गोपनीयता नीति

इस नीति में क्या बताना ज़रूरी है

ज़्यादातर गोपनीयता नीतियाँ ऐसी साइट के बारे में होती हैं जो बस एक ईमेल पता लेती है। यह नीति कुछ ज़्यादा संवेदनशील चीज़ के बारे में है: आप अपनी ब्लड टेस्ट रिपोर्ट अपलोड करते हैं, और वह रिपोर्ट आपकी सेहत का डेटा है। हमारी कंपनी फ्रांस में है, इसलिए यूरोपीय संघ का GDPR लागू होता है, जिसमें सेहत का डेटा “विशेष श्रेणी” (अनुच्छेद 9) में आता है। अगर आप भारत में रहते हैं, तो डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (Digital Personal Data Protection Act, DPDP Act) भी लागू होता है, क्योंकि यह भारत के लोगों को सेवा देने से जुड़ी, भारत के बाहर होने वाली प्रोसेसिंग पर भी लागू होता है (धारा 3(b))। इसके नियम, DPDP Rules 2025, नवंबर 2025 में अधिसूचित हुए और मई 2027 तक चरणों में लागू हो रहे हैं।

इसलिए यह पेज जितना हम चाहते थे उससे लंबा है, और वहाँ स्पष्ट है जहाँ गोलमोल लिखना आसान होता। अगर कोई हिस्सा समझ न आए, तो हमें लिखें, हम उसे दोबारा लिखेंगे।

डेटा के लिए ज़िम्मेदार (डेटा फ़िड्यूशियरी)

Smart Medical Care SAS, पंजीकृत कार्यालय नीस (Nice), फ्रांस, SIRET 932 924 194 00016। DPDP Act की भाषा में यही आपके डेटा की “डेटा फ़िड्यूशियरी” (Data Fiduciary) है। इस पेज से जुड़े हर सवाल के लिए, और अपने अधिकारों के इस्तेमाल के लिए भी, संपर्क: contact@blood-interpretation.com।

प्रतीक्षा सूची, जो अब बंद है

सेवा शुरू होने से पहले, अपलोड के बटन एक फ़ॉर्म पर ले जाते थे जो सिर्फ़ एक चीज़ माँगता था: एक ईमेल पता, ताकि सेवा शुरू होने पर हम आपको बता सकें, साथ में वह भाषा जिसमें आप पढ़ रहे थे और वह पेज जिस पर आप थे। वह फ़ॉर्म हटा दिया गया है, और अब इस तरह कोई पता नहीं लिया जाता।

सूची में पहले से मौजूद पतों का आधार वह सहमति है जो फ़ॉर्म भेजकर दी गई थी। हम उनका इस्तेमाल सिर्फ़ उसी एक संदेश के लिए करते हैं, किसी को नहीं देते, और आप ऊपर दिए पते पर कभी भी अपना पता हटाने को कह सकते हैं। सूची में सबसे संपर्क हो जाने के बाद सूची मिटा दी जाती है।

रिपोर्ट अपलोड करने पर हम क्या प्रोसेस करते हैं

आपकी अपलोड की गई ब्लड टेस्ट रिपोर्ट, फ़ाइल के रूप में और उससे पढ़े गए आँकड़ों के रूप में। विश्लेषण से पहले दस्तावेज़ से आपका नाम हटा दिया जाता है: इंजन आपके आँकड़ों और आपके दिए संदर्भ पर काम करता है, आपकी पहचान पर नहीं।

आपका दिया संदर्भ: उम्र, लिंग, और पढ़ने से पहले पूछे गए सवालों के जवाब, क्योंकि एक ही आँकड़ा पच्चीस साल की उम्र में और सत्तर की उम्र में अलग तरह पढ़ा जाता है।

आपका अकाउंट: उसे बनाने में इस्तेमाल हुआ ईमेल पता, और उसमें रखे गए नतीजे, ताकि एक रिपोर्ट को अगली रिपोर्ट से मिलाकर पढ़ा जा सके। समय के साथ बदलाव वह बताता है जो एक अकेली रिपोर्ट नहीं बताती।

भुगतान, अगर आप पूरी रिपोर्ट खरीदते हैं: इसे हमारा भुगतान सेवा प्रदाता संभालता है। हम आपके कार्ड का विवरण न कभी देखते हैं, न रखते हैं।

तकनीकी डेटा: सेवा चलाने और उसे सुरक्षित रखने के लिए ज़रूरी सर्वर लॉग।

उद्देश्य और कानूनी आधार

आपकी पूरी रिपोर्ट बनाना: सेहत के डेटा की प्रोसेसिंग के लिए आपकी स्पष्ट सहमति (GDPR, अनुच्छेद 9(2)(a)), जो आप रिपोर्ट अपलोड करते समय देते हैं। DPDP Act भी यही माँगता है: सहमति स्वतंत्र, विशिष्ट, सूचित, बिना शर्त और साफ़ होनी चाहिए, और आपकी किसी स्पष्ट सकारात्मक क्रिया से दी जानी चाहिए (धारा 6(1))। आप इसे कभी भी वापस ले सकते हैं, अपने नतीजे या अपना अकाउंट मिटाकर, जिससे उस समय से प्रोसेसिंग रुक जाती है (धारा 6(4))।

नतीजों को रखना, ताकि समय के साथ उनकी तुलना हो सके: वही स्पष्ट सहमति। अगर आप उन्हें नहीं रखना चाहते, तो उन्हें मिटा दें और कुछ भी बाकी नहीं रहता।

भुगतान लेना: आपके और हमारे बीच के अनुबंध का पालन।

सेवा चलाना और सुरक्षित रखना, और दर्शकों की गिनती (audience measurement): एक काम करने वाली और बेहतर होती साइट में हमारा वैध हित, जिसे आपके अधिकारों के साथ तौला जाता है। दर्शकों की गिनती के बारे में नीचे अलग से बताया गया है, क्योंकि उसके लिए सिर्फ़ हमारा हित काफ़ी नहीं, आपकी सहमति चाहिए।

डेटा और कौन देखता है

इंटरप्रिटेशन इंजन। आपके नतीजे पढ़ने और व्याख्या लिखने के लिए हम एक आर्टिफ़िशियल इंटेलिजेंस प्रदाता पर निर्भर हैं, जो भारत और यूरोपीय संघ के बाहर स्थित है और अनुबंध के तहत हमारे डेटा प्रोसेसर के रूप में काम करता है। आपके नतीजे सिर्फ़ इसी एक काम के लिए भेजे जाते हैं। उनसे उस प्रदाता के मॉडल प्रशिक्षित (train) नहीं किए जाते, और उन्हें कभी बेचा या किसी और काम के लिए साझा नहीं किया जाता।

हमारा होस्टिंग प्रदाता Outscale, एक फ्रांसीसी कंपनी जो सेहत के डेटा की होस्टिंग के लिए प्रमाणित है (HDS, hébergeur de données de santé), डेटा रखती है और सेवा चलाती है।

हमारा भुगतान सेवा प्रदाता, सिर्फ़ खरीद के लिए, जिसे भुगतान के लिए ज़रूरी जानकारी मिलती है और आपके नतीजों के बारे में कुछ नहीं।

और कोई नहीं। आपके नतीजे बीमा कंपनियों, नियोक्ताओं, विज्ञापनदाताओं या किसी और सेवा के साथ साझा नहीं किए जाते, और कहीं और बेची जाने वाली किसी चीज़ के लिए डेटा का स्रोत नहीं बनते।

भारत के बाहर डेटा का जाना

अगर आप भारत में रहते हैं, तो आपका डेटा भारत से बाहर जाता है: उसे फ्रांस में Outscale होस्ट करती है, और आपका अपलोड किया गया सेहत का डेटा पढ़े जाने के लिए संयुक्त राज्य अमेरिका में स्थित आर्टिफ़िशियल इंटेलिजेंस प्रदाता को भेजा जाता है। DPDP Act भारत के बाहर डेटा भेजने की अनुमति देता है, जब तक केंद्र सरकार किसी देश को अधिसूचना से प्रतिबंधित न करे (धारा 16(1)); DPDP Rules 2025 का नियम 15 इसमें वे शर्तें जोड़ता है जो सरकार आदेश से तय कर सकती है।

यूरोपीय पक्ष पर, अमेरिका भेजा जाना उन सुरक्षा उपायों पर टिका है जो GDPR देता है: मानक अनुबंध खंड (standard contractual clauses) और प्रमाणित अमेरिकी संगठनों के लिए पर्याप्तता ढाँचा। हम यह बात छिपाने के बजाय साफ़ लिख रहे हैं, क्योंकि इस नीति का यही हिस्सा जानने का पाठक को सबसे ज़्यादा हक़ है।

हम डेटा कितने समय तक रखते हैं

आपके नतीजे और आपका अकाउंट तब तक रखे जाते हैं जब तक आपका अकाउंट मौजूद है, क्योंकि उन्हें रखने से ही एक रिपोर्ट की तुलना पिछली रिपोर्ट से हो पाती है। ऐसी कोई अपने-आप समाप्ति नहीं है जो वह इतिहास मिटा दे जिसे आपने ख़ुद बनाना चुना।

आप किसी एक रिपोर्ट को, या अपने पूरे अकाउंट को, अपने अकाउंट से कभी भी मिटा सकते हैं। अकाउंट मिटाने पर उसके नतीजे भी मिट जाते हैं।

तकनीकी लॉग सुरक्षा और समस्या-समाधान के लिए ज़रूरी सीमित समय तक रखे जाते हैं। खरीद से जुड़े रिकॉर्ड उतने समय तक रखे जाते हैं जितना फ्रांस का लेखा और कर कानून माँगता है।

कुकीज़ और दर्शकों की गिनती

दर्शकों की गिनती के लिए यह साइट Google Analytics 4 इस्तेमाल करती है। यह टूल कुकीज़ लगाता है और इसमें डेटा संयुक्त राज्य अमेरिका जाता है, इसलिए यह तभी चलता है जब आप इसे स्वीकार करें। मना करने से सेवा में कुछ नहीं बदलता: रिपोर्ट पढ़ना, पूरी रिपोर्ट और आपका अकाउंट बिल्कुल वैसे ही काम करते हैं।

आपकी पसंद छह महीने तक याद रखी जाती है, उसके बाद हम फिर पूछते हैं। आप हर पेज के नीचे दिए “कुकीज़ प्रबंधित करें” लिंक से कभी भी अपना फ़ैसला बदल सकते हैं; सहमति वापस लेने पर गिनती रुक जाती है और उसकी कुकीज़ मिट जाती हैं।

सेवा चलाने के लिए बिल्कुल ज़रूरी कुकीज़, जैसे आपको लॉग इन रखना, बिना सहमति लगाई जाती हैं, क्योंकि उनके बिना सेवा काम नहीं कर सकती। हम विज्ञापन की कोई कुकी और सोशल मीडिया की कोई कुकी इस्तेमाल नहीं करते।

आपके अधिकार, और शिकायत कहाँ करें

DPDP Act के तहत आप हमसे यह माँग सकते हैं: हम आपके किस डेटा को प्रोसेस करते हैं उसका सारांश और यह कि वह किसके साथ साझा हुआ (धारा 11); उसका सुधार, उसे पूरा करना, उसे अपडेट करना और उसे मिटाना (धारा 12); शिकायत के निवारण का आसान रास्ता (धारा 13); और किसी व्यक्ति को नामित करना, जो आपकी मृत्यु या अक्षमता की स्थिति में आपके अधिकारों का इस्तेमाल करे (धारा 14)। GDPR आपको इसके अलावा डेटा की प्रति पाने, प्रोसेसिंग सीमित करवाने, डेटा को पोर्टेबल रूप में पाने और हमारे वैध हित पर आधारित प्रोसेसिंग पर आपत्ति करने का अधिकार भी देता है। आप अपनी सहमति कभी भी वापस ले सकते हैं।

अपने अकाउंट वाले ईमेल पते से contact@blood-interpretation.com पर लिखें और बताएँ कि आप कौन-सा अधिकार इस्तेमाल करना चाहते हैं। हम एक महीने के भीतर जवाब देते हैं, जो DPDP Rules 2025 की नब्बे दिन की ऊपरी सीमा (नियम 14(3)) से कम है। अगर अनुरोध जटिल हो, तो यह समय दो महीने और बढ़ सकता है, और ऐसा होने पर हम आपको बताएँगे।

अगर आप हमारे जवाब से संतुष्ट नहीं हैं, तो पहले हमें बताएँ: DPDP Act के अनुसार भारत के बोर्ड के पास जाने से पहले हमारे शिकायत निवारण का रास्ता अपनाना ज़रूरी है (धारा 13(3))। उसके बाद भी संतुष्ट न हों, तो आप भारतीय डेटा संरक्षण बोर्ड (Data Protection Board of India) से शिकायत कर सकते हैं, जो एक डिजिटल कार्यालय के रूप में काम करता है और ऑनलाइन शिकायत लेता है। क्योंकि Smart Medical Care SAS फ्रांस में है, आप फ्रांस के निगरानी प्राधिकरण CNIL से भी cnil.fr पर शिकायत कर सकते हैं।

इस नीति में बदलाव

जब सेवा बदलती है तो यह नीति भी बदलती है, और आख़िरी संशोधन की तारीख पेज के नीचे दिखती है। ऐसा कोई बदलाव जो आपके नतीजों के साथ हमारे काम को बदले, चुपचाप नहीं, घोषणा करके किया जाएगा।