गोपनीयता नीति
अंतिम अपडेट
DS160.io अमेरिकी DS-160 वीज़ा आवेदन तैयार करता है और दाखिल करता है। प्रत्येक आवेदक के लिए यह वह सब कुछ रखता है जो फ़ॉर्म पूछता है, जिसमें स्वास्थ्य और आपराधिक इतिहास से संबंधित उत्तर भी शामिल हैं। यह उन उत्तरों को एन्क्रिप्ट करता है, आवेदन दाखिल किए जाने पर उन्हें अमेरिकी विदेश विभाग (US Department of State) को भेजता है, और सत्यापित अनुरोध के 30 दिनों के भीतर उन्हें हटा देता है।
हम कौन हैं
DS160.io का संचालन Galah Enterprises Pty Ltd (ACN 682 927 779, ABN 61 682 927 779) द्वारा किया जाता है, जो न्यू साउथ वेल्स, ऑस्ट्रेलिया में पंजीकृत एक कंपनी है (“DS160.io”, “हम” (“we”))। हमारा डाक पता 26 Knight Street, Arncliffe NSW 2205, Australia है। इस नीति या व्यक्तिगत डेटा के बारे में प्रश्न privacy@ds160.io पर भेजे जाएँ।
यूरोपीय संघ या यूनाइटेड किंगडम में हमारा कोई प्रतिष्ठान नहीं है।
यह नीति किनके डेटा पर लागू होती है
- आगंतुक (Visitors): ds160.io ब्राउज़ करने वाला कोई भी व्यक्ति।
- खाता धारक (Account holders): वे लोग जिनके पास DS160.io लॉगिन है। कुछ के पास अपने या अपने परिवार के आवेदनों के लिए व्यक्तिगत खाता होता है; अन्य किसी व्यावसायिक ग्राहक के कर्मचारी होते हैं।
- व्यावसायिक ग्राहक (Business customers): वीज़ा एजेंसियाँ, इमिग्रेशन फर्में और इसी प्रकार के व्यवसाय, जो अपने ग्राहकों के लिए आवेदन तैयार करने हेतु व्यावसायिक वर्कस्पेस का उपयोग करते हैं।
- आवेदक (Applicants): वे लोग जिनका DS-160 DS160.io पर तैयार किया जाता है। आवेदक स्वयं खाता धारक, खाता धारक के परिवार का कोई सदस्य, या किसी व्यावसायिक ग्राहक का कोई ग्राहक हो सकता है, जो व्यवसाय द्वारा भेजे गए लिंक के माध्यम से अपने उत्तर भरता है।
हमारी भूमिका
| व्यक्तिगत डेटा | DS160.io की भूमिका | नियंत्रक |
|---|---|---|
| व्यक्तिगत खाते में आवेदक का डेटा | नियंत्रक (Controller) | DS160.io |
| व्यावसायिक वर्कस्पेस में आवेदक का डेटा | प्रोसेसर (Processor), व्यावसायिक ग्राहक के साथ हमारे डेटा प्रसंस्करण करार के अंतर्गत | व्यावसायिक ग्राहक |
| खाता धारकों का खाता और बिलिंग डेटा, जिसमें व्यावसायिक ग्राहकों के कर्मचारी शामिल हैं | नियंत्रक | DS160.io |
| आगंतुकों का उपयोग डेटा | नियंत्रक | DS160.io |
