कानूनी
Art. 28 DSGVO के अनुसार आदेश-प्रसंस्करण अनुबंध (AVV)
यह अनुवाद केवल जानकारी के लिए है। कानूनी रूप से केवल जर्मन संस्करण मान्य है।
यह अनुबंध कब लागू होता है
यह अनुबंध केवल व्यावसायिक आयोजनों के लिए लागू होता है — जो किसी उद्यम, प्राधिकरण, संघ या किसी अन्य संगठन द्वारा उसकी गतिविधि के दायरे में बुक किए गए हों। यह अनुबंध के समापन के साथ स्वतः अनुबंध का हिस्सा बन जाता है और इसे अलग से हस्ताक्षरित करने की आवश्यकता नहीं है; अनुरोध पर हम एक हस्ताक्षरित प्रति privacy@snapories.com पर उपलब्ध कराते हैं।
यह लागू नहीं होता निजी आयोजनों (विवाह, जन्मदिन, पारिवारिक समारोह) पर। वहाँ बुक करने वाला व्यक्ति नियमित रूप से DSGVO से बाहर होता है (घरेलू अपवाद, Art. 2 Abs. 2 lit. c DSGVO) और हम स्वयं जिम्मेदार होते हैं — इस स्थिति में कोई आदेश-प्रसंस्करण नहीं होता।
पक्षकार
| जिम्मेदार | बुक करने वाला संगठन (आगे „आयोजक") |
| आदेश-प्रसंस्करणकर्ता | Matthias Anderer GmbH, Abt-Kaspar-Str. 19, 83607 Holzkirchen, Deutschland |
§ 1 विषय-वस्तु, अवधि और निर्देश-बाध्यता
1.1 विषय-वस्तु व्यक्तिगत डेटा का वह प्रसंस्करण है, जो हम AGB में वर्णित सेवाओं की प्रदायगी के दौरान आयोजक की ओर से करते हैं। प्रकार, उद्देश्य, दायरा, डेटा श्रेणियाँ और संबंधित व्यक्ति अनुलग्नक 1 से निकलते हैं।
1.2 यह अनुबंध मुख्य अनुबंध की अवधि तक चलता है, अधिकतम § 9 के अनुसार आदेश में प्रसंस्कृत समस्त डेटा के विलोपन तक।
1.3 हम डेटा को केवल आयोजक के प्रलेखित निर्देश पर प्रसंस्कृत करते हैं। निर्देश privacy@snapories.com पर पाठ-रूप में दिए जाते हैं; उत्पाद में प्रदान की गई सेटिंग-सुविधाएँ (आयोजन-अवधि, डेटा-क्षेत्र, दृश्यता, अतिथियों के लिए साझा लिंक, चित्रों और अतिथियों को अवरुद्ध करना, भाषाएँ, विलोपन-अनुरोध) निर्देश के रूप में मान्य हैं।
1.4 यदि हम किसी निर्देश को अवैध मानते हैं, तो हम इसकी सूचना अविलंब देते हैं। हम निष्पादन को पुष्टि या परिवर्तन तक स्थगित कर सकते हैं (Art. 28 Abs. 3 UAbs. 2 DSGVO)।
1.5 स्वयं के उद्देश्यों के लिए किए जाने वाले प्रसंस्करण — अनुबंध-निष्पादन और लेखांकन, परिचालन और IT सुरक्षा, दुरुपयोग-रोकथाम, बिना व्यक्तिगत संदर्भ के समेकित सूचकांक, कानूनी दायित्वों की पूर्ति — इस अनुबंध की विषय-वस्तु नहीं हैं। इस सीमा तक हम स्वयं जिम्मेदार हैं; इसके लिए गोपनीयता घोषणा लागू होती है।
§ 2 प्रसंस्करण का स्थान
2.1 किसी आयोजन के डेटा का प्रसंस्करण उस आयोजन के लिए बुकिंग पर चुने गए डेटा-क्षेत्र में किया जाता है: यूरोपीय संघ (Frankfurt am Main) या संयुक्त राज्य अमेरिका (Nord-Virginia)। क्षेत्रों के बीच कोई मिररिंग नहीं होती। भंडारण, प्रसंस्करण और विलोपन केवल इसी क्षेत्र में होते हैं; चित्रों की डिलीवरी के लिए, जब तक आयोजन चलता है, इन्हें चुने गए क्षेत्र के बाहर एज-स्थानों पर भी अस्थायी रूप से संचित किया जाता है (अनुलग्नक 3, खंड 1.1)।
