यूनी डायरेक्ट लिमिटेड गोपनीयता मानक

1. व्याख्या

- परिभाषाएँ:

स्वचालित निर्णय-निर्माण (एडीएम): जब कोई निर्णय पूरी तरह से स्वचालित प्रसंस्करण (प्रोफाइलिंग सहित) पर आधारित होता है, जिसके कानूनी प्रभाव होते हैं या जो किसी व्यक्ति को महत्वपूर्ण रूप से प्रभावित करता है। जीडीपीआर स्वचालित निर्णय-निर्माण (जब तक कि कुछ शर्तें पूरी न हों) पर प्रतिबंध लगाता है, लेकिन स्वचालित प्रसंस्करण पर नहीं।
स्वचालित प्रसंस्करण: व्यक्तिगत डेटा के स्वचालित प्रसंस्करण का कोई भी रूप, जिसमें किसी व्यक्ति से संबंधित कुछ व्यक्तिगत पहलुओं का मूल्यांकन करने के लिए व्यक्तिगत डेटा का उपयोग शामिल है, विशेष रूप से उस व्यक्ति के कार्यस्थल पर प्रदर्शन, आर्थिक स्थिति, स्वास्थ्य, व्यक्तिगत प्राथमिकताओं, रुचियों, विश्वसनीयता, व्यवहार, स्थान या गतिविधियों से संबंधित पहलुओं का विश्लेषण या पूर्वानुमान लगाने के लिए। प्रोफाइलिंग स्वचालित प्रसंस्करण का एक उदाहरण है।
कंपनी का नाम: यूनी डायरेक्ट लिमिटेड
कंपनी कार्मिक: सभी कर्मचारी, श्रमिक [ठेकेदार, एजेंसी श्रमिक, सलाहकार,] निदेशक, सदस्य और अन्य।
सहमति: समझौता जो स्वतंत्र रूप से दिया जाना चाहिए, विशिष्ट, सूचित होना चाहिए और डेटा विषय की इच्छाओं का एक स्पष्ट संकेत होना चाहिए जिसके द्वारा वे, एक बयान या स्पष्ट सकारात्मक कार्रवाई द्वारा, उनसे संबंधित व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति दर्शाते हैं।
डेटा नियंत्रक: वह व्यक्ति या संगठन जो यह निर्धारित करता है कि व्यक्तिगत डेटा को कब, क्यों और कैसे संसाधित किया जाए। यह GDPR के अनुरूप प्रथाओं और नीतियों को स्थापित करने के लिए ज़िम्मेदार है। हम अपनी कंपनी के कर्मचारियों से संबंधित सभी व्यक्तिगत डेटा और अपने व्यावसायिक उद्देश्यों के लिए हमारे व्यवसाय में उपयोग किए जाने वाले व्यक्तिगत डेटा के डेटा नियंत्रक हैं।
डेटा विषय: एक जीवित, पहचाना गया या पहचान योग्य व्यक्ति जिसका व्यक्तिगत डेटा हमारे पास है। डेटा विषय किसी भी देश के नागरिक या निवासी हो सकते हैं और उनके व्यक्तिगत डेटा के संबंध में उनके कानूनी अधिकार हो सकते हैं।
डेटा गोपनीयता प्रभाव आकलन (DPIA): डेटा प्रोसेसिंग गतिविधि के जोखिमों की पहचान करने और उन्हें कम करने के लिए उपयोग किए जाने वाले उपकरण और आकलन। DPIA को “प्राइवेसी बाय डिज़ाइन” के एक भाग के रूप में किया जा सकता है और व्यक्तिगत डेटा के प्रसंस्करण से जुड़े सभी प्रमुख सिस्टम या व्यावसायिक परिवर्तन कार्यक्रमों के लिए किया जाना चाहिए।
डेटा सुरक्षा अधिकारी (DPO): वह व्यक्ति जिसे GDPR के तहत विशिष्ट परिस्थितियों में नियुक्त किया जाना आवश्यक है। जहाँ अनिवार्य DPO की नियुक्ति नहीं की गई है, वहाँ इस शब्द का अर्थ डेटा सुरक्षा प्रबंधक या DPO की अन्य स्वैच्छिक नियुक्ति है, या यह डेटा सुरक्षा अनुपालन की ज़िम्मेदारी वाली कंपनी की डेटा गोपनीयता टीम को संदर्भित करता है।
ईईए: यूरोपीय संघ के 28 देश, तथा आइसलैंड, लिकटेंस्टीन और नॉर्वे।
स्पष्ट सहमति: सहमति जिसके लिए बहुत स्पष्ट और विशिष्ट कथन की आवश्यकता होती है (अर्थात, केवल कार्रवाई नहीं)।
सामान्य डेटा संरक्षण विनियमन (GDPR): सामान्य डेटा संरक्षण विनियमन ( (EU) 2016/679 )। व्यक्तिगत डेटा GDPR में निर्दिष्ट कानूनी सुरक्षा उपायों के अधीन है।
व्यक्तिगत डेटा: किसी डेटा विषय की पहचान करने वाली कोई भी जानकारी या डेटा विषय से संबंधित कोई भी जानकारी जिसे हम (प्रत्यक्ष या अप्रत्यक्ष रूप से) केवल उस डेटा से या हमारे पास मौजूद या उचित रूप से उपलब्ध अन्य पहचानकर्ताओं के संयोजन से पहचान सकते हैं। व्यक्तिगत डेटा में संवेदनशील व्यक्तिगत डेटा और छद्म-नामित व्यक्तिगत डेटा शामिल है, लेकिन इसमें अनाम डेटा या वह डेटा शामिल नहीं है जिससे किसी व्यक्ति की पहचान स्थायी रूप से हटा दी गई हो। व्यक्तिगत डेटा तथ्यात्मक (उदाहरण के लिए, नाम, ईमेल पता, स्थान या जन्मतिथि) या उस व्यक्ति के कार्यों या व्यवहार के बारे में कोई राय हो सकती है।
व्यक्तिगत डेटा उल्लंघन: कोई भी ऐसा कार्य या चूक जो व्यक्तिगत डेटा की सुरक्षा, गोपनीयता, अखंडता या उपलब्धता, या हमारे या हमारे तृतीय-पक्ष सेवा प्रदाताओं द्वारा इसकी सुरक्षा के लिए स्थापित भौतिक, तकनीकी, प्रशासनिक या संगठनात्मक सुरक्षा उपायों से समझौता करती है। व्यक्तिगत डेटा की हानि, या अनधिकृत पहुँच, प्रकटीकरण या अधिग्रहण, व्यक्तिगत डेटा उल्लंघन है।
डिजाइन द्वारा गोपनीयता: GDPR के अनुपालन को सुनिश्चित करने के लिए प्रभावी तरीके से उपयुक्त तकनीकी और संगठनात्मक उपायों को लागू करना।
गोपनीयता सूचनाएँ (जिन्हें निष्पक्ष प्रसंस्करण सूचनाएँ भी कहा जाता है) या गोपनीयता नीतियाँ: अलग-अलग सूचनाएँ जो डेटा विषयों को कंपनी द्वारा उनके बारे में जानकारी एकत्र करते समय प्रदान की जा सकने वाली जानकारी निर्धारित करती हैं। ये सूचनाएँ व्यक्तियों के एक विशिष्ट समूह पर लागू होने वाले सामान्य गोपनीयता कथनों का रूप ले सकती हैं (उदाहरण के लिए, कर्मचारी गोपनीयता सूचनाएँ या वेबसाइट गोपनीयता नीति) या ये एकल, एक बार के गोपनीयता कथन हो सकते हैं जो किसी विशिष्ट उद्देश्य से संबंधित प्रसंस्करण को कवर करते हैं।
प्रसंस्करण या प्रक्रिया: कोई भी गतिविधि जिसमें व्यक्तिगत डेटा का उपयोग शामिल हो। इसमें डेटा प्राप्त करना, रिकॉर्ड करना या रखना, या डेटा पर कोई भी कार्य या कार्यों का समूह करना शामिल है, जिसमें उसे व्यवस्थित करना, संशोधित करना, पुनर्प्राप्त करना, उपयोग करना, प्रकट करना, मिटाना या नष्ट करना शामिल है। प्रसंस्करण में व्यक्तिगत डेटा को तृतीय पक्षों को प्रेषित या स्थानांतरित करना भी शामिल है।
छद्म नामकरण या छद्मनामीकरण: किसी व्यक्ति की प्रत्यक्ष या अप्रत्यक्ष रूप से पहचान करने वाली जानकारी को एक या अधिक कृत्रिम पहचानकर्ताओं या छद्म नामों से प्रतिस्थापित करना, ताकि वह व्यक्ति, जिससे डेटा संबंधित है, को अतिरिक्त जानकारी के उपयोग के बिना पहचाना न जा सके, जिसे अलग से और सुरक्षित रखा जाना है।
संबंधित नीतियां: कंपनी की नीतियां, परिचालन प्रक्रियाएं या प्रक्रियाएं जो इस गोपनीयता मानक से संबंधित हैं और व्यक्तिगत डेटा की सुरक्षा के लिए डिज़ाइन की गई हैं, जो समय-समय पर लागू हो सकती हैं और अनुरोध पर उपलब्ध हैं।
संवेदनशील व्यक्तिगत डेटा: नस्लीय या जातीय मूल, राजनीतिक राय, धार्मिक या समान विश्वास, ट्रेड यूनियन सदस्यता, शारीरिक या मानसिक स्वास्थ्य की स्थिति, यौन जीवन, यौन अभिविन्यास, बायोमेट्रिक या आनुवंशिक डेटा, और आपराधिक अपराधों और दोषसिद्धि से संबंधित व्यक्तिगत डेटा को प्रकट करने वाली जानकारी।

