गोपनीयता नीति

Read in English

यह हिंदी अनुवाद है। किसी अंतर की स्थिति में अंग्रेज़ी संस्करण मान्य होगा।

यह नीति बताती है कि हम कौन सी व्यक्तिगत जानकारी एकत्र करते हैं, क्यों, किसके साथ साझा करते हैं, और आपके पास क्या विकल्प और अधिकार हैं। यह इस वेबसाइट, YOM (Your Own Metrics) सेवा, और ग्राहकों तथा संभावित ग्राहकों के साथ हमारे व्यवहार पर लागू होती है।

1. हम कौन हैं

YOM को एक ही समूह की तीन कंपनियाँ चलाती हैं। आप किस कंपनी से जुड़े हैं, यह इस पर निर्भर करता है कि आप कहाँ हैं। व्यावसायिक खाते के लिए, यह व्यवसाय के बिलिंग पते का देश है।

• भारत: Aapastech Private Limited (CIN U72900DL2022PTC395508; पंजीकृत कार्यालय 8/3, 2nd Floor, Roop Nagar, Delhi 110007, India)। भारतीय कानून के तहत यह आपके व्यक्तिगत डेटा के लिए डेटा न्यासी (data fiduciary) है।
• यूरोपीय संघ और यूनाइटेड किंगडम: Aapastech OÜ (रजिस्ट्री कोड 16453146, VAT EE102489493, Tornimäe tn 3 // 5 // 7, 10145 Tallinn, Estonia)। GDPR और UK GDPR के तहत यह आपके व्यक्तिगत डेटा का नियंत्रक (controller) है।
• बाकी सभी जगह: 14818032 Canada Inc. (Burlington, Ontario, Canada)। यह आपके व्यक्तिगत डेटा का नियंत्रक है।

तीनों कंपनियाँ इंजीनियरिंग, होस्टिंग और सहायता साझा करती हैं, और समूह के भीतर के एक लिखित समझौते के तहत हर कंपनी बाकी कंपनियों के लिए व्यक्तिगत डेटा प्रोसेस करती है। इस दस्तावेज़ में “YOM”, “हम” और “हमें” का अर्थ इनमें से वह कंपनी है जिससे आप जुड़े हैं।

Shikha Gupta भारत के लिए हमारे शिकायत अधिकारी, 14818032 Canada Inc. के लिए निजता अधिकारी (Privacy Officer), क्यूबेक के लिए व्यक्तिगत जानकारी की सुरक्षा के प्रभारी व्यक्ति, और Aapastech OÜ के लिए निजता संपर्क हैं। उन्हें contact@aapastech.com पर लिखें, या +91 96677 47082 (भारत) या +1 437 800 0190 (कनाडा) पर कॉल करें। हम शिकायतों को कैसे और कितनी जल्दी निपटाते हैं, यह शिकायत अधिकारी पेज पर बताया गया है।

2. हमारी दो भूमिकाएँ

• नियंत्रक (controller) के रूप में (वह संगठन जो तय करता है कि जानकारी क्यों और कैसे इस्तेमाल होगी), इस वेबसाइट पर आने वाले लोगों, हमसे संपर्क करने वाले लोगों, और YOM खाते रखने या इस्तेमाल करने वाले लोगों की जानकारी के लिए। भारत में हम इस जानकारी के लिए डेटा न्यासी (data fiduciary) हैं, और यूरोपीय संघ तथा यूनाइटेड किंगडम में Aapastech OÜ इसका नियंत्रक है (खंड 15)। खंड 3, 4 और 6 से 18 में इसका वर्णन है।
• प्रोसेसर या सेवा प्रदाता के रूप में, उस एनालिटिक्स डेटा के लिए जो हमारे ग्राहक अपनी वेबसाइटों और ऐप्स पर आने वाले लोगों (“अंतिम उपयोगकर्ता”, End Users) के बारे में एकत्र करते हैं और YOM को भेजते हैं। ग्राहक तय करता है कि क्या एकत्र किया जाए और क्यों, और हम इसे केवल ग्राहक के निर्देशों पर, हमारे Data Processing Addendum (डेटा प्रोसेसिंग परिशिष्ट) के तहत प्रोसेस करते हैं। खंड 5 में इसका वर्णन है। अगर आप हमारे किसी ग्राहक के अंतिम उपयोगकर्ता हैं, तो कृपया उस ग्राहक की गोपनीयता सूचना पढ़ें और अपने अनुरोध उसी को भेजें; अगर आप हमसे संपर्क करते हैं, तो जहाँ हम ग्राहक की पहचान कर सकें, वहाँ हम आपका अनुरोध उस ग्राहक को भेज देंगे।

