परिशिष्ट II: यूरोपीय कमिशन द्वारा अनुमोदित मानक संविदात्मक खंड (मॉड्यूल 4)

सेक्शन I

धारा 1

उद्देश्य और सीमा

1. इन मानक संविदात्मक धाराओं का उद्देश्य 27 अप्रैल, 2016 के यूरोपीय संसद और परिषद के विनियमन (EU) 2016/679 (सामान्य डेटा संरक्षण विनियमन) की आवश्यकताओं का अनुपालन सुनिश्चित करना है, जो व्यक्तिगत डेटा की प्रोसेसिंग और ऐसे डेटा के मुक्त प्रवाह के संबंध में प्राकृतिक व्यक्तियों की सुरक्षा से संबंधित है, तथा व्यक्तिगत डेटा को किसी तीसरे देश में ट्रांसफ़र करने के लिए लागू होता है।
2. पक्ष:
   • प्राकृतिक या कानूनी व्यक्ति(व्यक्तियों), सार्वजनिक प्राधिकरण/प्राधिकरणों, एजेंसी/एजेंसियों या अन्य निकाय/निकायों (आगे "संस्था/संस्थाएँ"), जो परिशिष्ट I.A में सूचीबद्ध अनुसार व्यक्तिगत डेटा का ट्रांसफ़र करते हैं (आगे प्रत्येक "डेटा एक्सपोर्टर"), और
   • तीसरे देश में स्थित वह संस्था/संस्थाएँ जो डेटा एक्सपोर्टर से सीधे या अप्रत्यक्ष रूप से इन धाराओं की पक्षकार किसी अन्य संस्था के माध्यम से भी व्यक्तिगत डेटा प्राप्त करती हैं, जैसा कि परिशिष्ट I.A में सूचीबद्ध है। (आगे प्रत्येक "डेटा इंपोर्टर"), ने इन मानक संविदात्मक धाराओं (आगे: "धारा") पर सहमति व्यक्त की है।
3. ये अनुच्छेद परिशिष्ट I.B में निर्दिष्ट अनुसार व्यक्तिगत डेटा के स्थानांतरण के संबंध में लागू होती हैं।
4. इन धाराओं को संलग्नकों के साथ शामिल किया गया है जो इसमें बताए गए हैं और इन शर्तों का एक अभिन्न हिस्सा बनाते हैं।

धारा 2

धाराओं का प्रभाव और अपरिवर्तनीयता

1. ये धाराएँ उपयुक्त सुरक्षा उपाय निर्धारित करती हैं, जिनमें प्रवर्तनीय डेटा विषय अधिकार और प्रभावी कानूनी उपचार शामिल हैं, जो विनियमन (EU) 2016/679 के अनुच्छेद 46(1) और अनुच्छेद 46(2)(c) के अनुसार हैं और नियंत्रक से प्रोसेसर और/या प्रोसेसर से प्रोसेसर के बीच डेटा ट्रासफ़र के संबंध में, विनियमन (EU) 2016/679 के अनुच्छेद 28(7) के अनुसार मानक संविदात्मक धाराएँ हैं, बशर्ते इन्हें संशोधित न किया जाए, सिवाय उपयुक्त मॉड्यूल(लों) के चयन या परिशिष्ट में जानकारी जोड़ने या अपडेट करने के। यह पक्षकारों को इन धाराओं में निर्धारित मानक संविदात्मक धाराओं को किसी व्यापक अनुबंध में शामिल करने और/या अन्य धाराएँ या अतिरिक्त सुरक्षा उपाय जोड़ने से नहीं रोकता है, बशर्ते वे सीधे या परोक्ष रूप से इन अनुच्छेदों के विपरीत न हों या डेटा विषयों के मौलिक अधिकारों या स्वतंत्रताओं को प्रभावित न करें।
2. ये धाराएँ उन दायित्वों को प्रभावित नहीं करते हैं जिनके अधीन डेटा एक्सपोर्टर विनियमन (EU) 2016/679 के तहत होता है।

धारा 3

तीसरे-पक्ष के लाभार्थी

1. डेटा विषय, तीसरे-पक्ष के लाभार्थियों के रूप में, डेटा एक्सपोर्टर और/या डेटा इंपोर्टर के खिलाफ़ इन अनुच्छेदों को लागू कर सकते हैं और उनका प्रवर्तन कर सकते हैं, निम्नलिखित अपवादों के साथ:
   • धारा 1, 2, 3, 6 और 7।
   • धारा 8: धारा 8.1, खंड b), और धारा 8.3, खंड b)।
   • धारा 13।
2. पैराग्राफ (a) विनियमन (EU) 2016/679 के तहत डेटा विषयों के अधिकारों को प्रभावित नहीं करता है।

धारा 4

व्याख्या

1. जहाँ इन धाराओं में नियमन (EU) 2016/679 में परिभाषित शब्दों का उपयोग किया गया है, वहां उन शब्दों का वही मतलब होगा जैसा कि उस नियमन में है।
2. इन धाराओं को विनियमन (EU) 2016/679 के प्रावधानों के अनुसार पढ़ा जाएगा और व्याख्या की जाएगी।
3. इन धाराओं की व्याख्या इस प्रकार नहीं की जाएगी कि वह विनियमन (EU) 2016/679 में निर्धारित अधिकारों और दायित्वों के विपरीत हो।

धारा 5

अनुक्रम

इन धाराओं और पक्षकारों के बीच मौजूद या बाद में किए गए किसी भी संबंधित समझौते के प्रावधानों के बीच किसी विरोध की स्थिति में, इन धाराओं को प्राथमिकता दी जाएगी।

धारा 6

ट्रांसफ़र (ट्रांसफ़र्स) का विवरण

ट्रांसफ़र (ट्रांसफ़र्स) का विवरण, और विशेष रूप से ट्रांसफ़र किए जाने वाले व्यक्तिगत डेटा की कैटेगरीज़ और जिन उद्देश्य (उद्देश्यों) के लिए उन्हें स्थानांतरित किया जाता है, वे परिशिष्ट I.B में बताया गया हैं।

धारा 7

डॉकिंग से जुड़ी धारा

1. कोई ऐसी संस्था जो इन धाराओं का पक्षकार नहीं है, वह पक्षकारों की सहमति से किसी भी समय इन धाराओं में शामिल हो सकती है, चाहे डेटा एक्सपोर्टर के रूप में या डेटा इंपोर्टर के रूप में इसके लिए उसे परिशिष्ट पूरा करना होगा और परिशिष्ट I.A पर हस्ताक्षर करने होंगे।
2. एक बार जब उसने परिशिष्ट पूरा कर लिया है और परिशिष्ट I.A पर हस्ताक्षर कर दिए हैं, तो शामिल होने वाली संस्था इन अनुच्छेदों की पक्षकार बन जाएगी और परिशिष्ट I.A में उसके निर्दिष्ट पदनाम के अनुसार डेटा एक्सपोर्टर या डेटा इंपोर्टर के अधिकारों और दायित्वों को प्राप्त करेगी।
3. शामिल होने वाली संस्था के पास इन धाराओं के तहत, पक्षकार बनने से पहले की अवधि से उत्पन्न कोई अधिकार या दायित्व नहीं होंगे।

सेक्शन II: पक्षों का दायित्व

धारा 8

डेटा संरक्षण सुरक्षा उपाय

डेटा एक्सपोर्टर यह आश्वासन देता है कि उसने यह निर्धारित करने के लिए उचित प्रयास किए हैं कि डेटा इंपोर्टर उपयुक्त तकनीकी और संगठनात्मक उपायों के कार्यान्वयन के माध्यम से इन अनुच्छेदों के तहत अपने दायित्वों को पूरा करने में सक्षम है।

8.1. निर्देश।

1. डेटा एक्सपोर्टर व्यक्तिगत डेटा को सिर्फ़ डेटा इंपोर्टर, जो उसके कंट्रोलर के रूप में काम कर रहा है, के दस्तावेजीकृत निर्देशों के आधार पर ही प्रोसेस करेगा।
2. डेटा एक्सपोर्टर, अगर वह उन निर्देशों का पालन करने में असमर्थ है, तो तुरंत डेटा इंपोर्टर को सूचित करेगा, जिसमें वह स्थिति भी शामिल है जब ऐसे निर्देश विनियमन (EU) 2016/679 या अन्य संघ या सदस्य राज्य के डेटा संरक्षण कानून का उल्लंघन करते हों।
3. डेटा इंपोर्टर किसी भी ऐसे काम से परहेज करेगा जो डेटा एक्सपोर्टर को विनियमन (EU) 2016/679 के तहत अपने दायित्वों को पूरा करने से रोकता हो, जिसमें सब-प्रोसेसिंग के संदर्भ में या सक्षम पर्यवेक्षी प्राधिकरणों के साथ सहयोग के संबंध में भी शामिल है।
4. प्रोसेसिंग सेवाओं के समाप्त होने के बाद, डेटा इंपोर्टर के विकल्प पर डेटा एक्सपोर्टर, डेटा इंपोर्टर की ओर से प्रोसेस किए गए सभी व्यक्तिगत डेटा को हटा देगा और इस बात का प्रमाण डेटा इंपोर्टर को देगा, या फिर उसके विकल्प पर डेटा इंपोर्टर की ओर से प्रोसेस किए गए सभी व्यक्तिगत डेटा को वापस करेगा और मौजूदा कॉपियों को हटा देगा।

8.2. प्रोसेसिंग की सुरक्षा।

1. पक्षकार डेटा की सुरक्षा सुनिश्चित करने के लिए उपयुक्त तकनीकी और संगठनात्मक उपाय लागू करेंगे, जिसमें डेटा के ट्रांसमिशन के दौरान भी सुरक्षा शामिल है, और सुरक्षा उल्लंघन से संरक्षण जो व्यक्तिगत डेटा के आकस्मिक या अवैध विनाश, नुकसा, बदलाव, अनधिकृत प्रकटीकरण या ऐक्सेस (आगे "व्यक्तिगत डेटा उल्लंघन") का कारण बन सकता है। उचित सुरक्षा स्तर का आकलन करते समय, वे तकनीकी प्रगति की स्थिति, कार्यान्वयन की लागत, व्यक्तिगत डेटा की प्रकृति, प्रोसेसिंग की प्रकृति, दायरा, संदर्भ और उद्देश्य(उद्देश्यों), और डेटा विषयों के लिए प्रोसेसिंग से जुड़े जोखिमों को उचित रूप से ध्यान में रखेंगे, और विशेष रूप से एन्क्रिप्शन या स्यूडोनिमाइज़ेशन, जिसमें ट्रांसमिशन के दौरान भी शामिल है, का उपयोग करने पर विचार करेंगे, जहाँ प्रोसेसिंग का उद्देश्य इस प्रकार पूरा किया जा सके।
2. डेटा एक्सपोर्टर, पैराग्राफ़ (a) के अनुसार डेटा की उपयुक्त सुरक्षा सुनिश्चित करने में डेटा इंपोर्टर की सहायता करेगा। इन धाराओं के तहत डेटा एक्सपोर्टर द्वारा प्रोसेस किए गए व्यक्तिगत डेटा से संबंधित किसी व्यक्तिगत डेटा उल्लंघन की स्थिति में, डेटा एक्सपोर्टर इसके बारे में जानकारी होने के बाद बिना अनुचित विलंब के डेटा इंपोर्टर को सूचित करेगा और उल्लंघन को संबोधित करने में डेटा इंपोर्टर की सहायता करेगा।
3. डेटा एक्सपोर्टर यह सुनिश्चित करेगा कि व्यक्तिगत डेटा को प्रोसेस करने के लिए अधिकृत व्यक्तियों ने गोपनीयता बनाए रखने की प्रतिबद्धता व्यक्त की हो या वे उपयुक्त वैधानिक गोपनीयता दायित्व के अधीन हों।

8.3. दस्तावेज़ीकरण और अनुपालन।

1. पक्षकार इन धाराओं के अनुपालन को प्रदर्शित करने में सक्षम होंगे।
2. डेटा एक्सपोर्टर इन धाराओं के तहत अपने दायित्वों के अनुपालन को प्रदर्शित करने के लिए आवश्यक सभी जानकारी डेटा इम्पोर्टर को उपलब्ध कराएगा और ऑडिट की अनुमति देगा और उसमें योगदान देगा।

धारा 9

डेटा विषय के अधिकार

पक्षकार डेटा विषयों द्वारा डेटा इंपोर्टर पर लागू स्थानीय कानून के तहत या, EU में डेटा एक्सपोर्टर द्वारा डेटा प्रोसेसिंग के मामले में, विनियमन (EU) 2016/679 के तहत किए गए पूछताछ और अनुरोधों का जवाब देने में एक-दूसरे की सहायता करेंगे।

धारा 10

निवारण

डेटा इंपोर्टर डेटा विषयों को ट्रांसपैरेंसी और आसानी से उपलब्ध फ़ॉर्मैट में, व्यक्तिगत सूचना के माध्यम से या अपनी वेबसाइट पर, शिकायतों के निवारण के लिए अधिकृत संपर्क बिंदु की जानकारी देगा। यह डेटा विषय से प्राप्त किसी भी शिकायत का जल्द ही निवारण करेगा।

धारा 11

देयता

1. हर एक पक्ष इन धाराओं के किसी भी उल्लंघन के कारण दूसरे पक्ष/पक्षों को होने वाले किसी भी नुकसान के लिए उत्तरदायी होगा।
2. हर एक पक्ष डेटा विषय के प्रति देय होगा, और डेटा विषय इन धाराओं के तहत तीसरे-पक्ष के लाभार्थी अधिकारों के उल्लंघन के कारण उस पक्ष द्वारा उसे हुई किसी भी आर्थिक या गैर-आर्थिक नुकसान के लिए मुआवज़ा प्राप्त करने का हकदार होगा। यह विनियमन (EU) 2016/679 के तहत डेटा एक्सपोर्टर को सौंपी गई जिम्मेदारी को प्रभावित नहीं करता है।
3. अगर इन धाराओं के उल्लंघन के परिणामस्वरूप डेटा विषय को हुई किसी भी नुकसान के लिए एक से अधिक पक्ष जिम्मेदार हैं, तो सभी जिम्मेदार पक्ष संयुक्त रूप से और अलग-अलग रूप से देय होंगे।
4. पक्षकार सहमत हैं कि अगर किसी एक पक्ष को पैराग्राफ़ (c) के तहत देय ठहराया जाता है, तो वह पक्ष अन्य पक्ष/पक्षकारों से मुआवज़े का वह हिस्सा वापस माँगने का हकदार होगा जो उस/उनके नुकसान के लिए जिम्मेदारी के अनुरूप हो।
5. डेटा इंपोर्टर अपनी खुद की देयता से बचने के लिए किसी प्रोसेसर या सब-प्रोसेसर के आचरण का हवाला नहीं दे सकता है।

सेक्शन III: सार्वजनिक प्राधिकरणों द्वारा ऐक्सेस की स्थिति में स्थानीय कानून और दायित्व

धारा 12

धाराओं के अनुपालन को प्रभावित करने वाले स्थानीय कानून और प्रक्रियाएँ

1. पक्षकार यह आश्वासन देते हैं कि उन्हें यह विश्वास करने का कोई कारण नहीं है कि गंतव्य तीसरे देश में लागू कानून और तरीके, जो डेटा इंपोर्टर द्वारा व्यक्तिगत डेटा के प्रोसेसिंग पर लागू होती हैं, जिसमें व्यक्तिगत डेटा का प्रकटीकरण करने की आवश्यकताएँ या सार्वजनिक प्राधिकरणों द्वारा ऐक्सेस की अनुमति देने वाले उपाय शामिल हैं, डेटा इंपोर्टर को इन धाराओं के तहत अपने दायित्वों को पूरा करने से रोकती हैं। यह इस समझ पर आधारित है कि वे कानून और तरीके जो मौलिक अधिकारों और स्वतंत्रताओं के सार का सम्मान करती हैं और जो एक लोकतांत्रिक समाज में विनियमन (EU) 2016/679 के अनुच्छेद 23(1) में सूचीबद्ध उद्देश्यों में से किसी एक की सुरक्षा के लिए आवश्यक और अनुपातिक सीमा से अधिक नहीं हैं, इन धाराओं के विपरीत नहीं मानी जाएँगी।
2. पक्षकार यह घोषणा करते हैं कि पैराग्राफ़ (a) में दिए गए आश्वासन को प्रदान करते समय उन्होंने विशेष रूप से निम्नलिखित एलिमेंट्स को उचित रूप से ध्यान में रखा है:
   • ट्रांसफ़र की विशिष्ट परिस्थितियाँ, जिनमें प्रोसेसिंग चेन की लंबाई, शामिल पक्षकारों की संख्या और उपयोग किए गए ट्रांसमिशन चैनल शामिल हैं; आगे के नियोजित स्थानांतरण; प्राप्तकर्ता का प्रकार; प्रोसेसिंग का उद्देश्य; ट्रांसफ़र किया गया व्यक्तिगत डेटा की कैटेगरीज़ और फ़ॉर्मैट; वह आर्थिक क्षेत्र जिसमें ट्रांसफ़र किया जाता है; और ट्रांसफ़र किए गए डेटा की स्टोरेज लोकेशन;
   • गंतव्य तीसरे देश के कानून और तरीके जिनमें सार्वजनिक प्राधिकरणों को डेटा का प्रकटीकरण आवश्यक करने वाले या ऐसे प्राधिकरणों को ऐक्सेस की अनुमति देने वाले प्रावधान शामिल हैं, जो ट्रांसफ़र की विशिष्ट परिस्थितियों, और लागू सीमाओं और सुरक्षा उपायों के संदर्भ में प्रासंगिक हैं;
   • इन अनुच्छेदों के तहत निर्धारित सुरक्षा उपायों के पूरक के रूप में लागू किए गए किसी भी प्रासंगिक संविदात्मक, तकनीकी या संगठनात्मक सुरक्षा उपाय, जिनमें ट्रांसमिशन के दौरान और गंतव्य देश में व्यक्तिगत डेटा के प्रोसेसिंग पर लागू किए गए उपाय शामिल हैं।
3. डेटा इंपोर्टर यह आश्वासन देता है कि धारा (b) के तहत मूल्यांकन करते समय, उसने डेटा एक्सपोर्टर को प्रासंगिक जानकारी प्रदान करने के लिए अपने सबसे बेहतर प्रयास किए हैं, और वह सहमत है कि वह इन धाराओं के अनुपालन को सुनिश्चित करने में डेटा एक्सपोर्टर के साथ सहयोग जारी रखेगा।
4. पक्षकार खंड (b) के अंतर्गत किए गए आकलन का दस्तावेजीकरण करने और अनुरोध किए जाने पर उसे सक्षम पर्यवेक्षी प्राधिकरण को उपलब्ध कराने पर सहमत हैं।
5. डेटा इंपोर्टर सहमत है कि इन धाराओं पर सहमति देने के बाद और अनुबंध की अवधि के दौरान, अगर उसे यह विश्वास करने का कारण मिलता है कि वह पैराग्राफ़ (a) की आवश्यकताओं के अनुरूप नहीं रहने वाले कानूनों या तरीकों के अधीन है या हो गया है, जिसमें तीसरे देश के कानूनों में बदलाव या किसी ऐसे उपाय (जैसे प्रकटीकरण अनुरोध) के कारण, जो व्यवहार में उन कानूनों के ऐसे अनुप्रयोग को दर्शाता है जो पैराग्राफ़ (a) की आवश्यकताओं के अनुरूप नहीं है, तो वह तुरंत डेटा एक्सपोर्टर को सूचित करेगा।
6. पैराग्राफ़ (e) के अनुसार सूचना मिलने के बाद, या यदि डेटा एक्सपोर्टर को अन्यथा यह विश्वास करने का कारण हो कि डेटा इंपोर्टर अब इन धाराओं के तहत अपने दायित्वों को पूरा करने में सक्षम नहीं है, तो डेटा एक्सपोर्टर शीघ्रता से उपयुक्त उपायों की पहचान करेगा (जैसे सुरक्षा और गोपनीयता सुनिश्चित करने के लिए तकनीकी या संगठनात्मक उपाय), जिन्हें डेटा एक्सपोर्टर और/या डेटा इंपोर्टर द्वारा स्थिति को संबोधित करने के लिए अपनाया जाएगा। डेटा एक्सपोर्टर ऐसे डेटा ट्रांसफ़र को निलंबित कर देगा अगर वह मानता है कि ऐसे ट्रांसफ़र के लिए कोई उपयुक्त सुरक्षा उपाय सुनिश्चित नहीं किए जा सकते, या अगर सक्षम पर्यवेक्षी प्राधिकरण द्वारा ऐसा करने का निर्देश दिया जाता है। इस स्थिति में, डेटा एक्सपोर्टर को अनुबंध को समाप्त करने का अधिकार होगा, जहाँ तक यह इन धाराओं के तहत व्यक्तिगत डेटा के प्रोसेसिंग से संबंधित है। अगर अनुबंध में दो से अधिक पक्ष शामिल हैं, तो डेटा एक्सपोर्टर इस समाप्ति के अधिकार का प्रयोग सिर्फ़ संबंधित पक्ष के संबंध में ही कर सकता है, जब तक कि पक्षकारों ने अन्यथा सहमति न दी हो। जब अनुबंध इस धारा के अनुसार समाप्त किया जाता है, तो अनुच्छेद 16 (d) और (e) लागू होंगे।

धारा 13

सार्वजनिक प्राधिकरणों द्वारा पहुँच की स्थिति में डेटा इंपोर्टर के दायित्व

13.1. सूचना।

1. डेटा इंपोर्टर सहमत है कि वह डेटा एक्सपोर्टर को और, जहाँ संभव हो, डेटा विषय को तुरंत (अगर आवश्यक हो तो डेटा एक्सपोर्टर की सहायता से) सूचित करेगा यदि वह:
   • गंतव्य देश के कानूनों के तहत, इन अनुच्छेदों के अनुसार स्थानांतरित किए गए व्यक्तिगत डेटा के प्रकटीकरण के लिए किसी सार्वजनिक प्राधिकरण, जिसमें न्यायिक प्राधिकरण भी शामिल हैं, से एक कानूनी रूप से बाध्यकारी अनुरोध प्राप्त करता है; ऐसी सूचना में अनुरोधित व्यक्तिगत डेटा, अनुरोध करने वाले प्राधिकरण, अनुरोध का कानूनी आधार और प्रदान किए गए उत्तर की जानकारी शामिल होगी; या
   • इन धाराओं के अनुसार ट्रांसफ़र किए गए व्यक्तिगत डेटा तक, गंतव्य देश के कानूनों के अनुरूप, सार्वजनिक प्राधिकरणों द्वारा किसी भी प्रत्यक्ष पहुँच की जानकारी उसे हो जाती है; ऐसी सूचना में इम्पोर्टर के पास उपलब्ध सभी जानकारी शामिल होगी।
2. अगर गंतव्य देश के कानूनों के तहत डेटा इंपोर्टर को डेटा एक्सपोर्टर और/या डेटा विषय को सूचित करने से प्रतिबंधित किया गया है, तो डेटा इंपोटर्र इस प्रतिबंध से छूट प्राप्त करने के लिए अपने सर्वोत्तम प्रयास करेगा, ताकि यथासंभव अधिक से अधिक जानकारी यथाशीघ्र संप्रेषित की जा सके। डेटा इंपोर्टर सहमत है कि वह अपने सर्वोत्तम प्रयासों का दस्तावेजीकरण करेगा ताकि डेटा एक्सपोर्टर के अनुरोध पर उन्हें प्रदर्शित कर सके।
3. गंतव्य देश के कानूनों के तहत जहाँ अनुमति हो, डेटा इंपोर्टर अनुबंध की अवधि के दौरान नियमित अंतराल पर डेटा एक्सपोर्टर को प्राप्त अनुरोधों के संबंध में यथासंभव अधिक प्रासंगिक जानकारी प्रदान करने पर सहमत है (विशेष रूप से, अनुरोधों की संख्या, अनुरोधित डेटा का प्रकार, अनुरोध करने वाले प्राधिकरण/प्राधिकरणों का विवरण, क्या अनुरोधों को चुनौती दी गई है और ऐसी चुनौतियों का परिणाम आदि)।
4. डेटा इंपोर्टर पैराग्राफ़ (a) से (c) के अनुसार जानकारी को अनुबंध की अवधि तक सुरक्षित रखने और अनुरोध किए जाने पर उसे सक्षम पर्यवेक्षी प्राधिकरण को उपलब्ध कराने पर सहमत है।
5. पैराग्राफ (a) से (c) डेटा इंपोर्टर के अनुच्छेद 14(e) और अनुच्छेद 16 के तहत इस दायित्व को प्रभावित नहीं करते हैं कि वह इन धाराओं का पालन करने में असमर्थ होने पर डेटा एक्सपोर्टर को तुरंत सूचित करे।

13.2. कानूनीता की समीक्षा और डेटा न्यूनीकरण।

1. डेटा इंपोर्टर प्रकटीकरण के अनुरोध की वैधता की समीक्षा करने पर सहमत है, विशेष रूप से यह कि क्या यह अनुरोध करने वाले सार्वजनिक प्राधिकरण को प्रदान की गई शक्तियों के दायरे में आता है, और अगर सावधानीपूर्वक मूल्यांकन के बाद वह यह निष्कर्ष निकालता है कि गंतव्य देश के कानूनों के तहत, जिसमें लागू अंतरराष्ट्रीय कानून के दायित्व और अंतरराष्ट्रीय सौहार्द के सिद्धांत शामिल हैं, अनुरोध के अवैध होने के उचित आधार मौजूद हैं, तो वह उस अनुरोध को चुनौती देगा। उसी परिस्थितियों के तहत, डेटा इंपोर्टर अपील के विकल्पों का भी अनुसरण करेगा। किसी अनुरोध को चुनौती देते समय, डेटा इंपोर्टर अंतरिम उपायों की मांग करेगा, ताकि सक्षम न्यायिक प्राधिकरण द्वारा उसके गुण-दोष पर निर्णय लिए जाने तक उस अनुरोध के प्रभावों को निलंबित किया जा सके। यह अनुरोधित व्यक्तिगत डेटा का प्रकटीकरण तब तक नहीं करेगा जब तक कि लागू प्रक्रियात्मक नियमों के तहत ऐसा करना आवश्यक न हो। ये आवश्यकताएँ अनुच्छेद 14(e) के तहत डेटा इंपोर्टर के दायित्वों को प्रभावित नहीं करती हैं।
2. डेटा इम्पोर्टर सहमत है कि वह अपने कानूनी आकलन और प्रकटीकरण के अनुरोध की किसी भी चुनौती का दस्तावेजीकरण करेगा और, गंतव्य देश के कानूनों के तहत जहाँ अनुमति हो, उस दस्तावेजीकरण को डेटा एक्सपोर्टर को उपलब्ध कराएगा। यह अनुरोध पर सक्षम निगरानी प्राधिकरण को भी उपलब्ध कराया जाएगा।
3. डेटा इम्पोर्टर सहमत है कि वह प्रकटीकरण के अनुरोध का उत्तर देते समय, अनुरोध की युक्तिसंगत व्याख्या के आधार पर, न्यूनतम आवश्यक जानकारी ही प्रदान करेगा।

सेक्शन IV: अंतिम प्रावधान

धारा 14

धाराओं का अनुपालन न करना और समाप्ति

1. डेटा इंपोर्टर अगर किसी भी कारण से इन धाराओं का पालन करने में असमर्थ होता है, तो वह तुरंत डेटा एक्सपोर्टर को सूचित करेगा।
2. अगर डेटा इंपोर्टर इन धाराओं का उल्लंघन करता है या उनका पालन करने में असमर्थ रहता है, तो डेटा एक्सपोर्टर व्यक्तिगत डेटा का ट्रांसफ़र डेटा इंपोर्टर को तब तक निलंबित कर देगा जब तक कि अनुपालन फिर से सुनिश्चित न हो जाए या कॉन्ट्रैक्ट समाप्त न कर दिया जाए। यह धारा 14(f) को प्रभावित किए बिना होगा।
3. डेटा एक्सपोर्टर को कॉन्ट्रैक्ट समाप्त करने का अधिकार होगा, जहाँ तक यह इन धाराओं के तहत व्यक्तिगत डेटा के प्रोसेसिंग से संबंधित है, अगर:
   • डेटा एक्सपोर्टर ने उपर्युक्त पैराग्राफ़ (b) के अनुसार डेटा इम्पोर्टर को व्यक्तिगत डेटा का ट्रांसफ़र निलंबित कर दिया है और इन अनुच्छेदों का अनुपालन उचित समय के भीतर बहाल नहीं किया गया है, और किसी भी स्थिति में निलंबन के एक महीने के भीतर नहीं किया गया है;
   • डेटा इंपोर्टर इन धाराओं का गंभीर या लगातार उल्लंघन करता है; या
   • डेटा इंपोर्टर इन धाराओं के तहत अपने दायित्वों के संबंध में किसी सक्षम न्यायालय या निगरानी प्राधिकरण के बाध्यकारी निर्णय का पालन करने में विफल रहता है।

   इन मामलों में, वह ऐसे अनुपालन-समानता को सक्षम पर्यवेक्षी प्राधिकरण को सूचित करेगा। जहाँ कॉन्ट्रैक्ट में दो से अधिक पक्ष शामिल हैं, वहां डेटा एक्सपोर्टर इस समाप्ति के अधिकार का उपयोग केवल संबंधित पक्ष के संबंध में कर सकता है, जब तक कि पक्षकारों ने अन्यथा सहमति न दी हो।

4. EU में डेटा एक्सपोर्टर द्वारा एकत्रित व्यक्तिगत डेटा, जिसे पैरा (c) के अनुसार कॉन्ट्रैक्ट की समाप्ति से पहले ट्रांसफ़र किया गया है, उसे तुरंत पूर्ण रूप से हटा दिया जाएगा, जिसमें उसकी कोई भी कॉपी शामिल होगी।] डेटा इंपोर्टर डेटा को हटाने का प्रमाण डेटा एक्सपोर्टर को देगा। जब तक डेटा हटाया या वापस नहीं किया जाता, डेटा इम्पोर्टर इन धाराओं के अनुपालन को सुनिश्चित करता रहेगा। अगर डेटा इंपोर्टर पर लागू स्थानीय कानून ट्रांसफ़र किए गए व्यक्तिगत डेटा को वापस करने या हटाने से रोकते हैं, तो डेटा इंपोर्टर यह सुनिश्चित करेगा कि वह इन धाराओं का अनुपालन जारी रखेगा और केवल उसी सीमा तक और उतनी अवधि तक डेटा की प्रोसेसिंग करेगा जितनी उस स्थानीय कानून के तहत आवश्यक हो।
5. कोई भी पक्ष इन धाराओं से बंधे रहने के अपने समझौते को वापस ले सकता है, अगर (i) यूरोपीय आयोग रेगुलेशन (EU) 2016/679 के धारा 45(3) के अनुसार ऐसा निर्णय अपनाता है जो उन व्यक्तिगत डेटा के ट्रांसफ़र को कवर करता है जिन पर ये अनुच्छेद लागू होते हैं; या (ii) रेगुलेशन (EU) 2016/679 उस देश के कानूनी ढांचे का हिस्सा बन जाता है, जहाँ व्यक्तिगत डेटा ट्रांसफ़र किया जाता है। यह रेगुलेशन (EU) 2016/679 के तहत संबंधित प्रोसेसिंग पर लागू अन्य दायित्वों को प्रभावित किए बिना होगा।

धारा 15

प्रशासनिक कानून

इन अनुच्छेदों पर ऐसे देश का कानून लागू होगा जो तृतीय-पक्ष लाभार्थी अधिकारों की अनुमति देता हो। पार्टी सहमत हैं कि यह स्पेन का कानून होगा।

धारा 16

फोरम का चयन और अधिकार क्षेत्र

इन धाराओं से उत्पन्न कोई भी विवाद स्पेन की अदालतों द्वारा निपटाया जाएगा।

परिशिष्ट I

पक्षकारों की सूची

डेटा एक्सपोर्टर(एक्सपोर्टर्स):

• नाम: ILOVEPDF, S.L।
• पता: कैल सैबिनो डी अराना, 60, 08028 बार्सिलोना
• संपर्क व्यक्ति 'का नाम, पद और संपर्क विवरण: जुआन ओरिओल, कानूनी निदेशक (legal@ilovepdf.com)।
• इन धाराओं के तहत ट्रांसफ़र किए गए डेटा से संबंधित गतिविधियां: व्यक्तिगत डेटा के इंपोर्टर को सेवाएँ प्रदान करना, जहाँ तक इन सेवाओं के प्रावधान में ILOVEPDF (डेटा एक्सपोर्टर) से ग्राहक (डेटा इंपोर्टर) को व्यक्तिगत डेटा का अंतरराष्ट्रीय ट्रांसफ़र शामिल होता है।
• भूमिका: डेटा प्रोसेसर।

डेटा इम्पोर्टर(इंपोर्टर्स): [डेटा इंपोर्टर(इंपोर्टर्स) की पहचान और संपर्क विवरण, जिसमें डेटा सुरक्षा के लिए ज़िम्मेदार किसी भी संपर्क व्यक्ति का विवरण शामिल है]

• नाम: [...] (अगर यह भरा नहीं गया है, तो इसे ग्राहक के नाम के रूप में माना जाएगा)।
• पता: [...] (अगर यह पूरा नहीं है, तो यह समझा जाएगा कि ग्राहक' का पता प्रभावी है)।
• संपर्क व्यक्ति'का नाम, पद और संपर्क विवरण: [...] (अगर यह भरा नहीं गया है, तो इसे उस व्यक्ति के विवरण के रूप में माना जाएगा जो सेवा के अनुबंध या संचालन में ग्राहक का प्रतिनिधित्व करता है)।
• इन धाराओं के तहत ट्रांसफ़र किए गए डेटा से संबंधित गतिविधियाँ: व्यक्तिगत डेटा के एक्सपोर्टर द्वारा सेवाओं का प्रावधान, उस सीमा तक जहाँ इन सेवाओं के प्रावधान में ILOVEPDF (डेटा एक्सपोर्टर) से ग्राहक (डेटा इंपोर्टर) को व्यक्तिगत डेटा का अंतरराष्ट्रीय ट्रांसफ़र शामिल होता है।
• हस्ताक्षर और तारीख: [...] (अगर यह भरा नहीं गया है, तो इसे ग्राहक द्वारा सेवा के प्रथम उपयोग की तारीख के रूप में माना जाएगा)।
• भूमिका: डेटा कंट्रोलर।

ट्रांसफ़र का विवरण

डेटा विषयों की श्रेणियाँ जिनका व्यक्तिगत डेटा ट्रांसफ़र किया जाता है

वे डेटा विषयों की कैटेगरीज़ जिनका डेटा उन फाइलों में शामिल होता है जिन्हें इम्पोर्टर, ILOVEPDF द्वारा प्रदान की गई सेवा का उपयोग करते समय अपलोड करता है (जैसे कि कर्मचारी, ग्राहक, आपूर्तिकर्ता आदि)।

ट्रांसफ़र किए गए व्यक्तिगत डेटा की कैटेगरीज़
वे व्यक्तिगत डेटा की कैटेगरीज़ जो उन फाइलों में शामिल होती हैं जिन्हें इम्पोर्टर, ILOVEPDF द्वारा प्रदान की गई सेवा का उपयोग करते समय अपलोड करता है।

ट्रांसफ़र किया गया संवेदनशील डेटा (यदि लागू हो) और लागू प्रतिबंध या सुरक्षा उपाय, जो डेटा की प्रकृति और उसमें शामिल जोखिमों को पूरी तरह ध्यान में रखते हैं, जैसे कि उदाहरण के लिए सख्त उद्देश्य सीमा, एक्सेस पर प्रतिबंध (जिसमें केवल उन कर्मचारियों को एक्सेस देना शामिल है जिन्होंने विशेष प्रशिक्षण प्राप्त किया हो), डेटा तक पहुँच का रिकॉर्ड बनाए रखना, आगे के ट्रांसफ़र पर प्रतिबंध या अतिरिक्त सुरक्षा उपाय।

डेटा की विशेष कैटेगरीज़ का प्रोसेसिंग उसी सीमा तक किया जाएगा, जिस सीमा तक इंपोर्टर द्वारा ILOVEPDF की सेवा का उपयोग करते समय अपलोड की गई फ़ाइलों में ऐसे विशेष कैटेगरी के व्यक्तिगत डेटा शामिल होते हैं।

ट्रांसफ़र की आवृत्ति (जैसे कि डेटा एक बार ट्रांसफ़र किया जाता है या निरंतर आधार पर)
जब ILOVEPDF द्वारा प्रदान की गई सेवाओं का उपयोग, ILOVEPDF से डेटा इम्पोर्टर को डेटा के अंतरराष्ट्रीय ट्रांसफ़र को शामिल करता है।

प्रोसेसिंग की प्रकृति
ILOVEPDF द्वारा अपनी सेवाएँ प्रदान करने के लिए आवश्यक सीमा तक व्यक्तिगत डेटा को इम्पोर्टर को संप्रेषित करना।

डेटा ट्रांसफ़र और आगे के प्रोसेसिंग का उद्देश्य
ILOVEPDF की ओर से सेवाएँ प्रदान करने के लिए।

वह अवधि जिसके लिए व्यक्तिगत डेटा को रखा जाएगा, या यदि यह संभव नहीं है, तो उस अवधि को निर्धारित करने के लिए उपयोग किए जाने वाले मानदंड
सेवाएँ प्रदान करने के लिए जितनी सख्ती से आवश्यक हो, उतनी अवधि तक, और उसके बाद लागू कानून के अनुसार तथा व्यक्तिगत डेटा के प्रोसेसिंग से संबंधित दावों को प्रस्तुत करने या उनका बचाव करने के लिए जितनी आवश्यकता हो, उतनी अवधि तक।

वर्ज़न कंट्रोल: गुरुवार, 19 फ़रवरी 2026