गोपनीयता नीति

Lyriot (“हम”, “हमारा”) आपकी निजता की रक्षा करने के लिए प्रतिबद्ध है। यह नीति बताती है कि हम आपके व्यक्तिगत डेटा को कैसे एकत्र करते हैं, उपयोग करते हैं, साझा करते हैं और सुरक्षित रखते हैं — सामान्य डेटा संरक्षण विनियम (GDPR) और लागू फ़्रांसीसी कानून के अनुरूप।

हम डेटा की निम्नलिखित श्रेणियाँ एकत्र करते हैं:

• पंजीकरण डेटा: पूरा नाम, ईमेल पता, एन्क्रिप्टेड पासवर्ड (bcrypt), शहर, देश, लिंग, जन्म तिथि, फ़ोन नंबर (वैकल्पिक)।
• प्रोफ़ाइल डेटा: प्रोफ़ाइल चित्र (Cloudflare R2 पर संग्रहीत), परिचय, रुचियाँ।
• गतिविधि डेटा: आपके द्वारा बनाए गए और जिनमें आप शामिल हुए वे आयोजन, प्रतीक्षा-सूची में पंजीकरण, प्रकाशित टिप्पणियाँ, प्रतिक्रियाएँ, QR कोड से चेक-इन, आदान-प्रदान किए गए संदेश (सामग्री और समय), मित्रताएँ, संदेशों की पठन-स्थिति (पठन रसीदें), अनलॉक की गई उपलब्धियाँ, गतिविधि शृंखलाएँ, आमंत्रण कोड और आमंत्रित व्यक्तियों की सूची।
• गेमिफ़िकेशन डेटा: स्रोत के अनुसार अर्जित अंक, वर्तमान श्रेणी, वरीयता-सूची का इतिहास, सक्रिय बूस्ट और उनकी समाप्ति, अंक-वॉलेट का शेष और इतिहास।
• भुगतान डेटा: लेनदेन का इतिहास (सदस्यताएँ, सशुल्क आयोजन, बूस्ट), सक्रिय सदस्यता और नवीनीकरण की तिथि। बैंक और कार्ड संबंधी डेटा केवल Stripe संसाधित करता है — हम उसे कभी संग्रहीत नहीं करते।
• आयोजक का डेटा (Stripe Connect): भुगतान प्राप्त करने वाले आयोजकों के लिए Stripe पहचान सत्यापन का डेटा सीधे एकत्र करता है: पहचान (नाम, जन्म तिथि, स्कैन किया गया पहचान-पत्र), पूरा डाक पता, बैंक विवरण (IBAN या खाता संख्या) और यथास्थिति कंपनी की जानकारी (कंपनी का नाम, कर पहचान संख्या)। यह डेटा Stripe की निजता नीति के अधीन है।
• स्थान संबंधी डेटा: आयोजन बनाते समय दर्ज किए गए GPS निर्देशांक (अक्षांश/देशांतर), ताकि मानचित्र दिखाया जा सके और आस-पास की खोज संभव हो। हम आपका स्थान कभी निरंतर एकत्र नहीं करते। यदि आपने अपने डिवाइस पर स्थान की अनुमति पहले से दी है, तो लगभग दस किलोमीटर तक पूर्णांकित आपका स्थान शहर के सुझावों को क्रम में लगाने के लिए भी उपयोग होता है; यह आपके खाते में सहेजा नहीं जाता।
• आवेदन डेटा: /careers/apply के माध्यम से भेजा गया बायोडेटा, आवेदन-पत्र और LinkedIn पता, जो Cloudflare R2 (बकेट “resumes”) पर संग्रहीत होता है। इन्हें अधिकतम 2 वर्ष तक रखा जाता है।
• संपर्क डेटा: /contact फ़ॉर्म के माध्यम से भेजे गए संदेशों का नाम, ईमेल पता और सामग्री।
• तकनीकी डेटा: IP पता, ब्राउज़र का प्रकार, देखे गए पृष्ठ, कनेक्शन की तिथि और समय, सत्र पहचानकर्ता (NextAuth), पुश सूचनाओं के टोकन (Firebase)।

आपके डेटा का उपयोग निम्नलिखित के लिए किया जाता है:

• हमारी सेवाएँ प्रदान करना, संचालित करना और बेहतर बनाना
• आपकी पहचान सत्यापित करना और आपका खाता सुरक्षित रखना (ईमेल और पासवर्ड से या Google OAuth से लॉगिन)
• आपसे संबंधित आयोजन, प्रोफ़ाइल और वरीयता-सूचियाँ दिखाना
• Stripe के माध्यम से भुगतान संसाधित करना (सदस्यताएँ, सशुल्क आयोजन, बूस्ट)
• Stripe Connect के माध्यम से सशुल्क आयोजनों के आयोजकों को धनराशि भेजना
• सूचनाएँ भेजना (Resend से ईमेल, Firebase से पुश)
• निर्धारित कार्यों (cron) के ज़रिए हर 15 मिनट में स्वतः अंक देना
• उपयोगकर्ताओं की श्रेणियाँ स्वतः गणना करना और अद्यतन करना
• आवर्ती आयोजनों की पुनरावृत्तियाँ बनाना (साप्ताहिक, मासिक आदि)
• आयोजनों का भुगतान वसूलना और आयोजकों को हस्तांतरित करना
• साप्ताहिक, मासिक और वार्षिक वरीयता-सूचियाँ नियमित रूप से पुनः आरंभ करना
• आमंत्रण कार्यक्रम की शर्तें जाँचना (दुरुपयोग की रोकथाम)
• आपकी ऑनलाइन स्थिति और आपकी अंतिम गतिविधि आपके मित्रों को दिखाना
• सामग्री का संचालन और शिकायतों का निपटारा संभव बनाना
• धोखाधड़ी, दुरुपयोग और एकाधिक खातों को रोकना
• अपने कानूनी और लेखा संबंधी दायित्वों का पालन करना

हम आपके डेटा को निम्नलिखित कानूनी आधारों पर संसाधित करते हैं:

• अनुबंध का निष्पादन: आपको वे Lyriot सेवाएँ देने के लिए जिनका आपने उपयोग चुना है (खाता, आयोजन, भुगतान, संदेश)
• वैध हित: मंच को बेहतर बनाने, धोखाधड़ी रोकने, सुरक्षा सुनिश्चित करने, ऑनलाइन स्थिति दिखाने और वरीयता-सूचियाँ चलाने के लिए
• सहमति: पुश सूचनाओं के लिए (सेटिंग्स में कभी भी वापस ली जा सकती है) और वैकल्पिक व्यावसायिक संदेशों के लिए
• कानूनी दायित्व: लागू कानून का पालन करने के लिए, विशेष रूप से लेखा संबंधी दायित्व (5 वर्ष तक संरक्षण) और न्यायिक प्राधिकरणों की माँगें

हम आपका व्यक्तिगत डेटा कभी नहीं बेचते। हम उसे केवल अपने तकनीकी सेवा-प्रदाताओं के साथ साझा करते हैं, और केवल उतना ही जितना सेवा देने के लिए आवश्यक है:

• Stripe: भुगतान का प्रसंस्करण (सदस्यताएँ, सशुल्क आयोजन, बूस्ट) और Stripe Connect के माध्यम से आयोजकों को भुगतान — Stripe की नीति
• OVH: PostgreSQL डेटाबेस की होस्टिंग (VPS, फ़्रांस); Cloudflare R2: फ़ाइलों का संग्रहण (प्रोफ़ाइल चित्र, बायोडेटा)
• Resend: लेनदेन संबंधी ईमेल भेजना (पंजीकरण की पुष्टि, पासवर्ड रीसेट, आयोजनों की सूचनाएँ)
• Mapbox: आयोजनों के स्थान और आस-पास की खोज के लिए संवादात्मक मानचित्र दिखाना
• Photon (komoot) और Nominatim (OpenStreetMap Foundation, डेटा यूनाइटेड किंगडम और नीदरलैंड में): टाइप करते समय शहर के सुझाव; Nominatim का उपयोग केवल तब होता है जब Photon उत्तर नहीं देता। हमारे सर्वर उन्हें केवल टाइप किया गया पाठ भेजते हैं और Photon को एक अनुमानित स्थान भी: आपके देश का केंद्र या, यदि आपने स्थान की अनुमति पहले से दी है, तो लगभग दस किलोमीटर तक पूर्णांकित आपका स्थान। आपका नाम, IP पता और खाता उन्हें कभी नहीं भेजे जाते।
• Firebase (Google): आपके उपकरणों पर पुश सूचनाएँ भेजना (यदि आपने उन्हें चालू किया है)
• Google OAuth: यदि आप Google से लॉगिन चुनते हैं, तो आपका नाम, ईमेल और Google प्रोफ़ाइल चित्र Lyriot को भेजा जाता है
• सक्षम प्राधिकरण: जब कानून, कोई न्यायिक आदेश या हमारे वैध अधिकारों की रक्षा इसकी माँग करे

