Uber के डेटा प्रोसेसिंग एग्रीमेंट की जानकारी

Uber के लिए यह ज़रूरी है कि उसके सप्लायर डेटा प्रोसेसिंग एग्रीमेंट (DPA) में दिए गए उन नियमों से सहमत हों, जो Uber की गोपनीय जानकारी, जिसमें Uber का व्यक्तिगत डेटा भी शामिल है, के प्रोसेसिंग को नियंत्रित करते हैं।

इन शर्तों का उद्देश्य Uber की गोपनीय जानकारी की गोपनीयता और सुरक्षा की रक्षा करना है, और साथ ही Uber को वैश्विक डेटा संरक्षण कानूनों के तहत अपनी जिम्मेदारियाँ पूरी करने में सक्षम बनाना है। इनमें, जहाँ लागू हो (सप्लायर द्वारा Uber के व्यक्तिगत डेटा के प्रोसेसिंग के आधार पर), शामिल हैं — यूरोपीय संघ का जनरल डेटा प्रोटेक्शन रेगुलेशन (GDPR), ब्राज़ील का Lei Geral de Proteção de Dados Pessoais (LGPD), ऑस्ट्रेलिया का प्राइवेसी एक्ट, भारत का डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट और अमेरिका के राज्य स्तरीय गोपनीयता कानून, जिनमें कैलिफ़ोर्निया कंज़्यूमर प्राइवेसी एक्ट (CCPA) भी शामिल है।

डीपीए विशेष रूप से निम्न बातों को संबोधित करता है:

1. Uber की गोपनीय जानकारी के प्रोसेसिंग से जुड़ी सप्लायर्स की सामान्य आवश्यकताओं और सीमाओं को लेकर नियम, जिनमें डेटा सुरक्षा, डेटा सुरक्षा से जुड़ी घटनाएँ, जोखिम मूल्यांकन और ऑडिट, डेटा को सुरक्षित रखना और हटाना, तथा सब-प्रोसेसर्स का उपयोग शामिल हैं।
   
2. Uber के व्यक्तिगत डेटा के प्रोसेसिंग के संदर्भ में Uber और सप्लायर्स की भूमिकाओं का निर्धारण।
   1. डीपीए (DPA) विशेष रूप से यह आवश्यक करता है कि पक्ष यह स्पष्ट करें कि प्रत्येक:-
      1. “नियंत्रक (Controller)” के रूप में कार्य कर रहा है या “प्रोसेसर (Processor)” के रूप में
      2. CCPA के तहत परिभाषित इन शर्तों के अनुसार प्रत्येक यह भी स्पष्ट करे कि वह “व्यवसाय (Business)”, “सेवा प्रदाता (Service Provider)”, “ठेकेदार (Contractor)” या “तीसरा पक्ष (Third Party)” के रूप में कार्य कर रहा है।
   2. डीपीए ऊपर दिए गए निर्धारणों के आधार पर प्रत्येक पक्ष की जिम्मेदारियों को भी स्पष्ट करता है।

अगर आपको Uber के डेटा प्रोसेसिंग एग्रीमेंट (डीपीए) के संबंध में कोई प्रश्न हैं, तो कृपया अपने Uber संपर्क को सूचित करें।

UBER डेटा प्रोसेसिंग एग्रीमेंट

यह डेटा प्रोसेसिंग एग्रीमेंट (“एग्रीमेंट”) उन आवश्यकताओं को निर्धारित करता है, जो सप्लायर द्वारा निम्नलिखित के प्रोसेसिंग पर लागू होती हैं:- (1) Uber की गोपनीय जानकारी, जिसमें Uber का व्यक्तिगत डेटा शामिल है (सेक्शन 2 देखें); और (2) Uber का व्यक्तिगत डेटा (सेक्शन 3 देखें)।

यह एग्रीमेंट Uber और कंपनी या संस्था (“सप्लायर”) के बीच मुख्य एग्रीमेंट का हिस्सा है (प्रत्येक को अलग-अलग पक्ष और सामूहिक रूप से पक्षकार कहा जाएगा) और इसके तहत किए गए सभी आगे के एग्रीमेंट (सामूहिक रूप से, मुख्य एग्रीमेंट)।

सेक्शन 1:- परिभाषाएँ

नीचे दी गई शर्तों के अलावा, “व्‍यवसाय”, “ठेकेदार,” “बिक्री”, “बेचना”, “सेवा प्रदाता” और “शेयर” का मतलब सीसीपीए / सीपीआरए के तहत बताया गया है।

1. नियंत्रक: एक स्‍वभाविक या कानूनी व्यक्ति जो अकेले या दूसरों के साथ मिलकर व्यक्तिगत डेटा की प्रोसेसिंग का उद्देश्य और तरीके निर्धारित करता है।
2. डेटा सुरक्षा कानून: सभी कानून और नियम जो इस डीपीए के तहत Uber के व्यक्तिगत डेटा की प्रोसेसिंग पर लागू होते हैं।
   
3. डेटा विषय: वह स्‍वभाविक व्यक्ति, जिससे व्यक्तिगत डेटा संबंधित होता है।
4. डेटा सुरक्षा घटना:कोई भी वास्तविक या यथार्थ रूप से संदेहास्पद अनधिकृत पहुँच, अधिग्रहण, या Uber की गोपनीय जानकारी का अवैध प्रोसेसिंग, या ऐसी Uber गोपनीय जानकारी या किसी भी सिस्टम की सुरक्षा या अखंडता का समझौता, जिसे सप्लायर या उसके सब-प्रोसेसर्स द्वारा डेटा प्रोसेस करने के लिए उपयोग किया जाता है।
   
5. डिलीट करें: Uber की गोपनीय जानकारी को शारीरिक या तार्किक रूप से नष्ट करना, ताकि इसे पुनः प्राप्त न किया जा सके।
   
6. डिस्कवरी: कोई भी स्थिति जिसमें सप्लायर को डेटा सुरक्षा घटना का पता चलता है, उसे डेटा सुरक्षा घटना की सूचना दी जाती है या अगर उसने उचित सावधानी बरती होती, तो उसे डेटा सुरक्षा घटना का पता चल जाता।
   
7. व्यक्तिगत डेटा: कोई भी जानकारी जो किसी पहचानित या पहचानने योग्य डेटा विषय से संबंधित हो।
   
8. प्रोसेस: कोई भी ऑपरेशन या ऑपरेशन का समूह, जो व्यक्तिगत डेटा या व्यक्तिगत डेटा के समूह पर किया जाता है, चाहे वह स्वचालित साधनों द्वारा हो या न हो, जैसे – कलेक्‍शन, रिकॉर्ड करना, व्यवस्थित करना, संरचित करना, स्‍टोरेज, अनुकूलन या परिवर्तन, पुनःप्राप्ति, परामर्श, उपयोग, प्रसारण द्वारा प्रकटीकरण, प्रचार या अन्य तरीके से उपलब्ध कराना, संरेखण या संयोजन, प्रतिबंध, डिलीट करना या नष्ट करना।
   
9. प्रोसेसर: एक स्‍वाभाविक या कानूनी इकाई, जो नियंत्रक की ओर से व्‍यक्तिगत डेटा को प्रोसेस करती है।
   
10. सब-प्रोसेसर: एक ऐसा प्रोसेसर जिसे सप्लायर ने Uber की गोपनीय जानकारी प्रोसेस करने के लिए लगाया है।
    
11. सिस्टम:कोई भी फ़ाइल सिस्टम, कंप्यूटिंग सिस्टम, डेटाबेस, डिवाइस, उपकरण, सर्वर, वेबसाइट, एप्लिकेशन, सॉफ़्टवेयर, स्टोरेज मीडिया, नेटवर्क, इन्फ्रास्ट्रक्चर, नेटवर्केड वातावरण या डोमेन, जिसमें बिना किसी सीमा के सभी विकास, गुणवत्ता आश्वासन, स्टेजिंग और प्रोडक्शन वातावरण शामिल हैं।
    
12. Uber:- Uber Technologies, Inc. और Uber की कोई सहायक या सहयोगी कंपनी।
    
13. Uber डेटा विषय: कोई भी डेटा विषय, जिसका Uber का व्यक्तिगत डेटा सप्लायर द्वारा प्रोसेस किया गया है या किया जाएगा।
    
14. Uber का व्यक्तिगत डेटा:- Uber डेटा विषय व्यक्तिगत डेटा: Uber का वह व्यक्तिगत डेटा है, जिसे सप्लायर इस एग्रीमेंट के उद्देश्यों के लिए प्रोसेस करता है।
    
    इस एग्रीमेंट के उद्देश्यों के लिए, Uber का व्यक्तिगत डेटा में उन Uber कर्मचारियों का नाम और संपर्क जानकारी शामिल नहीं है, जो मुख्य एग्रीमेंट के संबंध में सप्लायर के साथ संवाद के लिए जिम्मेदार हैं, और न ही कोई व्यक्तिगत डेटा जो इन इंटरैक्शन्स के परिणामस्वरूप सप्लायर को आकस्मिक रूप से प्राप्त होता है।
    