2.2 इससे भिन्न, KI-फोटोबॉक्स में जनन का कार्य उपयोग किए जा रहे KI-प्रदाता के यहाँ होता है, EWR के बाहर भी (अनुलग्नक 3)। आयोजक इसका संज्ञान लेता है; यदि वह अपने आयोजन के लिए फोटोबॉक्स को अचयनित करता है, तो यह स्थानांतरण नहीं होता।
2.3 तीसरे देशों में स्थानांतरण केवल किसी पर्याप्तता-निर्णय अथवा मानक संविदा-खंडों (Durchführungsbeschluss (EU) 2021/914) के आधार पर, स्थानांतरण-परिणाम आकलन सहित, किए जाते हैं।
2.4 § 2.1 से भिन्न, अनुलग्नक 1 के अनुसार संचार-डेटा — डैशबोर्ड उपयोगकर्ताओं के ई-मेल पते और उनके लॉगिन-कोड — प्रत्येक आयोजन में यूरोपीय संघ (Frankfurt am Main) में प्रसंस्कृत होते हैं, चाहे आयोजन का डेटा-क्षेत्र कुछ भी हो। एक खाता दोनों क्षेत्रों में आयोजनों का प्रबंधन करता है; अतः यह डेटासेट किसी एकल आयोजन से संबंधित नहीं है और किसी का अनुसरण नहीं कर सकता, इसे एक बार रखा जाता है और दोनों क्षेत्रों से पढ़ा जाता है (अनुलग्नक 3, खंड 1.2)। इसमें कोई चित्र शामिल नहीं होता। वही उस डेटा पर लागू होता है, जिसे हम § 1.5 के अनुसार स्वयं जिम्मेदार के रूप में प्रसंस्कृत करते हैं।
§ 3 गोपनीयता
3.1 प्रसंस्करण के लिए हम केवल ऐसे व्यक्तियों को नियोजित करते हैं, जो गोपनीयता के लिए बाध्य हैं या किसी उपयुक्त कानूनी गोपनीयता-दायित्व के अधीन हैं (Art. 28 Abs. 3 lit. b DSGVO)।
3.2 नियोजित व्यक्ति डेटा-सुरक्षा के प्रासंगिक प्रावधानों से परिचित हैं और उन्हें नियमित रूप से निर्देशित किया जाता है।
§ 4 तकनीकी और संगठनात्मक उपाय
4.1 हम अनुलग्नक 2 में वर्णित Art. 32 DSGVO के अनुसार उपाय अपनाते हैं और उन्हें अनुबंध की अवधि के दौरान बनाए रखते हैं।
4.2 उपायों को आगे विकसित किया जा सकता है, जब तक सुरक्षा-स्तर कम न हो। महत्वपूर्ण परिवर्तनों को हम प्रलेखित करते हैं और अनुरोध पर सूचित करते हैं।
§ 5 उप-आदेश-प्रसंस्करणकर्ता
5.1 आयोजक उप-आदेश-प्रसंस्करणकर्ताओं के प्रयोग हेतु एक सामान्य लिखित अनुमति प्रदान करता है (Art. 28 Abs. 2 Satz 2 DSGVO)। इस अनुबंध की तिथि पर नियोजित उप-आदेश-प्रसंस्करणकर्ता अनुलग्नक 3 में नामवार सूचीबद्ध हैं।
5.2 यदि हम किसी अन्य उप-आदेश-प्रसंस्करणकर्ता को शामिल करना या किसी मौजूदा को बदलना चाहते हैं, तो हम आयोजक को कम से कम 30 दिन पूर्व पाठ-रूप में सूचित करते हैं। आयोजक इस अवधि के भीतर किसी महत्वपूर्ण, डेटा-सुरक्षा-संबंधी कारण से आपत्ति कर सकता है। यदि वह आपत्ति करता है, तो हम संबंधित सेवा को समायोजित कर सकते हैं या अनुबंध को नियोजित परिवर्तन के प्रभाव से सामान्य रूप से समाप्त कर सकते हैं और आनुपातिक शुल्क वापस कर सकते हैं।