जहाँ DS160.io प्रोसेसर है, वहाँ हमारी सेवा की शर्तों का भाग बनने वाले डेटा प्रसंस्करण करार के अंतर्गत, व्यावसायिक ग्राहक यह तय करता है कि उसके ग्राहकों के डेटा का उपयोग क्यों और कैसे किया जाए, अपनी स्वयं की गोपनीयता सूचना प्रदान करता है, और अपने ग्राहकों के उनके डेटा से संबंधित अनुरोधों का उत्तर देता है। DS160.io केवल उसके निर्देशों पर कार्य करता है और उन अनुरोधों का उत्तर देने में उसकी सहायता करता है। इस नीति का शेष भाग नियंत्रक के रूप में DS160.io के स्वयं के प्रसंस्करण का वर्णन करता है, और प्रोसेसर के रूप में DS160.io जो करता है उसका भी, जहाँ वह समान है।
हम कौन-सा व्यक्तिगत डेटा प्रसंस्कृत करते हैं
आवेदकों के बारे में
आवेदन की सामग्री। वह सब कुछ जो DS-160 पूछता है: नाम, जन्म तिथि और जन्म स्थान, राष्ट्रीयता, राष्ट्रीय पहचान और पासपोर्ट का विवरण, पते, फ़ोन नंबर, ईमेल पते और सोशल मीडिया पहचानकर्ता; यात्रा योजनाएँ और यात्रा इतिहास; परिवार के सदस्य; शिक्षा और कार्य इतिहास; तथा सुरक्षा और पृष्ठभूमि संबंधी प्रश्नों के उत्तर।
विशेष श्रेणियाँ और आपराधिक डेटा। DS-160 के सुरक्षा और पृष्ठभूमि संबंधी प्रश्न स्वास्थ्य (उदाहरण के लिए संक्रामक रोग, मानसिक या शारीरिक विकार और नशीली दवाओं का उपयोग) तथा गिरफ़्तारियों, दोषसिद्धियों और अन्य आपराधिक मामलों के बारे में पूछते हैं। ये व्यक्तिगत डेटा की विशेष श्रेणियाँ (GDPR, अर्थात सामान्य डेटा संरक्षण विनियमन, का अनुच्छेद 9) और आपराधिक दोषसिद्धियों तथा अपराधों से संबंधित डेटा (GDPR का अनुच्छेद 10) हैं। DS160.io इनका प्रसंस्करण केवल इसलिए करता है क्योंकि अमेरिकी सरकार DS-160 पर इनकी अपेक्षा करती है, और केवल आवेदन पूरा करने और दाखिल करने के लिए।
फ़ोटो और दस्तावेज़। वीज़ा फ़ोटो और आवेदन के लिए अपलोड किए गए कोई भी दस्तावेज़। फ़ोटो की जाँच (चेहरे की स्थिति, आकार, खुली आँखें) DS160.io के अपने सर्वरों पर स्वचालित रूप से की जाती है; इसके लिए उसे किसी तृतीय पक्ष को नहीं भेजा जाता।
दाखिल करने के अभिलेख। जब कोई आवेदन CEAC पर दाखिल किया जाता है: Application ID, उसे पुनः प्राप्त करने के लिए प्रयुक्त सुरक्षा प्रश्न का उत्तर, पुष्टि पृष्ठ, और CEAC द्वारा वापस दिखाए गए प्रत्येक पृष्ठ की एक PDF।
संपादन इतिहास। किसी उत्तर में किया गया प्रत्येक परिवर्तन, उसे किसने और कब किया, ताकि खाता धारक या व्यावसायिक ग्राहक देख सके कि किसने क्या बदला।
खाता धारकों के बारे में
खाता डेटा। ईमेल पता, नाम यदि दिया गया हो, पासवर्ड हैश या Google साइन-इन पहचान, भाषा, और बहु-कारक प्रमाणीकरण की सेटिंग्स। व्यावसायिक ग्राहकों के कर्मचारियों के लिए, उनका वर्कस्पेस, भूमिका तथा वर्कस्पेस का नाम और ब्रांडिंग भी।
भुगतान डेटा। जब कोई खाता धारक भुगतान करता है, तो कार्ड या खाते का विवरण Stripe या PayPal संभालता है। DS160.io को केवल भुगतान संदर्भ, राशि और उसकी स्थिति प्राप्त होती है, और वह कभी भी पूरा कार्ड नंबर नहीं देखता।