2. परिचय

यह गोपनीयता मानक यह निर्धारित करता है कि यूनी डायरेक्ट लिमिटेड (“हम”, “हमारा”, “हमें”, “कंपनी”) हमारे ग्राहकों, आपूर्तिकर्ताओं, कर्मचारियों, श्रमिकों और अन्य तृतीय पक्षों के व्यक्तिगत डेटा को कैसे संभालते हैं।

यह गोपनीयता मानक हमारे द्वारा संसाधित सभी व्यक्तिगत डेटा पर लागू होता है, चाहे वह डेटा किसी भी माध्यम पर संग्रहीत हो या वह पिछले या वर्तमान कर्मचारियों, श्रमिकों, ग्राहकों, ग्राहकों या आपूर्तिकर्ता संपर्कों, शेयरधारकों, वेबसाइट उपयोगकर्ताओं या किसी अन्य डेटा विषय से संबंधित हो।

यह गोपनीयता मानक सभी कंपनी कर्मियों (“आप”, “आपका”) पर लागू होता है। हमारी ओर से व्यक्तिगत डेटा संसाधित करते समय आपको इस गोपनीयता मानक को पढ़ना, समझना और उसका पालन करना होगा और इसकी आवश्यकताओं पर प्रशिक्षण में भाग लेना होगा। यह गोपनीयता मानक बताता है कि कंपनी द्वारा लागू कानून का पालन करने के लिए हम आपसे क्या अपेक्षा करते हैं। इस गोपनीयता मानक का आपका अनुपालन अनिवार्य है। इस गोपनीयता मानक की व्याख्या करने और उसके अनुसार कार्य करने में आपकी सहायता के लिए संबंधित नीतियाँ उपलब्ध हैं। आपको ऐसी सभी संबंधित नीतियों का भी पालन करना होगा। इस गोपनीयता मानक के किसी भी उल्लंघन के परिणामस्वरूप अनुशासनात्मक कार्रवाई हो सकती है।

यह गोपनीयता मानक (संबंधित नीतियों के साथ) एक आंतरिक दस्तावेज है और इसे डीपीओ से पूर्व अनुमति के बिना तीसरे पक्ष, ग्राहकों या नियामकों के साथ साझा नहीं किया जा सकता है।

3. दायरा

हम मानते हैं कि व्यक्तिगत डेटा का सही और वैध उपयोग संगठन में विश्वास बनाए रखेगा और सफल व्यावसायिक संचालन सुनिश्चित करेगा। व्यक्तिगत डेटा की गोपनीयता और अखंडता की रक्षा करना एक महत्वपूर्ण ज़िम्मेदारी है जिसे हम हर समय गंभीरता से लेते हैं। GDPR के प्रावधानों का पालन न करने पर कंपनी पर 20 मिलियन यूरो (लगभग 18 मिलियन पाउंड) या कुल वैश्विक वार्षिक कारोबार का 4% (जो भी अधिक हो और उल्लंघन पर निर्भर करता है) तक का संभावित जुर्माना लगाया जा सकता है।

सभी निदेशक और प्रबंधक यह सुनिश्चित करने के लिए जिम्मेदार हैं कि सभी कंपनी कार्मिक इस गोपनीयता मानक का अनुपालन करें और ऐसे अनुपालन को सुनिश्चित करने के लिए उन्हें उचित प्रथाओं, प्रक्रियाओं, नियंत्रणों और प्रशिक्षण को लागू करने की आवश्यकता है।

डीपीओ इस गोपनीयता मानक की देखरेख और, जहां लागू हो, संबंधित नीतियां विकसित करने के लिए जिम्मेदार है।

इस गोपनीयता मानक या जीडीपीआर के संचालन के बारे में किसी भी प्रश्न के लिए, या यदि आपको इस गोपनीयता मानक के पालन न किए जाने या न किए जाने की चिंता है, तो कृपया डीपीओ से संपर्क करें। विशेष रूप से, आपको निम्नलिखित परिस्थितियों में हमेशा डीपीओ से संपर्क करना चाहिए:

यदि आप उस वैध आधार के बारे में अनिश्चित हैं जिस पर आप व्यक्तिगत डेटा (कंपनी द्वारा उपयोग किए जाने वाले वैध हितों सहित) को संसाधित करने के लिए भरोसा कर रहे हैं (नीचे अनुभाग 5.1 देखें);
यदि आपको सहमति पर निर्भर रहने की आवश्यकता है और/या स्पष्ट सहमति प्राप्त करने की आवश्यकता है (नीचे अनुभाग 5.2 देखें);
यदि आपको गोपनीयता नोटिस या निष्पक्ष प्रसंस्करण नोटिस का मसौदा तैयार करने की आवश्यकता है (नीचे अनुभाग 5.3 देखें);
यदि आप संसाधित किए जा रहे व्यक्तिगत डेटा की अवधारण अवधि के बारे में अनिश्चित हैं (नीचे अनुभाग 9 देखें);
यदि आप इस बारे में अनिश्चित हैं कि व्यक्तिगत डेटा की सुरक्षा के लिए आपको कौन सी सुरक्षा या अन्य उपाय लागू करने की आवश्यकता है (नीचे अनुभाग 10.1 देखें);
यदि कोई व्यक्तिगत डेटा उल्लंघन हुआ है (नीचे अनुभाग 10.2 );
यदि आप इस बात को लेकर अनिश्चित हैं कि किस आधार पर व्यक्तिगत डेटा को ईईए के बाहर स्थानांतरित किया जाए (नीचे अनुभाग 11 देखें);
यदि आपको डेटा विषय द्वारा लागू किए गए किसी भी अधिकार से निपटने में किसी भी सहायता की आवश्यकता है ( अनुभाग 12 देखें);
जब भी आप किसी महत्वपूर्ण नई, या परिवर्तन वाली प्रसंस्करण गतिविधि में संलग्न होते हैं, जिसके लिए DPIA की आवश्यकता हो सकती है (नीचे अनुभाग 13.4 देखें) या व्यक्तिगत डेटा को उसके एकत्र किए गए उद्देश्य के अलावा अन्य उद्देश्यों के लिए उपयोग करने की योजना बनाते हैं;
यदि आप प्रोफाइलिंग या स्वचालित निर्णय लेने सहित स्वचालित प्रसंस्करण से जुड़ी कोई भी गतिविधि करने की योजना बनाते हैं (नीचे अनुभाग 13.5 देखें);
यदि आपको प्रत्यक्ष विपणन गतिविधियाँ करते समय लागू कानून का अनुपालन करने में सहायता की आवश्यकता है (नीचे अनुभाग 13.6 देखें); या
यदि आपको तीसरे पक्ष (हमारे विक्रेताओं सहित) के साथ व्यक्तिगत डेटा साझा करने के संबंध में किसी भी अनुबंध या अन्य क्षेत्रों में सहायता की आवश्यकता है (नीचे अनुभाग 13.7 देखें)।

4. व्यक्तिगत डेटा सुरक्षा सिद्धांत

हम GDPR में निर्धारित व्यक्तिगत डेटा के प्रसंस्करण से संबंधित सिद्धांतों का पालन करते हैं, जिसके अनुसार व्यक्तिगत डेटा होना आवश्यक है:

कानूनी, निष्पक्ष और पारदर्शी तरीके से संसाधित (कानूनी, निष्पक्षता और पारदर्शिता)।
केवल निर्दिष्ट, स्पष्ट और वैध उद्देश्यों के लिए एकत्रित (उद्देश्य सीमा)।
जिन उद्देश्यों के लिए इसे संसाधित किया जाता है, उनके संबंध में जो आवश्यक है, उसके लिए पर्याप्त, प्रासंगिक और सीमित (डेटा न्यूनीकरण)।
सटीक और जहां आवश्यक हो, अद्यतन रखा गया (सटीकता)।
ऐसे रूप में न रखा जाए जो डेटा विषयों की पहचान को उन उद्देश्यों के लिए आवश्यक समय से अधिक समय तक अनुमति देता हो जिनके लिए डेटा संसाधित किया जाता है (भंडारण सीमा)।
अनधिकृत या गैरकानूनी प्रसंस्करण और आकस्मिक हानि, विनाश या क्षति (सुरक्षा, अखंडता और गोपनीयता) से बचाने के लिए उचित तकनीकी और संगठनात्मक उपायों का उपयोग करके इसकी सुरक्षा सुनिश्चित करने वाले तरीके से संसाधित किया जाता है।
उचित सुरक्षा उपायों के बिना किसी अन्य देश में स्थानांतरित नहीं किया जा सकता (स्थानांतरण सीमा)।
डेटा विषयों को उपलब्ध कराया गया है और डेटा विषयों को उनके व्यक्तिगत डेटा (डेटा विषय के अधिकार और अनुरोध) के संबंध में कुछ अधिकारों का प्रयोग करने की अनुमति दी गई है।

हम ऊपर सूचीबद्ध डेटा संरक्षण सिद्धांतों (जवाबदेही) के अनुपालन के लिए जिम्मेदार हैं और हमें इसका प्रदर्शन करने में सक्षम होना चाहिए।

5. वैधानिकता, निष्पक्षता, पारदर्शिता

- वैधता और निष्पक्षता

डेटा विषय के संबंध में व्यक्तिगत डेटा को वैध, निष्पक्ष और पारदर्शी तरीके से संसाधित किया जाना चाहिए।

आप व्यक्तिगत डेटा को केवल निष्पक्ष और वैध तरीके से और निर्दिष्ट उद्देश्यों के लिए ही एकत्रित, संसाधित और साझा कर सकते हैं। जीडीपीआर व्यक्तिगत डेटा से संबंधित हमारी कार्रवाइयों को निर्दिष्ट वैध उद्देश्यों तक सीमित रखता है। इन प्रतिबंधों का उद्देश्य प्रसंस्करण को रोकना नहीं है, बल्कि यह सुनिश्चित करना है कि हम व्यक्तिगत डेटा को निष्पक्ष रूप से और डेटा विषय पर प्रतिकूल प्रभाव डाले बिना संसाधित करें।

GDPR विशिष्ट उद्देश्यों के लिए प्रसंस्करण की अनुमति देता है, जिनमें से कुछ नीचे दिए गए हैं:

डेटा विषय ने अपनी सहमति दे दी है;
डेटा विषय के साथ अनुबंध के निष्पादन के लिए प्रसंस्करण आवश्यक है;
हमारे कानूनी अनुपालन दायित्वों को पूरा करने के लिए;
डेटा विषय के महत्वपूर्ण हितों की रक्षा के लिए; या
हमारे वैध हितों को उन उद्देश्यों के लिए आगे बढ़ाने के लिए जहाँ उनका उल्लंघन नहीं किया जाता क्योंकि प्रसंस्करण डेटा विषयों के हितों या मौलिक अधिकारों और स्वतंत्रताओं के प्रति पूर्वाग्रह रखता है। जिन उद्देश्यों के लिए हम वैध हितों के लिए व्यक्तिगत डेटा संसाधित करते हैं, उन्हें लागू गोपनीयता सूचनाओं या निष्पक्ष प्रसंस्करण सूचनाओं में निर्धारित किया जाना चाहिए।