5.3 हम उप-आदेश-प्रसंस्करणकर्ताओं को डेटा-सुरक्षा दायित्वों से बाध्य करते हैं, जो यहाँ सहमत दायित्वों के अनिवार्य रूप से अनुरूप हों, और उनके आचरण के लिए वैसे ही उत्तरदायी हैं जैसे अपने आचरण के लिए।
§ 6 आयोजक को सहायता
6.1 संबंधित व्यक्तियों के अधिकार। यदि संबंधित व्यक्ति सीधे हमसे संपर्क करते हैं, तो हम अनुरोध को अविलंब आयोजक को अग्रेषित करते हैं और स्वयं उसका उत्तर नहीं देते, जहाँ तक वह आदेश-विषय से संबंधित हो। हम आयोजक को Art. 12–22 DSGVO के अधिकारों की पूर्ति में उपयुक्त तकनीकी और संगठनात्मक उपायों से सहायता देते हैं, विशेषकर सूचना, सुधार, विलोपन, प्रतिबंध और किसी आयोजन के चित्रों की सुपुर्दगी में।
6.2 Art. 32–36 DSGVO के दायित्व। हम आयोजक को प्रसंस्करण की सुरक्षा सुनिश्चित करने में, डेटा-सुरक्षा उल्लंघनों की सूचना देने में और डेटा-सुरक्षा-परिणाम आकलन में सहायता देते हैं, प्रत्येक मामले में प्रसंस्करण के प्रकार और हमें उपलब्ध जानकारी को ध्यान में रखते हुए।
6.3 प्रयास। सहायता सामान्य और उचित सीमा में निःशुल्क है। ऐसी सहायता के लिए, जो कानूनन देय से अधिक हो और महत्वपूर्ण प्रयास उत्पन्न करे, हम एक उचित पारिश्रमिक की माँग कर सकते हैं; इसकी सूचना हम पहले देते हैं।
§ 7 व्यक्तिगत डेटा की सुरक्षा के उल्लंघनों की सूचना
7.1 हम आयोजक को अविलंब सूचित करते हैं, जब हमें आदेश-क्षेत्र में व्यक्तिगत डेटा की सुरक्षा के किसी उल्लंघन की जानकारी हो जाती है — सामान्यतः 24 घंटे के भीतर।
7.2 सूचना में, जहाँ तक उपलब्ध हो, शामिल होता है: उल्लंघन के प्रकार का विवरण, संबंधित व्यक्तियों और डेटासेट की श्रेणियाँ और लगभग संख्या, संभावित परिणाम, उठाए गए और प्रस्तावित उपाय तथा एक संपर्क-केंद्र।
7.3 पर्यवेक्षी प्राधिकरण को सूचना (Art. 33 DSGVO) और संबंधित व्यक्तियों को अधिसूचना (Art. 34 DSGVO) आयोजक के दायित्व हैं; इसमें हम उसे सहायता देते हैं।
§ 8 प्रमाण और नियंत्रण
8.1 हम आयोजक को अनुरोध पर Art. 28 DSGVO के दायित्वों के अनुपालन के प्रमाण हेतु सभी आवश्यक जानकारी उपलब्ध कराते हैं — प्राथमिकता से प्रलेखन, अनुलग्नक 2 और, जहाँ उपलब्ध हो, हमारे उप-आदेश-प्रसंस्करणकर्ताओं के प्रमाणपत्र और परीक्षण-रिपोर्ट द्वारा।
8.2 यदि ये प्रमाण किसी विशेष मामले में पर्याप्त न हों, तो हम निरीक्षण सहित जाँच संभव कराते हैं। इन्हें उचित पूर्व-सूचना (कम से कम 14 दिन) के साथ घोषित करना होगा, ये परिचालन को अनुचित रूप से बाधित नहीं कर सकतीं और अधिकतम वर्ष में एक बार होती हैं — जब तक कि कोई ठोस कारण न हो। जाँच करने वाले तृतीय पक्ष प्रतिस्पर्धी नहीं हो सकते और उन्हें गोपनीयता के लिए बाध्य किया जाना है।
§ 9 विलोपन और वापसी