सहायता संदेश। कोई खाता धारक हमें ईमेल द्वारा जो भेजता है।
आगंतुकों और खाता धारकों के बारे में
उपयोग डेटा। देखे गए पृष्ठ, क्लिक, ब्राउज़र और डिवाइस, IP पता, और उत्पाद के भीतर की घटनाएँ। “एनालिटिक्स और कुकीज़” देखें।
लॉग। DS160.io की प्रणालियों ने क्या किया, इसके तकनीकी अभिलेख, जैसे त्रुटियाँ और दाखिल करने की किसी प्रक्रिया के चरण।
प्रयोजन और विधिक आधार
ये उस प्रसंस्करण के विधिक आधार हैं जो DS160.io नियंत्रक के रूप में करता है। व्यावसायिक वर्कस्पेस में आवेदक के डेटा के लिए, विधिक आधार व्यावसायिक ग्राहक निर्धारित करता है।
| प्रयोजन | विधिक आधार |
|---|---|
| खाते प्रदान करना, आवेदन की सामग्री संग्रहीत करना, CEAC पर DS-160 दाखिल करना और पुष्टि लौटाना | खाता धारक के साथ अनुबंध का निष्पादन (अनुच्छेद 6(1)(b)) |
| किसी अन्य भाषा में लिखे गए मुक्त-पाठ उत्तरों का अंग्रेज़ी में अनुवाद करना | खाता धारक के साथ अनुबंध का निष्पादन |
| भुगतान लेना और लेखा अभिलेख रखना | अनुबंध का निष्पादन; कर अभिलेखों के लिए विधिक दायित्व (अनुच्छेद 6(1)(c)) |
| सेवा को सुरक्षित रखना, विफल दाखिलों की जाँच करना, दुरुपयोग रोकना | एक विश्वसनीय और सुरक्षित सेवा चलाने में वैध हित (अनुच्छेद 6(1)(f)) |
| सेवा ईमेल (सक्रियण, अनुस्मारक, दाखिल करने की स्थिति) | खाता धारक के साथ अनुबंध का निष्पादन |
प्राप्तकर्ता
अमेरिकी विदेश विभाग। DS-160 दाखिल करने का अर्थ है आवेदक के उत्तरों को CEAC पर दर्ज करना, जिसका संचालन अमेरिकी सरकार करती है। उन्हें वहाँ भेजना ही अनुरोधित सेवा है।
व्यावसायिक ग्राहक, उसके वर्कस्पेस में आवेदक के डेटा के लिए। उसके कर्मचारी आवेदक के उत्तर और दाखिल करने के अभिलेख देखते और संपादित करते हैं।
हमारे अपने सर्वर। DS160.io का डेटाबेस, एप्लिकेशन सर्वर और वह ब्राउज़र जो प्रत्येक DS-160 को भरता और दाखिल करता है, उसके अपने हार्डवेयर पर, संयुक्त राज्य अमेरिका में उसके मुख्यालय के परिसर में चलते हैं। कोई भी होस्टिंग प्रदाता यह डेटा नहीं रखता; नीचे दिए गए प्रदाता ही एकमात्र तृतीय पक्ष हैं जो DS160.io के लिए इसका प्रसंस्करण करते हैं।
सेवा प्रदाता (उप-प्रोसेसर), प्रत्येक केवल सूचीबद्ध प्रयोजन के लिए:
| प्रदाता | यह हमारे लिए क्या करता है | संबंधित डेटा | स्थान |
|---|---|---|---|
| Backblaze (B2) | फ़ोटो, दस्तावेज़ और दाखिल आवेदनों की PDF संग्रहीत करता है | फ़ोटो, दस्तावेज़, दाखिल करने के अभिलेख | संयुक्त राज्य अमेरिका |
| Google (Gemini API) | मुक्त-पाठ उत्तरों का अंग्रेज़ी में अनुवाद करता है | अनूदित किए जा रहे उत्तर का पाठ | संयुक्त राज्य अमेरिका |
