प्राइवेसी पॉलिसी
हम मानते हैं कि पारदर्शिता एक अधिकार है, कोई फ़ीचर नहीं।
01 हम क्या इकट्ठा करते हैं
संक्षेप में: चार डेटा कैटेगरी, हर एक का एक उद्देश्य, एक समय-सीमा और एक कानूनी आधार। आपके सर्वर का कंटेंट आपका है — हम इसे नहीं देखते।
हम सिर्फ़ वही इकट्ठा करते हैं जो सेवा चलाने के लिए ज़रूरी है। नीचे दी गई हर कैटेगरी का एक तय उद्देश्य, एक रिटेंशन अवधि और एक कानूनी आधार है — और आपके अपने सर्वर पर स्टोर कंटेंट इन सब से बाहर है: यह आपका है और इसे पढ़ा, स्कैन या प्रोफ़ाइल नहीं किया जाता।
| डेटा टाइप | उद्देश्य | रिटेंशन अवधि | कानूनी आधार |
|---|---|---|---|
| अकाउंट डेटा (नाम, ईमेल, हैश्ड पासवर्ड) | ऑथेंटिकेशन और सेवा मैनेजमेंट | अकाउंट की अवधि + 30 दिन | कॉन्ट्रैक्ट पालन |
| इस्तेमाल का डेटा (IP, ब्राउज़र, API रिक्वेस्ट) | सुरक्षा, परफ़ॉर्मेंस और सपोर्ट | 90 दिन | वैध हित |
| भुगतान डेटा (आख़िरी 4 अंक, कार्ड टाइप) | बिलिंग और इनवॉइसिंग | 7 साल (क़ानूनी) | कानूनी बाध्यता |
| संचार (टिकट, ईमेल) | सपोर्ट और विवाद समाधान | 3 साल | कॉन्ट्रैक्ट पालन |
| सर्वर लॉग | डायग्नोस्टिक्स और घटना प्रतिक्रिया | 30 दिन | वैध हित |
| एनालिटिक्स कुकी | सेवा सुधार | 12 महीने | सहमति |
| मार्केटिंग कुकी | प्रासंगिक ऑफ़र | 6 महीने | सहमति |
| मार्केटिंग डेटा (सिर्फ़ ऑप्ट-इन) | न्यूज़लेटर और ऑफ़र | अनसब्सक्राइब तक | सहमति |
* अकाउंट रद्द होने पर डेटा डिलीट कर दिया जाता है, जब तक कि कानूनी ज़रूरतें कुछ और न कहें।
02 हम आपका डेटा कैसे इस्तेमाल करते हैं
संक्षेप में: चार उद्देश्य — सेवा चलाना, इसकी बिलिंग करना, इसके बारे में आपसे बात करना, इसे बेहतर बनाना। और कुछ नहीं।
आपका डेटा बिल्कुल चार उद्देश्यों के लिए प्रोसेस होता है: सेवा चलाना (आपका अकाउंट, सर्वर, डोमेन और पैनल), बिलिंग (इनवॉइस, भुगतान, धोखाधड़ी रोकथाम), ऑपरेशनल संचार (सेवा नोटिफ़िकेशन, सिक्योरिटी अलर्ट, सपोर्ट जवाब) और सुधार (सामूहिक, पहचान-रहित इस्तेमाल विश्लेषण)।
हम आपके डेटा का इस्तेमाल विज्ञापन प्रोफ़ाइल बनाने, आपके कंटेंट पर मॉडल ट्रेन करने, या आपको तीसरे पक्ष के प्लेटफ़ॉर्म पर टारगेट करने के लिए नहीं करते।
03 डेटा शेयरिंग
संक्षेप में: कभी नहीं बेचा जाता, कभी नहीं किराए पर दिया जाता। सिर्फ़ उन प्रोसेसर के साथ शेयर होता है जो सेवा को काम करने लायक बनाते हैं, कॉन्ट्रैक्ट के तहत।
आपका पर्सनल डेटा कभी किसी को बेचा या किराए पर नहीं दिया जाता। यह सिर्फ़ उन प्रोसेसर के साथ शेयर होता है जो सेवा देने के लिए सख़्ती से ज़रूरी हैं — पेमेंट गेटवे (जो कार्ड डेटा को टोकनाइज़ करता है ताकि हम कभी पूरे नंबर स्टोर न करें), ट्रांज़ैक्शनल ईमेल प्रोवाइडर, और डेटा-सेंटर ऑपरेटर जो इंफ़्रास्ट्रक्चर होस्ट करते हैं — हर एक डेटा-प्रोसेसिंग समझौते और गोपनीयता शर्तों से बंधा हुआ।
इसके अलावा, बताना सिर्फ़ तभी होता है जब किसी सक्षम अथॉरिटी का कानूनी रूप से बाध्यकारी आदेश मांगे, और सिर्फ़ उस आदेश की सीमा तक।
04 डेटा रिटेंशन
संक्षेप में: सर्वर का कंटेंट रद्द होते ही तुरंत जाता है; अकाउंट डेटा 30 दिन बाद; इनवॉइस जितना कानून कहे उतना रहते हैं।
रिटेंशन सेक्शन 1 की टेबल का पालन करती है। संक्षेप में: सेवा रद्द होते ही सर्वर का कंटेंट तुरंत डिलीट हो जाता है; मुख्य अकाउंट डेटा दोबारा सक्रिय करने की अनुमति के लिए 30 दिन रखा जाता है, फिर मिटा दिया जाता है; सपोर्ट हिस्ट्री 3 साल रखी जाती है; सिक्योरिटी लॉग लगभग 90 दिन; और इनवॉइस व भुगतान रिकॉर्ड क़ानूनी अवधि (आमतौर पर 7 साल) के लिए।
आप कभी भी जल्दी डिलीट करने का अनुरोध कर सकते हैं — जो कुछ भी कानून हमें रखने के लिए बाध्य नहीं करता, हम उसके लिए इसका पालन करते हैं।
05 आपके अधिकार
संक्षेप में: एक्सेस, सुधार, डिलीट, आपत्ति, पोर्ट, सहमति वापस लेना — सब मुफ़्त, सब 30 दिन के अंदर जवाब।
PDPL और GDPR के तहत आपके पास निम्नलिखित अधिकार हैं, जिन्हें आप पैनल या सेक्शन 10 के DPO कॉन्टैक्ट के ज़रिए मुफ़्त में इस्तेमाल कर सकते हैं:
- एक्सेस — हमारे पास मौजूद आपके पर्सनल डेटा की एक कॉपी।
- सुधार — ग़लत या अधूरे डेटा का सुधार।
- मिटाना — जहां कोई कानूनी बाध्यता रखने की मांग नहीं करती, वहां आपका डेटा डिलीट करना।
- आपत्ति और प्रतिबंध — वैध हित के आधार पर प्रोसेसिंग सीमित करना।
- पोर्टेबिलिटी — आपके अकाउंट डेटा का मशीन-रीडेबल एक्सपोर्ट।
- सहमति वापस लेना — मार्केटिंग जैसी सहमति-आधारित प्रोसेसिंग के लिए, कभी भी।
रिक्वेस्ट को 72 घंटे के अंदर पावती और 30 दिन के अंदर ठोस जवाब मिलता है।
06 कुकी पॉलिसी
संक्षेप में: ज़रूरी कुकी हमेशा चालू (ईमानदारी से बताई गई); एनालिटिक्स और मार्केटिंग आपकी मर्ज़ी — यहीं तय करें।
इस साइट पर तीन कुकी क्लास चलती हैं। ज़रूरी कुकी आपका लॉगिन सेशन और CSRF सुरक्षा संभालती हैं और बंद नहीं की जा सकतीं — इनके बिना साइट काम नहीं करती। एनालिटिक्स और मार्केटिंग कुकी वैकल्पिक हैं और नीचे कंट्रोल की जाती हैं; आपकी पसंद सिर्फ़ इस ब्राउज़र में सेव होती है।
07 सुरक्षा
संक्षेप में: ट्रांज़िट में TLS, आराम में AES-256, 2FA, ऑडिट लॉग के साथ न्यूनतम-अधिकार एक्सेस, ISO 27001 ऑडिटेड।
सुरक्षा लेयर में है: सभी ट्रैफ़िक के लिए TLS एन्क्रिप्शन, संवेदनशील स्टोर डेटा के लिए AES-256 एन्क्रिप्शन, अकाउंट पर टू-फ़ैक्टर ऑथेंटिकेशन और एडमिनिस्ट्रेटिव एक्सेस के लिए ज़रूरी हार्डवेयर-बैक्ड 2FA, पूरे ऑडिट लॉगिंग के साथ न्यूनतम-अधिकार स्टाफ़ परमिशन, 24/7 सिक्योरिटी मॉनिटरिंग, नियमित टेस्टेड बैकअप, और 10 Tbps से ऊपर रेटेड नेटवर्क-लेवल DDoS सुरक्षा।
पूरा प्रोग्राम ISO 27001 सर्टिफ़िकेशन के तहत बार-बार स्वतंत्र ऑडिट के साथ चलता है। अगर कभी कोई ब्रीच आपके पर्सनल डेटा को प्रभावित करे, तो PDPL और GDPR की मांग के अनुसार आपको सूचित किया जाएगा।
08 बच्चों की प्राइवेसी
संक्षेप में: 18+। नाबालिगों के पाए गए अकाउंट बंद कर दिए जाते हैं और उनका डेटा डिलीट कर दिया जाता है।
Hostrena सेवाएं 18 साल और उससे ऊपर के वयस्कों के लिए हैं; रजिस्ट्रेशन कानूनी उम्र की पुष्टि करता है। हम जान-बूझकर नाबालिगों से डेटा इकट्ठा नहीं करते। अगर कोई अकाउंट नाबालिग का पाया जाता है, तो उसे सस्पेंड कर दिया जाता है और उसका डेटा डिलीट कर दिया जाता है — माता-पिता या अभिभावक तुरंत हटाने के लिए DPO से संपर्क कर सकते हैं।
09 पॉलिसी में बदलाव
संक्षेप में: बड़े बदलाव 30 दिन पहले ईमेल किए जाते हैं; ऊपर दी गई तारीख हमेशा मौजूदा रहती है।
जब यह पॉलिसी बड़े तौर पर बदलती है — नए उद्देश्य, नए प्रोसेसर, बदली हुई रिटेंशन — तो बदलाव लागू होने से कम से कम 30 दिन पहले सक्रिय अकाउंट को ईमेल से सूचित किया जाता है। हेडर में आख़िरी अपडेट की तारीख हमेशा मौजूदा रिविज़न दिखाती है; छोटे संपादकीय सुधार बिना अलग सूचना के भी हो सकते हैं।
10 DPO से संपर्क करें
संक्षेप में: हर प्राइवेसी मामले के लिए एक नामित कॉन्टैक्ट — 72 घंटे में पावती।
डेटा प्रोटेक्शन ऑफ़िसर
अपने डेटा के बारे में किसी भी पूछताछ या अपने अधिकार इस्तेमाल करने के लिए, सीधे हमसे संपर्क करें — हम 72 घंटे के अंदर जवाब देते हैं।
अगर हमारा जवाब आपको संतुष्ट नहीं करता, तो आपको Saudi Data & AI Authority (SDAIA) या अपने क्षेत्र की सुपरवाइज़री अथॉरिटी में शिकायत दर्ज करने का अधिकार है।
प्राइवेसी सवाल, जवाब के साथ
Hostrena मेरे बारे में कौन सा पर्सनल डेटा इकट्ठा करता है?
सिर्फ़ चार कैटेगरी: अकाउंट डेटा (नाम, ईमेल, फ़ोन), भुगतान डेटा (पेमेंट गेटवे द्वारा टोकनाइज़्ड — पूरे कार्ड नंबर कभी हमारे सर्वर को नहीं छूते), इस्तेमाल का डेटा (लॉगिन हिस्ट्री, रिसोर्स खपत, API रिक्वेस्ट) और संचार डेटा (टिकट और मैसेज)। आपके अपने सर्वर पर स्टोर कंटेंट आपका है और इसकी जांच नहीं की जाती।
Hostrena मेरे पर्सनल डेटा का इस्तेमाल कैसे करता है?
चार उद्देश्यों के लिए: सेवा चलाना (आपका अकाउंट, सर्वर और पैनल), बिलिंग और इनवॉइसिंग, ऑपरेशनल संचार (सेवा नोटिफ़िकेशन, सिक्योरिटी अलर्ट, सपोर्ट जवाब) और सामूहिक प्रोडक्ट सुधार। तीसरे पक्ष के विज्ञापन के लिए प्रोफ़ाइलिंग इनमें शामिल नहीं है — आपके डेटा का इस्तेमाल कभी आपको कहीं और टारगेट करने के लिए नहीं होता।
क्या Hostrena मेरा डेटा तीसरे पक्ष को बेचता है?
नहीं — कभी नहीं, किसी भी रूप में, किसी भी कीमत पर। डेटा सिर्फ़ उन प्रोसेसर के साथ शेयर होता है जो सेवा चलाने के लिए सख़्ती से ज़रूरी हैं (पेमेंट गेटवे, ईमेल डिलीवरी प्रोवाइडर, डेटा-सेंटर ऑपरेटर), हर एक कॉन्ट्रैक्चुअल गोपनीयता और प्रोसेसिंग समझौतों से बंधा हुआ, और सिर्फ़ उस ख़ास फ़ंक्शन के लिए ज़रूरी न्यूनतम सीमा तक।
मेरा डेटा भौगोलिक रूप से कहां स्टोर होता है?
अकाउंट और बिलिंग रिकॉर्ड Hostrena के मुख्य इंफ़्रास्ट्रक्चर में रहते हैं, जबकि आपके सर्वर का कंटेंट उसी रीजन में रहता है जहां आप डिप्लॉय करते हैं — आज फ्रैंकफ़र्ट, हेलसिंकी, ऐशबर्न या सिंगापुर, रियाद और दुबई अगले। प्लेटफ़ॉर्म PDPL डेटा-रेज़िडेंसी ज़रूरतों के इर्द-गिर्द डिज़ाइन किया गया है क्योंकि राज्य के अंदर का इंफ़्रास्ट्रक्चर तैयार हो रहा है।
Hostrena मेरे डेटा को ब्रीच से कैसे सुरक्षित रखता है?
लेयर्ड कंट्रोल: ट्रांज़िट में हर चीज़ के लिए TLS, आराम में संवेदनशील डेटा के लिए AES-256 एन्क्रिप्शन, टू-फ़ैक्टर ऑथेंटिकेशन, पूरे ऑडिट लॉगिंग के साथ न्यूनतम-अधिकार स्टाफ़ एक्सेस, 24/7 सिक्योरिटी मॉनिटरिंग, नियमित बैकअप और 10 Tbps से ऊपर DDoS सुरक्षा। ISO 27001 सर्टिफ़िकेशन पूरे प्रोग्राम को स्वतंत्र रूप से ऑडिटेड रखता है।
Hostrena कौन सी कुकी इस्तेमाल करता है?
तीन क्लास। ज़रूरी कुकी लॉगिन सेशन और CSRF सुरक्षा चलाती हैं और बंद नहीं की जा सकतीं। एनालिटिक्स कुकी सामूहिक साइट इस्तेमाल मापती हैं और बंद की जा सकती हैं। मार्केटिंग कुकी कैंपेन मापती हैं और ऑप्ट-इन हैं। इस पेज पर कुकी प्राथमिकता पैनल आख़िरी दो को कंट्रोल करता है, जो आपके ब्राउज़र में लोकल सेव होता है।
मैं अपना अकाउंट और सारा डेटा कैसे डिलीट करूं?
क्लाइंट पैनल (Settings → Delete Account) से या DPO ईमेल पर लिखकर डिलीट करने का अनुरोध करें। प्रोसेसिंग रुक जाती है और 30 दिन के अंदर डेटा मिटा दिया जाता है। सिर्फ़ अपवाद वे रिकॉर्ड हैं जिन्हें कानून हमें रखने के लिए बाध्य करता है — मुख्य रूप से वित्तीय नियमों के तहत इनवॉइस और भुगतान रिकॉर्ड, आमतौर पर 7 साल के लिए।
क्या मुझे Hostrena के पास मौजूद मेरे पूरे डेटा की कॉपी मिल सकती है?
हां — डेटा पोर्टेबिलिटी PDPL और GDPR दोनों के तहत आपका अधिकार है। क्लाइंट पैनल में एक्सपोर्ट विकल्प इस्तेमाल करें या DPO को ईमेल करें, और उचित अनुरोधों के लिए मुफ़्त में 30 दिन के अंदर आपके अकाउंट डेटा की पूरी, मशीन-रीडेबल कॉपी मिलेगी।
क्या यह पॉलिसी GDPR और सऊदी PDPL के अनुरूप है?
यह पॉलिसी दोनों फ़्रेमवर्क पर बनी है: घरेलू नियमन के तौर पर PDPL और इंटरनेशनल क्लाइंट के लिए GDPR। व्यवहार में इसका मतलब है हर प्रोसेसिंग उद्देश्य के लिए दर्ज कानूनी आधार, एक्सेस, सुधार, डिलीशन, आपत्ति और पोर्टेबिलिटी के सम्मानित अधिकार, ब्रीच-नोटिफ़िकेशन प्रक्रियाएं और एक नामित डेटा प्रोटेक्शन ऑफ़िसर।
Hostrena के अंदर मेरे अकाउंट डेटा तक किसकी पहुंच है?
एक्सेस न्यूनतम-अधिकार का पालन करता है। सपोर्ट इंजीनियर सिर्फ़ आपके ख़ास टिकट के लिए ज़रूरी चीज़ें देखते हैं, फ़ाइनेंस स्टाफ़ सिर्फ़ बिलिंग रिकॉर्ड देखता है, और इंफ़्रास्ट्रक्चर इंजीनियर पर्सनल डेटा की बजाय सिस्टम के साथ काम करते हैं। हर एक्सेस एक ऑडिट ट्रेल में दर्ज होता है, और एडमिनिस्ट्रेटिव एक्सेस के लिए हार्डवेयर-बैक्ड टू-फ़ैक्टर ऑथेंटिकेशन ज़रूरी है।
क्या Hostrena मेरे डेटा का इस्तेमाल मार्केटिंग के लिए करता है?
सिर्फ़ अपनी ख़ुद की, और हमेशा एक निकास के साथ। रजिस्टर्ड क्लाइंट को ख़ुद Hostrena से प्रोडक्ट न्यूज़ और ऑफ़र मिल सकते हैं, और हर ऐसे मैसेज में एक-क्लिक अनसब्सक्राइब होता है जो तुरंत माना जाता है। आपका डेटा कभी बाहरी विज्ञापनदाताओं के साथ शेयर नहीं होता, और अनसब्सक्राइब करना कभी इनवॉइस या सिक्योरिटी अलर्ट जैसे ऑपरेशनल नोटिस को प्रभावित नहीं करता।
रद्द करने के बाद मेरा डेटा कितने समय तक रखा जाता है?
रद्द होते ही सर्वर का कंटेंट तुरंत डिलीट हो जाता है। अगर आप दोबारा सक्रिय करें इसके लिए मुख्य अकाउंट डेटा 30 दिन रखा जाता है, फिर मिटा दिया जाता है। सपोर्ट हिस्ट्री 3 साल, सिक्योरिटी लॉग लगभग 90 दिन, और इनवॉइस व भुगतान रिकॉर्ड कानूनी रूप से तय अवधि (आमतौर पर 7 साल) के लिए रखे जाते हैं। जहां कानून अनुमति दे, वहां जल्दी डिलीट करने का अनुरोध किया जा सकता है।
क्या Hostrena जान-बूझकर नाबालिगों से डेटा इकट्ठा करता है?
नहीं। सेवाएं 18 साल और उससे ऊपर के वयस्कों के लिए हैं, और रजिस्ट्रेशन कानूनी उम्र की पुष्टि करता है। अगर कोई अकाउंट नाबालिग का पाया जाता है, तो उसे सस्पेंड कर दिया जाता है और उसका डेटा डिलीट कर दिया जाता है। जो माता-पिता या अभिभावक मानते हैं कि किसी नाबालिग ने रजिस्टर किया है, वे तुरंत हटाने के लिए DPO से संपर्क कर सकते हैं।
मैं प्राइवेसी शिकायत कैसे दर्ज करूं?
डेटा प्रोटेक्शन ऑफ़िसर को पूरी जानकारी के साथ लिखें — आपको 72 घंटे के अंदर पावती और 30 दिन के अंदर ठोस जवाब मिलेगा। अगर नतीजा आपको संतुष्ट नहीं करता, तो आपको Saudi Data & AI Authority (SDAIA) या अपने क्षेत्र की सुपरवाइज़री अथॉरिटी तक मामला बढ़ाने का अधिकार है।
मैं अपनी पर्सनल जानकारी कैसे अपडेट करूं?
सीधे क्लाइंट पैनल से: प्रोफ़ाइल डेटा (नाम, फ़ोन) Profile के तहत, बिलिंग और कंपनी की जानकारी Account Settings के तहत। अकाउंट का ईमेल बदलने के लिए हाईजैकिंग रोकने के लिए नए पते से पुष्टि चाहिए। जो कुछ आप ख़ुद एडिट नहीं कर सकते, उसे सपोर्ट टीम या DPO अनुरोध पर ठीक कर देंगे — सुधार एक गारंटीड अधिकार है।