गोपनीयता नीति

1. हम कौन हैं

[Company legal name], Külbstr. 20, 55131 Mainz, Germany ("Last Seen", "हम") आपके व्यक्तिगत डेटा के लिए ज़िम्मेदार नियंत्रक है।

• गोपनीयता से जुड़े सवाल और अनुरोध: privacy@lastseen.help
• डेटा सुरक्षा संपर्क / शिकायत अधिकारी: privacy@lastseen.help
• EU प्रतिनिधि:
• UK प्रतिनिधि: [UK representative - required under UK GDPR Art. 27 if you offer the app to people in the UK]

2. हम क्या इकट्ठा करते हैं

खाता और सेटिंग्स

• एक रैंडम खाता पहचानकर्ता, और आपके डिवाइस का साइन-इन टोकन (हम सिर्फ़ उसका हैश रखते हैं)
• आपके द्वारा चुना गया प्रदर्शित नाम। आपातकालीन संपर्क जोड़ने, आमंत्रण साझा करने या किसी सर्कल से जुड़ने से पहले यह आवश्यक है, ताकि लोग जानें कि संदेश आपके बारे में हैं
• पुष्टि का अंतराल, अतिरिक्त समय, विराम की तारीखें, भाषा, सूचना संबंधी पसंद, और आपातकालीन नंबर के लिए चुना गया देश
• आपका फ़ोन नंबर और ईमेल पता, सिर्फ़ तभी जब आप उन्हें सत्यापित करना चुनें
• आपके डिवाइस का पुश-नोटिफ़िकेशन टोकन

पुष्टि और कुशलता

• आपने कब पुष्टि की, और बटन से या जवाब देकर
• कोई आपका हाल पूछे तो आपके भेजे जवाब (जैसे "मैं ठीक हूँ" या "तबीयत ठीक नहीं है")
• आप समय पर हैं या देर से, और आपके बारे में भेजे गए रिमाइंडर व अलर्ट

आपका सर्कल

• आपके जोड़े गए आपातकालीन संपर्कों के नाम, फ़ोन नंबर और (वैकल्पिक) ईमेल
• कौन से ऐप उपयोगकर्ता आप पर नज़र रखते हैं और आप किन पर, और आपस में भेजे गए संदेश

आपका अंतिम नोट

• एन्क्रिप्टेड नोट; आपके PIN का scrypt हैश; और हर बार देखे, बदले, माँगे या सौंपे जाने का रिकॉर्ड

रिकॉर्ड जो हमें रखने होते हैं

• आपने किस संस्करण पर कब सहमति दी, उस समय के IP पते और डिवाइस के प्रकार के साथ
• कम समय के सुरक्षा रिकॉर्ड, जैसे अनुरोध-सीमा काउंटर

हम आपकी लोकेशन, आपकी पूरी संपर्क सूची (एक संपर्क आयात करने पर बाकी आपके डिवाइस से बाहर नहीं जाते), विज्ञापन पहचानकर्ता या एनालिटिक्स प्रोफ़ाइल इकट्ठा नहीं करते।

3. स्वास्थ्य से जुड़ा डेटा

इसमें से कुछ डेटा आपके स्वास्थ्य या कुशलता के बारे में कुछ बता सकता है — जैसे कि आपने पुष्टि नहीं की, या जवाब दिया कि तबीयत ठीक नहीं है — और आपके अंतिम नोट में आप जो चाहें लिख सकते हैं।

हम यह सब GDPR (अनुच्छेद 9) के तहत विशेष श्रेणी के डेटा, भारत के डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम के तहत व्यक्तिगत डेटा, और वॉशिंगटन के My Health My Data Act व नेवादा SB 370 जैसे अमेरिकी राज्य कानूनों के तहत उपभोक्ता स्वास्थ्य डेटा मानते हैं। हम इसे सिर्फ़ ऐप सेट करते समय दी गई आपकी स्पष्ट सहमति से, और सिर्फ़ सेवा देने के लिए इकट्ठा और साझा करते हैं। आप खाता हटाकर कभी भी सहमति वापस ले सकते हैं; इसके बिना हम आपको सेवा नहीं दे सकते।

4. हम डेटा क्यों इस्तेमाल करते हैं और कानूनी आधार

• सेवा चलाना: पुष्टि दर्ज करना, आपको याद दिलाना, आपके सर्कल को अलर्ट करना, और अंतिम नोट रखना व सौंपना। आधार: आपके साथ हमारा अनुबंध (GDPR अनु. 6(1)(b)) और स्वास्थ्य से जुड़े डेटा के लिए आपकी स्पष्ट सहमति (अनु. 9(2)(a))।
• खातों और सेवा को सुरक्षित रखना: फ़ोन और ईमेल सत्यापन, अनुरोध सीमा, PIN लॉकआउट और दुरुपयोग की रोकथाम। आधार: आपको और अन्य उपयोगकर्ताओं को सुरक्षित रखने में हमारा वैध हित (अनु. 6(1)(f))।
• सहमतियों का रिकॉर्ड रखना और आपके अनुरोध निपटाना। आधार: कानूनी दायित्व (अनु. 6(1)(c))।
• हमारी वेबसाइट की प्रतीक्षा सूची में जुड़े लोगों को ईमेल भेजना। आधार: ईमेल से पुष्टि की गई सहमति (अनु. 6(1)(a))।

हम आपका डेटा विज्ञापन या प्रोफ़ाइलिंग के लिए इस्तेमाल नहीं करते। एकमात्र स्वचालित निर्णय यह है कि रिमाइंडर या अलर्ट कब भेजना है, और यह आपके तय किए शेड्यूल के अनुसार होता है।

5. आपका डेटा कौन देखता है

जिन्हें आप चुनते हैं

• ऐप में आपके सर्कल के लोग आपका डिस्प्ले नाम, आपकी पिछली पुष्टि का समय, और यह देखते हैं कि आप समय पर हैं, देर से हैं या विराम पर हैं। सेटिंग्स में अनुमति देने पर वे आपका जवाब भी देखते हैं।
• अगर आप "मुझे मदद चाहिए" जवाब देते हैं, तो आपकी जवाब-साझा सेटिंग चाहे जो हो, आपके सर्कल के सभी लोगों को तुरंत बताया जाता है, और यह तब तक दिखता है जब तक आप सामान्य रूप से चेक इन न करें या 24 घंटे न बीत जाएं।
• देर होने पर आपके आपातकालीन संपर्कों को आपके डिस्प्ले नाम और पिछली पुष्टि से बीते समय के साथ SMS या ईमेल मिलता है।
• आपका अंतिम नोट सिर्फ़ खंड 7 में बताए तरीक़े से सौंपा जाता है।

सेवा प्रदाता, जो डेटा सिर्फ़ हमारे निर्देश पर और गोपनीयता व सुरक्षा वाले अनुबंधों के तहत संसाधित करते हैं (GDPR अनु. 28):

• Hosting and database provider [e.g. Google Cloud / Neon] — running the service and storing account data ([EU / US])
• Expo (650 Industries, Inc.) — delivering push notifications (United States)
• Twilio Inc. — sending SMS alerts and verification codes (United States)
• Twilio SendGrid — sending email alerts and verification codes (United States)

अन्य

• अधिकारी, सिर्फ़ जब कानून माँगे। जब तक कानून रोके नहीं, हम आपको बताएँगे।
• सेवा हस्तांतरित होने पर उत्तराधिकारी, जो इस नीति से बँधा होगा।

हम आपकी व्यक्तिगत जानकारी नहीं बेचते, और कैलिफ़ोर्निया कानून के अर्थ में क्रॉस-कॉन्टेक्स्ट व्यवहार आधारित विज्ञापन के लिए साझा नहीं करते। हम आपकी ओर से कभी आपातकालीन सेवाओं से संपर्क नहीं करते।

6. ऐसे आपातकालीन संपर्क जो ऐप इस्तेमाल नहीं करते

जब आप किसी को जोड़ते हैं, हम उन्हें एक बार संदेश भेजते हैं कि उन्हें किसने जोड़ा, उन्हें क्या मिल सकता है और वे कैसे बाहर निकल सकते हैं, साथ में इस नीति का लिंक। अगर वे बाहर निकलते हैं (STOP लिखकर या लिंक से), तो हम संदेश भेजना बंद कर देते हैं और दोबारा जोड़े जाने पर भी उनकी पसंद याद रखते हैं।

किसी को जोड़कर आप पुष्टि करते हैं कि वे आपका आपातकालीन संपर्क बनने को तैयार हैं।

7. आपका अंतिम नोट

• यह हमारे सर्वर पर AES-256-GCM से, आपके खाते की अपनी अलग कुंजी से एन्क्रिप्ट होता है। वह कुंजी खुद डेटाबेस के बाहर रखी मास्टर कुंजी से एन्क्रिप्ट होती है।
• इसे देखने या बदलने के लिए आपका PIN चाहिए। हम PIN का सिर्फ़ scrypt हैश रखते हैं। 5 गलत कोशिशों के बाद तिजोरी लॉक हो जाती है, हर बार ज़्यादा देर के लिए।
• अनलॉक 5 मिनट तक, सिर्फ़ उसी डिवाइस पर रहता है।
• यह केवल तब जारी होता है जब (1) आपने जिस एक व्यक्ति को इसकी ज़िम्मेदारी दी है वही इसे मांगे, (2) आपकी चेक-इन समय-सीमा को कम से कम 6 घंटे बीत चुके हों, और (3) आप अगले 24 घंटों में चेक इन न करें। यदि आपने किसी को नहीं चुना है, तो कोई भी इसे नहीं मांग सकता। मांगे जाने पर और जारी होने पर हम आपको सूचित करते हैं, और जब वह व्यक्ति इसे मांगता है और जब वह इसे खोलता है, तो आपके सर्कल के बाकी सभी लोगों को बताया जाता है। चेक इन करने से अनुरोध रद्द हो जाता है।
• हर बार देखा जाना, बदलना, माँगना और सौंपना दर्ज होता है और आपको दिखाया जाता है।
• PIN भूल जाने पर आप उसे रीसेट कर सकते हैं, जिससे नोट हमेशा के लिए मिट जाता है।

ध्यान दें: चूँकि नोट सौंपना हमारे सर्वर से संभव होता है, इसलिए नोट हमारे द्वारा एन्क्रिप्ट होता है, एंड-टू-एंड नहीं। प्रोडक्शन सिस्टम तक पहुँच सीमित और दर्ज होती है, और कानूनी बाध्यता के बिना हम नोट नहीं पढ़ते।

8. अंतरराष्ट्रीय हस्तांतरण

हमारे कुछ प्रदाता अमेरिका में हैं। जब आपका डेटा EEA, UK या स्विट्ज़रलैंड से बाहर जाता है, तो प्रमाणित प्रदाता होने पर हम EU-US डेटा प्राइवेसी फ़्रेमवर्क (और उसके UK व स्विस विस्तार) पर, अन्यथा यूरोपीय आयोग की मानक संविदात्मक शर्तों और UK परिशिष्ट पर अतिरिक्त सुरक्षा उपायों के साथ भरोसा करते हैं। आप इसकी प्रति माँग सकते हैं।

9. हम कितने समय तक रखते हैं

• खाता, सेटिंग्स, सर्कल, आपातकालीन संपर्क और अंतिम नोट: जब तक आप खाता न हटाएँ।
• पुष्टि का इतिहास, जवाब और अलर्ट रिकॉर्ड: 24 महीने, फिर हटा दिए जाते हैं।
• ऐप सूचनाएँ और डिलीवरी रिकॉर्ड: 90 दिन।
• सत्यापन कोड और सुरक्षा काउंटर: 30 दिन तक।
• अंतिम नोट का एक्सेस लॉग: 24 महीने, या खाता हटाने तक।
• सहमति रिकॉर्ड: जब तक आपका खाता है।
• बिना पुष्टि वाले प्रतीक्षा सूची पंजीकरण: 30 दिन।

खाता हटाने पर आपका डेटा हमारे सक्रिय सिस्टम से तुरंत और बैकअप से 35 दिनों के भीतर हटा दिया जाता है।

10. आपके अधिकार

आप कहीं भी रहें, आप अपना डेटा देख, सुधार, निर्यात और हटा सकते हैं और सहमति वापस ले सकते हैं। सेटिंग्स > आपका डेटा इस्तेमाल करें, या privacy@lastseen.help पर लिखें। हम एक महीने (EU/UK) या 45 दिन (अमेरिका) में जवाब देते हैं, और कानून अनुमति दे तो ज़्यादा समय चाहिए होने पर बताते हैं। अनुरोध आपका ही है, यह हम आपके साइन-इन ऐप या सत्यापित फ़ोन/ईमेल से आने की जाँच करके पक्का करते हैं।

EU, EEA, UK और स्विट्ज़रलैंड: आपके पास प्रसंस्करण सीमित करने, आपत्ति करने और डेटा पोर्टेबिलिटी के अधिकार भी हैं, और आप अपने डेटा संरक्षण प्राधिकरण से शिकायत कर सकते हैं (EU: edpb.europa.eu; UK: ICO, ico.org.uk)। भारत: DPDP अधिनियम के तहत आप पहले हमारे शिकायत अधिकारी से संपर्क कर सकते हैं और फिर डेटा संरक्षण बोर्ड के पास जा सकते हैं। हम पहले आपकी चिंता सुलझाने का मौक़ा चाहेंगे।

कैलिफ़ोर्निया: CCPA/CPRA के तहत आप पूछ सकते हैं कि पिछले 12 महीनों में हमने कौन सी व्यक्तिगत जानकारी इकट्ठा, इस्तेमाल और प्रकट की, और उसे हटाने या सुधारने को कह सकते हैं। इस अवधि में हमने खंड 4 के उद्देश्यों के लिए आपसे और आपके सर्कल के लोगों से पहचानकर्ता, संपर्क विवरण, संवेदनशील व्यक्तिगत जानकारी (स्वास्थ्य से जुड़ा कुशलता डेटा और अंतिम नोट की सामग्री) और डिवाइस जानकारी इकट्ठा की, और खंड 5 में बताए प्रदाताओं व लोगों को प्रकट की। हम व्यक्तिगत जानकारी नहीं बेचते या साझा करते, और संवेदनशील जानकारी सिर्फ़ सेवा देने के लिए इस्तेमाल करते हैं, इसलिए ऑप्ट-आउट या सीमित करने को कुछ नहीं है। अधिकारों का उपयोग करने पर आपसे भेदभाव नहीं होगा। आपकी हस्ताक्षरित अनुमति से कोई अधिकृत एजेंट आपकी ओर से कार्य कर सकता है।

अन्य अमेरिकी राज्य (वर्जीनिया, कोलोराडो, कनेक्टिकट, यूटा, टेक्सास, ओरेगन और गोपनीयता कानून वाले अन्य राज्य): आपके पास समान अधिकार हैं। हम अनुरोध ठुकराएँ तो आप "Appeal" लिखकर अपील कर सकते हैं; परिणाम से असहमत हों तो अपने राज्य के अटॉर्नी जनरल से संपर्क कर सकते हैं।

वॉशिंगटन, नेवादा और अन्य उपभोक्ता स्वास्थ्य डेटा कानून: हम ऐसा डेटा सिर्फ़ यहाँ बताए अनुसार और आपकी सहमति से इकट्ठा व साझा करते हैं; आप उसे देख, हटा और सहमति वापस ले सकते हैं; हम उसे कभी नहीं बेचते।

11. सुरक्षा

कनेक्शन एन्क्रिप्टेड होते हैं। साइन-इन टोकन और PIN सिर्फ़ हैश के रूप में रखे जाते हैं, अंतिम नोट स्टोरेज में एन्क्रिप्टेड है, अनुरोधों की सीमा है, और प्रोडक्शन सिस्टम तक पहुँच सीमित है। कोई सिस्टम पूरी तरह सुरक्षित नहीं होता; अगर किसी उल्लंघन से आपको ख़तरा हो, तो हम बिना अनुचित देरी आपको बताएँगे और कानून के अनुसार अधिकारियों को सूचित करेंगे।

12. बच्चे

Last Seen 16 वर्ष से कम उम्र के लोगों के लिए नहीं है। हम जानबूझकर बच्चों का डेटा इकट्ठा नहीं करते। अगर आपको लगता है कि किसी बच्चे ने खाता बनाया है, तो privacy@lastseen.help पर लिखें और हम उसे हटा देंगे।

13. इस नीति में बदलाव

बड़े बदलाव होने पर हम लागू होने से पहले ऐप में बताएँगे और आपसे उन्हें देखने को कहेंगे। जिस बदलाव के लिए आपकी सहमति चाहिए, उसके लिए हम फिर से सहमति माँगेंगे। पुराने संस्करण माँगने पर उपलब्ध हैं।

14. संपर्क

[Company legal name]

Külbstr. 20, 55131 Mainz, Germany

फ़ोन: +49 6131 9011160

ईमेल: privacy@lastseen.help