| Google (Sign-In) | खाता धारकों को Google खाते से साइन इन करने देता है | Google पहचान और ईमेल | संयुक्त राज्य अमेरिका |
| Google (Analytics, Ads) | वेबसाइट एनालिटिक्स और विज्ञापन रूपांतरण मापन | उपयोग डेटा, कुकी पहचानकर्ता | संयुक्त राज्य अमेरिका |
| PostHog | उत्पाद एनालिटिक्स | उपयोग डेटा, उत्पाद के भीतर की घटनाएँ | संयुक्त राज्य अमेरिका |
| Stripe | व्यावसायिक वर्कस्पेस के लिए कार्ड भुगतान | भुगतान विवरण, वर्कस्पेस संदर्भ | संयुक्त राज्य अमेरिका |
| PayPal | व्यक्तिगत ऑर्डरों के लिए भुगतान | भुगतान विवरण | संयुक्त राज्य अमेरिका |
| Amazon Web Services (SES) | ईमेल भेजना | प्राप्तकर्ता का ईमेल पता, ईमेल की सामग्री | संयुक्त राज्य अमेरिका |
कोई व्यावसायिक ग्राहक हमारे मेल सर्वर के बजाय अपने स्वयं के मेल सर्वर से ईमेल भेज सकता है; उस सर्वर का चयन और नियंत्रण व्यावसायिक ग्राहक करता है।
DS160.io व्यक्तिगत डेटा नहीं बेचता, और उसे विज्ञापनदाताओं या भर्तीकर्ताओं के साथ साझा नहीं करता। जहाँ कानून अपेक्षा करता है, वहाँ, या उसके व्यवसाय के किसी क्रेता को, जो इस नीति से बाध्य होगा, वह डेटा प्रकट कर सकता है।
अंतरराष्ट्रीय अंतरण
DS160.io के सर्वर संयुक्त राज्य अमेरिका में उसके मुख्यालय में हैं, इसलिए वह जिस भी व्यक्तिगत डेटा का प्रसंस्करण करता है, वह सब वहीं संग्रहीत और प्रसंस्कृत होता है। अमेरिका के बाहर से DS160.io को भेजा गया व्यक्तिगत डेटा अमेरिका में अंतरित होता है, और वहाँ भी उस पर GDPR और यह नीति लागू रहती है।
CEAC संयुक्त राज्य अमेरिका में है। आवेदक के उत्तरों को वहाँ अंतरित करना अनुरोधित सेवा के निष्पादन के लिए आवश्यक है (GDPR का अनुच्छेद 49(1)(b))।
ऊपर सूचीबद्ध सेवा प्रदाता भी संयुक्त राज्य अमेरिका में हैं:
- Backblaze, Google, PostHog, Stripe और Amazon Web Services EU-U.S. Data Privacy Framework (यूरोपीय संघ-अमेरिका डेटा गोपनीयता ढाँचा) और उसके UK Extension के अंतर्गत प्रमाणित हैं, और DS160.io उस प्रमाणन पर निर्भर करता है। उनकी डेटा प्रसंस्करण शर्तों में यूरोपीय आयोग के मानक संविदात्मक खंड (Standard Contractual Clauses, SCC) भी शामिल हैं।
- PayPal अपने Binding Corporate Rules (बाध्यकारी कॉर्पोरेट नियम) और मानक संविदात्मक खंडों के अंतर्गत डेटा अंतरित करता है। जब कोई खाता धारक PayPal से भुगतान करता है, तो PayPal तय करता है कि वह भुगतान विवरण का उपयोग कैसे करे और अपने स्वयं के गोपनीयता कथन के अंतर्गत उनके लिए उत्तरदायी होता है।
प्रतिधारण
