरण है जो GDPR के अधीन है और किसी पर्याप्तता निर्णय या किसी अन्य वैध स्थानांतरण तंत्र द्वारा कवर नहीं किया गया है, उस सीमा तक SCCs इस DPA में सम्मिलित हैं और निम्नानुसार लागू होते हैं:

• जहां ग्राहक नियंत्रक है वहां मॉड्यूल 2 (नियंत्रक से प्रोसेसर) लागू होता है, और जहां ग्राहक प्रोसेसर है वहां मॉड्यूल 3 (प्रोसेसर से प्रोसेसर) लागू होता है। ग्राहक डेटा निर्यातक है और Melaya डेटा आयातक है।
• खंड 7 (docking clause) लागू होता है।
• खंड 9(a) के अंतर्गत, विकल्प 2 (सामान्य लिखित प्राधिकरण) लागू होता है, जिसकी सूचना अवधि धारा 6.3 में निर्धारित है।
• खंड 11(a) में दी गई वैकल्पिक भाषा लागू नहीं होती।
• खंड 13 के अंतर्गत, सक्षम पर्यवेक्षी प्राधिकरण का निर्धारण खंड 13(a) के अनुसार किया जाता है।
• खंड 17 के अंतर्गत, विकल्प 1 लागू होता है और SCCs आयरलैंड के कानून द्वारा शासित होते हैं। खंड 18(b) के अंतर्गत, विवादों का समाधान आयरलैंड के न्यायालयों द्वारा किया जाता है।
• SCCs के अनुलग्नक I, II, और III को इस DPA के अनुलग्नक I, II, और III की जानकारी के साथ पूर्ण किया जाता है।
• खंड 8.9 के अंतर्गत ऑडिट धारा 10 के अनुसार किए जाते हैं, और खंड 8.5 में संदर्भित विलोपन का प्रमाणन ग्राहक के लिखित अनुरोध पर प्रदान किया जाता है।

7.3 जिस सीमा तक स्थानांतरण UK GDPR के अधीन है, उस सीमा तक SCCs, UK Addendum द्वारा संशोधित रूप में लागू होते हैं, जो इस DPA में सम्मिलित है। UK Addendum की Table 1 को अनुलग्नक I में दिए गए पक्षों के विवरण के साथ, Table 2 को धारा 7.2 में चयनित मॉड्यूल और विकल्पों के साथ, और Table 3 को इस DPA के अनुलग्नक I से III के साथ पूर्ण किया जाता है। Table 4 के लिए, कोई भी पक्ष UK Addendum की धारा 19 के अंतर्गत इसे समाप्त नहीं कर सकता।

7.4 जिस सीमा तक स्थानांतरण FADP के अधीन है, उस सीमा तक SCCs निम्नलिखित परिवर्तनों के साथ लागू होते हैं: GDPR के संदर्भों को FADP के संदर्भ के रूप में पढ़ा जाएगा; Swiss Federal Data Protection and Information Commissioner, FADP द्वारा शासित स्थानांतरणों के लिए सक्षम पर्यवेक्षी प्राधिकरण है; "Member State" शब्द स्विट्ज़रलैंड में डेटा विषयों को खंड 18(c) के अनुसार अपने सामान्य निवास स्थान पर दावा लाने से नहीं रोकता; और, जहां स्थानांतरण FADP और GDPR दोनों के अधीन है, वहां धारा 7.2 में चयनित शासी कानून और मंच लागू होता है।

7.5 जहां Melaya ग्राहक व्यक्तिगत जानकारी को किसी तृतीय देश में किसी उप-प्रोसेसर को स्थानांतरित करता है, वहां Melaya यह सुनिश्चित करेगा कि वह स्थानांतरण किसी वैध स्थानांतरण तंत्र, जैसे SCCs, द्वारा कवर किया गया है, और जहां आवश्यक हो वहां अनुलग्नक II में वर्णित पूरक उपायों द्वारा भी।

7.6 यदि इस धारा 7 में निर्भर किया गया कोई स्थानांतरण तंत्र अमान्य या प्रतिस्थापित हो जाता है, तो पक्ष किसी वैध विकल्प को लागू करने हेतु सद्भावपूर्वक सहयोग करेंगे।

8. ग्राहक को सहायता

8.1 प्रसंस्करण की प्रकृति को ध्यान में रखते हुए, Melaya यथासंभव उपयुक्त तकनीकी और संगठनात्मक उपायों के माध्यम से डेटा विषयों के अपने अधिकारों का प्रयोग करने के अनुरोधों का उत्तर देने में ग्राहक की सहायता करेगा। सेवाएं अधिकृत उपयोगकर्ताओं को अपने स्वयं के खाता डेटा का निर्यात, सुधार, और विलोपन करने तथा वार्तालाप, दस्तावेज़, रिट्रीवल इंडेक्स, और कनेक्शन विलोपित करने देती हैं। यदि Melaya को किसी डेटा विषय से ग्राहक व्यक्तिगत जानकारी से संबंधित कोई अनुरोध प्राप्त होता है, तो वह, जहां वह ग्राहक की पहचान कर सकता है, अनुचित विलंब के बिना वह अनुरोध ग्राहक को अग्रेषित करेगा, और स्वयं उस अनुरोध का उत्तर नहीं देगा, सिवाय डेटा विषय को ग्राहक की ओर निर्देशित करने के या ग्राहक के निर्देशानुसार कार्य करने के।

8.2 प्रसंस्करण की प्रकृति और Melaya को उपलब्ध जानकारी को ध्यान में रखते हुए, Melaya उन डेटा संरक्षण प्रभाव आकलनों और पर्यवेक्षी प्राधिकरणों के साथ पूर्व परामर्शों में ग्राहक को उचित सहायता प्रदान करेगा जिनकी डेटा संरक्षण कानून सेवाओं के संबंध में ग्राहक से अपेक्षा करते हैं, मुख्यतः इस DPA, सुरक्षा अवलोकन, और धारा 10 में वर्णित जानकारी को उपलब्ध कराकर।

8.3 जहां डेटा संरक्षण कानून अनुमति देते हैं, वहां Melaya इस धारा 8 के अंतर्गत ऐसी सहायता के लिए उचित शुल्क ले सकता है जो सेवाओं की स्व-सेवा सुविधाओं और Melaya द्वारा सामान्यतः उपलब्ध कराए गए प्रलेखन से आगे हो।

9. व्यक्तिगत जानकारी उल्लंघन

9.1 Melaya किसी व्यक्तिगत जानकारी उल्लंघन की सूचना अनुचित विलंब के बिना, और किसी भी स्थिति में उसके बारे में जानकारी होने के बहत्तर (72) घंटों के भीतर, ग्राहक को देगा। Melaya यह सूचना ग्राहक के खाते से जुड़े ईमेल पते पर तथा ग्राहक द्वारा Melaya को लिखित रूप में दिए गए किसी भी सुरक्षा संपर्क को भेजेगा।

9.2 वह सूचना, उस समय तक ज्ञात सीमा तक, व्यक्तिगत जानकारी उल्लंघन की प्रकृति का वर्णन करेगी, जिसमें संबंधित डेटा विषयों और रिकॉर्ड की श्रेणियां और अनुमानित संख्या; इसके संभावित परिणाम; इसे दूर करने और इसके संभावित प्रतिकूल प्रभावों को कम करने हेतु उठाए गए या प्रस्तावित उपाय; और अधिक जानकारी के लिए एक संपर्क बिंदु शामिल होगा। जहां यह जानकारी एक साथ उपलब्ध न हो, वहां Melaya इसे बिना किसी अतिरिक्त अनुचित विलंब के चरणों में प्रदान करेगा।

9.3 Melaya व्यक्तिगत जानकारी उल्लंघन को नियंत्रित करने, उसकी जांच करने, और उसका निवारण करने हेतु उचित कदम उठाएगा और ग्राहक को पर्यवेक्षी प्राधिकरणों तथा डेटा विषयों को सूचित करने के अपने स्वयं के दायित्वों को पूरा करने हेतु आवश्यक उचित सहायता देगा। Melaya ग्राहक की ओर से उसके डेटा विषयों या पर्यवेक्षी प्राधिकरणों को किसी व्यक्तिगत जानकारी उल्लंघन की सूचना नहीं देगा, जब तक कि ग्राहक इसका निर्देश न दे या कानून इसकी अपेक्षा न करे।

9.4 किसी व्यक्तिगत जानकारी उल्लंघन के संबंध में Melaya की सूचना या प्रतिक्रिया, दोष या दायित्व की स्वीकृति नहीं है।

10. ऑडिट और अनुपालन प्रदर्शन

10.1 Melaya, GDPR के अनुच्छेद 28 और इस DPA के अनुपालन को प्रदर्शित करने हेतु उचित रूप से आवश्यक जानकारी ग्राहक को उपलब्ध कराएगा: यह DPA और सुरक्षा अवलोकन; info@melaya.org पर लिखित अनुरोध पर, Melaya का वर्तमान नियंत्रण मैट्रिक्स और प्रगतिरत निवारणों की सूची; तथा किसी भी बारह (12) माह की अवधि में एक बार से अधिक नहीं, किसी उचित सुरक्षा और गोपनीयता प्रश्नावली के Melaya के लिखित उत्तर। Melaya के पास वर्तमान में कोई SOC 2 रिपोर्ट, ISO/IEC 27001 प्रमाणपत्र, या कोई समतुल्य तृतीय-पक्ष सत्यापन नहीं है, और यदि यह बदलता है तो वह ग्राहक को बताएगा। गैर-सार्वजनिक जानकारी गोपनीयता दायित्वों के अधीन प्रदान की जाती है।

10.2 यदि वह जानकारी अनुपालन प्रदर्शित करने हेतु पर्याप्त नहीं है, जहां कोई पर्यवेक्षी प्राधिकरण इसकी अपेक्षा करता है, या किसी व्यक्तिगत जानकारी उल्लंघन के बाद, ग्राहक इस DPA के साथ Melaya के अनुपालन का ऑडिट स्वयं या किसी स्वतंत्र ऑडिटर के माध्यम से कर सकता है जो गोपनीयता दायित्वों से बाध्य है और Melaya का प्रतिस्पर्धी नहीं है। ग्राहक को प्रस्तावित दायरे सहित कम से कम तीस (30) दिन की लिखित सूचना देनी होगी, और पक्ष पहले से दायरे, समय, और अवधि पर सहमत होंगे। ऑडिट किसी भी बारह (12) माह की अवधि में एक बार से अधिक नहीं होते, सिवाय इसके कि कोई पर्यवेक्षी प्राधिकरण अन्यथा अपेक्षा करे या किसी व्यक्तिगत जानकारी उल्लंघन के बाद, सामान्य व्यावसायिक घंटों के दौरान, और इस प्रकार से कि Melaya के परिचालन में अनुचित व्यवधान न हो।

10.3 Melaya पहले दस्तावेज़ समीक्षा और साक्षात्कारों के माध्यम से ऑडिट को दूरस्थ रूप से करने की पेशकश करेगा। ऑन-साइट ऑडिट केवल तभी होगा जब दूरस्थ ऑडिट उचित रूप से अपना उद्देश्य प्राप्त न कर सके। कोई ऑडिट Melaya के अन्य ग्राहकों के डेटा, कानूनी विशेषाधिकार द्वारा संरक्षित जानकारी, या उप-प्रोसेसरों की सुविधाओं तक विस्तारित नहीं होता, जिसके लिए Melaya उन उप-प्रोसेसरों से प्राप्त प्रासंगिक जानकारी उपलब्ध कराएगा।

10.4 ग्राहक ऑडिट की अपनी लागत स्वयं वहन करता है और किसी ऑन-साइट ऑडिट का समर्थन करने की Melaya की उचित लागतों की प्रतिपूर्ति करता है, सिवाय इसके कि ऑडिट से Melaya द्वारा इस DPA का कोई भौतिक उल्लंघन उजागर हो। ग्राहक Melaya को ऑडिट रिपोर्ट की एक प्रति देगा, जो Melaya की गोपनीय जानकारी है।

11. ग्राहक व्यक्तिगत जानकारी की वापसी और विलोपन

11.1 शर्तों की अवधि के दौरान, ग्राहक सेवाओं का उपयोग करके ग्राहक व्यक्तिगत जानकारी का निर्यात और विलोपन कर सकता है, जिसमें खाता सेटिंग्स में डेटा निर्यात और खाता विलोपन सुविधाएं तथा वार्तालाप, दस्तावेज़, रिट्रीवल इंडेक्स, और कनेक्शन का विलोपन शामिल है।

11.2 जब ग्राहक का खाता बंद हो जाता है या शर्तें समाप्त हो जाती हैं, तो Melaya अपनी सक्रिय प्रणालियों से ग्राहक व्यक्तिगत जानकारी को अनुचित विलंब के बिना, और किसी भी स्थिति में तीस (30) दिनों के भीतर, विलोपित करेगा, जब तक कि Melaya जिस कानून के अधीन है वह डेटा को बनाए रखने की अपेक्षा न करे। ग्राहक को खाता बंद करने से पहले वह कोई भी ग्राहक व्यक्तिगत जानकारी निर्यात करनी होगी जिसे वह रखना चाहता है। बंद करने से पहले किए गए ग्राहक के लिखित अनुरोध पर, Melaya ग्राहक व्यक्तिगत जानकारी को किसी सामान्यतः उपयोग किए जाने वाले, मशीन-पठनीय प्रारूप में वापस करने में उचित सहायता प्रदान करेगा।

11.3 Melaya के एन्क्रिप्टेड बैकअप में ग्राहक व्यक्तिगत जानकारी की प्रतियां, सुरक्षा अवलोकन में वर्णित बैकअप प्रतिधारण अनुसूची के अंतर्गत बैकअप की समय-सीमा समाप्त होने पर विलोपित कर दी जाती हैं। तब तक वे इस DPA के अंतर्गत संरक्षित रहती हैं और किसी अन्य उद्देश्य के लिए उपयोग नहीं की जातीं।

11.4 अवधि के दौरान, रन लॉग, ट्रेस, और टेलीमेट्री को गोपनीयता नीति में वर्णित योजना-निर्भर प्रतिधारण खिड़कियों के अनुसार विलोपित किया जाता है। Melaya उस डेटा को वापस नहीं बुला सकता जिसे ग्राहक ने सेवाओं को किसी कनेक्टेड सेवा को भेजने का निर्देश दिया था। ग्राहक के लिखित अनुरोध पर, Melaya लिखित रूप में विलोपन की पुष्टि करेगा।

12. दायित्व

इस DPA से उत्पन्न होने वाला या इससे संबंधित प्रत्येक पक्ष का दायित्व, जिसमें SCCs और UK Addendum के अंतर्गत, उस सीमा तक जहां वे अनुमति देते हैं, दायित्व शामिल है, शर्तों में दिए गए दायित्व के बहिष्करणों और सीमाओं के अधीन है, और शर्तों के अंतर्गत दायित्व के प्रति शर्तों में कोई भी संदर्भ इस DPA के अंतर्गत दायित्व को भी शामिल करता है। इस DPA में कुछ भी SCCs के अंतर्गत डेटा विषयों के अधिकारों को, या डेटा संरक्षण कानूनों के अंतर्गत सीमित न किए जा सकने वाले किसी भी दायित्व को सीमित नहीं करता।

13. वरीयता क्रम

यदि ग्राहक और Melaya के बीच समझौते का निर्माण करने वाले दस्तावेज़ परस्पर विरोधाभासी हैं, तो उस विरोधाभास की सीमा तक निम्नलिखित क्रम लागू होता है: पहला, SCCs, UK Addendum, और धारा 7 में दिए गए स्विस प्रावधान, जहां वे लागू होते हैं; दूसरा, यह DPA; तीसरा, शर्तें। दोनों पक्षों द्वारा हस्ताक्षरित कोई डेटा प्रोसेसिंग समझौता या एंटरप्राइज़ अनुबंध जो स्पष्ट रूप से इस DPA को प्रतिस्थापित करता है, इस पर प्रबल होगा।

14. इस DPA में परिवर्तन

Melaya डेटा संरक्षण कानूनों में परिवर्तनों, पर्यवेक्षी प्राधिकरणों के मार्गदर्शन, नए या प्रतिस्थापित स्थानांतरण तंत्रों, या सेवाओं में परिवर्तनों को प्रतिबिंबित करने हेतु इस DPA को अद्यतन कर सकता है। Melaya भौतिक परिवर्तनों की सूचना उसी तरीके से देगा जैसे शर्तों में भौतिक परिवर्तनों के लिए दी जाती है। कोई अद्यतन इस DPA के अंतर्गत ग्राहक व्यक्तिगत जानकारी की सुरक्षा को भौतिक रूप से कम नहीं करेगा, सिवाय इसके कि कानून इसकी अपेक्षा करे। इस पृष्ठ के शीर्ष पर दी गई "Last updated" तिथि वर्तमान संस्करण को दर्शाती है। इस DPA की किसी हस्ताक्षरित प्रति को केवल दोनों पक्षों के लिखित समझौते द्वारा ही बदला जा सकता है।

15. शासी कानून और क्षेत्राधिकार

यह DPA उसी कानून द्वारा शासित है जो शर्तों को शासित करता है, वर्तमान में डेलावेयर राज्य, संयुक्त राज्य अमेरिका के कानून, और इससे उत्पन्न होने वाले या इससे संबंधित विवादों का समाधान शर्तों में निर्धारित अनुसार किया जाता है, सिवाय इसके कि SCCs, UK Addendum, या डेटा संरक्षण कानून किसी अन्य शासी कानून या मंच की अपेक्षा करें।

16. प्रभावी तिथि, हस्ताक्षर, और प्रति-हस्ताक्षरित प्रतियां

यह DPA उस तिथि से प्रभावी होता है जो, ग्राहक द्वारा शर्तों को स्वीकार करने की तिथि और इस DPA के पहली बार प्रकाशित होने की तिथि में से, बाद में आती है। किसी हस्ताक्षर की आवश्यकता नहीं है: शर्तों की ग्राहक की स्वीकृति, इस DPA की तथा इसमें सम्मिलित SCCs और UK Addendum की स्वीकृति है। ग्राहक, info@melaya.org पर ग्राहक के कानूनी इकाई नाम, पते, और संपर्क विवरण सहित लिखकर, Melaya द्वारा प्रति-हस्ताक्षरित इस DPA की एक प्रति का अनुरोध कर सकता है।

अनुलग्नक I. प्रसंस्करण का विवरण

• डेटा निर्यातक: ग्राहक, जैसा कि उसके Melaya खाते या ऑर्डर फॉर्म में पहचाना गया है। संपर्क: ग्राहक के खाते से जुड़ा ईमेल पता। गतिविधियां: सेवाओं का उपयोग। भूमिका: नियंत्रक, या अपने स्वयं के नियंत्रक की ओर से प्रोसेसर। हस्ताक्षर और तिथि: शर्तों की स्वीकृति।
• डेटा आयातक: Melaya Labs LLC, संयुक्त राज्य अमेरिका। संपर्क: Privacy Team, info@melaya.org। गतिविधियां: सेवाओं का प्रावधान। भूमिका: प्रोसेसर, या उप-प्रोसेसर। हस्ताक्षर और तिथि: इस DPA का प्रकाशन, और अनुरोध पर प्रति-हस्ताक्षर।
• डेटा विषयों की श्रेणियां: ग्राहक के अधिकृत उपयोगकर्ता, जिनमें कर्मचारी और ठेकेदार शामिल हैं; ग्राहक के ग्राहक, संभावित ग्राहक, संपर्क, आपूर्तिकर्ता, और अन्य व्यक्ति जिनकी व्यक्तिगत जानकारी User Content में या उन रिकॉर्ड, संदेशों, फ़ाइलों, और पृष्ठों में निहित है जिन्हें ग्राहक के एजेंट कनेक्टेड सेवाओं से पढ़ते हैं; वे व्यक्ति जो उन स्क्रीन, पृष्ठों, या एप्लिकेशन विंडो पर दिखाई देते हैं जिन्हें ग्राहक के एजेंट देखते हैं; और वे व्यक्ति जो ग्राहक द्वारा तैनात किए गए एजेंटों के साथ इंटरैक्ट करते हैं।
• व्यक्तिगत जानकारी की श्रेणियां: पहचान और संपर्क डेटा, जैसे नाम, ईमेल पते, फ़ोन नंबर, उपयोगकर्ता नाम, पदनाम, और कंपनी के नाम; प्रॉम्प्ट, वार्तालाप, एजेंट आउटपुट, अपलोड किए गए दस्तावेज़, रिट्रीवल इंडेक्स, ईमेल, चैट संदेश, कैलेंडर प्रविष्टियां, CRM और ERP रिकॉर्ड, और फ़ाइलों की सामग्री; कनेक्टेड सेवाओं से पढ़ा गया या उनमें लिखा गया डेटा; Device Control, Browser Control, और Computer Control द्वारा निर्मित स्क्रीन फ़्रेम, स्क्रीनशॉट, एक्सेसिबिलिटी ट्री, पृष्ठ सामग्री, विंडो शीर्षक, पहचाना गया टेक्स्ट, और कार्रवाई रिकॉर्ड; तथा तकनीकी डेटा, जैसे IP पते, डिवाइस और सेशन पहचानकर्ता, लॉग, और रन ट्रेस। वास्तविक डेटा ग्राहक के विन्यास और सेवाओं के उपयोग पर निर्भर करता है।
• व्यक्तिगत जानकारी की विशेष श्रेणियां: कोई इरादा नहीं है। ग्राहक व्यक्तिगत जानकारी की विशेष श्रेणियां, या आपराधिक दोषसिद्धियों और अपराधों से संबंधित व्यक्तिगत जानकारी प्रस्तुत नहीं करेगा, जब तक कि यह आवश्यक, वैध, और उपयुक्त रूप से सुरक्षित न हो। यदि ग्राहक ऐसा करता है, तो अनुलग्नक II में दिए गए उपाय लागू होते हैं।
• स्थानांतरण की आवृत्ति: निरंतर, जब तक ग्राहक सेवाओं का उपयोग करता है।
• प्रसंस्करण की प्रकृति: होस्टिंग, भंडारण, संगठन, रिट्रीवल, इंडेक्सिंग और एम्बेडिंग, भाषा मॉडल द्वारा विश्लेषण और रूपांतरण, कनेक्टेड सेवाओं से और उन्हें प्रेषण, एजेंट कार्रवाइयों का निष्पादन, प्रदर्शन, निर्यात, और विलोपन, जैसा कि ग्राहक द्वारा सेवाओं के माध्यम से निर्देशित किया जाता है।
• प्रसंस्करण का उद्देश्य: शर्तों के अंतर्गत सेवाओं को प्रदान करना, समर्थन देना, और सुरक्षित रखना, जिसमें ग्राहक द्वारा विन्यासित एजेंट, पाइपलाइन, Assistant वार्तालाप, कनेक्टर्स, ट्रिगर, तथा Device Control, Browser Control, और Computer Control सेशन चलाना शामिल है।
• अवधि और प्रतिधारण: शर्तों की अवधि के लिए और धारा 11 के अंतर्गत विलोपन तक। वार्तालाप, दस्तावेज़, और रिट्रीवल इंडेक्स तब तक रखे जाते हैं जब तक ग्राहक उन्हें विलोपित नहीं करता या अपना खाता बंद नहीं करता। रन लॉग, ट्रेस, और टेलीमेट्री, गोपनीयता नीति में वर्णित योजना-निर्भर प्रतिधारण खिड़कियों का पालन करते हैं, और इंटीग्रेशन डेटा, इंटीग्रेशन-विशिष्ट अवधियों का पालन करता है। बैकअप, सुरक्षा अवलोकन में वर्णित अनुसूची के अंतर्गत समय-सीमा समाप्त हो जाते हैं।
• उप-प्रोसेसरों को स्थानांतरण: अनुलग्नक III में वर्णित अनुसार, इस अनुलग्नक I में निर्धारित विषय-वस्तु, प्रकृति, और अवधि के लिए।
• सक्षम पर्यवेक्षी प्राधिकरण: SCCs के खंड 13 के अनुसार निर्धारित, या, यथालागू, UK Information Commissioner या Swiss Federal Data Protection and Information Commissioner।

अनुलग्नक II. तकनीकी और संगठनात्मक उपाय

Melaya सेवाओं पर निम्नलिखित उपाय लागू करता है। melaya.org/legal/security पर सुरक्षा अवलोकन इन्हें अधिक विस्तार से वर्णित करता है, जिसमें वे नियंत्रण भी शामिल हैं जो प्रगति में हैं या अभी तक लागू नहीं किए गए हैं।

• ट्रांज़िट में एन्क्रिप्शन: क्लाइंट और सेवाओं के बीच ट्रैफ़िक के लिए TLS 1.2 या उच्चतर, जो Cloudflare पर समाप्त होता है, HSTS और एक सख्त Content Security Policy के साथ। आंतरिक सेवा-से-सेवा कॉल लूपबैक या निजी नेटवर्क लिंक पर चलती हैं।
• विश्राम में एन्क्रिप्शन: संवेदनशील मान, जिनमें एक्सचेंज API क्रेडेंशियल, कनेक्टर क्रेडेंशियल और OAuth टोकन, तथा MFA सीक्रेट और रिकवरी कोड शामिल हैं, संग्रहीत किए जाने से पहले सर्वर प्रक्रिया में AES-256-GCM envelope encryption के साथ एन्क्रिप्टेड किए जाते हैं, जिनकी कुंजियां डेटाबेस और वॉल्ट क्रेडेंशियल से अलग रखी जाती हैं और बिना डाउनटाइम के घुमाई जाती हैं। बैकअप एन्क्रिप्टेड हैं। उत्पादन वॉल्यूम का फुल-डिस्क एन्क्रिप्शन अभी तक सक्षम नहीं है और सुरक्षा रोडमैप पर है।
• टेनेंट आइसोलेशन: प्रत्येक अनुरोध एप्लिकेशन लेयर पर प्रमाणित उपयोगकर्ता तक सीमित किया जाता है, PostgreSQL row-level security को एक दूसरी परत के रूप में ऐसी डेटाबेस भूमिका के अंतर्गत लागू किया जाता है जो इसे बायपास नहीं कर सकती, और रिट्रीवल इंडेक्स केवल उस पाइपलाइन को लौटाए जाते हैं जो उनकी स्वामी है।
• एक्सेस नियंत्रण: bcrypt से हैश किए गए पासवर्ड; प्रत्येक उपयोगकर्ता के लिए उपलब्ध TOTP बहु-तथ्यात्मक प्रमाणीकरण, जो एक्सचेंज क्रेडेंशियल जोड़ने या प्लेटफ़ॉर्म API कुंजियां बनाने के लिए आवश्यक है; घूर्णनशील हस्ताक्षर कुंजियों के साथ हस्ताक्षरित सेशन टोकन; सर्वर पर लागू भूमिका-आधारित और योजना-आधारित प्राधिकरण; प्रमाणीकरण और API एंडपॉइंट्स पर रेट लिमिटिंग; रनर और फ़ोन टोकन केवल हैश के रूप में संग्रहीत और निरस्त करने योग्य।
• कार्मिक पहुंच: उत्पादन प्रणालियों तक पहुंच प्रत्येक इंजीनियर को दो-व्यक्ति अनुमोदन प्रक्रिया के अंतर्गत दी जाती है, जो भूमिका की आवश्यकता तक सीमित है, एक प्रलेखित त्रैमासिक चक्र पर समीक्षा की जाती है, और ऑफबोर्डिंग पर हटा दी जाती है, जिसमें कुंजियों और सेशन का निरसन शामिल है।
• लॉगिंग और निगरानी: संरचित एप्लिकेशन, होस्ट, और एज लॉग जो वास्तविक समय में उत्पादन होस्ट से उसी क्षेत्र में एक लॉग स्टोर को भेजे जाते हैं, तथा एक append-only, hash-chained सुरक्षा ऑडिट लॉग जो IP पते केवल keyed HMAC digests के रूप में संग्रहीत करता है और प्रतिदिन सत्यापित किया जाता है।
• सुरक्षित विकास और भेद्यता प्रबंधन: merge से पहले peer review, स्टैटिक टाइप चेक, pre-commit hooks और CI में सीक्रेट स्कैनिंग, प्रत्येक बिल्ड पर डिपेंडेंसी और कंटेनर भेद्यता स्कैनिंग, पिन किए गए CI actions, एक प्रतिबंधित डिप्लॉयमेंट पथ, और स्वचालित ऑपरेटिंग-सिस्टम सुरक्षा अपडेट। Melaya ने अभी तक किसी बाहरी पेनेट्रेशन टेस्ट से नहीं गुज़रा है।
• घटना प्रतिक्रिया: गंभीरता स्तरों, परिभाषित भूमिकाओं, कुंजी घूर्णन सहित नियंत्रण चरणों, 72-घंटे की सूचना मैट्रिक्स, और घटना-पश्चात समीक्षाओं के साथ एक लिखित घटना प्रतिक्रिया प्रक्रिया।
• बैकअप और निरंतरता: उत्पादन डेटाबेस और अपलोड किए गए दस्तावेज़ों के रात्रिकालीन एन्क्रिप्टेड बैकअप, जो 7 दैनिक, 4 साप्ताहिक, और 6 मासिक स्नैपशॉट की अनुसूची पर रखे जाते हैं, साप्ताहिक इंटीग्रिटी चेक और टेस्ट रीस्टोर के साथ, तथा एक लिखित व्यावसायिक निरंतरता योजना। बैकअप वर्तमान में उत्पादन के समान क्षेत्र में संग्रहीत हैं, और सेवाएं बिना स्वचालित फ़ेलओवर के एक ही प्राथमिक क्षेत्र से चलती हैं।
• डेटा न्यूनीकरण और विलोपन: योजना के अनुसार रन डेटा के लिए स्वचालित प्रतिधारण स्वीप; स्व-सेवा निर्यात और विलोपन; tombstones के माध्यम से विलोपन जो ऑडिट लॉग की अखंडता को बनाए रखता है; Computer Control सुरक्षित फ़ील्ड को न तो पढ़ता है और न ही उनमें टाइप करता है, और उन एप्लिकेशनों की विंडो पर पेंट कर देता है जिनकी अनुमति नहीं है; ब्राउज़र एक्सटेंशन पृष्ठ स्नैपशॉट से पासवर्ड फ़ील्ड मानों को छोड़ देता है।
• एजेंट सुरक्षोपाय: ऐप allowlists और अनुमति स्तर, Safe मोड में पहचानी गई परिणामकारी कार्रवाइयों के लिए अनुमोदन अनुरोध, स्टॉप और किल नियंत्रण, तथा डिवाइस और कंप्यूटर कमांड पर सर्वर-साइड नीति जांच।
• उप-प्रोसेसर प्रबंधन: डेटा संरक्षण दायित्वों सहित लिखित अनुबंध, उप-प्रोसेसरों की एक प्रकाशित सूची, और परिवर्तनों की अग्रिम सूचना।
• प्रमाणन: Melaya अपने नियंत्रणों का निर्माण SOC 2 Trust Services Criteria और ISO/IEC 27001 को ध्यान में रखकर करता है, लेकिन वर्तमान में उसके पास कोई तृतीय-पक्ष प्रमाणन या सत्यापन नहीं है।

अनुलग्नक III. उप-प्रोसेसर

Melaya जिन उप-प्रोसेसरों को नियुक्त करता है, उनका स्थान, उद्देश्य, और स्थानांतरण सुरक्षोपाय सहित विवरण melaya.org/legal/subprocessors पर सूचीबद्ध है। वह सूची, जैसा कि धारा 6 के अंतर्गत अद्यतन की जाती है, यह अनुलग्नक III बनाती है। इस DPA की तिथि के अनुसार, Melaya की प्राथमिक कंप्यूट, डेटाबेस, और कैश होस्टिंग Alibaba Cloud द्वारा सिंगापुर में प्रदान की जाती है।

ग्राहक द्वारा चुनी गई कनेक्टेड सेवाएं, जिसमें ग्राहक द्वारा अपने एजेंटों के लिए चयनित मॉडल प्रदाता शामिल हैं, धारा 3 के अंतर्गत ग्राहक के निर्देश पर नियुक्त की जाती हैं और उप-प्रोसेसर नहीं हैं, सिवाय इसके कि धारा 3.5 में बताया गया है।

संपर्क

इस DPA के बारे में प्रश्न, प्रति-हस्ताक्षरित प्रति के अनुरोध, और इस DPA के अंतर्गत सूचनाएं निम्नलिखित को भेजी जानी चाहिए: