गोपनीयता नीति

1. परिचय

यह गोपनीयता नीति बताती है कि जब आप हमारे प्लेटफ़ॉर्म का उपयोग करते हैं तो Sarpius ("हम", "हमारा", "हमें"), जो Synthwave-technologies.nl का एक व्यावसायिक नाम है, आपके व्यक्तिगत डेटा को कैसे संसाधित करता है: ऐप होस्टिंग (git से डिप्लॉय, स्टैटिक और कंटेनर ऐप्स), प्रबंधित PostgreSQL डेटाबेस, S3-संगत ऑब्जेक्ट स्टोरेज (बकेट्स), प्रबंधित मैसेजिंग कतारें, निर्धारित कार्य, TLS और एज कैशिंग के साथ कस्टम डोमेन, हमारा इन-ब्राउज़र कोड एडिटर, और डेवलपर्स तथा AI एजेंटों के लिए API/MCP एक्सेस (सामूहिक रूप से "सेवाएं")। Synthwave-technologies.nl डच चैंबर ऑफ कॉमर्स (KVK) में संख्या 73239038 के तहत पंजीकृत है। हम सामान्य डेटा संरक्षण विनियमन (GDPR) और अन्य लागू डच व यूरोपीय संघ के डेटा-संरक्षण कानूनों का अनुपालन करते हैं।

2. हम कौन हैं

Synthwave-technologies.nl (KVK 73239038) Arnhemseweg 127, 7331BE Apeldoorn, the Netherlands में स्थित एक eenmanszaak है। Sarpius इस नीति में वर्णित सेवाओं के लिए इसका व्यावसायिक नाम है। हमारे प्राथमिक डोमेन sarpius.eu (वेबसाइट और कंसोल) और sarpius.dev (प्लेटफ़ॉर्म एंडपॉइंट्स, जैसे आपके ऐप्स और API/MCP एक्सेस) हैं; पुराने डोमेन synthcloud.nl और synthwave-technologies.nl अभी भी sarpius.eu पर पुनर्निर्देशित होते हैं या कुछ एंडपॉइंट्स की सेवा करते हैं। हमारी वैट पहचान संख्या NL002410192B67 है।

3. डेटा जो हम एकत्र करते हैं

खाता जानकारी - नाम, कंपनी का नाम, बिलिंग पता, ईमेल, वैट नंबर (यदि लागू हो)।
सोशल लॉगिन डेटा - यदि आप GitHub, GitLab या Gitea के साथ साइन अप या साइन इन करते हैं, तो हम आपके द्वारा चुने गए प्रदाता से खाता आईडी, उपयोगकर्ता नाम, ईमेल और नाम प्राप्त करते हैं।
भुगतान विवरण - लेनदेन आईडी और कार्ड/IBAN के अंतिम चार अंक (हमारे भुगतान भागीदार द्वारा संसाधित)।
सेवा-संचालन डेटा - IP पते, एक्सेस और त्रुटि लॉग, और संसाधन-खपत मेट्रिक्स।
डिवाइस और ब्राउज़र फ़िंगरप्रिंट - एक हैश किया गया तकनीकी फ़िंगरप्रिंट जिसका उपयोग केवल धोखाधड़ी और दुरुपयोग की रोकथाम के लिए किया जाता है, नीचे "डिवाइस और ब्राउज़र फ़िंगरप्रिंटिंग" देखें।
पहचान सत्यापन डेटा - यदि आप पहचान सत्यापन पूरा करते हैं, नीचे "पहचान सत्यापन (KYC)" देखें।
रेफ़रल कोड - एक ?ref= कोड जिसके साथ आप आते हैं, केवल पंजीकरण करने तक पेज मेमोरी में रखा जाता है; हम इसके लिए कोई कुकी सेट नहीं करते हैं।
संपर्क-फ़ॉर्म संदेश - संपर्क या सहायता फ़ॉर्म के माध्यम से आप हमें जो कुछ भी भेजते हैं।
स्व-होस्टेड निदान और उत्पाद टेलीमेट्री - हम अपने स्वयं के Sentry और Matomo इंस्टेंस संचालित करते हैं। Session Replay सत्रों के एक नमूने को रिकॉर्ड करता है, साथ ही उन सत्रों को जहां कोई त्रुटि होती है, जिसमें सभी ऑन-स्क्रीन टेक्स्ट, फ़ॉर्म इनपुट और मीडिया को कॉन्फ़िगर किए अनुसार मास्क किया जाता है, ताकि यह क्लिक, नेविगेशन, पेज पते (URL) और पेज संरचना दिखाए, और इसे इस तरह सेट किया गया है कि यह आपके द्वारा टाइप या पढ़ी गई चीज़ों को रिकॉर्ड न करे; एक रीप्ले आपके खाते से लिंक नहीं होता है। Matomo बिना कुकीज़ के चलता है। यह टेलीमेट्री हमारे नियंत्रण में रहती है; हम इसे किसी बाहरी एनालिटिक्स या ऑब्जर्वेबिलिटी प्रदाता को नहीं भेजते हैं, विज्ञापन के लिए इसका उपयोग नहीं करते हैं, या इसे बेचते नहीं हैं।
सहायता संचार - टिकट, चैट लॉग, और ईमेल पत्राचार।
दुरुपयोग-रोकथाम सिग्नल - स्वचालित उपकरणों द्वारा उत्पन्न टेलीमेट्री जो मैलवेयर, क्रिप्टोमाइनिंग, या अन्य दुरुपयोग का पता लगाती है।

सेवाएं प्रदान करने के लिए खाता जानकारी आवश्यक है: इसी पर आपके साथ हमारा अनुबंध बना है, और इसके बिना हम आपका खाता बना या संचालित नहीं कर सकते हैं। पहचान सत्यापन वैकल्पिक है; यदि आप अस्वीकार करते हैं तो क्या होगा, इसके लिए नीचे "पहचान सत्यापन (KYC)" देखें।

4. हम आपके डेटा को क्यों संसाधित करते हैं (कानूनी आधार)

उद्देश्य	कानूनी आधार (GDPR)
सेवाएं प्रदान करना और बनाए रखना	Art. 6(1)(b) - अनुबंध का निष्पादन
सोशल लॉगिन	Art. 6(1)(b) - अनुबंध का निष्पादन
बिलिंग और भुगतान	Art. 6(1)(b) व (c) - अनुबंध और कानूनी दायित्व
धोखाधड़ी और दुरुपयोग की रोकथाम	Art. 6(1)(f) - वैध हित
धोखाधड़ी की रोकथाम के लिए डिवाइस और ब्राउज़र फ़िंगरप्रिंटिंग	Art. 6(1)(f) - वैध हित
पहचान सत्यापन	Art. 6(1)(f) - वैध हित
ग्राहक सहायता	Art. 6(1)(b) - अनुबंध का निष्पादन
हमारी स्व-होस्टेड टेलीमेट्री के माध्यम से सेवा विश्वसनीयता और उत्पाद सुधार	Art. 6(1)(f) - वैध हित
कानूनी अनुपालन (कर, लेखांकन)	Art. 6(1)(c) - कानूनी दायित्व

5. डेटा साझाकरण

हम व्यक्तिगत डेटा को विज्ञापन के लिए बेचते, किराए पर देते, व्यापार करते या उपयोग नहीं करते हैं। हम व्यक्तिगत डेटा केवल तभी साझा करते हैं जहां सेवाओं को प्रदान करने या उनकी रक्षा करने के लिए आवश्यक हो:

• Mollie, हमारा भुगतान संसाधक, लेनदेन पूरा करने के लिए।
• Cloudflare, DNS, CDN, और DDoS सुरक्षा के लिए। Cloudflare ट्रैफ़िक को सुरक्षित और रूट करने के लिए आवश्यक नेटवर्क डेटा प्राप्त करता है।
• अन्य आवश्यक उप-प्रसंस्करणकर्ता जो हमारे उप-प्रसंस्करणकर्ता पृष्ठ पर सूचीबद्ध हैं, जहां किसी सेवा को संचालित करने के लिए आवश्यक हो।
• प्राधिकारी या अदालतें जब कानूनी रूप से आवश्यक हो।

हमारी स्व-होस्टेड Sentry और Matomo इंस्टॉलेशन हमारे द्वारा संचालित हैं और बाहरी एनालिटिक्स या ऑब्जर्वेबिलिटी प्रदाता नहीं हैं। Discord प्लेटफ़ॉर्म घटनाओं के बारे में सूचनाएं प्राप्त करता है लेकिन कोई व्यक्तिगत डेटा नहीं, इसलिए यह उप-प्रसंस्करणकर्ता नहीं है।

6. आपका डेटा कहां होस्ट किया जाता है

हमारा कोर बुनियादी ढांचा और संग्रहीत खाता व एप्लिकेशन डेटा यूरोपीय संघ (EU) के भीतर, मुख्य रूप से नीदरलैंड में होस्ट किया जाता है। हम अपने कंप्यूट और स्टोरेज क्षेत्रों को विशेष रूप से EU / यूरोपीय आर्थिक क्षेत्र (EEA) के भीतर संचालित करते हैं, और भविष्य में हम जो भी क्षेत्र जोड़ेंगे वे EU/EEA के भीतर ही रहेंगे।

हम Cloudflare के विश्व स्तर पर वितरित DNS, CDN, और DDoS-सुरक्षा नेटवर्क का उपयोग करते हैं क्योंकि एक सार्वजनिक PaaS के लिए विश्वसनीय नेटवर्क सुरक्षा आवश्यक है। वह सुरक्षा प्रदान करने में, Cloudflare EEA के बाहर सीमित नेटवर्क डेटा, जैसे IP पते, होस्टनाम, हेडर, और ट्रैफ़िक मेटाडेटा संसाधित कर सकता है। जहां स्थानांतरण होता है, हम GDPR-स्वीकृत सुरक्षा उपायों पर भरोसा करते हैं जैसे कि पर्याप्तता निर्णय (जहाँ लागू हो EU-US Data Privacy Framework सहित), मानक संविदात्मक खंड (Standard Contractual Clauses), या अन्य वैध स्थानांतरण तंत्र।

Cloudflare के माध्यम से प्रॉक्सी किया गया ट्रैफ़िक Cloudflare के एज पर डिक्रिप्ट किया जाता है और Sarpius तक फिर से एन्क्रिप्ट करके भेजा जाता है, इसलिए Cloudflare तकनीकी रूप से अनुरोधों और प्रतिक्रियाओं की सामग्री देख सकता है। डिफ़ॉल्ट होस्टनाम *.sarpius.app और sarpius.eu हमेशा Cloudflare से होकर गुजरते हैं। यदि आप किसी कस्टम डोमेन के लिए यह नहीं चाहते, तो आप Privacy route का उपयोग कर सकते हैं, जो प्रति कस्टम डोमेन सेट होता है और हमारे डेटा रेज़िडेंसी पृष्ठ पर वर्णित है।

हम जानबूझकर इस एज प्रदाता पर निर्भरता सीमित करते हैं: हमारा कोर कंट्रोल प्लेन, संग्रहीत डेटा, कंप्यूट, और स्टोरेज स्वतंत्र रहते हैं, और एप्लिकेशन प्लेटफ़ॉर्म को बदले बिना हमारे DNS और एज रूटिंग को बदला जा सकता है। यदि हम, एक प्रलेखित मूल्यांकन के बाद, EEA के बाहर किसी अन्य प्रदाता का उपयोग करने का निर्णय लेते हैं, तो हम केवल वही उपयोग करेंगे जो आवश्यक है, व्यक्तिगत डेटा, पहुंच, और इसमें शामिल तकनीकी निर्भरता को न्यूनतम करेंगे, आवश्यक स्थानांतरण सुरक्षा उपाय लागू करेंगे, और जहां लागू हो अपने उप-प्रसंस्करणकर्ता पृष्ठ को अपडेट करेंगे।

7. डिवाइस और ब्राउज़र फ़िंगरप्रिंटिंग

जब आप पंजीकरण करते हैं या साइन इन करते हैं, तो हम एक तकनीकी फ़िंगरप्रिंट एकत्र करते हैं, केवल उसी समय और सेवाओं के आगे के उपयोग के दौरान नहीं: आपके ब्राउज़र का उपयोगकर्ता एजेंट (user agent), प्लेटफ़ॉर्म, भाषा(एं), समय क्षेत्र (timezone), स्क्रीन और विंडो का आकार, पिक्सेल अनुपात, CPU कोर संख्या, डिवाइस मेमोरी, टच पॉइंट्स की संख्या, क्या स्वचालन/वेबड्राइवर (automation/webdriver) फ़्लैग मौजूद है, ब्राउज़र प्लगइन संख्या, और कैनवास/WebGL/ऑडियो रेंडरिंग विशेषताएं। इन सिग्नलों को हैश किया जाता है और आपके IP पते के साथ Spectra को भेजा जाता है, जो हमारा इन-हाउस एंटी-फ़्रॉड इंजन है।

हम इसका उपयोग केवल धोखाधड़ी और दुरुपयोग को रोकने के लिए करते हैं: डुप्लिकेट या वैकल्पिक खातों का पता लगाना, निलंबन से बचना, और फ्री-टियर या भुगतान का दुरुपयोग रोकना। इसका कानूनी आधार हमारा वैध हित है, Art. 6(1)(f) GDPR। हम इस फ़िंगरप्रिंट का उपयोग कभी भी विज्ञापन के लिए नहीं करते हैं, असंबंधित साइटों पर इसे कभी साझा नहीं करते हैं, और इसे कभी नहीं बेचते हैं।

आपको Art. 21 GDPR के तहत इस प्रसंस्करण पर आपत्ति करने का अधिकार है; [email protected] पर ईमेल करें। आपत्ति करने का अर्थ यह हो सकता है कि हम आपको फ्री टियर या कुछ खाता विश्वास स्तर प्रदान करने में असमर्थ हों, क्योंकि इसी प्रकार हम एक वास्तविक नए ग्राहक और बार-बार होने वाले दुरुपयोग के बीच अंतर करते हैं।

8. पहचान सत्यापन (KYC)

हम आपके खाते से प्रतिबंध हटाने या उच्चतर विश्वास स्तर तक पहुंचने के लिए आपसे अपनी पहचान सत्यापित करने के लिए कह सकते हैं; सामान्य रूप से प्लेटफ़ॉर्म का उपयोग करने के लिए पहचान सत्यापन की कभी आवश्यकता नहीं होती है। सत्यापन बिना किसी बाहरी प्रदाता के इन-हाउस संभाला जाता है।

हम आपका नाम, जन्म तिथि, दस्तावेज़ का प्रकार और समाप्ति तिथि, तथा स्वीकृत पहचान दस्तावेज़ की एक छवि मांगते हैं: एक पासपोर्ट, राष्ट्रीय पहचान पत्र, या ड्राइविंग लाइसेंस। जब आप कोई फ़ोटो जमा करते हैं, तो कृपया अपने नागरिक सेवा नंबर (BSN) और नाम, जन्म तिथि, दस्तावेज़ प्रकार और समाप्ति तिथि के अतिरिक्त दस्तावेज़ की किसी भी चीज़ को ढक दें; हम इसके लिए डच सरकार के KopieID ऐप की अनुशंसा करते हैं।

दस्तावेज़ छवियां एन्क्रिप्टेड (AES-256-GCM) होती हैं और पहुंच समीक्षक भूमिका रखने वाले कर्मचारियों तक सीमित होती है; प्रत्येक दृश्य को लॉग किया जाता है और समीक्षक के नाम के साथ वॉटरमार्क किया जाता है। सत्यापन निर्णय के 30 दिनों बाद छवियां हटा दी जाती हैं; परिणाम स्वयं (सत्यापित या नहीं, और तारीख) तब तक रखा जाता है जब तक आपका खाता मौजूद है। इसका कानूनी आधार धोखाधड़ी की रोकथाम में हमारा वैध हित है, Art. 6(1)(f) GDPR।

सत्यापन स्वैच्छिक है: यदि आप अस्वीकार करते हैं, तो आपके खाते पर पहले से लागू प्रतिबंध या विश्वास स्तर वैसा ही बना रहता है। वैकल्पिक सेल्फ़ी-आधारित सत्यापन मार्ग वर्तमान में पेश नहीं किया जाता है।

9. स्वचालित निर्णय

Spectra, हमारा एंटी-फ़्रॉड इंजन, किसी कंटेनर या खाते को स्वचालित रूप से प्रतिबंधित या निलंबित कर सकता है। यह भुगतान और खाता सिग्नलों, डिवाइस सिग्नलों, और क्रिप्टोमाइनिंग जैसे संसाधन-उपयोग पैटर्न जैसे कारकों का मूल्यांकन करता है। यह Art. 22 GDPR के अर्थ में एक स्वचालित निर्णय है। हम GDPR के Art. 22(2)(a) के अपवाद पर निर्भर करते हैं: क्रिप्टोमाइनिंग या मैलवेयर जैसे दुरुपयोग पर तुरंत कार्रवाई करना आपके साथ और हमारे अन्य ग्राहकों के साथ, जिनके संसाधन साझा होते हैं, हमारे अनुबंध को निभाने के लिए आवश्यक है। ऐसे हर निर्णय पर नीचे दिए गए सुरक्षा उपाय लागू होते हैं।

आप सहायता टीम या [email protected] से संपर्क करके मानवीय समीक्षा का अनुरोध कर सकते हैं, अपना दृष्टिकोण समझा सकते हैं, और निर्णय को चुनौती दे सकते हैं। हम बिना किसी अनुचित देरी के, सामान्यतः दो कार्य दिवसों के भीतर उत्तर देते हैं।

10. डेटा प्रतिधारण

• खाता डेटा - जब तक आपका खाता मौजूद है तब तक रखा जाता है; बंद होने के बाद, 6 महीने तक, फिर आपका व्यक्तिगत डेटा हटा दिया जाता है या अपरिवर्तनीय रूप से अपठनीय बना दिया जाता है। हम केवल वे अभिलेख रखते हैं जिन्हें रखना कानूनी रूप से आवश्यक है, जैसे डच कर कानून के तहत वित्तीय अभिलेख (7 वर्ष), और कानूनी दावे स्थापित करने या उनसे बचाव के लिए आवश्यक अभिलेख, जब तक उस उद्देश्य के लिए आवश्यक हो।
• होस्ट की गई सामग्री (ऐप्स, डेटाबेस, बकेट्स) - जब आप संसाधन हटाते हैं तो हटा दी जाती है; खाता बंद होने के बाद, 30 दिनों के भीतर। हटाया गया डेटा एन्क्रिप्टेड ऑफ़-साइट बैकअप से अधिकतम 90 दिनों के भीतर गायब हो जाता है।
• बैकअप - सभी ऑब्जेक्ट-स्टोरेज बकेट, प्लेटफ़ॉर्म डेटाबेस और प्लेटफ़ॉर्म कॉन्फ़िगरेशन की रात की, क्लाइंट-साइड एन्क्रिप्टेड (AES-256) ऑफ़-साइट प्रति, जो आपदा के बाद प्लेटफ़ॉर्म की पुनर्प्राप्ति के लिए रखी जाती है; यह प्रति-ग्राहक पुनर्स्थापना सेवा नहीं है। रात के डेटाबेस रिस्टोर पॉइंट साझा डेटाबेस पर 7 दिन और समर्पित (dedicated) डेटाबेस पर 14 दिन रखे जाते हैं।
• सुरक्षा और एक्सेस लॉग, जिसमें IP पते शामिल हैं - 12 महीने तक।
• डिवाइस फ़िंगरप्रिंट - जब तक लिंक किया गया खाता विश्वास रिकॉर्ड मौजूद है, खाता बंद होने के अधिकतम 6 महीने बाद तक।
• पहचान-दस्तावेज़ छवियां - सत्यापन निर्णय के 30 दिन बाद तक; परिणाम तब तक जब तक खाता मौजूद है।
• स्व-होस्टेड निदान (Sentry) और उत्पाद एनालिटिक्स (Matomo) - केवल तब तक जब तक निदान और विश्लेषण के लिए आवश्यक हो, फिर स्वचालित रूप से हटा दिया जाता है।