- खाते, आवेदन की सामग्री, संपादन इतिहास, फ़ोटो, दस्तावेज़ और दाखिल करने के अभिलेख तब तक रखे जाते हैं जब तक खाता या व्यावसायिक वर्कस्पेस अस्तित्व में है। privacy@ds160.io को अनुरोध किए जाने पर, या किसी व्यावसायिक ग्राहक के उसके वर्कस्पेस के लिए निर्देश पर, DS160.io उन्हें 30 दिनों के भीतर हटा देता है।
- डेटाबेस के बैकअप, और संग्रहीत फ़ोटो, दस्तावेज़ों और PDF के पुराने संस्करण, 7 दिनों तक रखे जाते हैं, इसलिए हटाया गया डेटा हटाए जाने के 7 दिन बाद उनसे निकल जाता है।
- विफल दाखिला प्रक्रिया के निदान अभिलेख (लॉग, स्क्रीनशॉट, भरा जा रहा पृष्ठ): 90 दिनों के बाद हटा दिए जाते हैं।
- प्रत्येक दाखिला प्रक्रिया के चरणों के अभिलेख: 30 दिनों के बाद हटा दिए जाते हैं।
- मैनुअल समीक्षा के लिए कतार में रखी फ़ोटो: 14 दिनों के बाद उस कतार से हटा दी जाती हैं।
- दाखिल करने के दौरान दिखाए गए सुरक्षा कोड (कैप्चा): 10 मिनट के बाद हटा दिए जाते हैं।
- साइन-इन सत्र: एक साइन-इन एक बार में 4 घंटे तक चलता है। उसे नवीनीकृत करने वाला टोकन 30 दिनों तक चलता है और समाप्त होने पर हटा दिया जाता है।
- भुगतान और लेखा अभिलेख: तब तक रखे जाते हैं जब तक कर कानून अपेक्षा करता है, जिसमें खाता हटाए जाने के बाद की अवधि भी शामिल है।
एनालिटिक्स और कुकीज़
DS160.io साइन-इन किए हुए खाता धारक का सत्र, भाषा और इंटरफ़ेस की कुछ प्राथमिकताएँ ब्राउज़र के लोकल स्टोरेज में रखता है। साइट को कार्य करने के लिए इनकी आवश्यकता होती है।
यह इनका भी उपयोग करता है:
- Google Analytics और Google Ads, विज़िट मापने और यह जानने के लिए कि कौन-से विज्ञापन साइन-अप तक ले जाते हैं। ये
_gaऔर_gcl_auजैसी कुकीज़ सेट करते हैं। - PostHog, यह समझने के लिए कि उत्पाद का उपयोग कैसे किया जाता है। यह
ph_से आरंभ होने वाली एक कुकी सेट करता है।
सुरक्षा
DS-160 फ़ॉर्म का समस्त डेटा विश्राम अवस्था में (at rest) एन्क्रिप्ट किया जाता है, AES-256 के साथ। इसमें आवेदन का प्रत्येक उत्तर शामिल है, जिसमें सुरक्षा और पृष्ठभूमि संबंधी प्रश्न और पासपोर्ट विवरण, उन उत्तरों का संपादन इतिहास, हर बार दाखिल किए जाने पर बनाई गई आवेदन की प्रति, CEAC Application ID और सुरक्षा उत्तर, तथा दाखिला प्रक्रिया के निदान अभिलेख शामिल हैं। एन्क्रिप्शन कुंजी डेटाबेस और उसके बैकअप से अलग रखी जाती है, इसलिए उसके बिना इनमें से किसी को भी पढ़ा नहीं जा सकता। केवल आवेदक का नाम, जन्म का वर्ष, कांसुलेट और वीज़ा प्रकार पठनीय रहते हैं, क्योंकि आवेदन सूचियाँ उन्हें दिखाती हैं।
DS160.io तक का समस्त ट्रैफ़िक HTTPS पर जाता है। मेल सर्वर पासवर्ड, प्रमाणीकरण कुंजियाँ और इसी प्रकार के गुप्त डेटा एन्क्रिप्ट करके संग्रहीत किए जाते हैं।
केवल DS160.io की टीम उत्पादन प्रणालियों तक पहुँच सकती है, और प्रत्येक खाता बहु-कारक प्रमाणीकरण चालू कर सकता है। DS160.io के कर्मचारी किसी खाते या आवेदन को तब तक नहीं खोलते जब तक खाता धारक ने, या व्यावसायिक वर्कस्पेस के मामले में व्यावसायिक ग्राहक ने, किसी समस्या की जाँच करने की अनुमति न दी हो। इसके अतिरिक्त, कर्मचारी केवल विफल दाखिला प्रक्रियाओं के निदान अभिलेख देखते हैं, ताकि कारण का पता लगाकर उसे ठीक किया जा सके। जाँच के दौरान कर्मचारियों द्वारा किया गया कोई भी परिवर्तन DS160.io द्वारा किए गए परिवर्तन के रूप में दर्ज होता है, खाता धारक द्वारा नहीं।
DS160.io की परिचालन चेतावनियाँ उसके अपने सर्वरों पर चलती हैं, किसी तृतीय-पक्ष चैट सेवा पर नहीं, और खातों तथा आवेदनों को आंतरिक ID से पहचानती हैं, कभी भी नाम या ईमेल पते से नहीं।
डेटा विषयों के अधिकार
GDPR के अंतर्गत, डेटा विषयों (data subjects) को यह अधिकार है कि वे:
- अपने व्यक्तिगत डेटा तक पहुँच प्राप्त करें और उसकी एक प्रति प्राप्त करें;
- यदि वह गलत है तो उसे सुधरवाएँ (खाता धारक इसका अधिकांश भाग स्वयं संपादित कर सकते हैं);
- उसे हटवाएँ;
- उसके प्रसंस्करण को प्रतिबंधित करें या उस पर आपत्ति करें;
- उसे पोर्टेबल, मशीन-पठनीय प्रारूप में प्राप्त करें।
DS160.io द्वारा नियंत्रित डेटा से संबंधित अनुरोध privacy@ds160.io पर भेजे जाएँ, जहाँ खाता हो वहाँ खाते पर दर्ज ईमेल पते से, और उनका उत्तर एक महीने के भीतर दिया जाता है। जिन आवेदकों का आवेदन किसी व्यावसायिक ग्राहक ने तैयार किया है, उन्हें अपना अनुरोध उस व्यवसाय को भेजना चाहिए, जो नियंत्रक है; DS160.io उत्तर देने में उसकी सहायता करता है।
DS-160 दाखिल हो जाने के बाद, अमेरिकी विदेश विभाग के पास रखी प्रति DS160.io के नियंत्रण से बाहर होती है। DS160.io पर डेटा हटाने से वह CEAC से नहीं हटता।
डेटा विषयों को किसी डेटा संरक्षण प्राधिकरण के पास शिकायत करने का भी अधिकार है, विशेष रूप से उस प्राधिकरण के पास जहाँ वे रहते या काम करते हैं।
बच्चे
DS160.io खाते वयस्कों के लिए हैं। आवेदक बच्चे हो सकते हैं: माता-पिता, अभिभावक या अधिकृत व्यावसायिक ग्राहक किसी बच्चे के लिए DS-160 तैयार कर सकता है, और तब बच्चे का डेटा प्रदान करने के लिए वही उत्तरदायी होता है।
इस नीति में परिवर्तन
जब यह नीति बदलती है, तो शीर्ष पर दी गई तिथि भी उसके साथ बदलती है। यदि कोई परिवर्तन पहले से एकत्र किए गए डेटा के उपयोग के तरीके को प्रभावित करता है, तो DS160.io उसके प्रभावी होने से पहले खाता धारकों को ईमेल करता है।
संपर्क
इस नीति या व्यक्तिगत डेटा के बारे में प्रश्न: privacy@ds160.io।