कुछ सेवा-प्रदाता यूरोपीय संघ के बाहर स्थित हैं (Firebase/Google, Stripe — संयुक्त राज्य अमेरिका में)। ये हस्तांतरण निम्नलिखित द्वारा सुरक्षित हैं:

• यूरोपीय आयोग द्वारा स्वीकृत मानक संविदात्मक उपबंध
• आयोग के पर्याप्तता संबंधी निर्णय (उदाहरण के लिए Stripe और Google के लिए EU–US Data Privacy Framework)
• GDPR के अनुच्छेद 46 में निर्धारित समुचित सुरक्षा-उपाय

जब तक आपका खाता सक्रिय है, हम आपका डेटा रखते हैं। यदि आप उसे हटाते हैं, तो डेटा 30 दिनों के भीतर मिटा दिया जाता है, बशर्ते कोई कानूनी दायित्व आड़े न आए:

• लेनदेन का डेटा: 5 वर्ष (फ़्रांसीसी लेखा संबंधी दायित्व)
• आवेदन का डेटा (बायोडेटा, पत्र): अधिकतम 2 वर्ष
• तकनीकी लॉग: 12 महीने
• संचालन और दंड का इतिहास: अनिश्चित काल तक (सुरक्षा और दुरुपयोग की रोकथाम)
• हटाए गए निजी संदेश: मेटाडेटा (तिथि, प्रतिभागी) सामग्री हटाए जाने के बाद भी रखा जा सकता है

GDPR के अनुसार आपको निम्नलिखित अधिकार प्राप्त हैं:

• पहुँच का अधिकार: आपके बारे में हमारे पास मौजूद डेटा देखना
• सुधार का अधिकार: अपने ग़लत डेटा को ठीक करना (सीधे सेटिंग्स में या हमसे संपर्क करके)
• मिटाने का अधिकार: सेटिंग्स → संवेदनशील क्षेत्र से अपना खाता हटाना (30 दिनों के भीतर संसाधित)
• डेटा पोर्टेबिलिटी का अधिकार: अपने डेटा की प्रति एक संरचित प्रारूप में प्राप्त करना
• आपत्ति का अधिकार: कुछ प्रकार के प्रसंस्करण पर आपत्ति करना (जैसे व्यावसायिक संदेश या ऑनलाइन स्थिति)
• प्रतिबंध का अधिकार: कुछ मामलों में प्रसंस्करण रोकने का अनुरोध करना
• स्वचालित निर्णयों से जुड़े अधिकार: स्वचालित प्रसंस्करण (अंक देना, श्रेणी की गणना, आमंत्रणों का सत्यापन) के बारे में सूचित किया जाना और उसके परिणाम को चुनौती देना

इन अधिकारों का प्रयोग करने के लिए: संपर्क फ़ॉर्म। आप CNIL के समक्ष शिकायत भी दर्ज कर सकते हैं।

लागू किए गए तकनीकी और संगठनात्मक उपाय:

• संचरण के दौरान समस्त संचार का एन्क्रिप्शन (HTTPS/TLS)
• पासवर्ड bcrypt से एन्क्रिप्टेड (कभी सादे रूप में संग्रहीत नहीं)
• न्यूनतम विशेषाधिकार के सिद्धांत के अनुसार डेटा तक सीमित पहुँच
• Cloudflare R2 पर फ़ाइलों का सुरक्षित संग्रहण (अस्थायी हस्ताक्षरित URL से पहुँच)
• सभी फ़ॉर्म में CSRF सुरक्षा (NextAuth टोकन)
• प्रशासनिक कार्रवाइयों का लॉग
• डेटाबेस का नियमित बैकअप
• डेटा उल्लंघन की स्थिति में प्रभावित व्यक्तियों को GDPR के अनुसार 72 घंटों के भीतर सूचित किया जाएगा

हम मंच के संचालन के लिए आवश्यक तकनीकी कुकीज़ का उपयोग करते हैं (उपयोगकर्ता सत्र, CSRF सुरक्षा)। हम आपके ब्राउज़र के स्थानीय संग्रहण का उपयोग आपकी प्राथमिकताएँ याद रखने के लिए भी करते हैं (हल्की या गहरी थीम, प्रदर्शन मुद्रा, भाषा): यह डेटा कभी आपके उपकरण से बाहर नहीं जाता। अधिक जानकारी के लिए हमारी कुकी नीति देखें।

फ़्रांसीसी डेटा संरक्षण कानून के अनुच्छेद 7-1 के अनुसार Lyriot 15 वर्ष या उससे अधिक आयु के व्यक्तियों के लिए खुला है। जिन देशों का कानून कोई भिन्न आयु निर्धारित करता है (उदाहरण के लिए COPPA के तहत संयुक्त राज्य अमेरिका में 13 वर्ष, या कुछ यूरोपीय संघ सदस्य देशों में 16 वर्ष), वहाँ अधिक संरक्षण देने वाली आयु लागू होती है। हम जानबूझकर उन नाबालिगों का डेटा एकत्र नहीं करते जो अपेक्षित आयु के नहीं हैं। यदि आपको लगता है कि ऐसे किसी नाबालिग ने खाता बनाया है, तो कृपया तुरंत हमसे संपर्क करें।

यूरोपीय GDPR के अतिरिक्त, Lyriot आपके निवास-देश के अनुसार निम्नलिखित डेटा संरक्षण नियमों का पालन करता है:

• कैलिफ़ोर्निया (CCPA/CPRA): यदि आप कैलिफ़ोर्निया में रहते हैं, तो California Consumer Privacy Act और California Privacy Rights Act के अंतर्गत आपको अतिरिक्त अधिकार प्राप्त हैं: कौन-सा व्यक्तिगत डेटा एकत्र किया जाता है यह जानने का अधिकार, मिटाने का अधिकार, डेटा की बिक्री से इनकार करने का अधिकार (हम आपका डेटा नहीं बेचते) और इन अधिकारों का प्रयोग करने के कारण भेदभाव न सहने का अधिकार। इनका प्रयोग करने के लिए हमें contact@lyriot.com पर लिखें।
• यूनाइटेड किंगडम (UK GDPR): हम ब्रेक्ज़िट के बाद लागू ब्रिटिश GDPR का पालन करते हैं। पर्यवेक्षी प्राधिकरण ICO (Information Commissioner's Office) है। आपके अधिकार यूरोपीय GDPR के समकक्ष हैं।
• ब्राज़ील (LGPD): Lei Geral de Proteção de Dados Pessoais के अंतर्गत आपको पहुँच, सुधार, मिटाने, पोर्टेबिलिटी और आपत्ति के अधिकार प्राप्त हैं। सक्षम प्राधिकरण ANPD (Autoridade Nacional de Proteção de Dados) है।
• कनाडा (PIPEDA + कानून 25): हम व्यक्तिगत सूचना संरक्षण एवं इलेक्ट्रॉनिक दस्तावेज़ अधिनियम (PIPEDA) का और क्यूबेक में कानून 25 (व्यक्तिगत सूचना के संरक्षण संबंधी विधायी प्रावधानों के आधुनिकीकरण का कानून) का पालन करते हैं। प्राधिकरण: OPC (संघीय) और CAI (क्यूबेक)।
• ऑस्ट्रेलिया (Privacy Act 1988): हम ऑस्ट्रेलियाई निजता अधिनियम और Australian Privacy Principles का पालन करते हैं। सक्षम प्राधिकरण OAIC (Office of the Australian Information Commissioner) है।
• जापान (APPI): व्यक्तिगत सूचना संरक्षण अधिनियम (個人情報の保護に関する法律) के अंतर्गत हम APPI के दायित्वों का पालन करते हैं। सक्षम प्राधिकरण PPC (Personal Information Protection Commission / 個人情報保護委員会) है।
• चीन (PIPL): व्यक्तिगत सूचना संरक्षण कानून (个人信息保护法) के अंतर्गत हम आपके डेटा को वैधता, औचित्य और आवश्यकता के सिद्धांतों के अनुसार संसाधित करते हैं। सक्षम प्राधिकरण CAC (Cyberspace Administration of China / 国家互联网信息办公室) है।
• दक्षिण कोरिया (PIPA): व्यक्तिगत सूचना संरक्षण कानून (개인정보 보호법) के अंतर्गत आपको पहुँच, सुधार, मिटाने और आपत्ति के अधिकार प्राप्त हैं। सक्षम प्राधिकरण PIPC (Personal Information Protection Commission / 개인정보보호위원회) है।
• भारत (DPDP Act 2023): डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम 2023 के अंतर्गत आपको अपने डिजिटल व्यक्तिगत डेटा के बारे में जानकारी पाने, उसे सुधारने और मिटाने का अधिकार है। सक्षम निकाय Data Protection Board of India है (MeitY द्वारा गठित किया जा रहा है)।
• तुर्किये (KVKK): व्यक्तिगत डेटा संरक्षण संबंधी कानून संख्या 6698 (Kişisel Verilerin Korunması Kanunu) के अंतर्गत आपको पहुँच, सुधार और मिटाने के अधिकार प्राप्त हैं। सक्षम प्राधिकरण KVKK (Kişisel Verileri Koruma Kurumu) है।
• इंडोनेशिया (UU PDP): व्यक्तिगत डेटा संरक्षण संबंधी कानून संख्या 27/2022 (Undang-Undang Perlindungan Data Pribadi) के अंतर्गत आपके अधिकारों में पहुँच, सुधार और मिटाना शामिल हैं। सक्षम निकाय Kementerian Komunikasi dan Informatika है।
• थाईलैंड (PDPA): Personal Data Protection Act B.E. 2562 (2019) के अंतर्गत आपको पहुँच, पोर्टेबिलिटी, मिटाने और आपत्ति के अधिकार प्राप्त हैं। सक्षम निकाय PDPC (Personal Data Protection Committee) है।
• सऊदी अरब (PDPL): Personal Data Protection Law (نظام حماية البيانات الشخصية) के अंतर्गत आपको पहुँच और सुधार के अधिकार प्राप्त हैं। सक्षम प्राधिकरण SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي) है।

देश के अनुसार पर्यवेक्षी प्राधिकरण :

हम इस नीति को कभी भी अद्यतन कर सकते हैं। किसी सारभूत परिवर्तन की स्थिति में हम आपको ईमेल द्वारा या मंच पर सूचना के माध्यम से अवगत कराएँगे। ऐसी सूचना के बाद Lyriot का उपयोग जारी रखना परिवर्तनों की स्वीकृति माना जाएगा।

यह नीति फ़्रांसीसी भाषा में तैयार की गई है। अन्य भाषाओं के संस्करण केवल जानकारी के लिए उपलब्ध कराए गए अनुवाद हैं; किसी भी अंतर की स्थिति में केवल फ़्रांसीसी संस्करण ही कानूनी रूप से बाध्यकारी है।

डेटा नियंत्रक: Lyriot, फ़्रांस।

अपने व्यक्तिगत डेटा से जुड़े किसी भी प्रश्न के लिए, अपने GDPR अधिकारों का प्रयोग करने के लिए (पहुँच, सुधार, मिटाना, पोर्टेबिलिटी, आपत्ति, प्रतिबंध) या अपने डेटा के प्रसंस्करण से जुड़ी किसी भी शिकायत के लिए: संपर्क फ़ॉर्म या सीधे contact@lyriot.com।

आप सक्षम पर्यवेक्षी प्राधिकरण के समक्ष शिकायत भी दर्ज कर सकते हैं: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris।