Kimda

गोपनीयता नीति

अंतिम अपडेट: 27 अक्टूबर 2026

इस नीति का चेक संस्करण बाध्यकारी है। अन्य भाषाओं में अनुवाद केवल जानकारी के लिए हैं; किसी भी विसंगति के मामले में चेक संस्करण मान्य होगा।

यह दस्तावेज़ बताता है कि Kimda ऐप ("ऐप", "हम") और kimda.app वेबसाइट कौन-सा डेटा प्रोसेस करते हैं, क्यों और किस कानूनी आधार पर, हम इसे किसे सौंपते हैं, इसे कितने समय तक रखते हैं, और आपके व आपके बच्चों के क्या अधिकार हैं। ऐप बच्चों सहित पूरे परिवार के उपयोग के लिए बनाया गया है — इसलिए हम डेटा की सुरक्षा पर विशेष ध्यान देते हैं।

1. डेटा नियंत्रक कौन है

डेटा नियंत्रक Mgr. Ivo Slávka हैं, जो Kimda ऐप के संचालक हैं और प्राग 8 नगर पालिका कार्यालय (ÚMČ Praha 8) द्वारा रखे गए व्यापार रजिस्टर में पंजीकृत एक एकल उद्यमी हैं, IČO 30070929, पंजीकृत कार्यालय Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, चेक गणराज्य। गोपनीयता से जुड़े सवालों और अपने अधिकारों का उपयोग करने के लिए संपर्क ईमेल: privacy@kimda.app।

