सारांश
Digital Personal Data Protection Act, 2023 और उसके तहत बने नियम ("DPDP Act") तय करते हैं कि भारत में व्यक्तिगत डेटा को कैसे संभाला जाना चाहिए। Nootus OS को इस तरह बनाया गया है कि CA और accounting firms इसके तहत अपने दायित्व पूरे कर सकें। यह statement बताता है कि कैसे।
केवल Nootus का उपयोग करने से कोई firm compliant नहीं हो जाती। डेटा फ़िड्यूशियरी के रूप में अपने notices, सहमतियों और निर्णयों के लिए हर firm स्वयं ज़िम्मेदार रहती है।
किसकी क्या ज़िम्मेदारी है
कोई firm अपने clients, उनके customers, vendors और कर्मचारियों, तथा अपने staff के बारे में जो व्यक्तिगत डेटा रखती है, उसके लिए firm डेटा फ़िड्यूशियरी (data fiduciary) है और Nootus उसका डेटा प्रोसेसर (data processor) है।
इस website पर आने वालों, हमारे forms submit करने वालों, और Nootus में sign in करने वाले लोगों के account details के लिए, Nootus डेटा फ़िड्यूशियरी है।
प्रोसेसर के रूप में हम क्या करते हैं
Firm के डेटा के लिए, Nootus:
- उसका प्रसंस्करण केवल firm के निर्देशों पर और सेवा प्रदान करने के लिए करता है;
- उसका उपयोग कभी भी किसी AI model को train या fine-tune करने के लिए नहीं करता;
- हर firm का डेटा अलग रखता है, transit और storage में encrypted, और PAN, bank details तथा portal passwords के लिए एक अतिरिक्त परत के साथ;
- अपने staff को केवल read-only support access देता है, एक समय में एक record, किसी ticket से जुड़ा और record किया हुआ;
- किसने क्या किया, इसका activity log रखता है, जिसमें हर AI agent और वह जिस व्यक्ति को report करता है, शामिल हैं;
- डेटा प्रिंसिपल (data principal) के अपने डेटा तक पहुंच, उसे सही करने या मिटाने के अनुरोधों का उत्तर देने में firm की सहायता करता है;
- केवल हमारे sub-processors page पर सूचीबद्ध sub-processors का उपयोग करता है, और किसी नए को जोड़ने से पहले firms को बताता है;
- firm के छोड़ने पर डेटा लौटाता या delete करता है, सिवाय उसके जिसे रखने की अपेक्षा firm या कानून करता है।
फ़िड्यूशियरी के रूप में firms क्या करती हैं
Firm अपने clients को DPDP Act द्वारा अपेक्षित notice देती है, जहां सहमति प्रसंस्करण का आधार है वहां सहमति प्राप्त करती है, और तय करती है कि records कितने समय तक रखे जाएं। Nootus firms को इसके लिए साधन देता है: roles और approve permissions, activity log, password vault का view log, डेटा export और deletion।
Nootus के माध्यम से WhatsApp या email पर clients को message भेजने से पहले, firm के पास उनका opt-in होना चाहिए।
डेटा प्रिंसिपल के अधिकार
जिन लोगों का डेटा Nootus में है, वे उसका सारांश मांग सकते हैं, उसे सही करवा सकते हैं, आवश्यकता न रहने पर उसे मिटवा सकते हैं, सहमति वापस ले सकते हैं, किसी को nominate कर सकते हैं, और अपनी शिकायतों का निवारण करवा सकते हैं। जहां firm फ़िड्यूशियरी है, वहां अनुरोध firm के पास जाते हैं और हम उत्तर देने में उसकी सहायता करते हैं। जहां Nootus फ़िड्यूशियरी है, वहां हमारे Grievance Officer को लिखें।
Breach की सूचना
यदि हमें किसी firm के डेटा को प्रभावित करने वाले व्यक्तिगत डेटा उल्लंघन की जानकारी मिलती है, तो हम बिना अनुचित देरी के, और किसी भी स्थिति में 72 घंटों के भीतर, firm को सूचित करेंगे, यह बताते हुए कि हमें क्या पता है, हम क्या कर रहे हैं और firm को क्या करना पड़ सकता है। भारतीय डेटा संरक्षण बोर्ड और प्रभावित लोगों को सूचित करने में हम firm की सहायता करेंगे।
जहां Nootus फ़िड्यूशियरी है, वहां हम स्वयं बोर्ड और प्रभावित लोगों को सूचित करते हैं। Cyber security घटनाओं की सूचना CERT-In को भी, उसके निर्देशों में अपेक्षित समय के भीतर, दी जाती है।
वैधानिक records
Nootus अपने आप returns file नहीं करता। Returns, firm द्वारा, firm के किसी व्यक्ति के approval के बाद file किए जाते हैं। Books of account, returns और संबंधित records firm के निर्देश पर वैधानिक अवधि तक रखे जाते हैं, और उन्हें मिटाने के अनुरोधों पर firm इसी बात को ध्यान में रखकर निर्णय लेती है।
बच्चों का डेटा
Firms के पास नाबालिगों का डेटा हो सकता है, उदाहरण के लिए payroll में आश्रित या किसी परिवार के returns में नाबालिगों की आय। जहां आवश्यक हो, firm माता-पिता या अभिभावक की सहमति प्राप्त करती है। Nootus बच्चों को track नहीं करता और न ही उनके डेटा का advertising के लिए उपयोग करता है।
भारत के बाहर transfer
Nootus OS भारत में hosted है। कुछ services भारत के बाहर डेटा का प्रसंस्करण करती हैं, जैसे WhatsApp (Meta), Google services, Cloudflare Turnstile और वह AI provider जिसे कोई firm चुनती है। हम डेटा केवल DPDP Act द्वारा अनुमत सीमा तक transfer करते हैं, और कभी भी ऐसे देश में नहीं जिस पर भारत सरकार ने प्रतिबंध लगाया हो।
Grievance Officer
हमारे Grievance Officer को privacy@nootus.ai पर लिखें। हम 7 दिनों के भीतर उत्तर देते हैं। यदि आप संतुष्ट नहीं हैं, तो आप भारतीय डेटा संरक्षण बोर्ड से शिकायत कर सकते हैं।