आपको प्रत्येक प्रसंस्करण गतिविधि के लिए भरोसेमंद कानूनी आधार की पहचान करनी होगी और उसका दस्तावेजीकरण करना होगा।

सहमति

डेटा नियंत्रक को व्यक्तिगत डेटा को केवल GDPR में निर्धारित एक या अधिक वैध आधारों के आधार पर ही संसाधित करना चाहिए, जिसमें सहमति भी शामिल है।

डेटा विषयक अपने व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति देता है यदि वह प्रसंस्करण के लिए किसी बयान या सकारात्मक कार्रवाई द्वारा स्पष्ट रूप से सहमति दर्शाता है। सहमति के लिए सकारात्मक कार्रवाई आवश्यक है, इसलिए मौन रहना, पहले से चिह्नित बॉक्स या निष्क्रियता पर्याप्त नहीं होगी। यदि सहमति किसी ऐसे दस्तावेज़ में दी गई है जो अन्य मामलों से संबंधित है, तो सहमति को उन अन्य मामलों से अलग रखा जाना चाहिए।

डेटा विषयक को किसी भी समय प्रसंस्करण के लिए अपनी सहमति आसानी से वापस लेने में सक्षम होना चाहिए और वापसी का तुरंत सम्मान किया जाना चाहिए। यदि आप किसी भिन्न और असंगत उद्देश्य के लिए व्यक्तिगत डेटा संसाधित करना चाहते हैं, जिसका खुलासा डेटा विषयक द्वारा पहली बार सहमति देते समय नहीं किया गया था, तो सहमति को पुनः प्रस्तुत करने की आवश्यकता हो सकती है।

जब तक हम प्रोसेसिंग के किसी अन्य कानूनी आधार पर भरोसा नहीं कर सकते, संवेदनशील व्यक्तिगत डेटा के प्रोसेसिंग, स्वचालित निर्णय लेने और सीमा पार डेटा ट्रांसफर के लिए आमतौर पर स्पष्ट सहमति की आवश्यकता होती है। आमतौर पर हम अधिकांश प्रकार के संवेदनशील डेटा के प्रोसेसिंग के लिए किसी अन्य कानूनी आधार पर भरोसा करेंगे (और स्पष्ट सहमति की आवश्यकता नहीं होगी)। जहाँ स्पष्ट सहमति आवश्यक है, आपको स्पष्ट सहमति प्राप्त करने के लिए डेटा विषय को एक निष्पक्ष प्रोसेसिंग नोटिस जारी करना होगा।

आपको सहमति का प्रमाण प्रस्तुत करना होगा तथा सभी सहमतियों का रिकार्ड रखना होगा, ताकि कंपनी सहमति आवश्यकताओं के अनुपालन को प्रदर्शित कर सके।

पारदर्शिता (डेटा विषयों को सूचित करना)

जीडीपीआर के अनुसार, डेटा नियंत्रकों को डेटा विषयों को विस्तृत और विशिष्ट जानकारी प्रदान करनी होगी, जो इस बात पर निर्भर करेगी कि जानकारी सीधे डेटा विषयों से एकत्र की गई थी या कहीं और से। ऐसी जानकारी उचित गोपनीयता सूचनाओं या निष्पक्ष प्रसंस्करण सूचनाओं के माध्यम से प्रदान की जानी चाहिए जो संक्षिप्त, पारदर्शी, सुबोध, आसानी से सुलभ और स्पष्ट एवं सरल भाषा में होनी चाहिए ताकि डेटा विषय उन्हें आसानी से समझ सके।

जब भी हम मानव संसाधन या रोजगार उद्देश्यों सहित डेटा विषयों से सीधे व्यक्तिगत डेटा एकत्र करते हैं, तो हमें डेटा विषय को जीडीपीआर द्वारा आवश्यक सभी जानकारी प्रदान करनी चाहिए, जिसमें डेटा नियंत्रक और डीपीओ की पहचान, हम कैसे और क्यों उस व्यक्तिगत डेटा का उपयोग, प्रसंस्करण, खुलासा, सुरक्षा और प्रतिधारण करेंगे, एक निष्पक्ष प्रसंस्करण नोटिस के माध्यम से प्रस्तुत किया जाना चाहिए, जब डेटा विषय पहली बार व्यक्तिगत डेटा प्रदान करता है।

जब व्यक्तिगत डेटा अप्रत्यक्ष रूप से एकत्र किया जाता है (उदाहरण के लिए, किसी तृतीय पक्ष या सार्वजनिक रूप से उपलब्ध स्रोत से), तो आपको डेटा एकत्र करने/प्राप्त करने के बाद जितनी जल्दी हो सके, डेटा विषय को GDPR द्वारा आवश्यक सभी जानकारी प्रदान करनी होगी। आपको यह भी जांचना होगा कि तृतीय पक्ष द्वारा व्यक्तिगत डेटा GDPR के अनुसार और उस आधार पर एकत्र किया गया था जो उस व्यक्तिगत डेटा के हमारे प्रस्तावित प्रसंस्करण को ध्यान में रखता है।

6. उद्देश्य सीमा

व्यक्तिगत डेटा केवल निर्दिष्ट, स्पष्ट और वैध उद्देश्यों के लिए ही एकत्र किया जाना चाहिए। इसे उन उद्देश्यों के विपरीत किसी भी तरीके से आगे संसाधित नहीं किया जाना चाहिए।

आप व्यक्तिगत डेटा का उपयोग नए, भिन्न या असंगत उद्देश्यों के लिए नहीं कर सकते हैं, जब तक कि आपने डेटा विषय को नए उद्देश्यों के बारे में सूचित नहीं किया हो और उन्होंने जहां आवश्यक हो, सहमति नहीं दी हो।

7. डेटा न्यूनीकरण

व्यक्तिगत डेटा पर्याप्त, प्रासंगिक और उन उद्देश्यों के संबंध में आवश्यक तक सीमित होना चाहिए जिनके लिए इसे संसाधित किया जाता है।

आप व्यक्तिगत डेटा को केवल तभी संसाधित कर सकते हैं जब आपके कार्य कर्तव्यों के निष्पादन हेतु इसकी आवश्यकता हो। आप अपने कार्य कर्तव्यों से असंबंधित किसी भी कारण से व्यक्तिगत डेटा को संसाधित नहीं कर सकते।

आप केवल वही व्यक्तिगत डेटा एकत्र कर सकते हैं जो आपको अपने कार्य कर्तव्यों के लिए आवश्यक हो: अत्यधिक डेटा एकत्र न करें। सुनिश्चित करें कि एकत्र किया गया व्यक्तिगत डेटा इच्छित उद्देश्यों के लिए पर्याप्त और प्रासंगिक हो।

आपको यह सुनिश्चित करना होगा कि जब व्यक्तिगत डेटा की निर्दिष्ट उद्देश्यों के लिए आवश्यकता न रह जाए, तो उसे कंपनी के डेटा प्रतिधारण दिशानिर्देशों के अनुसार हटा दिया जाए या गुमनाम कर दिया जाए।