2. हम कौन-सा डेटा प्रोसेस करते हैं और क्यों

• खाते का डेटा: पहला नाम, अंतिम नाम, फ़ोन नंबर, भूमिका (अभिभावक/बच्चा), चुनी गई भाषा और थीम, वैकल्पिक प्रोफ़ाइल फ़ोटो, इस नीति का वर्ज़न और वह समय जब आपने इससे सहमति जताई, अभिभावक के मामले में वह समय जब उन्होंने अपने वयस्क होने की पुष्टि की, और बच्चे के मामले में समय, नीति का वर्ज़न और वह अभिभावक जिसने बच्चे की ओर से सहमति दी (बिंदु 5)। आपका नाम और प्रोफ़ाइल फ़ोटो ऐप में आपके परिवार के अन्य सदस्यों को दिखाई देते हैं (माता-पिता सभी सदस्यों को देखते हैं, बच्चा अपने माता-पिता और भाई-बहनों को देखता है)।
• फ़ोन नंबर का उपयोग हम पहचान सत्यापन (SMS कोड) और लॉग इन के लिए तथा इसके अपरिवर्तनीय फ़िंगरप्रिंट का उपयोग Premium परीक्षण अवधि की सुरक्षा के लिए (बिंदु 6), नंबर बदलने के बाद किसी अन्य द्वारा ले लिए गए खाते की वापसी के अनुरोध को सत्यापित करने के लिए (नीचे सुरक्षा रिकॉर्ड) और बैकअप से डेटाबेस की पुनर्स्थापना के बाद उस नंबर पर लॉग इन रोकने के लिए करते हैं, जिसे खाता पहले छोड़ चुका है (नीचे फ़ोन में बदलाव का जर्नल) - इसके अलावा ऐप नंबर पर किसी को संदेश नहीं भेजता और SMS सत्यापन सेवा प्रदाता (Twilio, बिंदु 4 देखें) के अलावा किसी तीसरे पक्ष के साथ इसे साझा नहीं करता।
• परिवार का डेटा: परिवार का नाम, उसमें कौन-कौन है, किसकी क्या भूमिका और सेटिंग्स हैं (पॉकेट मनी के बँटवारे का प्रतिशत, मुद्रा, परिवार की भाषा और समय क्षेत्र) और वित्तीय नियमों में बदलाव का इतिहास (किसने और कब उदा. ब्याज, बँटवारे का प्रतिशत, मुद्रा या समय क्षेत्र को किस मूल्य से किस मूल्य में बदला)।
• जुड़ने के अनुरोध: परिवार से जुड़ने वाले व्यक्ति का पहला नाम, अंतिम नाम, भूमिका और फ़ोन नंबर, और अनुरोध का समय - ताकि अभिभावक देख सकें कि वे किसे मंज़ूरी दे रहे हैं।
• अभिभावक सहमति अनुरोध: अनुरोध का प्रकार (अभिभावक को हटाना या पूरे परिवार को हटाना), यह किसने प्रस्तुत किया, यह किससे संबंधित है और इसे किसने स्वीकृत, अस्वीकृत या रद्द किया (आंतरिक पहचानकर्ता), समय (प्रस्तुति, समय सीमा, अनुस्मारक, निपटान) और परिणाम (स्वीकृत, अस्वीकृत, रद्द, समय सीमा समाप्त होने के बाद निष्पादित, या अमान्य); हम नाम, फ़ोन नंबर या कोई फ़्री-टेक्स्ट सहेजते नहीं हैं। अनुरोध ऐप में परिवार के अभिभावकों को दिखाई देते हैं।
• कार्यों का डेटा: कार्य का नाम, अंक, कार्य कब पूरा/मंज़ूर/अस्वीकार हुआ, और फ़ोटो, अगर कार्य के लिए फ़ोटो ज़रूरी है, जिसमें फ़ोटो का तकनीकी फ़िंगरप्रिंट शामिल है (बिंदु 3 देखें)।
• योजनाएँ, दिनचर्या और रिमाइंडर: कार्य किसे सौंपा गया है, नियोजित दिन और समय, पूरा होने की स्थिति, देरी, बारी का क्रम और क्या रिमाइंडर भेजा गया।
• इनाम और लक्ष्य: परिवार का इनाम कैटलॉग, इनाम के अनुरोध, बचत लक्ष्य और वे रकमें, जो बच्चे ने लक्ष्य में डालीं। माता-पिता का सारांश इस डेटा से कार्यों के पूरा होने, समय पर होने और बराबर बँटवारे का कुल आँकड़ा निकालता है; यह बच्चों की कोई सार्वजनिक रैंकिंग नहीं बनाता।
• ऐप का वित्तीय डेटा: अंक, वर्चुअल पॉकेट मनी और उसका बँटवारा, भुगतान के अनुरोध, परिवार के भीतर ऋण और ब्याज - यह ऐप का आंतरिक रिकॉर्ड है, असली बैंक या भुगतान जानकारी नहीं। ऐप की किसी भी बैंक खाते या पेमेंट कार्ड तक पहुँच नहीं है। बच्चे का मासिक सारांश (स्वीकृत कार्यों की संख्या, अंक, और Premium के साथ वर्तमान महीने की राशि भी; बॉक्स बैलेंस नहीं) उसी परिवार के अन्य बच्चों को भी दिखाई देता है, जब तक कि माता-पिता इसे परिवार सेटिंग्स में बंद न कर दें।
• सीधे भुगतानों और मैन्युअल किश्तों के रिकॉर्ड: जब कोई अभिभावक ऐप में बच्चे को उसकी शेष राशि का एक हिस्सा सीधे भुगतान करता है (बच्चे के अनुरोध के बिना) या उसके ऋण की किश्त मैन्युअल रूप से दर्ज करता है, तो सर्वर ऐसे प्रत्येक ऑपरेशन का एक अलग रिकॉर्ड सहेजता है, जिसे आगे बदला नहीं जाता है। इसमें परिवार, बच्चे और ऑपरेशन करने वाले अभिभावक के आंतरिक पहचानकर्ता, ऑपरेशन का प्रकार (सीधा भुगतान, मैन्युअल किश्त), राशि, भुगतान के मामले में वह बॉक्स जिससे भुगतान किया गया था, और राशि का विवरण (भुगतान के मामले में स्वयं की जमा राशि के हिस्से और जोड़े गए ब्याज के हिस्से में, किश्त के मामले में मूलधन और ब्याज में), ऑपरेशन का समय और अनुरोध का रैंडम पहचानकर्ता शामिल होता है। यह रिकॉर्ड इसलिए काम आता है ताकि यह साबित किया जा सके कि अभिभावक ने ऐप में क्या और कब दर्ज किया, और ताकि परिवार में किसी संभावित विवाद का समाधान केवल अंतिम शेष राशि के आधार पर नहीं, बल्कि रिकॉर्ड के आधार पर किया जा सके। यह ऐप का आंतरिक रिकॉर्ड है - ऐप खुद कोई पैसा ट्रांसफ़र नहीं करता है। ये रिकॉर्ड डेटा निर्यात का हिस्सा हैं (बिंदु 7) और बिंदु 6 के अनुसार रखे जाते हैं।
• सदस्यता: परिवार की सदस्यता की स्थिति (परीक्षण अवधि, Premium, इसकी वैधता और नवीनीकरण) और प्रोमो कोड से संभावित मुफ़्त पहुँच; सर्वर प्रोमो कोड को केवल HMAC फ़िंगरप्रिंट के रूप में सहेजता है और कोड के प्रबंधन को रिकॉर्ड करता है (किसने, कब, क्या कार्रवाई की)। हम भुगतान जानकारी नहीं देखते - भुगतान Apple या Google द्वारा प्रोसेस किया जाता है। Premium तुरंत शुरू करने की सहमति का दस्तावेज़, जिसे हम इस सहमति के प्रमाण के रूप में रखते हैं, बिंदु 6 में वर्णित है।
• लॉग इन और सुरक्षा: अलग-अलग डिवाइस के लॉग इन सेशन (कब बना, पिछली बार कब इस्तेमाल हुआ और कब तक मान्य है)। अभिभावक प्रोफ़ाइल (Profil) में अपने लॉग-इन किए गए डिवाइस का विवरण देख सकते हैं (केवल लॉग इन और अंतिम उपयोग का समय, बिना IP पते और डिवाइस के नाम के) और उन्हें अलग-अलग लॉग आउट कर सकते हैं। सर्वर रीफ़्रेश टोकन को केवल SHA-256 फ़िंगरप्रिंट के रूप में सहेजता है, जिसमें पहले से बदले जा चुके टोकन के फ़िंगरप्रिंट भी शामिल हैं, ताकि चोरी हुए टोकन के दुरुपयोग का पता चल सके। SMS कोड के अनुरोध पर, यह फ़ोन नंबर के कीड फ़िंगरप्रिंट (HMAC-SHA-256) और वन-टाइम चुनौती के SHA-256 फ़िंगरप्रिंट को प्रयासों की संख्या के साथ, नंबर बदलने और परिवार को हटाने की पुष्टि करने पर इसका उद्देश्य और खाते का आंतरिक पहचानकर्ता भी सहेजता है। भेजे गए SMS की दैनिक सीमा सहित अनुरोधों की संख्या की सीमा, IP पते या उसके नेटवर्क (IPv4 /24, IPv6 /56), फ़ोन नंबर, फ़ोन नंबर और नेटवर्क के जोड़े या खाते के कीड फ़िंगरप्रिंट (HMAC-SHA-256) के आधार पर, या देश या फ़ोन नंबर के प्रीफ़िक्स के आधार पर गिनी जाती है। इन फ़िंगरप्रिंट की कुंजी को सर्वर डेटाबेस के बाहर रखी गई एक गुप्त कुंजी से प्राप्त करता है, ताकि इसके बिना फ़िंगरप्रिंट को वापस फ़ोन नंबर या IP पते में नहीं बदला जा सके। महत्वपूर्ण घटनाओं (उदा. लॉग इन, जुड़ने का अनुरोध, किसी सदस्य को मंज़ूर, अस्वीकार या हटाना, नया आमंत्रण कोड, डिवाइस को लॉग आउट करना, फ़ोन नंबर बदलना, नीति की पुष्टि, बच्चे की ओर से अभिभावक की सहमति या टोकन के दुरुपयोग का संदेह) के सुरक्षा रिकॉर्ड में घटना का प्रकार, समय और आंतरिक पहचानकर्ता होते हैं; किसी सदस्य को हटाने पर उसकी भूमिका (अभिभावक/बच्चा) भी होती है, नीति की पुष्टि और अभिभावक की सहमति पर नीति का वर्ज़न होता है और ऐसे बच्चे का खाता हटाने पर जिस पर ऋण, शेष राशि या लंबित अनुरोध थे, मुद्रा, बट्टे खाते में डाली गई रकमें और लंबित अनुरोधों की संख्या भी होती है। फ़ोन नंबर बदलने के रिकॉर्ड में मूल नंबर का अपरिवर्तनीय फ़िंगरप्रिंट (गुप्त कुंजी के साथ HMAC) भी होता है, ताकि सहायता टीम यह सत्यापित कर सके कि किसी अन्य द्वारा ले लिए गए खाते की वापसी का अनुरोध मूल नंबर के वास्तविक स्वामी द्वारा किया गया है। इनमें नाम, फ़ोन नंबर या IP पते नहीं होते हैं। इसके अलावा, फ़ोन नंबर में बदलाव और परिवार के सदस्य को हटाने या बहाल करने को एक अलग जर्नल में दर्ज किया जाता है, जिसका वर्णन नीचे दी गई बुलेट „फ़ोन और सदस्य की स्थिति में बदलाव का जर्नल“ में है।
• सुरक्षा सूचनाएँ: जब कोई अभिभावक SMS कोड से लॉग इन करता है, तो परिवार के अन्य अभिभावकों को बिना नाम और फ़ोन नंबर के एक सामान्य सूचना मिलती है; SMS कोड से हर लॉग इन (अभिभावक और बच्चे के) पर उसी खाते के वर्तमान में लॉग इन किए गए डिवाइसों को भी नए लॉग इन के बारे में एक सामान्य सूचना मिलेगी। फ़ोन नंबर बदलने पर (नए नंबर को SMS कोड से सत्यापित किया जाता है), सर्वर खाते के अन्य लॉग-इन किए गए डिवाइसों को लॉग आउट कर देता है और खाते के मौजूदा डिवाइसों व परिवार के अभिभावकों को एक सामान्य सूचना मिलती है; पुराना नंबर आगे नहीं रखा जाता है – केवल बदलाव के सुरक्षा रिकॉर्ड में इसका अपरिवर्तनीय फ़िंगरप्रिंट (30 दिन, अनुभाग 6 देखें), फ़ोन में बदलाव के जर्नल में मूल और नए नंबर के अपरिवर्तनीय फ़िंगरप्रिंट (60 दिन, नीचे और अनुभाग 6 देखें) रहेंगे, और उस अभिभावक के लिए जो परिवार की परीक्षण अवधि के दौरान उसका सदस्य था, अनुभाग 6 के अनुसार इसका फ़िंगरप्रिंट भी रहेगा। जब खाता स्वामी के अनुरोध पर सहायता टीम द्वारा नंबर पुनर्स्थापित किया जाता है, तो वह पहले उसकी पहचान सत्यापित करती है: मूल नंबर पर भेजे गए SMS कोड द्वारा, जबकि मूल नंबर का फ़िंगरप्रिंट नंबर बदलने के रिकॉर्ड में मौजूद फ़िंगरप्रिंट से मेल खाना चाहिए। जब ऐसा सत्यापन संभव नहीं होता है (बदलाव का रिकॉर्ड अब मौजूद नहीं है या स्वामी के पास मूल नंबर नहीं है), तो वह परिवार के किसी अन्य अभिभावक से पुष्टि द्वारा (इस अभिभावक के नंबर पर भेजे गए SMS कोड द्वारा सत्यापित) और सहायता टीम द्वारा पूछे गए प्रश्नों के उत्तरों द्वारा उसकी पहचान सत्यापित करती है; ऐसे मामले में, वह पहले खाते के डिवाइसों और परिवार के अभिभावकों को एक सूचना भेजेगी और यदि कोई आपत्ति नहीं करता है तो कम से कम 72 घंटों के बाद ही नंबर वापस करेगी; आप इस सूचना को लॉग इन करने के बाद पूरी अवधि के दौरान सीधे ऐप में देखेंगे। ऐसे सत्यापन के बिना वह नंबर पुनर्स्थापित नहीं करेगी और किसी भी अनुरोध को रद्द नहीं करेगी – केवल सभी डिवाइसों से खाते को लॉग आउट कर सकती है। यदि सहायता टीम ने पिछले 30 दिनों में उसी खाते को पहले ही एक बार वापस कर दिया है, तो वह अगले अनुरोध को एक विवाद मानती है और बिना किसी अतिरिक्त जाँच के नंबर पुनर्स्थापित नहीं करेगी। पुनर्स्थापना के बाद सर्वर सभी डिवाइसों से खाते को लॉग आउट कर देता है, परिवार के अभिभावकों को एक सामान्य सूचना मिलती है और इस हस्तक्षेप को रिकॉर्ड किया जाता है (यह किसने किया, कब किया, यह किस खाते से संबंधित है और आपके अनुरोध का लिंक – बिना फ़ोन नंबर के)। बच्चे का खाता हटाने पर, किसी अन्य अभिभावक को हटाने पर (हटाए गए अभिभावक को भी) और लॉग इन टोकन के दुरुपयोग का संदेह होने पर भी अभिभावकों को एक सामान्य सूचना मिलती है; इस मामले में सर्वर खाते को सभी डिवाइस से लॉग आउट कर देता है और सूचनाओं के लिए इसके पंजीकरण रद्द कर देता है। सुरक्षा सूचनाएँ (उदा. नए लॉग इन या डिवाइस, फ़ोन नंबर बदलने, वित्तीय नियमों में बदलाव, सदस्य को हटाने, बच्चे का खाता हटाने या टोकन के दुरुपयोग का संदेह होने पर) सर्वर पहले एक कतार में सहेजता है (सूचना का प्रकार, प्राप्तकर्ता - डिवाइस का पुश टोकन या परिवार या खाते का आंतरिक पहचानकर्ता और भाषा - और घटना का सामान्य तकनीकी प्रकार) और उसके बाद ही उन्हें डिलीवर करता है; सहायता टीम द्वारा ले लिए गए खाते को वापस करते समय सूचना (ऊपर) सीधे भेजी जाती है। यदि बार-बार प्रयासों के बाद भी परिवार के सदस्य के खाते के डिवाइसों या अभिभावकों को सूचना डिलीवर नहीं की जा पाती है, तो सर्वर केवल परिवार का आंतरिक पहचानकर्ता, सूचना का प्रकार और समय (बिना पुश टोकन और बिना नाम के) सहेजता है, ताकि ऐप में अगले लॉग इन के बाद अभिभावक यह देख सके कि यह कौन सी सूचना थी, और इसकी पुष्टि कर सके; यदि प्राप्तकर्ता के पास ऐसा कोई डिवाइस नहीं है जिस पर सूचना भेजी जा सके, तो ऐसा कोई रिकॉर्ड नहीं बनता है। प्रतिधारण अवधि बिंदु 6 द्वारा निर्धारित की गई है।
• फ़ोन और सदस्य की स्थिति में बदलाव का जर्नल: ऊपर दिए गए सुरक्षा रिकॉर्ड के अलावा, सर्वर खाते के फ़ोन नंबर के प्रत्येक बदलाव के लिए (चाहे आप इसे स्वयं प्रोफ़ाइल में करें या आपके अनुरोध पर सहायता टीम द्वारा किया जाए) और परिवार के किसी सदस्य को हटाने या बहाल करने के लिए जर्नल में एक अलग रिकॉर्ड रखता है। रिकॉर्ड में रिकॉर्ड का रैंडम पहचानकर्ता, खाते और परिवार के आंतरिक पहचानकर्ता, घटना का प्रकार (नंबर बदलना, सहायता टीम द्वारा नंबर पुनर्स्थापित करना, सदस्य को हटाना, सदस्य को बहाल करना), घटना का समय और – केवल नंबर बदलने पर – मूल और नए दोनों नंबरों के अपरिवर्तनीय फ़िंगरप्रिंट (डेटाबेस के बाहर संग्रहीत गुप्त कुंजी के साथ HMAC-SHA-256) शामिल होते हैं। सदस्य को हटाने और बहाल करने पर कोई फ़िंगरप्रिंट नहीं होते हैं। जर्नल में फ़ोन नंबर, नाम या IP पते नहीं होते हैं। गुप्त कुंजी के बिना फ़िंगरप्रिंट को वापस फ़ोन नंबर में नहीं बदला जा सकता, लेकिन चूँकि यह खाते के आंतरिक पहचानकर्ता से जुड़ा होता है, इसलिए यह छद्मनामी डेटा है, न कि अनाम डेटा। जर्नल केवल बैकअप से डेटाबेस की पुनर्स्थापना के परिणामों से बचाव के लिए काम आता है: ताकि खाते में वह नंबर वापस न आ जाए जिसे खाता इस बीच छोड़ चुका है (और जिसे कोई अन्य ले सकता था), और परिवार के सदस्य को हटाने के उस निर्णय को फिर से लागू किया जा सके जो बैकअप में शामिल नहीं है। इसलिए, सर्वर SMS कोड से लॉग इन करते समय और फ़ोन नंबर का सत्यापन करते समय दर्ज किए गए नंबर के फ़िंगरप्रिंट की तुलना जर्नल के अंतिम रिकॉर्ड से करता है; यदि यह मेल नहीं खाता है, तो वह लॉग इन को रोक देता है और सहायता टीम से संपर्क करने का निर्देश देता है। रिकॉर्ड डेटाबेस में सहेजा जाता है और बैकअप के बीच डेटाबेस के नुकसान से बचाने के लिए आमतौर पर कुछ ही मिनटों में Cloudflare R2 के एक अलग गैर-सार्वजनिक स्टोरेज (बिंदु 4) में एक कॉपी के रूप में भी सहेजा जाता है। रखने की समय सीमा बिंदु 6 में निर्धारित है।
• तकनीकी डेटा: पुश टोकन और डिवाइस का रैंडम पहचानकर्ता, जिसे ऐप सूचनाएँ पहुँचाने के लिए बनाता है (यह हार्डवेयर पहचानकर्ता नहीं है), डिवाइस के अंतिम पंजीकरण का समय, वह लॉग इन जिससे पंजीकरण संबंधित है, और रैंडम इंस्टॉलेशन सीक्रेट का SHA-256 फ़िंगरप्रिंट, जिससे डिवाइस साबित करता है कि पुश टोकन उसका है। पंजीकरण मुक्त होने (लॉग आउट, सदस्य को हटाने, सुरक्षा ब्लॉक या स्वचालित सफ़ाई) के बाद, सर्वर दो समय-सीमित रिकॉर्ड याद रखता है, ताकि कोई बाहरी खाता डिवाइस की सूचनाओं पर कब्ज़ा न कर सके: (a) मुक्त किए गए पुश टोकन का रिकॉर्ड - पुश टोकन और इंस्टॉलेशन सीक्रेट के SHA-256 फ़िंगरप्रिंट, परिवार का आंतरिक पहचानकर्ता और मुक्त होने का समय (ताकि मुक्त किए गए टोकन पर किसी अन्य परिवार का खाता कब्ज़ा न कर सके); और (b) मुक्त किए गए डिवाइस का रिकॉर्ड - खाते का आंतरिक पहचानकर्ता, डिवाइस का रैंडम पहचानकर्ता, वही फ़िंगरप्रिंट और मुक्त होने का समय (ताकि मुक्त किए गए डिवाइस को, यह साबित किए बिना कि यह वही इंस्टॉलेशन है, उसी खाते का कोई अन्य लॉग इन सेशन, उदाहरण के लिए चोरी हुआ सेशन, फिर से न ले सके)। सर्वर इसके अलावा डिवाइस पंजीकरण का एक रिकॉर्ड (खाते और डिवाइस का आंतरिक पहचानकर्ता, पुश टोकन का फ़िंगरप्रिंट, घटना का प्रकार और समय) 30 दिनों तक रखता है, जिसके अनुसार वह नए डिवाइसों के पंजीकरण की 24 घंटे की सीमा पर नज़र रखता है। रखने की समय सीमा बिंदु 6 में निर्धारित है; खाता हटाने पर मुक्त किए गए डिवाइस का रिकॉर्ड नहीं रखा जाता है। इसके अलावा सर्वर के ऑपरेशनल रिकॉर्ड (उदा. त्रुटि की स्थितियाँ) बिना फ़ोन नंबर और अनुरोधों की सामग्री के। फ़ोन में, ऐप सुरक्षित स्टोरेज में लॉग इन टोकन रखता है और चुनी गई भाषा और थीम को याद रखता है; यह सर्वर को चुनी गई भाषा भी बताता है ताकि सूचनाएँ आपकी भाषा में आएँ। ऐप सीधे Expo और Sentry सेवाओं को क्या भेजता है, इसका वर्णन बिंदु 4 में है।

