ડેટા પ્રોસેસિંગ કરાર

પક્ષો

આ ડેટા પ્રોસેસિંગ કરાર ("DPA" અથવા "કરાર") નીચેના દ્વારા અને વચ્ચે કરવામાં આવ્યો છે:

ડેટા નિયંત્રક ("નિયંત્રક" અથવા "ગ્રાહક")

ડેટા પ્રોસેસર ("પ્રોસેસર" અથવા "ઝાયજેની"):

કંટ્રોલર અને પ્રોસેસરને હવેથી વ્યક્તિગત રીતે "પક્ષ" અને સામૂહિક રીતે "પક્ષો" તરીકે ઓળખવામાં આવશે.

આ DPA, Xygeni દ્વારા તેની એપ્લિકેશન સુરક્ષાની જોગવાઈને સંચાલિત કરતા પક્ષો વચ્ચે માસ્ટર સર્વિસ એગ્રીમેન્ટ અથવા સેવાની શરતો ("મુખ્ય કરાર") નો ભાગ બનાવે છે અને software supply chain security સેવાઓ ("સેવાઓ"). આ DPA અને મુખ્ય કરાર વચ્ચે સંઘર્ષની સ્થિતિમાં, ડેટા સુરક્ષા બાબતોના સંદર્ભમાં આ DPA માન્ય રહેશે.

1. વ્યાખ્યાઓ

આ DPA ના હેતુઓ માટે:

• "GDPR" એટલે કે વ્યક્તિગત ડેટાની પ્રક્રિયાના સંદર્ભમાં કુદરતી વ્યક્તિઓના રક્ષણ પર યુરોપિયન સંસદ અને 27 એપ્રિલ 2016 ના કાઉન્સિલના નિયમન (EU) 2016/679.
• "LOPDGDD" એટલે Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• “વ્યક્તિગત ડેટા”, “પ્રોસેસિંગ”, “નિયંત્રક”, “પ્રોસેસર”, “સબ-પ્રોસેસર”, “ડેટા વિષય”, “સુપરવાઇઝરી ઓથોરિટી”, “વ્યક્તિગત ડેટા ભંગ” GDPR માં દર્શાવેલ અર્થો હશે.
• "ગ્રાહક ડેટા" એટલે સેવાઓના સંબંધમાં નિયંત્રક દ્વારા અથવા તેના વતી સબમિટ કરાયેલ કોઈપણ વ્યક્તિગત ડેટા, અથવા નિયંત્રક વતી પ્રોસેસર દ્વારા પ્રક્રિયા કરાયેલ કોઈપણ વ્યક્તિગત ડેટા.
• "સબ-પ્રોસેસર" એટલે કે કંટ્રોલર વતી ગ્રાહક ડેટા પર પ્રક્રિયા કરવા માટે પ્રોસેસર દ્વારા રોકાયેલ કોઈપણ તૃતીય પક્ષ, કંટ્રોલર પાસેથી પૂર્વ અધિકૃતતા (કલમ 7 માં વર્ણવ્યા મુજબ) સાથે.
• "એસસીસી" એટલે Standard યુરોપિયન કમિશન દ્વારા મંજૂર કરાયેલ GDPR અનુસાર ત્રીજા દેશોમાં વ્યક્તિગત ડેટા ટ્રાન્સફર કરવા માટેના કરાર કલમો અમલીકરણ ડીcisઆયન (EU) 2021/914 ઓફ 4 જૂન 2021.
• "સેવાઓ" એટલે application security posture management, software supply chain security, મુખ્ય કરાર હેઠળ ઝાયજેની દ્વારા નિયંત્રકને પૂરી પાડવામાં આવતી નબળાઈ શોધ અને સંબંધિત સેવાઓ.
• "લાગુ થતો ડેટા સુરક્ષા કાયદો" જેનો અર્થ GDPR, LOPDGDD, અને સમયાંતરે સુધારેલા કોઈપણ અન્ય લાગુ રાષ્ટ્રીય ડેટા સુરક્ષા કાયદા થાય છે.

2. પક્ષકારોની ભૂમિકાઓ

પક્ષો સ્વીકારે છે અને સંમત થાય છે કે:

• ગ્રાહક ડેટાના સંદર્ભમાં નિયંત્રક ડેટા નિયંત્રક તરીકે કાર્ય કરે છે અને સેવાઓને સબમિટ કરાયેલ ગ્રાહક ડેટાની પ્રક્રિયા કરવાના હેતુઓ અને માધ્યમો નક્કી કરવા માટે જવાબદાર છે.
• ગ્રાહક ડેટાના સંદર્ભમાં પ્રોસેસર ડેટા પ્રોસેસર તરીકે કાર્ય કરે છે અને ફક્ત નિયંત્રક વતી અને તેના દસ્તાવેજીકૃત સૂચનાઓ પર આવા ડેટા પર પ્રક્રિયા કરે છે.
• દરેક પક્ષ નિયંત્રક અથવા પ્રોસેસર તરીકેની ભૂમિકામાં લાગુ ડેટા સુરક્ષા કાયદા હેઠળ તેની સંબંધિત જવાબદારીઓનું પાલન કરશે.

જ્યાં Xygeni પોતાના હેતુઓ માટે વ્યક્તિગત ડેટા પર પ્રક્રિયા કરે છે (દા.ત., એકાઉન્ટ મેનેજમેન્ટ, બિલિંગ, સેવા સુધારણા વિશ્લેષણ), તે એક સ્વતંત્ર નિયંત્રક તરીકે કાર્ય કરે છે. આવી પ્રક્રિયા Xygeni ની ગોપનીયતા નીતિ દ્વારા સંચાલિત થાય છે અને આ DPA ના અવકાશની બહાર છે.