3. वेबसाइट पर आने वाले लोग और पूछताछ

• संपर्क फ़ॉर्म और ईमेल। जब आप हमारे संपर्क फ़ॉर्म का उपयोग करते हैं या हमें लिखते हैं, तो हम आपका नाम, ईमेल, कंपनी (वैकल्पिक), विषय, आपके इवेंट की अनुमानित मात्रा (वैकल्पिक), आपका संदेश, वह पेज जिससे आपने इसे भेजा और समय एकत्र करते हैं। फ़ॉर्म को Tyashin संभालता है, जो हमारा अपना वेबसाइट प्लेटफ़ॉर्म है। वह पूछताछ को सहेजता है और ईमेल से हमारी टीम को सूचित करता है।
• तकनीकी जानकारी। किसी भी वेबसाइट की तरह, हमारा होस्टिंग प्रदाता पेज दिखाने, दुरुपयोग से बचाने और कम समय तक रहने वाले लॉग रखने के लिए आपका IP पता, ब्राउज़र का user agent और अनुरोध का विवरण प्रोसेस करता है।
• कुकीज़। यह वेबसाइट अपनी कोई कुकी सेट नहीं करती और कोई एनालिटिक्स या विज्ञापन टैग लोड नहीं करती। हमारे होस्ट केवल बिल्कुल ज़रूरी चीज़ें जोड़ते हैं (Cloudflare की एक सुरक्षा कुकी, और त्रुटि रिपोर्टिंग के लिए इस्तेमाल होने वाली सेशन स्टोरेज कुंजियाँ)। Cookie Policy (कुकी नीति) देखें। अगर हम बाद में एनालिटिक्स जोड़ते हैं, तो हम YOM को उसके डिफ़ॉल्ट बिना-कुकी मोड में इस्तेमाल करेंगे और पहले उस नीति को अपडेट करेंगे।

4. खाताधारक

• पहचान और साइन-इन: नाम, ईमेल पता, पासवर्ड जो केवल salted hash के रूप में सहेजा जाता है, आपका ईमेल सत्यापित है या नहीं, मल्टी-फ़ैक्टर ऑथेंटिकेशन की सेटिंग्स और रिकवरी कोड (hash के रूप में सहेजे गए), और अगर आप Google से साइन इन करते हैं तो आपका Google खाता पहचानकर्ता।
• संगठन: संगठन का नाम, प्लान, मुद्रा, साइन-अप के समय आपके IP पते से अनुमानित देश (मुद्रा, टैक्स और भुगतान प्रदाता चुनने के लिए इस्तेमाल), आपकी भूमिका, और आपके आमंत्रित किए गए टीम सदस्य।
• बिलिंग: बिलिंग संपर्क विवरण, इनवॉइस, टैक्स की जानकारी और भुगतान प्रदाता के संदर्भ। कार्ड और बैंक विवरण हमारे भुगतान प्रदाता एकत्र करते हैं, हम नहीं।
• उपयोग और सुरक्षा रिकॉर्ड: आपने आख़िरी बार कब साइन इन किया, प्रशासनिक कार्यों के ऑडिट रिकॉर्ड (किसने क्या किया, कब, और किस IP पते से), API उपयोग और त्रुटि लॉग, और सहायता टीम को भेजे गए आपके संदेश।
• आपके जोड़े गए प्राप्तकर्ता: निर्धारित रिपोर्टों, अलर्ट और क्लाइंट-पोर्टल लॉगिन के लिए आप जो ईमेल पते दर्ज करते हैं। कृपया केवल उन्हीं लोगों को जोड़ें जो इन्हें पाने की उम्मीद रखते हैं।
• पार्टनर द्वारा आपके लिए खोले गए खाते: अगर आपके उपयोग किए जाने वाले किसी प्लेटफ़ॉर्म ने आपके लिए YOM खाता खोला है, तो उसने हमें आपके व्यवसाय का नाम, आपकी साइटों के नाम और वेब पते, और खाते पर दावा करने की अनुमति वाले व्यक्ति का ईमेल पता दिया, ताकि हम खाता बना सकें और वह व्यक्ति उस पर दावा कर सके।

5. ग्राहकों के लिए हम जो एनालिटिक्स डेटा प्रोसेस करते हैं

YOM तक क्या पहुँचता है, यह इस पर निर्भर करता है कि हर ग्राहक इसे कैसे कॉन्फ़िगर करता है। मौजूदा YOM ब्राउज़र SDK और ingest API के साथ, डिफ़ॉल्ट रूप से:

• कोई कुकी नहीं, और सहमति के बिना कोई स्थायी पहचानकर्ता नहीं। जब तक कोई अंतिम उपयोगकर्ता एनालिटिक्स के लिए सहमति नहीं देता, SDK कोई स्थायी id नहीं रखता और ब्राउज़र में कुछ नहीं लिखता, और हमारे सर्वर ब्राउज़र द्वारा भेजी गई कोई भी visitor id या user id हटा देते हैं। Do Not Track और Global Privacy Control को डिफ़ॉल्ट रूप से इनकार माना जाता है।
• सहमति मिलने पर, SDK ब्राउज़र के लोकल स्टोरेज में एक रैंडम visitor id, 30 मिनट का सेशन और सहमति का विकल्प रखता है (Cookie Policy देखें)। ग्राहक अपनी user id भी जोड़ सकता है। अगर कोई ग्राहक वैकल्पिक cross-site identity सुविधा चालू करता है, तो SDK, केवल सहमति देने वाले अंतिम उपयोगकर्ताओं के लिए, ब्राउज़र की विशेषताओं का एक hash भी सहेजता है, ताकि उस ग्राहक की साइटों पर एक ही ब्राउज़र को पहचाना जा सके।
• इवेंट की सामग्री: इवेंट का नाम और पैरामीटर, पेज का path (query strings और fragments ब्राउज़र में ही हटा दिए जाते हैं), रेफ़र करने वाली साइट का host, campaign tags, विज्ञापन click id मौजूद था या नहीं, डिवाइस का प्रकार, ब्राउज़र और ऑपरेटिंग सिस्टम (user agent से निकाले गए, जिसे फिर हटा दिया जाता है), और अनुमानित स्थान (देश, क्षेत्र और शहर, जिन्हें हमारा होस्टिंग प्रदाता IP पते से निकालता है)।
• IP पते इवेंट रिकॉर्ड में सहेजे नहीं जाते। इनका इस्तेमाल ट्रांज़िट के दौरान अनुमानित स्थान निकालने, सेवा की सुरक्षा करने, और, जहाँ कोई ग्राहक वैकल्पिक बिना-कुकी visitor hash चालू करता है या हमारे पुराने (legacy) v1 endpoints इस्तेमाल करता है, वहाँ रोज़ बदलने वाला hashed पहचानकर्ता बनाने के लिए होता है।
• पुराने (legacy) v1 endpoints: ये भी मौजूदा SDK जैसे ही Do Not Track, Global Privacy Control, केवल-path URL और scrubbing के नियम लागू करते हैं। लेकिन इन्हें कोई सहमति संकेत नहीं मिलता, इसलिए इन्हें अब भी इस्तेमाल करने वाला कोई पुराना SDK ब्राउज़र में अपनी visitor id रख सकता है। हम इनसे कभी ब्राउज़र fingerprint नहीं रखते।
• Scrubbing (हटाना): ब्राउज़र इवेंट से वे पैरामीटर हटा दिए जाते हैं जो ईमेल, फ़ोन नंबर, नाम, पते या कार्ड नंबर जैसे दिखते हैं। कोई ग्राहक अपने सर्वर से जो इवेंट भेजता है, वे scrub नहीं किए जाते; उनकी सामग्री ग्राहक के नियंत्रण में होती है।
• आगे भेजना (Forwarding): ग्राहक इवेंट को अपने गंतव्यों पर भेज सकता है, जैसे webhooks, Meta, Google Analytics, क्लाउड स्टोरेज या डेटा वेयरहाउस। विज्ञापन प्लेटफ़ॉर्म पर भेजना केवल तब होता है जब अंतिम उपयोगकर्ता ने मार्केटिंग के लिए स्पष्ट सहमति दी हो और कोई Global Privacy Control संकेत न हो। उस स्थिति में SDK, Meta की अपनी ब्राउज़र कुकीज़ और Meta click id को पढ़ सकता है (कभी सेट नहीं करता), ताकि Meta कन्वर्ज़न का मिलान कर सके।

अगर कोई ग्राहक YOM Intent चालू करता है, तो हम उस ग्राहक के लिए, केवल उसकी अपनी साइटों से, रुचि प्रोफ़ाइल भी बनाते हैं, और उसके निर्देशों पर scrambled ईमेल पते या फ़ोन नंबर ग्राहक के अपने विज्ञापन खातों को भेजते हैं। हम एक ग्राहक की प्रोफ़ाइल को कभी दूसरे ग्राहक की प्रोफ़ाइल के साथ नहीं मिलाते। YOM Intent तब तक बंद रहता है जब तक ग्राहक इसे चालू न करे, और YOM Intent Addendum इसके नियम तय करता है: प्रोफ़ाइल केवल अंतिम उपयोगकर्ता की वैयक्तिकरण (personalisation) के लिए सहमति से बनती है, audience export में केवल वे लोग शामिल होते हैं जिन्होंने विज्ञापन के लिए सहमति दी है, और जिस किसी के किसी भी जुड़े डिवाइस पर Global Privacy Control संकेत, opt-out या सहमति वापसी दर्ज है, उसे बाहर रखा जाता है। डिफ़ॉल्ट रूप से, 180 दिन तक कोई गतिविधि न होने पर प्रोफ़ाइल मिटा दी जाती हैं, और 13 महीने या ग्राहक की अपनी डेटा रखने की अवधि के बाद कभी नहीं रखी जातीं। सहमति की रसीदें (इस बात का रिकॉर्ड कि किसी व्यक्ति ने क्या चुना, कब और किस पेज पर) अन्य इवेंट की तरह ग्राहक के प्रोजेक्ट की डेटा रखने की अवधि तक रखी जाती हैं। YOM Intent यूरोपीय संघ या यूनाइटेड किंगडम के ग्राहकों को नहीं दिया जाता, और यह यूरोपीय आर्थिक क्षेत्र, यूनाइटेड किंगडम, स्विट्ज़रलैंड या क्यूबेक के अंतिम उपयोगकर्ताओं के लिए उपलब्ध नहीं है।

हम ग्राहक डेटा (Customer Data) का इस्तेमाल केवल उस ग्राहक को सेवा देने, उसे सुरक्षित रखने और उसमें सहायता करने के लिए करते हैं, जैसा DPA में बताया गया है, और ऐसे समेकित आँकड़े बनाने के लिए जिनसे किसी की पहचान नहीं होती, जैसा हमारी शर्तों का खंड 6 अनुमति देता है। हम इसे बेचते नहीं, अपने विज्ञापन के लिए इस्तेमाल नहीं करते, और अंतिम उपयोगकर्ताओं की प्रोफ़ाइल बनाने के लिए अलग-अलग ग्राहकों का डेटा नहीं मिलाते। जो ग्राहक वैकल्पिक AI सुविधाएँ चालू करते हैं, उनके लिए ये सुविधाएँ हमारे होस्टिंग प्रदाता की AI सेवा पर उसी ग्राहक के समेकित रिपोर्ट डेटा से चलती हैं; हम ग्राहक डेटा अन्य AI मॉडल प्रदाताओं को नहीं भेजते।

6. उद्देश्य और कानूनी आधार

हम खंड 3 और 4 की जानकारी का इस्तेमाल इनके लिए करते हैं:

• वेबसाइट और सेवा देना, सुरक्षित रखना और उसमें सहायता करना, और उपयोगकर्ताओं को प्रमाणित करना (अनुबंध का पालन; वैध हित);
• पूछताछ का जवाब देना और आपके माँगे गए डेमो पर आगे बात करना (आपका अनुरोध; हमारा कारोबार बढ़ाने में वैध हित);
• बिल बनाना, भुगतान लेना, लेखा और टैक्स रिकॉर्ड रखना (अनुबंध का पालन; कानूनी दायित्व);
• सेवा से जुड़े संदेश भेजना, जैसे सत्यापन, पासवर्ड रीसेट, सुरक्षा, बिलिंग और नीति से जुड़ी सूचनाएँ (अनुबंध का पालन; वैध हित);
• धोखाधड़ी, दुरुपयोग और सुरक्षा घटनाओं का पता लगाना और उन्हें रोकना, और अपनी शर्तें लागू करना (वैध हित; कानूनी दायित्व);
• समेकित या पहचान-रहित जानकारी से सेवा को बेहतर बनाना (वैध हित);
• कानून का पालन करना और वैध अनुरोधों का जवाब देना (कानूनी दायित्व)।

हम मार्केटिंग ईमेल केवल वहीं भेजते हैं जहाँ कानून अनुमति देता है, जिसमें कनाडा का anti-spam कानून भी शामिल है, और हर संदेश में unsubscribe करने का विकल्प होता है। हम व्यक्तिगत जानकारी नहीं बेचते, न ही cross-context behavioural advertising के लिए उसे साझा करते हैं, और हम केवल स्वचालित प्रोसेसिंग के आधार पर आपके बारे में ऐसे निर्णय नहीं लेते जिनका कानूनी या उतना ही महत्वपूर्ण असर हो।

7. हम इसे किसके साथ साझा करते हैं

• सेवा प्रदाता जो हमारे सिस्टम होस्ट करते और चलाते हैं, हमारे ईमेल भेजते हैं और भुगतान प्रोसेस करते हैं, ऐसे अनुबंधों के तहत जो जानकारी के उनके इस्तेमाल को सीमित करते हैं। उनकी सूची हमारे उप-प्रोसेसर पेज पर है।
• ग्राहक द्वारा कॉन्फ़िगर किए गए गंतव्य, जिन्हें उस ग्राहक का डेटा उसके निर्देशों पर मिलता है।
• आपका संगठन और उसके क्लाइंट। खाते के मालिक और एडमिन अपनी टीम की गतिविधि देख सकते हैं; जिन लोगों को आप पोर्टल या रिपोर्ट की पहुँच देते हैं, वे उन रिपोर्टों को देख सकते हैं।
• सलाहकार और प्राधिकरण, जहाँ कानून, अदालत के आदेश या किसी बाध्यकारी अनुरोध का पालन करने, या अधिकारों, सुरक्षा और संपत्ति की रक्षा के लिए ज़रूरी हो।
• कोई खरीदार या उत्तराधिकारी, किसी विलय, अधिग्रहण, फ़ाइनेंसिंग या संपत्ति की बिक्री में, इस नीति के अधीन।

8. डेटा कहाँ प्रोसेस होता है

हमारी तीनों कंपनियाँ भारत, एस्टोनिया और कनाडा में स्थित हैं। Aapastech Private Limited और 14818032 Canada Inc. पूरे समूह के लिए YOM चलाती हैं, इसलिए दोनों में से कोई भी व्यक्तिगत जानकारी तक पहुँच सकती है। हमारी सेवा Cloudflare के वैश्विक नेटवर्क पर चलती है, इसलिए व्यक्तिगत जानकारी भारत, कनाडा, यूरोपीय संघ, संयुक्त राज्य अमेरिका और ऐसे अन्य देशों में प्रोसेस और संग्रहीत हो सकती है जहाँ हमारे प्रदाता या उनके डेटा सेंटर काम करते हैं। फ़िलहाल हम डेटा का स्थान चुनने का विकल्प नहीं देते, न ही यह वादा करते हैं कि डेटा किसी एक देश में ही रहेगा। आपके प्रांत या देश से बाहर प्रोसेस होने वाला डेटा वहाँ की अदालतों और प्राधिकरणों के लिए सुलभ हो सकता है। यूरोपीय संघ या यूनाइटेड किंगडम के डेटा के लिए, कनाडा को ट्रांसफ़र यूरोपीय आयोग (PIPEDA के अधीन वाणिज्यिक संगठनों के लिए) और यूनाइटेड किंगडम के पर्याप्तता (adequacy) निर्णयों पर आधारित हैं, और भारत तथा संयुक्त राज्य अमेरिका को ट्रांसफ़र, UK International Data Transfer Addendum के साथ मानक संविदात्मक खंडों (Standard Contractual Clauses), या जहाँ प्रदाता प्रमाणित है वहाँ Data Privacy Framework पर आधारित हैं (खंड 15)। स्विट्ज़रलैंड का डेटा, जितना स्विस कानून अनुमति देता है, उन्हीं व्यवस्थाओं के तहत आता है, जैसा DPA में बताया गया है। भारत से बाहर ट्रांसफ़र खंड 12 में बताए गए हैं।

9. हम इसे कितने समय तक रखते हैं

• पूछताछ और बिक्री से जुड़ा पत्राचार: हमारे आख़िरी संवाद के बाद 24 महीने तक, जब तक आप ग्राहक न बन जाएँ।
• खाते की जानकारी: जब तक खाता खुला है, और फिर विवादों और सुरक्षा मामलों को निपटाने के लिए खाता बंद होने के बाद 24 महीने तक, जब तक आप इसे पहले मिटाने को न कहें और कोई अपवाद लागू न हो।
• बिलिंग और टैक्स रिकॉर्ड (इनवॉइस, भुगतान और सब्सक्रिप्शन रिकॉर्ड): कनाडा और भारत के टैक्स और लेखा कानूनों का पालन करने के लिए खाता बंद होने के बाद 8 साल तक रखे जाते हैं, फिर अपने आप मिटा दिए जाते हैं।
• ऑडिट और सुरक्षा रिकॉर्ड: जब तक सुरक्षा और जवाबदेही के लिए ज़रूरी हो, सामान्यतः 24 महीने से ज़्यादा नहीं।
• हमारे होस्टिंग प्रदाता द्वारा रखे जाने वाले कम समय के ऑपरेशनल लॉग: कुछ दिनों से कुछ हफ़्तों तक।
• ग्राहक डेटा: इवेंट रिकॉर्ड और रिपोर्ट ग्राहक के प्लान और सेटिंग्स की डेटा रखने की अवधि के अनुसार रहते हैं। कच्चा (raw) इवेंट आर्काइव प्रोजेक्ट के पूरे जीवनकाल तक रखा जाता है, ताकि ग्राहक उसे export कर सके। जब कोई ग्राहक कोई प्रोजेक्ट मिटाता है या अपना खाता बंद करता है, तो उसका ग्राहक डेटा 30 दिन की छूट अवधि के बाद, और हर हाल में 180 दिनों के भीतर, मिटा दिया जाता है, जैसा DPA में बताया गया है। हम अपने डेटाबेस का रोज़ बैकअप लेते हैं और हर बैकअप 30 दिन तक रखते हैं, इसलिए मिटाया गया डेटा 30 दिनों के भीतर बैकअप से भी हट जाता है।

जहाँ कानून की माँग हो, या कानूनी दावे स्थापित करने या उनका बचाव करने के लिए, हम जानकारी ज़्यादा समय तक रख सकते हैं। अगर आप भारत में हैं, तो खंड 12 उस सीलबंद प्रति के बारे में बताता है जो भारतीय कानून के तहत 13 मई 2027 से हमें मिटाने के बाद रखनी होगी।

10. सुरक्षा

हम जानकारी की संवेदनशीलता के अनुरूप तकनीकी और संगठनात्मक सुरक्षा उपाय अपनाते हैं, जिनमें ट्रांज़िट के दौरान एन्क्रिप्शन, पासवर्ड और API keys की hashing, सहेजे गए destination credentials, secret keys और मल्टी-फ़ैक्टर ऑथेंटिकेशन secrets का एन्क्रिप्शन, भूमिका के आधार पर पहुँच, हर खाते के लिए उपलब्ध मल्टी-फ़ैक्टर ऑथेंटिकेशन, और हर ग्राहक के डेटा को अलग रखना शामिल है। इसका सारांश DPA में और हमारे सुरक्षा पेज पर है। कोई भी सिस्टम पूरी तरह सुरक्षित नहीं होता; अगर सुरक्षा उपायों के उल्लंघन से गंभीर नुकसान का वास्तविक जोखिम पैदा होता है, तो हम कानून के अनुसार प्रभावित लोगों और नियामकों को सूचित करेंगे।

11. आपके अधिकार

आप कहाँ रहते हैं, इसके आधार पर आपको ये अधिकार हो सकते हैं: यह जानना कि हमारे पास आपके बारे में कौन सी व्यक्तिगत जानकारी है और उसकी प्रति पाना; उसे सुधरवाना; उसे मिटवाना; उसे portable (दूसरी जगह ले जाने योग्य) प्रारूप में पाना; सहमति वापस लेना; कुछ प्रोसेसिंग पर आपत्ति करना या उसे सीमित करवाना; और इन अधिकारों का इस्तेमाल करने पर भेदभाव का शिकार न होना। अनुरोध करने के लिए contact@aapastech.com पर ईमेल करें। कार्रवाई से पहले हम आपकी पहचान सत्यापित करेंगे, इसके लिए और जानकारी माँग सकते हैं, और कानून में तय समय के भीतर (आम तौर पर 30 दिन) जवाब देंगे। कोई अधिकृत एजेंट अधिकार का प्रमाण देकर आपकी ओर से अनुरोध कर सकता है। अगर हम कोई अनुरोध अस्वीकार करते हैं, तो हम कारण बताएँगे और यह भी कि शिकायत कैसे करें।

जो डेटा हम किसी ग्राहक के लिए प्रोसेस करते हैं (खंड 5), उसके लिए कृपया उसी ग्राहक से संपर्क करें। अगर आप हमसे संपर्क करते हैं, तो हम अनुरोध उस ग्राहक को भेजेंगे और जवाब देने में उसकी मदद करेंगे।

12. भारत: Digital Personal Data Protection Act, 2023 (डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023)

अगर आप भारत में हैं, तो खंड 3 और 4 के व्यक्तिगत डेटा के लिए Aapastech Private Limited डेटा न्यासी है, और यह खंड इस नीति के बाकी हिस्सों के साथ आप पर लागू होता है।

आपके अधिकार। आप हमसे उस व्यक्तिगत डेटा का सारांश माँग सकते हैं जो हमारे पास आपके बारे में है, और यह भी कि हम उसके साथ क्या करते हैं; उसे सुधारने, पूरा करने, अपडेट करने या मिटाने को कह सकते हैं; दी गई कोई भी सहमति वापस ले सकते हैं (उतनी ही आसानी से जितनी आसानी से आपने दी थी); और किसी ऐसे व्यक्ति को नामित कर सकते हैं जो आपकी मृत्यु होने या आपके कार्य करने में असमर्थ होने पर आपकी ओर से कार्य करे। contact@aapastech.com पर ईमेल करें। हम एक महीने के भीतर जवाब देते हैं, और कभी भी कानून में तय समय के बाद नहीं। हम आपसे अपनी पहचान की पुष्टि करने को कह सकते हैं, लेकिन केवल उसी जानकारी से जो हमारे पास पहले से है।

हम डेटा कितने समय तक रखते हैं। जब तक आपका खाता सक्रिय है, और जब तक हमें उस उद्देश्य के लिए इसकी ज़रूरत है जिसके लिए आपने इसे दिया था, हम व्यक्तिगत डेटा रखते हैं, फिर उसे मिटा देते हैं। कुछ रिकॉर्ड ज़्यादा समय तक रहते हैं क्योंकि कानून ऐसा कहता है: इनवॉइस और टैक्स रिकॉर्ड 8 साल तक। भारतीय साइबर सुरक्षा नियमों के अनुसार, हम 31 दिसंबर 2026 तक सभी सिस्टम में सुरक्षा लॉग रखने की अवधि बढ़ाकर 180 दिन कर रहे हैं। 13 मई 2027 से भारतीय कानून हमसे यह भी अपेक्षा करेगा कि हम व्यक्तिगत डेटा, उससे जुड़ा ट्रैफ़िक डेटा और प्रोसेसिंग लॉग, प्रोसेसिंग से एक साल तक रखें। तब से, जब हम आपका डेटा अपने सिस्टम से मिटाएँगे, तो उस साल के बाकी समय के लिए एक सीलबंद प्रति रखेंगे, जिसका इस्तेमाल उस कानूनी दायित्व को पूरा करने के अलावा कोई नहीं करेगा, और फिर उसे नष्ट कर देंगे।

डेटा कहाँ जाता है। हम दूसरे देशों के सेवा प्रदाताओं का इस्तेमाल करते हैं, जिनकी सूची हमारी उप-प्रोसेसर सूची में है। भारत से बाहर ट्रांसफ़र Digital Personal Data Protection Act, 2023 (डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023) की धारा 16 के अनुसार होते हैं; हम ऐसे किसी देश में डेटा ट्रांसफ़र नहीं करेंगे जिस पर भारत सरकार रोक लगाती है।

सुरक्षा। हम दस्तावेज़ों में दर्ज एक सूचना सुरक्षा कार्यक्रम रखते हैं: ट्रांज़िट के दौरान एन्क्रिप्शन, केवल ज़रूरत वाले स्टाफ़ तक सीमित पहुँच, लॉगिंग, और घटना पर कार्रवाई (incident response)। अगर किसी उल्लंघन का असर आपके व्यक्तिगत डेटा पर पड़ता है, तो हम कानून के अनुसार आपको और प्राधिकरणों को बताएँगे।

शिकायतें। हमारे शिकायत अधिकारी से संपर्क करें (/grievance/hi देखें)। अगर आप संतुष्ट नहीं हैं, तो संबंधित प्रावधान लागू होने के बाद आप भारतीय डेटा संरक्षण बोर्ड (Data Protection Board of India) से शिकायत कर सकते हैं।

13. कनाडा: PIPEDA और क्यूबेक का Law 25

अगर आप कनाडा में हैं। 14818032 Canada Inc. नियंत्रक (controller) है। Personal Information Protection and Electronic Documents Act (PIPEDA) के तहत आप उस व्यक्तिगत जानकारी तक पहुँच माँग सकते हैं जो हमारे पास आपके बारे में है, और हमसे उसे सुधारने को कह सकते हैं। आप कानूनी या संविदात्मक सीमाओं और उचित सूचना के अधीन किसी भी समय अपनी सहमति वापस ले सकते हैं, और हम आपको बताएँगे कि इसका सेवा पर क्या असर होगा। आप यह चुनौती भी दे सकते हैं कि हम PIPEDA का पालन कैसे करते हैं। हमारे निजता अधिकारी (Privacy Officer) को contact@aapastech.com पर लिखें। अगर आप हमारे जवाब से संतुष्ट नहीं हैं, तो आप कनाडा के निजता आयुक्त के कार्यालय (Office of the Privacy Commissioner of Canada, priv.gc.ca) में शिकायत कर सकते हैं।

अगर आप क्यूबेक में हैं। क्यूबेक का Act respecting the protection of personal information in the private sector, Law 25 द्वारा संशोधित रूप में, आपको जानकारी तक पहुँच और उसे सुधारने के यही अधिकार देता है। जहाँ कानून अनुमति देता है, आप हमसे यह भी कह सकते हैं कि हम आपकी व्यक्तिगत जानकारी का प्रसार बंद करें, या आपके नाम से जुड़े उस लिंक को डी-इंडेक्स करें जिससे उस जानकारी तक पहुँचा जा सकता है। आप माँग सकते हैं कि हमने आपसे जो कंप्यूटरीकृत व्यक्तिगत जानकारी एकत्र की है, वह आपको एक संरचित और आम तौर पर इस्तेमाल होने वाले तकनीकी प्रारूप में दी जाए। अगर हम आपके बारे में कोई निर्णय केवल आपकी व्यक्तिगत जानकारी की स्वचालित प्रोसेसिंग के आधार पर लेते हैं, तो हम आपको बताएँगे, और आप अपनी टिप्पणियाँ हमारे स्टाफ़ के ऐसे सदस्य को दे सकते हैं जो उस निर्णय की समीक्षा कर सकता है। व्यक्तिगत जानकारी की सुरक्षा के प्रभारी व्यक्ति से contact@aapastech.com पर संपर्क किया जा सकता है। आप Commission d’accès à l’information du Québec (cai.gouv.qc.ca) में शिकायत कर सकते हैं। क्यूबेक से बाहर व्यक्तिगत जानकारी भेजने से पहले हम निजता से जुड़े जोखिमों का आकलन करते हैं, और आप हमसे इसके बारे में पूछ सकते हैं।

14. संयुक्त राज्य अमेरिका: CCPA/CPRA और अन्य राज्यों के कानून

जो डेटा हम ग्राहकों के लिए प्रोसेस करते हैं, उसके लिए हम “service provider” (सेवा प्रदाता) या “processor” (प्रोसेसर) के रूप में काम करते हैं: हम इसे केवल अपने अनुबंध में दिए गए कारोबारी उद्देश्यों के लिए प्रोसेस करते हैं, और हम इसे न तो बेचते हैं और न “share” करते हैं (जैसा ये शब्द CPRA द्वारा संशोधित California Consumer Privacy Act में परिभाषित हैं), न ही सीधे कारोबारी संबंध के बाहर इसे रखते, इस्तेमाल करते या प्रकट करते हैं, और न ही, कानून की अनुमति के सिवा, इसे अन्य स्रोतों की व्यक्तिगत जानकारी के साथ मिलाते हैं। एकमात्र अपवाद YOM Intent audience export है: उसमें ग्राहक व्यक्तिगत जानकारी हमें उपलब्ध कराता है ताकि हम उसे ग्राहक के अपने विज्ञापन खातों को भेज सकें, हम “third party” (तृतीय पक्ष) के रूप में काम करते हैं, और YOM Intent Addendum में वे अनुबंध शर्तें हैं जो CCPA के विनियम माँगते हैं।

अपने डेटा के लिए, पिछले 12 महीनों में हमने खंड 3 और 4 में बताई गई श्रेणियाँ एकत्र की हैं: पहचानकर्ता (नाम, ईमेल, IP पता), वाणिज्यिक जानकारी (प्लान और इनवॉइस), इंटरनेट गतिविधि (वेबसाइट और सेवा का उपयोग), अनुमानित भौगोलिक स्थान, और पेशेवर जानकारी (कंपनी और भूमिका)। हम इन्हें आपसे, आपके संगठन से, आपके डिवाइस से और अपने सेवा प्रदाताओं से, खंड 6 के उद्देश्यों के लिए एकत्र करते हैं, और खंड 7 में बताए गए प्राप्तकर्ताओं को प्रकट करते हैं। हम व्यक्तिगत जानकारी न बेचते हैं, न share करते हैं; हमें 16 साल से कम उम्र के किसी व्यक्ति की जानकारी बेचने या share करने की कोई वास्तविक जानकारी नहीं है; और हम विशेषताओं का अनुमान लगाने के लिए संवेदनशील व्यक्तिगत जानकारी का इस्तेमाल नहीं करते। California और इसी तरह के कानून वाले अन्य राज्यों के निवासी खंड 11 में बताए गए अधिकारों का इस्तेमाल कर सकते हैं।

15. यूरोपीय संघ, यूनाइटेड किंगडम और स्विट्ज़रलैंड

अगर आप यूरोपीय संघ या यूनाइटेड किंगडम में हैं। Aapastech OÜ नियंत्रक है। हम आपके खाते और बिलिंग डेटा को आपके साथ अपना अनुबंध पूरा करने के लिए, टैक्स रिकॉर्ड को कानूनी दायित्व पूरे करने के लिए, और सुरक्षा लॉग, धोखाधड़ी की जाँच और समेकित उपयोग आँकड़ों को एक सुरक्षित और भरोसेमंद सेवा चलाने के हमारे वैध हित के आधार पर प्रोसेस करते हैं; उस आख़िरी इस्तेमाल पर आप कभी भी आपत्ति कर सकते हैं। हम मार्केटिंग ईमेल केवल आपकी सहमति से भेजते हैं। आप contact@aapastech.com पर ईमेल करके अपने डेटा तक पहुँच, सुधार, मिटाना, प्रोसेसिंग पर रोक और एक portable प्रति माँग सकते हैं, और आपत्ति कर सकते हैं या सहमति वापस ले सकते हैं। आप एस्टोनिया के डेटा संरक्षण निरीक्षणालय (Andmekaitse Inspektsioon, www.aki.ee) से, जहाँ आप रहते हैं वहाँ के प्राधिकरण से, या यूनाइटेड किंगडम में सूचना आयुक्त कार्यालय (Information Commissioner’s Office, ico.org.uk) से शिकायत कर सकते हैं। हमारे समूह की कंपनियाँ Aapastech OÜ के लिए सेवाएँ चलाती हैं: कनाडा में 14818032 Canada Inc. (यूरोपीय आयोग और यूनाइटेड किंगडम कनाडा को पर्याप्त सुरक्षा देने वाला देश मानते हैं), और भारत में Aapastech Private Limited। हमारे कुछ सेवा प्रदाता संयुक्त राज्य अमेरिका में हैं। भारत और संयुक्त राज्य अमेरिका को ट्रांसफ़र, UK Addendum के साथ यूरोपीय आयोग के मानक संविदात्मक खंडों (Standard Contractual Clauses) से, या जहाँ प्रदाता प्रमाणित है वहाँ EU-U.S. और UK-U.S. Data Privacy Framework से सुरक्षित हैं। आप हमसे इनकी प्रति माँग सकते हैं।

ग्राहक डेटा के लिए ग्राहक नियंत्रक है और हम उसके प्रोसेसर हैं; यूरोपीय संघ और यूनाइटेड किंगडम के ग्राहकों के लिए वह प्रोसेसर DPA के तहत Aapastech OÜ है। Aapastech OÜ यूरोपीय संघ में स्थापित है, इसलिए इसका कोई अलग EU प्रतिनिधि नहीं है। यूनाइटेड किंगडम में इसके प्रतिनिधि का नाम नियुक्ति के बाद यहाँ दिया जाएगा; तब तक contact@aapastech.com पर हमसे संपर्क करें।

स्विट्ज़रलैंड में 14818032 Canada Inc. नियंत्रक है। जहाँ स्विस कानून लागू होता है, वहाँ हमारे कानूनी आधार वही हैं जो खंड 6 में हैं, आप हमारे वैध हितों पर आधारित प्रोसेसिंग पर आपत्ति कर सकते हैं, और आप Federal Data Protection and Information Commissioner (संघीय डेटा संरक्षण और सूचना आयुक्त) से शिकायत कर सकते हैं।

16. बच्चे

हमारी वेबसाइट और सेवा व्यवसायों के लिए हैं और बच्चों के लिए नहीं बनी हैं। हम जानबूझकर 16 साल से कम उम्र के बच्चों से व्यक्तिगत जानकारी एकत्र नहीं करते। हमारे ग्राहक बच्चों के लिए बनी सेवाओं पर YOM का इस्तेमाल नहीं कर सकते, न ही हमें बच्चों की जानकारी भेज सकते हैं (Acceptable Use Policy (स्वीकार्य उपयोग नीति) देखें)। अगर आपको लगता है कि किसी बच्चे ने हमें व्यक्तिगत जानकारी दी है, तो हमसे संपर्क करें और हम उसे मिटा देंगे।

17. बदलाव

हम बदलाव यहाँ प्रकाशित करेंगे और ऊपर दी गई तारीख अपडेट करेंगे। अगर कोई बदलाव महत्वपूर्ण है, तो उसके लागू होने से पहले हम खाते के मालिकों को ईमेल से या प्रोडक्ट में बताएँगे।

18. संपर्क और शिकायतें

Shikha Gupta: शिकायत अधिकारी (भारत), निजता अधिकारी (Privacy Officer, कनाडा) और Aapastech OÜ के लिए निजता संपर्क। भारत में: Aapastech Private Limited, पंजीकृत कार्यालय 8/3, 2nd Floor, Roop Nagar, Delhi 110007, India; +91 96677 47082। यूरोपीय संघ और यूनाइटेड किंगडम में: Aapastech OÜ, रजिस्ट्री कोड 16453146, VAT EE102489493, Tornimäe tn 3 // 5 // 7, 10145 Tallinn, Estonia। बाकी सभी जगह: 14818032 Canada Inc., Burlington, Ontario, Canada, +1 437 800 0190। ईमेल contact@aapastech.com। कृपया पहले हमसे संपर्क करें ताकि हम आपकी चिंता दूर करने की कोशिश कर सकें; शिकायत अधिकारी पेज बताता है कि हम शिकायतों को कैसे और कितनी जल्दी निपटाते हैं। ऊपर बताए गए नियामकों से शिकायत करने का आपका अधिकार बना रहता है।