9.1 प्रसंस्करण की समाप्ति के बाद हम आदेश में प्रसंस्कृत डेटा को विलोपित करते हैं या आयोजक की पसंद के अनुसार वापस लौटाते हैं। किसी आयोजन के चित्रों को आयोजक किसी भी समय डैशबोर्ड के माध्यम से डाउनलोड कर सकता है।
9.2 भिन्न निर्देश के अभाव में, विलोपन AGB में सहमत भंडारण-अवधि की समाप्ति के साथ होता है। माँग पर हम पहले ही विलोपित कर देते हैं।
9.3 विलोपन से वह डेटा अपवर्जित है, जिसके लिए कोई कानूनी संरक्षण-दायित्व है; इसे आगे के उपयोग के लिए अवरुद्ध कर दिया जाता है।
9.4 अनुरोध पर विलोपन की पुष्टि पाठ-रूप में की जाती है।
§ 10 उत्तरदायित्व
उत्तरदायित्व Art. 82 DSGVO और मुख्य अनुबंध के प्रावधानों के अनुसार निर्धारित होता है; मुख्य अनुबंध की उत्तरदायित्व-सीमाएँ संबंधित व्यक्तियों के Art. 82 DSGVO के अनुसार दावों पर लागू नहीं होतीं।
§ 11 मुख्य अनुबंध से संबंध
इस अनुबंध और मुख्य अनुबंध के बीच विरोधाभास होने पर, व्यक्तिगत डेटा के प्रसंस्करण के संबंध में यह अनुबंध प्राथमिकता रखता है।
§ 12 अंतिम प्रावधान
12.1 परिवर्तनों के लिए पाठ-रूप आवश्यक है। 12.2 जर्मन कानून लागू होता है। 12.3 यदि कोई प्रावधान अप्रभावी हो, तो शेष की प्रभावशीलता अप्रभावित रहती है। 12.4 प्रामाणिक भाषा-संस्करण।
इस अनुबंध का केवल जर्मन संस्करण प्रामाणिक है। अन्य भाषाओं में संस्करण हम केवल सूचना-उद्देश्यों के लिए उपलब्ध कराते हैं। विचलन होने पर जर्मन संस्करण प्राथमिकता रखता है।
अनुलग्नक 1 — प्रसंस्करण की विषय-वस्तु
प्रकार और उद्देश्य। एक बंद आयोजन-गैलरी, जिसमें एक KI-फोटोबॉक्स भी शामिल है, के संचालन के उद्देश्य से चित्रों और संबंधित डेटा का संग्रहण, भंडारण, संरचन, प्रदर्शन, प्रदायगी और विलोपन, आयोजक की ओर से और उसके निर्देश के अनुसार।
संबंधित व्यक्ति
- आयोजन में शामिल होने वाले अतिथि
- ऐसे व्यक्ति, जो योगदान किए गए या उत्पन्न किए गए चित्रों में चित्रित हैं
- आयोजक के कर्मचारी, जो डैशबोर्ड का उपयोग करते हैं
डेटा श्रेणियाँ
| श्रेणी | सामग्री |
|---|---|
| चित्र-डेटा | फिल्मरोल के फोटो, KI-फोटोबॉक्स के चित्र, उत्पन्न चित्र, पूर्वावलोकन-संस्करण |
| चित्र-मेटाडेटा | ग्रहण-समय, आयाम, अतिथि और आयोजन से संबद्धता, अवरोध-स्थिति, साझा-चिह्न |
| सहभागिता-डेटा | स्व-चयनित प्रदर्शन-नाम, भूमिका, कोटा और उनका उपभोग, शामिल होने का समय |
| पहचान-डेटा (खाता-रहित) | सर्वर-पक्ष जारी की गई पहचान और पहुँच-टोकन; कोई डिवाइस-फिंगरप्रिंट नहीं |
| आयोजन-डेटा | आयोजन-नाम, अवधि, शामिल होने का कोड, सेटिंग्स, भाषाएँ, डेटा-क्षेत्र |
| संचार-डेटा | डैशबोर्ड उपयोगकर्ताओं के ई-मेल पते, एकबारगी कोड |
| पाठ-प्रविष्टियाँ | विवरण-पाठ, जो अतिथि KI-फोटोबॉक्स में दर्ज करते हैं |