हम डेटा क्यों प्रोसेस करते हैं और किस कानूनी आधार पर:

• परिवार का खाता और ऐप के फ़ंक्शन (पंजीकरण, परिवार, कार्य और फ़ोटो, योजनाएँ, रिमाइंडर, इनाम, लक्ष्य, पॉकेट मनी जिसमें सीधे भुगतानों और मैन्युअल किश्तों के रिकॉर्ड शामिल हैं, सूचनाएँ और सदस्यता): अनुबंध का पालन, यानी उपयोग की शर्तें (Art. 6(1)(b) GDPR)। सीधे भुगतानों और मैन्युअल किश्तों के रिकॉर्ड और वित्तीय नियमों में बदलाव के इतिहास को हम इसके अलावा ऐप में वित्तीय ऑपरेशनों और नियमों की सत्यापनशीलता और परिवार में विवादों के समाधान में हमारे वैध हित के आधार पर प्रोसेस करते हैं (Art. 6(1)(f) GDPR)। Premium तुरंत शुरू करने की सहमति के दस्तावेज़ और डेटाबेस के बाहर उसकी कॉपी को हम इसके अलावा इस सहमति को साबित करने और कानूनी दावों के बचाव में हमारे वैध हित के आधार पर प्रोसेस करते हैं (Art. 6(1)(f) GDPR)। बच्चों के डेटा के लिए बिंदु 5 देखें।
• SMS कोड से सत्यापित लॉग इन: अनुबंध का पालन (Art. 6(1)(b) GDPR) - सत्यापित फ़ोन नंबर के बिना ऐप में लॉग इन नहीं किया जा सकता।
• सुरक्षा और दुरुपयोग से बचाव (सेशन और टोकन के फ़िंगरप्रिंट, SMS कोड की चुनौतियाँ, अनुरोधों की संख्या की सीमा और दैनिक SMS सीमा, सुरक्षा रिकॉर्ड, फ़ोन और सदस्य की स्थिति में बदलाव का जर्नल, मुक्त किए गए पुश टोकन और डिवाइसों की मेमोरी, डिवाइस पंजीकरण का रिकॉर्ड और नए डिवाइसों के पंजीकरण की 24 घंटे की सीमा, सुरक्षा सूचनाओं की कतार और डिलीवर न की गई सूचनाओं का रिकॉर्ड, ऑपरेशनल लॉग, परीक्षण अवधि के बार-बार उपयोग को रोकने के लिए फ़ोन नंबर का फ़िंगरप्रिंट, अभिभावक सहमति अनुरोध, जो परिवार को अभिभावक को एकतरफ़ा हटाने या पूरे परिवार को हटाने से बचाते हैं, और पहचान सत्यापन, जब सहायता टीम किसी अन्य द्वारा ले लिए गए खाते को वापस करती है, जिसमें ऐसे हस्तक्षेपों का रिकॉर्ड शामिल है): सेवा के सुरक्षित संचालन, माता-पिता और बच्चों के खातों की सुरक्षा और SMS सत्यापन के दुरुपयोग से बचाव में हमारा वैध हित (Art. 6(1)(f) GDPR)।
• गड़बड़ियाँ ठीक करना और ऐप अपडेट (Sentry के ज़रिए त्रुटि रिपोर्ट, Expo के ज़रिए अपडेट): स्थिर और सुरक्षित ऐप में हमारा वैध हित (Art. 6(1)(f) GDPR)।
• बिंदु 7 के अनुसार आपके अनुरोधों को पूरा करना और इसका प्रमाण कि हमने उन्हें कैसे और कब पूरा किया (उदा. किए गए विलोपन की स्थिति, किए गए विलोपन की लॉगबुक और बाहरी विलोपन का कार्य): कानूनी दायित्व का पालन (Art. 6(1)(c) GDPR)।
• kimda.app वेबसाइट पर विज्ञापन मापन (Meta Pixel): आपकी सहमति (Art. 6(1)(a) GDPR), बिंदु 9 देखें।

वैध हित के आधार पर होने वाली प्रोसेसिंग पर आप आपत्ति जता सकते हैं (बिंदु 7)। फ़ोन नंबर पंजीकरण और लॉग इन के लिए ज़रूरी है; इसके बिना ऐप का उपयोग नहीं किया जा सकता। प्रोफ़ाइल फ़ोटो स्वैच्छिक है और पूरे किए गए कार्य की फ़ोटो केवल उन कार्यों के लिए ज़रूरी है, जिनमें अभिभावक इसकी माँग करते हैं। हम कानूनी या इसी तरह के महत्वपूर्ण प्रभावों (Art. 22 GDPR) वाले स्वचालित निर्णय लेने या प्रोफ़ाइलिंग का उपयोग नहीं करते हैं; स्वचालित सुरक्षा सीमाएँ, जो उदाहरण के लिए SMS कोड के लिए आगे के प्रयासों को अस्थायी रूप से ब्लॉक कर देती हैं, केवल खातों और सेवा की सुरक्षा के लिए काम करती हैं।

3. कार्यों की फ़ोटो

बच्चा (या उसकी ओर से अभिभावक) किसी कार्य के साथ जो फ़ोटो अपलोड करता है, उन्हें केवल उसी परिवार के सदस्य (ऐप में माता-पिता और बच्चे) देख सकते हैं। वे सार्वजनिक नहीं हैं, ऐप उन्हें किसी दूसरे ऐप या सोशल नेटवर्क के साथ साझा नहीं करता। कार्य के लिए फ़ोटो केवल ऐप के कैमरे से ली जा सकती है। ऐप और उसके बाद सर्वर भी सहेजने से पहले फ़ोटो से मेटाडेटा (उदाहरण के लिए GPS स्थान या कैमरे का डेटा) हटा देते हैं। फ़ोटो एक गैर-सार्वजनिक ऑब्जेक्ट स्टोरेज (बिंदु 4 देखें) में रखी जाती हैं और सर्वर उन्हें केवल उसी परिवार के लॉग-इन सदस्य को देता है। अभिभावक कभी भी उन्हें हटाने का अनुरोध कर सकते हैं।