૩. વિષય, પ્રકૃતિ અને પ્રક્રિયાનો હેતુ

આ DPA ના શેડ્યૂલ 1 (પ્રક્રિયા વિગતો) માં પ્રક્રિયાનો વિષય, પ્રકૃતિ, સમયગાળો અને હેતુ, તેમજ પ્રક્રિયા કરાયેલ વ્યક્તિગત ડેટાના પ્રકારો અને ડેટા વિષયોની શ્રેણીઓ દર્શાવવામાં આવી છે.

પ્રોસેસર ગ્રાહક ડેટાને ફક્ત મુખ્ય કરારમાં વર્ણવેલ સેવાઓ પૂરી પાડવા માટે જરૂરી હદ સુધી અને નિયંત્રકની દસ્તાવેજીકૃત સૂચનાઓ અનુસાર પ્રક્રિયા કરશે, સિવાય કે લાગુ કાયદા દ્વારા આવું કરવાની જરૂર હોય. આવા કિસ્સામાં, પ્રોસેસર પ્રક્રિયા કરતા પહેલા નિયંત્રકને તે કાનૂની જરૂરિયાત વિશે જાણ કરશે, સિવાય કે જાહેર હિતના મહત્વપૂર્ણ કારણોસર કાયદા દ્વારા પ્રતિબંધિત હોય.

૪. નિયંત્રકની સૂચનાઓ

કંટ્રોલર પ્રોસેસરને ગ્રાહક ડેટા પર પ્રક્રિયા કરવા માટે સૂચના આપે છે: (a) મુખ્ય કરાર અનુસાર સેવાઓ પૂરી પાડવા; (b) સમયાંતરે લેખિતમાં જણાવવામાં આવતી કંટ્રોલરની સૂચનાઓનું પાલન કરવા; અને (c) આ DPA હેઠળ પ્રોસેસરની જવાબદારીઓ પૂર્ણ કરવા.

જો પ્રોસેસરના વાજબી મતે, કંટ્રોલર તરફથી મળેલી સૂચના લાગુ પડતા ડેટા પ્રોટેક્શન કાયદાનું ઉલ્લંઘન કરે છે, તો પ્રોસેસર તાત્કાલિક કંટ્રોલરને જાણ કરશે. આવી સ્થિતિમાં, કંટ્રોલર સૂચના સ્પષ્ટ ન કરે અથવા તેમાં ફેરફાર ન કરે ત્યાં સુધી પ્રોસેસર આવી સૂચના અનુસાર પ્રક્રિયા બંધ કરવાનો હકદાર રહેશે.

કંટ્રોલર ખાતરી આપે છે અને રજૂ કરે છે કે: (a) તેની પાસે GDPR કલમ 6 (અને, જ્યાં લાગુ પડે, કલમ 9) હેઠળ સંબંધિત વ્યક્તિગત ડેટાની પ્રક્રિયા કરવા માટે માન્ય કાયદેસર આધાર છે; (b) તેણે બધી જરૂરી સૂચનાઓ પ્રદાન કરી છે અને બધી જરૂરી સંમતિઓ મેળવી છે; અને (c) ગ્રાહક ડેટાનું પ્રોસેસરને ટ્રાન્સફર કોઈપણ લાગુ કાયદાનું ઉલ્લંઘન કરતું નથી.

5. પ્રોસેસર જવાબદારીઓ

૫.૧ પ્રક્રિયા પ્રતિબંધો

પ્રોસેસર ગ્રાહક ડેટા પર ફક્ત નિયંત્રકની દસ્તાવેજીકૃત સૂચનાઓ પર જ પ્રક્રિયા કરશે, સિવાય કે લાગુ EU અથવા સભ્ય રાજ્ય કાયદા દ્વારા આવું કરવાની જરૂર હોય. પ્રોસેસર ગ્રાહક ડેટાને તેના પોતાના હેતુઓ માટે પ્રક્રિયા કરશે નહીં અથવા તેને તૃતીય પક્ષોને જાહેર કરશે નહીં સિવાય કે સેવાઓ પ્રદાન કરવા માટે જરૂરી હોય અથવા કાયદા દ્વારા જરૂરી હોય.

5.2 ગોપનીયતા

પ્રોસેસર ખાતરી કરશે કે ગ્રાહક ડેટા પર પ્રક્રિયા કરવા માટે અધિકૃત વ્યક્તિઓ પાસે છે commitપોતાને ગુપ્તતામાં રાખ્યા છે અથવા ગુપ્તતાની યોગ્ય કાનૂની જવાબદારી હેઠળ છે. ગ્રાહક ડેટાની ઍક્સેસ તે કર્મચારીઓ, કોન્ટ્રાક્ટરો અને સબ-પ્રોસેસર્સ સુધી મર્યાદિત રહેશે જેમને સેવાઓ પૂરી પાડવાના હેતુ માટે ઍક્સેસની જરૂર હોય છે.