कोई विशेष श्रेणियाँ नहीं। स्पष्ट पहचान के लिए कोई बायोमेट्रिक डेटा उत्पन्न नहीं किया जाता और Art. 9 DSGVO के अनुसार कोई डेटा जानबूझकर प्रसंस्कृत नहीं किया जाता। चित्र अपने स्वभाव से संवेदनशील जानकारी प्रकट कर सकते हैं; आयोजक स्वयं की जिम्मेदारी पर जाँचता है कि क्या उसके आयोजन को इस सीमा तक विशेष एहतियात की आवश्यकता है।
अनुलग्नक 2 — तकनीकी और संगठनात्मक उपाय (Art. 32 DSGVO)
गोपनीयता
- प्रवेश: केवल प्रमाणित प्रदाताओं के डेटा-केंद्र (ISO 27001, SOC 2); हम अपना कोई हार्डवेयर संचालित नहीं करते।
- पहुँच: उत्पादन-प्रणालियों तक पहुँच केवल नामित व्यक्तियों के लिए, दो-कारक प्रमाणीकरण वाले व्यक्तिगत खातों के माध्यम से; आंतरिक कंसोल तक पहुँच एक स्पष्ट रूप से दर्ज पता-सूची के माध्यम से।
- अभिगम: भूमिका- और दायरा-बद्ध टोकन (आयोजन, होस्ट, पार्टनर, अनुशंसा, स्टाफ); चित्र-फ़ाइलें केवल हस्ताक्षरित, अल्पकालिक अभिगम-लिंक के माध्यम से।
- पृथक्करण: आयोजन-डेटा के लिए डेटा-क्षेत्रों का पृथक्करण (अलग डेटाबेस, अलग भंडारण-क्षेत्र, कोई क्षेत्र-पार मिररिंग नहीं); खाता- और व्यावसायिक-डेटासेट EU में एक बार रखे जाते हैं और दोनों क्षेत्रों से पढ़े जाते हैं, बजाय किसी एक क्षेत्र में कॉपी किए जाने के (§ 2.4); छह सतहों का उनके अलग-अलग डोमेन पर पृथक्करण, बिना साझा ब्राउज़र-भंडारण के; परीक्षण- और उत्पादन-डेटा का पृथक्करण।
- छद्मनामीकरण: सर्वर-पक्ष जारी की गई पहचानों के माध्यम से खाता-रहित पहचान; दुरुपयोग-गणकों के IP पते को छोटा और हैश किया जाता है, कभी सादे-पाठ में संग्रहीत नहीं किया जाता।
अखंडता
- अग्रेषण: समस्त कनेक्शनों के लिए TLS; कोई बाहरी स्क्रिप्ट, फ़ॉन्ट या विश्लेषण-उपकरण एकीकृत नहीं; भुगतान-डेटा सीधे भुगतान-सेवा-प्रदाता को प्रवाहित होता है।
- प्रविष्टि: समस्त प्रविष्टियों की सर्वर-पक्ष जाँच एक केंद्रीय, टाइपित संविदा-स्कीमा के विरुद्ध; प्रशासनिक कार्यों का लॉगिंग; दोहरी बुकिंग के विरुद्ध परमाणु संक्रियाओं वाले कोटा- और लागत-गणक।
उपलब्धता और सहनशीलता
- प्रबंधित, बहु-अतिरेकी भंडारण- और डेटाबेस-सेवाएँ, विश्राम-अवस्था में एन्क्रिप्शन सहित; अनुप्रयोग-परत का स्वचालित स्केलिंग; KI-कॉलों के लिए कठोर लागत-सीमाएँ; स्वचालित सामूहिक-कॉलों के विरुद्ध दुरुपयोग-संरक्षण।
जाँच की प्रक्रिया
- प्रत्येक प्रकाशन से पूर्व स्वचालित जाँच-चक्र (कार्यात्मक एंड-टू-एंड परीक्षण, अवसंरचना-विवरण की जाँच, ब्राउज़र में प्रत्येक भंडारण-प्रविष्टि का एक केंद्रीय निर्देशिका के विरुद्ध स्वचालित मिलान);
- एक नामित पते के माध्यम से प्रलेखित निर्देश-ग्रहण;
- इस अनुबंध के § 5 के माध्यम से आदेश-नियंत्रण।
अनुलग्नक 3 — उप-आदेश-प्रसंस्करणकर्ता
तत्समय की नवीनतम उप-आदेश-प्रसंस्करणकर्ताओं की सूची लागू होती है, जो इस अनुबंध का हिस्सा है। परिवर्तन § 5.2 के अनुसार सूचित किए जाते हैं।