15. Uber की गोपनीय जानकारी: सभी डेटा, रिकॉर्ड या जानकारी, जिसमें Uber का व्यक्तिगत डेटा भी शामिल है, जो Uber के स्वामित्व या नियंत्रण में है और जिसे Uber द्वारा या Uber की ओर से सप्लायर को प्रकट, प्रदान या उपलब्ध कराया गया है, या जिसे सप्लायर ने Uber की ओर से सेवाओं के संबंध में एकत्रित, बनाया, बनाए रखा या उपयोग किया है, जैसा कि एग्रीमेंट में और विवरणित हो सकता है।
    
16. Uber सिस्टम: ऐसा कोई भी सिस्टम जिसका मालिकाना हक, लाइसेंस, संचालन या नियंत्रण Uber के पास है या जिसके लिए Uber ने सप्लायर को ऐक्सेस दिया है।

सेक्शन 2: ज़रूरतें:- UBER की गोपनीय जानकारी

1. डेटा सुरक्षा:- सप्लायर को उचित भौतिक, प्रशासनिक, संगठनात्मक और तकनीकी सुरक्षा उपाय तथा अन्य सुरक्षा प्रबंध बनाए रखना होंगे, ताकि Uber की गोपनीय जानकारी की अखंडता, सुरक्षा और गोपनीयता बनी रहे। ये उपाय कम से कम इस एग्रीमेंट के परिशिष्ट 1 में दिए गए मानकों के अनुसार होंगे।
2. सुरक्षा मैनेजर:- सप्लायर को एक व्यक्ति को नियुक्त करना होगा जो इस एग्रीमेंट के तहत सप्लायर की जिम्मेदारियों के निष्पादन का प्रबंधन और समन्वय करे, और मुख्य एग्रीमेंट की अवधि के दौरान Uber के लिए उपलब्ध रहे
3. डेटा सुरक्षा से जुड़ी घटनाएँ
   1. जाँच। सप्लायर को किसी भी डेटा सुरक्षा घटना के पता चलने (Discovery) पर सभी उचित कदम उठाने होंगे, ताकि उस घटना के कारण, प्रकार और सीमा की पूरी और गहन जाँच की जा सके, यह सब सप्लायर के खर्चे पर; डेटा सुरक्षा घटना के प्रभावों को सुधारने और कम करने के लिए उपाय किए जाएँ; और Uber को वह सभी जानकारी प्रदान की जाए जो Uber को लागू कानूनों और आंतरिक डेटा सुरक्षा घटना प्रतिक्रिया प्रक्रियाओं के पालन के लिए आवश्यक या अनुरोधित हो। Uber के अनुरोध पर, सप्लायर को अपनी जाँच और निष्कर्षों के बारे में विस्तृत पूरक रिपोर्ट देनी होगी। सप्लायर को अपनी लागत पर प्रत्येक डेटा सुरक्षा घटना की जांच और प्रतिक्रिया में Uber के साथ पूरी तरह सहयोग करना होगा, जिसमें Uber और/या Uber के जांचकर्ता को उसके सिस्टम और/या सुविधाओं तक तुरंत पहुँच देने की अनुमति भी शामिल है।
      
   2. Uber को नोटिस। सप्लायर को किसी भी डेटा सुरक्षा घटना के पता चलने के 48 घंटे के भीतर मुख्य एग्रीमेंट के तहत नोटिस प्राप्त करने के लिए नियुक्त Uber व्यक्तियों या टीम के माध्यम से, और ईमेल के जरिए vendorsecurity@uber.com पर Uber को सूचित करना होगा। सप्लायर को ऐसे नोटिस में निम्नलिखित जानकारी शामिल करनी होगी, और आवश्यकता अनुसार बाद में इसे अद्यतन भी करना होगा:-
      1. डेटा सुरक्षा घटना का विवरण, जिसमें कारण (अगर पहचान योग्य हो), स्थान, तारीख/समय, घटना और इसके पता चलने का विवरण शामिल हो;
         
      2. डेटा सुरक्षा घटना की जांच करने और उसके प्रभाव को कम करने के लिए सप्लायर द्वारा उठाए गए या उठाए जाने वाले कदमों का विवरण;
         
      3. प्रभावित Uber की गोपनीय जानकारी के प्रकार और मात्रा का विवरण, जिसमें यह भी शामिल हो कि डेटा एन्क्रिप्ट किया गया था या उसमें बदलाव किया गया था;;
         
      4. सभी प्रभावित Uber डेटा विषयों की संख्या, स्थान (राज्य/देश), और पहचान (यदि लागू हो), जिसमें लागू डेटा सुरक्षा कानूनों के अनुसार प्रभावित बच्चों, किशोरों या वृद्ध Uber डेटा विषयों की संख्या भी शामिल हो;
         
      5. डेटा सुरक्षा घटना के अपेक्षित परिणाम;
         
      6. सप्लायर द्वारा ऐसे परिणामों को कम करने और Uber की गोपनीय जानकारी को और सुरक्षित बनाने के लिए उठाए गए या उठाए जाने वाले उपायों का विवरण; और
         
      7. डेटा सुरक्षा घटना के जवाब में सप्लायर की सुधारात्मक कार्रवाई की योजनाएँ।
   3. थर्ड पार्टी नोटिस। सप्‍लायर किसी भी डेटा विषय, नियामक या अन्य थर्ड पार्टी (“आवश्यक सूचना”) को कानून द्वारा आवश्यक कोई भी नोटिस देने में Uber की मदद करेगा। ऐसी स्थिति में, (i) Uber को इस नोटिस की सामग्री, समय और वितरण के तरीके पर एकमात्र नियंत्रण होगा, जब तक कानून के तहत अन्यथा आवश्यक न हो; (ii) सप्लायर केवल Uber की पूर्व लिखित स्वीकृति और निर्देश के अनुसार ही आवश्यक नोटिस साझा कर सकता है, जब तक लागू कानून के तहत अन्यथा आवश्यक न हो (ऐसी स्थिति में, सप्लायर को यह नोटिस साझा करने से पहले यथासंभव शीघ्र Uber को इसकी प्रति प्रदान करनी होगी, जब तक कानून के तहत अन्यथा आवश्यक न हो); और (iii) यदि डेटा सुरक्षा घटना के लिए सप्लायर पूरी तरह या आंशिक रूप से जिम्मेदार है, तो सप्लायर को Uber द्वारा किसी भी ऐसे नोटिस के संबंध में किए गए सभी उचित खर्चों की प्रतिपूर्ति करनी होगी।
      
   4. गैर-प्रकटीकरण। सप्लायर को Uber या किसी भी Uber की गोपनीय जानकारी, Uber डेटा सब्जेक्ट या Uber सिस्टम से संबंधित डेटा सुरक्षा घटना की उपस्थिति या जानकारी को बिना Uber की पूर्व लिखित अनुमति के किसी भी सरकारी प्राधिकरण सहित किसी के साथ साझा करने से परहेज़ करना होगा।
      
   5. प्रभाव कम करना और सुधारात्मक कार्रवाई। सप्लायर को तुरंत और बिना अनुचित देरी के:(i) सभी कमजोरियों, गतिविधियों और अन्य परिस्थितियों को नियंत्रित करना जिनसे डेटा सुरक्षा घटना उत्पन्न हुई; (ii) सभी आवश्यक और उचित सुधारात्मक कार्रवाई करना और Uber के साथ यथासंभव सहयोग करना, ताकि उस डेटा सुरक्षा घटना को कम किया जा सके और सही किया जा सके।
      
   6. सार्वजनिक पूछताछ। सप्लायर डेटा सुरक्षा घटना से संबंधित मीडिया, प्रेस या जनता के अन्य सदस्यों (“सार्वजनिक पूछताछ”) से आने वाले सवालों, प्रश्नों या अन्य अनुरोधों का प्रबंधन और उत्तर देने के लिए जिम्मेदार होगा। सप्लायर को सार्वजनिक पूछताछ का प्रबंधन और उत्तर देने के लिए एक या अधिक व्यक्ति नियुक्त करने होंगे और आवश्यकता पड़ने पर उनके नाम और संपर्क जानकारी Uber को प्रदान करनी होगी।
      
4. डेटा का रखरखाव और डिलीट करना: सप्लायर को तुरंत सभी Uber की गोपनीय जानकारी (Uber Confidential Information) को डिलीट करें या Uber को वापस करना होगा (Uber के चयन अनुसार), जो उसके पास, नियंत्रण या देखरेख में है: (i) मुख्य एग्रीमेंट की समाप्ति या अवधि समाप्त होने पर; (ii) सप्लायर के व्यवसाय के बंद होने या दिवालियापन की स्थिति में; (iii) जब मुख्य एग्रीमेंट के तहत अपनी जिम्मेदारियों को निभाने के लिए यह आवश्यक न रहे; या (iv) Uber के अनुरोध पर।
   
5. जोखिम का आकलन
   1. सप्लायर को प्रभावी तारीख से पहले Uber द्वारा आयोजित सूचना सुरक्षा जोखिम मूल्यांकन (“Risk Assessment”) को पूरा करना और पास करना होगा।
      
      प्रारंभिक जोखिम मूल्यांकन के बाद, सप्लायर को Uber की रिक्‍वेस्‍ट पर जोखिम मूल्यांकन पूरा करना होगा, प्रति वर्ष अधिकतम एक बार या निम्न स्थितियों में:- (i) सप्लायर Uber को अतिरिक्त प्रोडक्‍ट या सेवाएँ प्रदान करना शुरू करता है या अतिरिक्त Uber की गोपनीय जानकारी प्रोसेस करता है, जो प्रारंभिक या नवीनतम मूल्यांकन के दायरे में नहीं था; (ii) Uber की गोपनीय जानकारी के प्रोसेसिंग का स्वरूप या उद्देश्य बदलता है; (iii) सप्लायर यूरोपीय आर्थिक क्षेत्र (EEA) के डेटा विषयों का Uber व्यक्तिगत डेटा EEA के बाहर ट्रांसफर करना शुरू करता है या किसी ऐसे तीसरे देश में डेटा ट्रांसफर करता है, जो प्रारंभिक या नवीनतम मूल्यांकन में शामिल नहीं था; (iv) सप्लायर Uber की गोपनीय जानकारी के प्रोसेसिंग में कोई महत्वपूर्ण बदलाव करता है जो डेटा की सुरक्षा या इस एग्रीमेंट के अनुपालन को प्रभावित कर सकता है; (v) Uber के लिए डेटा सुरक्षा कानून या अन्य डेटा सुरक्षा अनुपालन दायित्वों का पालन करने के लिए मूल्यांकन आवश्यक हो; (vi) Uber के लिए किसी निरीक्षण, ऑर्डर या कानूनी दायित्व से संबंधित रिक्‍वेस्‍ट या निपटान का पालन करने के लिए मूल्यांकन आवश्यक हो; या (vii) कोई डेटा सुरक्षा घटना होती है।
      
   2. ज़रूरतें। सप्लायर Uber को जोखिम का आकलन पूरा करने के लिए ज़रूरी सभी जानकारी देंगे। ऐसी जानकारी में शामिल हो सकता है, लेकिन केवल इन्हीं तक सीमित नहीं है: जोखिम मूल्यांकन प्रश्नावली; सूचना सुरक्षा नीतियाँ और प्रक्रियाएँ; डेटा वर्गीकरण और हैंडलिंग नीतियाँ और प्रक्रियाएँ; डेटा सुरक्षा अनुपालन या ऑडिट रिपोर्टें जो सप्लायर के सूचना सुरक्षा कार्यक्रम, सिस्टम, आंतरिक नियंत्रण और Uber के व्यक्तिगत डेटा की प्रोसेसिंग से संबंधित प्रक्रियाओं की प्रभावशीलता का आकलन करती हैं, किसी उद्योग-स्वीकृत ढांचे जैसे ISO, SSAE16, SOC, या NIST के आधार पर; और अन्य जानकारी जो Uber द्वारा सप्लायर के सूचना सुरक्षा कार्यक्रम, नियंत्रण और Uber की गोपनीय जानकारी की प्रोसेसिंग का आकलन करने के लिए रिक्‍वेस्‍ट की जाती है। ऐसी जानकारी में सप्लायर द्वारा Uber के व्यक्तिगत डेटा की प्रोसेसिंग से संबंधित विवरण भी शामिल है, जिसमें डेटा के प्रकार, प्रोसेसिंग के उद्देश्य, Uber डेटा विषयों की संख्या और प्रकार, प्रोसेसिंग का स्थान, सब-प्रोसेसर्स, और डेटा रखरखाव शामिल हैं। सप्लायर की नीतियाँ, प्रक्रियाएँ या अन्य दस्तावेज़ Uber को प्रदान किए जा सकते हैं, या किसी परस्पर सहमति वाले स्क्रीन-शेयरिंग एप्लिकेशन के माध्यम से प्रस्तुत किए जा सकते हैं।
      
   3. ऑडिट लॉग। सप्लायर को सूचना सिस्टम के ऑडिट लॉग और रिकॉर्ड बनाए रखने होंगे, जिनमें एप्लिकेशन लॉग, एक्सेस लॉग, प्रमाणीकरण लॉग, नेटवर्क लॉग, एंड यूज़र डिवाइस लॉग और सुरक्षा सिस्टम लॉग शामिल हैं, ताकि अवैध, अनधिकृत या अनुचित सिस्टम गतिविधियों की निगरानी, विश्लेषण, जाँच और रिपोर्टिंग की जा सके; यह सुनिश्चित किया जा सके कि व्यक्तिगत सूचना सिस्टम उपयोगकर्ताओं की क्रियाओं को विशिष्ट रूप से उनके साथ जोड़ा जा सके ताकि उन्हें उनकी गतिविधियों के लिए जिम्मेदार ठहराया जा सके और डेटा सुरक्षा घटनाओं की उचित जाँच संभव हो सके।
6. ऑडिट।
   1. ऑडिट। सप्लायर को Uber को, उचित पूर्व लिखित सूचना और कार्यकारी व्यावसायिक घंटों के दौरान, अपनी लागत पर सप्लायर की सुविधाओं, नेटवर्क, सिस्टम, प्रक्रियाओं, Uber की गोपनीय जानकारी की प्रोसेसिंग और इस एग्रीमेंट के अनुपालन का ऑडिट करने की अनुमति देनी होगी। Uber इस अधिकार का प्रयोग प्रति वर्ष अधिकतम एक बार कर सकता है, सिवाय इसके कि कोई डेटा सुरक्षा घटना हुई हो या डेटा सुरक्षा कानून या अन्य कानूनी दायित्वों का पालन करने के लिए आवश्यक हो।
   2. ऑडिट से जुड़ी ज़रूरी शर्तें। सप्लायर को पिछले पैराग्राफ में बताए गए ऑडिट में यथासंभव सहयोग करना होगा, जिसमें जानकार कर्मचारियों, भौतिक परिसर (जहाँ लागू हो), दस्तावेज़, इन्फ्रास्ट्रक्चर, और किसी भी एप्लिकेशन सॉफ़्टवेयर तक पहुँच प्रदान करना शामिल है, जो Uber की गोपनीय जानकारी प्रोसेस करता है या अन्यथा Uber की सुविधाओं, नेटवर्क, सिस्टम, प्रक्रियाओं तक पहुँच रखता है। इस प्रकार के ऑडिट (या ऑडिट करने वाले तृतीय पक्ष की फीस और खर्च) की लागत और व्यय के लिए Uber जिम्मेदार होगा, सिवाय इसके कि यह ऑडिट मुख्य एग्रीमेंट सहित इस एग्रीमेंट के किसी महत्वपूर्ण उल्लंघन का पता लगाए या किसी उल्लंघन के कारण शुरू किया गया हो, ऐसी स्थिति में सप्लायर Uber को ऐसे खर्चों और व्यय की प्रतिपूर्ति करेगा। सप्लायर को किसी भी ऐसे ऑडिट में पहचानी गई सभी कमियों को तुरंत ठीक करना और सुधारना होगा।
7. सब-प्रोसेसर
   1. अनुमत सब-प्रोसेसर। सप्लायर किसी भी सब-प्रोसेसर को Uber की गोपनीय जानकारी प्रोसेस करने की अनुमति नहीं देगा, सिवाय उन सब-प्रोसेसरों के जिन्हें जोखिम मूल्यांकन के दौरान पहचाना गया हो। अगर सप्लायर किसी अन्य सब-प्रोसेसर को शामिल करना चाहता है, तो उसे Uber को सूचित करना होगा, जिसमें यह भी बताया जाएगा कि वह Uber की गोपनीय जानकारी किस उद्देश्य के लिए प्रोसेस करेगा, और यह नोटिस किसी भी प्रोसेसिंग से कम से कम 30 दिन पहले दिया जाना चाहिए। अगर Uber इस शामिल करने पर आपत्ति नहीं जताता है, तो इसे ऐसे शामिल करने की मंजूरी मान लिया जाएगा।
      
   2. सब-प्रोसेसर की बाध्यताएँ। सप्लायर को प्रत्येक सब-प्रोसेसर के साथ Uber की गोपनीय जानकारी की प्रोसेसिंग से पहले ऐसा एग्रीमेंट करना होगा, जिसमें ऐसे दायित्व शामिल हों जो इस एग्रीमेंट के तहत सप्लायर पर लगाए गए दायित्वों से कम कठोर न हों और कम से कम उतनी ही सुरक्षा प्रदान करें। Uber ऐसी एग्रीमेंट की प्रति रिक्‍वेस्‍ट कर सकता है, और अगर सप्लायर ऐसी एग्रीमेंट प्रदान नहीं करता या इसमें Uber की गोपनीय जानकारी की पर्याप्त सुरक्षा नहीं है, तो ऐसे सब-प्रोसेसर के उपयोग की अनुमति रोक सकता है। सप्लायर ऐसी एग्रीमेंट को Uber के साथ साझा करने से पहले आवश्यकतानुसार अपने व्यापार रहस्य या गोपनीय जानकारी की सुरक्षा के लिए संशोधित कर सकता है।
      
   3. डेटा सुरक्षा कानूनों के साथ सब-प्रोसेसर अनुपालन। यह पक्का करना सप्लायर की ज़िम्मेदारी है कि वे Uber के निजी डेटा को सब-प्रोसेसर से प्रोसेस करने से जुड़े लागू डेटा सुरक्षा कानूनों का पालन करें।
      
   4. दायित्व। सप्लायर द्वारा सब-प्रोसेसर का इस्तेमाल इस अनुबंध के तहत सप्लायर की ज़िम्मेदारी को प्रभावित या सीमित नहीं करता है।
8. क्षतिपूर्ति मुख्य एग्रीमेंट में अन्यथा निर्धारित न होने पर, कंपनी सहमत है कि वह Uber, इसके निदेशकों, अधिकारियों, कर्मचारियों और एजेंट्स को किसी भी और सभी हानियों, नुकसान, शुल्क और व्यय से पूरी तरह सुरक्षित रखेगी, बचाव करेगी और क्षतिपूर्ति करेगी, जो किसी भी दावे से उत्पन्न होते हैं या उससे संबंधित हैं, जो कंपनी के द्वारा Uber के व्यक्तिगत डेटा का नुकसान, परिवर्तन या दुरुपयोग, अनधिकृत पहुँच, विनाश या प्रकटीकरण या इस डीपीए के सेक्शन 4 का उल्लंघन करने से उत्पन्न होते हैं।
9. बड़ी मात्रा में अमेरिकी डेटा के ट्रांसफ़र पर प्रतिबंध संवेदनशील व्यक्तिगत डेटा
   1. परिभाषाएँ इस सेक्शन 2.8 के उद्देश्यों के लिए:-
      1. “ऐक्सेस (Access),” “बड़ी मात्रा (Bulk),” “बड़ी मात्रा वाला यू.एस. डेटा (Bulk U.S.)” शब्द “संवेदनशील व्यक्तिगत डेटा (Sensitive Personal Data),” “संदर्भित देश (Country of Concern),” “आवृत डेटा लेनदेन (Covered Data Transaction),” “आवृत व्यक्ति (Covered Person),” “डेटा ब्रोकरेज (Data Brokerage),” “सरकारी संबंधित डेटा (Government-related Data),” और “यू.एस. व्यक्ति (U.S. person)” शब्दों का अर्थ यू.एस. कानून में वर्णित अर्थ के अनुसार होगा। न्याय विभाग (Department of Justice) का संवेदनशील डेटा नियम,28 C.F.R. भाग 202;
         
      2. आवृत डेटा “(Covered Data) से तात्पर्य “बड़ी मात्रा वाला यू.एस. डेटा (Bulk U.S.)” होगा। “संवेदनशील व्यक्तिगत डेटा” और/या “सरकारी संबंधित डेटा।”
         
      3. “आवृत इकाई (Covered Entity)” से तात्पर्य किसी भी “आवृत व्यक्ति (Covered Person)” या “संदर्भित देश (Country of Concern)” से होगा।
   2. अगर सप्लायर को मुख्य एग्रीमेंट के संबंध में आवृत डेटा तक ऐक्सेस प्रदान किया जाता है, तो सप्लायर यह प्रतिनिधित्व और वारंटी देता है कि:
      1. वह कोई आवृत इकाई नहीं है।
         
      2. सप्लायर किसी भी आवृत डेटा लेनदेन में उस डेटा की डेटा ब्रोकरेज के संबंध में किसी भी आवृत इकाई के साथ शामिल नहीं होगा।
         
      3. जब तक Uber द्वारा स्पष्ट रूप से अनुमति न दी गई हो या 28 C.F.R. भाग 202 के तहत अन्यथा अनुमति न हो, (A) किसी भी आवृत संस्था को ऐसे आवृत डेटा तक ऐक्सेस की अनुमति नहीं देगा; और (B) किसी भी उप-प्रोसेसर को किसी आवृत संस्था को आवृत डेटा तक ऐक्सेस प्रदान करने से रोकेगा।
         
      4. 28 C.F.R. भाग 202 के संबंध में Uber द्वारा लागू की गई किसी भी एन्क्रिप्शन, मास्किंग, पहचान-रहित या निजता बढ़ाने वाली रणनीतियों या सुरक्षा नियंत्रणों को दरकिनार नहीं करेगा और न ही ऐसा करने का प्रयास करेगा।
         
      5. यह सेक्शन 2.8 या 28 C.F.R. भाग 202 के अनुपालन के संबंध में, जिसमें Uber द्वारा की गई कोई भी जांच भी शामिल है, Uber द्वारा युक्तिसंगत रूप से रिक्‍वेस्‍ट की गई किसी भी जानकारी को Uber को प्रदान करेगा।
         

सेक्शन 3:- ज़रूरतें:- UBER का व्यक्तिगत डेटा

1. पार्टियों की भूमिका:- जब तक मुख्य एग्रीमेंट में अन्यथा निर्दिष्ट न हो, पार्टी यह स्वीकार करती हैं और सहमत होती हैं कि मुख्य एग्रीमेंट^[1] के संबंध में प्रोसेस किए गए Uber व्यक्तिगत डेटा का कंट्रोलर Uber है, और सप्लायर उस प्रोसेसिंग के संबंध में एक प्रोसेसर और/या सेवा प्रदाता है।
2. सामान्य ज़रूरतें:- सप्लायर यह स्वीकार करते हैं और सहमति देते हैं कि:
   1. Uber व्‍यक्तिगत डेटा के उनके प्रोसेसिंग से संबंधित लागू डेटा सुरक्षा कानूनों के तहत सभी ज़रूरतों को समझता है और उनका पालन करेगा।
   2. अगर Uber को यह पता चलता है कि वह अब लागू होने वाले डेटा सुरक्षा कानूनों के तहत अपने दायित्वों को पूरा नहीं कर सकता है, जब तक कि कानून द्वारा अन्यथा आवश्यक न हो, तो वह Uber को सूचित करेगा। ऐसा नोटिस मिलने पर, Uber सप्लायर की Uber व्यक्तिगत डेटा की प्रोसेसिंग को रोकने और उस प्रोसेसिंग से उत्पन्न होने वाले Uber डेटा विषयों के किसी भी जोखिम को सुधारने के लिए युक्तिसंगत और उपयुक्त कदम उठा सकता है, और सप्लायर ऐसे कदमों (जहाँ लागू हो, उस प्रोसेसिंग को रोकने सहित) के संबंध में Uber की युक्तिसंगत सहायता करेगा।
      
   3. मुख्य एग्रीमेंट के तहत अपनी जिम्मेदारियों को निभाने के लिए आवश्यक होने के अलावा, पक्षों द्वारा लिखित रूप में अन्यथा सहमति न होने पर, Uber व्यक्तिगत डेटा को किराए पर नहीं देगा, बेचेगा, शेयर करेगा, प्रकट करेगा, अन्य डेटा के साथ संयोजन नहीं करेगा या किसी अन्य उद्देश्य के लिए प्रोसेस नहीं करेगा।
      
   4. सप्लायर को प्रदान किए गए या उसके द्वारा एकत्र किए गए किसी भी पहचान-रहित डेटा का इस्‍तेमाल करके किसी भी Uber डेटा विषय की फिर से पहचान करने का प्रयास नहीं करेगा।
      
   5. किसी भी सप्लायर के कर्मचारी को Uber व्यक्तिगत डेटा प्रोसेस करने की अनुमति नहीं देगा, सिवाय इसके कि उस कर्मचारी ने Uber व्यक्तिगत डेटा की गोपनीयता बनाए रखने पर सहमति दी हो या ऐसा कर्मचारी कानून द्वारा Uber व्यक्तिगत डेटा की गोपनीयता बनाए रखने के लिए बाध्य हो।
3. प्रोसेसर / सेवा देने वाली कंपनी / ठेकेदार की ज़रूरतें:- अगर सप्लायर को मुख्य एग्रीमेंट में प्रोसेसर, सेवा प्रदाता या ठेकेदार के रूप में निर्दिष्ट किया गया है, तो वह उस निर्दिष्ट भूमिका के अनुसार प्रोसेस किए गए किसी भी Uber व्यक्तिगत डेटा के संबंध में निम्नलिखित करेगा:-
   
   1. अगर सप्लायर को प्रोसेसर और/या सेवा प्रदाता के रूप में निर्दिष्ट किया गया है, तो वह:- (a) केवल Uber की लिखित निर्देशों के अनुसार ऐसी भूमिकाओं में Uber व्यक्तिगत डेटा को प्रोसेस करेगा, सिवाय इसके कि कानून द्वारा अन्यथा आवश्यक हो; और (b) किसी भी उप-प्रोसेसर या अन्य तृतीय पक्ष के अपने उद्देश्यों के लिए, या मशीन लर्निंग मॉडल, आर्टिफ़िशियल इंटेलिजेंस सिस्टम या समान तकनीकों के प्रशिक्षण, विकास, या परिष्करण के उद्देश्य से, Uber व्यक्तिगत डेटा की कोई कॉपी या पुनरुत्पादन नहीं करेगा।
      
   2. सप्लायर की व्यक्तिगत डेटा प्रोसेसिंग के संदर्भ में, Uber की युक्तिसंगत और उपयुक्त सहायता करना, ताकि वह:
      1. Uber की लागू होने वाली GDPR की अनुच्छेद 32 से 36 के तहत जिम्मेदारियों को पूरा करना, या अन्य लागू डेटा सुरक्षा कानूनों के समकक्ष जिम्मेदारियों को पूरा करना; और
         
      2. और लागू डेटा सुरक्षा कानूनों के अनुपालन को प्रदर्शित करना, जिसमें लागू होने पर GDPR का अनुच्छेद 28 भी शामिल है।
         
   3. Uber को युक्तिसंगत और उपयुक्त कदम उठाने की अनुमति देना, ताकि यह सुनिश्चित किया जा सके कि सप्लायर Uber व्यक्तिगत डेटा का उपयोग लागू डेटा सुरक्षा कानूनों के तहत अपनी जिम्मेदारियों के अनुरूप करे और Uber व्यक्तिगत डेटा के अनधिकृत उपयोग को रोकने और सुधारने के लिए कदम उठाए।
      
   4. जब तक कानून द्वारा अन्यथा आवश्यक न हो, किसी भी Uber डेटा विषय या सप्लायर या Uber पर अधिकार रखने वाले किसी सरकारी या नियामक निकाय द्वारा सप्लायर की Uber व्यक्तिगत डेटा प्रोसेसिंग से संबंधित किसी भी रिक्‍वेस्‍ट की सूचना तुरंत Uber को देना, और ऐसे रिक्‍वेस्‍ट या मांग के उत्तर में Uber के साथ सहयोग करना।
4. नियंत्रक से जुड़ी ज़रूरी शर्तें: अगर सप्लायर को मुख्य एग्रीमेंट में नियंत्रक के रूप में निर्दिष्ट किया गया है, तो वह स्वीकार करता है और सहमत होता है कि वह:-
   1. डेटा सुरक्षा कानूनों के तहत Uber निजी डेटा का एक स्वतंत्र नियंत्रक है।
      
   2. Uber के निजी डेटा को प्रोसेस करने के मकसद और तरीके तय करेगा।
      
   3. अपने स्वयं के अनुपालन के लिए जिम्मेदार है, जिसमें लागू डेटा सुरक्षा कानूनों के तहत अपने प्रोसेसिंग से संबंधित डेटा विषयों को उनके व्यक्तिगत डेटा की प्रोसेसिंग की सूचना देना, उनके अधिकारों का प्रयोग कैसे किया जा सकता है यह बताना और आवश्यक किसी भी सहमति को प्राप्त करना शामिल है।
      
   4. Uber व्यक्तिगत डेटा की प्रोसेसिंग के संबंध में, लागू डेटा सुरक्षा कानूनों के तहत उस पर लागू होने वाली सभी जिम्मेदारियों का पालन करेगा।
5. सीमा-पार ट्रांसफ़र:- अगर सप्लायर के व्‍यक्तिगत डेटा को प्रोसेस करने में Uber डेटा विषयों के निजी डेटा का ट्रांसफ़र शामिल है:-
   1. यह ऐसे ट्रांसफ़र पर लागू होने वाले सभी लागू डेटा सुरक्षा कानूनों का पालन करेगा।
      
   2. जहाँ लागू हो, उन Uber डेटा विषयों के स्थान के आधार पर जिनका व्यक्तिगत डेटा ट्रांसफ़र किया जाएगा, इस एग्रीमेंट के परिशिष्ट 2 में निर्धारित आवश्यकताओं का पालन करेगा।

सेक्शन 4:- विविध

1. लागू होने की तारीख:- यह अनुबंध मुख्य अनुबंध के निष्पादन की तारीख से प्रभावी है।
2. समाप्ति और उत्तरजीविता: मुख्य एग्रीमेंट में किसी भी विपरीत प्रावधान के बावजूद, यह एग्रीमेंट और इसके सभी प्रावधान तब तक लागू रहेंगे, जब तक और जिस हद तक सप्लायर Uber गोपनीय जानकारी को प्रोसेस करता है या रखता है।
   
3. गैर-अनुपालन। अगर Uber इस एग्रीमेंट का पालन नहीं कर पाता है, तो सप्लायर को तुरंत इसकी जानकारी देनी होगी। अगर सप्लायर युक्तिसंगत अवधि के भीतर पालन नहीं कर सकता, या सप्लायर इस एग्रीमेंट या इसके तहत अपनी जिम्मेदारियों का गंभीर या लगातार उल्लंघन कर रहा है, तो Uber को यह एग्रीमेंट और मुख्य एग्रीमेंट को समाप्त करने का अधिकार होगा, जहाँ तक यह Uber गोपनीय जानकारी की प्रोसेसिंग से संबंधित है; हालांकि, सेक्शन 2.9 का कोई भी उल्लंघन एक महत्वपूर्ण उल्लंघन माना जाएगा और Uber को मुख्य एग्रीमेंट को तुरंत समाप्त करने का अधिकार होगा।
4. अप्रभावी प्रावधान। अगर इस एग्रीमेंट के किसी व्यक्तिगत प्रावधान अप्रभावी हैं या हो जाते हैं, तो शेष प्रावधानों की प्रभावशीलता पर कोई असर नहीं पड़ेगा। पक्ष अप्रभावी प्रावधान को एक कानूनी रूप से अनुमत प्रावधान से बदलेंगे, जो व्यावसायिक उद्देश्य को यथासंभव नज़दीकी तरीके से पूरा करेगा।
   
5. संघर्ष। अगर किसी टकराव की स्थिति उत्पन्न होती है, तो: (i) इस एग्रीमेंट और मुख्य एग्रीमेंट के बीच, इस एग्रीमेंट को प्राथमिकता होगी; और (ii) Uber और सप्लायर के बीच HIPAA के तहत किसी बिजनेस एसोसिएट एग्रीमेंट (BAA) के मामले में, BAA को प्राथमिकता होगी।
   
6. लागू कानून और क्षेत्राधिकार। मुख्य एग्रीमेंट में बताए गए लागू कानून और क्षेत्राधिकार इस अनुबंध पर लागू होते हैं।

परिशिष्ट 1
संगठनात्मक/प्रशासनिक, भौतिक और तकनीकी उपाय

1. संगठनात्मक/प्रशासनिक सुरक्षा उपाय:- सप्लायर ने लागू किए हैं, और अपनी Uber गोपनीय जानकारी की प्रोसेसिंग के दौरान यथासंभव बनाए रखेगा और उपयुक्त रूप से अपडेट करेगा (बशर्ते कि ऐसे अपडेट Uber गोपनीय जानकारी की सुरक्षा के उपायों को कम या कमजोर न करें):-
   1. एक व्यापक सूचना और नेटवर्क सुरक्षा प्रोग्राम, जो नीतियों, प्रथाओं और प्रक्रियाओं से मिलकर बना है और जो सेवाओं को नियंत्रित करता है (सामूहिक रूप से “डेटा सुरक्षा प्रोग्राम”), जो: (i) वर्तमान सर्वोत्तम प्रथाओं को पूरा करता है; (ii) सभी लागू डेटा सुरक्षा कानूनों का पालन करता है; (iii) जहाँ लागू हो, पेमेंट कार्ड इंडस्ट्री डेटा सुरक्षा स्टैंडर्ड (PCI DSS) का पालन करता है; (iv) ISO 27000, NIST 800-53, CIS टॉप 20 या HITRUST सुरक्षा स्टैंडर्ड के अनुरूप या उसके साथ संरेखित है; और (v) जहाँ लागू हो, यू.एस. के साथ अनुपालन करता है। न्याय विभाग संवेदनशील डेटा नियम, 28 C.F.R. भाग 202। सप्लायर अपनी डेटा सुरक्षा प्रोग्राम की दस्तावेज़ीकरण Uber को रिक्‍वेस्‍ट पर उपलब्ध कराएगा।
   2. एक दस्तावेज़ीकृत डेटा लॉस प्रिवेंशन प्रोग्राम, जो डेटा सुरक्षा घटनाओं के जोखिम का पता लगाने, रोकने और कम करने के लिए डिज़ाइन किया गया है, जिसमें न्यूनतम रूप से निम्नलिखित शामिल होंगे:-
      1. उपयुक्त नीतियाँ और तकनीकी नियंत्रण, जो Uber गोपनीय जानकारी की हानि को रोकने के लिए डिज़ाइन किए गए हों; और
      2. एक डिजास्टर रिकवरी/व्यावसायिक निरंतरता योजना, जो Uber गोपनीय जानकारी की निरंतर ऐक्सेस, रखरखाव और स्‍टोरेज के साथ-साथ बैक-अप साइट्स और वैकल्पिक संचार नेटवर्क की सुरक्षा आवश्यकताओं को संबोधित करता हो।
   3. नीतियाँ और प्रक्रियाएँ, ताकि Uber गोपनीय जानकारी का ऐक्‍सेस केवल उन लोगों तक सीमित रहे, जिन्हें मुख्य एग्रीमेंट के संबंध में अपनी भूमिकाएँ और जिम्मेदारियाँ निभाने के लिए ऐसे ऐक्सेस की आवश्यकता है।
   4. प्रभावी प्रमाणीकरण विधियों के ज़रिए सभी ऐक्सेस अधिकारों को वेरिफ़ाई करने की प्रक्रियाएँ।
   5. एक प्रक्रिया, ताकि किसी भी सप्लायर प्रोसेसर या उप-प्रोसेसर के पास Uber गोपनीय जानकारी तक ऐक्‍सेस होने पर हर दो साल में कम से कम एक बार सूचना सुरक्षा जोखिम आकलन किया जा सके। ऐसे प्रोसेसर / सब-प्रोसेसर के पास Uber गोपनीय जानकारी की सुरक्षा के लिए सूचना सुरक्षा नियंत्रण ऐसे होने चाहिए जो इस एग्रीमेंट में निर्दिष्ट आवश्यकताओं से कम सुरक्षित न हों। Uber किसी भी सब-प्रोसेसर पर सप्लायर द्वारा किए गए ऐसे जोखिम आकलन की एक प्रति रिक्‍वेस्‍ट कर सकता है, और अगर आकलन यह दर्शाता है कि सब-प्रोसेसर के पास Uber गोपनीय जानकारी की सुरक्षा के लिए पर्याप्त सूचना सुरक्षा नियंत्रण नहीं हैं, तो ऐसे सब-प्रोसेसर के उपयोग के लिए सहमति रोक सकता है।
   6. सप्लायर के कर्मचारियों के लिए एक सुरक्षा जागरूकता प्रोग्राम, जिसमें सूचना सुरक्षा से संबंधित विषयों पर नियमित प्रशिक्षण शामिल हो, जैसे कि सुरक्षित डेटा हैंडलिंग, पासवर्ड और क्रेडेंशियल्स की सुरक्षा, सोशल इंजीनियरिंग, और संभावित सुरक्षा घटनाओं की पहचान और रिपोर्ट कैसे करें।
   7. एक निरंतर वर्ननेरेबिलिटी मैनेजमेंट प्रोग्राम, जो खोजी गई कमजोरियों के सुधार को प्राथमिकता देने के लिए उद्योग-स्टैंडर्ड रिस्क-रेटिंग प्रक्रिया का उपयोग करता है। अगर कोई ऐसी वर्ननेरेबिलिटी का पता चलता है जो Uber गोपनीय जानकारी की गोपनीयता, उपलब्धता या अखंडता को प्रभावित कर सकती है, तो रिक्‍वेस्‍ट पर, सप्लायर पर्याप्त प्रमाण प्रदान करेगा, ताकि दिखाया जा सके कि वह वर्ननेरेबिलिटी को सुधार चुका है और Uber यह निर्धारित कर सके कि क्या कोई डेटा सुरक्षा घटना हुई है।
   8. एक सुरक्षित एसेट मैनेजमेंट प्रोग्राम, जो उद्योग-स्टैंडर्ड सुरक्षा बेसलाइन को लागू करता है, जिसमें एसेट वर्गीकरण और उन उपकरणों/सिस्टमों का इन्वेंटरी शामिल है, जहाँ Uber गोपनीय जानकारी प्रोसेस की जाती है।
   9. डेटा सुरक्षा घटनाओं का समय पर पता लगाने, पहचानने, रिपोर्ट करने, प्रतिक्रिया देने, कम करने और सुधारने के लिए औपचारिक, लिखित प्रक्रियाएं, जिसमें सिस्टम एडमिनिस्ट्रेटर सहित सप्‍लायर के कार्यबल के लिए घटना से निपटने वाली टीम को असामान्य घटनाओं की रिपोर्ट करने और आवश्यकता पड़ने पर प्रभावित व्यक्तियों और संस्थाओं, नियामकों और जनता के अन्य सदस्यों को सूचित करने की प्रक्रियाएं शामिल होंगी।
   10. घटना का सिमुलेशन, जैसे कि टेबलटॉप या रेड टीम अभ्यास, जो नियमित आधार पर योजनाबद्ध और संचालित किए जाते हैं।
   11. प्रवेश परीक्षणों के लिए एक स्थापित प्रोग्राम, जिसमें क्लाइंट-आधारित और वेब-एप्लिकेशन जैसे मिश्रित हमलों का पूर्ण दायरा शामिल हो।
   12. क्लाउड सेवाओं के लिए एक गवर्नेंस और जोखिम प्रबंधन प्रोग्राम, ताकि बेसलाइन सुरक्षा कॉन्फ़िगरेशन और सुरक्षा उपाय सक्षम हों।
   13. इस्तेमाल में रहे प्रोग्रामिंग भाषा के अनुसार सुरक्षित कोडिंग प्रथाएँ अपनाना और सभी कर्मचारियों को सुरक्षित कोड लिखने का प्रशिक्षण प्रदान करना।
   14. एक सरकारी एजेंसी डेटा ऐक्‍सेस नीति, जो डेटा तक सरकारी ऐक्‍सेस को अस्वीकार करती है, सिवाय इसके कि ऐसा ऐक्‍सेस कानून द्वारा आवश्यक हो, या जहाँ व्यक्तियों को गंभीर नुकसान का तुरंत खतरा हो।
   15. नीतियाँ और प्रक्रियाएँ, ताकि सरकारी एजेंसी के डेटा रिक्‍वेस्‍ट के लिए कानूनी आधार का मूल्यांकन किया जा सके और उन पर प्रतिक्रिया दी जा सके।
   16. उन कर्मचारियों का विशेष प्रशिक्षण, जो डेटा तक सरकारी एजेंसी के ऐक्‍सेस रिक्‍वेस्‍ट को प्रबंधित करने के लिए जिम्मेदार हैं, जिसमें लागू डेटा सुरक्षा कानूनों के तहत आवश्यकताएँ शामिल हो सकती हैं।
   17. प्रोसेसेस, ताकि सरकारी एजेंसी के डेटा रिक्‍वेस्‍ट, दिए गए उत्तर, और शामिल सरकारी प्राधिकरणों को दस्तावेज़ीकृत और रिकॉर्ड किया जा सके।
   18. प्रक्रियाएँ, ताकि किसी भी सरकारी एजेंसी के डेटा ऐक्‍सेस रिक्‍वेस्‍ट या आवश्यकता के बारे में Uber को सूचित किया जा सके, जब तक कि कानून द्वारा ऐसा प्रतिबंधित न हो।
2. शारीरिक सुरक्षा के उपाय
   1. सप्लायर ने लागू किए हैं, और अपनी Uber गोपनीय जानकारी की प्रोसेसिंग के दौरान यथासंभव बनाए रखेगा और अपडेट करेगा, किसी भी सुविधा के लिए उपयुक्त भौतिक सुरक्षा उपाय, जिसका उपयोग Uber गोपनीय जानकारी की प्रोसेसिंग के लिए किया जाता है, और भौतिक अवसंरचना, व्यवसाय और ज्ञात खतरों में किसी भी परिवर्तन की निरंतर निगरानी करेगा।
3. तकनीकी सुरक्षा उपाय:- सप्लायर अपनी Uber गोपनीय जानकारी की प्रोसेसिंग के दौरान निम्नलिखित करेगा:-
   1. Uber गोपनीय जानकारी की प्रोसेसिंग में उपयोग किए जाने वाले एप्लिकेशन और अवसंरचना पर वर्ननेरेबिलिटी स्कैनिंग और आकलन करना।
   2. अनधिकृत ऐक्‍सेस से सुरक्षा के लिए अपने कंप्यूटर नेटवर्क को कई स्तरों के ऐक्‍सेस नियंत्रण, जिसमें मल्टी-फैक्टर ऑथेंटिकेशन शामिल है, का उपयोग करके सुरक्षित रखना।
   3. प्रबंधन की मंजूरी, मज़बूत नियंत्रण, लॉगिंग और ऐक्‍सेस घटनाओं की निगरानी और अनुवर्ती ऑडिट जैसे सिस्‍टम के ज़रिये ऐक्‍सेस को प्रतिबंधित करना, लेकिन इन्हीं तक सीमित नहीं।
   4. सभी ऐसे सिस्टमों पर इवेंट लॉग्स लागू करना और बनाए रखना, जो Uber गोपनीय जानकारी को प्रोसेस करते हैं, और पर्याप्त विस्तृत हों ताकि सप्लायर यह निर्धारित कर सके कि कोई डेटा सुरक्षा घटना हुई है या नहीं और उस घटना के संभावित परिणाम क्या हैं, जिसमें शामिल हैं लेकिन केवल इन्हीं तक सीमित नहीं: क्या Uber गोपनीय जानकारी तक ऐक्‍सेस, अधिग्रहण, संशोधन या डिलीट किया गया। ये इवेंट लॉग्स कम से कम तेरह (13) महीने तक बनाए रखे जाएंगे और रिक्‍वेस्‍ट पर सात (7) कैलेंडर दिनों के भीतर Uber को उपलब्ध कराए जाएंगे। अगर लॉग्स में अन्य संस्थाओं या ग्राहकों से संबंधित इवेंट जानकारी शामिल है, तो सप्लायर को रिक्‍वेस्‍ट पर Uber इवेंट लॉग डेटा को अलग करने में सक्षम होना चाहिए।
   5. अन्य कंप्यूटर सिस्टम और एप्लिकेशन की पहचान करना जिनमें सुरक्षा इवेंट मॉनिटरिंग और लॉगिंग की आवश्यकता है, और लॉग फाइलों को यथासंभव बनाए रखना।
   6. इवेंट लॉग्स की समीक्षा और विश्लेषण करना, सतत, स्वचालित मॉनिटरिंग और अलर्टिंग प्रक्रियाओं का उपयोग करके, ताकि असामान्य घटनाओं और गतिविधियों का पता लगाया जा सके, उन पर प्रतिक्रिया दी जा सके और जांच की जा सके।
   7. अपनी सभी उन सिस्टमों पर जो Uber गोपनीय जानकारी को प्रोसेस करते हैं, अप-टू-डेट, उद्योग-स्टैंडर्ड, कमर्शियल वायरस/मैलवेयर स्कैनिंग सॉफ़्टवेयर का उपयोग करना, जो दुर्भावनापूर्ण कोड की पहचान करता हो।
   8. नेटवर्क सीमा और अंतर-नेटवर्क सुरक्षा लागू करें।
   9. ट्रांज़िट में Uber की गोपनीय जानकारी को एन्क्रिप्ट करें।
   10. Uber गोपनीय जानकारी को स्टोर किए जाने पर एन्क्रिप्ट करना और सभी एन्क्रिप्शन कुंजियों का केवल स्वयं प्रबंधन और सुरक्षा करना (यानी किसी अन्य तृतीय पक्ष को इन एन्क्रिप्शन कुंजियों तक ऐक्‍सेस नहीं होगा, जिसमें प्रोसेसर या सब-प्रोसेसर शामिल हैं)।

परिशिष्ट 2
सीमा पार से ट्रांसफ़र

जब तक पक्षों द्वारा अन्यथा सहमति न दी गई हो, यह परिशिष्ट 2 उन तंत्रों को परिभाषित करता है, जिन्हें पक्ष लागू करेंगे ताकि आवश्यक होने पर डेटा सुरक्षा कानूनों के तहत व्यक्तिगत डेटा का सीमा-पार ट्रांसफ़र सक्षम हो सके। विशेष रूप से, जहाँ सेवाओं के लिए निम्नलिखित देशों में Uber डेटा विषयों के व्यक्तिगत डेटा का ट्रांसफ़र आवश्यक हो, और पक्ष निम्नलिखित पर सहमत हों:-

1. EEA या स्विट्ज़रलैंड। अगर सप्लायर की सेवाओं में EEA या स्विट्ज़रलैंड में स्थित Uber डेटा विषयों के व्यक्तिगत डेटा का ऐसे देश या क्षेत्र में ट्रांसफ़र शामिल है, जिसे यूरोपीय आयोग ने पर्याप्त डेटा सुरक्षा स्तर प्रदान करने वाला नहीं माना है, तो पक्ष इस एग्रीमेंट में स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़ेस (“SCCs”), जून 4, 2021, जिसे यूरोपीय आयोग ने अनुमोदित किया है, को शामिल करेंगे और उसका पालन करने पर सहमत होंगे, जब तक कि पक्षों द्वारा इस एग्रीमेंट में अन्यथा सहमति न दी गई हो। अगर SCCs को इस तरह शामिल किया गया है:-
   1. अगर सप्लायर को नियंत्रक के तौर पर नामित किया गया है, तो मॉड्यूल 1 (नियंत्रक से नियंत्रक) लागू होगा;
   2. अगर सप्लायर को प्रोसेसर के तौर पर नामित किया गया है, तो मॉड्यूल 2 (नियंत्रक से प्रोसेसर तक) लागू होगा;
   3. वैकल्पिक डॉकिंग क्लॉज़ (क्लॉज़ 7) लागू नहीं होगा;
   4. क्लॉज़ 11 (निवारण) में दी गई वैकल्पिक भाषा लागू नहीं होगी;
   5. क्लॉज़ 17 (शासी कानून) के उद्देश्यों के लिए शासी कानून नीदरलैंड का कानून होगा;
   6. क्लॉज़ 18 (फोरम और अधिकार क्षेत्र का चयन) के तहत न्यायालय नीदरलैंड्स के न्यायालय होंगे, जब तक कि पक्षों द्वारा मुख्य एग्रीमेंट में अन्यथा सहमति न दी गई हो; और
   7. SCCs के क्लॉज़ 13 (निरीक्षण) के उद्देश्यों के लिए सक्षम सुपरवाइजरी अथॉरिटी डच डेटा प्रोटेक्शन अथॉरिटी (Autoriteit Persoonsgegevens) होगी, जब तक कि पक्षों द्वारा मुख्य एग्रीमेंट में अन्यथा सहमति न दी गई हो।
   8. पक्ष यह प्रतिनिधित्व करते हैं कि उन्हें विश्वास नहीं है कि किसी भी ऐसे देश के कानून और प्रथाएँ, जहाँ मुख्य एग्रीमेंट के उद्देश्यों के लिए Uber व्यक्तिगत डेटा का ट्रांसफ़र किया जाता है, सप्लायर को SCCs के तहत अपनी जिम्मेदारियाँ निभाने से रोकेंगी।
   9. SCCs के परिशिष्ट 1 के स्थान पर, पक्ष सहमत हैं कि:-
      1. डेटा एक्सपोर्टर के रूप में Uber और डेटा इम्पोर्टर के रूप में सप्लायर की पहचान और संपर्क विवरण मुख्य एग्रीमेंट और इस एग्रीमेंट में निर्दिष्ट हैं।
         
      2. प्रोसेसिंग की प्रकृति और उद्देश्य सेवाओं के लिए या मुख्य एग्रीमेंट या इस एग्रीमेंट में अन्यथा निर्दिष्ट अनुसार हैं।
      3. Uber व्यक्तिगत डेटा को सप्लायर द्वारा मुख्य एग्रीमेंट या इस एग्रीमेंट में निर्दिष्ट अनुसार रखा जाएगा।
      4. Uber डेटा विषयों की श्रेणियाँ, और ट्रांसफ़र किए गए Uber व्यक्तिगत डेटा की श्रेणियाँ, वे हैं जो Uber व्यक्तिगत डेटा को प्रोसेस करने से पहले किए गए जोखिम आकलन में दस्तावेज़ीकृत हैं।
      5. SCCs के परिशिष्ट 2 के स्थान पर, पक्ष इस एग्रीमेंट के परिशिष्ट 1 का पालन करने पर सहमत हैं।
      6. SCCs के परिशिष्ट 3 (यदि लागू हो) के स्थान पर, पक्ष सहमत हैं कि Uber व्यक्तिगत डेटा के अधिकृत सब-प्रोसेसर वे हैं जो Uber व्यक्तिगत डेटा को प्रोसेस करने से पहले किए गए जोखिम आकलन में पहचाने गए हैं, या जैसा कि इस एग्रीमेंट या मुख्य एग्रीमेंट में अन्यथा निर्दिष्ट है।
2. यूनाइटेड किंगडम:- अगर सप्लायर की सेवाओं में यूके में स्थित Uber डेटा विषयों के व्यक्तिगत डेटा का ऐसे अधिकार क्षेत्र में ट्रांसफ़र शामिल है, जिसे पर्याप्त डेटा सुरक्षा स्तर प्रदान करने वाला नहीं माना गया है, तो SCCs लागू होंगे, बशर्ते कि यूके स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़ेस के यूके एडेंडम के नियमों के अनुसार, जिसे सूचना आयुक्त कार्यालय ने यूनाइटेड किंगडम डेटा प्रोटेक्शन एक्ट 2018 (“यूके एडेंडम”) के सेक्शन 119A के तहत जारी किया है। इस तरह के यूके एडेंडम को इस एग्रीमेंट के सेक्‍शन 3.5 (b) के अधीन, जो उचित हो, सप्‍लायर और Uber के बीच निष्पादित माना जाएगा।
3. ब्राज़ील:- अगर सप्लायर की व्यक्तिगत डेटा प्रोसेसिंग में ब्राज़ील में स्थित Uber डेटा विषयों के Uber व्यक्तिगत डेटा का सीमा-पार ट्रांसफ़र शामिल है, चाहे वह पक्षों के बीच हो या तृतीय पक्षों के, तो सप्लायर यह सुनिश्चित करेगा कि सभी लागू डेटा सुरक्षा कानूनों का पालन किया जाए, जिसमें उचित कानूनी तंत्रों को अपनाना शामिल है, जैसे स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़ेस या अन्य कानूनी रूप से आवश्यक उपकरण और यह सुनिश्चित करेगा कि प्रोसेसिंग कम से कम इस एग्रीमेंट में निर्दिष्ट व्यक्तिगत डेटा के लिए समान स्तर की सुरक्षा और सुरक्षा उपाय प्रदान करे।
   1. ब्राज़ील में Uber डेटा विषयों के निजी डेटा के पक्षों के बीच सीमा-पार ट्रांसफ़र। अगर व्यक्तिगत डेटा की प्रोसेसिंग में ब्राज़ील में स्थित Uber डेटा विषयों के Uber व्यक्तिगत डेटा का सीमा-पार ट्रांसफ़र शामिल है, और वह किसी ऐसे देश या क्षेत्र में है जिसे सक्षम प्राधिकरण ने पर्याप्त डेटा सुरक्षा स्तर प्रदान करने वाला नहीं माना है, तो पक्ष यहाँ, जैसे कि पूर्ण रूप से इसमें वर्णित हो, ब्राज़ीलियन स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़ेस को शामिल करते हैं और उनका पालन करने पर सहमत हैं, जो ब्राज़ील डेटा प्रोटेक्शन अथॉरिटी द्वारा जारी रिज़ॉल्यूशन नंबर 19, 2024 के परिशिष्ट II में शामिल हैं (“Brazil SCCs”), उपलब्ध:- ब्राज़ीलियन स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़ेस। ऐसे मामलों में:-
      1. किसी भी व्यक्तिगत डेटा के सीमा-पार ट्रांसफ़र के उद्देश्यों के लिए, Uber या इसके किसी भी एफ़िलिएट को डेटा प्रोसेसिंग एजेंट माना जाएगा।
      2. ब्राज़ीलl SCCs के क्लॉज़ 1.1 में शामिल सूचना तालिकाओं को Uber और सप्लायर की योग्यता और संपर्क जानकारी से प्रतिस्थापित किया जाएगा, जैसा कि मुख्य एग्रीमेंट, इस एग्रीमेंट, और प्रत्येक पक्ष की निजता सूचना में निर्दिष्ट है।
      3. ब्राज़ील SCCs के क्लॉज़ 1.1 में पक्षों की भूमिकाओं के संबंध में दिए गए चेकबॉक्स के उद्देश्यों के लिए, “एक्सपोर्टर/नियंत्रक” चेकबॉक्स को Uber के लिए चयनित माना जाएगा। सप्लायर के लिए, वह “इम्पोर्टर” चेकबॉक्स जिसे इस एग्रीमेंट के सेक्शन 3.1 (“पक्षों की भूमिका”) के तहत या मुख्य एग्रीमेंट में निर्दिष्ट वर्गीकरण के अनुसार चुना गया हो, चयनित माना जाएगा।
      4. पक्ष सहमत हैं कि:- (i) Uber व्यक्तिगत डेटा के सीमा-पार ट्रांसफ़र का मुख्य उद्देश्य सेवाओं का निष्पादन है, जैसा कि मुख्य एग्रीमेंट या इस एग्रीमेंट में निर्दिष्ट है; (ii) ट्रांसफ़र किया गया Uber व्यक्तिगत डेटा उसी प्रकार रखा जाएगा जैसा कि मुख्य एग्रीमेंट या इस एग्रीमेंट में निर्दिष्ट है, लागू डेटा सुरक्षा कानून और प्रत्येक पक्ष की निजता सूचना के अनुसार; और (iii) Uber डेटा विषयों की श्रेणियाँ और संबंधित Uber व्यक्तिगत डेटा जो ट्रांसफ़र किए गए हैं, वे हैं जो ऐसे व्यक्तिगत डेटा की प्रोसेसिंग से पहले किए गए जोखिम आकलन में दस्तावेज़ीकृत हैं। यह जानकारी ब्राज़ील SCCs के क्लॉज़ 2.1 में शामिल डेटा ट्रांसफ़र विवरण तालिका की जगह लेती है।
      5. ब्राज़ील SCCs के क्लॉज़ 3.1, जो आगे के ट्रांसफ़र को संबोधित करता है, के उद्देश्यों के लिए, पक्ष सहमत हैं कि विकल्प A उन मामलों में लागू होगा जहाँ दोनों पक्ष नियंत्रक के रूप में कार्य करते हैं। जहाँ सप्लायर प्रोसेसर के रूप में कार्य करता है, विकल्प B लागू होगा, और क्लॉज़ 3.1 में वर्णित विवरण तालिका को सप्लायर द्वारा Uber व्यक्तिगत डेटा की प्रोसेसिंग से पहले किए गए जोखिम आकलन या जैसा कि मुख्य एग्रीमेंट में निर्दिष्ट है, द्वारा प्रतिस्थापित किया जाएगा।
      6. ब्राज़ील SCCs के क्लॉज़ 4.1, जो पक्षों की जिम्मेदारियों को संबोधित करता है, के उद्देश्यों के लिए, पक्ष सहमत हैं कि विकल्प A लागू होगा, और जब दोनों पक्ष नियंत्रक के रूप में कार्य करते हैं, तो एक्सपोर्टर और इम्पोर्टर दोनों “a,” “b,” और “c” में निर्दिष्ट जिम्मेदारियों को पूरा करने के लिए जिम्मेदार होंगे। जहाँ सप्लायर प्रोसेसर के रूप में कार्य करता है, ऐसी जिम्मेदारियाँ केवल Uber की होंगी।
      7. ब्राज़ील SCCs के सेक्शन III में शामिल तालिका को इस एग्रीमेंट के परिशिष्ट 1 द्वारा प्रतिस्थापित किया गया है।
   2. सऊदी अरब। अगर सप्लायर की व्यक्तिगत डेटा प्रोसेसिंग में सऊदी अरब में स्थित Uber डेटा विषयों के Uber व्यक्तिगत डेटा का ऐसे देश या क्षेत्र में ट्रांसफ़र शामिल है, जिसे सक्षम प्राधिकरण ने पर्याप्त डेटा सुरक्षा स्तर प्रदान करने वाला नहीं माना है, तो पक्ष यहाँ स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़ेस फॉर द ट्रांसफ़र ऑफ पर्सनल डेटा, संस्करण 1.0, सितंबर 2024 (“KSA SCCs”), जिसे सऊदी डेटा और AI अथॉरिटी (SDAIA) द्वारा अनुमोदित किया गया है, को शामिल करते हैं और उनका पालन करने पर सहमत हैं, जब तक कि पक्षों द्वारा इस एग्रीमेंट में अन्यथा सहमति न दी गई हो। अगर SCCs को इस तरह शामिल किया गया है:-
      1. टेम्प्लेट 1:- अगर सप्लायर को नियंत्रक के रूप में नामित किया गया है, तो (नियंत्रक से नियंत्रक) लागू होगा;
      2. टेम्प्लेट 2:- अगर सप्लायर को प्रोसेसर के रूप में नामित किया गया है, तो (नियंत्रक से प्रोसेसर) लागू होगा;
      3. क्लॉज़ 8 (प्रभुत्व कानून और अधिकार क्षेत्र) के उद्देश्यों के लिए शासन कानून सऊदी अरब के किंगडम का कानून होगा। इन क्लॉज़ों के प्रावधानों के आवेदन से उत्पन्न किसी भी विवाद का किंगडम के अधिकार क्षेत्र में समाधान किया जाएगा और यह उसके न्यायालयों में निहित होगा।;
      4. क्लॉज़ 9 (सक्षम प्राधिकरण की रिक्वेस्ट का पालन) के उद्देश्यों के लिए सक्षम प्राधिकरण सऊदी डेटा और AI अथॉरिटी (SDAIA) होगी;
      5. पक्ष यह प्रतिनिधित्व करते हैं कि उन्हें विश्वास नहीं है कि किसी भी ऐसे देश के कानून और प्रथाएँ, जहाँ मुख्य एग्रीमेंट के उद्देश्यों के लिए Uber व्यक्तिगत डेटा का ट्रांसफ़र किया जाता है, सप्लायर (“व्यक्तिगत डेटा इम्पोर्टर”) को KSA SCCs के तहत अपनी जिम्मेदारियों का पालन करने और उन्हें पूरा करने से रोकेंगी;
      6. परिशिष्ट 1 के उद्देश्यों के लिए, पक्षों की जानकारी इस एग्रीमेंट और मुख्य एग्रीमेंट में निर्दिष्ट अनुसार है। Uber को Uber डेटा विषयों के व्यक्तिगत डेटा का डेटा एक्सपोर्टर और नियंत्रक नामित किया गया है, जबकि सप्लायर को Uber डेटा विषयों के व्यक्तिगत डेटा का डेटा इम्पोर्टर नामित किया गया है, जो इस एग्रीमेंट के क्लॉज़ 3.1 “पक्षों की भूमिका” में निर्दिष्ट भूमिका निभाता है;
      7. परिशिष्ट 2 के उद्देश्यों के लिए, पक्ष सहमत हैं कि;
         1. Uber डेटा विषयों की श्रेणियाँ, और ट्रांसफ़र किए गए Uber व्यक्तिगत डेटा की श्रेणियाँ, वे हैं जो Uber व्यक्तिगत डेटा को प्रोसेस करने से पहले किए गए जोखिम आकलन में दस्तावेज़ीकृत हैं।
         2. ट्रांसफ़र का उद्देश्य सेवाओं के लिए है या जैसा कि मुख्य एग्रीमेंट या इस एग्रीमेंट में अन्यथा निर्दिष्ट है।
         3. ट्रांसफ़र किया गया Uber व्यक्तिगत डेटा सप्लायर द्वारा मुख्य एग्रीमेंट या इस एग्रीमेंट में निर्दिष्ट अनुसार रखा जाएगा।
         4. KSA SCCs के परिशिष्ट 3 के स्थान पर, पक्ष इस एग्रीमेंट के परिशिष्ट 1 का पालन करने पर सहमत हैं।

1. कृपया अपने क्षेत्र में Uber गोपनीय जानकारी के नियंत्रकों के निर्धारण के लिए Uber की निजता सूचना देखें। जहाँ Uber की ओर से यह एग्रीमेंट किसी निर्दिष्ट नियंत्रक के अलावा किसी अन्य संस्था द्वारा किया जाता है, वहाँ इसे संबंधित डेटा नियंत्रक(कों) द्वारा अधिकृत किया गया है। Uber इस एग्रीमेंट के उद्देश्यों के लिए किसी अन्य Uber सहयोगी को डेटा नियंत्रक के रूप में नामित करने का अधिकार सुरक्षित रखता है। ↑