अपलोड की गई हर फ़ोटो के लिए, सर्वर एक तकनीकी फ़िंगरप्रिंट (एक चेकसम और एक सरलीकृत 64-बिट इमेज फ़िंगरप्रिंट) की गणना करता है। यह केवल ऐप को यह पहचानने में मदद करता है कि किसी कार्य के लिए वही या लगभग वैसी ही फ़ोटो फिर से इस्तेमाल की गई है, और यह सुनिश्चित करने के लिए कि फ़ोटो उसी कार्य की है जिसके लिए बच्चे ने अभी ऐप में उसे खींचा है। फ़िंगरप्रिंट से फ़ोटो को दिखाया या फिर से बनाया नहीं जा सकता, और इसे फ़ोटो के साथ ही हटा दिया जाता है। फ़ोटो के लिए समय चुनौती का रिकॉर्ड (ऐप में किसने इसका अनुरोध किया, किस कार्य के लिए और कब) सर्वर द्वारा 7 दिनों के बाद हटा दिया जाता है। अभिभावक को मंज़ूरी देते समय मदद के लिए फ़ोटो के पास एक चेतावनी दिखाई देती है जब फ़ोटो में ऐप की मान्य समय जाँच नहीं होती है या वह पिछली फ़ोटो से बहुत मिलती-जुलती होती है; जाँच यह गारंटी नहीं देती कि फ़ोटो को जाली नहीं बनाया जा सकता।

4. हम किसे डेटा सौंपते हैं और EU के बाहर हस्तांतरण

हम डेटा केवल उन प्रदाताओं को सौंपते हैं, जो हमारे लिए ऐप का संचालन सुनिश्चित करते हैं (प्रोसेसर), और केवल उस सीमा तक जो उन्हें इसके लिए चाहिए। प्रोसेसर डेटा का उपयोग केवल हमारे लिए अपनी सेवा प्रदान करने के लिए और हमारे निर्देशों के अनुसार कर सकते हैं। स्टोर में खरीदारी करते समय Apple और Google स्वतंत्र नियंत्रक के रूप में कार्य करते हैं।

• होस्टिंग प्रदाता (Railway) - ऐप का सर्वर और वह डेटाबेस चलाता है, जिसमें ऐप का डेटा संग्रहीत होता है।
• Cloudflare - निजी ऑब्जेक्ट स्टोरेज R2 एन्क्रिप्टेड रूप में ट्रांसफ़र की गई प्रोफ़ाइल फ़ोटो और पूरे किए गए कार्यों की फ़ोटो, डेटाबेस के बैकअप (भेजने से पहले ही इस तरह एन्क्रिप्ट किए गए कि उन्हें केवल क्लाउड के बाहर रखी गई निजी कुंजी से डिक्रिप्ट किया जा सकता है), किए गए विलोपन की लॉगबुक (केवल आंतरिक पहचानकर्ता, विलोपन का प्रकार और समय), फ़ोन और सदस्य की स्थिति में बदलाव का जर्नल (बिंदु 2: आंतरिक पहचानकर्ता, घटना का प्रकार और समय और नंबर बदलने पर नंबरों के अपरिवर्तनीय फ़िंगरप्रिंट) और Premium की तत्काल शुरुआत के लिए सहमति के प्रमाण की कॉपी (बिंदु 6: परिवार और उपयोगकर्ता के आंतरिक पहचानकर्ता, सहमति का समय, चुनी गई योजना, भुगतान की गई अवधि की शुरुआत, स्टोर लेनदेन पहचानकर्ता और प्रदर्शित पाठ का संस्करण) को गैर-सार्वजनिक बकेट में रखता है; फ़ोटो तक पहुँच पर नियंत्रण आगे भी Kimda का लॉग-इन-आधारित बैकएंड ही रखता है। Cloudflare kimda.app वेबसाइट भी चलाता है (बिंदु 9)।
• Twilio (SMS कोड से फ़ोन का सत्यापन) - इसे फ़ोन नंबर और आपके द्वारा दर्ज किया गया कोड केवल SMS कोड पहुँचाने और उसके सत्यापन के उद्देश्य से मिलता है।
• Expo (650 Industries) - पहला, यह सूचनाएँ पहुँचाता है: इसे डिवाइस का पुश टोकन, सूचनाओं के लिए इंस्टॉलेशन पहचानकर्ता, Apple या Google का नेटिव टोकन, सूचना का सामान्य टेक्स्ट या इमोजी और घटना का सामान्य तकनीकी प्रकार मिलता है। डेटाबेस ID, नाम, कार्यों के नाम या रकम हम पुश संदेश में नहीं भेजते। Expo संदेश को Apple (Apple Push Notification service) या Google (Firebase Cloud Messaging) की पुश सेवा तक आगे भेजता है। दूसरा, यह ऐप अपडेट (EAS Update) पहुँचाता है: हर बार शुरू होने पर ऐप Expo सर्वर से पूछता है कि क्या कोई सुधार उपलब्ध है। इस दौरान Expo को डिवाइस का IP पता, प्लेटफ़ॉर्म, ऐप का वर्ज़न, इंस्टॉल किए गए अपडेट का पहचानकर्ता, और संभवतः उस पिछली त्रुटि का टेक्स्ट मिलता है जिसने ऐप को बंद कर दिया था, और इंस्टॉलेशन का रैंडम पहचानकर्ता EAS-Client-ID मिलता है, जिसे ऐप फ़ोन में स्थायी रूप से सहेजता है और जो लॉग आउट करने के बाद भी नहीं बदलता। हम इसे आपके खाते से नहीं जोड़ते और ऐप इसे हमारे सर्वर को नहीं भेजता।
• Apple और Google - स्वतंत्र नियंत्रक के रूप में App Store और Google Play में सदस्यता की खरीदारी और प्रबंधन को प्रोसेस करते हैं; पुश सेवाओं (Apple Push Notification service, Firebase Cloud Messaging) के रूप में डिवाइस तक सूचनाएँ पहुँचाते हैं।
• RevenueCat (App Store / Google Play के ज़रिए सदस्यता की प्रोसेसिंग, केवल अभिभावक खातों के लिए) - परिवार का पहचानकर्ता, ख़रीद इतिहास, Apple की रसीद या Google का ख़रीद टोकन, अंतिम उपयोग का समय और डिवाइस का तकनीकी डेटा (जैसे डिवाइस का प्रकार और ऑपरेटिंग सिस्टम) प्रोसेस करता है। इसे Kimda से अभिभावक या बच्चे का नाम या फ़ोन नंबर नहीं मिलता। ऐप में RevenueCat के विज्ञापन/एट्रिब्यूशन इंटीग्रेशन चालू नहीं हैं, और न ही विज्ञापन पहचानकर्ताओं का मैन्युअल संग्रह होता है।
• Sentry (ऐप और सर्वर की तकनीकी त्रुटि रिपोर्ट, गड़बड़ियाँ ठीक करने के लिए) - इसे त्रुटि का प्रकार, कोड में स्थान, ऐप और ऑपरेटिंग सिस्टम का वर्ज़न मिलता है। ऐप और सर्वर इस तरह सेट हैं कि वे इसे नाम, फ़ोन, लॉग इन टोकन, अनुरोधों की सामग्री या IP पता न भेजें। Sentry में Kimda संगठन EU डेटा क्षेत्र (जर्मनी) में रखा गया है।
• ईमेल प्रदाता (Spaceship, Spacemail सेवा) - उन ईमेल को पहुँचाता और रखता है, जो आप हमें privacy@kimda.app या support@kimda.app पर भेजते हैं।

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google और Meta (बिंदु 9) ऐसी कंपनियाँ हैं जिनका मुख्यालय या पृष्ठभूमि USA में है, और इसलिए वे यूरोपीय आर्थिक क्षेत्र के बाहर भी डेटा प्रोसेस कर सकती हैं। यूरोपीय आर्थिक क्षेत्र के बाहर डेटा सौंपने के लिए हम GDPR के अध्याय V के तहत उस तंत्र का उपयोग करते हैं, जो विशिष्ट प्राप्तकर्ता और प्रोसेसिंग पर लागू होता है - आमतौर पर EU-USA Data Privacy Framework (पर्याप्त सुरक्षा पर यूरोपीय आयोग का निर्णय, Art. 45 GDPR) के तहत प्राप्तकर्ता का प्रमाणीकरण या यूरोपीय आयोग द्वारा स्वीकृत मानक संविदात्मक खंड (Art. 46(2)(c) GDPR)। किसी विशिष्ट प्राप्तकर्ता के लिए तंत्र की जानकारी और संबंधित गारंटियों की एक प्रति कहाँ प्राप्त की जा सकती है, इसकी जानकारी हम आपको अनुरोध करने पर privacy@kimda.app पर प्रदान करेंगे।

हम ऐप का डेटा नहीं बेचते, उसे विज्ञापनदाताओं के साथ साझा नहीं करते और लक्षित विज्ञापन के लिए उसका उपयोग नहीं करते। kimda.app वेबसाइट पर आगंतुक की सहमति से होने वाले विज्ञापन मापन का वर्णन बिंदु 9 में है।

5. अभिभावक की सहमति और बच्चों की भूमिका

ऐप को सेट अप करने (अर्थात "अभिभावक" भूमिका और नया परिवार बनाने) का अधिकार केवल वयस्क व्यक्ति को है। "बच्चा" भूमिका वाला खाता हमेशा आमंत्रण कोड से जुड़ने के बाद ही बनता है, जो केवल अभिभावक को पता होता है - इसलिए बच्चा केवल उस अभिभावक की जानकारी और सहमति से जुड़ सकता है, जो कोड साझा करता है। इसके अलावा, बच्चे या किसी अन्य अभिभावक के हर जुड़ाव को ऐप में एक अभिभावक द्वारा स्पष्ट रूप से मंज़ूर किया जाना चाहिए; मंज़ूरी मिलने तक नया सदस्य परिवार का केवल नाम देख सकता है। परिवार का आमंत्रण कोड 48 घंटे तक मान्य होता है, नामंज़ूर किया गया अनुरोध 72 घंटे बाद अपने-आप हटा दिया जाता है और अस्वीकार या रद्द किया गया अनुरोध तुरंत हटा दिया जाता है। "अभिभावक" भूमिका में पंजीकरण करके आप पुष्टि करते हैं कि आप वयस्क हैं और आपको ऐप में अपने बच्चों के डेटा की प्रोसेसिंग के लिए सहमति देने का क़ानूनी अधिकार है।