11. सुरक्षा

हम ट्रांसिट में एन्क्रिप्शन (TLS), नेटवर्क पृथक्करण, न्यूनतम-विशेषाधिकार एक्सेस नियंत्रण, और निरंतर निगरानी लागू करते हैं। खातों में व्यक्तिगत-डेटा फ़ील्ड प्रति उपयोगकर्ता एन्क्रिप्टेड हैं, पहचान दस्तावेज़ AES-256-GCM से एन्क्रिप्टेड हैं, और हमारे ऑफ़-साइट बैकअप AES-256 से क्लाइंट-साइड एन्क्रिप्टेड हैं, जिनकी कुंजी केवल EU में Sarpius के पास है, स्टोरेज प्रदाता के पास कभी नहीं। स्वचालित प्रणालियां मैलवेयर, क्रिप्टोमाइनिंग, या अन्य दुरुपयोग को चिह्नित और अवरुद्ध करती हैं। पहचान दस्तावेज़ों तक पहुंच समीक्षक भूमिका रखने वाले कर्मचारियों तक सीमित है, जिसमें प्रत्येक दृश्य को लॉग किया जाता है और समीक्षक के नाम के साथ वॉटरमार्क किया जाता है। हमारे Sentry और Matomo निदान स्व-होस्टेड हैं और हमारे द्वारा संचालित हैं; वे ग्राहक डेटा को बेचने या बाहरी रूप से मुद्रीकृत करने का माध्यम नहीं हैं।

12. आपके अधिकार

GDPR के तहत आप अपने व्यक्तिगत डेटा तक पहुंच, उसमें सुधार या उसे हटाने, या उसके निर्यात का अनुरोध कर सकते हैं; आप कुछ प्रसंस्करण पर आपत्ति कर सकते हैं या उसे प्रतिबंधित कर सकते हैं; और जहां प्रसंस्करण आपकी सहमति पर निर्भर करता है, आप किसी भी समय उस सहमति को वापस ले सकते हैं। यदि कोई स्वचालित निर्णय आपको प्रभावित करता है, तो आपको मानवीय समीक्षा का अनुरोध करने का भी अधिकार है, ऊपर "स्वचालित निर्णय" देखें। आपको Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) या जहाँ आप रहते हैं वहाँ के पर्यवेक्षी प्राधिकरण के पास शिकायत दर्ज करने का अधिकार है। अपने अनुरोध के साथ [email protected] पर ईमेल करें; हम एक महीने के भीतर जवाब देते हैं।

13. कुकीज़ और समान तकनीकें

हमारी साइटें केवल प्रमाणीकरण, सुरक्षा, और भाषा प्राथमिकता के लिए कम संख्या में फ़र्स्ट-पार्टी कुकीज़ का उपयोग करती हैं; हम विज्ञापन या एनालिटिक्स कुकीज़ का उपयोग नहीं करते हैं। ऊपर वर्णित डिवाइस और ब्राउज़र फ़िंगरप्रिंट एक "समान तकनीक" है जिसका उपयोग केवल धोखाधड़ी की रोकथाम के लिए किया जाता है, साइटों के बीच ट्रैकिंग के लिए कभी नहीं। हमारे द्वारा उपयोग की जाने वाली कुकीज़ और ब्राउज़र-स्टोरेज कुंजियों की पूरी सूची हमारे कुकीज़ नीति पृष्ठ पर है। यदि हम एक गैर-आवश्यक कुकी या तुलनीय ब्राउज़र तकनीक पेश करते हैं जिसके लिए सहमति आवश्यक है, तो हम इसका उपयोग करने से पहले उस सहमति की मांग करेंगे।

14. इस नीति में परिवर्तन

हम समय-समय पर इस गोपनीयता नीति को अद्यतन कर सकते हैं। महत्वपूर्ण परिवर्तनों की घोषणा हमारी वेबसाइट पर या ईमेल द्वारा की जाएगी।

15. संपर्क

गोपनीयता संबंधी प्रश्नों के लिए या अपने अधिकारों का प्रयोग करने के लिए, [email protected] पर ईमेल करें या Synthwave-technologies.nl, Arnhemseweg 127, 7331BE Apeldoorn, the Netherlands को लिखें।