प्राइवेसी पॉलिसी (गोपनीयता नीति)

अंतिम अद्यतन: 18 अगस्त, 2026

डिजिटल व्यक्तिगत डेटा संरक्षण नियम, 2025 के विभिन्न प्रावधान चरणबद्ध रूप से लागू होते हैं। जहां कोई प्रावधान अभी प्रभावी नहीं हुआ है, वहां इस नीति में उसका उल्लेख हमारी अग्रिम अनुपालन तैयारी को दर्शाता है, न कि उस प्रावधान के पहले से प्रभावी होने का दावा।

---

भूमिका

SpiralAI Inc. (इसके बाद “हम”, “हमारा” या “कंपनी”) “RyzaChat:AI राइज़ा के साथ बुनें, गर्मियों का अपना सपना” (“सेवा”) नामक अपने ऐप के माध्यम से एक AI बातचीत सेवा प्रदान करती है। यह सेवा केवल 18 वर्ष या उससे अधिक आयु के व्यक्तियों के लिए उपलब्ध है (विवरण के लिए धारा 20 देखें)।

हम व्यक्तिगत डेटा के संरक्षण के महत्व को समझते हैं और, यथा लागू, जापान के व्यक्तिगत सूचना संरक्षण अधिनियम (Act on the Protection of Personal Information, “APPI”), भारत के डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (Digital Personal Data Protection Act, 2023, इसके बाद “डीपीडीपी अधिनियम”) तथा इसके अंतर्गत बनाए गए डिजिटल व्यक्तिगत डेटा संरक्षण नियम, 2025 (इसके बाद “डीपीडीपी नियम”), यूरोपीय संघ के General Data Protection Regulation (GDPR), और सेवा पर लागू अन्य कानूनों का पालन करते हुए, इस प्राइवेसी पॉलिसी (“यह नीति”) के अनुसार प्राप्त व्यक्तिगत डेटा और अन्य जानकारी का उचित रूप से प्रबंधन करते हैं।

यह संस्करण विशेष रूप से भारत में सेवा का उपयोग करने वाले उपयोगकर्ताओं के लिए तैयार किया गया है और डीपीडीपी अधिनियम एवं डीपीडीपी नियमों की आवश्यकताओं को दर्शाता है। यह जापानी मूल नीति का शब्दशः अनुवाद नहीं है, बल्कि उन्हीं तथ्यों (हम क्या डेटा एकत्र करते हैं, किस उद्देश्य से, किसके साथ साझा करते हैं) के आधार पर, भारतीय कानून की संरचना में तैयार किया गया दस्तावेज़ है।

इस नीति में प्रयुक्त कानूनी शब्दों का अर्थ, जब तक अन्यथा न बताया जाए, डीपीडीपी अधिनियम, डीपीडीपी नियमों, APPI, GDPR या अन्य लागू कानून में दी गई परिभाषाओं के अनुसार होगा। सेवा से संबंधित विशेष शब्दों का अर्थ इस नीति और सेवा की उपयोग शर्तों (Terms of Service) में दिए गए अर्थ के अनुसार होगा।

सेवा की उपयोग शर्तों के अंतर्गत, उपयोगकर्ताओं को सिद्धांततः स्वयं का या किसी तीसरे पक्ष का व्यक्तिगत डेटा (नाम, पता, फ़ोन नंबर आदि) सबमिट करने से मना किया गया है/यह अनुशंसित नहीं है। परंतु यदि उपयोगकर्ता स्वतंत्र इनपुट फ़ील्ड में ऐसी जानकारी दर्ज करता है, तो हम उस जानकारी को प्राप्त कर सकते हैं।

सेवा में जानकारी के प्रबंधन का सारांश

1. यूज़र इनपुट (उपयोगकर्ता द्वारा दर्ज संदेश)

• (1) संग्रहण: सिद्धांततः हम इसका मूल पाठ अपने कब्ज़े वाले व्यक्तिगत डेटा के रूप में स्थायी रूप से संग्रहीत नहीं करते। हालांकि, यह AI प्रतिक्रिया-निर्माण एवं सुरक्षा जांच हेतु बाह्य API को अस्थायी रूप से भेजा जाता है, और वहां सेवा प्रदाता की नीति के अनुसार कम अवधि के लिए लॉग के रूप में रखा जा सकता है।
• (2) मुख्य उपयोग उद्देश्य: AI प्रतिक्रिया उत्पन्न करना तथा सुरक्षा जांच हेतु अस्थायी प्रसंस्करण।
• (3) गुणवत्ता सुधार हेतु मॉडल पुनःप्रशिक्षण/सुधार या गुणवत्ता मूल्यांकन/विश्लेषण: उपयोग नहीं करते।
• (4) प्रकटीकरण/विलोपन आदि का विषय: चूंकि हम मूल पाठ को सिद्धांततः स्थायी रूप से संग्रहीत नहीं करते, मूल पाठ स्वयं सामान्यतः इसका विषय नहीं बनता। बातचीत का सारांश आदि इसका विषय बनता है।

2. AI प्रतिक्रिया (AI द्वारा उत्पन्न उत्तर)

• (1) संग्रहण: बातचीत के इतिहास आदि के रूप में संग्रहीत किया जाता है।
• (2) मुख्य उपयोग उद्देश्य: सेवा प्रदान करना, प्रदर्शित करना, आवाज़ में बदलना, तथा गुणवत्ता सुधार।
• (3) गुणवत्ता सुधार हेतु मॉडल पुनःप्रशिक्षण/सुधार या गुणवत्ता मूल्यांकन/विश्लेषण: उपयोग किया जा सकता है।
• (4) प्रकटीकरण/विलोपन आदि का विषय: यदि उपयोगकर्ता का इनपुट इसमें परिलक्षित होता है, तो इसे व्यक्तिगत डेटा माना जाता है और यह प्रकटीकरण/विलोपन आदि का विषय बनता है।

3. बातचीत का सारांश

• (1) संग्रहण: संग्रहीत किया जाता है।
• (2) मुख्य उपयोग उद्देश्य: बातचीत की निरंतरता तथा AI प्रतिक्रिया की सटीकता बनाए रखना।
• (3) गुणवत्ता सुधार हेतु मॉडल पुनःप्रशिक्षण/सुधार या गुणवत्ता मूल्यांकन/विश्लेषण: उपयोग नहीं करते।
• (4) प्रकटीकरण/विलोपन आदि का विषय: व्यक्तिगत डेटा माना जाता है और प्रकटीकरण/विलोपन आदि का विषय बनता है।

सेवा में, उपयोगकर्ता द्वारा दर्ज संदेश के मूल पाठ को बातचीत लॉग के रूप में हमारे बैकएंड या लॉग में स्थायी रूप से संग्रहीत न करने की डिज़ाइन अपनाई गई है। दूसरी ओर, बातचीत की निरंतरता बनाए रखने हेतु बातचीत का सारांश तथा AI कैरेक्टर द्वारा उत्पन्न प्रतिक्रिया को बातचीत इतिहास आदि के रूप में संग्रहीत किया जाता है। इस अंतर को ध्यान में रखते हुए, नीचे सेवा में जानकारी के प्रबंधन को परिभाषित किया गया है।

इस नीति में “उपयोग नहीं करते” का अर्थ है कि हम स्वयं ऐसा उपयोग नहीं करते। AI सेवा प्रदाताओं तथा अन्य आउटसोर्सिंग पार्टनर द्वारा भेजे गए डेटा का प्रबंधन (रखरखाव अवधि, प्रशिक्षण हेतु उपयोग किया जाता है या नहीं, आदि) धारा 6 में दिए गए प्रावधानों के अनुसार होगा।

---

1. परिभाषाएं

1. “व्यक्तिगत डेटा” (Personal Data): नाम, पता, फ़ोन नंबर, ईमेल पता, उपयोग इतिहास आदि, ऐसी कोई भी जानकारी जो किसी व्यक्ति के बारे में हो और जिससे वह व्यक्ति पहचाना जा सके। डीपीडीपी अधिनियम की धारा 2(t) के अनुसार, “व्यक्तिगत डेटा” का अर्थ है ऐसा कोई भी डेटा जो किसी व्यक्ति के बारे में हो, जिसकी पहचान उस डेटा से या उस डेटा के संबंध में की जा सके।
2. “यूज़र इनपुट”: उपयोगकर्ता द्वारा सेवा में दर्ज किया गया टेक्स्ट संदेश या अन्य कोई इनपुट सामग्री। यूज़र इनपुट का मूल पाठ AI प्रतिक्रिया उत्पन्न करने या सुरक्षा जांच हेतु अस्थायी रूप से संसाधित किया जाता है, परंतु हम इसे स्थायी रूप से संग्रहीत नहीं करते।
3. “AI प्रतिक्रिया”: AI कैरेक्टर द्वारा उत्पन्न उत्तर। AI प्रतिक्रिया में यूज़र इनपुट का कुछ भाग उद्धृत, संक्षेपित या परिलक्षित हो सकता है। ऐसे मामले में, हम उस AI प्रतिक्रिया को व्यक्तिगत डेटा मानते हैं।
4. “बातचीत का सारांश”: बातचीत के प्रवाह को बनाए रखने तथा AI कैरेक्टर की प्रतिक्रिया-सटीकता बनाए रखने हेतु यूज़र इनपुट के आधार पर तैयार किया गया बातचीत सामग्री का सारांश। चूंकि बातचीत के सारांश में यूज़र इनपुट से उत्पन्न सामग्री शामिल हो सकती है, हम इसे व्यक्तिगत डेटा मानते हैं।
5. “डेटा प्रिंसिपल” (Data Principal): वह व्यक्ति जिससे व्यक्तिगत डेटा संबंधित है — अर्थात्, सेवा का उपयोगकर्ता (डीपीडीपी अधिनियम की धारा 2(j))।
6. “डेटा फिड्युसरी” (Data Fiduciary): वह व्यक्ति जो अकेले या अन्य व्यक्तियों के साथ मिलकर व्यक्तिगत डेटा के प्रसंस्करण का उद्देश्य और साधन निर्धारित करता है — इस नीति में, SpiralAI Inc. (डीपीडीपी अधिनियम की धारा 2(i))।
7. “डेटा प्रोसेसर” (Data Processor): वह व्यक्ति जो किसी डेटा फिड्युसरी की ओर से व्यक्तिगत डेटा को संसाधित करता है (डीपीडीपी अधिनियम की धारा 2(k))। धारा 6 में सूचीबद्ध हमारे आउटसोर्सिंग पार्टनर/बाह्य सेवा प्रदाता इस श्रेणी में आ सकते हैं।
8. “सहमति प्रबंधक” (Consent Manager): बोर्ड के साथ पंजीकृत ऐसा व्यक्ति जो डेटा प्रिंसिपल को एक सुलभ, पारदर्शी एवं इंटरऑपरेबल प्लेटफ़ॉर्म के माध्यम से अपनी सहमति देने, प्रबंधित करने, समीक्षा करने और वापस लेने में सक्षम बनाने हेतु एकल संपर्क बिंदु के रूप में कार्य करता है (डीपीडीपी अधिनियम की धारा 2(g))।
9. “बोर्ड”: केंद्र सरकार द्वारा डीपीडीपी अधिनियम की धारा 18 के अंतर्गत स्थापित भारत का डेटा संरक्षण बोर्ड (Data Protection Board of India)।
10. “बच्चा” (Child): डीपीडीपी अधिनियम की धारा 2(f) के अनुसार, वह व्यक्ति जिसने अठारह वर्ष की आयु पूरी नहीं की है। चूंकि सेवा केवल 18 वर्ष या उससे अधिक आयु के व्यक्तियों के लिए है, सेवा का उद्देश्य सिद्धांततः “बच्चों” का व्यक्तिगत डेटा संसाधित करना नहीं है (विस्तृत विवरण के लिए धारा 20 देखें)।