हम बच्चे का डेटा केवल उस सीमा तक प्रोसेस करते हैं जो अभिभावक द्वारा बनाए और प्रबंधित किए जाने वाले पारिवारिक खाते के कामकाज के लिए आवश्यक है, यानी अभिभावक के साथ अनुबंध को पूरा करने के लिए (Art. 6(1)(b) GDPR)। कानूनी प्रतिनिधि के रूप में अभिभावक बच्चे की भागीदारी तय करता है: वह आमंत्रण कोड साझा करता है, बच्चे के जुड़ने को स्पष्ट रूप से मंज़ूर करता है और बच्चे को परिवार से कभी भी हटा सकता है या उसका खाता हटाने का अनुरोध कर सकता है। पंजीकरण के समय बच्चा केवल नीति को संज्ञान में लेता है; उसके डेटा की प्रोसेसिंग के लिए सहमति अभिभावक तब देता है, जब वह ऐप में बच्चे के जुड़ने को मंज़ूर करता है, और सर्वर समय, अभिभावक और नीति का वर्ज़न रिकॉर्ड करता है। ऐप के पुराने वर्ज़न द्वारा मंज़ूर किए गए बच्चों के मामले में, ऐप बाद में अभिभावक से छूटी हुई सहमति माँगेगा। अगर प्रोसेसिंग के लिए सहमति की आवश्यकता होती है और बच्चा अभी 15 वर्ष का नहीं हुआ है (Art. 8 GDPR और Section 7 of Act No. 110/2019 Coll., on personal data processing के अनुसार चेक गणराज्य में आयु सीमा), तो अभिभावक बच्चे की ओर से सहमति देता है। बिंदु 7 के तहत बच्चे के अधिकारों का उपयोग उसकी ओर से अभिभावक कर सकता है।

6. हम डेटा कितने समय तक रखते हैं

खाते और परिवार का डेटा हम तब तक रखते हैं, जब तक उपयोगकर्ता खाते या पूरे परिवार को हटाने का अनुरोध नहीं करता। ऐप का केवल निष्क्रिय पड़े रहना अपने-आप विलोपन शुरू नहीं करता। इसलिए परिवार का इतिहास न खोने के लिए उपयोगकर्ता को ऐप नियमित रूप से खोलने की ज़रूरत नहीं है, और वह विलोपन कभी भी सीधे ऐप में शुरू कर सकता है या privacy@kimda.app पर उसका अनुरोध कर सकता है। हम वित्तीय नियमों में बदलाव के इतिहास (बिंदु 2) को परिवार के पूरे अस्तित्व के दौरान, बिना किसी समय या कुल संख्या की सीमा के (परिवार वित्तीय नियमों में बदलाव प्रति घंटे अधिकतम 30 बार सहेज सकता है) रखते हैं, क्योंकि यह इस बात का अपरिवर्तनीय प्रमाण है कि नियम किसने और कब बदले, उदाहरण के लिए अभिभावकों के बीच विवाद की स्थिति में; इसे ऐप में संपादित या हटाया नहीं जा सकता। पूरे परिवार को हटाने (बिंदु 7) के बाद, सर्वर इसे अगली सफ़ाई के दौरान हटा देता है; किसी सदस्य का खाता हटाने से इसमें कोई बदलाव नहीं होता है और इसके साथ केवल आंतरिक पहचानकर्ता बिना नाम के रह जाता है।

अन्य व्यक्तिगत रिकॉर्ड के लिए ये समय सीमाएँ लागू होती हैं:

• SMS कोड की चुनौतियाँ (फ़ोन नंबर और चुनौती के फ़िंगरप्रिंट): 10 मिनट तक मान्य; सफल सत्यापन के बाद सर्वर उन्हें तुरंत हटा देता है, अन्यथा उनके समाप्त होने के अधिकतम एक घंटे बाद।
• अनुरोधों की संख्या की सीमा और दैनिक SMS सीमा (फ़िंगरप्रिंट): सर्वर ट्रैक की गई अवधि समाप्त होने के 24 घंटे बाद उन्हें हटा देता है; दैनिक SMS सीमा हमेशा मध्यरात्रि UTC पर समाप्त होती है।
• लॉग इन सेशन: लॉग इन टोकन 15 मिनट तक मान्य होता है; सेशन 30 दिनों की निष्क्रियता के बाद, अधिकतम 90 दिनों के बाद, या लॉग आउट करने पर पहले समाप्त हो जाता है। समाप्त हो चुके सेशन को, टोकन के फ़िंगरप्रिंट सहित, सर्वर इसके समाप्त होने के 30 दिन बाद हटा देता है।
• आमंत्रण और जुड़ने के अनुरोध: परिवार का आमंत्रण कोड 48 घंटे और दूसरे अभिभावक के लिए आमंत्रण 24 घंटे तक मान्य होता है; नामंज़ूर किया गया जुड़ने का अनुरोध 72 घंटे बाद अपने-आप हटा दिया जाता है, अस्वीकार या रद्द किया गया अनुरोध तुरंत हटा दिया जाता है। दूसरे अभिभावक के लिए आमंत्रण का रिकॉर्ड (कोड, किसने इसे बनाया और किसने इसका उपयोग किया) सर्वर इसके समाप्त होने, उपयोग होने या रद्द होने के 30 दिन बाद हटा देता है।
• सुरक्षा रिकॉर्ड डेटाबेस में (बिंदु 2): सर्वर 30 दिनों के बाद उन्हें अपने-आप हटा देता है। फ़ोन और सदस्य की स्थिति में बदलाव का जर्नल नीचे दी गई अपनी समय सीमा के अनुसार चलता है।
• फ़ोन और सदस्य की स्थिति में बदलाव का जर्नल (बिंदु 2): सर्वर डेटाबेस में मौजूद रिकॉर्ड को उसके बनने के कम से कम 60 दिनों के बाद ही हटाता है, और वह भी इसे अलग स्टोरेज में कॉपी करने के बाद ही (कॉपी आम तौर पर कुछ मिनटों के भीतर बन जाती है)। जिस रिकॉर्ड को कॉपी नहीं किया जा सका, उसे सर्वर तब तक नहीं हटाता जब तक कि कॉपी सफल न हो जाए, और इसलिए वह डेटाबेस में 60 दिनों से अधिक समय तक भी बना रहता है। अलग गैर-सार्वजनिक Cloudflare R2 स्टोरेज में मौजूद कॉपी को स्टोरेज सहेजे जाने के 60 दिनों के बाद अपने-आप हटा देता है। खाता या पूरा परिवार हटाने पर (बिंदु 7) सर्वर हटाए गए खाते या परिवार के जर्नल रिकॉर्ड को डेटाबेस से हटा देता है; स्टोरेज में उनकी कॉपी सहेजे जाने के अधिकतम 60 दिनों के बाद समाप्त हो जाती है।
• फ़ोटो: जो फ़ोटो किसी प्रोफ़ाइल या कार्य से नहीं जोड़ी जा सकीं, उन्हें सर्वर 24 घंटे बाद हटा देता है; फ़ोटो के लिए समय चुनौती का रिकॉर्ड 7 दिनों के बाद हटा देता है (बिंदु 3) और हटाई गई फ़ोटो का तकनीकी रिकॉर्ड (केवल आंतरिक पहचानकर्ता) फ़ोटो हटाने के 30 दिन बाद हटा देता है।
• पुश टोकन और डिवाइस का पहचानकर्ता: डिवाइस को लॉग आउट करने, सदस्य को परिवार से हटाने या खाता हटाने तक, या जब तक Apple या Google इसे अमान्य घोषित न कर दे। इसके अलावा, सर्वर उन्हें अपने-आप हटा देता है, जब ऐप ने 90 दिनों तक डिवाइस का पंजीकरण नवीनीकृत नहीं किया हो (यह हर लॉग इन और शुरू होने पर इसे नवीनीकृत करता है), या जब उपयोगकर्ता के पास 30 दिनों से अधिक समय तक कोई मान्य लॉग इन सेशन न हो। डिवाइस के लॉग आउट होने (प्रोफ़ाइल में दूर से भी) या उसका लॉग इन समाप्त होने के बाद, डिवाइस पर कुछ भी डिलीवर नहीं किया जाता है। अपवाद इस वर्ज़न के लागू होने से पहले के पंजीकरण हैं, जिन्हें ऐप ने तब से नवीनीकृत नहीं किया है: एक डिवाइस को दूर से लॉग आउट करने से वे डिस्कनेक्ट नहीं होंगे, सभी डिवाइस लॉग आउट करें विकल्प से होंगे; अन्यथा सर्वर उन्हें ऊपर दी गई समय सीमा के अनुसार हटा देगा। मुक्त किए गए पुश टोकन का रिकॉर्ड (फ़िंगरप्रिंट, परिवार और समय) सर्वर 30 दिनों के बाद, या डिवाइस के फिर से पंजीकृत होने पर उससे पहले, हटा देता है। मुक्त किए गए डिवाइस का रिकॉर्ड (खाते का आंतरिक पहचानकर्ता, डिवाइस का रैंडम पहचानकर्ता, फ़िंगरप्रिंट और समय) सर्वर 91 दिनों के बाद हटा देता है - यानी लॉग इन सेशन की अधिकतम संभव वैधता (90 दिन) समाप्त होने के बाद ही - या उसी खाते का डिवाइस फिर से पंजीकृत होने पर उससे पहले। खाता हटाने पर मुक्त किए गए डिवाइस का रिकॉर्ड नहीं रखा जाता है; यदि यह हटाना शुरू करते समय पहले ही बन चुका था, तो सर्वर इसे पूरा होने पर हटा देता है। मुक्त किए गए पुश टोकन के रिकॉर्ड की समय सीमा इससे अपरिवर्तित रहती है। भेजे गए रिमाइंडर के साथ पुश टोकन का तकनीकी फ़िंगरप्रिंट केवल डिलीवरी के सत्यापन के लिए काम आता है; सर्वर डिलीवरी के मूल्यांकन के बाद, भेजने के अधिकतम 30 दिन बाद इसे हटा देता है। डिवाइस के पंजीकरण का रिकॉर्ड (खाते और डिवाइस का आंतरिक पहचानकर्ता, पुश टोकन का फ़िंगरप्रिंट, घटना का प्रकार और समय; बिंदु 2) सर्वर इसके बनने के 30 दिनों के बाद हटा देता है, भले ही आप इस बीच खाता हटा दें।
• सुरक्षा सूचनाओं की कतार और डिलीवर न हुई सूचनाएँ (बिंदु 2): सूचना प्राप्तकर्ता का डेटा (डिवाइस का पुश टोकन या परिवार या खाते का आंतरिक पहचानकर्ता और भाषा) सर्वर डिलीवरी के तुरंत बाद या डिलीवरी का प्रयास छोड़ने के बाद, लेकिन सूचना के बनने के अधिकतम 7 दिन बाद कतार के सहेजे गए रिकॉर्ड से हटा देता है; डिलीवर न हुई सूचना का रिकॉर्ड दर्ज होने तक केवल परिवार का आंतरिक पहचानकर्ता (असाधारण डेटाबेस त्रुटि के मामले में अस्थायी रूप से खाते का भी) इसमें रह सकता है (नीचे)। शेष रिकॉर्ड (सूचना का प्रकार, घटना का सामान्य तकनीकी प्रकार, समय और तकनीकी त्रुटि संदेश) वह प्रोसेसिंग के 30 दिनों के बाद हटा देता है। अभिभावकों के लिए डिलीवर न हुई सूचना का रिकॉर्ड (परिवार का आंतरिक पहचानकर्ता, सूचना का प्रकार और समय, बिना पुश टोकन और बिना नाम के) वह तब तक रखता है जब तक अभिभावक ऐप में इसकी पुष्टि नहीं करता; वह पुष्ट किए गए रिकॉर्ड को 90 दिन से अधिक पुराना होते ही हटा देता है। अब अस्तित्व में न रहने वाले परिवार के रिकॉर्ड को वह अगली सफ़ाई के दौरान हटा देता है।
• वित्तीय ऑपरेशनों के सहेजे गए जवाब: ताकि नेटवर्क आउटेज के बाद बार-बार किया गया अनुरोध भुगतान, ऋण या अन्य वित्तीय ऑपरेशन को दो बार दर्ज न कर दे, सर्वर इसका जवाब 30 दिनों तक याद रखता है। ऑपरेशन का रिकॉर्ड (ऑपरेशन का प्रकार, उसका रैंडम पहचानकर्ता, परिवार, कर्ता और संबंधित सदस्य के आंतरिक पहचानकर्ता, अनुरोध का SHA-256 फ़िंगरप्रिंट और समय) वित्तीय इतिहास का हिस्सा है और खाता या परिवार हटाए जाने तक रखा जाता है।
• सीधे भुगतानों और मैन्युअल किश्तों के रिकॉर्ड (बिंदु 2): ऊपर दिए गए सहेजे गए जवाब के विपरीत, जिसे 30 दिनों के बाद हटा दिया जाता है, ये रिकॉर्ड संबंधित बच्चे या पूरे परिवार को हटाए जाने तक रखे जाते हैं (बिंदु 7)।
• प्लानर के बार-बार होने वाले अनुरोधों के सहेजे गए रिकॉर्ड: ताकि नेटवर्क आउटेज के बाद बार-बार होने वाला अनुरोध कार्यों की योजना दो बार न बनाए, सर्वर इसके निर्माण का रिकॉर्ड 60 दिनों तक रखता है (परिवार और अभिभावक के आंतरिक पहचानकर्ता, संचालन का प्रकार, अनुरोध का रैंडम पहचानकर्ता, दर्ज किए गए योजना मापदंडों का SHA-256 फ़िंगरप्रिंट, बनाई गई योजना का लिंक और समय)। सर्वर इस रिकॉर्ड को उस अभिभावक का खाता हटाने पर भी हटा देता है जिसने योजना बनाई थी, और पूरे परिवार को हटाने पर भी (बिंदु 7)।
• खाता हटाने का अनुरोध: हटाने का अपुष्ट अनुरोध 45 दिनों के बाद अमान्य हो जाता है और अधिकतम अगले 400 दिनों के बाद हटा दिया जाता है; किए गए विलोपन का रिकॉर्ड (केवल आंतरिक पहचानकर्ता और स्थिति, बिना नाम और संपर्कों के) हम इस प्रमाण के रूप में रखते हैं कि हमने आपके अनुरोध को पूरा किया है, और इसे 3 वर्षों तक रखते हैं। उसी दायरे में (खाते या परिवार का आंतरिक रैंडम पहचानकर्ता, विलोपन का प्रकार और समय) हम किए गए विलोपन की लॉगबुक रखते हैं, ताकि बैकअप से डेटाबेस की संभावित बहाली के बाद सभी बाद के विलोपन फिर से लागू हो जाएँ। डेटाबेस में लॉगबुक का रिकॉर्ड सर्वर इसके बनने के कम से कम 180 दिन बाद ही हटाता है, और वह भी इसे एक अलग स्टोरेज में कॉपी करने के बाद (कॉपी आम तौर पर कुछ ही मिनटों में बन जाती है); जो रिकॉर्ड कॉपी नहीं हो पाया, सर्वर उसे तब तक नहीं हटाता जब तक कि कॉपी करना सफल न हो जाए। एक अलग गैर-सार्वजनिक स्टोरेज में मौजूद कॉपी को वह स्टोरेज उसे सहेजे जाने के 60 दिन बाद खुद ही हटा देता है। लॉगबुक का एन्क्रिप्टेड निर्यात, जो डेटाबेस के बैकअप का हिस्सा है, बैकअप के साथ ही समाप्त हो जाएगा (अधिकतम 30 दिनों के बाद)।
• अभिभावक सहमति अनुरोध: खुला अनुरोध 14 दिनों के लिए मान्य होता है; यह केवल तभी बढ़ाया जाता है जब इस बीच परिवार में कोई अभिभावक शामिल होता है (परिवार को हटाने के अनुरोध के मामले में, नए अभिभावक को अपने 14 दिन मिलते हैं, लेकिन अधिकतम किसी अन्य अभिभावक को हटाए जाने के बाद संभावित सुरक्षा अवधि के अंत तक), या बैकअप से डेटाबेस पुनर्प्राप्ति के बाद (परिवार को हटाने के अनुरोध को छोड़कर, जो केवल सुरक्षा अवधि के अंत तक मान्य होता है)। परिवार को हटाने का अनुरोध, जो किसी अन्य अभिभावक को हटाए जाने के बाद 14 दिनों की अवधि के दौरान समाप्त हो जाएगा, इस अवधि के अंत तक रहता है और फिर अमान्य हो जाता है। किसी अन्य अभिभावक को हटाए जाने के बाद 14 दिनों की अवधि के दौरान परिवार को हटाया नहीं जा सकता है; इस अवधि के दौरान किया गया परिवार को हटाने का अनुरोध अवधि समाप्त होने पर अमान्य हो जाएगा। अवधि समाप्त होने के बाद, एकमात्र शेष अभिभावक परिवार को सीधे प्रोफ़ाइल (Profil) में हटा सकता है। निपटाए गए अनुरोध को सर्वर 90 दिनों के बाद हटा देता है।
• खाता हटाने या नंबर बदलने के बाद फ़ोन नंबर का फ़िंगरप्रिंट: ताकि खाता हटाकर और नया पंजीकरण करके बार-बार Premium परीक्षण अवधि प्राप्त न की जा सके, सर्वर उस अभिभावक का खाता हटाने पर जो परिवार की परीक्षण अवधि के दौरान उसका सदस्य था, और ऐसे अभिभावक का नंबर बदलने पर (भले ही नंबर उसके अनुरोध पर सहायता टीम द्वारा बदला गया हो) केवल मौजूदा फ़ोन नंबर का फ़िंगरप्रिंट (गुप्त कुंजी के साथ HMAC) और समय सहेजता है – स्वयं फ़ोन नंबर नहीं। फिर उसी नंबर से नए पंजीकरण पर परीक्षण अवधि नहीं मिलेगी। सर्वर 12 महीनों के बाद फ़िंगरप्रिंट हटा देता है।
• ईमेल, जो आप हमें भेजते हैं: आपके सवाल या अनुरोध को पूरा करने और यह साबित करने के लिए आवश्यक समय तक कि हमने इसे कैसे पूरा किया।
• सहायता टीम और प्रबंधन के हस्तक्षेपों का रिकॉर्ड: डेटाबेस में हस्तक्षेप का रिकॉर्ड (हस्तक्षेप का प्रकार, यह किसने किया, कब किया, यह किस परिवार से संबंधित है और अनुरोध संख्या – बिना नाम और फ़ोन नंबर के; इस तरह हम सहायता टीम द्वारा नंबर की पुनर्स्थापना और डिवाइसों को लॉग आउट करने, अनुरोध पर परिवार के डेटा के निर्यात, और प्रोमो कोड व मुफ़्त पहुँच के प्रबंधन को रिकॉर्ड करते हैं) सर्वर 3 साल बाद अपने-आप हटा देता है। सहायता अनुरोधों की लॉग बुक (अनुरोध संख्या, दिनांक, खाते का आंतरिक पहचानकर्ता, पहचान सत्यापन का तरीका और परिणाम – बिना फ़ोन नंबर के) हम डेटाबेस के बाहर एन्क्रिप्टेड रूप में रखते हैं और यह साबित करने के लिए इसे भी 3 साल तक सहेजते हैं कि हमने अनुरोध को कैसे पूरा किया।

होस्टिंग के प्रोडक्शन ऑपरेशनल और सुरक्षा लॉग अधिकतम 30 दिनों तक रखे जा सकते हैं। ऐप और सर्वर की तकनीकी त्रुटि रिपोर्टें Sentry अधिकतम 90 दिनों तक रखता है, ताकि हम उन त्रुटियों का पता लगा सकें और उन्हें ठीक कर सकें, जो ऐप का नया संस्करण जारी होने के बाद ही सामने आती हैं; Sentry के संभावित ऑपरेशनल बैकअप अपने बनने के अधिकतम 90 दिन बाद समाप्त हो जाते हैं। डेटाबेस के बैकअप रोज़ लिए जाते हैं, प्रोडक्शन वातावरण से भेजने से पहले ही एन्क्रिप्ट किए जाते हैं और लेने के 30 दिन बाद हटा दिए जाते हैं, ताकि पहले हटाया गया डेटा उनमें अधिकतम 30 दिनों तक रहे; इनका उपयोग हटाए गए खाते को सामान्य रूप से बहाल करने के लिए नहीं किया जाता। अगर हमें बैकअप से डेटाबेस को बहाल करना पड़ा, तो हम बैकअप लेने के बाद किए गए विलोपन को विलोपन की लॉगबुक के अनुसार फिर से लागू करेंगे। होस्टिंग, डेटाबेस और स्टोरेज की सेटिंग्स को इन अवधियों को तकनीकी रूप से लागू करना ज़रूरी है, और संचालक उनकी नियमित जाँच करता है।

अगर सदस्यता के बाहरी प्रदाता के यहाँ रिकॉर्ड का विलोपन तुरंत पूरा नहीं हो पाता, तो Kimda मीडिया हटाने के बाद बिना किसी और देरी के स्थानीय व्यक्तिगत डेटा को गुमनाम कर देता है। बाहरी अनुरोध को सुरक्षित रूप से दोहराने के लिए वह केवल परिवार का आंतरिक रैंडम पहचानकर्ता और विलोपन की तकनीकी स्थिति रखता है, नाम या फ़ोन नंबर नहीं। इस बाहरी विलोपन कार्य का रिकॉर्ड (परिवार का आंतरिक पहचानकर्ता, प्रदाता का नाम, प्रयासों की संख्या, समय और अंतिम त्रुटि कोड, बिना नाम और फ़ोन नंबर के) सर्वर इसके पूरा होने के 90 दिनों के बाद हटा देता है; अधूरा कार्य तब तक रखा जाता है जब तक कि यह पूरा न हो जाए।

हम Premium की तत्काल शुरुआत के लिए सहमति का प्रमाण (परिवार और उपयोगकर्ता के आंतरिक पहचानकर्ता, सहमति का समय, चुनी गई योजना, भुगतान की गई अवधि की शुरुआत, स्टोर लेनदेन पहचानकर्ता, खरीदारी के प्रयास का आंतरिक पहचानकर्ता और प्रदर्शित पाठ का संस्करण) किसी संभावित विवाद में इस सहमति को साबित करने के लिए आवश्यक अवधि तक रखते हैं, जो मानक रूप से इसके दिए जाने से 3 वर्ष है। अवधि समाप्त होने के बाद, प्रमाण को नियंत्रित तरीके से हटा दिया जाता है। प्रमाण को खाते या परिवार के साथ नहीं हटाया जाता है (बिंदु 7)। इसकी एक कॉपी (बिना खरीदारी के प्रयास के आंतरिक पहचानकर्ता के) हम एक अलग गैर-सार्वजनिक Cloudflare R2 स्टोरेज (बिंदु 4) में भी सहेजते हैं, ताकि प्रमाण बैकअप के बीच डेटाबेस के खो जाने पर भी बचा रहे; स्टोरेज इसे सहेजे जाने के 1125 दिन बाद खुद ही हटा देता है।

7. आपके अधिकार

आपको अधिकार है:

• आपके और आपके परिवार के बारे में ऐप में रखे गए सभी डेटा तक पहुँच का (Art. 15 GDPR),
• ग़लत जानकारी के सुधार का (Art. 16 GDPR) – नए नंबर को SMS कोड से सत्यापित करने के बाद आप प्रोफ़ाइल (Profil) में अपना फ़ोन नंबर स्वयं बदल सकते हैं; यदि आप खाते तक पहुँच खो देते हैं (उदाहरण के लिए इसलिए कि किसी अन्य व्यक्ति ने लॉग इन डिवाइस से नंबर बदल दिया है), तो हम पहचान सत्यापन के बाद आपके अनुरोध पर इसे बदल देंगे,
• किसी एक सदस्य का खाता हटाने का (Art. 17 GDPR) - ऐप सीधे ऐप के अंदर (मेरी प्रोफ़ाइल → खाता हटाएँ) नाम, फ़ोन, फ़ोटो और पुश टोकन को अपरिवर्तनीय रूप से हटा या गुमनाम कर देता है, और आपके द्वारा अपलोड की गई सभी फ़ोटो हटा देता है; बच्चे के खाते के मामले में उसके कार्यों की वे फ़ोटो भी, जो उसकी ओर से अभिभावक ने अपलोड की थीं। इसके बाद इस खाते से लॉग इन नहीं किया जा सकता और इसके साथ कोई नाम या संपर्क नहीं बचता। कार्यों और भुगतानों के इतिहास में केवल वे लेखांकन तथ्य बचे रहते हैं, जो बाकी परिवार की निरंतरता के लिए ज़रूरी हैं (अंक, रकम, स्थिति और समय); फ़्री-टेक्स्ट नोट हटा दिया जाता है और कार्यों और लक्ष्यों के नामों को तटस्थ मान से बदल दिया जाता है। यह इतिहास नहीं हटाया जाता, क्योंकि यह बाकी परिवार से जुड़ा रहता है (वरना उनका आपसी हिसाब-किताब मेल नहीं खाएगा), लेकिन यह केवल बिना नाम और संपर्क वाले रिकॉर्ड से जुड़ा होता है। बच्चे के सीधे भुगतानों और मैन्युअल किश्तों के रिकॉर्ड (बिंदु 2) बच्चे के साथ ही हटा दिए जाते हैं। फ़ोन और सदस्य की स्थिति में बदलाव के जर्नल के रिकॉर्ड (बिंदु 2) सर्वर डेटाबेस से हटा देता है; अलग स्टोरेज में उनकी कॉपी सहेजे जाने के अधिकतम 60 दिनों के बाद समाप्त हो जाती है। अगर बच्चे पर ऋण, शेष राशि या लंबित अनुरोध हैं, तो ऐप उसे हटाने से पहले दिखाएगा कि वह कौन-सी रकमें खो देगा, और उसे हटाने की स्पष्ट पुष्टि करनी होगी; इसके बाद अभिभावकों को एक सामान्य सूचना मिलेगी। जिस सदस्य को अभिभावक ने परिवार से हटा दिया है, वह ऐप में SMS कोड से सत्यापन के बाद अपना खाता खुद स्थायी रूप से हटा सकता है और इस तरह अपना फ़ोन नंबर मुक्त कर सकता है,
• पूरे परिवार के कैस्केड विलोपन का - जब अभिभावक पूरे परिवार को हटाने की स्पष्ट पुष्टि करता है, तो हम उसके सभी सदस्यों को गुमनाम कर देते हैं, उनकी फ़ोटो हटा देते हैं और इसके अलावा फ़्री-टेक्स्ट तथा अपने बनाए कार्यों, लक्ष्यों और इनामों के नामों को तटस्थ मानों से बदल देते हैं; हम परिवार के सीधे भुगतानों और मैन्युअल किश्तों के रिकॉर्ड (बिंदु 2), परिवार के वित्तीय नियमों में बदलाव के इतिहास (अगली सफ़ाई पर) तथा उसके सदस्यों के फ़ोन और सदस्य की स्थिति में बदलाव के जर्नल के रिकॉर्ड भी हटा देते हैं (अलग स्टोरेज में जर्नल की कॉपी सहेजे जाने के अधिकतम 60 दिनों के बाद समाप्त हो जाती है)। किसी अन्य अभिभावक को हटाने के लिए संबंधित अभिभावक की सहमति आवश्यक है: स्पष्ट अस्वीकृति कार्रवाई को रोक देती है, बिना किसी प्रतिक्रिया के यह 14 दिनों के बाद निष्पादित हो जाती है। पूरे परिवार को हटाने के लिए, जिसमें कोई अन्य अभिभावक है, हर अन्य अभिभावक की स्पष्ट सहमति आवश्यक है; सभी की सहमति के बिना 14 दिनों के बाद अनुरोध रद्द कर दिया जाता है और परिवार को नहीं हटाया जाता है। जिस परिवार से पिछले 14 दिनों में किसी अन्य अभिभावक को हटाया गया है, उसे उसके हटाए जाने के कम से कम 14 दिनों के बाद ही हटाया जा सकता है। हटाए गए परिवार के लेखांकन रिकॉर्ड, जिनमें बच्चों के ऋण और बचत के शेष और स्थितियाँ शामिल हैं, हटाए जाने के अधिकतम 30 दिनों के भीतर परिचालन डेटाबेस से हटा दिए जाते हैं; वे बैकअप के हटाए जाने से पहले अधिकतम और 30 दिनों तक एन्क्रिप्टेड बैकअप में रह सकते हैं। Premium तुरंत शुरू करने की सहमति का दस्तावेज़ परिवार के हटाए जाने के साथ नहीं हटाया जाता है (बिंदु 6)। गुमनाम किए गए पार्टनर कोड के इस्तेमाल के रिकॉर्ड, जिनमें व्यक्तिगत डेटा नहीं होता है, पार्टनरों के रिकॉर्ड रखने और दुरुपयोग से बचाने के लिए रखे जाते हैं। मीडिया हटाने के बाद स्थानीय गुमनामीकरण तब भी हो जाता है, जब RevenueCat अस्थायी रूप से उपलब्ध न हो; बाहरी अनुरोध बाद में केवल परिवार के आंतरिक पहचानकर्ता के साथ सुरक्षित रूप से दोहराया जाता है। RevenueCat हटाने की प्रक्रिया एसिंक्रोनस रूप से करता है। इससे App Store या Google Play के ज़रिए चल रही सदस्यता रद्द नहीं होती - उसे अभिभावक को संबंधित स्टोर की सेटिंग्स में अलग से रद्द करना होगा,
• प्रोसेसिंग को सीमित करने का (Art. 18 GDPR), उदाहरण के लिए जब आप डेटा की सटीकता पर सवाल उठाते हैं, तब तक के लिए जब तक हम इसकी पुष्टि न कर लें,
• पोर्टेबिलिटी का (Art. 20 GDPR) - जो डेटा आपने हमें प्रदान किया है और जिसे हम अनुबंध के आधार पर प्रोसेस करते हैं, उसे हम आपको एक संरचित, आमतौर पर उपयोग किए जाने वाले और मशीन-पठनीय फ़ॉर्मेट (उदा. JSON) में देंगे, या आपके अनुरोध पर इसे किसी अन्य नियंत्रक को सौंपेंगे, यदि यह तकनीकी रूप से संभव हो,
• हमारे वैध हित (बिंदु 2) के आधार पर होने वाली प्रोसेसिंग पर आपत्ति जताने का (Art. 21 GDPR); इसके बाद हम प्रोसेसिंग रोक देंगे, जब तक कि हम ऐसे बाध्यकारी वैध कारण साबित न कर दें जो आपके हितों, अधिकारों और स्वतंत्रता से बढ़कर हों, या हमें कानूनी दावों को स्थापित करने, उनका उपयोग करने या बचाव करने के लिए इसकी आवश्यकता न हो,
• किसी भी समय सहमति वापस लेने का (Art. 7(3) GDPR) - वेबसाइट पर विज्ञापन मापन की सहमति आप वेबसाइट के फ़ुटर में "कुकी सेटिंग्स" लिंक से वापस ले सकते हैं (बिंदु 9); वापसी का असर उससे पहले की प्रोसेसिंग पर नहीं पड़ता,
• पर्यवेक्षी प्राधिकरण के पास शिकायत दर्ज करने का (Art. 77 GDPR) - चेक गणराज्य में यह Office for Personal Data Protection (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, वेबसाइट uoou.gov.cz है; आप उस EU सदस्य राज्य के पर्यवेक्षी प्राधिकरण से भी संपर्क कर सकते हैं जहाँ आप रहते हैं या काम करते हैं।

अनुरोध privacy@kimda.app पर भेजें। ताकि हम डेटा किसी और को न सौंप दें या न हटा दें, हम पहले यह सत्यापित करेंगे कि अनुरोध खाताधारक द्वारा किया गया है (उदाहरण के लिए खाते से जुड़े फ़ोन नंबर से पुष्टि करके); हमें कभी भी लॉग इन SMS के कोड न भेजें। एकमात्र अपवाद “Kimda obnova účtu” चिह्नित SMS का कोड है, जिसे सपोर्ट केवल किसी अन्य द्वारा ले लिए गए खाते की वापसी के लिए आपके स्वयं के अनुरोध के जवाब में, या आपके परिवार के किसी अन्य अभिभावक के ऐसे अनुरोध की आपकी स्वयं की पुष्टि के जवाब में आपसे मांगेगा (बिंदु 2); तब भी इसे केवल सहायता टीम को दें, परिवार के किसी अन्य सदस्य को कभी नहीं। सपोर्ट यह कोड विशेष रूप से support@kimda.app पते से ई-मेल द्वारा आपके अनुरोध संख्या के साथ मांगता है, कभी भी फोन द्वारा या परिवार के किसी अन्य सदस्य के माध्यम से नहीं। हम पहुँच या पोर्टेबिलिटी के अनुरोध को JSON फ़ॉर्मेट में परिवार के डेटा के निर्यात द्वारा पूरा करते हैं (लॉग इन टोकन और उनके फ़िंगरप्रिंट के बिना और सुरक्षा रिकॉर्ड से मूल फ़ोन नंबरों के फ़िंगरप्रिंट के बिना, जो केवल खाता वापसी के अनुरोध को सत्यापित करने के लिए उपयोग किए जाते हैं, और फ़ोन और सदस्य की स्थिति में बदलाव के जर्नल के बिना, जो केवल नंबर पर कब्ज़ा होने से बचाने के काम आता है; निर्यात में सीधे भुगतानों और मैन्युअल किश्तों के रिकॉर्ड (बिंदु 2) शामिल होते हैं; फ़ोटो के लिए इसमें बिंदु 3 के अनुसार उनका तकनीकी फ़िंगरप्रिंट होता है, अनुरोध करने पर हम फ़ोटो अलग से सौंपेंगे); हम हर निर्यात को रिकॉर्ड करते हैं (किसने इसे तैयार किया, कब और किस अनुरोध के आधार पर)। फ़ोन और सदस्य की स्थिति में बदलाव के जर्नल से घटनाओं का डेटा (प्रकार और समय, बिना फ़िंगरप्रिंट के) हम आपके अनुरोध पर आपको प्रदान करेंगे। हम बिना किसी अनुचित देरी के, अधिकतम एक महीने के भीतर जवाब देंगे; अधिक जटिल मामलों में हम समय सीमा को और दो महीने बढ़ा सकते हैं, जिसके बारे में हम आपको समय पर सूचित करेंगे। बच्चे के अधिकारों का उपयोग उसकी ओर से अभिभावक कानूनी प्रतिनिधि के रूप में कर सकता है।

8. सुरक्षा

ऐप पासवर्ड का उपयोग नहीं करता (लॉग इन केवल सत्यापित फ़ोन के ज़रिए होता है)। पहुँच 15 मिनट की वैधता वाले अल्पकालिक लॉग इन टोकन और रीफ़्रेश टोकन से सुरक्षित है, जिसे सर्वर केवल फ़िंगरप्रिंट के रूप में सहेजता है; पहले से बदले जा चुके रीफ़्रेश टोकन के बार-बार उपयोग के साबित होने पर सर्वर खाते को सभी डिवाइस से लॉग आउट कर देता है, सूचनाओं के लिए इसके पंजीकरण रद्द कर देता है, सुरक्षा रिकॉर्ड लिखता है और अन्य अभिभावकों को सूचित करता है। प्रोडक्शन में ऐप और सर्वर के बीच संचार HTTPS के ज़रिए होता है। फ़ोटो गैर-सार्वजनिक स्टोरेज में हैं और उन्हें देने से पहले बैकएंड खाते और उसी परिवार की सदस्यता की पुष्टि करता है। डेटाबेस के बैकअप ट्रांसफ़र से पहले ही एन्क्रिप्ट किए जाते हैं और उन्हें केवल क्लाउड के बाहर रखी गई निजी कुंजी से डिक्रिप्ट किया जा सकता है; प्रोमो कोड डेटाबेस में केवल HMAC फ़िंगरप्रिंट के रूप में होते हैं जिनकी कुंजी डेटाबेस के बाहर होती है और हम प्रोमो कोड के प्रबंधन को रिकॉर्ड करते हैं। फ़ोन नंबर, टोकन या अनुरोधों की सामग्री सर्वर ऑपरेशनल लॉग में नहीं लिखता।

9. kimda.app वेबसाइट और कुकी

यह बिंदु केवल kimda.app वेबसाइट पर आने वाले आगंतुकों पर लागू होता है, ऐप के उपयोग पर नहीं। वेबसाइट Cloudflare के नेटवर्क पर चलती है, जो हर विज़िट पर पेज पहुँचाने और उसे हमलों से बचाने के लिए तकनीकी रूप से IP पता और ब्राउज़र से जुड़ी जानकारी प्रोसेस करता है; वेबसाइट की त्रुटियों के निदान के लिए रिकॉर्ड Cloudflare अधिकतम 3 दिनों तक रखता है। ब्राउज़र की भाषा के अनुसार (डाउनलोड लिंक के मामले में डिवाइस के प्रकार के अनुसार भी) वेबसाइट आपको पेज के उपयुक्त वर्ज़न पर रीडायरेक्ट करती है। कानूनी आधार सुरक्षित और कार्यात्मक वेबसाइट में हमारा वैध हित है (Art. 6(1)(f) GDPR)। चुनी गई थीम वेबसाइट केवल आपके ब्राउज़र (localStorage) में याद रखती है। कुकी के बारे में आपका निर्णय वेबसाइट localStorage में और एक अनिवार्य तकनीकी कुकी kimda-consent-proof (वैधता 180 दिन) में सहेजती है, जिसमें केवल चुनाव का प्रकार और निर्णय का समय होता है, किसी व्यक्ति या खाते का कोई पहचानकर्ता नहीं। आपका ब्राउज़र तकनीकी रूप से इसे वेबसाइट को भेजे जाने वाले हर अनुरोध के साथ भेजता है; सर्वर इसका मूल्यांकन नहीं करता, इसका उपयोग केवल आपके ब्राउज़र में चलने वाली स्क्रिप्ट यह जाँचने के लिए करती है कि सहमति वापस नहीं ली गई है। इस कुकी के लिए सहमति आवश्यक नहीं है और इसका उपयोग मापन या विज्ञापन के लिए नहीं किया जाता।

केवल तभी, जब आप वेबसाइट की पट्टी में "सहमत हूँ" चुनते हैं, वेबसाइट Meta Platforms Ireland Limited कंपनी का Meta Pixel लोड करती है। यह ब्राउज़र में एक कुकी सहेजता है (जैसे _fbp, जिसकी वैधता अधिकतम 90 दिन है) और Meta को विज़िट से जुड़ी जानकारी भेजता है: देखा गया पेज, IP पता, ब्राउज़र से जुड़ी जानकारी और कुकी पहचानकर्ता। इससे हमें Facebook और Instagram पर विज्ञापनों की प्रभावशीलता मापने में मदद मिलती है। कानूनी आधार आपकी सहमति है (Art. 6(1)(a) GDPR और Section 89(3) of Act No. 127/2005 Coll., on electronic communications)। इस डेटा के संग्रह और हस्तांतरण के लिए हम Meta के साथ संयुक्त रूप से ज़िम्मेदार हैं; इसकी आगे की प्रोसेसिंग, जिसमें EU-USA डेटा गोपनीयता ढाँचे (Data Privacy Framework) के आधार पर USA को संभावित हस्तांतरण भी शामिल है, Meta एक स्वतंत्र नियंत्रक के रूप में facebook.com/privacy/policy पर उपलब्ध अपनी नीति के अनुसार करता है। ऐप, खाते या परिवार का कोई भी डेटा हम Meta को कभी नहीं भेजते।

सहमति के बिना Meta Pixel बिल्कुल लोड नहीं होता। आप वेबसाइट के फ़ुटर में "कुकी सेटिंग्स" लिंक के ज़रिए किसी भी समय अपनी सहमति वापस ले सकते हैं; इसके बाद वेबसाइट Pixel की कुकी हटा देती है और Pixel को फिर लोड नहीं करती।

अगर आप टेस्टर्स के लिए पेज के ज़रिए Google Groups में टेस्टर्स के समूह में शामिल होते हैं, तो समूह का व्यवस्थापक आपके Google खाते का ईमेल देखेगा; हम इसका उपयोग केवल ऐप के परीक्षण और Google Play में इसके परीक्षण वर्ज़न तक पहुँच के लिए करेंगे। iPhone के लिए परीक्षण वर्ज़न Apple द्वारा TestFlight के ज़रिए वितरित किया जाता है। इस दौरान Google और Apple अपनी नीतियों के अनुसार स्वतंत्र नियंत्रकों के रूप में डेटा प्रोसेस करते हैं। कानूनी आधार परीक्षण में भाग लेने का आपका अनुरोध है (Art. 6(1)(b) GDPR)। ईमेल समूह में तब तक रहेगा जब तक आप उससे बाहर नहीं निकल जाते या जब तक परीक्षण समाप्त नहीं हो जाता।

10. इस नीति में बदलाव

इस नीति में किसी भी महत्वपूर्ण बदलाव के बारे में हम आपको ऐप में और kimda.app वेबसाइट पर सूचित करेंगे। ऐप पहचान लेगा कि आपने नीति के किस वर्ज़न से सहमति जताई है: यह अभिभावकों से नए वर्ज़न की पुष्टि करने (और यदि आवश्यक हो तो बच्चों की ओर से सहमति देने) के लिए कहेगा, बच्चा इसे संज्ञान में लेगा। हम पुष्टि का समय और वर्ज़न रिकॉर्ड करेंगे।

11. संपर्क

व्यक्तिगत डेटा की सुरक्षा से जुड़े सवाल: privacy@kimda.app