डेटा प्रोसेसिंग परिशिष्ट

संस्करण 2026-10-09

यह डेटा प्रोसेसिंग परिशिष्ट ("DPA") Craftkite ("सेवा") के उपयोग के लिए Craftkite ("Craftkite", "प्रोसेसर") और इसे स्वीकार करने वाले ग्राहक ("ग्राहक", "नियंत्रक") के बीच हुए अनुबंध का हिस्सा है। यह तब लागू होता है जब Craftkite, EU सामान्य डेटा संरक्षण विनियमन (GDPR), UK GDPR, तुर्किये के व्यक्तिगत डेटा संरक्षण कानून संख्या 6698 (KVKK) और लागू अन्य डेटा संरक्षण कानूनों ("डेटा संरक्षण कानून") के अंतर्गत ग्राहक की ओर से व्यक्तिगत डेटा प्रोसेस करता है।

1. भूमिकाएँ और दायरा

1. ग्राहक उस व्यक्तिगत डेटा का नियंत्रक है जिसे वह, उसके सदस्य या उसके प्रकाशित ऐप के अंतिम उपयोगकर्ता सेवा में डालते हैं ("ग्राहक व्यक्तिगत डेटा")। Craftkite उसका प्रोसेसर है।
2. Craftkite उस खाता, बिलिंग और सुरक्षा डेटा का नियंत्रक है जिसकी उसे अपना व्यवसाय चलाने के लिए आवश्यकता है, जैसा कि गोपनीयता नीति में वर्णित है। यह DPA उस डेटा पर लागू नहीं होता।
3. अनुलग्नक 1 प्रोसेसिंग का वर्णन करता है।

2. निर्देश

Craftkite ग्राहक व्यक्तिगत डेटा को केवल ग्राहक के प्रलेखित निर्देशों पर प्रोसेस करता है: अनुबंध, यह DPA, और ग्राहक द्वारा सेवा का उपयोग और कॉन्फ़िगरेशन। यदि Craftkite को लगता है कि कोई निर्देश डेटा संरक्षण कानून का उल्लंघन करता है, तो वह ग्राहक को सूचित करेगा, जब तक कि कानून ऐसा करने से मना न करे।

3. गोपनीयता और कर्मचारी पहुँच

1. Craftkite सुनिश्चित करता है कि ग्राहक व्यक्तिगत डेटा प्रोसेस करने के लिए अधिकृत प्रत्येक व्यक्ति गोपनीयता के दायित्व से बंधा हो।
2. Craftkite के कर्मचारी ग्राहक व्यक्तिगत डेटा और ग्राहक की सामग्री (प्रॉम्प्ट, प्रोजेक्ट फ़ाइलें, प्रीव्यू, ऐप डेटा) तक केवल तभी पहुँचते हैं जब ग्राहक के किसी सहायता अनुरोध, दुरुपयोग की रिपोर्ट, कानूनी दायित्व या सुरक्षा घटना को हल करने के लिए आवश्यक हो। प्रत्येक पहुँच के लिए एक प्रलेखित कारण आवश्यक है, यह समय और दायरे (एक खाता या एक प्रोजेक्ट) में सीमित होती है, पढ़ी गई प्रत्येक वस्तु के साथ केवल-जोड़ने-योग्य ऑडिट ट्रेल में दर्ज की जाती है, और अकाउंट → गोपनीयता में ग्राहक को दिखाई जाती है। कर्मचारी टूल में व्यक्तिगत डेटा डिफ़ॉल्ट रूप से छिपा रहता है।
3. Craftkite ग्राहक व्यक्तिगत डेटा या ग्राहक सामग्री का उपयोग AI मॉडल को प्रशिक्षित करने, उदाहरण, टेम्पलेट या मूल्यांकन बनाने, या विश्लेषण के लिए नहीं करता, और अपनी सामुदायिक गैलरी में सामग्री केवल तभी साझा करता है जब ग्राहक उसे स्पष्ट सहमति के साथ सबमिट करे, जिसे ग्राहक वापस ले सकता है।

4. सुरक्षा

Craftkite अनुलग्नक 2 में दिए गए तकनीकी और संगठनात्मक उपाय लागू करता है और उन्हें जोखिम के अनुरूप बनाए रखता है। Craftkite इन्हें तब तक अद्यतन कर सकता है जब तक संरक्षण का समग्र स्तर कम न हो।

5. उप-प्रोसेसर

1. ग्राहक उप-प्रोसेसर पेज पर सूचीबद्ध उप-प्रोसेसरों के लिए सामान्य प्राधिकरण देता है।
2. Craftkite नए उप-प्रोसेसरों के ग्राहक व्यक्तिगत डेटा प्रोसेस करना शुरू करने से कम से कम 30 दिन पहले उस पेज पर उनकी घोषणा करता है। ग्राहक उस अवधि के भीतर उचित डेटा संरक्षण आधारों पर आपत्ति कर सकता है; यदि पक्ष आपत्ति का समाधान नहीं कर पाते, तो ग्राहक सेवा के प्रभावित भाग को समाप्त कर सकता है और उसके लिए अग्रिम भुगतान किए गए शुल्क का आनुपातिक रिफ़ंड प्राप्त कर सकता है।
3. Craftkite प्रत्येक उप-प्रोसेसर पर ऐसे डेटा संरक्षण दायित्व लागू करता है जो इस DPA से कम सुरक्षात्मक न हों, और उनके निष्पादन के लिए उत्तरदायी बना रहता है।

6. अंतरराष्ट्रीय हस्तांतरण

जहाँ ग्राहक व्यक्तिगत डेटा EEA, यूनाइटेड किंगडम, स्विट्ज़रलैंड या तुर्किये से बाहर किसी ऐसे देश में हस्तांतरित किया जाता है जिसके लिए पर्याप्तता निर्णय नहीं है, वहाँ पक्ष EU मानक संविदात्मक खंडों (जैसा लागू हो, मॉड्यूल 2 या 3), UK अंतरराष्ट्रीय डेटा हस्तांतरण परिशिष्ट, और तुर्किये के लिए व्यक्तिगत डेटा संरक्षण प्राधिकरण द्वारा प्रकाशित मानक अनुबंधों पर निर्भर करते हैं, जिन्हें संदर्भ द्वारा शामिल किया गया है। जहाँ डेटा संरक्षण कानून किसी हस्तांतरण के लिए डेटा विषय की स्पष्ट सहमति की अपेक्षा करता है, वहाँ उसे अपने उपयोगकर्ताओं से प्राप्त करने की ज़िम्मेदारी ग्राहक की है।

7. सहायता और डेटा विषयों के अनुरोध

Craftkite प्रोसेसिंग की प्रकृति को ध्यान में रखते हुए, डेटा विषयों के अनुरोधों का उत्तर देने और सुरक्षा, उल्लंघन सूचना, डेटा संरक्षण प्रभाव आकलन और पूर्व परामर्श से संबंधित दायित्वों को पूरा करने में ग्राहक की सहायता करता है। सेवा ग्राहक को अपना डेटा स्वयं निर्यात करने और हटाने की सुविधा देती है।

8. व्यक्तिगत डेटा उल्लंघन

ग्राहक व्यक्तिगत डेटा को प्रभावित करने वाले किसी व्यक्तिगत डेटा उल्लंघन की जानकारी मिलने के बाद, Craftkite बिना अनुचित विलंब के, और किसी भी स्थिति में 48 घंटों के भीतर, ग्राहक को उन जानकारियों के साथ सूचित करता है जिनकी ग्राहक को अपने दायित्व पूरे करने के लिए आवश्यकता है।

9. हटाना और वापसी

अनुबंध समाप्त होने पर ग्राहक 30 दिनों तक अपना डेटा निर्यात कर सकता है। इसके बाद Craftkite ग्राहक व्यक्तिगत डेटा को, उनके सामान्य रोटेशन के भीतर बैकअप सहित, हटा देता है, जब तक कि कानून उसे रखने की अपेक्षा न करे।

10. ऑडिट

Craftkite इस DPA के अनुपालन को प्रदर्शित करने के लिए आवश्यक जानकारी उपलब्ध कराता है, जिसमें उसकी सुरक्षा नीतियाँ और, उपलब्ध होने पर, स्वतंत्र ऑडिट रिपोर्ट (जैसे SOC 2) शामिल हैं। जहाँ यह पर्याप्त न हो, वहाँ ग्राहक वर्ष में एक बार, 30 दिन की पूर्व सूचना के साथ, कार्य-समय के दौरान, अपनी लागत पर और गोपनीयता के अधीन ऑडिट कर सकता है।

11. दायित्व और प्राथमिकता

इस DPA के अंतर्गत प्रत्येक पक्ष का दायित्व अनुबंध में दी गई सीमाओं के अधीन है। यदि यह DPA अनुबंध से विरोधाभासी है, तो ग्राहक व्यक्तिगत डेटा की प्रोसेसिंग के लिए यह DPA मान्य होगा। यदि इस DPA का कोई अनुवाद अंग्रेज़ी संस्करण से भिन्न है, तो अंग्रेज़ी संस्करण मान्य होगा।

अनुलग्नक 1 — प्रोसेसिंग का विवरण

अनुलग्नक 2 — तकनीकी और संगठनात्मक उपाय

• ट्रांज़िट में (TLS) और संग्रहीत सीक्रेट का एन्क्रिप्शन; ऐप सीक्रेट एक एन्क्रिप्टेड वॉल्ट में।
• प्रत्येक प्रोजेक्ट प्रतिबंधित नेटवर्क वाले अलग-थलग सैंडबॉक्स में चलता है; प्रत्येक ऐप डेटाबेस अलग है।
• Craftkite कर्मचारियों के लिए भूमिका-आधारित पहुँच, प्रशासकों के लिए अनिवार्य दो-चरणीय सत्यापन, एडमिन कंसोल के लिए IP अनुमति सूची और केवल-जोड़ने-योग्य सुरक्षा ऑडिट लॉग।
• एंटरप्राइज़ वर्कस्पेस के लिए वर्कस्पेस भूमिकाएँ (स्वामी, एडमिन, संपादक, दर्शक) और सिंगल साइन-ऑन (SAML या OpenID Connect)।
• Craftkite की सुरक्षा नीतियों में वर्णित बैकअप, निगरानी और घटना प्रतिक्रिया।
• AI मॉडल प्रदाता संविदात्मक रूप से ग्राहक डेटा पर प्रशिक्षण न करने के लिए बाध्य हैं; जहाँ उपलब्ध हो, अनुरोधों में प्रदाताओं के संग्रहण-रहित विकल्प (OpenAI store: false) होते हैं और कोई सदस्य पहचानकर्ता नहीं होता।
• कर्मचारियों के लिए आपातकालीन (ब्रेक-ग्लास) पहुँच: कारण, समय सीमा, दायरा, प्रत्येक पठन का ऑडिट और ग्राहक के प्रति पारदर्शिता; कर्मचारी टूल में व्यक्तिगत डेटा छिपाया जाता है और उसे प्रकट करना ऑडिट होता है; पूर्ण व्यक्तिगत डेटा निर्यात केवल सुपर प्रशासकों के लिए।
• निजी प्रीव्यू: केवल प्रोजेक्ट के सदस्यों को या समाप्त होने वाले हस्ताक्षरित लिंक के माध्यम से दिखाए जाते हैं।
• लॉग, अटैचमेंट, स्क्रीनशॉट, सहायता टिकट और ईमेल लॉग के लिए प्रतिधारण सीमाएँ, जो निर्धारित सफ़ाई द्वारा लागू की जाती हैं; त्रुटि रिपोर्ट और विश्लेषण से व्यक्तिगत डेटा और सामग्री हटा दी जाती है।