8. सटीकता

व्यक्तिगत डेटा सटीक होना चाहिए और जहाँ आवश्यक हो, उसे अद्यतन रखा जाना चाहिए। त्रुटिपूर्ण होने पर उसे तुरंत सुधारा या हटाया जाना चाहिए।

आप यह सुनिश्चित करेंगे कि हमारे द्वारा उपयोग और संग्रहीत किया जाने वाला व्यक्तिगत डेटा सटीक, पूर्ण, अद्यतन और उस उद्देश्य के लिए प्रासंगिक हो जिसके लिए हमने इसे एकत्र किया था। आपको संग्रह के समय और उसके बाद नियमित अंतराल पर किसी भी व्यक्तिगत डेटा की सटीकता की जाँच करनी होगी। आपको गलत या पुराने व्यक्तिगत डेटा को नष्ट करने या संशोधित करने के लिए सभी उचित कदम उठाने होंगे।

9. भंडारण सीमा

व्यक्तिगत डेटा को पहचान योग्य रूप में उससे अधिक समय तक नहीं रखा जाना चाहिए जितना कि उस उद्देश्य के लिए आवश्यक है जिसके लिए डेटा को संसाधित किया जाता है।

आपको व्यक्तिगत डेटा को ऐसे रूप में नहीं रखना चाहिए जो डेटा विषय की पहचान को वैध व्यावसायिक उद्देश्य या उद्देश्यों के लिए आवश्यक से अधिक समय तक रखने की अनुमति देता है, जिसके लिए हमने मूल रूप से इसे एकत्र किया था, जिसमें किसी भी कानूनी, लेखांकन या रिपोर्टिंग आवश्यकताओं को पूरा करने का उद्देश्य शामिल है।

कंपनी यह सुनिश्चित करने के लिए अवधारण नीतियां और प्रक्रियाएं बनाए रखेगी कि व्यक्तिगत डेटा को उन उद्देश्यों के लिए उचित समय के बाद हटा दिया जाए जिनके लिए इसे रखा गया था, जब तक कि किसी कानून में ऐसे डेटा को न्यूनतम समय के लिए रखने की आवश्यकता न हो।

आप कंपनी के सभी लागू रिकॉर्ड प्रतिधारण अनुसूचियों और नीतियों के अनुसार, हमारे सिस्टम से उस सभी व्यक्तिगत डेटा को नष्ट करने या मिटाने के लिए सभी उचित कदम उठाएँगे जिसकी हमें अब आवश्यकता नहीं है। इसमें, जहाँ लागू हो, तृतीय पक्षों से ऐसे डेटा को हटाने की अपेक्षा करना भी शामिल है।

आप यह सुनिश्चित करेंगे कि डेटा विषयों को उस अवधि के बारे में सूचित किया जाए जिसके लिए डेटा संग्रहीत किया जाता है और किसी भी लागू गोपनीयता नोटिस या निष्पक्ष प्रसंस्करण नोटिस में उस अवधि को कैसे निर्धारित किया जाता है।

10. सुरक्षा अखंडता और गोपनीयता

- व्यक्तिगत डेटा की सुरक्षा

व्यक्तिगत डेटा को अनधिकृत या गैरकानूनी प्रसंस्करण, तथा आकस्मिक हानि, विनाश या क्षति से उचित तकनीकी और संगठनात्मक उपायों द्वारा सुरक्षित किया जाना चाहिए।

हम अपने आकार, दायरे और व्यवसाय, अपने उपलब्ध संसाधनों, दूसरों की ओर से हमारे स्वामित्व वाले या हमारे द्वारा बनाए गए व्यक्तिगत डेटा की मात्रा और पहचाने गए जोखिमों (जहां लागू हो, एन्क्रिप्शन और छद्म नामकरण के उपयोग सहित) के अनुसार उपयुक्त सुरक्षा उपायों को विकसित, लागू और बनाए रखेंगे। हम व्यक्तिगत डेटा के हमारे प्रसंस्करण की सुरक्षा सुनिश्चित करने के लिए नियमित रूप से उन सुरक्षा उपायों की प्रभावशीलता का मूल्यांकन और परीक्षण करेंगे। हमारे द्वारा रखे गए व्यक्तिगत डेटा की सुरक्षा के लिए आप जिम्मेदार हैं। आपको व्यक्तिगत डेटा के गैरकानूनी या अनधिकृत प्रसंस्करण और व्यक्तिगत डेटा की आकस्मिक हानि या क्षति के विरुद्ध उचित और उपयुक्त सुरक्षा उपायों को लागू करना होगा। आपको संवेदनशील व्यक्तिगत डेटा को हानि और अनधिकृत पहुंच, उपयोग या प्रकटीकरण से बचाने में विशेष सावधानी बरतनी चाहिए।

आपको संग्रहण से लेकर विनाश तक, सभी व्यक्तिगत डेटा की सुरक्षा बनाए रखने के लिए हमारे द्वारा निर्धारित सभी प्रक्रियाओं और तकनीकों का पालन करना होगा। आप केवल उन्हीं तृतीय-पक्ष सेवा प्रदाताओं को व्यक्तिगत डेटा हस्तांतरित कर सकते हैं जो आवश्यक नीतियों और प्रक्रियाओं का पालन करने के लिए सहमत हों और जो अनुरोध के अनुसार पर्याप्त उपाय करने के लिए सहमत हों।

आपको व्यक्तिगत डेटा की गोपनीयता, अखंडता और उपलब्धता की रक्षा करके डेटा सुरक्षा बनाए रखनी होगी, जिसे निम्नानुसार परिभाषित किया गया है:

गोपनीयता का अर्थ है कि केवल वे लोग ही व्यक्तिगत डेटा तक पहुंच सकते हैं जिन्हें इसे जानने की आवश्यकता है और जो इसका उपयोग करने के लिए अधिकृत हैं।
सत्यनिष्ठा का अर्थ है कि व्यक्तिगत डेटा सटीक है और उस उद्देश्य के लिए उपयुक्त है जिसके लिए इसे संसाधित किया गया है।
उपलब्धता का अर्थ है कि अधिकृत उपयोगकर्ता व्यक्तिगत डेटा तक तब पहुंच सकते हैं जब उन्हें अधिकृत उद्देश्यों के लिए इसकी आवश्यकता हो।

आपको समय-समय पर लागू हमारी सूचना सुरक्षा नीति और GDPR अनुपालन नीति के सभी लागू पहलुओं का अनुपालन करना होगा और व्यक्तिगत डेटा की सुरक्षा के लिए GDPR और प्रासंगिक मानकों के अनुसार हमारे द्वारा कार्यान्वित और बनाए गए प्रशासनिक, भौतिक और तकनीकी सुरक्षा उपायों का अनुपालन करना होगा और उन्हें दरकिनार करने का प्रयास नहीं करना होगा।

व्यक्तिगत डेटा उल्लंघन की रिपोर्ट करना

जीडीपीआर के तहत डेटा नियंत्रकों को किसी भी व्यक्तिगत डेटा उल्लंघन की सूचना लागू नियामक को और कुछ मामलों में, डेटा विषय को सूचित करना आवश्यक है।