---

2. हम जो जानकारी एकत्र करते हैं

सेवा प्रदान करने के दौरान, हम निम्नलिखित जानकारी प्राप्त कर सकते हैं।

2.1 उपयोगकर्ता द्वारा दर्ज/सेट की गई जानकारी

(1) हम उपयोगकर्ता द्वारा पंजीकरण, इनपुट या संचालन के माध्यम से प्रदान की गई निम्नलिखित जानकारी प्राप्त कर सकते हैं: ① उपनाम या अन्य प्रदर्शन नाम ② जन्मतिथि ③ ऐप के भीतर सेटिंग्स सामग्री ④ अलार्म सेट करने का समय ⑤ पूछताछ/संपर्क सामग्री ⑥ यूज़र इनपुट

(2) यूज़र इनपुट के मूल पाठ को AI प्रतिक्रिया उत्पन्न करने या सुरक्षा जांच हेतु अस्थायी रूप से संसाधित किया जाता है, परंतु हम इसे स्थायी रूप से संग्रहीत नहीं करते। इसके अतिरिक्त, हम यूज़र इनपुट के मूल पाठ का उपयोग गुणवत्ता सुधार हेतु मॉडल पुनःप्रशिक्षण/सुधार, गुणवत्ता मूल्यांकन/विश्लेषण, पर्सनलाइज़ेशन या विज्ञापन के प्रयोजनों हेतु नहीं करते।

(3) सेवा की प्रकृति को देखते हुए, वास्तविक नाम, पता, फ़ोन नंबर, ईमेल पता, कार्यस्थल, स्कूल का नाम तथा अन्य ऐसी जानकारी जिससे व्यक्ति की सीधे पहचान हो सके, दर्ज करने की अनुशंसा नहीं की जाती है। हालांकि, यदि उपयोगकर्ता स्वतंत्र इनपुट फ़ील्ड में ऐसी जानकारी दर्ज करता है, तो AI प्रतिक्रिया उत्पन्न करने जैसी प्रक्रियाओं के दौरान परिणामस्वरूप इसे संसाधित किया जा सकता है।

2.2 बातचीत का सारांश

बातचीत के प्रवाह को बनाए रखने तथा AI कैरेक्टर की प्रतिक्रिया-सटीकता बनाए रखने हेतु, हम बातचीत का सारांश तैयार करते हैं और इसे सर्वर पर संग्रहीत करते हैं। बातचीत के सारांश का उपयोग बातचीत की निरंतरता बनाए रखने तथा AI प्रतिक्रिया उत्पन्न करने हेतु किया जाता है; हम इसका उपयोग गुणवत्ता सुधार हेतु मॉडल पुनःप्रशिक्षण/सुधार, गुणवत्ता मूल्यांकन/विश्लेषण या विज्ञापन के प्रयोजनों हेतु नहीं करते।

2.3 AI प्रतिक्रिया

हम AI प्रतिक्रिया को संग्रहीत करते हैं और इसका उपयोग सेवा प्रदान करने, प्रदर्शित करने, आवाज़ में बदलने तथा गुणवत्ता सुधार हेतु कर सकते हैं।

2.4 स्वचालित रूप से प्राप्त की जाने वाली जानकारी

सेवा के उपयोग के साथ, हम निम्नलिखित जानकारी स्वचालित रूप से प्राप्त कर सकते हैं: (1) डिवाइस जानकारी (OS, डिवाइस मॉडल, भाषा सेटिंग, ऐप संस्करण आदि) (2) IP पता (3) कुकीज़, विज्ञापन पहचानकर्ता, डिवाइस पहचानकर्ता तथा अन्य समान तकनीकों से संबंधित जानकारी (4) ऐप के उपयोग की स्थिति (लॉन्च तिथि/समय, स्क्रीन ट्रांज़िशन, ऑपरेशन इतिहास, इवेंट जानकारी आदि) (5) क्रैश लॉग, एरर लॉग (6) पुश नोटिफ़िकेशन हेतु आवश्यक डिवाइस टोकन (7) सब्सक्रिप्शन प्लान, बातचीत टोकन, अतिरिक्त AI कैरेक्टर, स्किन आदि की खरीद/उपयोग स्थिति (8) बिलिंग स्टेटस, खरीद इतिहास, भुगतान पुष्टि हेतु आवश्यक जानकारी

2.5 सुरक्षा जांच से संबंधित जानकारी

(1) उपयोगकर्ता की सुरक्षा सुनिश्चित करने, हानिकारक सामग्री का पता लगाने तथा दुरुपयोग को रोकने के लिए, हम यूज़र इनपुट तथा AI प्रतिक्रिया की स्वचालित सुरक्षा जांच (मॉडरेशन) कर सकते हैं।

(2) वर्तमान में, AI प्रतिक्रिया उत्पन्न करने हेतु उपयोग की जाने वाली बाहरी AI सेवाओं के अतिरिक्त, हम केवल सुरक्षा जांच के प्रयोजन से यूज़र इनपुट या AI प्रतिक्रिया भेजने वाली किसी अलग बाहरी मॉडरेशन API का उपयोग नहीं करते। AI प्रतिक्रिया उत्पन्न करने हेतु बाहरी AI सेवा को भेजी गई जानकारी उन प्रदाताओं द्वारा उनकी शर्तों, डेटा-हैंडलिंग नीतियों तथा हमारी सेटिंग्स के अनुसार — उनके अपने सुरक्षा, दुरुपयोग-रोकथाम तथा कानूनी अनुपालन प्रयोजनों सहित — संसाधित की जा सकती है। सुरक्षा जांच हेतु हम जो जानकारी संग्रहीत करते हैं वह न्यूनतम है — जैसे निर्णय परिणाम, की गई कार्रवाई, तिथि/समय आदि। AI प्रतिक्रिया को बातचीत इतिहास आदि के रूप में संग्रहीत किया जा सकता है, परंतु सुरक्षा जांच या एरर विश्लेषण हेतु लॉग में यूज़र इनपुट और AI प्रतिक्रिया की मूल सामग्री दर्ज न करने की डिज़ाइन अपनाई गई है।

2.6 डिवाइस में संग्रहण एवं संचार की प्रकृति

बातचीत का सारांश तथा AI कैरेक्टर द्वारा उत्पन्न प्रतिक्रिया सहित बातचीत का इतिहास, ऊपर दिए गए प्रावधानों के अनुसार हमारे सर्वर पर संग्रहीत किए जाने के अतिरिक्त, आपके डिवाइस में भी संग्रहीत किया जाता है। यदि आप ऐप को अनइंस्टॉल करते हैं, तो डिवाइस में संग्रहीत इतिहास मिट जाता है। कृपया यह समझते हुए सेवा का उपयोग करें कि AI कैरेक्टर के साथ बातचीत आपके और हमारे बीच का संचार है, जिसमें हम एक पक्ष (party) के रूप में शामिल हैं।

---

3. जानकारी का उपयोग किन उद्देश्यों के लिए करते हैं

1. हम प्राप्त की गई जानकारी का उपयोग निम्नलिखित उद्देश्यों हेतु करते हैं: (1) सेवा प्रदान करने, बनाए रखने तथा संचालित करने हेतु (2) पहचान सत्यापन, लॉगिन प्रबंधन तथा खाता प्रबंधन हेतु (3) बातचीत का सारांश तैयार करने एवं संग्रहीत करने तथा बातचीत की निरंतरता व AI प्रतिक्रिया-सटीकता बनाए रखने हेतु (4) AI कैरेक्टर द्वारा प्रतिक्रिया उत्पन्न करने, प्रदर्शित करने तथा आवाज़ में बदलने हेतु (5) AI प्रतिक्रिया का विश्लेषण कर सेवा की गुणवत्ता सुधार, नई सुविधाओं के विकास तथा प्रदर्शन/प्रतिक्रिया अनुभव सुधारने हेतु (6) सब्सक्रिप्शन प्लान, बातचीत टोकन, अतिरिक्त AI कैरेक्टर, स्किन जैसी सशुल्क सुविधाओं से संबंधित बिलिंग, भुगतान पुष्टि तथा खरीद प्रबंधन हेतु (7) पूछताछ का जवाब देने, पहचान सत्यापन तथा आवश्यक संपर्क हेतु (8) मेंटेनेंस, महत्वपूर्ण सूचनाएं, विशिष्टता परिवर्तन आदि सूचित करने हेतु (9) दुरुपयोग, उपयोग शर्तों के उल्लंघन, हानिकारक सामग्री या खतरनाक कृत्यों का पता लगाने/रोकने तथा सेवा की सुरक्षा सुनिश्चित करने हेतु (10) उपयोग की स्थिति का विश्लेषण कर सुविधा सुधार, समस्या समाधान तथा सेवा संचालन सुधारने हेतु (11) व्यक्ति की पहचान न हो सके ऐसे प्रारूप में संसाधित सांख्यिकीय डेटा, अनामीकृत जानकारी आदि तैयार करने या उपयोग करने हेतु (12) कानून, उपयोग शर्तों, दिशानिर्देशों के आधार पर अधिकारों के प्रयोग, दायित्वों के पालन तथा विवाद समाधान हेतु (13) सेवा हेतु आयु सत्यापन, 18 वर्ष से कम आयु के व्यक्तियों द्वारा उपयोग को रोकने तथा 18 वर्ष से कम आयु के व्यक्ति द्वारा उपयोग पाए जाने पर उपयोग बंद करने/विलोपन तथा अन्य आवश्यक उपाय करने हेतु (14) उपरोक्त उद्देश्यों से जुड़े या संबंधित उद्देश्यों हेतु

2. यूज़र इनपुट का मूल पाठ केवल AI प्रतिक्रिया उत्पन्न करने तथा सुरक्षा जांच हेतु अस्थायी रूप से संसाधित किया जाता है; हम इसे अपने कब्ज़े वाले व्यक्तिगत डेटा के रूप में स्थायी रूप से संग्रहीत नहीं करते और इसका उपयोग गुणवत्ता सुधार हेतु मॉडल पुनःप्रशिक्षण/सुधार, गुणवत्ता मूल्यांकन/विश्लेषण, पर्सनलाइज़ेशन या विज्ञापन के प्रयोजनों हेतु नहीं करते।

3. बातचीत के सारांश का उपयोग बातचीत की निरंतरता तथा AI प्रतिक्रिया-सटीकता बनाए रखने हेतु किया जाता है। हम बातचीत के सारांश का उपयोग गुणवत्ता सुधार हेतु मॉडल पुनःप्रशिक्षण/सुधार, गुणवत्ता मूल्यांकन/विश्लेषण या विज्ञापन के प्रयोजनों हेतु नहीं करते।

4. गुणवत्ता सुधार हेतु मॉडल पुनःप्रशिक्षण/सुधार या गुणवत्ता मूल्यांकन/विश्लेषण हेतु उपयोग की जा सकने वाली जानकारी केवल AI प्रतिक्रिया है। हालांकि, यदि AI प्रतिक्रिया में यूज़र इनपुट परिलक्षित होता है, तो हम उस AI प्रतिक्रिया को व्यक्तिगत डेटा मानकर सावधानीपूर्वक संभालते हैं।

डीपीडीपी अधिनियम की धारा 4 (Grounds for processing) के अनुसार, हम किसी डेटा प्रिंसिपल के व्यक्तिगत डेटा को केवल उसकी सहमति के आधार पर, या धारा 7 में निर्दिष्ट “निश्चित वैध उपयोगों” (certain legitimate uses) के आधार पर संसाधित करते हैं। हमारे संदर्भ में लागू होने वाला मुख्य वैध उपयोग धारा 7(a) है — जहां डेटा प्रिंसिपल ने स्वेच्छा से (उदाहरणतः पूछताछ फ़ॉर्म के माध्यम से) अपना व्यक्तिगत डेटा प्रदान किया हो और उसने ऐसे उपयोग पर आपत्ति न जताई हो। हम डीपीडीपी अधिनियम की धारा 7(b) से 7(i) में निर्दिष्ट राज्य/सरकारी प्रयोजनों, चिकित्सा आपातस्थिति या रोज़गार-संबंधी वैध उपयोगों पर सामान्यतः निर्भर नहीं करते, क्योंकि ये सेवा की प्रकृति पर लागू नहीं होते।

---

4. उद्देश्य में परिवर्तन

हम व्यक्तिगत डेटा के उपयोग के उद्देश्य में केवल तभी परिवर्तन करेंगे जब बदला हुआ उद्देश्य पूर्व उद्देश्य से युक्तियुक्त रूप से संबंधित माना जा सके। उद्देश्य में परिवर्तन करने पर, हम अपनी निर्धारित पद्धति के अनुसार परिवर्तित उद्देश्य के बारे में डेटा प्रिंसिपल को सूचित करेंगे या अपनी वेबसाइट/सेवा पर इसे प्रकाशित करेंगे। यदि परिवर्तन पूर्व उद्देश्य से युक्तियुक्त रूप से असंबंधित माना जाता है, तो हम डेटा प्रिंसिपल को सूचित करेंगे और उसकी सहमति प्राप्त करेंगे।

---

5. कुकीज़ और समान ट्रैकिंग तकनीकें

1. हम सेवा में निम्नलिखित उद्देश्यों हेतु कुकीज़ तथा अन्य समान तकनीकों का उपयोग कर सकते हैं: (1) लॉगिन स्थिति बनाए रखने, सेशन प्रबंधन आदि जैसी सेवा की बुनियादी सुविधाएं प्रदान करने हेतु (2) उपयोगकर्ता की विशेषताओं, ऑपरेशन इतिहास, स्क्रीन ट्रांज़िशन, एरर घटनाओं आदि का विश्लेषण कर सेवा की सुविधा, प्रदर्शन तथा सुरक्षा में सुधार हेतु

2. उपयोगकर्ता डिवाइस सेटिंग्स, OS की प्राइवेसी सेटिंग्स, विज्ञापन पहचानकर्ता रीसेट, ट्रैकिंग अनुमति सेटिंग्स आदि के माध्यम से कुकीज़, विज्ञापन पहचानकर्ता तथा अन्य ट्रैकिंग को सीमित कर सकते हैं। सेटिंग्स को सीमित करने पर कुछ विश्लेषण सीमित हो सकते हैं, और भविष्य में, यदि हम विज्ञापन प्रभावशीलता माप या एट्रिब्यूशन विश्लेषण करना आरंभ करते हैं, तो ये माप या विश्लेषण भी सीमित हो सकते हैं, परंतु इससे सेवा की मुख्य सुविधाओं के उपयोग पर सिद्धांततः कोई प्रभाव नहीं पड़ता।

---

6. तीसरे पक्षों को प्रकटीकरण एवं बाह्य सेवाओं के साथ सहयोग

1. निम्नलिखित मामलों को छोड़कर, हम डेटा प्रिंसिपल की पूर्व सहमति के बिना तीसरे पक्षों को व्यक्तिगत डेटा प्रदान नहीं करते: (i) कानून द्वारा आवश्यक होने पर; (ii) किसी व्यक्ति के जीवन, शरीर या संपत्ति की सुरक्षा हेतु आवश्यक होने पर, जहां सहमति प्राप्त करना कठिन हो; (iii) सार्वजनिक स्वास्थ्य या बच्चों के स्वस्थ विकास हेतु विशेष रूप से आवश्यक होने पर; (iv) राष्ट्रीय/स्थानीय सरकारी एजेंसी या उसके द्वारा सौंपे गए व्यक्ति को कानून द्वारा निर्धारित कार्य के निष्पादन में सहयोग आवश्यक होने पर; या (v) कानून द्वारा अनुमत अन्य मामलों में।

2. हम सेवा प्रदान करने हेतु आवश्यक सीमा तक, निम्नलिखित आउटसोर्सिंग पार्टनर/बाह्य सेवा प्रदाताओं (डीपीडीपी अधिनियम के अंतर्गत ये “डेटा प्रोसेसर” की भूमिका निभा सकते हैं) को जानकारी भेज सकते हैं, या जानकारी के प्रसंस्करण को आउटसोर्स कर सकते हैं:

3. हम बेहतर सेवा प्रदान करने हेतु व्यक्तिगत डेटा के प्रसंस्करण को बाह्य पक्षों को आउटसोर्स कर सकते हैं। ऐसे मामलों में, हम ऐसे आउटसोर्सिंग पार्टनर का चयन करते हैं जो व्यक्तिगत डेटा को उचित रूप से संभालते हैं और, डीपीडीपी अधिनियम की धारा 8(2) के अनुरूप, केवल वैध अनुबंध (valid contract) के अंतर्गत डेटा प्रोसेसर को नियुक्त करते हैं। इस अनुबंध में गोपनीयता बनाए रखने, पुनः-प्रावधान पर रोक तथा व्यक्तिगत डेटा के लीक होने जैसी घटनाओं को रोकने हेतु आवश्यक शर्तें शामिल की जाती हैं।

4. डीपीडीपी अधिनियम की धारा 8(1) के अनुसार, चाहे किसी भी विपरीत अनुबंध के बावजूद, हम (डेटा फिड्युसरी के रूप में) अपने या अपनी ओर से किसी डेटा प्रोसेसर द्वारा किए गए प्रसंस्करण के संबंध में डीपीडीपी अधिनियम व नियमों के प्रावधानों के पालन हेतु उत्तरदायी बने रहते हैं — भले ही प्रसंस्करण किसी बाह्य सेवा प्रदाता द्वारा किया गया हो।

5. वास्तव में उपयोग किए गए AI सेवा प्रदाताओं की पहचान, लागू कानून के अनुसार अनुरोध किए जाने पर, धारा 14.1 में वर्णित तरीके से उपलब्ध कराई जाएगी।

6. AI प्रतिक्रिया उत्पन्न करने हेतु, हम निम्नलिखित जानकारी AI सेवा प्रदाताओं को भेज सकते हैं: ① यूज़र इनपुट ② बातचीत का सारांश ③ अलार्म सेट समय ④ कैरेक्टर सेटिंग जानकारी ⑤ प्रतिक्रिया उत्पन्न करने हेतु आवश्यक अन्य प्रासंगिक जानकारी।

7. यूज़र इनपुट को केवल AI प्रतिक्रिया उत्पन्न करने हेतु अस्थायी रूप से भेजा एवं संसाधित किया जाता है। हम इसके मूल पाठ को अपने कब्ज़े वाले व्यक्तिगत डेटा के रूप में स्थायी रूप से संग्रहीत नहीं करते।

8. हम वास्तविक नाम, पता, फ़ोन नंबर जैसी सीधे व्यक्ति की पहचान करने वाली जानकारी को भेजे जाने वाले डेटा में शामिल न करने के डिज़ाइन एवं संचालन हेतु प्रयासरत हैं। हालांकि, यदि उपयोगकर्ता स्वतंत्र इनपुट फ़ील्ड में ऐसी जानकारी दर्ज करता है, तो वह सामग्री परिणामस्वरूप AI सेवा प्रदाता को भेजे जाने वाले डेटा में शामिल हो सकती है।

9. प्रत्येक AI सेवा प्रदाता के API के संबंध में, भेजा गया डेटा मॉडल के प्रशिक्षण/सुधार हेतु उपयोग किया जाता है या नहीं, तथा लॉग की रखरखाव अवधि, प्रदाता/API/अनुबंध योजना/सेटिंग के अनुसार भिन्न होती है। हम ऐसी सेटिंग या अनुबंध चुनने का प्रयास करते हैं जिसमें भेजा गया डेटा मॉडल के प्रशिक्षण/सुधार हेतु उपयोग न हो।

10. हालांकि, दुरुपयोग की निगरानी, सुरक्षा सुनिश्चित करना, कानूनी अनुपालन जैसे उद्देश्यों हेतु, प्रत्येक प्रदाता के पास भेजा गया डेटा एक निश्चित अवधि तक लॉग के रूप में रखा जा सकता है।

11. भेजे गए डेटा की रखरखाव अवधि, प्रशिक्षण हेतु उपयोग किया जाता है या नहीं तथा सुरक्षा जांच हेतु उपयोग का दायरा, उपयोग किए जाने वाले AI सेवा प्रदाता, API, अनुबंध योजना तथा सेटिंग के अनुसार भिन्न होता है। हम प्रत्येक कंपनी द्वारा प्रकाशित नवीनतम प्राइवेसी पॉलिसी तथा डेटा प्रबंधन नीति की जांच करते हुए उचित डिज़ाइन एवं संचालन हेतु प्रयासरत हैं।

भारत के बाहर व्यक्तिगत डेटा का स्थानांतरण

12. उपरोक्त बाह्य सेवा प्रदाताओं को भेजना या आउटसोर्स करना डीपीडीपी अधिनियम की धारा 16 के अंतर्गत “भारत के बाहर व्यक्तिगत डेटा का प्रसंस्करण/स्थानांतरण” की श्रेणी में आ सकता है।

13. मुख्य स्थानांतरण गंतव्य अमेरिका, EU/EEA तथा अन्य देश/क्षेत्र हैं जहां प्रत्येक प्रदाता का प्रसंस्करण केंद्र स्थित है। जैसे, अमेरिका में GCP, Firebase, RevenueCat, Fish Audio, AI सेवा प्रदाता, Apple App Store, Google Play से संबंधित प्रसंस्करण शामिल हो सकता है। EU या जर्मनी में Sentry से संबंधित प्रसंस्करण शामिल हो सकता है। वास्तविक प्रसंस्करण देश/क्षेत्र प्रत्येक प्रदाता के इन्फ्रास्ट्रक्चर, अनुबंध तथा संचालन स्थिति के अनुसार भिन्न हो सकता है।

14. डीपीडीपी अधिनियम की धारा 16(1) के अनुसार, केंद्र सरकार अधिसूचना द्वारा किसी डेटा फिड्युसरी द्वारा प्रसंस्करण हेतु व्यक्तिगत डेटा के किसी विशेष देश या क्षेत्र को स्थानांतरण को प्रतिबंधित कर सकती है (एक “नेगेटिव लिस्ट” दृष्टिकोण — अर्थात्, जब तक कोई देश विशेष रूप से प्रतिबंधित न हो, स्थानांतरण की सामान्यतः अनुमति है)। इस नीति की तिथि पर, केंद्र सरकार द्वारा ऐसी कोई प्रतिबंधित देश सूची अधिसूचित नहीं की गई है। डीपीडीपी नियम, 2025 का नियम 15 भी यह प्रावधान करता है कि केंद्र सरकार सामान्य या विशेष आदेश द्वारा किसी विदेशी राज्य को व्यक्तिगत डेटा उपलब्ध कराने हेतु शर्तें निर्धारित कर सकती है।

15. डीपीडीपी अधिनियम की धारा 16(2) के अनुसार, यदि भारत में लागू कोई अन्य कानून व्यक्तिगत डेटा के स्थानांतरण पर उच्चतर स्तर की सुरक्षा या प्रतिबंध प्रदान करता है, तो यह धारा उस कानून की प्रयोज्यता को सीमित नहीं करती।

16. डेटा प्रिंसिपल धारा 15 में दिए गए तरीके से हमारे पास रखे अपने व्यक्तिगत डेटा के तीसरे पक्षों को प्रावधान को रोकने का अनुरोध कर सकते हैं।

---

7. AI मॉडल का प्रशिक्षण, विश्लेषण एवं ऑप्ट-आउट

1. हम सेवा की गुणवत्ता में सुधार, AI कैरेक्टर की प्रतिक्रिया गुणवत्ता में सुधार, नई सुविधाओं के विकास तथा बातचीत अनुभव में सुधार हेतु AI प्रतिक्रिया का उपयोग मॉडल के पुनःप्रशिक्षण/सुधार तथा गुणवत्ता मूल्यांकन/विश्लेषण हेतु कर सकते हैं।

2. गुणवत्ता सुधार हेतु मॉडल पुनःप्रशिक्षण/सुधार तथा गुणवत्ता मूल्यांकन/विश्लेषण हेतु उपयोग की जा सकने वाली जानकारी केवल AI प्रतिक्रिया है। हम यूज़र इनपुट के मूल पाठ को अपने कब्ज़े वाले व्यक्तिगत डेटा के रूप में स्थायी रूप से संग्रहीत नहीं करते और इसे इन प्रयोजनों हेतु उपयोग नहीं करते। इसी प्रकार, बातचीत के सारांश का उपयोग भी इन प्रयोजनों हेतु नहीं किया जाता।

3. AI प्रतिक्रिया में यूज़र इनपुट का कुछ भाग उद्धृत, संक्षेपित या परिलक्षित हो सकता है। ऐसे मामले में, हम उस AI प्रतिक्रिया को व्यक्तिगत डेटा मानते हैं।

4. यदि AI प्रतिक्रिया में ऐसी सामग्री शामिल हो जो संवेदनशील व्यक्तिगत डेटा के समकक्ष हो सकती है, तो भी हम इसे उद्देश्य के दायरे में, APPI, डीपीडीपी अधिनियम तथा अन्य लागू कानून के अनुसार उचित रूप से संभालते हैं।

5. जो उपयोगकर्ता AI प्रतिक्रिया के गुणवत्ता-सुधार उपयोग को नहीं चाहते, वे पूछताछ खिड़की (धारा 23 देखें) से संपर्क कर ऑप्ट-आउट का अनुरोध कर सकते हैं। हम युक्तियुक्त सीमा में शीघ्रता से आगे के उपयोग को रोकने की कार्रवाई करेंगे।

6. कानून द्वारा आवश्यक संग्रहण, दुरुपयोग की निगरानी/रोकथाम, सिस्टम रखरखाव, सुरक्षा जांच के निर्णय रिकॉर्ड, AI प्रतिक्रिया से तैयार सांख्यिकीय जानकारी तथा अन्य ऐसी जानकारी जो व्यक्तिगत डेटा की श्रेणी में नहीं आती, ऑप्ट-आउट के दायरे से बाहर हो सकती है। इसके अतिरिक्त, पहले से प्रशिक्षित मॉडल में समाहित जानकारी को पूरी तरह से हटाना तकनीकी रूप से कठिन हो सकता है।

---

8. विज्ञापन और ट्रैकिंग

1. इस नीति के प्रकाशन की तिथि तक, हम विज्ञापन प्रभावशीलता माप या एट्रिब्यूशन विश्लेषण नहीं करते, और इन प्रयोजनों हेतु विज्ञापन पहचानकर्ता या अन्य उपयोगकर्ता जानकारी किसी तीसरे पक्ष को नहीं भेजते (Adjust सहित)। हम उपयोग-विश्लेषण (usage analysis) हेतु Google Analytics/Google Analytics for Firebase जैसे उपकरणों का उपयोग करते हैं; हम Google Analytics को केवल उपयोग-विश्लेषण हेतु कॉन्फ़िगर करते हैं और Google Signals, विज्ञापन-पर्सनलाइज़ेशन या ऐसी डेटा-शेयरिंग सेटिंग्स सक्षम नहीं करते जो Analytics डेटा को Google के अपने विज्ञापन या उत्पाद-सुधार प्रयोजनों हेतु उपयोग करने दें। भविष्य में यदि हम ऐसा माप या विश्लेषण आरंभ करते हैं, तो आरंभ करने से पहले हम इस नीति में संशोधन करेंगे तथा उपयोग की जाने वाली बाह्य सेवा का नाम, उद्देश्य एवं संभाली जाने वाली जानकारी का दायरा स्पष्ट करेंगे।

2. यदि हम भविष्य में विज्ञापन प्रभावशीलता माप या एट्रिब्यूशन विश्लेषण आरंभ करते हैं, तो उस प्रसंस्करण में विज्ञापन पहचानकर्ता, डिवाइस जानकारी, कैंपेन जानकारी तथा ऐप उपयोग स्थिति जैसी जानकारी संभाली जा सकती है। हम यूज़र इनपुट तथा बातचीत के सारांश का उपयोग विज्ञापन वितरण, विज्ञापन प्रभावशीलता माप या विज्ञापन टारगेटिंग के प्रयोजनों हेतु नहीं करते।

3. ** वर्तमान में हमारी विज्ञापन-लक्षित (targeted advertising) रणनीति मुख्यतः जापान बाज़ार पर केंद्रित है। भारत में उपयोगकर्ताओं को व्यक्तिगत डेटा आधारित लक्षित विज्ञापन (behavioural targeting) प्रदर्शित करने की वर्तमान में कोई योजना नहीं है। जैसा कि ऊपर बताया गया है, वर्तमान में Adjust जैसे उपकरणों के माध्यम से भारत में कोई डेटा प्रसंस्करण नहीं किया जा रहा है; भविष्य में ऐसे उपकरणों का उपयोग आरंभ किए जाने पर भी, यह मुख्यतः इंस्टॉल एट्रिब्यूशन/माप (measurement) प्रयोजन हेतु सीमित रहेगा, न कि व्यक्ति-विशिष्ट विज्ञापन-टारगेटिंग हेतु। इस दृष्टिकोण में भविष्य में परिवर्तन होने पर, हम इस नीति को अद्यतन करेंगे तथा लागू कानून (जिसमें डीपीडीपी अधिनियम की सहमति संबंधी आवश्यकताएं शामिल हैं) के अनुसार आवश्यक सहमति प्राप्त करेंगे।**

4. 18 वर्ष से कम आयु के व्यक्तियों के संबंध में — यद्यपि सेवा 18 वर्ष से कम आयु के उपयोगकर्ताओं के लिए अभिप्रेत नहीं है — यदि ऐसा उपयोगकर्ता पाया जाता है, तो हम व्यवहार-लक्षित विज्ञापन (behavioural targeting advertisement) के प्रयोजन हेतु व्यक्तिगत डेटा का उपयोग तथा तीसरे पक्षों को प्रावधान नहीं करेंगे, जो डीपीडीपी अधिनियम की धारा 9(3) (बच्चों की ट्रैकिंग/व्यवहार निगरानी या लक्षित विज्ञापन पर रोक) के अनुरूप है।

5. उपयोगकर्ता डिवाइस सेटिंग्स, OS की प्राइवेसी सेटिंग्स, विज्ञापन पहचानकर्ता रीसेट, ट्रैकिंग अनुमति सेटिंग्स आदि के माध्यम से विज्ञापन पहचानकर्ता के उपयोग या ट्रैकिंग को सीमित कर सकते हैं। भविष्य में, यदि हम विज्ञापन प्रभावशीलता माप या एट्रिब्यूशन विश्लेषण करना आरंभ करते हैं, तो सेटिंग्स सीमित करने पर ये माप या कुछ विश्लेषण सीमित हो सकते हैं, परंतु इससे सेवा की मुख्य सुविधाओं के उपयोग पर सिद्धांततः कोई प्रभाव नहीं पड़ता।

---

9. नोटिस (Notice) — डीपीडीपी अधिनियम की धारा 5 एवं नियम 3 के अंतर्गत हमारे दायित्व

डीपीडीपी अधिनियम की धारा 5 के अनुसार, सहमति हेतु प्रत्येक अनुरोध के साथ या उससे पहले, हम डेटा प्रिंसिपल को एक नोटिस देते हैं, जिसमें निम्नलिखित शामिल है:

1. कौन-सा व्यक्तिगत डेटा और किस उद्देश्य से संसाधित किया जाना प्रस्तावित है — यह जानकारी धारा 2 और धारा 3 में विस्तार से दी गई है, और सेवा के भीतर संबंधित सहमति स्क्रीन/ऑनबोर्डिंग फ़्लो पर संक्षिप्त रूप में प्रस्तुत की जाती है।
2. धारा 6(4) और धारा 13 के अंतर्गत अपने अधिकारों का प्रयोग करने का तरीका — विवरण के लिए धारा 10 तथा धारा 14–17 (अधिकार) और धारा 16 (शिकायत निवारण) देखें।
3. बोर्ड में शिकायत दर्ज करने का तरीका — विवरण के लिए धारा 16 देखें।

डीपीडीपी नियम, 2025 के नियम 3 के अनुसार, ऐसा नोटिस: (क) किसी अन्य जानकारी से स्वतंत्र रूप से समझने योग्य रूप में प्रस्तुत किया जाएगा; (ख) स्पष्ट और सरल भाषा में, डेटा प्रिंसिपल को विशिष्ट एवं सूचित सहमति देने में सक्षम बनाने हेतु आवश्यक विवरण देगा, जिसमें कम से कम (i) संसाधित किए जाने वाले व्यक्तिगत डेटा का मदवार विस्तृत विवरण, और (ii) ऐसे प्रसंस्करण द्वारा प्रदान की जाने वाली वस्तुओं/सेवाओं के विशिष्ट उद्देश्य शामिल हों; तथा (ग) हमारी वेबसाइट या ऐप का विशेष संचार लिंक तथा अन्य साधनों का विवरण देगा, जिसके माध्यम से डेटा प्रिंसिपल (i) अपनी सहमति उसी सहूलियत से वापस ले सके जितनी सहूलियत से उसने सहमति दी थी, (ii) अधिनियम के अंतर्गत अपने अधिकारों का प्रयोग कर सके, तथा (iii) बोर्ड में शिकायत दर्ज कर सके।

डीपीडीपी अधिनियम की धारा 5(3) के अनुसार, हम डेटा प्रिंसिपल को नोटिस की सामग्री तक अंग्रेज़ी में या भारतीय संविधान की आठवीं अनुसूची (Eighth Schedule) में निर्दिष्ट किसी भी भाषा में — जिसमें हिंदी शामिल है — पहुंचने का विकल्प देंगे। यह हिंदी संस्करण सेवा के हिंदी स्थानीयकरण के अनुरूप उसी दायित्व की पूर्ति करता है।

धारा 5(2) के अनुसार, जो डेटा प्रिंसिपल इस अधिनियम के लागू होने की तिथि से पहले सहमति दे चुके हैं, उन्हें यथाशीघ्र उपरोक्त जानकारी वाला नोटिस दिया जाएगा (जैसे, इन-ऐप नोटिफ़िकेशन या ईमेल के माध्यम से); और जब तक सहमति वापस नहीं ली जाती, प्रसंस्करण जारी रह सकता है।

---

10. सहमति (Consent)

1. डीपीडीपी अधिनियम की धारा 6(1) के अनुसार, डेटा प्रिंसिपल द्वारा दी गई सहमति स्वतंत्र (free), विशिष्ट (specific), सूचित (informed), बिना-शर्त (unconditional) और स्पष्ट (unambiguous) होनी चाहिए, जिसमें एक स्पष्ट सकारात्मक कार्रवाई (clear affirmative action) शामिल हो, और यह केवल विशिष्ट उद्देश्य हेतु आवश्यक व्यक्तिगत डेटा तक सीमित होनी चाहिए। हम सहमति अनुरोधों को इस सिद्धांत के अनुरूप डिज़ाइन करते हैं — अर्थात्, हम अस्पष्ट “सभी को स्वीकार करें” (bundled) सहमति के बजाय, जहां व्यावहारिक हो, उद्देश्य-विशिष्ट सहमति चाहते हैं।

2. यदि सहमति का कोई भाग डीपीडीपी अधिनियम, नियमों या किसी अन्य लागू कानून के प्रावधानों का उल्लंघन करता है, तो वह भाग उस सीमा तक अमान्य होगा (धारा 6(2))।

3. सहमति के प्रत्येक अनुरोध को स्पष्ट और सरल भाषा में प्रस्तुत किया जाएगा, जिसमें अंग्रेज़ी या आठवीं अनुसूची की भाषा (हिंदी सहित) में पहुंचने का विकल्प तथा, जहां लागू हो, डेटा संरक्षण अधिकारी या हमारी ओर से उत्तर देने हेतु अधिकृत व्यक्ति की संपर्क जानकारी शामिल होगी (धारा 6(3))।

4. सहमति वापस लेने का अधिकार: डेटा प्रिंसिपल को किसी भी समय अपनी सहमति वापस लेने का अधिकार है, और ऐसा करने की सहूलियत उतनी ही होगी जितनी सहमति देने में थी (धारा 6(4))। सहमति वापस लेने के परिणाम डेटा प्रिंसिपल द्वारा वहन किए जाएंगे, और इससे सहमति वापस लेने से पहले सहमति के आधार पर हुए प्रसंस्करण की वैधता प्रभावित नहीं होगी (धारा 6(5))। सहमति वापस लिए जाने पर, हम युक्तियुक्त समय के भीतर अपने तथा अपने डेटा प्रोसेसर के व्यक्तिगत डेटा प्रसंस्करण को रोकेंगे, जब तक कि ऐसा प्रसंस्करण किसी अन्य कानूनी आधार के अंतर्गत आवश्यक या प्राधिकृत न हो (धारा 6(6))।

5. सहमति वापस लेने या अन्य अधिकारों के प्रयोग हेतु, कृपया धारा 23 में दी गई पूछताछ खिड़की से संपर्क करें।

6. सहमति प्रबंधक (Consent Manager): डीपीडीपी अधिनियम की धारा 6(7)–(9) के अनुसार, डेटा प्रिंसिपल बोर्ड में पंजीकृत सहमति प्रबंधक के माध्यम से भी अपनी सहमति दे, प्रबंधित कर, समीक्षा कर या वापस ले सकता है।

7. यदि किसी कार्यवाही में यह प्रश्न उठता है कि प्रसंस्करण सहमति के आधार पर था, तो हम यह साबित करने के लिए बाध्य होंगे कि हमने डेटा प्रिंसिपल को नोटिस दिया था तथा डेटा प्रिंसिपल ने अधिनियम के प्रावधानों के अनुसार सहमति दी थी (धारा 6(10))।

---

11. वैध उपयोग (Certain Legitimate Uses) — डीपीडीपी अधिनियम की धारा 7

सहमति के अतिरिक्त, डीपीडीपी अधिनियम की धारा 7 कुछ “निश्चित वैध उपयोगों” को मान्यता देती है, जिनके अंतर्गत सहमति के बिना भी व्यक्तिगत डेटा का प्रसंस्करण किया जा सकता है। हमारे संदर्भ में मुख्य रूप से प्रासंगिक वैध उपयोग है:

• धारा 7(a): जहां डेटा प्रिंसिपल ने स्वेच्छा से किसी विशिष्ट उद्देश्य हेतु अपना व्यक्तिगत डेटा प्रदान किया हो (उदाहरणतः, पूछताछ फ़ॉर्म भरकर हमसे संपर्क करना), और उसने इस उपयोग पर आपत्ति न जताई हो — इस स्थिति में हम उस उद्देश्य हेतु डेटा का प्रसंस्करण कर सकते हैं।

धारा 7(b) से 7(i) में उल्लिखित अन्य वैध उपयोग (सरकारी सब्सिडी/लाभ, राज्य के वैधानिक कार्य, न्यायालय के आदेशों का अनुपालन, चिकित्सा आपातस्थिति, महामारी, आपदा-प्रबंधन, रोज़गार-संबंधी सुरक्षा) सामान्यतः हमारी सेवा की सामान्य प्रकृति पर लागू नहीं होते, परंतु असाधारण परिस्थितियों में (जैसे, कानूनी आदेश का अनुपालन) प्रासंगिक हो सकते हैं।

---

12. डेटा फिड्युसरी के रूप में हमारे दायित्व एवं सुरक्षा उपाय

डीपीडीपी अधिनियम की धारा 8 तथा डीपीडीपी नियमों के नियम 6 के अनुरूप, हम निम्नलिखित सामान्य दायित्वों का पालन करते हैं:

1. किसी विपरीत अनुबंध या डेटा प्रिंसिपल द्वारा अपने कर्तव्यों के पालन में असफलता के बावजूद, हम अपने या अपनी ओर से किसी डेटा प्रोसेसर द्वारा किए गए प्रसंस्करण के संबंध में अधिनियम व नियमों के पालन हेतु उत्तरदायी हैं (धारा 8(1))।

2. जहां हमारे द्वारा संसाधित व्यक्तिगत डेटा का उपयोग डेटा प्रिंसिपल को प्रभावित करने वाला निर्णय लेने हेतु या किसी अन्य डेटा फिड्युसरी को प्रकट किए जाने हेतु किया जा सकता है, हम उसकी पूर्णता, सटीकता एवं संगति सुनिश्चित करेंगे (धारा 8(3))।

3. हम अधिनियम व नियमों के प्रभावी पालन हेतु उपयुक्त तकनीकी एवं संगठनात्मक उपाय लागू करते हैं (धारा 8(4))।

4. हम अपने कब्ज़े या नियंत्रण में मौजूद व्यक्तिगत डेटा की सुरक्षा हेतु, व्यक्तिगत डेटा उल्लंघन (personal data breach) को रोकने के लिए युक्तियुक्त सुरक्षा उपाय अपनाते हैं (धारा 8(5))। डीपीडीपी नियम 6 के अनुसार, इन उपायों में कम से कम शामिल हैं:

   • एन्क्रिप्शन, ऑब्स्क्युरिफिकेशन, मास्किंग या वर्चुअल टोकन जैसे उपयुक्त डेटा सुरक्षा उपाय;
   • कंप्यूटर संसाधनों तक पहुंच नियंत्रित करने के उपाय;
   • अनधिकृत पहुंच का पता लगाने, जांच करने तथा पुनरावृत्ति रोकने हेतु लॉग/निगरानी/समीक्षा के माध्यम से दृश्यता;
   • डेटा-बैकअप सहित, गोपनीयता/अखंडता/उपलब्धता से समझौता होने की स्थिति में निरंतर प्रसंस्करण हेतु उपाय;
   • लॉग तथा व्यक्तिगत डेटा को कम से कम एक वर्ष की अवधि तक बनाए रखना (जब तक कोई अन्य कानून अधिक अवधि की अपेक्षा न करे);
   • डेटा प्रोसेसर के साथ अनुबंध में उपयुक्त सुरक्षा प्रावधान; तथा
   • सुरक्षा उपायों का प्रभावी पालन सुनिश्चित करने हेतु उपयुक्त तकनीकी एवं संगठनात्मक उपाय।

5. हम अपने कर्मचारियों को व्यक्तिगत डेटा के प्रबंधन के संबंध में नियमित प्रशिक्षण देते हैं ताकि सूचना प्रबंधन के प्रति जागरूकता बढ़े। हमारे द्वारा लागू सुरक्षा उपायों में एक्सेस अधिकार प्रबंधन, संचार सुरक्षा, लॉग के माध्यम से प्रबंधन की स्थिति की निगरानी, आउटसोर्सिंग पार्टनर का प्रबंधन, कर्मचारियों को जागरूक करना/प्रशिक्षण देना, संभाले जाने वाले डेटा को न्यूनतम करना, तथा अनावश्यक जानकारी का विलोपन या गैर-व्यक्तिगत रूप में परिवर्तन शामिल हो सकता है। हालांकि, सुरक्षा प्रबंधन में बाधा डाल सकने वाली विशिष्ट विधियों या सामग्री को प्रकाशन/उत्तर के दायरे से बाहर रखा जा सकता है।

6. डीपीडीपी नियम 9 के अनुसार, हम अपनी वेबसाइट या ऐप पर प्रमुखता से डेटा संरक्षण अधिकारी (यदि लागू हो) या उस व्यक्ति की व्यावसायिक संपर्क जानकारी प्रकाशित करते हैं जो प्रसंस्करण के बारे में डेटा प्रिंसिपल के प्रश्नों का उत्तर देने में सक्षम है (विवरण हेतु धारा 23 देखें)।

7. हम प्रत्येक डेटा फिड्युसरी हेतु धारा 8(10) के अंतर्गत आवश्यक, डेटा प्रिंसिपल की शिकायतों के समाधान हेतु एक प्रभावी तंत्र स्थापित करते हैं (विवरण हेतु धारा 16 देखें)।

महत्वपूर्ण डेटा फिड्युसरी (Significant Data Fiduciary)

डीपीडीपी अधिनियम की धारा 10 के अंतर्गत, केंद्र सरकार डेटा की मात्रा/संवेदनशीलता, डेटा प्रिंसिपल के अधिकारों के प्रति जोखिम आदि जैसे कारकों के आधार पर कुछ डेटा फिड्युसरी को “महत्वपूर्ण डेटा फिड्युसरी” (Significant Data Fiduciary) के रूप में अधिसूचित कर सकती है, जिस पर अतिरिक्त दायित्व (जैसे भारत-आधारित डेटा संरक्षण अधिकारी की नियुक्ति, स्वतंत्र डेटा ऑडिटर, नियमित डेटा संरक्षण प्रभाव आकलन) लागू होते हैं।

---

13. व्यक्तिगत डेटा उल्लंघन की सूचना (Personal Data Breach Notification)

डीपीडीपी अधिनियम की धारा 8(6) तथा डीपीडीपी नियमों के नियम 7 के अनुसार, किसी भी व्यक्तिगत डेटा उल्लंघन (unauthorised processing या accidental disclosure, acquisition, sharing, use, alteration, destruction या access की हानि, जो व्यक्तिगत डेटा की गोपनीयता, अखंडता या उपलब्धता से समझौता करती है) की जानकारी मिलने पर:

1. हम बिना किसी विलंब के, संक्षिप्त और स्पष्ट तरीके से, प्रत्येक प्रभावित डेटा प्रिंसिपल को उनके उपयोगकर्ता खाते या हमारे साथ पंजीकृत संचार माध्यम के ज़रिए सूचित करेंगे, जिसमें शामिल होगा: (क) उल्लंघन का विवरण (प्रकृति, सीमा, घटित होने का समय); (ख) उल्लंघन से उत्पन्न संभावित परिणाम; (ग) जोखिम कम करने हेतु हमारे द्वारा उठाए गए/उठाए जा रहे उपाय; (घ) डेटा प्रिंसिपल स्वयं अपने हितों की सुरक्षा हेतु क्या सुरक्षा उपाय अपना सकते हैं; तथा (ङ) प्रश्नों का उत्तर देने हेतु सक्षम व्यक्ति की संपर्क जानकारी।

2. हम बिना किसी विलंब के भारत के डेटा संरक्षण बोर्ड को भी सूचित करेंगे, जिसमें उल्लंघन की प्रकृति, सीमा, घटना का समय/स्थान तथा संभावित प्रभाव शामिल होगा, तथा नियम में निर्धारित समय-सीमा के भीतर अद्यतन विस्तृत जानकारी, कारणों/तथ्यों, उपचारात्मक उपायों तथा प्रभावित डेटा प्रिंसिपलों को दी गई सूचनाओं की रिपोर्ट प्रस्तुत करेंगे।

---

14. व्यक्तिगत डेटा तक पहुंच, सुधार एवं विलोपन

14.1 सूचना तक पहुंच का अधिकार (डीपीडीपी अधिनियम की धारा 11)

1. जब कोई डेटा प्रिंसिपल APPI या डीपीडीपी अधिनियम के प्रावधानों के आधार पर व्यक्तिगत डेटा का प्रकटीकरण मांगता है, तो हम, यह पुष्टि करने के बाद कि अनुरोध स्वयं डेटा प्रिंसिपल का है, बिना किसी विलंब के प्रकटीकरण करेंगे (यदि ऐसा व्यक्तिगत डेटा मौजूद नहीं है, तो हम इसकी सूचना देंगे)। हालांकि, यदि APPI, डीपीडीपी अधिनियम या अन्य कानून के अंतर्गत हमारा प्रकटीकरण का दायित्व नहीं बनता, तो यह प्रावधान लागू नहीं होगा।

2. डीपीडीपी अधिनियम की धारा 11 के अनुसार, डेटा प्रिंसिपल हमसे यह प्राप्त करने का अधिकार रखता है: (क) संसाधित किए जा रहे व्यक्तिगत डेटा तथा प्रसंस्करण गतिविधियों का सारांश; (ख) सभी डेटा फ़िड्युशरी और डेटा प्रोसेसर की पहचान जिनके साथ व्यक्तिगत डेटा साझा किया गया है, साथ ही साझा किए गए डेटा का विवरण; और (ग) व्यक्तिगत डेटा तथा उसके प्रसंस्करण से संबंधित अन्य निर्धारित जानकारी।

3. धारा 11 के अंतर्गत अनुरोध प्राप्त होने पर, हम केवल प्रदाता की सामान्य श्रेणी नहीं, बल्कि उस डेटा प्रिंसिपल के व्यक्तिगत डेटा को वास्तव में प्राप्त करने वाले प्रत्येक अन्य डेटा फ़िड्युशरी और डेटा प्रोसेसर का कानूनी नाम, उसकी भूमिका तथा उसके साथ साझा किए गए व्यक्तिगत डेटा का विवरण उपलब्ध कराएंगे, सिवाय उस सीमा के जहां धारा 11(2) लागू होती है। इस उद्देश्य से हम वर्तमान और पूर्व प्रदाताओं, लागू अवधि, प्रसंस्करण की भूमिका तथा साझा किए गए डेटा की अद्यतन आंतरिक सूची रखते हैं।

4. यूज़र इनपुट के मूल पाठ के संबंध में: चूंकि हम इसे अपने कब्ज़े वाले व्यक्तिगत डेटा के रूप में सिद्धांततः स्थायी रूप से संग्रहीत नहीं करते, हमारे पास न रखा गया मूल पाठ स्वयं सामान्यतः प्रकटीकरण, सुधार, विलोपन आदि का विषय नहीं बन सकता। हालांकि, यह AI प्रतिक्रिया उत्पन्न करने या सुरक्षा जांच हेतु बाह्य API को अस्थायी रूप से भेजा जाता है और वहां प्रदाता की नीति के अनुसार कम अवधि के लिए लॉग में रखा जा सकता है (विवरण हेतु धारा 6 देखें)। दूसरी ओर, बातचीत का सारांश तथा AI प्रतिक्रिया हमारे द्वारा संग्रहीत की जा सकती है। यदि इसमें उपयोगकर्ता से संबंधित जानकारी शामिल है, तो यह व्यक्तिगत डेटा के रूप में प्रकटीकरण/विलोपन आदि का विषय बनती है।

14.2 सुधार एवं विलोपन का अधिकार (डीपीडीपी अधिनियम की धारा 12)

1. डेटा प्रिंसिपल को अपने व्यक्तिगत डेटा के सुधार, पूर्णता, अद्यतन तथा विलोपन का अधिकार है, जिस डेटा के प्रसंस्करण हेतु उसने पहले सहमति दी थी।
2. सुधार/पूर्णता/अद्यतन का अनुरोध प्राप्त होने पर, हम गलत या भ्रामक व्यक्तिगत डेटा को सुधारेंगे, अपूर्ण जानकारी को पूर्ण करेंगे, तथा जानकारी को अद्यतन करेंगे।
3. विलोपन के अनुरोध पर, हम व्यक्तिगत डेटा को मिटा देंगे, जब तक कि विशिष्ट उद्देश्य हेतु या किसी लागू कानून के अनुपालन हेतु इसका प्रतिधारण आवश्यक न हो।
4. सुधार/विलोपन के अनुरोध हेतु, कृपया धारा 23 में दी गई पूछताछ खिड़की से संपर्क करें। पहचान सत्यापन हेतु, हम आपसे हमारे निर्धारित दस्तावेज़ों को प्रस्तुत करने का अनुरोध कर सकते हैं।

14.3 प्रकटीकरण शुल्क

जापानी मूल नीति में APPI के अंतर्गत प्रकटीकरण हेतु प्रति अनुरोध ¥1,000 का शुल्क लिया जाता है। यह शुल्क व्यवस्था केवल जापान में APPI पर लागू होती है। डीपीडीपी अधिनियम या नियमों में डेटा प्रिंसिपल के अधिकार-अनुरोधों हेतु शुल्क का कोई प्रावधान नहीं है; इसलिए भारत में डीपीडीपी अधिनियम के अंतर्गत किए गए अनुरोधों पर हम कोई शुल्क नहीं लेंगे।

---

15. डेटा प्रोसेसिंग सहमति की समाप्ति के परिणाम एवं उपयोग बंद करना

धारा 6(6) के अनुरूप, सहमति वापस लिए जाने पर हम युक्तियुक्त समय के भीतर प्रसंस्करण रोक देंगे। इसके अतिरिक्त, यदि (i) व्यक्तिगत डेटा का उपयोग पूर्व-प्रकाशित उद्देश्य से बाहर किया जा रहा है, (ii) व्यक्तिगत डेटा धोखे या अन्य अनुचित माध्यमों से प्राप्त किया गया है, या (iii) व्यक्तिगत डेटा को हमारी सहमति के बिना किसी तीसरे पक्ष को प्रदान किया गया है, तो डेटा प्रिंसिपल APPI तथा डीपीडीपी अधिनियम, दोनों के अंतर्गत उपयोग बंद करने या प्रावधान बंद करने का अनुरोध कर सकता है। हम अनुरोध की पुष्टि के बाद, बिना किसी विलंब के आवश्यक कार्रवाई करेंगे और डेटा प्रिंसिपल को सूचित करेंगे।

---

16. शिकायत निवारण (Grievance Redressal) — डीपीडीपी अधिनियम की धारा 13

1. डेटा प्रिंसिपल को हमारे किसी भी कार्य या चूक के संबंध में, जो उनके व्यक्तिगत डेटा से संबंधित हमारे दायित्वों के पालन या उनके अधिकारों के प्रयोग से संबंधित है, एक सुलभ शिकायत निवारण तंत्र प्राप्त करने का अधिकार है (धारा 13(1))।

2. डीपीडीपी नियम 14(3) के अनुरूप, हम अपनी शिकायत निवारण प्रणाली के अंतर्गत, प्राप्ति की तिथि से 90 (नब्बे) दिनों से अधिक न होने वाली युक्तियुक्त अवधि के भीतर शिकायतों का समाधान करेंगे, तथा इस समयसीमा के भीतर प्रभावी समाधान सुनिश्चित करने हेतु उपयुक्त तकनीकी एवं संगठनात्मक उपाय लागू करेंगे।

3. महत्वपूर्ण: बोर्ड में शिकायत दर्ज करने से पहले, डेटा प्रिंसिपल को इस धारा के अंतर्गत अपनी शिकायत के समाधान का अवसर समाप्त करना होगा (धारा 13(3))। अर्थात्, कृपया पहले हमारे शिकायत निवारण अधिकारी/पूछताछ खिड़की से संपर्क करें (धारा 23 देखें); यदि समाधान संतोषजनक न हो, तो आप भारत के डेटा संरक्षण बोर्ड में शिकायत दर्ज कर सकते हैं।

4. शिकायत निवारण का अनुरोध करने हेतु, कृपया धारा 23 में दी गई संपर्क जानकारी का उपयोग करें। पहचान सत्यापन दस्तावेज़ों की आवश्यकता हो सकती है।

---

17. नामांकन का अधिकार (Right to Nominate) — डीपीडीपी अधिनियम की धारा 14

1. डेटा प्रिंसिपल को यह अधिकार है कि वह किसी अन्य व्यक्ति को नामांकित करे, जो डेटा प्रिंसिपल की मृत्यु या अक्षमता (incapacity — मानसिक अस्वस्थता या शारीरिक दुर्बलता के कारण अधिकारों का प्रयोग करने में असमर्थता) की स्थिति में, अधिनियम के प्रावधानों के अनुसार डेटा प्रिंसिपल के अधिकारों का प्रयोग करे।

2. डीपीडीपी नियम 14(4) के अनुरूप, नामांकन करने हेतु, डेटा प्रिंसिपल हमारे द्वारा निर्धारित साधनों (जैसे, ऐप सेटिंग्स में उपलब्ध कोई विकल्प, या पूछताछ खिड़की के माध्यम से लिखित अनुरोध) का उपयोग कर सकता है।

---

18. डेटा प्रिंसिपल के कर्तव्य

डीपीडीपी अधिनियम की धारा 15 के अनुसार, डेटा प्रिंसिपल को अपने अधिकारों का प्रयोग करते समय निम्नलिखित कर्तव्यों का पालन करना होगा: (क) सभी लागू कानूनों का पालन करना; (ख) किसी विशिष्ट उद्देश्य हेतु अपना व्यक्तिगत डेटा प्रदान करते समय किसी अन्य व्यक्ति का रूप धारण न करना; (ग) राज्य द्वारा जारी किसी दस्तावेज़/पहचान-प्रमाण हेतु जानकारी छिपाना नहीं; (घ) हमारे या बोर्ड के पास कोई झूठी या तुच्छ शिकायत दर्ज न करना; तथा (ङ) सुधार या विलोपन के अधिकार का प्रयोग करते समय केवल सत्यापन-योग्य सत्य जानकारी प्रस्तुत करना। ये कर्तव्य सेवा की उपयोग शर्तों (Terms of Service) में दिए गए दायित्वों के अतिरिक्त हैं, न कि उनका स्थानापन्न।

---

19. डेटा प्रतिधारण अवधि एवं विलोपन

1. हम प्राप्त की गई जानकारी को, उसकी श्रेणी (यूज़र इनपुट, बातचीत का सारांश, AI प्रतिक्रिया, स्वचालित रूप से प्राप्त की जाने वाली जानकारी तथा इस नीति में परिभाषित अन्य श्रेणियां) के अनुसार, उस श्रेणी के उपयोग के उद्देश्य की पूर्ति हेतु आवश्यक अवधि तक ही रखते हैं। जब रखने की आवश्यकता समाप्त हो जाती है, तो, कानूनी संग्रहण दायित्व की स्थिति को छोड़कर, हम युक्तियुक्त अवधि के भीतर जानकारी को मिटा देते हैं या अनामीकृत कर देते हैं। प्रत्येक श्रेणी की प्रतिधारण संबंधी विशिष्ट व्यवस्था इस धारा के उप-भाग 2 से 5 तथा इस नीति के अन्य संबंधित प्रावधानों में दी गई है। यह दृष्टिकोण डीपीडीपी अधिनियम की धारा 8(7) के सिद्धांत के अनुरूप है, जिसके अनुसार सहमति वापस लिए जाने पर या जैसे ही यह मान लेना युक्तियुक्त हो कि विशिष्ट उद्देश्य अब पूरा नहीं हो रहा है (जो भी पहले हो), डेटा फिड्युसरी को व्यक्तिगत डेटा मिटाना होता है — जब तक कानून के अनुपालन हेतु प्रतिधारण आवश्यक न हो।

2. यूज़र इनपुट का मूल पाठ AI प्रतिक्रिया उत्पन्न करने तथा सुरक्षा जांच हेतु अस्थायी रूप से संसाधित किया जाता है; हम इसे अपने कब्ज़े वाले व्यक्तिगत डेटा के रूप में सिद्धांततः स्थायी रूप से संग्रहीत नहीं करते। हालांकि, यह AI प्रतिक्रिया उत्पन्न करने या सुरक्षा जांच हेतु बाह्य API को अस्थायी रूप से भेजा जाता है, और वहां प्रदाता की नीति के अनुसार कम अवधि के लिए लॉग में रखा जा सकता है (विवरण हेतु धारा 6 देखें)।

3. बातचीत का सारांश बातचीत की निरंतरता तथा AI प्रतिक्रिया-सटीकता बनाए रखने हेतु आवश्यक अवधि तक सर्वर पर संग्रहीत रहता है। यदि उपयोगकर्ता विलोपन चाहता है, तो हम, कानूनी या परिचालनात्मक रूप से आवश्यक सीमा को छोड़कर, लागू कानून के अनुसार कार्रवाई करेंगे।

4. AI प्रतिक्रिया को सेवा प्रदान करने, इतिहास प्रबंधन, गुणवत्ता सुधार, दुरुपयोग रोकथाम आदि हेतु आवश्यक अवधि तक संग्रहीत किया जा सकता है। यदि AI प्रतिक्रिया में यूज़र इनपुट परिलक्षित है, तो इसे व्यक्तिगत डेटा माना जाता है।

5. निम्नलिखित जानकारी आवश्यक सीमा तक एक निश्चित अवधि तक रखी जा सकती है: (i) बिलिंग, लेखांकन, कर, कानूनी अनुपालन हेतु आवश्यक रिकॉर्ड; (ii) दुरुपयोग, शर्तों के उल्लंघन, विवाद-समाधान हेतु आवश्यक रिकॉर्ड; (iii) बैकअप, समस्या-समाधान, सुरक्षा रखरखाव हेतु आवश्यक लॉग; तथा (iv) सुरक्षा जांच के निर्णय परिणाम, कार्रवाई, तिथि/समय जैसे रिकॉर्ड।

6. डीपीडीपी नियम 8 कुछ श्रेणियों के डेटा फिड्युसरी (जो तृतीय अनुसूची में निर्दिष्ट हैं) पर एक विशिष्ट व्यवस्था लागू करता है: यदि डेटा प्रिंसिपल किसी निर्धारित अवधि तक न तो डेटा फिड्युसरी से संपर्क करता है और न ही अपने अधिकारों का प्रयोग करता है, तो विशिष्ट उद्देश्य को “अब पूरा नहीं हो रहा” माना जाता है, और डेटा फिड्युसरी को विलोपन की समयसीमा पूरी होने से कम से कम 48 घंटे पहले डेटा प्रिंसिपल को सूचित करना होता है। संबंधित लॉग एवं ट्रैफ़िक डेटा को (सातवीं अनुसूची में निर्दिष्ट उद्देश्यों हेतु) प्रसंस्करण की तिथि से कम से कम एक वर्ष तक बनाए रखा जाना अपेक्षित है।

7. हम विलोपन या अनामीकरण के समय, अनधिकृत पहुंच, लीक, हानि या क्षति को रोकने हेतु उपयुक्त तकनीकी एवं संगठनात्मक सुरक्षा उपाय अपनाते हैं।

---

20. आयु सीमा एवं बच्चों का संरक्षण — डीपीडीपी अधिनियम की धारा 9

1. सेवा केवल 18 वर्ष या उससे अधिक आयु के व्यक्तियों के लिए है और 18 वर्ष से कम आयु के व्यक्तियों द्वारा उपयोग हेतु अभिप्रेत नहीं है।

2. डीपीडीपी अधिनियम की धारा 2(f) के अनुसार, “बच्चा” (child) का अर्थ है ऐसा व्यक्ति जिसने अठारह वर्ष की आयु पूरी नहीं की है। चूंकि सेवा संरचनात्मक रूप से केवल वयस्कों (18+) के लिए डिज़ाइन की गई है और 18 वर्ष से कम आयु के व्यक्तियों द्वारा प्रत्यक्ष उपयोग हेतु अभिप्रेत नहीं है, हम सिद्धांततः धारा 9 के अंतर्गत “बच्चों” का व्यक्तिगत डेटा जानबूझकर संसाधित नहीं करते। इसका अर्थ यह है कि हम धारा 9(1) के अंतर्गत माता-पिता की सत्यापन-योग्य सहमति (verifiable parental consent) की व्यवस्था लागू करने के बजाय, प्रवेश-द्वार (gate) पर ही 18 वर्ष से कम आयु के उपयोगकर्ताओं को सेवा में प्रवेश से रोकने का दृष्टिकोण अपनाते हैं।

3. आयु सत्यापन का वर्तमान तरीका: वर्तमान में आयु सत्यापन उपयोगकर्ता द्वारा पंजीकरण के समय स्वयं-घोषित जन्मतिथि (self-declared date of birth) दर्ज करने पर आधारित है। सरकारी दस्तावेज़ या डीपीडीपी नियम 10 में वर्णित “सत्यापन-योग्य टोकन” (verifiable token, जैसे डिजिटल लॉकर सेवा प्रदाता के माध्यम से जारी) आधारित सशक्त आयु-सत्यापन प्रणाली वर्तमान में लागू नहीं है।

4. यदि हमें पता चलता है कि 18 वर्ष से कम आयु का कोई व्यक्ति सेवा का उपयोग कर रहा है, तो हम उपयोग बंद करने, खाता निलंबित/मिटाने, संबंधित व्यक्तिगत डेटा को मिटाने तथा अन्य आवश्यक उपाय करेंगे। हालांकि, कानूनी संग्रहण दायित्व, दुरुपयोग रोकथाम या विवाद-समाधान जैसे उचित कारणों से आवश्यक होने पर, हम आवश्यक न्यूनतम सीमा एवं अवधि तक ऐसी जानकारी रख सकते हैं।

5. चूंकि सेवा 18 वर्ष से कम आयु के उपयोगकर्ताओं के लिए डिज़ाइन नहीं की गई है, हम बच्चों का जानबूझकर व्यक्तिगत डेटा एकत्र नहीं करते, बच्चों की प्रोफाइलिंग नहीं करते, तथा किसी से भी सटीक भू-स्थान (precise geolocation) जानकारी एकत्र नहीं करते — जो धारा 9(2) एवं धारा 9(3) (बच्चों की भलाई पर प्रतिकूल प्रभाव डालने वाले प्रसंस्करण, ट्रैकिंग/व्यवहार निगरानी या लक्षित विज्ञापन पर रोक) की मूल भावना के अनुरूप है।

6. यदि आप माता-पिता या अभिभावक हैं और मानते हैं कि आपके बच्चे ने सेवा का उपयोग किया है या हमें व्यक्तिगत डेटा प्रदान किया है, तो कृपया धारा 23 में दी गई संपर्क जानकारी के माध्यम से हमसे संपर्क करें ताकि हम जांच कर सकें और, उपयुक्त होने पर, वह जानकारी मिटा सकें।

---

21. भारत के बाहर व्यक्तिगत डेटा का हस्तांतरण — डीपीडीपी अधिनियम की धारा 16 (सारांश)

विस्तृत विवरण धारा 6 (धारा 12–15) में दिया गया है। संक्षेप में: (i) हम सेवा प्रदान करने हेतु आवश्यक सीमा तक व्यक्तिगत डेटा को अमेरिका, EU/EEA तथा अन्य देशों में स्थित बाह्य सेवा प्रदाताओं को भेजते हैं; (ii) केंद्र सरकार भविष्य में अधिसूचना द्वारा विशिष्ट देशों को स्थानांतरण प्रतिबंधित कर सकती है, और हम ऐसी किसी भी अधिसूचना का पालन करेंगे; तथा (iii) यदि कोई अन्य भारतीय कानून उच्चतर सुरक्षा मानक अपेक्षित करता है, तो वह कानून प्रभावी रहेगा।

---

22. गोपनीयता नीति में परिवर्तन

हम कानून में परिवर्तन, सेवा की सामग्री में परिवर्तन, उपयोग की जाने वाली बाह्य सेवाओं में परिवर्तन या अन्य परिचालनात्मक आवश्यकताओं के अनुसार, समय-समय पर इस नीति की समीक्षा एवं संशोधन कर सकते हैं। ऐसा करने पर, हम ऐप के भीतर या अपनी वेबसाइट पर परिवर्तन की सामग्री प्रकाशित करेंगे, इसलिए कृपया नियमित रूप से जांच करें। व्यक्तिगत डेटा के प्रबंधन में कोई महत्वपूर्ण परिवर्तन होने पर, हम कानून द्वारा आवश्यक सीमा तक पूर्व-सूचना देंगे या सहमति प्राप्त करेंगे।

---

23. शिकायत निवारण अधिकारी (Grievance Officer) / डेटा संरक्षण अधिकारी (DPO) एवं संपर्क जानकारी

इस नीति से संबंधित प्रश्नों, या ऊपर वर्णित व्यक्तिगत डेटा के प्रकटीकरण, सुधार, उपयोग-समाप्ति आदि के अनुरोधों तथा डीपीडीपी अधिनियम की धारा 13 के अंतर्गत शिकायतों हेतु, कृपया निम्नलिखित संपर्क सूचना का उपयोग करें।

हमने GDPR अनुपालन के एक भाग के रूप में स्वैच्छिक रूप से एक DPO-समकक्ष उत्तरदायी व्यक्ति नियुक्त किया है, जो व्यक्तिगत डेटा संरक्षण से संबंधित पर्यवेक्षण एवं प्रबंधन का कार्य संभालता है। वही प्रतिनिधि इस नीति के प्रयोजनों हेतु डीपीडीपी नियम 9 के अंतर्गत आवश्यक “प्रश्नों का उत्तर देने में सक्षम व्यक्ति” तथा धारा 13 के अंतर्गत शिकायत निवारण अधिकारी (Grievance Officer) की भूमिका भी निभाता है।

SpiralAI Inc. 2-2-5 Higashi-Kanda, Chiyoda-ku, Tokyo 101-0031, Japan (PMO Akihabara III, 5F) प्रबंध निदेशक (Representative Director): Yuichi Sasaki (व्यक्तिगत सूचना संरक्षण प्रबंधक / DPO-समकक्ष / शिकायत निवारण अधिकारी) ईमेल: contact_ryzachat@go-spiral.ai

---

परिशिष्ट: डीपीडीपी अधिनियम/नियमों के प्रमुख प्रावधानों का संदर्भ-मानचित्र

---