5.3 સુરક્ષા પગલાં

પ્રોસેસર ગ્રાહક ડેટાને અનધિકૃત અથવા ગેરકાયદેસર પ્રક્રિયા સામે અને આકસ્મિક નુકસાન, વિનાશ, નુકસાન, ફેરફાર અથવા જાહેરાત સામે રક્ષણ આપવા માટે યોગ્ય તકનીકી અને સંગઠનાત્મક પગલાં અમલમાં મૂકશે અને જાળવી રાખશે, ધ્યાનમાં રાખીને:

• અત્યાધુનિક સ્થિતિ અને અમલીકરણનો ખર્ચ;
• પ્રક્રિયાની પ્રકૃતિ, અવકાશ, સંદર્ભ અને હેતુઓ;
• કુદરતી વ્યક્તિઓના અધિકારો અને સ્વતંત્રતાઓ માટેના જોખમો, ખાસ કરીને આકસ્મિક અથવા ગેરકાયદેસર વિનાશ, નુકસાન, ફેરફાર, ટ્રાન્સમિટ, સંગ્રહિત અથવા અન્યથા પ્રક્રિયા કરાયેલ ગ્રાહક ડેટાના અનધિકૃત ખુલાસા અથવા ઍક્સેસથી.

આવા પગલાંઓમાં ઓછામાં ઓછા, આ DPA ના શેડ્યૂલ 2 (ટેકનિકલ અને સંગઠનાત્મક સુરક્ષા પગલાં) માં દર્શાવેલ પગલાંનો સમાવેશ થશે. પ્રોસેસરનું ISO 27001 પ્રમાણપત્ર બેઝલાઇન માહિતી સુરક્ષા વ્યવસ્થાપન પ્રણાલીનો પુરાવો પૂરો પાડે છે. પ્રોસેસર આ DPA ના સમગ્ર સમયગાળા દરમિયાન ISO 27001 પ્રમાણપત્ર અથવા સમકક્ષ જાળવશે.

૫.૪ ડેટા વિષય અધિકારો

પ્રોસેસર, પ્રક્રિયાની પ્રકૃતિને ધ્યાનમાં લેતા, શક્ય હોય ત્યાં સુધી યોગ્ય તકનીકી અને સંગઠનાત્મક પગલાં દ્વારા નિયંત્રકને મદદ કરશે, જેથી નિયંત્રકની વિનંતીઓનો જવાબ આપવાની જવાબદારી પૂર્ણ કરી શકાય.cisલાગુ ડેટા સુરક્ષા કાયદા હેઠળ ડેટા વિષયોના અધિકારો (GDPR કલમ 15-22 હેઠળ ઍક્સેસ, સુધારણા, ભૂંસી નાખવા, પ્રતિબંધ, પોર્ટેબિલિટી અને વાંધાના અધિકારો સહિત).

પ્રોસેસર: (a) જો પ્રોસેસરને ગ્રાહક ડેટાના સંદર્ભમાં ડેટા વિષય તરફથી વિનંતી મળે તો તે કંટ્રોલરને તાત્કાલિક જાણ કરશે; (b) કંટ્રોલરની દસ્તાવેજીકૃત સૂચનાઓ અથવા લાગુ કાયદા દ્વારા આવશ્યકતા સિવાય આવી વિનંતીઓનો જવાબ આપશે નહીં; અને (c) લાગુ કાયદાકીય સમયમર્યાદા (GDPR આર્ટ. 12 હેઠળ 30 દિવસ) ની અંદર આવી વિનંતીઓનો જવાબ આપવા માટે કંટ્રોલરને વાજબી સહાય પૂરી પાડશે.

૫.૫ નિયંત્રકની જવાબદારીઓમાં સહાય

પ્રોસેસર, GDPR કલમ 32-36 હેઠળની જવાબદારીઓનું પાલન સુનિશ્ચિત કરવામાં કંટ્રોલરને મદદ કરશે, જેમાં પ્રોસેસિંગની પ્રકૃતિ અને પ્રોસેસરને ઉપલબ્ધ માહિતી ધ્યાનમાં લેવામાં આવશે, જેમાં નીચેનાનો સમાવેશ થાય છે:

• પ્રક્રિયાની સુરક્ષા (કલમ 32);
• સુપરવાઇઝરી ઓથોરિટીને વ્યક્તિગત ડેટા ભંગની સૂચના અને ડેટા વિષયોને સંદેશાવ્યવહાર (લેખ 33-34);
• ડેટા સુરક્ષા અસર મૂલ્યાંકન અને પૂર્વ પરામર્શ (કલમ 35-36).

૫.૬ ડેટા કાઢી નાખવો અથવા પરત કરવો

મુખ્ય કરારની સમાપ્તિ અથવા સમાપ્તિ પર, અથવા નિયંત્રકની વિનંતી પર, પ્રોસેસર, નિયંત્રકની પસંદગી પર, તેના કબજામાં રહેલા તમામ ગ્રાહક ડેટાને કાઢી નાખશે અથવા નિયંત્રકને પરત કરશે, અને હાલની નકલો કાઢી નાખશે, સિવાય કે લાગુ EU અથવા સભ્ય રાજ્ય કાયદા દ્વારા વ્યક્તિગત ડેટાના સંગ્રહની જરૂર હોય. પ્રોસેસર સંબંધિત ટ્રિગરના 30 દિવસની અંદર લેખિતમાં કાઢી નાખવાની પૂર્ણતાની પુષ્ટિ કરશે.

પ્રોસેસરનું standard ડેટા રીટેન્શન શેડ્યૂલ (શેડ્યૂલ 1 માં દર્શાવેલ) લાગુ પડશે સિવાય કે કંટ્રોલર ડિલીટ કરવાની અગાઉની વિનંતી કરે.

