डेटा प्रोसेसिंग समझौता

विषय-सूची

1. 1. दायरा, भूमिकाएँ और परिभाषाएँ
2. 2. प्रसंस्करण का विवरण
3. 3. ग्राहक के निर्देश
4. 4. अधिकृत व्यक्तियों की गोपनीयता
5. 5. सुरक्षा उपाय
6. 6. उप-प्रोसेसर
7. 7. डेटा का स्थान और अंतर्राष्ट्रीय हस्तांतरण
8. 8. डेटा विषय अनुरोधों में सहायता
9. 9. व्यक्तिगत डेटा उल्लंघन की सूचना
10. 10. प्रभाव आकलन और नियामकों से परामर्श
11. 11. जानकारी और ऑडिट
12. 12. डेटा की वापसी और हटाना
13. 13. सरकारी अनुरोध
14. 14. देयता
15. 15. अवधि और प्राथमिकता
16. 16. डेटा संरक्षण संपर्क और प्रसंस्करण का रिकॉर्ड
17. अनुलग्नक 1: प्रसंस्करण का विवरण
18. अनुलग्नक 2: तकनीकी और संगठनात्मक उपाय
19. अनुलग्नक 3: उप-प्रोसेसर

संस्करण: 1.2 · प्रकाशित: 16 अक्तूबर 2026 · प्रभावी: नए कार्यस्थानों के लिए स्वीकृति पर; जिन कार्यस्थानों ने कोई पूर्ववर्ती संस्करण स्वीकार किया उनके लिए, उस तिथि पर जो STAK अपने नोटिस में STAK ग्राहक सेवा की शर्तों के खंड 20 के तहत बताए · शासी पाठ: अंग्रेज़ी (ग्राहक सेवा की शर्तों का खंड 23.9)

द्वारा जारी: STAK Global, LLC, जो डेलावेयर राज्य, संयुक्त राज्य अमेरिका में गठित एक सीमित देयता कंपनी है (फ़ाइल संख्या 10798493) और STAK (ستاك) तथा सेवाओं की स्वामी है। संपर्क: [email protected]।

1. दायरा, भूमिकाएँ और परिभाषाएँ

1.1 यह डेटा प्रसंस्करण अनुबंध STAK ग्राहक सेवा की शर्तों (“शर्तें”) के खंड 3.1 के तहत अनुबंध का अभिन्न अंग है। यह STAK द्वारा ग्राहक के व्यक्तिगत डेटा के प्रसंस्करण को शासित करता है। शर्तों में परिभाषित अभिव्यक्तियों का इस डेटा प्रसंस्करण अनुबंध में वही अर्थ है।

1.2 ग्राहक ग्राहक के व्यक्तिगत डेटा का नियंत्रक है, और STAK एक प्रोसेसर है जो उसे ग्राहक की ओर से और उसके निर्देशों पर संसाधित करता है।

• नियंत्रक और प्रोसेसर का अर्थ लागू डेटा संरक्षण कानून के तहत उनके समकक्ष हैं, जैसे सऊदी अरब साम्राज्य में नियंत्रक संस्था और प्रसंस्करण संस्था।
• यदि ग्राहक डेटा को किसी अन्य नियंत्रक की ओर से प्रोसेसर के रूप में संसाधित करता है, तो STAK उसे ग्राहक के लिए कार्य करने वाले प्रोसेसर के रूप में संसाधित करता है, और खंड 1.3 के अर्थ में उप-प्रोसेसर नहीं है। ग्राहक सुनिश्चित करता है कि उसके निर्देश उस नियंत्रक के निर्देशों के अनुरूप हों।
• STAK खाता डेटा नियंत्रक के रूप में संसाधित करता है, जैसा गोपनीयता नीति में वर्णित है, और यह डेटा प्रसंस्करण अनुबंध उस पर लागू नहीं होता। न यह संदर्भ और न अनुलग्नक 3 का संदर्भ शर्तों के खंड 3.2 के तहत संविदात्मक दायित्व उत्पन्न करता है।

1.3 निम्नलिखित अभिव्यक्तियों के वे अर्थ हैं जो उनमें से प्रत्येक के साथ दिए गए हैं:

• ग्राहक का व्यक्तिगत डेटा: ग्राहक डेटा में मौजूद व्यक्तिगत डेटा, जिसमें ग्राहक के अंतिम ग्राहकों, कर्मचारियों, आपूर्तिकर्ताओं और उपयोगकर्ताओं के बारे में डेटा शामिल है, खाता डेटा को छोड़कर।
• संवेदनशील व्यक्तिगत डेटा: स्वास्थ्य और क्लिनिकल डेटा, और कोई भी डेटा जिसे लागू डेटा संरक्षण कानून संवेदनशील के रूप में वर्गीकृत करे।
• प्रसंस्करण: व्यक्तिगत डेटा पर की जाने वाली कोई भी क्रिया, जैसे उसे एकत्र करना, रिकॉर्ड करना, संग्रहीत करना, पुनर्प्राप्त करना, उपयोग करना, प्रकट करना, हस्तांतरित करना और हटाना।
• उप-प्रोसेसर: कोई भी पक्ष जिसे STAK सेवाएँ प्रदान करने के उद्देश्य से ग्राहक का व्यक्तिगत डेटा संसाधित करने के लिए नियुक्त करे।
• डेटा विषय: वह प्राकृतिक व्यक्ति जिससे व्यक्तिगत डेटा संबंधित है।
• सुरक्षा घटना: कोई भी घटना जो सेवाओं की गोपनीयता, अखंडता या उपलब्धता के लिए खतरा हो, या जिसके खतरा होने का संदेह हो।
• व्यक्तिगत डेटा उल्लंघन: सुरक्षा का कोई भी उल्लंघन जो ग्राहक के व्यक्तिगत डेटा के आकस्मिक या गैरकानूनी विनाश, हानि या परिवर्तन, या अनधिकृत प्रकटीकरण या पहुँच का कारण बने।
• बैकअप: ग्राहक डेटा की कोई भी प्रति जो खंड 12.3 और अनुलग्नक 2 के तहत पुनर्प्राप्ति के उद्देश्यों के लिए बनाई गई हो।
• प्रोडक्शन परिवेश: वे सिस्टम और डेटाबेस जिन पर सेवाएँ चलती हैं और जिन्हें ग्राहक उपयोग करता है, बैकअप को छोड़कर।
• लागू डेटा संरक्षण कानून: व्यक्तिगत डेटा संरक्षण का विधान जो प्रसंस्करण पर लागू हो, प्रत्येक अपने लागू होने की सीमा तक, जिसमें निम्नलिखित शामिल हैं:
  • कुवैत राज्य में: इलेक्ट्रॉनिक लेन-देन पर कानून संख्या 20 वर्ष 2014, और संचार और सूचना प्रौद्योगिकी नियामक प्राधिकरण द्वारा जारी डेटा गोपनीयता संरक्षण विनियम, क्लाउड कंप्यूटिंग नियामक ढाँचा और डेटा वर्गीकरण नीति, प्रत्येक अपने दायरे के भीतर;
  • सऊदी अरब साम्राज्य का व्यक्तिगत डेटा संरक्षण कानून, जो शाही फ़रमान संख्या (M/19) दिनांक 9/2/1443 AH द्वारा जारी हुआ, संशोधित रूप में, उसके कार्यान्वयन विनियम और साम्राज्य के बाहर व्यक्तिगत डेटा हस्तांतरण पर विनियम;
  • संयुक्त अरब अमीरात में: व्यक्तिगत डेटा के संरक्षण पर संघीय डिक्री-कानून संख्या (45) वर्ष 2021, स्वास्थ्य क्षेत्रों में सूचना और संचार प्रौद्योगिकी के उपयोग पर संघीय कानून संख्या (2) वर्ष 2019, और दुबई अंतर्राष्ट्रीय वित्तीय केंद्र तथा अबू धाबी ग्लोबल मार्केट के डेटा संरक्षण कानून उनके लिए जो उनके अधीन हैं;
  • बहरीन साम्राज्य का व्यक्तिगत डेटा संरक्षण कानून जारी करने वाला कानून संख्या (30) वर्ष 2018;
  • कतर राज्य का व्यक्तिगत डेटा गोपनीयता संरक्षण पर कानून संख्या (13) वर्ष 2016;
  • ओमान सल्तनत के शाही फ़रमान संख्या (6/2022) द्वारा जारी व्यक्तिगत डेटा संरक्षण कानून;
  • यूरोपीय संघ का सामान्य डेटा संरक्षण विनियमन (विनियमन (EU) 2016/679), जहाँ वह ग्राहक पर लागू हो;
  • यूनाइटेड किंगडम का सामान्य डेटा संरक्षण विनियमन और Data Protection Act 2018; स्विट्ज़रलैंड का संघीय डेटा संरक्षण अधिनियम; California Consumer Privacy Act संशोधित रूप में, और संयुक्त राज्य अमेरिका के अन्य व्यापक राज्य गोपनीयता कानून; कनाडा का Personal Information Protection and Electronic Documents Act और प्रांतीय कानून; ब्राज़ील का Lei Geral de Proteção de Dados (कानून संख्या 13.709/2018); भारत का Digital Personal Data Protection Act, 2023; तुर्की का व्यक्तिगत डेटा संरक्षण पर कानून संख्या 6698; मिस्र का कानून संख्या 151 वर्ष 2020; दक्षिण अफ़्रीका का Protection of Personal Information Act, 2013; सिंगापुर का Personal Data Protection Act 2012; ऑस्ट्रेलिया का Privacy Act 1988; और व्यक्तिगत डेटा संरक्षण का कोई भी अन्य कानून जो प्रसंस्करण पर लागू हो।

2. प्रसंस्करण का विवरण

अनुलग्नक 1 में प्रसंस्करण का विषय, अवधि, प्रकृति और उद्देश्य, डेटा विषयों की श्रेणियाँ और व्यक्तिगत डेटा की श्रेणियाँ बताई गई हैं।

3. ग्राहक के निर्देश

3.1 STAK ग्राहक का व्यक्तिगत डेटा केवल ग्राहक के प्रलेखित निर्देशों पर संसाधित करता है। वे निर्देश ये हैं:

• अनुबंध;
• कार्यस्थान की सेटिंग;
• वे कार्रवाइयाँ जो उपयोगकर्ता सेवाओं के भीतर करते हैं;
• कोई भी अन्य लिखित निर्देश जिन पर पक्ष सहमत हों।

3.2 जहाँ लागू कानून अपेक्षा करे, वहाँ STAK डेटा को इन निर्देशों से अलग तरीके से भी संसाधित कर सकता है। वह ग्राहक को पहले से सूचित करता है, जब तक कानून नोटिस देने से मना न करे।

3.3 STAK ग्राहक को सूचित करता है यदि वह मानता है कि कोई निर्देश लागू डेटा संरक्षण कानून का उल्लंघन करता है। वह उस निर्देश को पूरा करने से मना कर सकता है जब तक ग्राहक उल्लंघन हटाने के लिए उसे बदल न दे, या अपने कानूनी आधार के कथन के साथ लिखित रूप में उसकी पुष्टि न करे जिसे STAK उचित रूप से स्वीकार करे।

3.4 ग्राहक अपने निर्देशों की वैधता और ग्राहक का व्यक्तिगत डेटा एकत्र करने और संसाधित करने का वैध आधार होने के लिए उत्तरदायी है। इसमें डेटा विषयों को सूचित करना और जहाँ आवश्यक हो उनकी सहमति प्राप्त करना शामिल है, जिसमें खंड 7 के तहत उनके डेटा के हस्तांतरण की सहमति भी है।

4. अधिकृत व्यक्तियों की गोपनीयता

STAK ग्राहक के व्यक्तिगत डेटा तक पहुँच को उन कर्मचारियों और ठेकेदारों तक सीमित रखता है जिन्हें अपने काम के लिए उसकी आवश्यकता है, और उन्हें गोपनीयता से बाँधता है। STAK के कर्मचारी और ठेकेदार ग्राहक डेटा तक केवल निम्नलिखित मामलों में पहुँचते हैं, और प्रोडक्शन परिवेश तक ऐसी हर पहुँच की शुरुआत लॉग की जाती है:

• (a) ग्राहक द्वारा माँगी गई सहायता प्रदान करने के लिए;
• (b) सेवाओं को चलाने और बनाए रखने तथा उन्हें बैकअप से बहाल करने के लिए;
• (c) किसी सुरक्षा घटना या स्वीकार्य उपयोग नीति के संदिग्ध उल्लंघन की जाँच के लिए;
• (d) जहाँ कानून इसकी अपेक्षा करे।

5. सुरक्षा उपाय

5.1 STAK ग्राहक के व्यक्तिगत डेटा की सुरक्षा के लिए प्रसंस्करण की प्रकृति और जोखिमों को ध्यान में रखते हुए उचित तकनीकी और संगठनात्मक उपाय लागू करता है। इनमें कम से कम अनुलग्नक 2 के उपाय शामिल हैं।

5.2 STAK इन उपायों को अद्यतन कर सकता है, बशर्ते सुरक्षा का समग्र स्तर कम न हो।

5.3 ग्राहक उन सुरक्षा उपायों के लिए उत्तरदायी है जो उसके अपने नियंत्रण में हैं, जैसे उपयोगकर्ताओं और अनुमतियों का प्रबंधन, दो-चरणीय साइन-इन चालू करना, अपने डिवाइस और उपकरणों को सुरक्षित रखना और अपने निर्यात किए गए डेटा को सुरक्षित रखना।

6. उप-प्रोसेसर

6.1 ग्राहक STAK को अनुलग्नक 3 में सूचीबद्ध उप-प्रोसेसरों को नियुक्त करने के लिए अधिकृत करता है।

6.2 STAK को प्रत्येक उप-प्रोसेसर के साथ लिखित अनुबंध करना होगा। अनुबंध में डेटा संरक्षण के ऐसे दायित्व लगाए जाने चाहिए जो प्रसंस्करण के लिए उपयुक्त और इस डेटा प्रसंस्करण अनुबंध के मूल रूप से समकक्ष सुरक्षा स्तर प्रदान करें। STAK अपने उप-प्रोसेसरों के दायित्वों के निष्पादन के लिए ग्राहक के प्रति उत्तरदायी बना रहता है।

6.3 STAK ग्राहक को किसी भी नए उप-प्रोसेसर की सूचना उसके ग्राहक का व्यक्तिगत डेटा संसाधित करना शुरू करने से कम से कम 30 दिन पहले, सेवाओं के भीतर या ईमेल द्वारा, देता है।

6.4 नोटिस अवधि के दौरान, ग्राहक उचित डेटा संरक्षण आधारों पर नए उप-प्रोसेसर पर लिखित आपत्ति कर सकता है। यदि पक्ष किसी समाधान पर सहमत न हो सकें, तो ग्राहक प्रसंस्करण शुरू होने से पहले प्रभावित सब्सक्रिप्शन, या अनुबंध, समाप्त कर सकता है और शेष अवधि के लिए अग्रिम भुगतान किए गए शुल्क की वापसी प्राप्त कर सकता है।

6.5 कनेक्टेड प्रदाता जिन्हें ग्राहक अपने खातों के माध्यम से जोड़ता है, STAK के उप-प्रोसेसर नहीं हैं। इनमें भुगतान सेवा प्रदाता, ग्राहक के अपने WhatsApp Business खाते के संबंध में Meta, और डिलीवरी प्लेटफ़ॉर्म शामिल हैं। ग्राहक के निर्देश पर उन्हें डेटा भेजना ग्राहक के निर्देश पर और उसकी ओर से किया गया हस्तांतरण है।

6.6 डेटा AI सुविधाओं के प्रदाता को केवल तब भेजा जाता है जब कोई उपयोगकर्ता उनमें से किसी सुविधा का अनुरोध करे, जब कोई उपयोगकर्ता उनमें से किसी के पढ़ने के लिए कोई दस्तावेज़ अपलोड करे, जैसे रसीद, या जब किसी उपयोगकर्ता द्वारा सेट किया गया ऑटोमेशन ऐसा चरण चलाए जिसमें AI का उपयोग होता है, और केवल वही डेटा भेजा जाता है जो उस अनुरोध या चरण को पूरा करने के लिए आवश्यक हो। प्रदाता उसका उपयोग अपने मॉडलों को प्रशिक्षित करने के लिए नहीं कर सकता। संवेदनशील व्यक्तिगत डेटा उसे केवल तभी भेजा जाता है जब अनुरोध या चरण में स्वयं वह मौजूद हो।

7. डेटा का स्थान और अंतर्राष्ट्रीय हस्तांतरण

7.1 सेवाएँ जर्मनी संघीय गणराज्य के फ़्रैंकफ़र्ट क्षेत्र में Amazon Web Services के प्रोडक्शन परिवेश में होस्ट की जाती हैं, और ग्राहक का व्यक्तिगत डेटा मुख्य रूप से वहीं संग्रहीत होता है। बैकअप उसी क्षेत्र में रखे जाते हैं, और उनकी प्रतियाँ आयरलैंड गणराज्य में Amazon Web Services के एक अलग क्षेत्र में बनाई जाती हैं।

7.2 ग्राहक निम्नलिखित को स्वीकार करता है, और उसके परिणामस्वरूप होने वाले हस्तांतरणों को स्पष्ट रूप से अधिकृत करता है:

• (a) होस्टिंग यूरोपीय संघ में होती है, जो उस देश से बाहर हो सकता है जहाँ ग्राहक स्थापित है या व्यवसाय करता है;
• (b) Cloudflare अपने वैश्विक नेटवर्क के माध्यम से हर समय नेटवर्क ट्रैफ़िक को संसाधित करता है;
• (c) अनुलग्नक 3 में सूचीबद्ध अन्य उप-प्रोसेसर अन्य देशों में, जिनमें संयुक्त राज्य अमेरिका शामिल है, डेटा केवल तभी संसाधित करते हैं जब संबंधित सेवा का उपयोग किया जाए;
• (d) STAK के कर्मचारी कुवैत राज्य से डेटा तक पहुँच सकते हैं, केवल उन मामलों में जो खंड 4 में दिए गए हैं।

7.3 ग्राहक के व्यक्तिगत डेटा के उस देश से बाहर हस्तांतरण के लिए जहाँ वह एकत्र किया गया था, STAK निम्नलिखित सुरक्षा उपाय लागू करता है:

• (a) खंड 6.2 में उल्लिखित अनुबंध, जिनमें वे मानक संविदात्मक खंड शामिल हैं जो STAK ने यूरोपीय संघ के बाहर उप-प्रोसेसरों के साथ किए हैं;
• (b) ट्रांज़िट में और संग्रहण में एन्क्रिप्शन;
• (c) लागू डेटा संरक्षण कानून द्वारा मान्य हस्तांतरण तंत्र, जहाँ वह उनकी अपेक्षा करे, जिनमें खंड 7.6 में दिए गए तंत्र शामिल हैं।

7.4 ग्राहक को वह हर सहमति या प्राधिकरण प्राप्त करना होगा जिसकी उसके देश का कानून ग्राहक के व्यक्तिगत डेटा को उस देश के बाहर हस्तांतरित करने के लिए अपेक्षा करता हो, चाहे नियामक से हो या डेटा विषयों से। STAK अनुरोध पर इसके लिए आवश्यक जानकारी देता है।

7.5 STAK ग्राहक को कम से कम 30 दिन पहले सूचित करने के बाद प्राथमिक होस्टिंग या बैकअप को किसी अन्य क्षेत्र में ले जा सकता है, और ग्राहक खंड 6.4 के तहत आपत्ति कर सकता है, जिसमें उस खंड के तहत कोई भी समाप्ति स्थानांतरण की तिथि से पहले प्रभावी होती है। प्राथमिक होस्टिंग क्षेत्र के खो जाने के बाद आयरलैंड गणराज्य में मौजूद बैकअप से सेवाओं को अस्थायी रूप से चलाना इस खंड के तहत स्थानांतरण नहीं है, और STAK ग्राहक को इसकी सूचना बिना देरी देता है।

7.6 कानून द्वारा अपेक्षित हस्तांतरण तंत्र: खंड 7.4 को प्रभावित किए बिना:

• (a) जहाँ यूरोपीय संघ का सामान्य डेटा संरक्षण विनियमन ग्राहक पर लागू होता है, वहाँ यूरोपीय आयोग के कार्यान्वयन निर्णय (EU) 2021/914 द्वारा अपनाए गए मानक संविदात्मक खंड (“EU SCCs”) संदर्भ द्वारा इस डेटा प्रसंस्करण अनुबंध में शामिल किए जाते हैं: मॉड्यूल दो (नियंत्रक से प्रोसेसर) जहाँ ग्राहक नियंत्रक है, और मॉड्यूल तीन (प्रोसेसर से प्रोसेसर) जहाँ वह किसी अन्य नियंत्रक के लिए डेटा संसाधित करता है। ग्राहक डेटा निर्यातक है और STAK डेटा आयातक। खंड 7 (संयोजन खंड) लागू होता है। खंड 9(a) के तहत, विकल्प 2 (सामान्य लिखित प्राधिकरण) लागू होता है, जिसकी नोटिस अवधि खंड 6.3 में दी गई है। खंड 11(a) में वैकल्पिक शब्दावली लागू नहीं होती। खंड 17 और 18 के तहत आयरलैंड गणराज्य का कानून और न्यायालय लागू होते हैं। सक्षम पर्यवेक्षी प्राधिकरण का निर्धारण खंड 13 के तहत किया जाता है। उनके परिशिष्ट अनुलग्नक 1, 2 और 3 से पूरे किए जाते हैं। यदि उनमें और अनुबंध में विरोध हो, तो वे अनुबंध पर प्रभावी रहते हैं।
• (b) जहाँ सऊदी अरब साम्राज्य का व्यक्तिगत डेटा संरक्षण कानून ग्राहक पर लागू होता है, वहाँ Saudi Data and Artificial Intelligence Authority द्वारा जारी व्यक्तिगत डेटा हस्तांतरण के लिए मानक संविदात्मक खंड, दूसरा टेम्पलेट (नियंत्रक से प्रोसेसर), संदर्भ द्वारा इस डेटा प्रसंस्करण अनुबंध में शामिल किए जाते हैं। ग्राहक डेटा निर्यातक है और STAK डेटा आयातक, और उनके परिशिष्ट अनुलग्नक 1, 2 और 3 से पूरे किए जाते हैं। STAK ग्राहक को वह जानकारी देता है जो उस हस्तांतरण जोखिम आकलन के लिए आवश्यक है जो ग्राहक को साम्राज्य के बाहर व्यक्तिगत डेटा हस्तांतरण पर विनियम के तहत करना होता है। यदि उनमें और अनुबंध में विरोध हो, तो वे अनुबंध पर प्रभावी रहते हैं।
• (c) जहाँ संयुक्त अरब अमीरात का संघीय डिक्री-कानून संख्या (45) वर्ष 2021 ग्राहक पर लागू होता है, वहाँ STAK हस्तांतरित डेटा पर उस कानून के वे प्रावधान, उपाय और नियंत्रण लागू करता है जो प्रोसेसर पर लागू होते हैं।
• (d) जहाँ यूनाइटेड किंगडम का सामान्य डेटा संरक्षण विनियमन ग्राहक पर लागू होता है, वहाँ यूनाइटेड किंगडम के Information Commissioner द्वारा जारी International Data Transfer Addendum to the EU SCCs (संस्करण B1.0, 21 मार्च 2022 से लागू, बाद के संशोधनों सहित) संदर्भ द्वारा शामिल किया जाता है। तालिका 1 से 3 अनुबंध और अनुलग्नक 1 से 3 में पक्षों के विवरण से पूरी की जाती हैं। तालिका 4 के लिए, कोई भी पक्ष Addendum को वैसे समाप्त कर सकता है जैसे उसका अनुभाग 19 अनुमति देता है।
• (e) जहाँ स्विट्ज़रलैंड का संघीय डेटा संरक्षण अधिनियम ग्राहक पर लागू होता है, वहाँ EU SCCs इन परिवर्तनों के साथ लागू होते हैं: स्विट्ज़रलैंड के संघीय डेटा संरक्षण और सूचना आयुक्त उस अधिनियम द्वारा शासित हस्तांतरणों के लिए सक्षम पर्यवेक्षी प्राधिकरण हैं; GDPR के संदर्भों में वह अधिनियम शामिल है; और “सदस्य राज्य” को इस प्रकार पढ़ा जाता है कि स्विट्ज़रलैंड में डेटा विषय स्विट्ज़रलैंड में दावे कर सकें।
• (f) जहाँ कोई अन्य लागू डेटा संरक्षण कानून किसी विशेष हस्तांतरण दस्तावेज़ की अपेक्षा करे, जैसे ब्राज़ील के राष्ट्रीय डेटा संरक्षण प्राधिकरण के मानक संविदात्मक खंड या तुर्की के कानून संख्या 6698 के तहत मानक अनुबंध, वहाँ STAK ग्राहक के अनुरोध पर उस दस्तावेज़ पर हस्ताक्षर करता है या उसे शामिल करता है, जिसके विवरण अनुलग्नक 1 से 3 से पूरे किए जाते हैं।
• (g) जहाँ California Consumer Privacy Act या संयुक्त राज्य अमेरिका का कोई समान राज्य गोपनीयता कानून लागू हो, वहाँ STAK ग्राहक के सेवा प्रदाता, ठेकेदार या प्रोसेसर के रूप में कार्य करता है। STAK ग्राहक का व्यक्तिगत डेटा न बेचता है न साझा करता है। वह उसे अनुबंध के तहत सेवाएँ प्रदान करने के अलावा किसी उद्देश्य के लिए, या ग्राहक के साथ प्रत्यक्ष व्यावसायिक संबंध के बाहर, न रखता है, न उपयोग करता है और न उजागर करता है। वह उसे अन्य स्रोतों से प्राप्त व्यक्तिगत जानकारी के साथ नहीं मिलाता, सिवाय उसके जो वे कानून अनुमति दें। वह उन कानूनों का पालन करता है और गोपनीयता सुरक्षा का वही स्तर देता है जिसकी वे अपेक्षा करते हैं। यदि वह इन दायित्वों को पूरा करने में असमर्थ हो जाए तो ग्राहक को बताता है। ग्राहक किसी भी अनधिकृत उपयोग को रोकने और सुधारने के लिए उचित कदम उठा सकता है। STAK प्रमाणित करता है कि वह इन प्रतिबंधों को समझता है।

7.7 वह डेटा जिसे किसी विशेष देश में रहना आवश्यक है: ग्राहक को सेवाओं में ऐसा डेटा नहीं रखना चाहिए जिसे लागू कानून किसी विशेष देश के भीतर संग्रहीत या संसाधित करने की अपेक्षा करता हो, जब तक सेवाएँ शर्तों के खंड 9.5 के तहत यह न दिखाएँ कि संबंधित ऐप के लिए उस देश में होस्टिंग उपलब्ध है। यह शर्तों के खंड 13.4 और स्वीकार्य उपयोग नीति के खंड 5.4 के अनुरूप है।

8. डेटा विषय अनुरोधों में सहायता

8.1 सेवाएँ ग्राहक को अपने अंतिम ग्राहकों का व्यक्तिगत डेटा देखने, निर्यात करने और सुधारने के उपकरण देती हैं, उसे उनकी पहचान को छद्म नाम से बदलकर मिटाने का एक उपकरण देती हैं जबकि वे रिकॉर्ड रखे रहते हैं जिन्हें कानून रखने की अपेक्षा करता है, और अपने कर्मचारियों का डेटा देखने और सुधारने के उपकरण देती हैं। ग्राहक इन उपकरणों का उपयोग डेटा विषय अनुरोधों का उत्तर देने के लिए करता है, और STAK खंड 8.3 के तहत उन सभी बातों में सहायता करता है जिन्हें ये उपकरण कवर नहीं करते, जिनमें कर्मचारी डेटा का निर्यात और हटाना शामिल है।

8.2 यदि STAK को ग्राहक के व्यक्तिगत डेटा से संबंधित किसी डेटा विषय से सीधा अनुरोध मिले, तो वह उसे बिना देरी ग्राहक को भेज देता है और केवल ग्राहक के निर्देशों पर ही उत्तर देता है।

8.3 STAK ग्राहक को उन सभी बातों में उचित सहायता देता है जिन्हें उपलब्ध उपकरण कवर नहीं करते।

9. व्यक्तिगत डेटा उल्लंघन की सूचना

9.1 ग्राहक के व्यक्तिगत डेटा को प्रभावित करने वाले किसी भी व्यक्तिगत डेटा उल्लंघन की जानकारी होने के बाद STAK ग्राहक को अनावश्यक देरी के बिना सूचित करता है। वह जहाँ संभव हो जानकारी होने के 24 घंटे के भीतर, और किसी भी स्थिति में 48 घंटे के भीतर ऐसा करता है।

9.2 नोटिस में, जहाँ तक जानकारी उपलब्ध हो, शामिल होता है:

• (a) उल्लंघन की प्रकृति;
• (b) डेटा विषयों की श्रेणियाँ और उनकी अनुमानित संख्या;
• (c) संभावित परिणाम;
• (d) उल्लंघन से निपटने के लिए किए गए और प्रस्तावित उपाय;
• (e) STAK में एक संपर्क बिंदु।

STAK अतिरिक्त जानकारी उपलब्ध होते ही प्रदान करता है।

9.3 STAK उल्लंघन को नियंत्रित करने और उसके प्रभावों को सीमित करने के लिए तुरंत उचित उपाय करता है। जहाँ ग्राहक को नियामकों और डेटा विषयों को सूचित करना हो, वहाँ वह इसमें ग्राहक के साथ सहयोग करता है, उन समय-सीमाओं को ध्यान में रखते हुए जो कानून ग्राहक के लिए तय करता है। जहाँ लागू कानून STAK से स्वयं उल्लंघन की सूचना नियामक को देने की अपेक्षा करे, वहाँ STAK अपेक्षित अवधि के भीतर ऐसा करता है और ग्राहक को बताता है।

9.4 STAK द्वारा उल्लंघन की सूचना, या उससे निपटने में उसका सहयोग, गलती या देयता की स्वीकारोक्ति नहीं है।

10. प्रभाव आकलन और नियामकों से परामर्श

ग्राहक के अनुरोध पर, STAK डेटा संरक्षण प्रभाव आकलन करने या किसी नियामक से परामर्श के लिए आवश्यक उचित जानकारी देता है, उस सीमा तक जहाँ तक वह सेवाओं से संबंधित हो।

11. जानकारी और ऑडिट

11.1 ग्राहक के अनुरोध पर, STAK वह जानकारी देता है जो इस डेटा प्रसंस्करण अनुबंध के अनुपालन को प्रदर्शित करने के लिए उचित रूप से आवश्यक हो। इसमें सुरक्षा दस्तावेज़ और वर्ष में एक सुरक्षा प्रश्नावली के उत्तर शामिल हैं।

11.2 ग्राहक अपने खर्च पर ऑडिट कर सकता है, या गोपनीयता से बँधे किसी स्वतंत्र ऑडिटर से करवा सकता है, निम्नलिखित मामलों में:

• (a) जहाँ कोई नियामक इसकी अपेक्षा करे;
• (b) अपने डेटा को प्रभावित करने वाले व्यक्तिगत डेटा उल्लंघन के बाद;
• (c) जहाँ खंड 11.1 के तहत दी गई जानकारी पर्याप्त नहीं है।

ऑडिट इन शर्तों के अधीन है:

• ग्राहक ऑडिट की सूचना STAK को कम से कम 30 दिन पहले देता है।
• यह कार्य दिवसों में कार्य समय के दौरान होता है।
• पैराग्राफ (c) के तहत ऑडिट वर्ष में एक बार से अधिक नहीं होता।
• कोई ऑडिट उप-प्रोसेसरों की सुविधाओं तक विस्तृत नहीं होता। उसके बजाय उनके प्रमाणन और स्वतंत्र रिपोर्टें पर्याप्त हैं।
• किसी ऑडिट में दूसरे ग्राहकों के डेटा तक पहुँच या ऐसी कोई चीज़ शामिल नहीं है जो उनकी सुरक्षा को प्रभावित करे।

12. डेटा की वापसी और हटाना

12.1 ग्राहक शर्तों के खंड 19.5 के तहत किसी भी समय, और अनुबंध समाप्त होने के बाद 30 दिन तक, ग्राहक का व्यक्तिगत डेटा निर्यात कर सकता है।

12.2 निर्यात अवधि के बाद, STAK ग्राहक का व्यक्तिगत डेटा प्रोडक्शन परिवेश से 30 दिनों के भीतर हटा देता है, जब तक लागू कानून उसे रखने की अपेक्षा न करे, और शर्तों के खंड 19.5 में दी गई रोक के अधीन, जब तक STAK को किसी अदालती विवाद, जाँच या सक्षम प्राधिकरण के अनुरोध की सूचना दी गई हो।

12.3 बैकअप निम्नलिखित प्रतिधारण अवधियों तक रखे जाते हैं:

• (a) किसी निश्चित समय पर पुनर्प्राप्ति और दैनिक बैकअप: प्रत्येक बैकअप बनाए जाने की तिथि से 35 दिन;
• (b) डेटाबेस के रात्रिकालीन तार्किक बैकअप (डेटाबेस डंप): 35 दिन;
• (c) मासिक बैकअप: प्रत्येक बैकअप बनाए जाने की तिथि से 12 महीने;
• (d) अपलोड की गई फ़ाइलों के पुराने संस्करण: उनके बदले या हटाए जाने की तिथि से 90 दिन।

वे नियम जो इन बैकअप पर लागू होते हैं:

• दैनिक और मासिक बैकअप और उनकी प्रतियाँ बैकअप वॉल्ट में रखी जाती हैं जिनकी नीति किसी को भी, STAK के अपने कर्मचारियों सहित, प्रतिधारण अवधि समाप्त होने से पहले कोई बैकअप हटाने या उस अवधि को बदलने से रोकती है, और जिनका होस्टिंग प्रदाता के अनुपालन मोड में लॉक कम से कम पहले 35 दिनों के दौरान किसी भी बैकअप को हटाने से रोकता है।
• रात्रिकालीन तार्किक बैकअप प्रतिधारण अवधि समाप्त होने तक बदलाव और हटाने से सुरक्षित रखे जाते हैं।
• STAK प्रतिधारण अवधि समाप्त होने से पहले कोई बैकअप नहीं हटाता, ग्राहक के अनुरोध पर भी नहीं।
• सभी बैकअप उपयोग से बाहर रखे जाते हैं और केवल तकनीकी पुनर्प्राप्ति के लिए उपयोग होते हैं, खंड 12.4 के अधीन, या जहाँ कानून इसकी अपेक्षा करे।
• हटाए गए डेटा वाले सभी बैकअप इन अवधियों के समाप्त होने पर, यानी अधिकतम 12 महीनों के भीतर, समाप्त हो जाते हैं, और हटाया गया डेटा तब स्थायी रूप से नष्ट कर दिया जाता है।
• अनुरोध पर, STAK ग्राहक को वह तिथि बताता है जिस पर हटाए गए डेटा वाला अंतिम बैकअप समाप्त होता है, ताकि ग्राहक डेटा विषय को बता सके।

12.4 यदि STAK उन अवधियों के दौरान कोई बैकअप बहाल करता है, तो वह डेटा उपलब्ध कराने से पहले, उस बैकअप की तिथि के बाद खंड 8.1 के तहत किए गए मिटाने और खंड 12.2 के तहत किए गए हटाने को, उन कार्रवाइयों के अपने रिकॉर्ड के आधार पर, फिर से लागू करता है।

13. सरकारी अनुरोध

यदि STAK को किसी सरकारी या न्यायिक प्राधिकरण से ग्राहक का व्यक्तिगत डेटा प्रकट करने का बाध्यकारी अनुरोध मिले, तो वह ग्राहक को सूचित करता है, जब तक कानून नोटिस देने से मना न करे। STAK प्रकटीकरण को उस न्यूनतम सीमा तक सीमित रखता है जितनी अनुरोध की अपेक्षा हो। जिन अनुरोधों को वह उचित रूप से गैरकानूनी मानता है, उन्हें उपलब्ध कानूनी साधनों से चुनौती देता है।

14. देयता

इस डेटा प्रसंस्करण अनुबंध के तहत प्रत्येक पक्ष की देयता, जिसमें खंड 7.6 में मानक संविदात्मक खंडों के तहत दूसरे पक्ष के प्रति उसकी देयता शामिल है, शर्तों के खंड 16 में देयता की सीमा के प्रावधानों के अधीन है, उस सीमा तक जहाँ तक वे खंड अनुमति दें और उनके तहत डेटा विषयों के अधिकारों को प्रभावित किए बिना।

15. अवधि और प्राथमिकता

15.1 यह डेटा प्रसंस्करण अनुबंध तब तक लागू रहता है जब तक STAK ग्राहक का व्यक्तिगत डेटा संसाधित करता है।

15.2 जहाँ यह डेटा प्रसंस्करण अनुबंध शर्तों से टकराए, वहाँ ग्राहक के व्यक्तिगत डेटा से संबंधित मामलों में यही प्रभावी रहता है।

15.3 जहाँ लागू डेटा संरक्षण कानून इस डेटा प्रसंस्करण अनुबंध से अधिक कठोर कोई अनिवार्य दायित्व लगाए, वहाँ वह दायित्व अपने दायरे के भीतर लागू होता है।

16. डेटा संरक्षण संपर्क और प्रसंस्करण का रिकॉर्ड

STAK ने एक डेटा संरक्षण संपर्क नियुक्त किया है, जिससे [email protected] पर ईमेल द्वारा संपर्क किया जा सकता है। STAK ग्राहकों की ओर से किए जाने वाले प्रसंस्करण कार्यों का रिकॉर्ड रखता है, और जहाँ कानून अपेक्षा करे वह सक्षम नियामक को उपलब्ध कराता है।

अनुलग्नक 1: प्रसंस्करण का विवरण

• विषय-वस्तु: शर्तों के तहत ग्राहक को सेवाएँ प्रदान करना।
• अवधि: अनुबंध की अवधि, उसके बाद खंड 12 के तहत निर्यात और हटाने की अवधि, खंड 12.3 में बैकअप प्रतिधारण अवधियाँ, और अनुलग्नक 3 में दी गई उप-प्रोसेसरों की प्रतिधारण अवधियाँ।
• प्रकृति और उद्देश्य:
  • ग्राहक डेटा को संग्रहीत और होस्ट करना;
  • बिक्री, ऑर्डर, बुकिंग और इनवॉइस का प्रसंस्करण;
  • इन्वेंट्री, लेखा, मानव संसाधन और वेतन का प्रबंधन;
  • वे संदेश भेजना जिनका ग्राहक कनेक्टेड प्रदाताओं के साथ अपने खातों के माध्यम से, या उन मैसेजिंग प्रदाताओं के माध्यम से जिन्हें STAK उपयोग करता है जब वे अनुलग्नक 3 में सूचीबद्ध हों, अनुरोध करे;
  • AI सुविधाएँ प्रदान करना जब उनका उपयोग किया जाए;
  • बैकअप, सुरक्षा और सहायता।
• डेटा विषयों की श्रेणियाँ:
  • ग्राहक के अंतिम ग्राहक, अतिथि और रोगी;
  • उसके कर्मचारी और नौकरी के आवेदक;
  • उपयोगकर्ता;
  • उसके आपूर्तिकर्ता और उनके संपर्क;
  • ड्राइवर और कूरियर।
• व्यक्तिगत डेटा की श्रेणियाँ:
  • पहचान और संपर्क डेटा, जैसे नाम, फ़ोन, ईमेल, पता और डिलीवरी स्थान;
  • लेन-देन, ऑर्डर, बुकिंग और इनवॉइस के रिकॉर्ड;
  • भुगतानों से जुड़े संदर्भ, पूर्ण कार्ड नंबरों के बिना;
  • लॉयल्टी डेटा, प्राथमिकताएँ और सहमतियाँ;
  • ग्राहक के कर्मचारियों से संबंधित डेटा, जैसे सिविल आईडी नंबर, निवास विवरण, वेतन, अंतर्राष्ट्रीय बैंक खाता संख्या (IBAN), उपस्थिति और छुट्टी;
  • ग्राहक द्वारा अपलोड की गई तस्वीरें और दस्तावेज़;
  • संदेश लॉग और ऑडिट ट्रेल।
• संवेदनशील व्यक्तिगत डेटा: स्वास्थ्य और क्लिनिकल डेटा जब क्लिनिक ऐप का उपयोग किया जाए, खंड 7.7 और शर्तों के खंड 13.4 के अधीन, जिसके तहत रोगी-रिकॉर्ड सुविधाओं का उपयोग कुवैत राज्य या संयुक्त अरब अमीरात में स्वास्थ्य सेवाएँ प्राप्त करने वाले रोगियों के लिए नहीं किया जाना चाहिए; और मानव संसाधन फ़ाइलों में स्वास्थ्य डेटा, जैसे बीमारी के नोट। क्लिनिकल रिकॉर्ड और मानव संसाधन फ़ाइलें अलग कुंजियों से एन्क्रिप्ट की जाती हैं, और यह डेटा केवल उन उपयोगकर्ताओं को दिखता है जिनकी भूमिकाएँ उसे देखने के लिए अधिकृत हैं। बीमा दावों और पूर्व-प्राधिकरणों में निदान और प्रक्रिया कोड, और बीमा कार्ड की छवियाँ, अनुलग्नक 2 में दिए गए डेटाबेस और संग्रहण एन्क्रिप्शन से सुरक्षित हैं।

अनुलग्नक 2: तकनीकी और संगठनात्मक उपाय

1. एन्क्रिप्शन:
   • ट्रांज़िट में डेटा TLS संस्करण 1.2 या उसके बाद के संस्करण से एन्क्रिप्ट किया जाता है, और हर कनेक्शन पर डेटाबेस सर्वर की पहचान सत्यापित की जाती है।
   • डेटाबेस, डिस्क, फ़ाइलों, बैकअप और सीक्रेट्स स्टोर में संग्रहीत डेटा AES-256 से एन्क्रिप्ट किया जाता है, उन कुंजियों के साथ जो AWS Key Management Service (AWS KMS) के माध्यम से या होस्टिंग प्रदाता द्वारा प्रबंधित की जाती हैं।
   • मानव संसाधन फ़ाइलें और क्लिनिकल रिकॉर्ड ऐप्लिकेशन के भीतर अलग कुंजियों से अतिरिक्त रूप से एन्क्रिप्ट किए जाते हैं, और कनेक्टेड प्रदाताओं के कनेक्शन विवरण एक अलग सीक्रेट्स स्टोर में रखे जाते हैं जो अलग कुंजी से एन्क्रिप्ट होता है।
2. प्रत्येक ग्राहक के डेटा का पृथक्करण: ग्राहक डेटा के हर रिकॉर्ड पर उस व्यवसाय का पहचानकर्ता होता है जिससे वह संबंधित है। डेटाबेस में पंक्ति-स्तरीय सुरक्षा नीतियाँ ऐप्लिकेशन की भूमिका पर लागू होती हैं, और ऐप्लिकेशन की भूमिका को उन्हें दरकिनार करने की कोई अनुमति नहीं है। संयुक्त-कुंजी प्रतिबंध एक व्यवसाय के रिकॉर्ड को दूसरे के रिकॉर्ड से जुड़ने से रोकते हैं।
3. पहुँच नियंत्रण:
   • पहुँच न्यूनतम विशेषाधिकार के सिद्धांत पर दी जाती है।
   • प्रोडक्शन परिवेश तक पहुँच नामित STAK कर्मचारियों तक सीमित है, इसके लिए मल्टी-फ़ैक्टर प्रमाणीकरण आवश्यक है, और हर पहुँच की शुरुआत लॉग की जाती है।
   • सर्वरों तक प्रशासनिक पहुँच केवल AWS Systems Manager के माध्यम से होती है, कोई सीधा (SSH) लॉगिन नहीं होता।
4. उपयोगकर्ता साइन-इन की सुरक्षा:
   • उपयोगकर्ताओं के लिए, सेवाएँ पासकी, ऑथेंटिकेटर ऐप और सत्यापित फ़ोन पर भेजे गए सत्यापन कोड प्रदान करती हैं।
   • ग्राहक के लिए, सेवाएँ अनुकूलन योग्य भूमिकाएँ और अनुमतियाँ, शाखा के आधार पर सीमित पहुँच और, उन प्लान पर जिनमें वे शामिल हैं, सत्र के निष्क्रिय रहने के नियम और नए डिवाइस से साइन-इन पर मालिकों को अलर्ट प्रदान करती हैं।
5. ऑडिट ट्रेल: परिवर्तनों का एक ऑडिट ट्रेल रखा जाता है जिसे कोई उपयोगकर्ता बदल या हटा नहीं सकता। उसमें करने वाला, समय, स्रोत और IP पता दर्ज होता है। जब ग्राहक खंड 8.1 के तहत किसी अंतिम ग्राहक का व्यक्तिगत डेटा मिटाता है, तो प्रविष्टियों से उस व्यक्ति के पहचान विवरण हट जाते हैं लेकिन यह बना रहता है कि क्या किया गया, किसने किया और कब। ऑडिट ट्रेल खंड 12 के तहत ग्राहक डेटा के साथ हटा दी जाती है। लेखा प्रविष्टियाँ एक ऐसी शृंखला में जुड़ी होती हैं जो किसी भी छेड़छाड़ को उजागर कर देती है।
6. बैकअप और पुनर्प्राप्ति:
   • स्वचालित, निरंतर बैकअप 35 दिनों के भीतर किसी निश्चित समय पर पुनर्प्राप्ति की अनुमति देते हैं;
   • दैनिक बैकअप 35 दिन और मासिक बैकअप 12 महीने रखे जाते हैं, और उन्हें आयरलैंड गणराज्य में एक अलग भौगोलिक क्षेत्र में कॉपी किया जाता है। बैकअप वॉल्ट की नीति उनकी प्रतिधारण अवधि समाप्त होने से पहले उनके हटाए जाने या उस अवधि में किसी बदलाव को रोकती है, और अनुपालन मोड का लॉक कम से कम पहले 35 दिनों के दौरान किसी भी बैकअप के हटाए जाने को रोकता है;
   • हर रात डेटाबेस का एक तार्किक बैकअप बनाया जाता है और 35 दिन बदलाव और हटाने से सुरक्षित संग्रहण में रखा जाता है;
   • बैकअप से डेटाबेस की बहाली का हर महीने परीक्षण किया जाता है।
7. भुगतान डेटा: सेवाएँ इस तरह डिज़ाइन की गई हैं कि STAK पूर्ण कार्ड नंबर संग्रहीत नहीं करता। भुगतान भुगतान सेवा प्रदाताओं द्वारा होस्ट किए गए पृष्ठों पर या उनके प्रमाणित कार्ड स्वीकार करने वाले टर्मिनलों और ऐप पर किए जाते हैं। सेवाओं की स्क्रीन में कार्ड डेटा दर्ज करने के लिए कोई फ़ील्ड नहीं है, और सेवाएँ ग्राहक को मुक्त-पाठ फ़ील्ड में गलती से दर्ज किए गए कार्ड नंबरों के लिए स्कैन करने देती हैं ताकि उन्हें हटाया जा सके।
8. नेटवर्क और अवसंरचना: डेटाबेस निजी नेटवर्क में चलते हैं जो सार्वजनिक रूप से पहुँच योग्य नहीं हैं, फ़ायरवॉल के पीछे। एक वेब ऐप्लिकेशन फ़ायरवॉल और डिनायल-ऑफ़-सर्विस हमलों से सुरक्षा Cloudflare के माध्यम से प्रदान की जाती है।
9. भेद्यता प्रबंधन और सुरक्षित विकास: कोड की समीक्षा की जाती है और हर रिलीज़ से पहले स्वचालित परीक्षण चलाए जाते हैं। सॉफ़्टवेयर लाइब्रेरी की जाँच की जाती है, और सुरक्षा अपडेट बिना देरी लागू किए जाते हैं।
10. निगरानी और घटना प्रतिक्रिया:
    • क्लाउड अवसंरचना की स्वचालित रूप से चौबीसों घंटे निगरानी की जाती है, तुरंत अलर्ट के साथ;
    • क्लाउड अवसंरचना पर हर प्रशासनिक कार्रवाई लॉग की जाती है, और खतरों और अतिरिक्त अनुमतियों का पता Amazon की समर्पित सेवाओं (AWS CloudTrail, GuardDuty और IAM Access Analyzer) के माध्यम से स्वचालित रूप से लगाया जाता है;
    • सुरक्षा घटनाओं का उत्तर देने और खंड 9 के तहत सूचना देने के लिए प्रलेखित प्रक्रियाएँ लागू होती हैं।
11. व्यावसायिक निरंतरता: निरंतरता और पुनर्प्राप्ति योजनाएँ लागू होती हैं, सेवा-स्तर अनुबंध में पुनर्प्राप्ति लक्ष्यों के अनुरूप।
12. कार्मिक: STAK के कर्मचारी और ठेकेदार गोपनीयता से बँधे हैं और सुरक्षा जागरूकता प्रशिक्षण प्राप्त करते हैं।
13. सुरक्षित हटाना: डेटा खंड 12 के तहत हटाया जाता है, और होस्टिंग प्रदाता मीडिया को अपने मानकों के अनुसार नष्ट करता है।

अनुलग्नक 3: उप-प्रोसेसर

प्रदाता केवल तब उपयोग किए जाते हैं जब चालू किए जाएँ। STAK ने निम्नलिखित प्रदाता सेट कर रखे हैं लेकिन आज वह ग्राहक का व्यक्तिगत डेटा संसाधित करने के लिए उनका उपयोग नहीं करता। वह उनमें से किसी का उपयोग केवल खंड 6.3 के तहत कम से कम 30 दिन पहले नोटिस देने के बाद शुरू करता है, और नोटिस में बताया जाता है कि प्रदाता डेटा कहाँ संसाधित करता है और उसे कितने समय तक रखता है।

जब STAK अपना WhatsApp नंबर चालू कर देगा, तो Meta उससे उपयोगकर्ताओं को साइन-इन कोड और सार्वजनिक पृष्ठों पर अपने फ़ोन नंबर सत्यापित करने वाले अंतिम ग्राहकों को सत्यापन कोड भेजेगा। ऐसा करते हुए वह वह डेटा संसाधित करता है जिसे STAK गोपनीयता नीति के तहत नियंत्रक के रूप में संसाधित करता है, ग्राहक का व्यक्तिगत डेटा नहीं।

ऊपर दिए गए प्रदाताओं के अलावा, STAK ग्राहक का व्यक्तिगत डेटा संसाधित करने के लिए टेक्स्ट संदेश, पुश नोटिफ़िकेशन, डिजिटल वॉलेट, या पता खोज, सत्यापन और मैपिंग प्रदाताओं का उपयोग नहीं करता।