पक्ष, उद्देश्य और अवधि
ग्राहक संगठन प्रशिक्षण के उद्देश्यों के लिए उत्तरदायी है। ऑर्डर की गई सुविधाएँ प्रदान करने के लिए प्रकाशक उप-प्रसंस्करणकर्ता के रूप में कार्य करता है। स्वीकृत समझौते में ग्राहक की पहचान, संदर्भ अनुबंध, प्रभावी तिथि और अवधि दर्ज की जानी चाहिए।
इसमें प्राप्त करना, संग्रहित करना, दस्तावेज़ निकालना, वॉइस सिमुलेशन, ट्रांसक्रिप्शन, परिदृश्य तैयार करना, प्रशिक्षण संबंधी विश्लेषण और परिणाम उपलब्ध कराना शामिल है। ये गतिविधियाँ सेवा अवधि के दौरान और उसके बाद सहमति के अनुसार डेटा लौटाने तथा मिटाने के नियमों के तहत की जाएँगी।
व्यक्ति और डेटा
संबंधित व्यक्तियों में ग्राहक टीमों के उपयोगकर्ता, प्रशासक और सदस्य शामिल हैं। डेटा की श्रेणियों में पेशेवर पहचान-सूचक, भूमिकाएँ, प्रशिक्षण सामग्री, ट्रांसक्रिप्ट, परिणाम, अधिकृत दस्तावेज़ और सुरक्षा लॉग शामिल हैं।
ग्राहक केवल आवश्यक डेटा भेजने के लिए प्रतिबद्ध है। स्वास्थ्य संबंधी डेटा, संवेदनशील मामले और संभावित ग्राहकों के बारे में वास्तविक जानकारी को तब शामिल नहीं किया जाना चाहिए, जब काल्पनिक उदाहरण से उद्देश्य पूरा हो सकता हो। ऐप्लिकेशन में कोई ऑडियो फ़ाइल सहेजी नहीं जाती।
निर्देश और गोपनीयता
प्रसंस्करण को ग्राहक के दस्तावेज़ित निर्देशों और सहमत सेवा के लिए आवश्यक गतिविधियों तक सीमित रखना होगा। डेटा तक पहुँचने के लिए अधिकृत लोगों पर उपयुक्त गोपनीयता दायित्व लागू होना चाहिए।
लागू नियमों का उल्लंघन करने की आशंका वाले किसी निर्देश के बारे में ग्राहक को सूचित करना होगा। केवल होस्टिंग या AI के उपयोग के आधार पर यह नहीं माना जा सकता कि डेटा का किसी अलग, स्वयं के उद्देश्य के लिए पुनः उपयोग किया जाएगा।
तकनीकी और संगठनात्मक उपाय
व्यवस्था में संगठनों को अलग रखना, भूमिका के अनुसार अनुमतियाँ, प्रमाणीकरण और उपलब्ध दो-कारक प्रमाणीकरण, साथ ही सुरक्षा कार्रवाइयों का रिकॉर्ड रखना शामिल है। उत्पादन में संचार के लिए एन्क्रिप्टेड चैनलों का उपयोग किया जाता है।
सुरक्षा अनुलग्नक में होस्टिंग पैरामीटर, सेवा-प्रदाताओं द्वारा संग्रहीत डेटा का एन्क्रिप्शन, प्रशासकीय पहुँच, बैकअप, परीक्षण और वास्तव में लागू घटना-प्रबंधन प्रक्रियाएँ स्पष्ट होनी चाहिए। किसी प्रमाणन, गारंटीकृत उपलब्धता या भविष्य के उपाय को पहले से सत्यापित बताकर प्रस्तुत नहीं किया जाना चाहिए।
आगे के उप-प्रसंस्करणकर्ता और डेटा स्थानांतरण
ऑनलाइन सूची उन तकनीकी सेवा-प्रदाताओं की पहचान करती है जिनका उपयोग किया जा रहा है या जिनका उपयोग प्रस्तावित है। वास्तविक उपयोग, डेटा की श्रेणियाँ, देश और सुरक्षा उपाय स्वीकृत अनुलग्नक में दर्ज होने चाहिए।
बदलावों की सूचना देने की प्रक्रिया, आपत्ति की समय-सीमा और उचित आधार वाली आपत्ति के परिणामों पर सहमति होना बाकी है। यूरोपीय आर्थिक क्षेत्र के बाहर किसी भी स्थानांतरण के लिए लागू तंत्र और, जहाँ आवश्यक हो, जरूरी आकलन तथा अतिरिक्त सुरक्षा उपाय होने चाहिए। केवल EU में होस्टिंग होने से डेटा स्थानांतरण की संभावना समाप्त नहीं होती।
सहायता और डेटा उल्लंघन
प्रकाशक, उपलब्ध जानकारी और सुविधाओं की सीमाओं के भीतर, अधिकार संबंधी अनुरोधों, सुरक्षा दस्तावेज़ीकरण और ग्राहक के प्रसंस्करण के लिए आवश्यक विश्लेषण में उसकी सहायता करता है।
ग्राहक से संबंधित डेटा उल्लंघन का पता चलने के बाद बिना अनुचित देरी के उसे सूचित किया जाना चाहिए। उपलब्ध जानकारी दी जाएगी और विश्लेषण आगे बढ़ने पर अतिरिक्त विवरण साझा किए जाएँगे। संपर्क विवरण, अलर्ट चैनल और कार्यों का बँटवारा दर्ज किया जाना चाहिए; इस मसौदे में कोई संख्यात्मक संविदात्मक समय-सीमा नहीं जोड़ी गई है।
सेवा का अंत, प्रमाण और ऑडिट
डेटा लौटाने या मिटाने का विकल्प, निर्यात का प्रारूप, समय-सारणी और बैकअप का प्रबंधन सहमति से तय होना चाहिए। कानूनी प्रतिधारण दायित्वों की अलग से पहचान की जाती है।
ग्राहक को उप-प्रसंस्करणकर्ता के दायित्वों का आकलन करने के लिए आवश्यक जानकारी प्राप्त करने में सक्षम होना चाहिए। ऑडिट की शर्तें, गोपनीयता, दायरा और संभावित लागतें तय की जानी बाकी हैं। यह ऑनलाइन संस्करण चर्चा का आधार है, इस बात का प्रमाण नहीं कि ऑडिट या कानूनी समीक्षा पहले ही हो चुकी है।