૫.૭ ઓડિટ અને પાલનનું પ્રદર્શન

પ્રોસેસર આ DPA માં નિર્ધારિત જવાબદારીઓનું પાલન દર્શાવવા માટે જરૂરી બધી માહિતી નિયંત્રકને ઉપલબ્ધ કરાવશે, અને નિયંત્રક અથવા નિયંત્રક દ્વારા ફરજિયાત ઓડિટર દ્વારા હાથ ધરવામાં આવતા નિરીક્ષણો સહિત, ઓડિટ માટે પરવાનગી આપશે અને તેમાં ફાળો આપશે.

પ્રોસેસર આ જવાબદારી પૂરી પાડીને પૂર્ણ કરી શકે છે:

• તેના વર્તમાન ISO 27001 પ્રમાણપત્ર અથવા SOC 2 પ્રકાર II રિપોર્ટની નકલ (એકવાર મેળવી લીધા પછી);
• કંટ્રોલરની સુરક્ષા પ્રશ્નાવલી પૂર્ણ કરવી (પ્રાપ્તિના 10 કાર્યકારી દિવસોમાં);
• નિયંત્રકના ખર્ચે, 30 દિવસની પૂર્વ લેખિત સૂચના પર વાજબી ઓન-સાઇટ ઓડિટ, દર કેલેન્ડર વર્ષમાં એક કરતા વધુ વખત નહીં (જ્યાં સુધી પાલન ન કરવાની વાજબી શંકા ન હોય ત્યાં સુધી).

6. વ્યક્તિગત ડેટા ભંગની સૂચના

પ્રોસેસર ગ્રાહક ડેટાને અસર કરતા વ્યક્તિગત ડેટા ભંગની જાણ થયાના 48 કલાકની અંદર, કોઈપણ કિસ્સામાં, નિયંત્રકને અનુચિત વિલંબ વિના અને કોઈપણ સંજોગોમાં જાણ કરશે. આવી સૂચનામાં, તે સમયે ઉપલબ્ધ હદ સુધી શામેલ હશે:

• વ્યક્તિગત ડેટા ભંગની પ્રકૃતિનું વર્ણન, જેમાં સંબંધિત ડેટા વિષયોની શ્રેણીઓ અને અંદાજિત સંખ્યા અને સંબંધિત વ્યક્તિગત ડેટા રેકોર્ડ્સની શ્રેણીઓ અને અંદાજિત સંખ્યાનો સમાવેશ થાય છે;
• ડેટા પ્રોટેક્શન ઓફિસર અથવા અન્ય સંપર્ક બિંદુ કે જેની પાસેથી વધુ માહિતી મેળવી શકાય છે તેનું નામ અને સંપર્ક વિગતો;
• વ્યક્તિગત ડેટા ભંગના સંભવિત પરિણામોનું વર્ણન;
• વ્યક્તિગત ડેટા ભંગને સંબોધવા માટે લેવામાં આવેલા અથવા લેવાના પ્રસ્તાવિત પગલાંનું વર્ણન, જેમાં યોગ્ય હોય ત્યાં, તેની સંભવિત પ્રતિકૂળ અસરોને ઘટાડવાના પગલાંનો સમાવેશ થાય છે.

જ્યાં ઉપરોક્ત બધી માહિતી એકસાથે પૂરી પાડવાનું શક્ય ન હોય, ત્યાં માહિતી વધુ વિલંબ કર્યા વિના તબક્કાવાર પૂરી પાડી શકાય છે. પ્રોસેસર કંટ્રોલરને સહકાર આપશે અને ઉલ્લંઘનની તપાસ, શમન અને ઉપાયમાં મદદ કરવા માટે કંટ્રોલરને જરૂરી હોય તેવા વાજબી પગલાં લેશે.

પક્ષો સ્વીકારે છે કે GDPR કલમ 33 હેઠળ, વ્યક્તિગત ડેટા ભંગની જાણ થયાના 72 કલાકની અંદર સક્ષમ સુપરવાઇઝરી ઓથોરિટી (એજન્સીયા એસ્પાનોલા ડી પ્રોટેક્શન ડી ડેટાસ — AEPD, અથવા અન્ય સંબંધિત ઓથોરિટી) ને સૂચિત કરવાની જવાબદારી ડેટા કંટ્રોલર તરીકે કંટ્રોલરની છે. આ કલમ હેઠળ પ્રોસેસરની કંટ્રોલરને સૂચનાનો હેતુ કંટ્રોલરને આ નિયમનકારી જવાબદારી પૂર્ણ કરવા સક્ષમ બનાવવાનો છે. પ્રોસેસરની સૂચના ભૂલ અથવા જવાબદારીની કબૂલાત ગણાશે નહીં.

7. સબ-પ્રોસેસર્સ

૭.૧ સામાન્ય અધિકૃતતા

નિયંત્રક પ્રોસેસરને આ DPA માં શેડ્યૂલ 3 (મંજૂર સબ-પ્રોસેસર્સ) માં સૂચિબદ્ધ સબ-પ્રોસેસર્સને જોડવા માટે સામાન્ય અધિકૃતતા આપે છે. પ્રોસેસર દરેક સબ-પ્રોસેસર પર આ DPA માં નિર્ધારિત સમાન ડેટા સુરક્ષા જવાબદારીઓ લાદશે, ખાસ કરીને યોગ્ય તકનીકી અને સંગઠનાત્મક પગલાં અમલમાં મૂકવા માટે પૂરતી ગેરંટી પૂરી પાડશે.

૭.૨ સબ-પ્રોસેસર્સમાં ફેરફારો

સબ-પ્રોસેસર્સના ઉમેરા અથવા રિપ્લેસમેન્ટ સંબંધિત કોઈપણ ઇચ્છિત ફેરફારોની જાણ પ્રોસેસરે નિયંત્રકને આ રીતે કરવી જોઈએ: (a) https://xygeni.io/legal/subprocessors પર પ્રકાશિત સબ-પ્રોસેસર સૂચિને સુધારેલી "છેલ્લે અપડેટ કરેલી" તારીખ સાથે અપડેટ કરવી; અને (b) ફેરફાર અમલમાં આવે તેના ઓછામાં ઓછા દસ (10) દિવસ પહેલાં નિયંત્રકને લેખિત સૂચના આપવી. નિયંત્રક આવી સૂચનાના સાત (7) દિવસની અંદર વાજબી ડેટા સુરક્ષાના આધારે ફેરફાર સામે વાંધો ઉઠાવી શકે છે. જો નિયંત્રક વાંધો ઉઠાવે છે અને પક્ષકારો વાંધો ઉકેલી શકતા નથી, તો નિયંત્રક દંડ વિના વાજબી સૂચના પર મુખ્ય કરાર સમાપ્ત કરી શકે છે.

જો પ્રોસેસર સબ-પ્રોસેસરને જોડે છે, તો સબ-પ્રોસેસર તેની ડેટા સુરક્ષા જવાબદારીઓને પૂર્ણ કરવામાં નિષ્ફળ જાય ત્યાં સુધી પ્રોસેસર તે સબ-પ્રોસેસરની જવાબદારીઓના પ્રદર્શન માટે સંપૂર્ણપણે નિયંત્રકને જવાબદાર રહેશે.

૭.૩ સબ-પ્રોસેસર ફ્લો-ડાઉન આવશ્યકતાઓ

દરેક સબ-પ્રોસેસર માટે, પ્રોસેસર:

• સબ-પ્રોસેસરને જોડતા પહેલા યોગ્ય યોગ્ય ખંત રાખો;
• આ DPA માં આપેલા નિયમો કરતાં ઓછી રક્ષણાત્મક ન હોય તેવા ડેટા સુરક્ષા જવાબદારીઓ લાદતા લેખિત ડેટા પ્રોસેસિંગ કરારમાં પ્રવેશ કરો;
• ખાતરી કરો કે સબ-પ્રોસેસરના સુરક્ષા પગલાં ઓછામાં ઓછા કલમ 5.3 અને શેડ્યૂલ 2 હેઠળ જરૂરી પગલાં જેટલા જ છે;
• પ્રોસેસરને કંટ્રોલર પ્રત્યેની તેની 48-કલાકની સૂચના જવાબદારી પૂરી કરવા સક્ષમ બનાવવા માટે, વ્યક્તિગત ડેટા ભંગની જાણ થયાના 24 કલાકની અંદર સબ-પ્રોસેસરને સૂચિત કરવાની જરૂર હોય તેવા ઉલ્લંઘન સૂચના જવાબદારીઓનો સમાવેશ થાય છે.

8. આંતરરાષ્ટ્રીય ટ્રાન્સફર

પ્રોસેસર ગ્રાહક ડેટા યુરોપિયન ઇકોનોમિક એરિયા (EEA) ની બહારના દેશમાં ટ્રાન્સફર કરશે નહીં સિવાય કે:

• યુરોપિયન કમિશને પર્યાપ્તતા દળ અપનાવ્યું છેcisGDPR કલમ 45 હેઠળ તે દેશ માટે આયન; અથવા
• GDPR કલમ 46 અનુસાર યોગ્ય સલામતીના પગલાં લાગુ કરવામાં આવ્યા છે, જેમાં શામેલ છે પરંતુ તે મર્યાદિત નથી Standard યુરોપિયન કમિશન દ્વારા અપનાવવામાં આવેલા કરાર કલમો અમલીકરણ ડીcisઆયન (EU) 2021/914 ઓફ 4 જૂન 2021 ("SCCs").

જ્યાં SCC જરૂરી હોય, ત્યાં પ્રોસેસર, કંટ્રોલરની વિનંતી પર, કંટ્રોલર અને/અથવા સંબંધિત સબ-પ્રોસેસર સાથે લાગુ SCCsનો અમલ કરશે. SCCs નું લાગુ મોડ્યુલ કંટ્રોલરથી પ્રોસેસરમાં ટ્રાન્સફર માટે મોડ્યુલ ટુ (કંટ્રોલરથી પ્રોસેસર) અને પ્રોસેસર દ્વારા સબ-પ્રોસેસરમાં આગળ ટ્રાન્સફર માટે મોડ્યુલ થ્રી (પ્રોસેસરથી સબ-પ્રોસેસર) હશે.

SCC ના હેતુઓ માટે સક્ષમ સુપરવાઇઝરી ઓથોરિટી સ્પેનિશ ડેટા પ્રોટેક્શન એજન્સી (Agencia Española de Protección de Datos — AEPD) છે, સિવાય કે લેખિતમાં અન્યથા સંમતિ આપવામાં આવી હોય.

પ્રોસેસર, વિનંતી પર, ગ્રાહક ડેટાના તમામ આંતરરાષ્ટ્રીય ટ્રાન્સફર અને દરેક માટે લાગુ ટ્રાન્સફર મિકેનિઝમનો વર્તમાન રેકોર્ડ જાળવશે અને નિયંત્રકને ઉપલબ્ધ કરાવશે.

9. ડેટા પ્રોટેક્શન ઇમ્પેક્ટ એસેસમેન્ટ્સ

જ્યાં પ્રક્રિયા પ્રવૃત્તિ કુદરતી વ્યક્તિઓના અધિકારો અને સ્વતંત્રતાઓ માટે ઉચ્ચ જોખમમાં પરિણમી શકે છે અને GDPR કલમ 35 હેઠળ નિયંત્રકને ડેટા પ્રોટેક્શન ઇમ્પેક્ટ એસેસમેન્ટ (DPIA) હાથ ધરવાની જરૂર હોય, ત્યાં પ્રોસેસર નિયંત્રકને DPIA હાથ ધરવા માટે જરૂરી વાજબી સહાય અને માહિતી પૂરી પાડશે. પ્રોસેસર 15 કાર્યકારી દિવસોમાં નિયંત્રકની વાજબી DPIA-સંબંધિત વિનંતીઓનો જવાબ આપશે.

10. પ્રક્રિયા પ્રવૃત્તિઓના રેકોર્ડ

કંટ્રોલરની વિનંતી પર, પ્રોસેસર GDPR કલમ 30(2) અનુસાર કંટ્રોલર વતી કરવામાં આવતી પ્રોસેસિંગ પ્રવૃત્તિઓનો રેકોર્ડ રાખશે, જેમાં નીચેનાનો સમાવેશ થાય છે: પ્રોસેસર અને કોઈપણ સબ-પ્રોસેસરના નામ અને સંપર્ક વિગતો; કંટ્રોલર વતી કરવામાં આવતી પ્રોસેસિંગની શ્રેણીઓ; ત્રીજા દેશમાં વ્યક્તિગત ડેટાનું ટ્રાન્સફર; અને તકનીકી અને સંગઠનાત્મક સુરક્ષા પગલાંનું સામાન્ય વર્ણન.

11. જવાબદારી

આ DPA હેઠળ અથવા તેના સંબંધમાં દરેક પક્ષની બીજા પક્ષ પ્રત્યેની જવાબદારી મુખ્ય કરારમાં નિર્ધારિત મર્યાદાઓ અને બાકાતોને આધીન રહેશે. જ્યાં લાગુ પડતા ડેટા સુરક્ષા કાયદાનું ઉલ્લંઘન કરતી પ્રક્રિયાના પરિણામે ડેટા વિષયને નુકસાન થયું હોય, ત્યાં દરેક પક્ષ GDPR કલમ 82-83 અનુસાર GDPRનું ઉલ્લંઘન કરતી તેની પ્રક્રિયાને કારણે થયેલા નુકસાન માટે જવાબદાર રહેશે. આ કલમમાં કંઈપણ લાગુ પડતા કાયદા હેઠળ ડેટા વિષયો પ્રત્યે કોઈપણ પક્ષની જવાબદારીને મર્યાદિત કરતું નથી.

12. મુદત અને સમાપ્તિ

આ DPA મુખ્ય કરારની તારીખથી શરૂ થશે (અથવા જો પછીથી હોય તો આ DPA ના અમલની તારીખથી) અને મુખ્ય કરારના સમયગાળા માટે અમલમાં રહેશે. કોઈપણ કારણોસર મુખ્ય કરાર સમાપ્ત થવાથી આ DPA આપમેળે સમાપ્ત થઈ જશે.

સમાપ્તિ પછી, કલમ 5.6 (ડેટા કાઢી નાખવા અથવા પરત કરવા) હેઠળ પ્રોસેસરની જવાબદારીઓ ટકી રહેશે અને પ્રોસેસર સમાપ્તિના 30 દિવસની અંદર ગ્રાહક ડેટા કાઢી નાખવા અથવા પરત કરવા માટે પૂર્ણ કરશે. ગુપ્તતા, જવાબદારી, શાસન કાયદો અને ઓડિટ સંબંધિત કલમો પણ સમાપ્તિ પછી ટકી રહેશે.

13. શાસન કાયદો અને અધિકારક્ષેત્ર

આ DPA સ્પેનના કાયદા દ્વારા સંચાલિત અને અર્થઘટન કરવામાં આવશે. આ DPA થી ઉદ્ભવતા અથવા તેના સંબંધમાં ઉદ્ભવતા કોઈપણ વિવાદના નિરાકરણ માટે પક્ષકારો મેડ્રિડની અદાલતોના બિન-વિશિષ્ટ અધિકારક્ષેત્રને આધીન થાય છે. આ DPA ની કોઈપણ જોગવાઈ SCC સાથે વિરોધાભાસી હોય ત્યાં સુધી, SCC પ્રબળ રહેશે.

14. પરચુરણ

સમગ્ર કરાર: આ DPA, તેના શેડ્યૂલ અને મુખ્ય કરાર સાથે, આ વિષયવસ્તુના સંદર્ભમાં પક્ષકારો વચ્ચેના સમગ્ર કરારની રચના કરે છે અને ડેટા પ્રોસેસિંગ સંબંધિત તમામ અગાઉના કરારો, સમજૂતીઓ અથવા રજૂઆતોને રદ કરે છે.

સુધારાઓ: આ DPA ફક્ત બંને પક્ષોના અધિકૃત પ્રતિનિધિઓ દ્વારા હસ્તાક્ષર કરાયેલ લેખિત કરાર દ્વારા જ સુધારી શકાય છે.

ગંભીરતા: જો આ DPA ની કોઈપણ જોગવાઈ અમાન્ય અથવા અમલમાં ન આવે તેવી ગણવામાં આવે, તો બાકીની જોગવાઈઓ સંપૂર્ણ અમલમાં અને અસરમાં રહેશે.

પ્રાધાન્યતા: આ DPA અને અનુસૂચિ વચ્ચે સંઘર્ષની સ્થિતિમાં, DPA ની સંસ્થા પ્રબળ રહેશે સિવાય કે અનુસૂચિ સ્પષ્ટપણે અન્યથા જણાવે. આ DPA અને SCC (જ્યાં લાગુ પડે) વચ્ચે સંઘર્ષની સ્થિતિમાં, SCC પ્રબળ રહેશે.

શેડ્યૂલ ૧ — પ્રક્રિયા વિગતો

1. વિષય

પ્રક્રિયાનો વિષય ઝીજેની દ્વારા જોગવાઈ છે application security posture management, software supply chain security વિશ્લેષણ, નબળાઈ શોધ, CI/CD મુખ્ય કરારમાં વર્ણવ્યા મુજબ સુરક્ષા દેખરેખ અને સંબંધિત સેવાઓ.

2. પ્રક્રિયાની પ્રકૃતિ

ગ્રાહક ડેટાનો સંગ્રહ, સંગઠન, રચના, સંગ્રહ, વિશ્લેષણ, પુનઃપ્રાપ્તિ, ઉપયોગ, ટ્રાન્સમિશન દ્વારા જાહેરાત, ગોઠવણી અથવા સંયોજન, પ્રતિબંધ, ભૂંસી નાખવું અથવા નાશ કરવો.

3. પ્રક્રિયાનો હેતુ

ગ્રાહક ડેટાની પ્રક્રિયા નિયંત્રકને સેવાઓ પૂરી પાડવાના એકમાત્ર હેતુ માટે કરવામાં આવે છે, જેમાં નીચેનાનો સમાવેશ થાય છે: સુરક્ષા નબળાઈ શોધ અને રિપોર્ટિંગ; સોફ્ટવેર સપ્લાય ચેઇન જોખમ વિશ્લેષણ; CI/CD pipeline security દેખરેખ; અસંગતતા શોધ; અને ગ્રાહક સપોર્ટ.

4. પ્રક્રિયાનો સમયગાળો

પ્રોસેસર મુખ્ય કરારના સમયગાળા માટે ગ્રાહક ડેટા પર પ્રક્રિયા કરશે. સમાપ્તિ પર, પ્રોસેસર ગ્રાહક ડેટા સબ્સ્ક્રિપ્શન સમાપ્તિ તારીખ પછી 3 મહિના સુધી કાઢી નાખતા પહેલા જાળવી રાખશે, સિવાય કે કંટ્રોલર વહેલા કાઢી નાખવાની વિનંતી કરે. ટ્રાયલ એકાઉન્ટ ડેટા ટ્રાયલ સમાપ્તિ પછી 1 મહિના માટે રાખવામાં આવે છે.

૫. વ્યક્તિગત ડેટાના પ્રકારો

6. ડેટા વિષયોની શ્રેણીઓ

ડેટા વિષયોમાં શામેલ છે: કર્મચારીઓ, કોન્ટ્રાક્ટરો અને કંટ્રોલરના અન્ય અધિકૃત વપરાશકર્તાઓ જે સેવાઓનો ઉપયોગ કરે છે; ભંડારોમાં ફાળો આપનારાઓ (વિકાસકર્તાઓ, બોટ એકાઉન્ટ્સ, બિલ્ડ એજન્ટો) અને pipelineસેવાઓ દ્વારા દેખરેખ રાખવામાં આવે છે; અને નિયંત્રકના પ્રતિનિધિઓ અને સંપર્ક વ્યક્તિઓ.

7. ખાસ શ્રેણી ડેટા

GDPR કલમ 9 માં વ્યાખ્યાયિત કર્યા મુજબ સેવાઓ ખાસ શ્રેણીના વ્યક્તિગત ડેટા પર પ્રક્રિયા કરવા માટે ડિઝાઇન કરવામાં આવી નથી. નિયંત્રક ખાતરી આપે છે કે તે Xygeni સાથે પૂર્વ લેખિત કરાર અને યોગ્ય વધારાના સલામતીના અમલીકરણ વિના સેવાઓને ખાસ શ્રેણીનો વ્યક્તિગત ડેટા સબમિટ કરશે નહીં.

શેડ્યૂલ 2 — ટેકનિકલ અને સંગઠનાત્મક સુરક્ષા પગલાં

Xygeni ગ્રાહક ડેટાને સુરક્ષિત રાખવા માટે નીચેના ટેકનિકલ અને સંગઠનાત્મક પગલાં અમલમાં મૂકે છે, જે Xygeni ની ISO 27001 પ્રમાણિત માહિતી સુરક્ષા વ્યવસ્થાપન પ્રણાલી સાથે સુસંગત છે:

વપરાશ નિયંત્રણ

• ગ્રાહક ડેટા પ્રોસેસ કરતી બધી સિસ્ટમોમાં રોલ-આધારિત એક્સેસ કંટ્રોલ (RBAC) લાગુ કરવામાં આવ્યો.
• ઉત્પાદન સિસ્ટમનો ઉપયોગ કરતા બધા ઝાયજેની કર્મચારીઓ માટે મલ્ટિ-ફેક્ટર ઓથેન્ટિકેશન (MFA) જરૂરી છે.
• બધા વપરાશકર્તા ખાતાઓ પર ઓછામાં ઓછા વિશેષાધિકારનો સિદ્ધાંત લાગુ; ઍક્સેસ અધિકારોની ત્રિમાસિક સમીક્ષા કરવામાં આવે છે.
• પ્રોડક્શન સર્વર ઍક્સેસ માટે SSH કી-આધારિત પ્રમાણીકરણ; પાસવર્ડ પ્રમાણીકરણ અક્ષમ કરેલ છે.

ડેટા એન્ક્રિપ્શન

• TLS 1.2 અથવા ઉચ્ચ સંસ્કરણનો ઉપયોગ કરીને પરિવહનમાં એન્ક્રિપ્ટ થયેલ ગ્રાહક ડેટા.
• AES-256 અથવા સમકક્ષનો ઉપયોગ કરીને ગ્રાહક ડેટા બાકીના સમયે એન્ક્રિપ્ટ થયેલ છે.
• AWS કી મેનેજમેન્ટ સર્વિસ (KMS) દ્વારા સંચાલિત એન્ક્રિપ્શન કી.

નેટવર્ક સુરક્ષા

• નેટવર્ક સેગ્મેન્ટેશન સાથે AWS વર્ચ્યુઅલ પ્રાઇવેટ ક્લાઉડ (VPC) માં હોસ્ટ કરાયેલ ઉત્પાદન સિસ્ટમ્સ.
• જાહેર-મુખી અંતિમ બિંદુઓ માટે વેબ એપ્લિકેશન ફાયરવોલ (WAF) તૈનાત કરવામાં આવ્યું છે.
• ઘૂસણખોરી શોધ અને નિવારણ પ્રણાલીઓ કાર્યરત છે.
• ઇન્ફ્રાસ્ટ્રક્ચર અને એપ્લિકેશન સ્તરોનું નિયમિત નબળાઈ સ્કેનિંગ અને ઘૂંસપેંઠ પરીક્ષણ.

શારીરિક સુરક્ષા

• SOC 2 પ્રકાર II અને ISO 27001 પ્રમાણપત્રો સાથે AWS ડેટા સેન્ટરોમાં હોસ્ટ કરાયેલ ગ્રાહક ડેટા.
• ડેટા સેન્ટર સુવિધાઓની ભૌતિક ઍક્સેસ બાયોમેટ્રિક નિયંત્રણો ધરાવતા અધિકૃત AWS કર્મચારીઓ સુધી મર્યાદિત છે.

ઉપલબ્ધતા અને સ્થિતિસ્થાપકતા

• ગ્રાહક ડેટાનો દૈનિક સ્વચાલિત બેકઅપ, ઓછામાં ઓછા 7 દિવસ માટે રાખવામાં આવે છે.
• બેકઅપ અખંડિતતા સમયાંતરે ચકાસવામાં આવે છે.
• Disastવાર્ષિક ધોરણે દસ્તાવેજીકૃત અને પરીક્ષણ કરાયેલ પુનઃપ્રાપ્તિ પ્રક્રિયાઓ.

બનાવ વ્યવસ્થાપન

• સુરક્ષા ઘટના પ્રતિભાવ યોજના વાર્ષિક ધોરણે જાળવવામાં આવે છે અને તેનું પરીક્ષણ કરવામાં આવે છે.
• સુરક્ષા ઘટનાઓનું નિરીક્ષણ અને લોગિંગ; સુરક્ષા કામગીરી કાર્ય દ્વારા સમીક્ષા કરાયેલ ચેતવણીઓ.
• નિયંત્રકને 48-કલાકની સૂચના જવાબદારી પૂરી કરવા માટે વ્યક્તિગત ડેટા ભંગ સૂચના પ્રક્રિયાઓ અમલમાં છે.

કર્મચારી

• ગ્રાહક ડેટાની ઍક્સેસ ધરાવતા બધા ઝાયજેની કર્મચારીઓ ગુપ્તતાના બંધનોથી બંધાયેલા છે.
• દર વર્ષે તમામ કર્મચારીઓ માટે સુરક્ષા જાગૃતિ તાલીમ યોજવામાં આવે છે.
• લાગુ કાયદા દ્વારા મંજૂર હદ સુધી, ઉત્પાદન પ્રણાલીઓની ઍક્સેસ ધરાવતા કર્મચારીઓની પૃષ્ઠભૂમિ તપાસ કરવામાં આવે છે.

તૃતીય-પક્ષ સંચાલન

• જોડાણ પહેલાં સુરક્ષા પાલન માટે સબ-પ્રોસેસર્સનું મૂલ્યાંકન કરવામાં આવ્યું.
• બધા સબ-પ્રોસેસરો સાથે ડેટા પ્રોસેસિંગ કરારો.

પ્રમાણન

• ઝાયજેની પાસે ISO 27001 પ્રમાણપત્ર (માહિતી સુરક્ષા વ્યવસ્થાપન પ્રણાલી) છે.
• ઝાયજેની SOC 2 પ્રકાર II પ્રમાણપત્ર મેળવી રહી છે; પૂર્ણ થયા પછી કંટ્રોલરને પ્રમાણપત્ર આપવામાં આવશે.