डेटा प्रोसेसिंग संलग्नक

अंतिम अद्यतन: 19 मार्च 2026

यह डेटा प्रोसेसिंग संलग्नक ("DPA") Acira AI LLC ("प्रोसेसर", "हम", "हमें") और सेवाओं के उपयोगकर्ता ("नियंत्रक", "आप") के बीच नियम और शर्तों ("अनुबंध") का हिस्सा है और व्यक्तिगत डेटा के प्रसंस्करण के संदर्भ में अनुबंध को पूरक बनाता है।

यह DPA तब लागू होता है जब आप सेवाओं का उपयोग ऐसी वेबसाइटें बनाने, होस्ट करने और प्रकाशित करने के लिए करते हैं जो यूरोपीय आर्थिक क्षेत्र ("EEA"), यूनाइटेड किंगडम ("UK") या स्विट्ज़रलैंड में स्थित व्यक्तियों के व्यक्तिगत डेटा को एकत्र या संसाधित करती हैं, या जहाँ लागू डेटा सुरक्षा कानूनों द्वारा अन्यथा आवश्यक हो।

यह DPA आपकी सुविधा के लिए अन्य भाषाओं में अनुवादित की जा सकती है। अंग्रेजी संस्करण और किसी भी अनुवादित संस्करण के बीच किसी भी विरोध या असंगति की स्थिति में, अंग्रेजी संस्करण मान्य होगा।

विषय-सूची

1. परिभाषाएँ
2. कार्यक्षेत्र और भूमिकाएँ
3. डेटा प्रोसेसिंग विवरण
4. प्रोसेसर की दायित्व
5. नियंत्रक की दायित्व
6. उप-प्रोसेसर
7. अंतर्राष्ट्रीय डेटा स्थानांतरण
8. डेटा विषय अधिकार
9. डेटा सुरक्षा
10. डेटा उल्लंघन अधिसूचना
11. ऑडिट और अनुपालन सत्यापन
12. डेटा प्रतिधारण और विलोपन
13. अवधि और समाप्ति
14. दायित्व की सीमा
15. हमसे संपर्क करें

1. परिभाषाएँ

"लागू डेटा सुरक्षा कानून" का अर्थ है इस DPA के तहत व्यक्तिगत डेटा के प्रसंस्करण पर लागू सभी कानून और विनियम, जिनमें (जहाँ लागू हो) सामान्य डेटा संरक्षण विनियमन (EU) 2016/679 ("GDPR"), UK GDPR, स्विस संघीय डेटा संरक्षण अधिनियम ("FADP"), और कैलिफ़ोर्निया उपभोक्ता गोपनीयता अधिनियम ("CCPA") शामिल हैं।

"नियंत्रक" का अर्थ है वह प्राकृतिक या कानूनी व्यक्ति जो व्यक्तिगत डेटा के प्रसंस्करण के उद्देश्यों और साधनों को निर्धारित करता है — इस संदर्भ में, आप, सेवाओं के उपयोगकर्ता जो प्लेटफ़ॉर्म के माध्यम से एक वेबसाइट संचालित करते हैं।

"डेटा विषय" का अर्थ है एक पहचाना गया या पहचाने जाने योग्य प्राकृतिक व्यक्ति जिसका व्यक्तिगत डेटा संसाधित किया जाता है।

"व्यक्तिगत डेटा" का अर्थ है डेटा विषय से संबंधित कोई भी जानकारी जो सेवाओं के माध्यम से संसाधित की जाती है।

"प्रसंस्करण" का अर्थ है व्यक्तिगत डेटा पर की गई कोई भी क्रिया, जिसमें संग्रह, रिकॉर्डिंग, संगठन, संरचना, भंडारण, अनुकूलन, पुनः प्राप्ति, परामर्श, उपयोग, प्रकटीकरण, प्रसार, प्रतिबंध, मिटाना, या विनाश शामिल है।

"प्रोसेसर" का अर्थ है एक प्राकृतिक या कानूनी व्यक्ति जो नियंत्रक की ओर से व्यक्तिगत डेटा संसाधित करता है — इस संदर्भ में, Acira AI LLC।

"उप-प्रोसेसर" का अर्थ है कोई भी तृतीय पक्ष जिसे प्रोसेसर द्वारा नियंत्रक की ओर से व्यक्तिगत डेटा संसाधित करने के लिए नियुक्त किया गया है।

"मानक अनुबंधात्मक खंड" या "SCCs" का अर्थ है तृतीय देशों में स्थापित प्रोसेसरों को व्यक्तिगत डेटा के स्थानांतरण के लिए यूरोपीय आयोग द्वारा अपनाए गए मानक अनुबंधात्मक खंड।

2. कार्यक्षेत्र और भूमिकाएँ

2.1 प्रसंस्करण संबंध

जब आप सेवाओं का उपयोग एक ऐसी वेबसाइट बनाने और संचालित करने के लिए करते हैं जो आपके वेबसाइट आगंतुकों से व्यक्तिगत डेटा एकत्र करती है (फ़ॉर्म, उपयोगकर्ता खाते, चैटबॉट इंटरैक्शन, टिप्पणियाँ, समीक्षाएँ, या अन्य इंटरएक्टिव सुविधाओं के माध्यम से), तो आप नियंत्रक के रूप में कार्य करते हैं और हम उस आगंतुक व्यक्तिगत डेटा के प्रोसेसर के रूप में कार्य करते हैं।

2.2 नियंत्रक के रूप में हमारी भूमिका

हम अपने स्वयं के उद्देश्यों के लिए एकत्र किए गए व्यक्तिगत डेटा के लिए एक स्वतंत्र नियंत्रक के रूप में कार्य करते हैं, जिसमें शामिल हैं: आपकी खाता जानकारी, बिलिंग डेटा, उपयोग विश्लेषण, आपकी वेबसाइट की सामग्री से प्राप्त सामान्य वेबसाइट विशेषताएँ (जैसे उद्योग या व्यवसाय का प्रकार), और प्लेटफ़ॉर्म संचालन डेटा। इन डेटा का प्रसंस्करण हमारी गोपनीयता नीति द्वारा शासित है और इस DPA के दायरे से बाहर है।

2.3 प्लेटफ़ॉर्म विश्लेषण

हम वेबसाइट आगंतुकों पर बुनियादी, गोपनीयता-अनुकूल विश्लेषण एकत्र करते हैं (जैसा कि अनुबंध में वर्णित है)। विश्लेषण डेटा के लिए, हम आपके साथ संयुक्त नियंत्रक के रूप में कार्य करते हैं। हमने अपने विश्लेषण को व्यक्तिगत डेटा संग्रह को न्यूनतम करने के लिए डिज़ाइन किया है — हम कच्चे IP पते संग्रहीत नहीं करते हैं, और आगंतुक पहचानकर्ता दैनिक रूप से बदलते हैं। प्रत्येक संयुक्त नियंत्रक की संबंधित जिम्मेदारियाँ इस प्रकार हैं:

• Acira AI (प्रोसेसर/संयुक्त नियंत्रक): विश्लेषण संग्रह के तकनीकी साधनों को निर्धारित करता है, जिसमें कौन से डेटा बिंदु एकत्र किए जाते हैं, आगंतुक पहचानकर्ताओं की गणना कैसे की जाती है (दैनिक-घूर्णन हैश), और डेटा को कैसे एकत्रित किया जाता है। हम विश्लेषण बुनियादी ढांचे की सुरक्षा और अखंडता के लिए और प्लेटफ़ॉर्म पर विश्लेषण कैसे काम करते हैं इस बारे में सामान्य पूछताछ का जवाब देने के लिए जिम्मेदार हैं।
• आप (नियंत्रक/संयुक्त नियंत्रक): यह निर्धारित करें कि आपकी वेबसाइट पर विश्लेषण का उपयोग करना है या नहीं (विश्लेषण सेवाओं के हिस्से के रूप में डिफ़ॉल्ट रूप से सक्षम हैं)। आप अपनी वेबसाइट की गोपनीयता नीति में विश्लेषण डेटा संग्रह का खुलासा करने और अपने वेबसाइट आगंतुकों की ओर से उनके विश्लेषण डेटा के संबंध में डेटा विषय अनुरोधों का जवाब देने के लिए जिम्मेदार हैं।
• डेटा विषयों के लिए संपर्क बिंदु: डेटा विषय आपसे (वेबसाइट के मालिक) आपकी वेबसाइट पर एकत्र विश्लेषण डेटा के संबंध में संपर्क कर सकते हैं। यदि हमें विश्लेषण डेटा के संबंध में किसी डेटा विषय से अनुरोध प्राप्त होता है, तो हम उन्हें आपकी ओर निर्देशित करेंगे जब तक कि आप अन्यथा निर्देश न दें। सामान्य प्लेटफ़ॉर्म पूछताछ के लिए, डेटा विषय legal@acira.ai पर हमसे संपर्क कर सकते हैं।

2.4 संयुक्त नियंत्रक व्यवस्था का सार

GDPR के अनुच्छेद 26(2) के अनुसार, विश्लेषण डेटा के लिए इस संयुक्त नियंत्रक व्यवस्था का सार इस प्रकार है: हम (Acira AI) तकनीकी साधनों और एकत्र किए गए डेटा बिंदुओं को निर्धारित करते हैं; आप (वेबसाइट ऑपरेटर) निर्धारित करते हैं कि आपकी वेबसाइट पर विश्लेषण का उपयोग किया जाए या नहीं। हम में से प्रत्येक लागू डेटा सुरक्षा कानून के तहत अपनी संबंधित दायित्व के लिए जिम्मेदार है। आप अपने वेबसाइट आगंतुकों के लिए विश्लेषण डेटा के संबंध में प्राथमिक संपर्क बिंदु हैं। इस व्यवस्था का सारांश इस DPA और https://www.acira.ai/dpa के माध्यम से डेटा विषयों को उपलब्ध कराया जाता है।

2.5 CCPA सेवा प्रदाता पदनाम

जहाँ तक हम आपकी ओर से California Consumer Privacy Act ("CCPA") के अधीन व्यक्तिगत जानकारी संसाधित करते हैं, हम Cal. Civ. Code § 1798.140(ag) में परिभाषित आपके "सेवा प्रदाता" हैं। हम नहीं करेंगे:

• आपके द्वारा हमें प्रदान की गई किसी भी व्यक्तिगत जानकारी को बेचना या साझा करना (जैसा कि CCPA के तहत इन शब्दों को परिभाषित किया गया है);
• इस DPA और अनुबंध में निर्दिष्ट व्यावसायिक उद्देश्यों के अलावा किसी अन्य उद्देश्य के लिए व्यक्तिगत जानकारी को बनाए रखना, उपयोग करना, या प्रकट करना, या जैसा अन्यथा CCPA द्वारा अनुमत है;
• आपके और हमारे बीच के प्रत्यक्ष व्यावसायिक संबंध के बाहर व्यक्तिगत जानकारी को बनाए रखना, उपयोग करना, या प्रकट करना;
• आपसे प्राप्त व्यक्तिगत जानकारी को उस व्यक्तिगत जानकारी के साथ संयोजित करना जो हम किसी अन्य व्यक्ति से या उसकी ओर से प्राप्त करते हैं या जो हम उपभोक्ताओं के साथ अपनी स्वयं की बातचीत से एकत्र करते हैं, सिवाय CCPA द्वारा अनुमत के अनुसार।

हम धारा 2.2 में वर्णित अनुसार, प्रासंगिक उत्पाद अनुशंसाएँ प्रदान करने के उद्देश्य से आपकी वेबसाइट की सामग्री से सामान्य, गैर-पहचान योग्य व्यावसायिक विशेषताएँ (जैसे उद्योग वर्गीकरण) प्राप्त कर सकते हैं। यह सीमित उपयोग CCPA के अर्थ में व्यक्तिगत जानकारी की बिक्री, साझाकरण या संयोजन नहीं है।

हम प्रमाणित करते हैं कि हम इन प्रतिबंधों को समझते हैं और उनका अनुपालन करेंगे।

2.6 स्विस FADP प्रतिनिधि मूल्यांकन

स्विस संघीय डेटा संरक्षण अधिनियम ("FADP") का अनुच्छेद 14 एक गैर-स्विस निजी नियंत्रक को स्विट्ज़रलैंड में एक प्रतिनिधि नियुक्त करने की आवश्यकता केवल तभी करता है जब निम्नलिखित सभी चार संचयी शर्तें पूरी होती हैं: (1) प्रसंस्करण स्विट्ज़रलैंड में व्यक्तियों को सामान या सेवाएं प्रदान करने, या उनके व्यवहार की निगरानी से जुड़ा हो; (2) प्रसंस्करण बड़े पैमाने पर हो; (3) प्रसंस्करण नियमित आधार पर होता हो; और (4) प्रसंस्करण डेटा विषयों के व्यक्तित्व अधिकारों या मौलिक अधिकारों के लिए उच्च जोखिम पैदा करता हो।

हमने इन शर्तों के विरुद्ध अपनी प्रसंस्करण गतिविधियों का मूल्यांकन किया है और निर्धारित किया है कि जबकि शर्तें (1) और (3) पूरी होती हैं, शेष शर्तें निम्नलिखित कारणों से संतुष्ट नहीं होती हैं:

• बड़े पैमाने पर नहीं: हम एक छोटा SaaS प्लेटफ़ॉर्म हैं। हमारी सेवाओं के माध्यम से संसाधित स्विस निवासियों के व्यक्तिगत डेटा की मात्रा सीमित है और अनुच्छेद 14 FADP के अर्थ में बड़े पैमाने पर प्रसंस्करण का गठन नहीं करती।
• उच्च जोखिम नहीं: हम वेबसाइट ऑपरेटरों की ओर से जो व्यक्तिगत डेटा संसाधित करते हैं वह मुख्य रूप से स्यूडोनिमाइज़ विश्लेषण पहचानकर्ताओं (दैनिक-घूर्णन हैश), बुनियादी आगंतुक मेटाडेटा (देश, डिवाइस प्रकार, ब्राउज़र), फ़ॉर्म सबमिशन सामग्री, और चैटबॉट संदेशों से मिलकर बनता है। हम व्यक्तिगत डेटा की विशेष श्रेणियों (FADP अनुच्छेद 5(c)) को संसाधित नहीं करते, न ही हम डेटा विषयों के लिए उच्च जोखिम के साथ प्रोफाइलिंग में संलग्न होते हैं। स्विस संघीय डेटा संरक्षण और सूचना आयुक्त ("FDPIC") ने संकेत दिया है कि यह दायित्व मुख्य रूप से विदेश से संचालित बड़े इंटरनेट प्लेटफ़ॉर्म और सामाजिक नेटवर्क पर लक्षित है, जो हमारी सेवाओं का वर्णन नहीं करता।

इस मूल्यांकन के आधार पर, हमने निष्कर्ष निकाला है कि इस समय अनुच्छेद 14 FADP के तहत स्विट्ज़रलैंड में एक प्रतिनिधि नियुक्त करना हमारे लिए आवश्यक नहीं है। हम इस निर्धारण का समय-समय पर पुनर्मूल्यांकन करेंगे, जिसमें स्विस निवासियों को प्रभावित करने वाली हमारी प्रसंस्करण गतिविधियों के पैमाने या प्रकृति में महत्वपूर्ण परिवर्तन शामिल हैं।

3. डेटा प्रोसेसिंग विवरण

3.1 विषय वस्तु और अवधि

इस DPA के तहत व्यक्तिगत डेटा का प्रसंस्करण अनुबंध में वर्णित सेवाओं को प्रदान करने के उद्देश्य से किया जाता है और अनुबंध की अवधि के लिए जारी रहेगा।

3.2 प्रसंस्करण की प्रकृति और उद्देश्य

हम व्यक्तिगत डेटा को संसाधित करते हैं:

• आपकी वेबसाइट सामग्री को होस्ट और परोसने के लिए
• आपकी वेबसाइट के फ़ॉर्म और इंटरएक्टिव सुविधाओं के माध्यम से सबमिट किए गए डेटा को संग्रहीत और प्रबंधित करने के लिए
• आपकी वेबसाइट के संरक्षित क्षेत्रों के लिए उपयोगकर्ता खाते और सत्र बनाए रखने के लिए
• आपकी ओर से ईमेल संचार वितरित करने के लिए
• आपके कस्टम डोमेन ईमेल पतों पर प्राप्त ईमेल अग्रेषित करने के लिए
• आपके वेबसाइट आगंतुकों के साथ AI चैटबॉट वार्तालापों को शक्ति प्रदान करने के लिए
• अपलोड की गई फ़ाइलों के लिए AI-संचालित विवरण और मेटाडेटा उत्पन्न करने के लिए
• अपलोड की गई फ़ाइलों को वेब-अनुकूलित प्रारूपों में परिवर्तित करने के लिए
• आगंतुक विश्लेषण प्रदान करने के लिए
• प्रासंगिक प्लेटफ़ॉर्म अनुशंसाएँ प्रदान करने के लिए सामान्य वेबसाइट विशेषताओं (जैसे उद्योग या व्यवसाय का प्रकार) को प्राप्त करना
• स्पैम और दुरुपयोग का पता लगाने और रोकने के लिए (प्रूफ-ऑफ-वर्क बॉट चुनौतियों सहित)
• अपलोड की गई फ़ाइलों पर सामग्री संचालन करने के लिए
• प्लेटफ़ॉर्म सामग्री नीतियों के अनुपालन के लिए प्रकाशन के दौरान वेबसाइट सामग्री की समीक्षा करने के लिए
• आपकी वेबसाइट के ईमेल प्राप्तकर्ताओं के लिए ईमेल ऑप्ट-आउट प्राथमिकताओं का प्रबंधन करना
• WebSocket कनेक्शन के माध्यम से आपकी वेबसाइट पर रीयल-टाइम चैनल संचार की सुविधा के लिए (संदेश क्षणिक हैं और संग्रहीत नहीं किए जाते)
• प्लेटफ़ॉर्म विश्वसनीयता और समस्या निवारण के लिए त्रुटि और नैदानिक लॉग बनाए रखने के लिए (IP पते और अनुरोध मेटाडेटा शामिल हो सकते हैं; तीस (30) दिनों तक बनाए रखा जाता है)

3.3 व्यक्तिगत डेटा के प्रकार

संसाधित व्यक्तिगत डेटा के प्रकार इस बात पर निर्भर करते हैं कि आप अपनी वेबसाइट के माध्यम से क्या एकत्र करते हैं, जिसमें शामिल हो सकते हैं:

• नाम और संपर्क जानकारी
• ईमेल पते
• संदेश और फ़ॉर्म सबमिशन
• वेबसाइट आगंतुकों द्वारा सबमिट की गई फ़ाइलें (जैसे छवियाँ और दस्तावेज़)
• चैटबॉट वार्तालाप सामग्री (आगंतुक संदेश और AI प्रतिक्रियाएँ)
• उपयोगकर्ता खाता क्रेडेंशियल (हैश किए गए रूप में संग्रहीत)
• सत्र डेटा
• IP पते (विश्लेषण में संग्रहीत नहीं — केवल एक दैनिक-घूर्णन हैश संग्रहीत किया जाता है; फ़ॉर्म सबमिशन और चैटबॉट वार्तालापों के साथ मेटाडेटा के रूप में संग्रहीत; बॉट चुनौती सत्यापन के लिए अस्थायी रूप से उपयोग और हैश किया गया; दर सीमित करने के लिए सात (7) दिनों तक अस्थायी रूप से संग्रहीत और स्वचालित रूप से शुद्ध किया जाता है)
• ब्राउज़र और डिवाइस जानकारी
• स्थान डेटा (देश और क्षेत्र-स्तर, IP से व्युत्पन्न)
• ईमेल ऑप्ट-आउट रिकॉर्ड (प्राप्तकर्ता ईमेल पतों के क्रिप्टोग्राफिक हैश के रूप में संग्रहीत; कच्चे रूप में संग्रहीत नहीं)
• स्पैम वर्गीकरण परिणाम (क्या कोई सबमिशन स्पैम निर्धारित किया गया था)
• त्रुटि और नैदानिक लॉग डेटा (IP पते, अनुरोध पथ, और त्रुटि विवरण; तीस (30) दिनों तक बनाए रखा जाता है और स्वचालित रूप से शुद्ध किया जाता है)

3.4 डेटा विषयों की श्रेणियाँ

• आपके वेबसाइट आगंतुक
• उपयोगकर्ता जो आपकी वेबसाइट पर खाते बनाते हैं
• उपयोगकर्ता जो आपकी वेबसाइट पर फ़ॉर्म सबमिट करते हैं या चैटबॉट के साथ इंटरेक्ट करते हैं
• उपयोगकर्ता जो आपकी वेबसाइट पर टिप्पणियाँ, समीक्षाएँ, या अन्य योगदान सबमिट करते हैं

4. प्रोसेसर की दायित्व

हम:

1. केवल आपके प्रलेखित निर्देशों पर व्यक्तिगत डेटा संसाधित करेंगे, जब तक कि लागू कानून द्वारा ऐसा करने की आवश्यकता न हो (जिस स्थिति में हम प्रसंस्करण से पहले आपको उस कानूनी आवश्यकता के बारे में सूचित करेंगे, जब तक कि कानून द्वारा प्रतिबंधित न हो);
2. यह सुनिश्चित करेंगे कि व्यक्तिगत डेटा संसाधित करने के लिए अधिकृत व्यक्तियों ने गोपनीयता के प्रति प्रतिबद्धता व्यक्त की है या उचित वैधानिक गोपनीयता दायित्व के अधीन हैं;
3. धारा 9 में वर्णित उचित तकनीकी और संगठनात्मक सुरक्षा उपाय लागू करेंगे;
4. धारा 6 में निर्धारित उप-प्रोसेसरों को संलग्न करने की शर्तों का पालन करेंगे;
5. प्रसंस्करण की प्रकृति को ध्यान में रखते हुए, लागू डेटा सुरक्षा कानून के तहत अपने अधिकारों का प्रयोग करने वाले डेटा विषयों से अनुरोधों का जवाब देने में आपकी सहायता करेंगे;
6. GDPR के अनुच्छेद 32-36 (सुरक्षा, उल्लंघन अधिसूचना, डेटा संरक्षण प्रभाव आकलन, और पूर्व परामर्श) के तहत आपकी दायित्व के अनुपालन को सुनिश्चित करने में आपकी सहायता करेंगे, प्रसंस्करण की प्रकृति और हमारे पास उपलब्ध जानकारी को ध्यान में रखते हुए। जहाँ आपकी सेवाओं का उपयोग उच्च-जोखिम प्रसंस्करण को शामिल करता है जिसके लिए डेटा संरक्षण प्रभाव आकलन (DPIA) की आवश्यकता हो सकती है, हम आपके आकलन का समर्थन करने के लिए हमारी प्रसंस्करण गतिविधियों, तकनीकी और संगठनात्मक उपायों, और उप-प्रोसेसरों के बारे में जानकारी प्रदान करेंगे;
7. GDPR के अनुच्छेद 22 (स्वचालित व्यक्तिगत निर्णय-निर्माण) के तहत आपकी दायित्व को पूरा करने में आपकी सहायता करेंगे, आपकी ओर से किए गए किसी भी स्वचालित प्रसंस्करण के बारे में जानकारी प्रदान करके, जिसमें सामग्री संचालन, स्पैम पहचान, और बॉट सुरक्षा शामिल है, और अनुरोध पर स्वचालित निर्णयों की मानव समीक्षा की सुविधा देकर;
8. आपको सूचित करेंगे यदि हमारी राय में आपका कोई निर्देश लागू डेटा सुरक्षा कानून का उल्लंघन करता है;
9. आपकी पसंद पर, सेवाओं के प्रावधान के अंत के बाद सभी व्यक्तिगत डेटा हटाएंगे या वापस करेंगे, और मौजूदा प्रतियाँ हटाएंगे जब तक कि लागू कानून द्वारा भंडारण आवश्यक न हो;
10. इस DPA में निर्धारित दायित्वों के अनुपालन को प्रदर्शित करने के लिए आवश्यक सभी जानकारी आपको उपलब्ध कराएंगे और धारा 11 में वर्णित अनुपालन सत्यापन में योगदान करेंगे।

5. नियंत्रक की दायित्व

आप:

1. यह सुनिश्चित करेंगे कि आपकी वेबसाइट के माध्यम से व्यक्तिगत डेटा का आपका संग्रह और प्रसंस्करण सभी लागू डेटा सुरक्षा कानूनों का अनुपालन करता है;
2. अपने वेबसाइट आगंतुकों को उचित गोपनीयता नोटिस प्रदान करेंगे जो आपकी डेटा संग्रह प्रथाओं का वर्णन करते हैं, जिसमें प्लेटफ़ॉर्म-स्तरीय विश्लेषण, AI-संचालित चैटबॉट इंटरैक्शन, स्पैम पहचान, और बॉट सुरक्षा का प्रकटीकरण शामिल है;
3. अपनी वेबसाइट के माध्यम से व्यक्तिगत डेटा के प्रसंस्करण के लिए सभी आवश्यक सहमतियाँ प्राप्त करेंगे या कोई अन्य कानूनी आधार स्थापित करेंगे;
4. यह सुनिश्चित करेंगे कि व्यक्तिगत डेटा के प्रसंस्करण के संबंध में हमें आपके निर्देश लागू डेटा सुरक्षा कानूनों का अनुपालन करते हैं;
5. हमें आपकी वेबसाइट के माध्यम से प्रदान किए गए व्यक्तिगत डेटा की सटीकता, गुणवत्ता और कानूनीता के लिए जिम्मेदार होंगे।

सेवाओं का उपयोग करके, आप हमें मानक प्लेटफ़ॉर्म संचालन के भाग के रूप में आपकी ओर से निम्नलिखित प्रसंस्करण गतिविधियाँ करने का निर्देश देते हैं: अपलोड की गई फ़ाइलों की सामग्री संचालन, प्रकाशित वेबसाइट सामग्री की सामग्री नीति समीक्षा, फ़ॉर्म सबमिशन पर स्पैम पहचान, प्रूफ-ऑफ-वर्क चुनौतियों के माध्यम से बॉट सुरक्षा, और आपके वेबसाइट आगंतुकों के साथ AI-संचालित चैटबॉट इंटरैक्शन। ये गतिविधियाँ GDPR के अनुच्छेद 28(3)(a) के तहत प्रलेखित निर्देश हैं।

6. उप-प्रोसेसर

6.1 अधिकृत उप-प्रोसेसर

आप हमें सेवाएं प्रदान करने में सहायता के लिए उप-प्रोसेसरों को संलग्न करने के लिए सामान्य प्राधिकरण प्रदान करते हैं। हमारे वर्तमान उप-प्रोसेसर नीचे और https://www.acira.ai/dpa पर सूचीबद्ध हैं।

6.2 वर्तमान उप-प्रोसेसर सूची

6.3 उप-प्रोसेसरों में परिवर्तन

हम नए उप-प्रोसेसर द्वारा व्यक्तिगत डेटा संसाधित करना शुरू करने से कम से कम चौदह (14) दिन पहले https://www.acira.ai/dpa पर उप-प्रोसेसर सूची को अपडेट करके उन सेवाओं के लिए उप-प्रोसेसर सूची में किसी भी इच्छित परिवर्तन के बारे में आपको सूचित करेंगे जिनका आप वर्तमान में उपयोग करते हैं। जब हम अतिरिक्त उप-प्रोसेसर को शामिल करने वाली नई सुविधाएं या सेवाएं पेश करते हैं, तो उन उप-प्रोसेसर को उस समय प्रकट किया जाएगा जब सुविधा या सेवा उपलब्ध होगी; नई सुविधा या सेवा का आपका उपयोग इसके प्रकटित उप-प्रोसेसर की स्वीकृति का गठन करता है। परिवर्तनों के लिए उप-प्रोसेसर सूची की समय-समय पर समीक्षा करना आपकी जिम्मेदारी है। यदि आपको मौजूदा सेवाओं के लिए डेटा संसाधित करने वाले किसी नए उप-प्रोसेसर पर उचित आपत्ति है, तो आप परिवर्तन प्रकाशित होने के चौदह (14) दिनों के भीतर हमें लिखित में सूचित कर सकते हैं। हम आपकी चिंताओं को दूर करने के लिए आपके साथ सद्भावना में काम करेंगे। यदि हम आपकी उचित संतुष्टि के लिए आपत्ति को हल नहीं कर सकते, तो आप लिखित नोटिस देकर अनुबंध समाप्त कर सकते हैं।

6.4 उप-प्रोसेसर दायित्व

हम प्रत्येक उप-प्रोसेसर के साथ लिखित समझौते करेंगे जो इस DPA में निर्धारित से कम सुरक्षात्मक डेटा सुरक्षा दायित्व नहीं लगाते। हम उस हद तक अपने उप-प्रोसेसरों के कार्यों और चूकों के लिए उत्तरदायी रहते हैं जितने हम सेवाएं सीधे प्रदान कर रहे होते।

7. अंतर्राष्ट्रीय डेटा स्थानांतरण

7.1 स्थानांतरण तंत्र

सेवाएं मुख्यतः संयुक्त राज्य अमेरिका में होस्ट की जाती हैं। सेवाओं के माध्यम से संसाधित व्यक्तिगत डेटा संयुक्त राज्य अमेरिका और अन्य देशों में स्थानांतरित और संसाधित किया जा सकता है जहाँ हमारे उप-प्रोसेसर संचालित होते हैं। AI अनुमान प्रदाता (Fireworks AI और xAI) संयुक्त राज्य अमेरिका में डेटा संसाधित करते हैं। BrightData इज़राइल और दुनिया भर के अन्य स्थानों में डेटा संसाधित कर सकता है। Cloudflare दुनिया भर के एज स्थानों पर डेटा संसाधित करता है।

EU डेटा निवास: EU निवासी के रूप में पहचाने गए वेबसाइट ऑपरेटरों के लिए, यूरोपीय संघ के बाहर विज़िटर व्यक्तिगत डेटा के हस्तांतरण को कम करने के लिए हम निम्नलिखित डेटा निवास उपाय लागू करते हैं:

• भंडारण: स्थायी एज स्टोरेज में विज़िटर डेटा — फॉर्म सबमिशन, चैटबॉट वार्तालाप, सत्र डेटा और उपयोगकर्ता तालिका डेटा सहित — यूरोपीय संघ तक सीमित है। यह डेटा विशेष रूप से EU डेटा केंद्रों में संग्रहीत किया जाता है।
• स्वचालित आगंतुक-मुखी प्रसंस्करण: आगंतुक गतिविधि द्वारा स्वचालित रूप से शुरू होने वाले संचालन — सामग्री सबमिशन सूचनाएं और लेनदेनकारी ईमेल डिलीवरी सहित — यूरोपीय संघ के भीतर संसाधित किए जाते हैं और US इंफ्रास्ट्रक्चर से नहीं गुजरते।
• प्लेटफ़ॉर्म प्रबंधन पहुंच: जब आप प्लेटफ़ॉर्म डैशबोर्ड या संवादात्मक इंटरफ़ेस के माध्यम से अपनी वेबसाइट के विज़िटर डेटा तक पहुंचते हैं (उदाहरण के लिए, फॉर्म सबमिशन देखना या उपयोगकर्ता रिकॉर्ड प्रबंधित करना), यह डेटा आपके अनुरोध को पूरा करने के लिए हमारे US-आधारित इन्फ्रास्ट्रक्चर के माध्यम से संसाधित किया जा सकता है। ये हस्तांतरण मांग पर, आपके (नियंत्रक) द्वारा शुरू किए गए और नीचे वर्णित हस्तांतरण तंत्र और पूरक उपायों द्वारा संरक्षित हैं।
• अन्य US-आधारित प्रसंस्करण: विश्लेषण डेटा और कंटेंट मॉडरेशन और AI अनुमान के लिए हमारे US-आधारित क्लाउड इन्फ्रास्ट्रक्चर द्वारा संसाधित डेटा नीचे दिए गए हस्तांतरण तंत्र के अधीन अभी भी संयुक्त राज्य अमेरिका में स्थानांतरित किया जा सकता है।

EEA, UK, या स्विट्ज़रलैंड से उन देशों को व्यक्तिगत डेटा के स्थानांतरण के लिए जिन्हें डेटा सुरक्षा का पर्याप्त स्तर प्रदान करने के रूप में मान्यता नहीं दी गई है, हम निर्भर करते हैं:

1. मानक अनुबंधात्मक खंड (SCCs): हम इस DPA में यूरोपीय आयोग के मानक अनुबंधात्मक खंडों को संदर्भ द्वारा शामिल करते हैं: मॉड्यूल एक (नियंत्रक से नियंत्रक) विश्लेषण डेटा के लिए जहाँ हम संयुक्त नियंत्रक के रूप में कार्य करते हैं (धारा 2.3 देखें), और मॉड्यूल दो (नियंत्रक से प्रोसेसर) आपकी ओर से संसाधित सभी अन्य व्यक्तिगत डेटा के लिए। SCCs https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en पर उपलब्ध हैं।
2. UK अंतर्राष्ट्रीय डेटा स्थानांतरण संलग्नक: UK से स्थानांतरण के लिए, EU SCCs का UK संलग्नक लागू होता है।
3. स्विस डेटा स्थानांतरण तंत्र: स्विट्ज़रलैंड से स्थानांतरण के लिए, SCCs स्विस FADP द्वारा आवश्यक संशोधनों के साथ लागू होते हैं।

7.2 पूरक उपाय

हम स्थानांतरित व्यक्तिगत डेटा की सुरक्षा के लिए निम्नलिखित पूरक उपाय लागू करते हैं:

• पारगमन में डेटा का एन्क्रिप्शन (TLS/SSL) और विश्राम पर
• पहुँच नियंत्रण और प्रमाणीकरण तंत्र
• नियमित सुरक्षा मूल्यांकन
• डेटा न्यूनतमकरण प्रथाएँ (जैसे, कच्चे IP भंडारण के बजाय दैनिक-घूर्णन आगंतुक हैश)
• EU-निवासी वेबसाइट ऑपरेटरों के लिए क्षेत्राधिकार डेटा निवास (स्थायी भंडारण और स्वचालित विज़िटर-उन्मुख प्रसंस्करण EU तक सीमित)
• EU निवासी वेबसाइट ऑपरेटरों के लिए स्वचालित आगंतुक-मुखी संचालन के लिए EU-आधारित कम्प्यूट और ईमेल इंफ्रास्ट्रक्चर (सामग्री सबमिशन सूचनाएं और लेनदेनकारी ईमेल डिलीवरी यूरोपीय संघ में संसाधित किए जाते हैं)

7.3 स्थानांतरण प्रभाव मूल्यांकन

ये पूरक उपाय गंतव्य देशों के कानूनों और प्रथाओं के हमारे मूल्यांकन द्वारा सूचित हैं, जिसमें स्थानांतरित डेटा की प्रकृति, उपयोग किया गया स्थानांतरण तंत्र, और मौजूद तकनीकी और संगठनात्मक सुरक्षा उपायों को ध्यान में रखा जाता है। हमने मूल्यांकन किया है कि ऊपर वर्णित पूरक उपाय, SCCs में प्रतिबद्धताओं के साथ मिलकर, स्थानांतरित व्यक्तिगत डेटा के लिए सुरक्षा का पर्याप्त स्तर प्रदान करते हैं। हमारा स्थानांतरण प्रभाव मूल्यांकन https://www.acira.ai/tia पर उपलब्ध है।

7.4 कनाडाई डेटा स्थानांतरण

कनाडा से व्यक्तिगत डेटा के स्थानांतरण के लिए, हम निम्नलिखित सुरक्षा उपायों पर निर्भर करते हैं ताकि यह सुनिश्चित किया जा सके कि कनाडा के बाहर स्थानांतरित व्यक्तिगत डेटा को व्यक्तिगत सूचना संरक्षण और इलेक्ट्रॉनिक दस्तावेज़ अधिनियम (PIPEDA) और लागू प्रांतीय गोपनीयता कानून (अल्बर्टा के PIPA, ब्रिटिश कोलंबिया के PIPA, और निजी क्षेत्र में व्यक्तिगत जानकारी के संरक्षण के संबंध में क्यूबेक के अधिनियम सहित) के तहत आवश्यक के रूप में तुलनीय स्तर की सुरक्षा प्राप्त हो:

1. अनुबंधात्मक सुरक्षा: प्रत्येक उप-प्रोसेसर के साथ लिखित डेटा प्रसंस्करण समझौते जो कनाडाई गोपनीयता कानून के अनुरूप मानक के अनुसार व्यक्तिगत डेटा की सुरक्षा के दायित्व लगाते हैं, जिसमें उचित सुरक्षा सुरक्षोपाय, उपयोग सीमाओं, उल्लंघन अधिसूचना, और डेटा विषय पहुँच के लिए आवश्यकताएं शामिल हैं।
2. तकनीकी सुरक्षा उपाय: धारा 7.2 में वर्णित समान एन्क्रिप्शन, स्यूडोनिमाइज़ेशन, पहुँच नियंत्रण, और डेटा न्यूनतमकरण उपाय कनाडाई डेटा स्थानांतरण पर लागू होते हैं।
3. संगठनात्मक सुरक्षा उपाय: उप-प्रोसेसर उचित परिश्रम, कर्मियों के लिए गोपनीयता दायित्व, और इस DPA में वर्णित प्रलेखित घटना प्रतिक्रिया प्रक्रियाएं।

हम कनाडाई गोपनीयता कानून में विकास की निगरानी करते हैं, जिसमें प्रस्तावित उपभोक्ता गोपनीयता संरक्षण अधिनियम (CPPA) शामिल है, और आवश्यकतानुसार अपने स्थानांतरण तंत्र को अपडेट करेंगे।

8. डेटा विषय अधिकार

8.1 अनुरोधों के साथ सहायता

हम लागू डेटा सुरक्षा कानून के तहत अपने अधिकारों का प्रयोग करने वाले डेटा विषयों से अनुरोधों का जवाब देने में आपकी सहायता करेंगे, जिसमें पहुँच, सुधार, मिटाने, प्रतिबंध, पोर्टेबिलिटी, और आपत्ति के अधिकार शामिल हैं।

8.2 अधिसूचना

यदि हमें आपकी ओर से संसाधित व्यक्तिगत डेटा के संबंध में किसी डेटा विषय से सीधे अनुरोध प्राप्त होता है, तो हम आपको तुरंत सूचित करेंगे और आपके निर्देशों के बिना अनुरोध का जवाब नहीं देंगे, जब तक कि लागू कानून द्वारा आवश्यक न हो।

8.3 प्लेटफ़ॉर्म उपकरण

हम डेटा विषय अनुरोधों को पूरा करने में आपकी सहायता के लिए सेवाओं के भीतर उपकरण प्रदान करते हैं, जिनमें शामिल हैं:

• आपकी वेबसाइट के डेटाबेस में संग्रहीत डेटा तक पहुँच और प्रबंधन
• आपकी वेबसाइट के डेटाबेस से व्यक्तिगत रिकॉर्ड हटाना
• अनुरोध पर, हम डेटा पोर्टेबिलिटी दायित्वों में सहायता के लिए ZIP प्रारूप में डेटा निर्यात प्रदान कर सकते हैं

9. डेटा सुरक्षा

9.1 सुरक्षा उपाय

हम अनधिकृत या गैरकानूनी प्रसंस्करण और आकस्मिक हानि, विनाश, या क्षति के विरुद्ध व्यक्तिगत डेटा की सुरक्षा के लिए उचित तकनीकी और संगठनात्मक उपाय लागू और बनाए रखते हैं। इन उपायों में शामिल हैं:

• एन्क्रिप्शन: TLS/SSL के माध्यम से पारगमन में एन्क्रिप्टेड डेटा और उद्योग-मानक एन्क्रिप्शन का उपयोग करके विश्राम पर
• पहुँच नियंत्रण: भूमिका-आधारित पहुँच नियंत्रण, प्लेटफ़ॉर्म प्रशासन के लिए बहु-कारक प्रमाणीकरण, न्यूनतम-विशेषाधिकार पहुँच नीतियाँ
• अवसंरचना सुरक्षा: स्वचालित सुरक्षा पैचिंग, DDoS सुरक्षा, और वेब एप्लिकेशन फ़ायरवॉल (WAF) के साथ प्रबंधित क्लाउड अवसंरचना
• डेटा अलगाव: समर्पित स्टोरेज इंस्टेंस के माध्यम से प्रति-वेबसाइट डेटा अलगाव
• निगरानी: स्वचालित सुरक्षा निगरानी, घुसपैठ पहचान, और संरचित लॉगिंग
• क्रेडेंशियल सुरक्षा: समर्पित सीक्रेट प्रबंधन सेवाओं में संग्रहीत सभी API कुंजियाँ और सीक्रेट; प्रति-उपयोगकर्ता साल्ट के साथ मजबूत क्रिप्टोग्राफिक एल्गोरिदम का उपयोग करके हैश किए गए उपयोगकर्ता पासवर्ड
• बॉट सुरक्षा: स्वचालित दुरुपयोग को रोकने के लिए प्रूफ-ऑफ-वर्क चुनौती प्रणालियाँ

9.2 गोपनीयता

हम यह सुनिश्चित करते हैं कि व्यक्तिगत डेटा संसाधित करने के लिए अधिकृत सभी कर्मचारी गोपनीयता दायित्वों से बंधे हैं।

10. डेटा उल्लंघन अधिसूचना

10.1 नियंत्रक को अधिसूचना

आपकी ओर से संसाधित व्यक्तिगत डेटा को प्रभावित करने वाले व्यक्तिगत डेटा उल्लंघन की पुष्टि के बाद हम आपको बिना अनुचित देरी के सूचित करेंगे। अधिसूचना आपके खाते से जुड़ी संपर्क जानकारी पर भेजी जाएगी।

10.2 अधिसूचना सामग्री

हमारी उल्लंघन अधिसूचना में, उपलब्ध सीमा तक, शामिल होगा:

1. उल्लंघन की प्रकृति का विवरण, जिसमें प्रभावित डेटा विषयों और रिकॉर्ड की श्रेणियाँ और अनुमानित संख्या शामिल हैं;
2. हमारे डेटा संरक्षण संपर्क का नाम और संपर्क विवरण;
3. उल्लंघन के संभावित परिणामों का विवरण;
4. उल्लंघन को संबोधित करने और इसके प्रभावों को कम करने के लिए किए गए या प्रस्तावित उपायों का विवरण।

10.3 आपकी दायित्व

आप लागू डेटा सुरक्षा कानून द्वारा आवश्यक व्यक्तिगत डेटा उल्लंघन की प्रासंगिक पर्यवेक्षी प्राधिकरण और प्रभावित डेटा विषयों को सूचित करने के लिए जिम्मेदार हैं। हम आपके साथ सहयोग करेंगे और आपके उल्लंघन अधिसूचना दायित्वों का अनुपालन करने में सहायता के लिए उचित सहायता प्रदान करेंगे।

