Data Processing Agreement

डेटा प्रोसेसिंग एग्रीमेंट, संस्करण 1

Effective 2026-09-20. AstroWay API, api.astroway.info.

1. हम कौन हैं और यह क्या कवर करता है

यह समझौता तू, ग्राहक, जो डेटा नियंत्रक के रूप में कार्य करता है, और Maksym Burkhan, व्यक्तिगत उद्यमी (ФОП), यूक्रेन, के बीच है, जो api.astroway.info को अनुच्छेद 28 GDPR के तहत तेरे डेटा प्रोसेसर के रूप में संचालित करता है।
यह तब तक लागू रहता है जब तक तेरा खाता मौजूद है और तू API को अनुरोध भेजता है, और यह केवल उन डेटा को नियंत्रित करता है जो तू API के माध्यम से भेजता है। तेरे अपने खाते का विवरण एक अलग मामला है, जहाँ हम नियंत्रक हैं और हमारी गोपनीयता नीति लागू होती है।

2. हम क्या प्रोसेस करते हैं, और क्यों

विषय और उद्देश्य। तू जन्म डेटा API को भेजता है: एक तिथि, एक घड़ी समय, एक टाइमज़ोन या ऑफ़सेट, और निर्देशांक। हम एक ज्योतिषीय परिणाम गणना करते हैं और उसे लौटाते हैं। यही पूरा उद्देश्य है, और API कॉल तेरी निर्देश है।
डेटा विषयों की श्रेणियाँ। तेरे अंतिम उपयोगकर्ता, या कोई भी जिसका जन्म क्षण तू सबमिट करता है।
डेटा के प्रकार। जन्म की तिथि और समय, निर्देशांक, और वैकल्पिक name और city फ़ील्ड। name और city कभी संग्रहीत नहीं होते: वे अनुरोध की अवधि के लिए मेमोरी में रखे जाते हैं और कहीं नहीं लिखे जाते।
अवधि। तेरे खाते के जीवनकाल तक, अनुभाग 9 के अधीन।
हम कॉल के बारे में क्या लॉग करते हैं न कि व्यक्ति के बारे में। एंडपॉइंट, मेथड, स्टेटस, लेटेंसी, बाइट काउंट, कॉलर के IP एड्रेस का एक सॉल्टेड अपरिवर्तनीय डाइजेस्ट और उस एड्रेस के पहले 16 बिट, यूज़र‑एजेंट, ओरिजिन, और एक मोटा देश, शहर और नेटवर्क ऑपरेटर। हम इसे 30 दिनों तक रखेंगे।

3. हम क्या प्रतिबद्ध हैं

• हम तेरे डेटा को केवल तेरे दस्तावेज़ीकृत निर्देशों पर प्रोसेस करते हैं, जो तेरे द्वारा किए गए API कॉल और कोई भी लिखित निर्देश है जो तू हमें भेजता है, जब तक कि EU या सदस्य‑राज्य का कानून अन्यथा न कहे, ऐसे में हम प्रोसेसिंग से पहले तुझे बता देंगे जब तक वह कानून इसे रोकता न हो।
• यदि कोई निर्देश हमारे लिए अवैध दिखता है, तो हम तुरंत बता देते हैं बजाय चुपचाप उसे लागू करने के।
• सेवा एक व्यक्ति द्वारा संचालित है, जो गोपनीयता के बंधन में है और प्रशासनिक एक्सेस वाला एकमात्र इंसान है।
• हम अनुभाग 5 में उल्लिखित सुरक्षा उपाय को बनाए रखते हैं।
• हम तेरी मदद करते हैं डेटा विषय के अनुरोध का उत्तर देने में, और अनुच्छेद 32 से 36 तक की तेरी बाध्यताओं में मदद करते हैं, जितना संभव हो और हम जो रखते हैं उसे ध्यान में रखते हुए। यह शर्त कानून की अपनी है, और यहाँ यह स्पष्ट है: हम तेरे अंतिम उपयोगकर्ताओं के लिए कोई नाम, ईमेल या पहचानकर्ता संग्रहीत नहीं करते, इसलिए हम आमतौर पर अपनी ओर से किसी व्यक्ति की पंक्तियों को नहीं ढूँढ पाते। तू, अपने रिकॉर्ड के माध्यम से, और DELETE /v1/me/account के द्वारा अपने खाते के लिए हम जो भी रखते हैं, सब मिटा सकता है।
• हम तेरे डेटा को अपने उद्देश्यों के लिए उपयोग नहीं करते, न ही इसे बेचते हैं, और न ही इसे मॉडल प्रशिक्षण के लिए उपयोग करते हैं।

4. सब‑प्रोसेसर

सब‑प्रोसेसर	भूमिका	स्थान
Hetzner Online GmbH	compute, database and file storage	Nuremberg, Germany
Cloudflare, Inc.	CDN, DNS and DDoS protection, with EU-region cache rules	US company, EU edges serve EU traffic

हम उन पर वही डेटा‑सुरक्षा दायित्व लागू करते हैं जैसा हम यहाँ लागू करते हैं, और हम तेरे प्रति पूरी तरह उत्तरदायी रहते हैं उनके द्वारा किए गए कार्यों के लिए।
तू इन दोनों के लिए सामान्य अनुमति देता है। हम एक को जोड़ने या बदलने से पहले ईमेल द्वारा तुझे सूचित करेंगे, और तू उचित डेटा‑सुरक्षा कारणों पर आपत्ति कर सकता है; यदि हम आपत्ति को हल नहीं कर पाते, तो तू सेवा का उपयोग बंद कर सकता है और हम तुझे भुगतान किए गए अवधि के बचे हुए हिस्से की वापसी करेंगे।
हमारे भुगतान और ईमेल विक्रेता जानबूझकर इस तालिका में नहीं हैं, क्योंकि वे कभी इस समझौते के तहत कवर किए गए डेटा को नहीं देखते। Brevo तुझे लेन‑देनात्मक मेल भेजता है, और Monobank कार्ड भुगतान लेता है, जिसमें LiqPay अक्टूबर 2026 में जोड़ा गया। दोनों तेरे खाते से संबंधित हैं, न कि तेरे अंतिम उपयोगकर्ताओं से, इसलिए उन्हें गोपनीयता नीति में नामित किया गया है।

5. सुरक्षा

• ट्रांसपोर्ट केवल TLS है, और साधारण HTTP को रीडायरेक्ट किया जाता है।
• पासवर्ड bcrypt से हैश किए जाते हैं और API कुंजियों को हैश्ड रूप में संग्रहीत किया जाता है।
• IP एड्रेस केवल सॉल्टेड SHA-256 के रूप में संग्रहीत होते हैं, जो पंक्ति लिखते समय गणना किया जाता है। सॉल्ट सर्वर पर्यावरण में रहता है, कोड में नहीं।
• डेटाबेस खाते प्रत्येक उपभोक्ता के लिए अलग होते हैं, प्रत्येक में सबसे संकीर्ण अनुमति होती है जो काम करती है, और डेटाबेस केवल लूपबैक पर सुनता है।
• बैकअप को मशीन से बाहर जाने से पहले AES-256 से एन्क्रिप्ट किया जाता है।
• प्रशासनिक एक्सेस SSH कुंजी द्वारा होता है, एक व्यक्ति, कोई साझा क्रेडेंशियल नहीं।

जो हमारे पास नहीं है, क्योंकि इसे दावा करना कहने से भी बदतर होगा: हमारे पास कोई SOC 2 रिपोर्ट या कोई ISO 27001 प्रमाणपत्र नहीं है। Hetzner हमारे सर्वरों के डेटा सेंटर के लिए ISO/IEC 27001 रखता है।

6. ट्रांसफ़र, स्पष्ट रूप से

तेरा डेटा न्यूरेम्बर्ग, जर्मनी में सर्वरों पर प्रोसेस किया जाता है, और हम इसे EEA के बाहर प्रतिलिपि नहीं बनाते।
फिर भी हम यूक्रेन में स्थापित हैं, जिसके पास अनुच्छेद 45 के तहत कोई उपयुक्तता निर्णय नहीं है। EDPB दिशानिर्देश 05/2021 के तहत यह अकेले इसे एक तृतीय देश में ट्रांसफ़र बनाता है, और यूक्रेन से उन जर्मन सर्वरों तक प्रशासनिक एक्सेस भी ऐसा ही है, क्योंकि रिमोट एक्सेस गिनती में आती है भले ही कुछ भी कॉपी न हो। इसलिए हम नहीं कहेंगे कि कोई सीमा‑पार ट्रांसफ़र नहीं है; एक है, और यही इसे कवर करता है।
हम स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़ेज़ ऑफ इम्प्लीमेंटिंग डिसीजन (EU) 2021/914, मॉड्यूल दो (कंट्रोलर से प्रोसेसर) में प्रवेश करते हैं, जो इस समझौते में संदर्भ द्वारा सम्मिलित हैं और यदि दोनों में टकराव हो तो इस पर प्राथमिकता रखते हैं। इस समझौते के अनुभाग 2, 5 और 4 क्रमशः परिशिष्ट I, II और III के रूप में कार्य करते हैं। दोनों पक्षों के नाम के साथ एक हस्ताक्षरित प्रति legal@astroway.info पर अनुरोध पर उपलब्ध है।
व्यवहार में जो ट्रांसफ़र किया जाता है वह जर्मनी में सिस्टम्स तक प्रमाणित प्रशासनिक एक्सेस है, न कि डेटाबेस का निर्यात।

7. यह दिखाना कि हम अनुपालन करते हैं

हम तुझे वह जानकारी देते हैं जिसकी तुझे अनुच्छेद 28 के अनुपालन को प्रदर्शित करने के लिए इस समझौते और ऊपर हमारी सुरक्षा विवरण के माध्यम से आवश्यकता है, और हम किसी भी बारह‑महीने की अवधि में एक उचित लिखित सुरक्षा प्रश्नावली बिना किसी शुल्क के पूरा करेंगे।
यदि यह पर्याप्त नहीं है, तो तू इस समझौते के अनुपालन का ऑडिट किसी भी बारह‑महीने की अवधि में एक बार कर सकता है, तीस दिन की लिखित सूचना पर, रिमोटली, कार्य समय के दौरान, केवल उन प्रोसेसिंग को कवर करते हुए जो हम तेरे लिए करते हैं और कभी भी किसी अन्य ग्राहक के डेटा को नहीं। ऑडिट और किसी भी ऑडिटर की नियुक्ति की लागत तू वहन करेगा। ये सीमाएँ तब लागू नहीं होतीं जब एक पर्यवेक्षी प्राधिकरण निरीक्षण की मांग करता है।

8. यदि कोई उल्लंघन हो

हम तुझे बिना अनावश्यक देरी के सूचित करेंगे जब हमें तेरे लिए प्रोसेस किए जा रहे व्यक्तिगत डेटा में किसी उल्लंघन का पता चलता है, तेरे खाते के पते पर ईमेल द्वारा। पहली सूचना अधूरी हो सकती है, और हम जैसे ही अधिक जानकारी प्राप्त करेंगे, फॉलो‑अप करेंगे।
हमारे पास तेरे अंतिम उपयोगकर्ताओं के कोई संपर्क विवरण नहीं हैं, इसलिए अनुच्छेद 34 के तहत उन्हें सूचित करना तेरी जिम्मेदारी है।

9. इसे समाप्त करना

जब तेरा खाता समाप्त हो, हमें बता कि तू चाहता है कि हम तेरे लिए रखे डेटा को वापस करें या हटाएँ, और हम ऐसा करेंगे। यदि तू कुछ नहीं बताता, तो हम इसे हटा देंगे।
एकमात्र अपवाद वह है जो कर कानून हमें रखने के लिए कहता है: भुगतान रिकॉर्ड, यूक्रेनी टैक्स कोड के §44.3 के तहत 1095 दिनों के लिए। तीन साल, न कि सात जैसा कि इस पाठ के पहले ड्राफ्ट ने अनुमान लगाया था। अनुच्छेद 17(3)(b) GDPR रिकॉर्ड को कानूनी दायित्व के लिए रखता है, जिससे वह मिटाने के अधिकार से बाहर रहता है, इसलिए एक डिलीशन अनुरोध उन तक नहीं पहुँचता।

10. इस समझौते को स्वीकार करना

तू इसे अपने डैशबोर्ड में स्वीकार करता है, और उस स्वीकृति का रिकॉर्ड तेरे खाते, संस्करण और समय को दर्शाता है। अनुच्छेद 28(9) अनुबंध को लिखित रूप में, “इलेक्ट्रॉनिक रूप सहित”, होना आवश्यक करता है, इसलिए वह रिकॉर्ड ही अनुबंध है और इंतजार करने के लिए कुछ नहीं है। तू जो PDF डाउनलोड कर सकता है, वह भी वही रिकॉर्ड रखता है। एक काउंटर‑साइन किया हुआ कागज़ी कॉपी अनुरोध पर उपलब्ध है।
यदि हम इस पाठ को मूल रूप से बदलते हैं, तो यह एक नया संस्करण बन जाता है और हम तुझे उसे स्वीकार करने को कहेंगे; वह संस्करण जिसे तू ने स्वीकार किया है वही रहेगा जिसे तू ने सहमति दी थी।