डेटा प्रसंस्करण समझौता (DPA) — उपयोग की शर्तों का परिशिष्ट 1

संस्करण 1.0 — 3 नवंबर 2026। यह समझौता (umowa powierzenia przetwarzania danych osobowych, अनुच्छेद 28 GDPR) PolyMatch खाता धारक कंपनी ("क्लाइंट") और Eddy KHATIB, ul. Złota 75A/7, 00-819 Warszawa, पोलैंड, NIP 5273244324 ("PolyMatch") के बीच किया जाता है। इसे क्लाइंट को बाध्य करने के लिए अधिकृत व्यक्ति द्वारा उपयोग की शर्तों के साथ स्वीकार किया जाता है; क्लाइंट के नाम पर एक दिनांकित प्रति "मेरी कंपनी" से डाउनलोड की जा सकती है।

1. विषय-वस्तु और दायरा

1.1 यह समझौता PolyMatch द्वारा, क्लाइंट की ओर से, उस कंटेंट में निहित तृतीय पक्षों के व्यक्तिगत डेटा के प्रसंस्करण को नियंत्रित करता है जिसे क्लाइंट प्लेटफ़ॉर्म पर अपलोड करता है या दर्ज करता है ("क्लाइंट डेटा"): उसके उपठेकेदारों, ग्राहकों या भागीदारों के संपर्क विवरण, उसके दस्तावेज़ों, संदेशों, प्रोजेक्टों या प्रस्तावों में नामित व्यक्ति।

1.2 निम्नलिखित क्लाइंट डेटा नहीं है और इसे PolyMatch द्वारा गोपनीयता नीति के अनुसार एक स्वतंत्र नियंत्रक के रूप में संसाधित किया जाता है: क्लाइंट के उपयोगकर्ताओं के खाते, कंपनी की पहचान और सूचीबद्धता का डेटा, ग्रेडों का तकनीकी डेटा, अपने तकनीकी आयाम में प्रोजेक्ट, लीड, मैच और रैंकिंग, बिलिंग, सुरक्षा और गतिविधि लॉग, सहमतियाँ। अनलॉक के बाद कंपनियों के बीच आदान-प्रदान किए गए डेटा के लिए क्लाइंट और PolyMatch में से प्रत्येक एक स्वतंत्र नियंत्रक है।

1.3 प्रसंस्करण का विवरण: प्रकृति — होस्टिंग, भंडारण, क्लाइंट और उसके उपयोगकर्ताओं को प्रदर्शन, उन कंपनियों को प्रेषण जिनसे क्लाइंट प्लेटफ़ॉर्म के माध्यम से स्वयं संपर्क स्थापित करता है, संदेशों का स्वचालित अनुवाद, बैकअप; उद्देश्य — शर्तों में वर्णित सेवाएँ प्रदान करना; अवधि — अनुबंध की अवधि; डेटा विषयों की श्रेणियाँ — क्लाइंट के उपठेकेदारों, ग्राहकों और भागीदारों के व्यावसायिक संपर्क, उसके उपयोगकर्ताओं द्वारा उल्लिखित व्यक्ति; डेटा की श्रेणियाँ — पेशेवर पहचान, कार्य भूमिका, व्यावसायिक संपर्क विवरण, संदेशों और दस्तावेज़ों की विषय-वस्तु; डेटा की किसी विशेष श्रेणी (अनुच्छेद 9 GDPR) की अपेक्षा नहीं है और क्लाइंट ऐसा कोई डेटा अपलोड न करने का वचन देता है।

2. क्लाइंट के निर्देश

2.1 PolyMatch क्लाइंट डेटा को केवल क्लाइंट के प्रलेखित निर्देशों पर संसाधित करता है। निर्देश हैं: उपयोग की शर्तें, यह समझौता और वे कार्य जो क्लाइंट और उसके उपयोगकर्ता प्लेटफ़ॉर्म में करते हैं (अपलोड, साझाकरण, भेजना, हटाना)।

2.2 यदि PolyMatch यह मानता है कि कोई निर्देश GDPR या अन्य डेटा संरक्षण प्रावधानों का उल्लंघन करता है, तो वह बिना देरी के क्लाइंट को सूचित करता है। जहाँ संघ या सदस्य राज्य का कानून इसकी अपेक्षा करता है, PolyMatch निर्देश के बिना क्लाइंट डेटा को संसाधित कर सकता है; तब वह क्लाइंट को सूचित करता है, जब तक कि कानून द्वारा यह निषिद्ध न हो।

3. क्लाइंट के दायित्व

क्लाइंट गारंटी देता है कि उसके पास क्लाइंट डेटा के लिए एक विधिक आधार है, कि उसने डेटा विषयों को सूचित किया है, कि उसके निर्देश वैध हैं और कि वह क्लाइंट डेटा को आवश्यकता तक सीमित रखता है। क्लाइंट डेटा से संबंधित डेटा विषयों और प्राधिकरणों के अनुरोधों का उत्तर वह अकेले देता है, अनुच्छेद 6 के अंतर्गत PolyMatch की सहायता से।

4. PolyMatch के दायित्व

4.1 गोपनीयता: क्लाइंट डेटा को संसाधित करने के लिए अधिकृत व्यक्ति अनुबंध द्वारा या कानून द्वारा गोपनीयता के लिए बाध्य हैं; पहुँच संचालन और सहायता के लिए आवश्यक सीमा तक सीमित है।

4.2 सुरक्षा: PolyMatch परिशिष्ट A के तकनीकी और संगठनात्मक उपायों को लागू करता है और उनके समग्र स्तर को कम किए बिना जोखिमों के विकास के अनुसार उन्हें अनुकूलित करता है।

4.3 अभिलेख और सहयोग: PolyMatch क्लाइंट के लिए की गई प्रसंस्करण गतिविधियों की श्रेणियों का अभिलेख रखता है और अनुरोध पर पर्यवेक्षी प्राधिकरण के साथ सहयोग करता है।

5. उप-प्रोसेसर

5.1 क्लाइंट परिशिष्ट B में सूचीबद्ध उप-प्रोसेसरों के उपयोग के लिए एक सामान्य प्राधिकरण देता है, जो गोपनीयता नीति में प्रकाशित सूची को पुनः प्रस्तुत करता है।

5.2 PolyMatch किसी भी जोड़ या प्रतिस्थापन के प्रभावी होने से कम से कम तीस दिन पहले क्लाइंट को ई-मेल द्वारा सूचित करता है। क्लाइंट उस अवधि के भीतर, वैध डेटा संरक्षण आधारों पर, लिखित रूप में आपत्ति कर सकता है; सहमति न होने पर, क्लाइंट परिवर्तन प्रभावी होने से पहले बिना दंड के अनुबंध समाप्त कर सकता है।

5.3 PolyMatch प्रत्येक उप-प्रोसेसर पर, अनुबंध द्वारा, अपने स्वयं के दायित्वों के समतुल्य डेटा संरक्षण दायित्व लागू करता है और उनके निष्पादन के लिए क्लाइंट के प्रति उत्तरदायी बना रहता है।

6. सहायता और डेटा विषयों के अधिकार

6.1 प्रसंस्करण की प्रकृति को ध्यान में रखते हुए, PolyMatch अपने अधिकारों (पहुँच, सुधार, मिटाना, प्रतिबंध, पोर्टेबिलिटी, आपत्ति) का प्रयोग करने वाले डेटा विषयों के अनुरोधों का उत्तर देने में क्लाइंट की सहायता करता है। क्लाइंट के पास, प्लेटफ़ॉर्म के भीतर, क्लाइंट डेटा को देखने, सुधारने और हटाने के साधन हैं; जिसकी प्लेटफ़ॉर्म अनुमति नहीं देता, उसके लिए PolyMatch लिखित अनुरोध पर दस कार्य दिवसों के भीतर हस्तक्षेप करता है।

6.2 यदि कोई डेटा विषय क्लाइंट डेटा के बारे में सीधे PolyMatch से संपर्क करता है, तो PolyMatch गुण-दोष पर उत्तर दिए बिना अनुरोध क्लाइंट को अग्रेषित करता है, जब तक कि कानूनी रूप से अपेक्षित न हो।

6.3 PolyMatch, अपने पास उपलब्ध जानकारी की सीमा तक, सुरक्षा, उल्लंघन अधिसूचना और प्रभाव आकलन से संबंधित दायित्वों (अनुच्छेद 32 से 36 GDPR) के अनुपालन में क्लाइंट की सहायता करता है।

7. डेटा उल्लंघन

PolyMatch क्लाइंट डेटा को प्रभावित करने वाले किसी भी व्यक्तिगत डेटा उल्लंघन की सूचना क्लाइंट को अनुचित देरी के बिना और उसकी जानकारी होने के अधिकतम अड़तालीस घंटों के भीतर, क्लाइंट के व्यवस्थापकों को ई-मेल द्वारा देता है। अधिसूचना में उल्लंघन की प्रकृति, संबंधित डेटा विषयों और अभिलेखों की श्रेणियाँ और अनुमानित संख्या, संभावित परिणाम, किए गए या प्रस्तावित उपाय, और संपर्क बिंदु का वर्णन होता है; जो जानकारी अभी उपलब्ध नहीं है, वह उपलब्ध होते ही प्रदान की जाती है।

8. यूरोपीय संघ के बाहर हस्तांतरण

क्लाइंट डेटा यूरोपीय संघ में होस्ट किया जाता है। किसी उप-प्रोसेसर द्वारा किसी तीसरे देश में कोई भी हस्तांतरण एक पर्याप्तता निर्णय या यूरोपीय आयोग के मानक संविदात्मक खंडों पर, उपयुक्त पूरक उपायों के साथ, आधारित होता है; परिशिष्ट B प्रत्येक उप-प्रोसेसर पर लागू सुरक्षा उपाय दर्शाता है। कुछ स्वचालित प्रसंस्करण संयुक्त राज्य अमेरिका में स्थापित AI प्रदाताओं को, यूरोपीय आयोग के मानक संविदात्मक खंडों के आधार पर, सौंपा जाता है; आपका डेटा उनके मॉडलों को प्रशिक्षित करने के लिए उपयोग नहीं किया जाता।

9. लेखापरीक्षा

9.1 PolyMatch क्लाइंट को इस समझौते के अनुपालन को प्रदर्शित करने के लिए आवश्यक जानकारी उपलब्ध कराता है: सुरक्षा उपायों का विवरण, उप-प्रोसेसरों की सूची, वर्ष में एक बार लिखित प्रश्नावली के उत्तर।

9.2 ऑन-साइट लेखापरीक्षा, या किसी स्वतंत्र तृतीय पक्ष द्वारा लेखापरीक्षा, वर्ष में एक बार, या किसी डेटा उल्लंघन के बाद या किसी प्राधिकरण के अनुरोध पर, तीस दिनों की लिखित पूर्व सूचना पर, कार्य समय के दौरान, संचालन को बाधित किए बिना या अन्य क्लाइंटों के डेटा तक पहुँच दिए बिना, क्लाइंट के व्यय पर संभव है। निष्कर्ष गोपनीय होते हैं।

10. प्रसंस्करण की समाप्ति

10.1 अनुबंध की समाप्ति पर, PolyMatch तीस दिनों के भीतर क्लाइंट डेटा हटा देता है, जब तक कि कोई विधिक प्रतिधारण दायित्व लागू न हो, जिस स्थिति में डेटा उस दायित्व की समाप्ति तक पृथक रूप से रखा जाता है। क्लाइंट अनुबंध की समाप्ति से पहले प्लेटफ़ॉर्म के कार्यों के माध्यम से स्वयं अपना डेटा निर्यात करता है।

10.2 क्लाइंट के निर्देश पर, किसी अनलॉक, प्रस्ताव या दस्तावेज़ साझाकरण के माध्यम से किसी अन्य कंपनी को पहले ही प्रेषित क्लाइंट डेटा उस कंपनी के पास रहता है, जो उसकी नियंत्रक है। अनुबंध की समाप्ति के बाद ग्रेडों की निरंतर सूचीबद्धता (शर्तों का अनुच्छेद 12.5) तकनीकी और कंपनी डेटा से संबंधित है, जो क्लाइंट डेटा नहीं है।

11. दायित्व और अवधि

11.1 इस समझौते के अंतर्गत प्रत्येक पक्ष का दायित्व उपयोग की शर्तों के अनुच्छेद 13 की सीमाओं के अधीन है, सिवाय वहाँ जहाँ GDPR के अनिवार्य प्रावधान अन्यथा निर्धारित करते हैं।

11.2 यह समझौता अनुबंध की पूरी अवधि के लिए और क्लाइंट डेटा हटाए जाने तक लागू रहता है। यह पोलिश कानून द्वारा शासित है; व्यक्तिगत डेटा से संबंधित किसी मामले पर शर्तों के साथ टकराव की स्थिति में, यह समझौता प्रबल होता है।

परिशिष्ट A — तकनीकी और संगठनात्मक उपाय

• यूरोपीय संघ (आयरलैंड) में डेटा और फ़ाइलों की होस्टिंग, ISO 27001 और SOC 2 प्रमाणित प्रदाता के साथ।
• संचार (TLS 1.2 या उच्चतर) का और संग्रहीत डेटा का एन्क्रिप्शन।
• प्रति कंपनी और प्रति भूमिका डेटा का पृथक्करण, डेटाबेस स्तर पर लागू (पंक्ति-स्तरीय अभिगम नियंत्रण); संवेदनशील तालिकाओं तक ब्राउज़र की कोई प्रत्यक्ष पहुँच नहीं; संवेदनशील फ़ंक्शन केवल सर्वर द्वारा निष्पादन योग्य।
• हैश किए गए पासवर्ड द्वारा प्रमाणीकरण, छेड़छाड़ किए गए पासवर्डों से सुरक्षा, 7 दिनों की निष्क्रियता के बाद सत्र की समाप्ति, पंजीकरण, लॉगिन और पासवर्ड रीसेट पर एंटी-बॉट जाँच, दर सीमन।
• समय-सीमित हस्ताक्षरित लिंकों के माध्यम से फ़ाइलों तक पहुँच; कंपनियों के बीच साझा किए गए दस्तावेज़ों का रजिस्टर।
• तकनीकी रहस्य एक समर्पित वॉल्ट में रखे जाते हैं, कभी कोड में नहीं; नामित और लॉग की गई प्रशासनिक पहुँच।
• एन्क्रिप्टेड बैकअप, दूसरे प्रदाता के पास फ़ाइलों की प्रति; पुनर्स्थापन प्रक्रिया।
• कार्यों और त्रुटियों का लॉग; जब कोई संविदात्मक संचार भेजने में विफल रहता है तो चेतावनी।
• प्रत्येक रिलीज़ से पहले स्वचालित परीक्षणों, समीक्षा और सुरक्षा गार्डों के साथ विकास; लॉन्च से पहले और प्रत्येक बड़े परिवर्तन के बाद सुरक्षा लेखापरीक्षा।
• डेटा प्रसंस्करण समझौते से बँधे उप-प्रोसेसर; उनके प्रमाणनों और हस्तांतरण सुरक्षा उपायों का सत्यापन।
• उल्लंघन प्रबंधन प्रक्रिया: पहचान, नियंत्रण, विश्लेषण, अधिसूचना (अनुच्छेद 7), सुधारात्मक उपाय।

परिशिष्ट B — उप-प्रोसेसर

क्लाइंटों के लिए "मेरी कंपनी" (अनुबंध दस्तावेज़) में सुलभ सूची। कोई भी परिवर्तन अनुच्छेद 5 की प्रक्रिया का पालन करता है।