हमने किसी भी संदिग्ध व्यक्तिगत डेटा उल्लंघन से निपटने के लिए प्रक्रियाएं स्थापित की हैं और जहां हमें कानूनी रूप से ऐसा करने की आवश्यकता होगी, वहां हम डेटा विषयों या किसी भी लागू नियामक को सूचित करेंगे।

यदि आपको पता है या संदेह है कि कोई व्यक्तिगत डेटा उल्लंघन हुआ है, तो मामले की स्वयं जाँच करने का प्रयास न करें। व्यक्तिगत डेटा उल्लंघनों के लिए मुख्य संपर्क बिंदु के रूप में नामित व्यक्ति या टीम से तुरंत संपर्क करें और सुरक्षा उल्लंघन प्रतिक्रिया योजना का पालन करें। आपको संभावित व्यक्तिगत डेटा उल्लंघन से संबंधित सभी साक्ष्य सुरक्षित रखने चाहिए।

11। स्थानांतरण सीमा

जीडीपीआर ईईए के बाहर के देशों में डेटा ट्रांसफर को प्रतिबंधित करता है ताकि यह सुनिश्चित किया जा सके कि जीडीपीआर द्वारा व्यक्तियों को प्रदान की जाने वाली डेटा सुरक्षा का स्तर कम न हो। जब आप किसी देश में उत्पन्न व्यक्तिगत डेटा को किसी अन्य देश में या उस देश में प्रेषित, भेजते, देखते या एक्सेस करते हैं, तो आप उसे सीमाओं के पार स्थानांतरित करते हैं।

आप व्यक्तिगत डेटा को EEA के बाहर तभी स्थानांतरित कर सकते हैं जब निम्नलिखित में से कोई एक शर्त लागू हो:

यूरोपीय आयोग ने एक निर्णय जारी किया है जिसमें पुष्टि की गई है कि जिस देश को हम व्यक्तिगत डेटा स्थानांतरित करते हैं, वह डेटा विषयों के अधिकारों और स्वतंत्रता के लिए पर्याप्त स्तर की सुरक्षा सुनिश्चित करता है;
उचित सुरक्षा उपाय मौजूद हैं जैसे बाध्यकारी कॉर्पोरेट नियम (बीसीआर), यूरोपीय आयोग द्वारा अनुमोदित मानक संविदात्मक खंड, एक अनुमोदित आचार संहिता या प्रमाणन तंत्र, जिसकी एक प्रति डीपीओ से प्राप्त की जा सकती है;
डेटा विषय ने किसी भी संभावित जोखिम के बारे में सूचित किए जाने के बाद प्रस्तावित हस्तांतरण के लिए स्पष्ट सहमति प्रदान की है; या
स्थानांतरण GDPR में निर्धारित अन्य कारणों में से एक के लिए आवश्यक है जिसमें हमारे और डेटा विषय के बीच अनुबंध का प्रदर्शन, सार्वजनिक हित के कारण, कानूनी दावों को स्थापित करने, प्रयोग करने या बचाव करने या डेटा विषय के महत्वपूर्ण हितों की रक्षा करने के लिए जहां डेटा विषय शारीरिक या कानूनी रूप से सहमति देने में असमर्थ है और, कुछ सीमित मामलों में, हमारे वैध हित के लिए आवश्यक है।

आपको सीमापार डेटा स्थानांतरण पर कंपनी के दिशानिर्देशों का पालन करना होगा।

12. डेटा विषय के अधिकार और अनुरोध

डेटा विषयों के पास इस बात के अधिकार होते हैं कि हम उनके व्यक्तिगत डेटा का प्रबंधन कैसे करते हैं। इनमें निम्नलिखित अधिकार शामिल हैं:

किसी भी समय प्रसंस्करण के लिए सहमति वापस ले सकते हैं;
डेटा नियंत्रक की प्रसंस्करण गतिविधियों के बारे में कुछ जानकारी प्राप्त करना;
हमारे पास मौजूद उनके व्यक्तिगत डेटा तक पहुंच का अनुरोध करें;
प्रत्यक्ष विपणन उद्देश्यों के लिए उनके व्यक्तिगत डेटा के हमारे उपयोग को रोकना;
यदि व्यक्तिगत डेटा उन उद्देश्यों के संबंध में आवश्यक नहीं है जिनके लिए इसे एकत्र या संसाधित किया गया था या गलत डेटा को सुधारने या अपूर्ण डेटा को पूरा करने के लिए हमें मिटाने के लिए कहें;
विशिष्ट परिस्थितियों में प्रसंस्करण को प्रतिबंधित करना;
चुनौती प्रसंस्करण जो हमारे वैध हितों या सार्वजनिक हित के आधार पर उचित ठहराया गया है;
उस समझौते की प्रति का अनुरोध करें जिसके तहत व्यक्तिगत डेटा को ईईए के बाहर स्थानांतरित किया जाता है;
प्रोफाइलिंग (एडीएम) सहित पूरी तरह से स्वचालित प्रसंस्करण पर आधारित निर्णयों पर आपत्ति;
ऐसे प्रसंस्करण को रोकना जिससे डेटा विषय या किसी अन्य को नुकसान या परेशानी होने की संभावना हो;
व्यक्तिगत डेटा उल्लंघन के बारे में सूचित किया जाना जिसके परिणामस्वरूप उनके अधिकारों और स्वतंत्रताओं को उच्च जोखिम होने की संभावना है;
पर्यवेक्षी प्राधिकारी को शिकायत दर्ज कराएं; और
सीमित परिस्थितियों में, अपने व्यक्तिगत डेटा को संरचित, सामान्य रूप से उपयोग किए जाने वाले और मशीन पठनीय प्रारूप में किसी तीसरे पक्ष को हस्तांतरित करने के लिए प्राप्त करें या मांगें।

आपको ऊपर सूचीबद्ध किसी भी अधिकार के तहत डेटा का अनुरोध करने वाले व्यक्ति की पहचान सत्यापित करनी होगी (तृतीय पक्षों को उचित प्राधिकरण के बिना व्यक्तिगत डेटा का खुलासा करने के लिए राजी करने की अनुमति न दें)।

आपको प्राप्त होने वाले किसी भी डेटा विषय अनुरोध को तुरंत अपने पर्यवेक्षक को अग्रेषित करना होगा और कंपनी की डेटा विषय प्रतिक्रिया प्रक्रिया का अनुपालन करना होगा।

13. जवाबदेही

- डेटा नियंत्रक को डेटा सुरक्षा सिद्धांतों का अनुपालन सुनिश्चित करने के लिए उचित तकनीकी और संगठनात्मक उपायों को प्रभावी ढंग से लागू करना होगा। डेटा नियंत्रक डेटा सुरक्षा सिद्धांतों के अनुपालन के लिए ज़िम्मेदार है और उसे इसका प्रदर्शन भी करना होगा।

कंपनी के पास GDPR अनुपालन सुनिश्चित करने और उसका दस्तावेजीकरण करने के लिए पर्याप्त संसाधन और नियंत्रण होने चाहिए, जिनमें शामिल हैं:

एक उपयुक्त योग्य डीपीओ (जहां आवश्यक हो) और डेटा गोपनीयता के लिए जवाबदेह एक कार्यकारी की नियुक्ति करना;
व्यक्तिगत डेटा को संसाधित करते समय डिजाइन द्वारा गोपनीयता को लागू करना और DPIA को पूरा करना जहां प्रसंस्करण डेटा विषयों के अधिकारों और स्वतंत्रता के लिए उच्च जोखिम प्रस्तुत करता है;
इस गोपनीयता मानक, संबंधित नीतियों, गोपनीयता नोटिस या निष्पक्ष प्रसंस्करण नोटिस सहित आंतरिक दस्तावेजों में डेटा संरक्षण को एकीकृत करना;
कंपनी कर्मियों को जीडीपीआर, इस गोपनीयता मानक और संबंधित नीतियों तथा डेटा सुरक्षा संबंधी मामलों, जैसे कि डेटा विषय के अधिकार, सहमति, कानूनी आधार, डीपीआईए और व्यक्तिगत डेटा उल्लंघनों पर नियमित रूप से प्रशिक्षण देना। कंपनी को कंपनी कर्मियों द्वारा प्रशिक्षण में उपस्थिति का रिकॉर्ड रखना होगा; और
कार्यान्वित किए गए गोपनीयता उपायों का नियमित रूप से परीक्षण करना तथा अनुपालन का आकलन करने के लिए आवधिक समीक्षा और ऑडिट करना, जिसमें अनुपालन सुधार प्रयास को प्रदर्शित करने के लिए परीक्षण के परिणामों का उपयोग करना शामिल है।

रिकॉर्ड रखना

जीडीपीआर के अनुसार हमें अपनी सभी डेटा प्रोसेसिंग गतिविधियों का पूर्ण और सटीक रिकॉर्ड रखना आवश्यक है।

आपको हमारे प्रसंस्करण को दर्शाने वाले सटीक कॉर्पोरेट रिकॉर्ड रखने होंगे, जिसमें डेटा विषयों की सहमति के रिकॉर्ड और सहमति प्राप्त करने की प्रक्रियाएं शामिल हैं।

इन अभिलेखों में कम से कम, डेटा नियंत्रक और डीपीओ का नाम और संपर्क विवरण, व्यक्तिगत डेटा के प्रकारों, डेटा विषय के प्रकारों, प्रसंस्करण गतिविधियों, प्रसंस्करण उद्देश्यों, व्यक्तिगत डेटा के तृतीय-पक्ष प्राप्तकर्ताओं, व्यक्तिगत डेटा संग्रहण स्थानों, व्यक्तिगत डेटा स्थानांतरणों, व्यक्तिगत डेटा की अवधारण अवधि और लागू सुरक्षा उपायों का स्पष्ट विवरण शामिल होना चाहिए। ऐसे अभिलेख बनाने के लिए, डेटा मानचित्र बनाए जाने चाहिए जिनमें ऊपर दिए गए विवरण के साथ-साथ उपयुक्त डेटा प्रवाह भी शामिल होना चाहिए।

प्रशिक्षण और लेखा परीक्षा

हमें यह सुनिश्चित करना होगा कि सभी कंपनी कर्मियों को डेटा गोपनीयता कानूनों का पालन करने के लिए पर्याप्त प्रशिक्षण दिया गया है। अनुपालन का आकलन करने के लिए हमें नियमित रूप से अपनी प्रणालियों और प्रक्रियाओं का परीक्षण भी करना होगा।

आपको डेटा गोपनीयता से संबंधित सभी अनिवार्य प्रशिक्षण अवश्य प्राप्त करना चाहिए तथा यह सुनिश्चित करना चाहिए कि आपकी टीम भी इसी प्रकार का अनिवार्य प्रशिक्षण प्राप्त करे।

आपको अपने नियंत्रण में आने वाली सभी प्रणालियों और प्रक्रियाओं की नियमित रूप से समीक्षा करनी चाहिए ताकि यह सुनिश्चित हो सके कि वे इस गोपनीयता मानक का अनुपालन करती हैं और यह भी जांचना चाहिए कि व्यक्तिगत डेटा के उचित उपयोग और सुरक्षा को सुनिश्चित करने के लिए पर्याप्त प्रशासनिक नियंत्रण और संसाधन मौजूद हैं।

डिज़ाइन द्वारा गोपनीयता और डेटा सुरक्षा प्रभाव मूल्यांकन (DPIA)

डेटा गोपनीयता सिद्धांतों का अनुपालन सुनिश्चित करने के लिए, हमें व्यक्तिगत डेटा को संसाधित करते समय उचित तकनीकी और संगठनात्मक उपायों (जैसे छद्म नामकरण) को प्रभावी तरीके से लागू करके डिजाइन द्वारा गोपनीयता उपायों को लागू करना आवश्यक है।

आपको निम्नलिखित बातों को ध्यान में रखते हुए यह आकलन करना होगा कि व्यक्तिगत डेटा को संसाधित करने वाले सभी कार्यक्रमों/प्रणालियों/प्रक्रियाओं पर कौन से गोपनीयता-द्वारा-डिज़ाइन उपाय लागू किए जा सकते हैं:

द स्टेट ऑफ़ आर्ट;
कार्यान्वयन की लागत;
प्रसंस्करण की प्रकृति, दायरा, संदर्भ और उद्देश्य; और
प्रसंस्करण द्वारा डेटा विषयों के अधिकारों और स्वतंत्रता के लिए अलग-अलग संभावना और गंभीरता के जोखिम।

डेटा नियंत्रकों को उच्च जोखिम प्रसंस्करण के संबंध में भी DPIA का संचालन करना होगा।

आपको व्यक्तिगत डेटा के प्रसंस्करण से संबंधित प्रमुख प्रणाली या व्यवसाय परिवर्तन कार्यक्रमों को लागू करते समय DPIA का संचालन करना चाहिए (और अपने निष्कर्षों पर DPO के साथ चर्चा करनी चाहिए) जिसमें शामिल हैं:

नई प्रौद्योगिकियों (कार्यक्रम, प्रणालियां या प्रक्रियाएं) का उपयोग, या बदलती प्रौद्योगिकियां (कार्यक्रम, प्रणालियां या प्रक्रियाएं);
प्रोफाइलिंग और एडीएम सहित स्वचालित प्रसंस्करण;
संवेदनशील डेटा का बड़े पैमाने पर प्रसंस्करण; और
सार्वजनिक रूप से सुलभ क्षेत्र की बड़े पैमाने पर, व्यवस्थित निगरानी।

DPIA में निम्नलिखित शामिल होना चाहिए:

प्रसंस्करण, उसके उद्देश्यों और डेटा नियंत्रक के वैध हितों का विवरण यदि उपयुक्त हो;
प्रसंस्करण के उद्देश्य के संबंध में इसकी आवश्यकता और आनुपातिकता का आकलन;
व्यक्तियों के लिए जोखिम का आकलन; और
जोखिम न्यूनीकरण के उपाय तथा अनुपालन का प्रदर्शन।

स्वचालित प्रसंस्करण (प्रोफाइलिंग सहित) और स्वचालित निर्णय लेना

सामान्यतः, एडीएम तब निषिद्ध होता है जब किसी निर्णय का किसी व्यक्ति पर कानूनी या समान महत्वपूर्ण प्रभाव पड़ता है, जब तक कि:

डेटा विषय ने स्पष्ट रूप से सहमति दी है;
प्रसंस्करण कानून द्वारा अधिकृत है; या
प्रसंस्करण किसी अनुबंध के निष्पादन या उसमें प्रवेश के लिए आवश्यक है।

यदि कुछ प्रकार के संवेदनशील डेटा को संसाधित किया जा रहा है, तो आधार (बी) या (सी) की अनुमति नहीं दी जाएगी, लेकिन ऐसे संवेदनशील डेटा को संसाधित किया जा सकता है जहां धोखाधड़ी की रोकथाम जैसे पर्याप्त सार्वजनिक हित के लिए यह आवश्यक है (जब तक कि कम दखल देने वाले साधनों का उपयोग नहीं किया जा सकता)।

यदि कोई निर्णय केवल स्वचालित प्रसंस्करण (प्रोफ़ाइलिंग सहित) पर आधारित है, तो डेटा विषयक को उनके आपत्ति करने के अधिकार के बारे में पहली बार संवाद करते समय सूचित किया जाना चाहिए। यह अधिकार स्पष्ट रूप से उनके ध्यान में लाया जाना चाहिए और अन्य सूचनाओं से अलग और स्पष्ट रूप से प्रस्तुत किया जाना चाहिए। इसके अलावा, डेटा विषयक के अधिकारों, स्वतंत्रताओं और वैध हितों की रक्षा के लिए उपयुक्त उपाय किए जाने चाहिए।

हमें डेटा विषय को निर्णय लेने या प्रोफाइलिंग में शामिल तर्क, महत्व और परिकल्पित परिणामों के बारे में भी सूचित करना चाहिए और डेटा विषय को मानवीय हस्तक्षेप का अनुरोध करने, अपना दृष्टिकोण व्यक्त करने या निर्णय को चुनौती देने का अधिकार देना चाहिए।

किसी भी स्वचालित प्रसंस्करण (प्रोफाइलिंग सहित) या एडीएम गतिविधियों को शुरू करने से पहले डीपीआईए किया जाना चाहिए।

सीधा विपणन

अपने ग्राहकों को विपणन करते समय हम कुछ नियमों और गोपनीयता कानूनों के अधीन होते हैं।

उदाहरण के लिए, इलेक्ट्रॉनिक प्रत्यक्ष विपणन (उदाहरण के लिए, ईमेल, टेक्स्ट या स्वचालित कॉल द्वारा) के लिए डेटा विषय की पूर्व सहमति आवश्यक है। मौजूदा ग्राहकों के लिए “सॉफ्ट ऑप्ट इन” नामक सीमित अपवाद संगठनों को विपणन टेक्स्ट या ईमेल भेजने की अनुमति देता है यदि उन्होंने बिक्री के दौरान उस व्यक्ति से संपर्क विवरण प्राप्त कर लिया है, वे समान उत्पादों या सेवाओं का विपणन कर रहे हैं, और उन्होंने उस व्यक्ति को विवरण एकत्र करते समय और उसके बाद के प्रत्येक संदेश में विपणन से बाहर निकलने का अवसर दिया है।

प्रत्यक्ष विपणन पर आपत्ति करने का अधिकार स्पष्ट रूप से डेटा विषय को एक सुबोध तरीके से पेश किया जाना चाहिए ताकि यह अन्य जानकारी से स्पष्ट रूप से अलग हो सके।

प्रत्यक्ष विपणन के प्रति डेटा विषय की आपत्ति का तुरंत सम्मान किया जाना चाहिए। यदि कोई ग्राहक किसी भी समय इससे बाहर निकलने का विकल्प चुनता है, तो उसकी जानकारी को यथाशीघ्र दबा दिया जाना चाहिए। दमन में केवल इतनी जानकारी रखना शामिल है कि भविष्य में विपणन प्राथमिकताओं का सम्मान सुनिश्चित हो सके।

व्यक्तिगत डेटा साझा करना

आम तौर पर हमें तीसरे पक्ष के साथ व्यक्तिगत डेटा साझा करने की अनुमति नहीं है जब तक कि कुछ सुरक्षा उपाय और संविदात्मक व्यवस्थाएं लागू न की गई हों।

आप हमारे पास मौजूद व्यक्तिगत डेटा को हमारे समूह के किसी अन्य कर्मचारी, एजेंट या प्रतिनिधि (जिसमें हमारी सहायक कंपनियां और हमारी अंतिम होल्डिंग कंपनी तथा उसकी सहायक कंपनियां शामिल हैं) के साथ केवल तभी साझा कर सकते हैं, जब प्राप्तकर्ता को नौकरी से संबंधित जानकारी जानने की आवश्यकता हो और हस्तांतरण किसी भी लागू सीमा-पार हस्तांतरण प्रतिबंधों का अनुपालन करता हो।

आप हमारे पास मौजूद व्यक्तिगत डेटा को तीसरे पक्षों, जैसे कि हमारे सेवा प्रदाताओं के साथ केवल तभी साझा कर सकते हैं, यदि:

उन्हें अनुबंधित सेवाएं प्रदान करने के प्रयोजनों के लिए जानकारी जानने की आवश्यकता है;
व्यक्तिगत डेटा को साझा करना डेटा विषय को प्रदान की गई गोपनीयता सूचना का अनुपालन करता है और यदि आवश्यक हो, तो डेटा विषय की सहमति प्राप्त की गई है;
तीसरा पक्ष आवश्यक डेटा सुरक्षा मानकों, नीतियों और प्रक्रियाओं का अनुपालन करने और पर्याप्त सुरक्षा उपाय लागू करने के लिए सहमत हो गया है;
स्थानांतरण किसी भी लागू सीमा पार स्थानांतरण प्रतिबंधों का अनुपालन करता है; और
एक पूर्णतः निष्पादित लिखित अनुबंध प्राप्त कर लिया गया है जिसमें GDPR अनुमोदित तृतीय पक्ष धाराएं शामिल हैं।

इस गोपनीयता मानक में परिवर्तन

हम आपको बिना कोई सूचना दिए किसी भी समय इस गोपनीयता मानक को बदलने का अधिकार सुरक्षित रखते हैं, इसलिए कृपया इस गोपनीयता मानक की नवीनतम प्रति प्राप्त करने के लिए नियमित रूप से जांच करते रहें।

यह गोपनीयता मानक उन देशों में लागू किसी भी राष्ट्रीय डेटा गोपनीयता कानून और विनियमों को रद्द नहीं करता है जहां कंपनी संचालित होती है।