11. ऑडिट और अनुपालन सत्यापन

11.1 अनुपालन प्रलेखन

इस DPA के साथ हमारे अनुपालन को प्रदर्शित करने के लिए, हम उचित लिखित अनुरोध पर (वर्ष में एक बार तक) आपको निम्नलिखित उपलब्ध कराएंगे:

1. प्रासंगिक तृतीय-पक्ष ऑडिट रिपोर्ट, प्रमाणपत्र या सुरक्षा मूल्यांकन सारांश;
2. हमारे वर्तमान तकनीकी और संगठनात्मक सुरक्षा उपायों का सारांश;
3. हमारी प्रसंस्करण गतिविधियों, उप-प्रसंस्करणकर्ताओं और डेटा सुरक्षा प्रथाओं के बारे में जानकारी।

जहां हम तृतीय-पक्ष इन्फ्रास्ट्रक्चर प्रदाताओं (जैसे AWS और Cloudflare) पर निर्भर करते हैं, उनके सुरक्षा प्रमाणपत्र और अनुपालन प्रलेखन उनके संबंधित ट्रस्ट और अनुपालन कार्यक्रमों के माध्यम से उपलब्ध हैं।

11.2 अतिरिक्त पूछताछ

यदि अनुभाग 11.1 के तहत प्रदान किया गया प्रलेखन आपकी अनुपालन चिंताओं को उचित रूप से संबोधित नहीं करता है, तो आप हमारी डेटा सुरक्षा प्रथाओं के बारे में विशिष्ट लिखित प्रश्न प्रस्तुत कर सकते हैं, जिनका हम उचित समय सीमा के भीतर उत्तर देंगे।

12. डेटा प्रतिधारण और विलोपन

12.1 अनुबंध के दौरान

हम आपकी ओर से संसाधित व्यक्तिगत डेटा को अनुबंध की अवधि के लिए और सेवाओं के माध्यम से आपके निर्देशों के अनुसार बनाए रखेंगे। आगंतुक डेटा के लिए विशिष्ट प्रतिधारण अवधि में शामिल हैं:

• आपकी वेबसाइट पर चैटबॉट वार्तालाप: प्रत्येक वार्तालाप में अंतिम इंटरैक्शन से तीस (30) दिनों के लिए बनाए रखे जाते हैं। वार्तालाप वेबसाइट के एज बुनियादी ढांचे पर आगंतुक सत्रों में संग्रहीत होते हैं और जब निष्क्रियता के कारण सत्र समाप्त होता है तो स्वचालित रूप से हटा दिए जाते हैं।
• आपकी वेबसाइट पर फ़ॉर्म सबमिशन और उपयोगकर्ता-निर्मित सामग्री: संबंधित वेबसाइट की अवधि के लिए बनाए रखी जाती है, जब तक कि आप उन्हें प्लेटफ़ॉर्म उपकरणों के माध्यम से पहले न हटाएं।
• आपके वेबसाइट आगंतुकों के लिए सत्र डेटा: 30 दिनों की निष्क्रियता के बाद स्वचालित रूप से हटा दिया जाता है।
• हटाई गई आगंतुक सामग्री (फ़ॉर्म सबमिशन, टिप्पणियाँ, और आपकी वेबसाइट पर अन्य उपयोगकर्ता-निर्मित सामग्री): जब आप प्लेटफ़ॉर्म उपकरणों के माध्यम से आगंतुक सामग्री हटाते हैं, तो इसे सॉफ्ट-डिलीट स्थिति में स्थानांतरित किया जाता है और पुनर्प्राप्ति का समर्थन करने के लिए तीस (30) दिनों तक बनाए रखा जाता है। इस अवधि के बाद, सॉफ्ट-डिलीट की गई सामग्री स्थायी रूप से हटा दी जाती है। आप पुनर्प्राप्ति कतार से इसे शुद्ध करके सामग्री को तुरंत स्थायी रूप से हटा सकते हैं।
• आपकी वेबसाइट पर ईमेल ऑप्ट-आउट रिकॉर्ड: संबंधित वेबसाइट की अवधि के लिए बनाए रखे जाते हैं, जब तक कि प्राप्तकर्ता पुनः सदस्यता नहीं लेता। वेबसाइट नष्ट होने पर ऑप्ट-आउट रिकॉर्ड हटा दिए जाते हैं।
• विश्लेषण डेटा: संबंधित वेबसाइट की अवधि के लिए बनाए रखा जाता है (प्लान-आधारित प्रतिधारण सीमाओं के अधीन; मुफ्त प्लान विश्लेषण डेटा नब्बे (90) दिनों के लिए बनाए रखा जाता है)।

12.2 समाप्ति पर

अनुबंध की समाप्ति पर, या आपके अनुरोध पर, हम अनुबंध में वर्णित डेटा प्रतिधारण प्रथाओं के अनुसार (खाते और वेबसाइट हटाने के लिए सात (7) दिन की अनुग्रह अवधि सहित) आपकी ओर से संसाधित व्यक्तिगत डेटा हटाएंगे। अनुग्रह अवधि के बाद, विलोपन स्थायी और अपरिवर्तनीय है।

12.3 अपवाद

हम लागू कानून द्वारा आवश्यक सीमा तक, या जहाँ डेटा अनाम किया गया है और किसी डेटा विषय से जोड़ा नहीं जा सकता, व्यक्तिगत डेटा बनाए रख सकते हैं।

13. अवधि और समाप्ति

यह DPA उस तारीख को प्रभावी होता है जिस दिन आप अनुबंध स्वीकार करते हैं और तब तक प्रभावी रहता है जब तक हम आपकी ओर से व्यक्तिगत डेटा संसाधित करते हैं। इस DPA में निर्धारित गोपनीयता और डेटा संरक्षण के दायित्व अनुबंध की समाप्ति के बाद भी जीवित रहते हैं।

14. दायित्व की सीमा

इस DPA के तहत प्रत्येक पक्ष का दायित्व अनुबंध में निर्धारित दायित्व की सीमाओं के अधीन है।

15. हमसे संपर्क करें

इस DPA के बारे में प्रश्नों के लिए या अपने अधिकारों का प्रयोग करने के लिए, हमसे संपर्क करें:

Acira AI LLC
Attn: Data Protection
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

फोन: 888-389-1189
ईमेल: legal@acira.ai