प्राइवेसी नीति

1 परिचय

Fango निजी इस्तेमाल के लिए खाने की बर्बादी पर नज़र रखने वाला ऐप है, जो iOS और Android पर उपलब्ध है। यह प्राइवेसी नीति बताती है कि हम कौन-सी जानकारी जमा करते हैं, उसका उपयोग कैसे करते हैं, और आपके डेटा से जुड़े आपके अधिकार क्या हैं।

यह नीति GDPR (यूरोपीय संघ का सामान्य डेटा संरक्षण विनियमन, General Data Protection Regulation) के अनुच्छेद 13 और 14 के तहत दी गई एक सूचना है; यह बताती है कि हम डेटा को कैसे प्रोसेस करते हैं, लेकिन ख़ुद उस प्रोसेसिंग का कानूनी आधार नहीं है (कानूनी आधार सेक्शन 9 में दिए गए हैं)। जहां कोई सुविधा आपकी सहमति पर निर्भर है, वहां वह सहमति ऐप में अलग से मांगी जाती है।

डेटा नियंत्रक (GDPR अनुच्छेद 4(7)):

Valtteri Isokorpi
Anolinintie 6
28400 Ulvila
Finland
support@fango.fi

Fango को यूरोपीय संघ में स्थित एक व्यक्ति (natural person) चलाता है; इसलिए कोई अलग कंपनी, डेटा संरक्षण अधिकारी (DPO) या EU प्रतिनिधि लागू नहीं होता।

क्या हमें डेटा देना ज़रूरी है? नहीं। Fango को व्यक्तिगत डेटा देना न तो कानूनी ज़रूरत है और न ही किसी अनुबंध की, और आप इसे देने के लिए बाध्य नहीं हैं। Fango बिना अकाउंट के काम करता है, और नीचे बताई गई हर वह प्रोसेसिंग जिसमें डेटा आपके डिवाइस से बाहर जाता है, वैकल्पिक है — बिल स्कैनिंग, समस्या रिपोर्ट फ़ॉर्म, एनालिटिक्स, फ़ैमिली शेयरिंग और दोस्तों को इनवाइट, इनमें से हर एक को आप ख़ुद चालू करते हैं। डेटा न देने का बस इतना असर होता है कि संबंधित सुविधा उपलब्ध नहीं होती; ऐप ख़ुद काम करता रहता है।

2 हम कौन-सा डेटा जमा करते हैं

Fango के लिए रजिस्ट्रेशन या यूज़र अकाउंट ज़रूरी नहीं है। आप जो भी डेटा दर्ज करते हैं — उत्पाद, कीमतें, रिमाइंडर की तारीख़ें, आपकी शॉपिंग लिस्ट, सेटिंग्स और आंकड़े — वह डिफ़ॉल्ट रूप से केवल आपके डिवाइस पर लोकल रूप से सेव होता है और बाहरी सर्वरों पर नहीं भेजा जाता। जब तक आप फ़ैमिली शेयरिंग इस्तेमाल नहीं करते, डेवलपर की आपके आइटम, सेटिंग्स या आंकड़ों तक कोई पहुंच नहीं होती। एकमात्र अपवाद फ़ैमिली शेयरिंग है (सेक्शन 5), जो फ़ैमिली ग्रुप के साझा उत्पाद, लिस्ट और मार्किंग लॉग तब तक सर्वर पर सेव करती है जब तक ग्रुप मौजूद है — और वह भी तभी, जब आप ख़ुद कोई फ़ैमिली ग्रुप बनाते हैं या उसमें शामिल होते हैं।

होम स्क्रीन विजेट। अगर आप Fango विजेट को अपनी होम स्क्रीन पर जोड़ते हैं, तो वह आपके उत्पादों का रिमाइंडर डेटा सीधे उस लोकल स्टोरेज से पढ़ता है जो आपके डिवाइस पर ऐप और उसके विजेट के बीच साझा है (iOS पर App Group कंटेनर, और Android पर SharedPreferences)। कोई भी डेटा बाहरी सर्वरों पर कॉपी नहीं किया जाता। विजेट केवल वही जानकारी दिखाता है जो पहले से आपके डिवाइस पर सेव है।

वे स्थितियां जिनमें आपकी दी हुई सामग्री आपके डिवाइस से बाहर जाती है, ये हैं: वैकल्पिक बिल स्कैनिंग (सेक्शन 3), वैकल्पिक ‘समस्या बताएं’ फ़ॉर्म (सेक्शन 4), और वैकल्पिक फ़ैमिली शेयरिंग (सेक्शन 5)। बिल स्कैनिंग सामग्री को एक रिले से गुज़ारती है पर उसे रखती नहीं, फ़ैमिली शेयरिंग उसे सेव करती है, और ‘समस्या बताएं’ में केवल वही रहता है जो सपोर्ट इनबॉक्स तक पहुंचता है, जिसमें आपका ख़ुद अटैच किया गया बिल भी शामिल है। सर्विस चलाने के लिए ज़रूरी न्यूनतम तकनीकी और छद्मनामित डेटा का आना-जाना (सब्सक्रिप्शन की स्थिति, दुरुपयोग रोकने वाले काउंटर, सहमति से चालू एनालिटिक्स, ‘दोस्त को इनवाइट करें’, मुद्रा दरें) सेक्शन 3, 4 और 7 में बताया गया है।

आपके बारे में अप्रत्यक्ष रूप से मिलने वाला डेटा (GDPR अनुच्छेद 14)। अगर आप Fango सब्सक्रिप्शन ख़रीदते हैं, तो Apple App Store या Google Play लेन-देन की पुष्टि RevenueCat (हमारा सब्सक्रिप्शन मैनेजर — सेक्शन 7 देखें) को भेजता है, और RevenueCat ऐप को सब्सक्रिप्शन की न्यूनतम स्थिति लौटाता है (सक्रिय / निष्क्रिय, एंटाइटलमेंट पहचानकर्ता “pro”, और एक RevenueCat App User ID, जिससे अपने-आप में कुछ पता नहीं चलता)। Fango को Apple, Google या RevenueCat से आपका नाम, ईमेल, भुगतान का साधन, बिलिंग पता या कोई अन्य व्यक्तिगत जानकारी नहीं मिलती। इस अप्रत्यक्ष डेटा का स्रोत वह स्टोर लेन-देन है जो आपने ख़ुद शुरू किया; कानूनी आधार अनुबंध का पालन है (अनुच्छेद 6(1)(b), सेक्शन 9)। ‘दोस्त को इनवाइट करें’ सुविधा (सेक्शन 7) में, जब इनवाइट किया गया यूज़र कोड इस्तेमाल करता है, तब भी यही न्यूनतम डेटा प्रवाह लागू होता है।

3 बिल स्कैनिंग (वैकल्पिक)

Fango में एक वैकल्पिक बिल (रसीद) स्कैनिंग सुविधा है, जो बिल की इमेज या PDF से खाने-पीने के उत्पाद पहचानने के लिए AI का उपयोग करती है। जब आप स्कैन करते हैं, तो पहचान के लिए बिल की सामग्री थोड़ी देर के लिए आपके डिवाइस से बाहर जाती है; बाकी स्थितियां, जिनमें सामग्री डिवाइस से बाहर जाती है, सेक्शन 2 में दी गई हैं।

क्या भेजा जाता है। जब आप स्कैन करते हैं, तो इमेज फ़ाइल (या टेक्स्ट-आधारित PDF से निकाला गया टेक्स्ट) उत्पाद पहचानने के लिए हमारी रिले सेवा (Supabase Edge Function) के ज़रिए थोड़ी देर के लिए एक AI प्रोवाइडर (Anthropic Claude) को भेजी जाती है। सामग्री इन दोनों में से किसी भी सर्वर पर स्थायी रूप से सेव नहीं होती, और अनुरोध के साथ कोई नाम, यूज़र अकाउंट या आपकी पहचान बताने वाली कोई अन्य जानकारी नहीं जोड़ी जाती।

क्या वापस आता है। AI पहचाने गए खाने-पीने के उत्पादों की एक व्यवस्थित लिस्ट लौटाता है। यह लिस्ट केवल आपके डिवाइस पर सेव होती है — या, अगर आप किसी फ़ैमिली ग्रुप में हैं, तो फ़ैमिली ग्रुप के साझा फ्रिज में (सेक्शन 5)। स्कैन पूरा होने के बाद Fango बिल की सामग्री अपने पास नहीं रखता।

दुरुपयोग की रोकथाम। AI सेवा के ज़रूरत से ज़्यादा इस्तेमाल को रोकने के लिए, पहली बार स्कैन करने पर ऐप हर इंस्टॉलेशन के लिए एक रैंडम पहचानकर्ता रजिस्टर करता है, और उपयोग के काउंटर (प्रति घंटा, प्रति दिन और प्रति माह) उससे जुड़े होते हैं। यह पहचानकर्ता रिले सेवा पर रैंडम तरीके से बनाया जाता है; इसमें डिवाइस या यूज़र की कोई जानकारी नहीं होती, यह आपके फ़ोन की किसी भी जानकारी से नहीं बनता, और इसे कभी भी बिल की सामग्री के साथ सेव नहीं किया जाता। इसका मकसद यह है कि हर इंस्टॉलेशन का उपयोग अलग से गिना जा सके — इसका मतलब यह भी है कि दुरुपयोग करने वाले किसी एक इंस्टॉलेशन को ब्लॉक किया जा सकता है, बिना उसी नेटवर्क पर मौजूद किसी और पर असर डाले। अगर आप कभी स्कैनिंग इस्तेमाल नहीं करते, तो ऐसा कोई पहचानकर्ता कभी बनता ही नहीं। इसके साथ-साथ IP पते पर आधारित एक मोटी ऊपरी सीमा भी लागू रहती है। GDPR के तहत IP पते को व्यक्तिगत डेटा माना जाता है (रिसाइटल 26); इसे केवल रेट लिमिट की गिनती के लिए प्रोसेस किया जाता है, यह इंस्टॉलेशन पहचानकर्ता या किसी अन्य पहचानकर्ता से नहीं जोड़ा जाता, और किसी और काम में इस्तेमाल नहीं होता। रिकॉर्ड तय समय पर चलने वाले एक क्लीनअप जॉब से अपने-आप डिलीट हो जाते हैं: काउंटर लगभग 35 दिनों के भीतर, और इंस्टॉलेशन पहचानकर्ता 400 दिनों के भीतर (सेक्शन 14 देखें)।

विशेष श्रेणियों का डेटा (GDPR अनुच्छेद 9)। बिल की सामग्री में संयोग से ऐसी जानकारी हो सकती है जो अकेले या दूसरी जानकारी के साथ मिलकर “व्यक्तिगत डेटा की विशेष श्रेणियां” बन सकती है — उदाहरण के लिए, दवाओं के नाम वाला केमिस्ट का बिल, जिससे सेहत से जुड़ी जानकारी पता चल सकती है, या किसी धार्मिक खान-पान से जुड़े आइटम वाला बिल। Fango जान-बूझकर ऐसी श्रेणियों को प्रोसेस नहीं करता और आपके डेटा से इनका अनुमान नहीं लगाता। AI बिल पर पहचाने गए आइटम की एक व्यवस्थित लिस्ट लौटाता है (जिसमें खाने के अलावा दूसरे आइटम भी हो सकते हैं, जैसे टॉयलेटरीज़ — इन्हें अलग से मार्क किया जाता है ताकि वे आपके फ्रिज के रिमाइंडर में न जुड़ें)। पहचान के बाद बिल की सामग्री नहीं रखी जाती: रिले सेवा इमेज या निकाला गया टेक्स्ट सेव नहीं करती, और केवल उत्पादों की व्यवस्थित लिस्ट आपके डिवाइस तक पहुंचाई जाती है।

अनाम टेलीमेट्री। रिले सेवा अपने सर्वर पर स्कैन से जुड़े अनाम इवेंट लॉग लिखती है: स्कैन देश की सेटिंग, इस्तेमाल किया गया मोड, पहचाने गए उत्पादों की संख्या, बिल किस देश का पहचाना गया, और पहचान का परिणाम (उत्पाद पहचाने गए, किराने के बिल से कोई उत्पाद पढ़ा नहीं जा सका, इमेज किराने का बिल नहीं थी, या किसी तकनीकी कारण से पहचान विफल रही)। इन्हें हर देश और परिणाम के हिसाब से दैनिक गिनती में जोड़ा जाता है, ताकि हम देख सकें कि किन देशों में बिल की पहचान को बेहतर बनाने की ज़रूरत है। इस टेलीमेट्री में बिल की कोई सामग्री, दुकान का नाम, दिन का समय, यूज़र या इंस्टॉलेशन पहचानकर्ता या IP पता दर्ज नहीं होता, और कुल आंकड़ों में से किसी एक स्कैन को अलग से नहीं पहचाना जा सकता।

Anthropic की नीति। Anthropic, API के ज़रिए भेजे गए डेटा का उपयोग अपने मॉडल को ट्रेन करने के लिए नहीं करता। ज़्यादा जानकारी के लिए देखें: Anthropic की प्राइवेसी नीति।

4 समस्या बताएं (वैकल्पिक)

Fango में ऐप के अंदर एक वैकल्पिक फ़ीडबैक फ़ॉर्म है (सेटिंग्स → ‘समस्या बताएं’, और बिल स्कैनिंग की एरर और समीक्षा स्क्रीन)। इससे आप किसी बग के बारे में बता सकते हैं या डेवलपमेंट टीम को फ़ीडबैक भेज सकते हैं। भेजने की शुरुआत हमेशा आप ख़ुद करते हैं — कुछ भी अपने-आप नहीं भेजा जाता।

क्या भेजा जाता है। केवल वही जो आप फ़ॉर्म में टाइप करते हैं, साथ में अनाम तकनीकी मेटाडेटा: ऐप वर्ज़न, ऑपरेटिंग सिस्टम, डिवाइस मॉडल (जैसे iPhone16,2 (iPhone) या samsung SM-G998B — डिवाइस का मूल हार्डवेयर पहचानकर्ता, आपके डिवाइस का निजी नाम नहीं), भाषा और देश की सेटिंग्स, मुद्रा सेटिंग, और उसी सेशन में आपके सबसे हाल के बिल स्कैन के अनाम मेट्रिक्स (इस्तेमाल किया गया मोड, मिलीसेकंड में अवधि, पहचाने गए उत्पादों की संख्या, और कोई एरर कोड)। उस स्कैन का समय और बिल पर पहचाना गया देश भी इसके साथ जाते हैं। भेजने से पहले फ़ॉर्म आपको ठीक-ठीक दिखाता है कि क्या भेजा जाएगा।

क्या नहीं भेजा जाता। आपके फ्रिज के आइटम, आंकड़े, ईमेल, नाम, संदेश के हिस्से के रूप में IP पता, या ऐसी कोई भी जानकारी जिससे आपकी पहचान हो सके। इस फ़ॉर्म के ज़रिए आपके डिवाइस से बाहर जा सकने वाली एकमात्र फ़ाइल वह बिल है जिसे आप ख़ुद अटैच करते हैं, जिसके बारे में नीचे बताया गया है।

बिल अटैच करना (वैकल्पिक)। स्कैनिंग से जुड़ी रिपोर्ट में फ़ॉर्म आपको पिछली बार स्कैन किया गया बिल अटैच करने का विकल्प देता है — वह इमेज या PDF जिससे आपने स्कैन किया था, आपके फ्रिज का डेटा नहीं। यह केवल तभी अटैच होता है जब आप ख़ुद बिल अटैच करने वाला अलग बटन दबाते हैं (जैसे बिल जोड़ें); वह बटन दबाए बिना कोई फ़ाइल नहीं भेजी जाती, और दूसरी तरह की किसी भी रिपोर्ट में यह विकल्प होता ही नहीं। अटैच किया गया बिल केवल एक ही काम के लिए इस्तेमाल होता है: Fango के स्कैनर को उस दुकान के बिल का फ़ॉर्मैट पढ़ना सिखाना। इस काम में उसे उसी AI पहचान सेवा से प्रोसेस करना शामिल है जिसका उपयोग सामान्य स्कैन करता है (Anthropic Claude, सेक्शन 3), ताकि हम देख सकें कि वह क्यों नहीं पहचाना गया, और उसे टेस्ट के नमूने के रूप में रखना भी, ताकि किया गया सुधार बाद में चुपचाप टूट न जाए। इसे कभी भी तीसरे पक्षों के साथ साझा नहीं किया जाता, कभी विज्ञापन के लिए इस्तेमाल नहीं किया जाता, और कभी आपके बारे में किसी दूसरे डेटा के साथ नहीं जोड़ा जाता — रिपोर्ट में कोई नाम, अकाउंट या डिवाइस पहचानकर्ता नहीं होता, इसलिए इसे किसी और जानकारी से जोड़ने का सवाल ही नहीं उठता।

अटैच किया गया बिल कितने समय तक रखा जाता है। हम उसे तब तक रखते हैं जब तक बिल स्कैनिंग को विकसित करने और टेस्ट करने के लिए उसकी ज़रूरत होती है; जो बिल इस काम में मददगार नहीं निकलता, उसे प्रोसेसिंग के बाद डिलीट कर दिया जाता है। किसी बिल को अपनी टेस्ट सामग्री में शामिल करने से पहले हम उस पर दिखने वाले व्यक्तिगत विवरण हटा देते हैं, जैसे ऑनलाइन ऑर्डर के बिल पर छपा नाम या पता। क्योंकि रिपोर्ट अनाम होती है, हम बाद में किसी बिल को आपसे नहीं जोड़ सकते — अगर आप अपना भेजा हुआ बिल डिलीट करवाना चाहते हैं, तो support@fango.fi पर उसका विवरण (दुकान, तारीख़, कुल राशि) भेजें, और हम उसे हटा देंगे।

यह कैसे पहुंचाया जाता है। आपका संदेश थोड़ी देर के लिए हमारी रिले सेवा (Supabase Edge Function) से होकर गुज़रता है और एक ट्रांज़ैक्शनल ईमेल प्रोवाइडर (Resend) के ज़रिए support@fango.fi पर डेवलपमेंट टीम को ईमेल के रूप में भेजा जाता है। रिले सेवा रिपोर्ट की सामग्री किसी डेटाबेस में सेव नहीं करती; वह केवल पहुंचाए गए ईमेल में, और थोड़े समय के लिए रिले प्लेटफ़ॉर्म के कुछ ही समय तक रहने वाले ऑपरेशनल लॉग में मौजूद रहती है। सपोर्ट मेलबॉक्स फ़िनलैंड में Hostingpalvelu Oy होस्ट करती है, इसलिए पहुंचाई गई रिपोर्ट और कोई भी अटैच किया गया बिल EU के अंदर ही रहते हैं।

दुरुपयोग की रोकथाम। स्पैम रोकने के लिए रिले सेवा IP पते पर आधारित एक छद्मनामित प्रति घंटा काउंटर रखती है (5 संदेश/घंटा)। काउंटर में केवल IP और घंटे का स्लॉट दर्ज होता है, उसे तय समय पर चलने वाला क्लीनअप जॉब अपने-आप डिलीट कर देता है (सेक्शन 14 देखें), और रिपोर्ट की सामग्री ख़ुद किसी डेटाबेस में सेव नहीं होती। GDPR के तहत इस पर भी वही बातें लागू होती हैं जो सेक्शन 3 में बताई गई हैं।

लोकल एरर लॉग। ऊपर बताए गए मेटाडेटा के अलावा, Fango हाल की ज़्यादा से ज़्यादा 20 तकनीकी एरर घटनाएं आपके डिवाइस पर लोकल रूप से सेव करता है (जैसे बैकग्राउंड में ऐप का अचानक बंद हो जाना)। हर घटना में होता है: एरर का प्रकार, ऐप के कोड में उसकी जगह, समय, वह स्क्रीन जिस पर वह हुई, स्क्रीन की चौड़ाई और टेक्स्ट साइज़ की सेटिंग — कोई व्यक्तिगत डेटा नहीं, बिल की कोई सामग्री नहीं, फ्रिज का कोई आइटम नहीं, यूज़र से जुड़ा कोई पहचानकर्ता नहीं। यह लोकल लॉग कभी भी अपने-आप नहीं भेजा जाता। यह केवल तब जोड़ा जाता है जब आप ख़ुद ‘समस्या बताएं’ संदेश भेजना चुनते हैं, और केवल उसी संदेश के हिस्से के रूप में। ‘भेजें’ दबाने से पहले फ़ॉर्म दिखाता है कि कितनी एरर जोड़ी जाएंगी, और उसमें ‘देखें क्या भेजा जा रहा है’ लिंक होता है, जिससे आप उसकी पूरी सामग्री देख सकते हैं। सफलतापूर्वक भेजे जाने के बाद लोकल एरर लॉग आपके डिवाइस से तुरंत मिटा दिया जाता है। अगर आप कभी ‘समस्या बताएं’ संदेश नहीं भेजते, तो एरर लॉग हम तक कभी पहुंचता ही नहीं।

5 फ़ैमिली शेयरिंग (वैकल्पिक)

Fango से आप अपना फ्रिज, अपनी शॉपिंग लिस्ट और बचाए गए/फेंके गए खाने के आंकड़े एक फ़ैमिली ग्रुप के साथ साझा कर सकते हैं, जिसमें ज़्यादा से ज़्यादा चार लोग हो सकते हैं। यह सुविधा डिफ़ॉल्ट रूप से बंद है, और इसके बिना भी ऐप पूरी तरह काम करता है। यह एकमात्र सुविधा है जिसमें आपके खाने के डेटा का कुछ हिस्सा सर्वर से सिर्फ़ गुज़रता नहीं, बल्कि सर्वर पर सेव होता है — इस नीति में बाकी हर जगह सर्वर या तो एक रिले है या एक काउंटर। इसीलिए सेक्शन 2 का वादा “डिफ़ॉल्ट रूप से” के साथ लिखा गया है: फ़ैमिली ग्रुप बनाना या उसमें शामिल होना ही वह सोचा-समझा कदम है जो इसे बदलता है।

इससे बनने वाली पहचान। फ़ैमिली ग्रुप में शामिल होने पर एक अनाम साइन-इन बनता है, जिसमें कोई ईमेल पता, कोई पासवर्ड, कोई नाम और किसी भी तरह की कोई प्रोफ़ाइल नहीं होती। इसकी लॉग-इन जानकारी आपके डिवाइस के सुरक्षित कीचेन में रखी जाती है और जान-बूझकर iCloud से सिंक नहीं की जाती। इस पहचान की कोई भी बात आपके फ़ोन, आपके कॉन्टैक्ट्स या आपके स्टोर अकाउंट से नहीं ली जाती। साइन-इन सेवा (Supabase Auth) सेशन चालू रखने और दुरुपयोग रोकने के लिए सामान्य तकनीकी सेशन डेटा रिकॉर्ड करती है, जैसे IP पता और ऐप की तकनीकी user-agent स्ट्रिंग।

फ़ैमिली ग्रुप में क्या साझा होता है। उत्पादों के नाम, इमोजी, रिमाइंडर की तारीख़ें, कीमतें, मुद्राएं, मात्राएं, रखने की जगहें, और यह कि मार्क करते समय कोई आइटम अपने रिमाइंडर के दिन के करीब था या नहीं; शॉपिंग लिस्ट की सामग्री, जिसमें आपके अपने लिखे नोट्स भी शामिल हैं; मार्किंग लॉग (खाया या फेंका, समय, उत्पाद का नाम और राशि); फ़ैमिली ग्रुप की साझा सेटिंग्स (बचत का लक्ष्य, ट्रैकिंग के टॉगल, मुख्य मुद्रा, खाना बचाने की समय-सीमा); और आपका चुना हुआ निकनेम, जिसे दूसरे सदस्य देख सकते हैं।

फ़ैमिली ग्रुप बनाने पर क्या उसमें चला जाता है। जब आप फ़ैमिली ग्रुप बनाते हैं, तो आपके फ्रिज के उत्पाद और इस महीने की खाया/फेंका मार्किंग उसमें चली जाती हैं, ताकि फ़ैमिली ग्रुप के आंकड़े इसी महीने से शुरू हों। पिछले महीनों की मार्किंग केवल आपके डिवाइस पर रहती हैं। जब आप किसी मौजूदा फ़ैमिली ग्रुप में शामिल होते हैं, तो आपके अपने उत्पाद उसमें नहीं ले जाए जाते: वे आपके डिवाइस पर रहते हैं और ग्रुप छोड़ने पर वापस आ जाते हैं।

सब्सक्रिप्शन को फ़ैमिली ग्रुप से जोड़ना। ताकि एक सब्सक्रिप्शन पूरे फ़ैमिली ग्रुप के लिए काम करे, ऐप आपका अनाम फ़ैमिली पहचानकर्ता RevenueCat में आपके सब्सक्रिप्शन की एक विशेषता (attribute) के रूप में सेव करता है, और सर्वर उस पहचानकर्ता के साथ आपका RevenueCat App User ID और सब्सक्रिप्शन की स्थिति (सक्रिय है या नहीं, स्टोर, प्रोडक्ट और समाप्ति का समय) सेव करता है। सर्वर यह जानकारी ऐप के अपने दावे पर भरोसा करने के बजाय सीधे RevenueCat से लेता है। यह हर सदस्य के लिए सेव होती है, उस सदस्य के लिए भी जिसका अपना कोई सब्सक्रिप्शन नहीं है। इसमें कोई नाम, ईमेल या भुगतान विवरण शामिल नहीं होता।

मार्किंग लॉग में जान-बूझकर क्या नहीं होता। यह रिकॉर्ड नहीं करता कि आइटम किसने मार्क किया। यह जानकारी इंटरफ़ेस में सिर्फ़ छिपाई नहीं गई है — यह कभी जमा ही नहीं की जाती, इसलिए “वह किसने फेंका” इस सवाल का जवाब यह डेटाबेस किसी को नहीं दे सकता, हमें भी नहीं। उत्पादों की पंक्तियों में उन्हें जोड़ने वाले व्यक्ति का अनाम फ़ैमिली पहचानकर्ता ज़रूर होता है, और इसकी एक ही सीमित तकनीकी वजह है: वरना एक ही मिलीसेकंड में आइटम जोड़ने वाले दो फ़ोन की एंट्री आपस में टकरा जातीं।

जो कभी आपके डिवाइस से बाहर नहीं जाता, चाहे आप फ़ैमिली ग्रुप में हों या नहीं। हर आइटम की और सामान्य रिमाइंडर सेटिंग्स, थीम, आवाज़ें, भाषा, आगे के स्कैन को बेहतर बनाने वाली उत्पादों की मेमोरी, और बिल की सभी इमेज और सामग्री।

बैकग्राउंड कनेक्शन। जब तक आप किसी फ़ैमिली ग्रुप में हैं, ऐप बंद होने पर भी बैकग्राउंड में अपना डेटा रीफ़्रेश करता है, ताकि दूसरे सदस्यों के आइटम के रिमाइंडर समय पर शेड्यूल हो सकें। अकेले इस्तेमाल किया जाने वाला डिवाइस बैकग्राउंड में कोई भी कनेक्शन नहीं बनाता। आप अपने डिवाइस की सेटिंग्स में बैकग्राउंड रीफ़्रेश रोक सकते हैं (iOS: सेटिंग्ज़ → Fango → बैकग्राउंड ऐप रीफ़्रेश; Android: ऐप की बैटरी सेटिंग्स), ऐसे में फ़ैमिली ग्रुप के बदलाव केवल ऐप खोलने पर दिखेंगे।

ग्रुप छोड़ना, और छोड़ने से क्या वापस नहीं होता। आप कभी भी फ़ैमिली ग्रुप छोड़ सकते हैं। आपका अपना डेटा तुरंत वापस आ जाता है, और आपकी साझा की गई शॉपिंग लिस्ट ग्रुप से हटा ली जाती हैं। जो उत्पाद आप साझा फ्रिज में पहले ही जोड़ चुके थे, वे बाकी सदस्यों के पास रहते हैं — ग्रुप छोड़ने से किसी उत्पाद को साझा करना वापस नहीं होता, और हम चाहते हैं कि आपको यह बात यहीं पता चले, बाद में अचानक नहीं। जब आख़िरी सदस्य ग्रुप छोड़ता है, तो फ़ैमिली ग्रुप और उसका सारा डेटा सर्वर से तुरंत डिलीट हो जाता है, उसी प्रक्रिया में (सेक्शन 14 देखें)।

कानूनी आधार: आपकी सहमति (अनुच्छेद 6(1)(a), सेक्शन 9)।

6 पुश नोटिफ़िकेशन (केवल फ़ैमिली ग्रुप में)

अगर आप किसी फ़ैमिली ग्रुप में हैं और आपने Fango के नोटिफ़िकेशन की अनुमति दी है — वही अनुमति जिससे आपको एक्सपायरी के रिमाइंडर मिलते हैं — तो जब कोई दूसरा सदस्य कुछ जोड़ता या बदलता है, हमारा सर्वर आपके डिवाइस को एक संदेश भेजता है।

वह संदेश हमेशा साइलेंट होता है। आपकी स्क्रीन पर कुछ नहीं दिखता, और ऐसी कोई सेटिंग नहीं है जिससे वह दिखने लगे। इसका काम ऐप को जगाना है, ताकि वह बदलाव ले आए और आपके रिमाइंडर दोबारा शेड्यूल करे — जो सदस्य Fango कम खोलता है, उसे किसी और के लाए खाने की याद दिलाने का यही एकमात्र तरीका है। संदेश में कोई सामग्री नहीं होती — न उत्पादों के नाम, न उनकी संख्या, न यह कि उन्हें किसने जोड़ा। यह बस ऐप को जगाने का संकेत है, और कुछ नहीं।

क्या सेव किया जाता है। आपके डिवाइस का नोटिफ़िकेशन टोकन (iOS पर APNs टोकन, Android पर FCM टोकन), प्लेटफ़ॉर्म और एक टाइमस्टैम्प, जो सेक्शन 5 में बताई गई अनाम फ़ैमिली पहचान के साथ सेव किए जाते हैं। अकेले इस्तेमाल किए जाने वाले डिवाइस के लिए कोई नोटिफ़िकेशन टोकन बिल्कुल नहीं बनाया या सेव किया जाता — न हमारे सर्वर पर और न Apple या Google के सिस्टम में।

डिलीट होना। टोकन तब डिलीट किया जाता है जब आप फ़ैमिली ग्रुप छोड़ते हैं, जब आप नोटिफ़िकेशन बंद करते हैं, और जब प्लेटफ़ॉर्म टोकन को एक्सपायर बताता है।

इसे कौन पहुंचाता है। iOS पर Apple (APNs) और Android पर Google (Firebase Cloud Messaging) — सेक्शन 7 देखें। iOS के नोटिफ़िकेशन Google से होकर नहीं जाते।

कानूनी आधार: आपकी सहमति (अनुच्छेद 6(1)(a), सेक्शन 9)।

7 तीसरे पक्ष

Fango इन तीसरे पक्षों का उपयोग करता है:

RevenueCat — Fango के सब्सक्रिप्शन संभालता है। Apple App Store या Google Play के ज़रिए आपके सब्सक्रिप्शन की स्थिति बनाए रखने के लिए केवल ज़रूरी डेटा (सब्सक्रिप्शन की स्थिति और डिवाइस पहचानकर्ता) प्रोसेस करता है। Android डिवाइस पर, अगर आपके डिवाइस पर चालू हो, तो RevenueCat Android Advertising ID (AAID) भी प्रोसेस कर सकता है। RevenueCat की आपके खाने या उत्पादों के डेटा तक कोई पहुंच नहीं है। अगर आप किसी फ़ैमिली ग्रुप में हैं, तो RevenueCat आपका अनाम फ़ैमिली पहचानकर्ता भी आपके सब्सक्रिप्शन की एक विशेषता के रूप में रखता है (सेक्शन 5 देखें)।

Supabase — रिले सेवाएं (Edge Functions) देता है, जो बिल स्कैनिंग के अनुरोध और ‘समस्या बताएं’ के संदेश केवल अस्थायी रूप से संभालती हैं। IP पते पर आधारित एक छद्मनामित रेट लिमिट तालिका रखता है। बिल की सामग्री सेव नहीं करता। फ़ैमिली शेयरिंग के डेटाबेस और साइन-इन सेवा के रूप में भी काम करता है, और फ़ैमिली ग्रुप के नोटिफ़िकेशन टोकन सेव करता है (सेक्शन 5 और 6)। नीचे अनाम एनालिटिक्स में बताए गए अनाम, एकत्रित उपयोग इवेंट भी इसी को मिलते हैं, जो केवल एक छद्मनामित डिवाइस हैश से जुड़े होते हैं। रिले नीचे बताए गए ‘दोस्त को इनवाइट करें’ के रिकॉर्ड भी सेव करता है।

दोस्त को इनवाइट करें (इनवाइट कोड)। इस वैकल्पिक सुविधा में, जब आपका दोस्त आपका कोड इस्तेमाल करता है, तो आपको और आपके दोस्त को फ़्री महीने मिलते हैं। इसे चलाने के लिए रिले एक छद्मनामित SHA-256 डिवाइस हैश सेव करता है, जिससे मूल पहचानकर्ता वापस नहीं निकाला जा सकता (यह iOS पर हर इंस्टॉलेशन के रैंडम पहचानकर्ता से, या Android ID से बनता है), साथ में इनवाइट कोड, इनाम देने के लिए ज़रूरी RevenueCat App User ID और टाइमस्टैम्प। जब इनाम दिया जाता है, तो इनाम पाने वाले RevenueCat पहचानकर्ता और कोड बनाने वाले के RevenueCat पहचानकर्ता के SHA-256 हैश भी सेव किए जाते हैं, ताकि कोई भी डिवाइस या अकाउंट 10 से ज़्यादा इनाम महीने न ले सके। जब आप ऐप खोलते हैं, तो वह थोड़ी देर के लिए रिले पर जांचता है कि आपके डिवाइस हैश से जुड़ा कोई इनाम बाकी तो नहीं है। इस डेटा में आपके खाने, बिल, नाम या संपर्क विवरण के बारे में कुछ नहीं होता, और इसका उपयोग केवल रेफ़रल इनाम देने और एक ही डिवाइस या अकाउंट को बार-बार इनाम लेने से रोकने के लिए होता है। क्योंकि दुरुपयोग की रोकथाम इसी पर टिकी है, इसलिए यह रिकॉर्ड कि किसी डिवाइस को पहले ही इनाम मिल चुका है, ऊपर बताए गए अकाउंट हैश, और इस्तेमाल किया गया कोड, उसे इस्तेमाल करने वाले के RevenueCat App User ID के साथ, तब तक रखे जाते हैं जब तक रेफ़रल प्रोग्राम चलता है; बाकी रेफ़रल रिकॉर्ड एक्सपायर होने या इनाम लिए जाने के बाद तय समय पर चलने वाले क्लीनअप जॉब से मिटा दिए जाते हैं (सेक्शन 14 देखें)। कानूनी आधार: आपके चुने गए प्रमोशनल फ़ायदे को देना (अनुच्छेद 6(1)(b), सेक्शन 9)।

Anthropic (Claude AI) — बिल की सामग्री से खाने-पीने के उत्पाद पहचानता है। API के ज़रिए भेजे गए डेटा का उपयोग अपने मॉडल को ट्रेन करने के लिए नहीं करता। भरोसे और सुरक्षा (trust & safety) की निगरानी के लिए API डेटा रखने की सामान्य अवधि लागू होती है।

Resend — ट्रांज़ैक्शनल ईमेल प्रोवाइडर, जो ‘समस्या बताएं’ से भेजे गए संदेश डेवलपमेंट टीम तक पहुंचाता है। अनाम बग रिपोर्ट की सामग्री — और उसके साथ अटैच करने के लिए आपका चुना गया कोई भी बिल — ईमेल के रूप में प्रोसेस करता है; यूज़र से जुड़ा कोई पहचानकर्ता नहीं।

Apple App Store और Google Play — उनकी अपनी-अपनी प्राइवेसी नीतियों के तहत भुगतान और सब्सक्रिप्शन बिलिंग। Fango भुगतान की जानकारी कभी सीधे प्रोसेस नहीं करता।

Hostingpalvelu Oy (फ़िनलैंड) — fango.fi वेबसाइट (सेक्शन 18) और support@fango.fi मेलबॉक्स होस्ट करती है, जिस पर ‘समस्या बताएं’ के संदेश और अटैच किए गए बिल पहुंचते हैं। डेटा EU के अंदर ही रहता है।

Frankfurter (विनिमय दरें) — बचत का अनुमान आपकी स्थानीय मुद्रा में दिखाने के लिए ऐप समय-समय पर Frankfurter API (frankfurter.app) से यूरोपीय सेंट्रल बैंक की प्रकाशित संदर्भ दरें लेता है। इस अनुरोध में कोई व्यक्तिगत डेटा और आपके बारे में कोई पैरामीटर नहीं होता (केवल “कौन-सी आधार मुद्रा”); किसी भी वेब अनुरोध की तरह, जवाब लौटाने के लिए आपका IP उस सेवा को कुछ पल के लिए दिखता है। दरें आपके डिवाइस पर 24 घंटे के लिए कैश होती हैं। देखें: frankfurter.dev।

Apple Search Ads (AdServices) — केवल iOS पर: अगर आपने Fango किसी Apple Search Ads विज्ञापन से इंस्टॉल किया है, तो Apple का AdServices फ़्रेमवर्क कैंपेन स्तर का एट्रिब्यूशन टोकन देता है (किस कैंपेन, ऐड ग्रुप और कीवर्ड से इंस्टॉल हुआ)। यह Apple का अपना फ़र्स्ट-पार्टी एट्रिब्यूशन है: इसमें कोई क्रॉस-ऐप पहचानकर्ता नहीं होता और इसके लिए App Tracking Transparency की अनुमति वाला संदेश दिखाने की ज़रूरत नहीं होती। Fango यह टोकन केवल RevenueCat को भेजता है, ताकि अनाम सब्सक्रिप्शन और ट्रायल के आंकड़ों को उस विज्ञापन से जोड़ा जा सके जिससे इंस्टॉल हुआ — कभी भी व्यक्तिगत रूप से आपसे नहीं। EU के नियमों के मामले में पूरी तरह सुरक्षित रहने के लिए, यह केवल तभी जमा किया जाता है जब आप एनालिटिक्स चालू करते हैं (सेटिंग्स → प्राइवेसी); यह डिफ़ॉल्ट रूप से बंद रहता है और आपकी सहमति के बिना कभी जमा नहीं किया जाता।

Google Play (Install Referrer) — केवल Android पर: Google Play की Install Referrer API बताती है कि इंस्टॉल किस लिंक से शुरू हुआ (जैसे fango.fi या Play की अपनी खोज)। Fango इसे हर इंस्टॉलेशन पर एक बार पढ़ता है और इससे केवल तीन छोटे लेबल रखता है — स्रोत, माध्यम और कैंपेन — कोई डिवाइस पहचानकर्ता नहीं, कोई विज्ञापन ID नहीं, और ऐसा कुछ भी नहीं जिससे आपकी पहचान हो सके। इस प्रक्रिया में Google को कुछ नहीं भेजा जाता: यह जानकारी डिवाइस पर पहले से मौजूद Play Store ऐप से पढ़ी जाती है, और तीनों लेबल एनालिटिक्स इवेंट के साथ Fango के अपने रिले (Supabase) तक जाते हैं। ऊपर बताए गए Apple एट्रिब्यूशन की तरह, यह भी केवल तभी जमा किया जाता है जब आप एनालिटिक्स चालू करते हैं (सेटिंग्स → प्राइवेसी); यह डिफ़ॉल्ट रूप से बंद रहता है और आपकी सहमति के बिना कभी जमा नहीं किया जाता।

अनाम एनालिटिक्स। ऐप को बेहतर बनाने में मदद के लिए Fango अनाम, एकत्रित उपयोग इवेंट जमा कर सकता है — लेकिन केवल तभी जब आप एनालिटिक्स चालू करें, सेटिंग्स → प्राइवेसी में। यह डिफ़ॉल्ट रूप से बंद रहता है (केवल आपकी सहमति से चालू)। चालू होने पर इन इवेंट में उदाहरण के लिए यह शामिल होता है कि ऑनबोर्डिंग के कौन-से चरण और स्क्रीन खोली गईं, फ़्री ट्रायल या सब्सक्रिप्शन शुरू हुआ या नहीं और ट्रायल रद्द हुआ या नहीं, स्कैन कब सफल हुआ, किसी दोस्त का इनवाइट (रेफ़रल) कोड कब इस्तेमाल हुआ, रिमाइंडर के एक्शन बटन पर कब टैप हुआ, और किसी आइटम को खाया हुआ या फेंका हुआ कब मार्क किया गया (केवल मार्क का प्रकार — उत्पाद या कीमत कभी नहीं)। तकनीकी एरर रिपोर्ट भी जमा की जाती हैं: एरर का प्रकार और स्वरूप, उसकी सामग्री कभी नहीं। एरर रिपोर्ट में वह स्क्रीन भी होती है जिस पर एरर हुई, और डिवाइस की स्क्रीन की चौड़ाई और टेक्स्ट साइज़ की सेटिंग भी, ताकि ख़राबी को सही व्यू तक ट्रेस किया जा सके। इसमें यह भी होता है कि ऐप के कोड में एरर कहां हुई: स्टोर बिल्ड में केवल प्रोग्राम पते (ऑफ़सेट), CPU आर्किटेक्चर और बिल्ड पहचानकर्ता के पहले आठ अक्षर। ये कोड में किसी जगह की ओर इशारा करते हैं, और इनमें कभी भी वह कुछ नहीं होता जो आपने टाइप, स्कैन या सेव किया हो। अगर बिल स्कैन विफल होता है और एरर स्क्रीन दिखती है, तो एरर का प्रकार और उसका तकनीकी कारण (जैसे टूटा हुआ कनेक्शन, टाइमआउट या सर्वर का स्टेटस कोड), स्कैन करने का तरीका, वह चरण जिस पर स्कैन विफल हुआ और इंतज़ार के समय की मोटी सीमा (सेकंड में) जमा की जाती है, बिल या उसकी सामग्री कभी नहीं। ख़रीदने की कोशिशें और उनका परिणाम भी जमा किया जाता है, जिसमें स्टोर द्वारा लौटाया गया एरर कोड और सब-कोड शामिल है, और यह भी कि क्या आप सब्सक्राइब किए बिना सब्सक्रिप्शन स्क्रीन छोड़ देते हैं। इनमें केवल एक छद्मनामित डिवाइस हैश, ऐप वर्ज़न, प्लेटफ़ॉर्म और भाषा होती है — आपके उत्पाद, तारीख़ें, कीमतें, बिल की सामग्री, फ्रिज के आइटम या ऐसा कुछ भी जिससे आपकी पहचान हो सके, कभी नहीं; एनालिटिक्स इनमें से कुछ भी कभी नहीं भेजता। एनालिटिक्स का डेटा Fango के अपने रिले (Supabase) पर प्रोसेस होता है। इसे विज्ञापन नेटवर्क के साथ साझा नहीं किया जाता, क्रॉस-ऐप ट्रैकिंग के लिए इस्तेमाल नहीं किया जाता, और प्रोफ़ाइलिंग या टारगेटेड विज्ञापन के लिए भी इस्तेमाल नहीं किया जाता। आप इसे कभी भी चालू या बंद कर सकते हैं। कानूनी आधार: आपकी सहमति (अनुच्छेद 6(1)(a); सेक्शन 9 देखें)। ऊपर बताए गए Apple Search Ads एट्रिब्यूशन और Android के इंस्टॉल-स्रोत लेबल इसी सहमति के तहत आते हैं, और ये भी तब तक बंद रहते हैं जब तक आप एनालिटिक्स चालू नहीं करते।

रद्द करने पर सर्वे। फ़्री ट्रायल या सब्सक्रिप्शन रद्द करने के बाद Fango एक बार उसका कारण पूछता है। अगर आप कोई कारण चुनते हैं, तो जवाब भेजा जाता है, भले ही एनालिटिक्स बंद हो — जवाब चुनना अपने आप में उसे भेजने का फ़ैसला है। एनालिटिक्स की सहमति के बिना, जवाब में कोई डिवाइस हैश नहीं होता, बल्कि एक बार इस्तेमाल होने वाला रैंडम पहचानकर्ता होता है, ताकि उसे आपके डिवाइस या किसी अन्य इवेंट से न जोड़ा जा सके। जवाब में केवल आपका चुना हुआ कारण होता है, यह कि वह ट्रायल था या सब्सक्रिप्शन, और यह कि क्या आपने कोई बिल स्कैन किया है और किसी आइटम को खाया हुआ मार्क किया है। सर्वे छोड़ देने पर कुछ नहीं भेजा जाता। जवाब एनालिटिक्स जितने ही समय (25 महीने) तक रखा जाता है। कानूनी आधार: जवाब चुनकर दी गई आपकी सहमति (GDPR अनुच्छेद 6(1)(a))।

Apple (APNs) — केवल iOS पर, और केवल तब जब आप किसी फ़ैमिली ग्रुप में हों: Apple की Push Notification सेवा फ़ैमिली शेयरिंग का संदेश आपके iPhone तक पहुंचाती है। यह डिवाइस का नोटिफ़िकेशन टोकन और संदेश प्रोसेस करती है, जिसमें कोई सामग्री नहीं होती — यह बस जगाने का एक संकेत है, और कुछ नहीं (सेक्शन 6 देखें)।

Google (Firebase Cloud Messaging) — Android डिवाइस पर यही काम, उन्हीं शर्तों पर। यह केवल संदेश पहुंचाना है: Fango, Firebase Analytics, Firebase की क्रैश रिपोर्टिंग या Google के किसी भी विज्ञापन प्रोडक्ट का उपयोग नहीं करता। तकनीकी कारणों से Firebase लाइब्रेरी iOS ऐप पैकेज में शामिल है, लेकिन उसे कभी शुरू या इस्तेमाल नहीं किया जाता — iPhone नोटिफ़िकेशन पाने के लिए Google से संपर्क नहीं करता। हम यह इसलिए बता रहे हैं क्योंकि कोई भी ऐप पैकेज खोलकर यह लाइब्रेरी देख सकता है; असली बात यह है कि वह मौजूद है, पर चलती नहीं।

Fango के अपने, सहमति पर आधारित (केवल आपकी सहमति से चालू) इस एनालिटिक्स के अलावा, Fango किसी विज्ञापन नेटवर्क या व्यवहार-ट्रैकिंग तकनीक का उपयोग नहीं करता।

ज़्यादा जानकारी के लिए देखें: RevenueCat की प्राइवेसी नीति · Supabase की प्राइवेसी नीति · Anthropic की प्राइवेसी नीति · Resend की प्राइवेसी नीति

8 लागू कानून

Fango यूरोपीय संघ के सामान्य डेटा संरक्षण विनियमन (GDPR, विनियमन 2016/679) का पालन करता है, जो सभी EU/EEA सदस्य देशों (EU के 27 देश और आइसलैंड, लिकटेंस्टाइन और नॉर्वे) में सीधे लागू होता है, और फ़िनलैंड के डेटा संरक्षण अधिनियम (Data Protection Act, 1050/2018) का भी, जो स्थानीय स्तर पर GDPR का पूरक है। GDPR के मूल नियम — उद्देश्य की सीमा, डेटा को न्यूनतम रखना, कानूनी आधार, सुरक्षा, और सेक्शन 11 में बताए गए अधिकार — इन क्षेत्रों के सभी यूज़र्स पर एक समान लागू होते हैं, चाहे वे किसी भी सदस्य देश में रहते हों या ऐप किसी भी भाषा में इस्तेमाल करते हों।

Fango अपने सर्वरों पर जो डेटा रखता है, वह न्यूनतम और छद्मनामित है — सेक्शन 4 और 7 में बताए गए दुरुपयोग रोकने वाले काउंटर और सहमति से चालू उपयोग एनालिटिक्स इवेंट, जिनमें से किसी से भी नाम के ज़रिए आपकी पहचान नहीं होती — और साथ में, अगर आप किसी फ़ैमिली ग्रुप में शामिल हुए हैं, तो सेक्शन 5 में बताया गया फ़ैमिली ग्रुप का डेटा। GDPR के तहत छद्मनामित डेटा भी व्यक्तिगत डेटा ही है, और यह नीति उसे ऐसा ही मानती है: सेक्शन 11 के अधिकार उस पर लागू होते हैं, और जहां हम सच में किसी रिकॉर्ड को आपसे नहीं जोड़ सकते, वहां अनुच्छेद 11 के अधीन। RevenueCat द्वारा प्रोसेस किए गए सब्सक्रिप्शन डेटा, Supabase और Anthropic द्वारा अस्थायी रूप से प्रोसेस की गई बिल स्कैनिंग की सामग्री, और Resend द्वारा पहुंचाई गई अनाम बग रिपोर्ट की सामग्री पर, इसके अलावा उन प्रोवाइडर्स का अपना GDPR अनुपालन भी लागू होता है।

9 प्रोसेसिंग का कानूनी आधार

जहां Fango के संबंध में कोई भी व्यक्तिगत डेटा प्रोसेस होता है (चाहे डिवाइस पर, रिले सेवा द्वारा, या सेक्शन 7 में बताए गए तीसरे पक्ष के प्रोवाइडर्स द्वारा), वहां GDPR अनुच्छेद 6(1) के तहत ये कानूनी आधार लागू होते हैं:

सहमति (अनुच्छेद 6(1)(a))। बिल स्कैनिंग (सेक्शन 3), ‘समस्या बताएं’ संदेश भेजना (सेक्शन 4), फ़ैमिली शेयरिंग (सेक्शन 5) और उसके साथ आने वाले फ़ैमिली ग्रुप के नोटिफ़िकेशन (सेक्शन 6) आपकी सक्रिय सहमति के आधार पर प्रोसेस किए जाते हैं — आप ख़ुद साफ़ तौर पर इन सुविधाओं का उपयोग करना चुनते हैं, और इनका उपयोग न करके मना कर सकते हैं। अनाम उपयोग एनालिटिक्स, Apple Search Ads एट्रिब्यूशन और Android के इंस्टॉल-स्रोत लेबल (सेक्शन 7) भी केवल आपकी सहमति के आधार पर प्रोसेस किए जाते हैं: ये डिफ़ॉल्ट रूप से बंद रहते हैं और केवल तभी जमा किए जाते हैं जब आप सेटिंग्स → प्राइवेसी में इन्हें चालू करते हैं, जहां आप कभी भी अपनी सहमति वापस ले सकते हैं।

रद्द करने पर सर्वे का जवाब — सहमति, जो जवाब चुनकर दी जाती है (अनुच्छेद 6(1)(a))।

अनुबंध का पालन (अनुच्छेद 6(1)(b))। Fango सब्सक्रिप्शन की स्थिति और RevenueCat द्वारा संभाला जाने वाला डिवाइस पहचानकर्ता इसलिए प्रोसेस किए जाते हैं ताकि आपको वह सब्सक्रिप्शन मिल सके जो आपने App Store या Google Play से ख़रीदा है। ‘दोस्त को इनवाइट करें’ सुविधा का SHA-256 डिवाइस हैश, जिससे मूल पहचानकर्ता वापस नहीं निकाला जा सकता, भी इसी आधार पर प्रोसेस होता है (आपके चुने गए प्रमोशनल एक्सेस को देने के लिए)।

वैध हित (अनुच्छेद 6(1)(f))। रिले सेवा पर IP पते पर आधारित छद्मनामित रेट लिमिट काउंटर, और वह रैंडम इंस्टॉलेशन पहचानकर्ता जिससे स्कैन काउंटर जुड़े होते हैं, AI सेवा और बग रिपोर्ट एंडपॉइंट के दुरुपयोग को रोकने में Fango के वैध हित के आधार पर प्रोसेस किए जाते हैं; इस हित को आपके अधिकारों के साथ तौला गया है, और यह डेटा कम समय तक रहता है (काउंटर 48 घंटे से 35 दिनों के भीतर अपने-आप डिलीट हो जाते हैं, इंस्टॉलेशन पहचानकर्ता 400 दिनों के भीतर — सेक्शन 14 देखें), किसी यूज़र पहचानकर्ता से नहीं जोड़ा जाता, और किसी और काम में इस्तेमाल नहीं होता। सर्वर पर अनाम टेलीमेट्री (देश की सेटिंग, मोड, उत्पादों की संख्या, बिल का पहचाना गया देश और पहचान का परिणाम — कोई IP नहीं, कोई यूज़र पहचानकर्ता नहीं) भी इसी आधार पर प्रोसेस होती है, ताकि सर्विस की क्वालिटी पर नज़र रखी जा सके और हर देश में बिल की पहचान को बेहतर बनाया जा सके। रेफ़रल प्रोग्राम चलने तक रखे जाने वाले दुरुपयोग रोकने वाले रिकॉर्ड (इनाम पा चुके डिवाइस का निशान, अकाउंट हैश, और इस्तेमाल किए गए कोड के यूज़र का पहचानकर्ता — सेक्शन 7) भी इसी वैध हित पर आधारित हैं, ताकि एक ही इनाम बार-बार न लिया जा सके। (इसके उलट, ऐप के अंदर का उपयोग एनालिटिक्स, Apple Search Ads एट्रिब्यूशन और Android के इंस्टॉल-स्रोत लेबल आपकी सहमति पर आधारित हैं — ऊपर देखें — और डिफ़ॉल्ट रूप से बंद रहते हैं।)

कोई भी प्रोसेसिंग “महत्वपूर्ण हित” (vital interests), “सार्वजनिक कार्य” (public task) या “कानूनी दायित्व” (legal obligation) के आधार पर नहीं होती। Fango जान-बूझकर “व्यक्तिगत डेटा की विशेष श्रेणियां” (GDPR अनुच्छेद 9) प्रोसेस नहीं करता — उन सीमित स्थितियों के लिए सेक्शन 3 देखें जिनमें ऐसा डेटा संयोग से बिल की सामग्री में आ सकता है, और सेक्शन 4 उस बिल के लिए जिसे आप समस्या रिपोर्ट के साथ अटैच करना चुन सकते हैं, जिसे आप एक साफ़ कदम उठाकर अटैच करते हैं और जिसे हम रखते हैं।

10 अंतरराष्ट्रीय डेटा ट्रांसफ़र

सेक्शन 7 में बताए गए तीसरे पक्ष के प्रोवाइडर इस नीति में बताए गए अस्थायी डेटा को यूरोपीय आर्थिक क्षेत्र (EEA) के बाहर स्थित सर्वरों पर सेव या प्रोसेस कर सकते हैं, जिनमें संयुक्त राज्य अमेरिका और सिंगापुर भी शामिल हैं। GDPR के अध्याय V के तहत ऐसे ट्रांसफ़र इन सुरक्षा उपायों के ज़रिए किए जा सकते हैं:

मानक संविदात्मक खंड (Standard Contractual Clauses, SCC)। संयुक्त राज्य अमेरिका में काम करने वाले प्रोवाइडर्स (Anthropic, RevenueCat, Resend) को, और अमेरिका या सिंगापुर में Supabase के डेटा सेंटर को किए जाने वाले ट्रांसफ़र यूरोपीय आयोग के मानक संविदात्मक खंडों (GDPR अनुच्छेद 46) पर आधारित हैं, जैसा कि हर प्रोवाइडर के डेटा प्रोसेसिंग अनुबंध (Data Processing Addendum) में प्रकाशित है।

पर्याप्तता निर्णय (adequacy decision)। जहां यूरोपीय आयोग ने किसी गंतव्य देश के लिए GDPR अनुच्छेद 45 के तहत पर्याप्तता निर्णय जारी किया है, वहां SCC के बजाय उसी निर्णय को आधार बनाया जाता है।

पुश नोटिफ़िकेशन पहुंचाना। फ़ैमिली शेयरिंग के नोटिफ़िकेशन Apple (APNs, iOS) और Google (Firebase Cloud Messaging, Android) पहुंचाते हैं, जो दोनों दुनिया भर में काम करते हैं और सेक्शन 6 में बताए गए डेटा को डेटा नियंत्रक के रूप में अपनी नीतियों के तहत प्रोसेस करते हैं। संदेश में कोई सामग्री नहीं होती — न कोई संख्या, न किसी उत्पाद का नाम, न किसी सदस्य की जानकारी।

सुरक्षा उपायों की कॉपी support@fango.fi से, या सेक्शन 7 में दिए गए प्राइवेसी नीति लिंक के ज़रिए सीधे हर प्रोवाइडर से मांगी जा सकती है।

11 GDPR के तहत आपके अधिकार

GDPR के अनुच्छेद 15–22 के तहत, आपके बारे में प्रोसेस किए गए व्यक्तिगत डेटा पर आपके ये अधिकार हैं। क्योंकि Fango आपके फ्रिज के आइटम, आंकड़े और सेटिंग्स आपके अपने डिवाइस पर सेव करता है और — फ़ैमिली शेयरिंग (सेक्शन 5) को छोड़कर — सर्वर पर व्यक्तिगत डेटा का कोई रजिस्टर नहीं रखता (सेक्शन 2 और 8), इसलिए इनमें से ज़्यादातर अधिकारों का इस्तेमाल सीधे आपके डिवाइस पर होता है:

एक्सेस का अधिकार (अनुच्छेद 15) — ऐप आपके बारे में जो भी डेटा रखता है, उसे आप अपने डिवाइस पर ऐप खोलकर देख सकते हैं। सर्वर पर केवल सेक्शन 7 और 14 में बताए गए न्यूनतम छद्मनामित रिकॉर्ड हो सकते हैं (दुरुपयोग रोकने वाले काउंटर, डिवाइस हैश से जुड़े सहमति वाले एनालिटिक्स इवेंट, और ‘दोस्त को इनवाइट करें’ के रिकॉर्ड) — और, अगर आप फ़ैमिली शेयरिंग इस्तेमाल करते हैं, तो सेक्शन 5 में बताया गया फ़ैमिली ग्रुप का डेटा, जिसे आप ऐप में ही पूरा देख सकते हैं; ऐसे किसी भी रिकॉर्ड की कॉपी आप नीचे बताई गई पहचान-पुष्टि प्रक्रिया के साथ support@fango.fi से मांग सकते हैं।

सुधार का अधिकार (अनुच्छेद 16) — कोई भी आइटम, कीमत, रिमाइंडर की तारीख़ या सेटिंग सीधे ऐप में बदलें।

डिलीट करवाने का अधिकार (अनुच्छेद 17) — लोकल रूप से सेव सारा डेटा सेटिंग्स → ‘सावधान’ → ‘ऐप का सारा डेटा मिटाएं’ से, या ऐप अनइंस्टॉल करके डिलीट करें। दोनों तरीकों से डेटा हमेशा के लिए हट जाता है; Fango उसे वापस नहीं ला सकता।

प्रोसेसिंग सीमित करने का अधिकार (अनुच्छेद 18) — डेटा को डिवाइस से बाहर भेजने वाली वैकल्पिक सुविधाएं बंद रखें: बिल स्कैनिंग (सेक्शन 3) का उपयोग न करें, और ‘समस्या बताएं’ फ़ॉर्म (सेक्शन 4) न भेजें, न किसी फ़ैमिली ग्रुप (सेक्शन 5) में शामिल हों। ऐप का बाकी हिस्सा पूरी तरह डिवाइस पर काम करता रहता है।

डेटा पोर्टेबिलिटी का अधिकार (अनुच्छेद 20) — आपका डेटा आपके डिवाइस पर रहता है, और फ़ैमिली शेयरिंग में फ़ैमिली ग्रुप का साझा डेटा सर्वर पर भी, जहां हर सदस्य उसे ऐप में देखता है। Fango अभी कोई व्यवस्थित एक्सपोर्ट नहीं देता, लेकिन iOS और Android के डिवाइस बैकअप (iCloud / Google) में ऐप का लोकल स्टोरेज शामिल होता है, और इनसे डेटा उसी प्लेटफ़ॉर्म के नए डिवाइस पर ले जाया जा सकता है।

आपत्ति करने का अधिकार (अनुच्छेद 21) — किसी भी वैकल्पिक प्रोसेसिंग पर आपत्ति करने के लिए बस संबंधित सुविधा (स्कैनिंग, रिपोर्टिंग) का उपयोग न करें। डिवाइस की सेटिंग्स में नोटिफ़िकेशन की अनुमति बंद करने से लोकल रिमाइंडर की प्रोसेसिंग रुक जाती है।

ऑटोमेटेड फ़ैसलों के अधीन न होने का अधिकार (अनुच्छेद 22) — Fango आपके बारे में ऐसे कोई ऑटोमेटेड फ़ैसले नहीं लेता जिनका कानूनी या उसके जैसा कोई बड़ा असर हो। AI बिल स्कैन केवल उस इमेज से खाने-पीने के उत्पाद पहचानता है जो आप ख़ुद देते हैं; यह यूज़र्स को स्कोर, प्रोफ़ाइल या रैंक नहीं करता।

सहमति वापस लेने का अधिकार (अनुच्छेद 7(3)) — जहां प्रोसेसिंग आपकी सहमति पर आधारित है (सेक्शन 9), वहां आप कभी भी सहमति वापस ले सकते हैं: बिल स्कैनिंग और ‘समस्या बताएं’ संदेश के लिए, बस संबंधित सुविधा का दोबारा उपयोग न करके; फ़ैमिली शेयरिंग के लिए, फ़ैमिली ग्रुप छोड़कर (सेक्शन 5); अनाम उपयोग एनालिटिक्स के लिए, उसे सेटिंग्स → प्राइवेसी में बंद करके (यह डिफ़ॉल्ट रूप से बंद रहता है और आपके चालू करने के बाद ही जमा होता है)। सहमति वापस लेने से उससे पहले हो चुकी प्रोसेसिंग की वैधता पर असर नहीं पड़ता, लेकिन सहमति वापस लेने के बाद कोई और डेटा डिवाइस से बाहर नहीं भेजा जाएगा।

फ़ैमिली शेयरिंग और आपके अधिकार। क्योंकि फ़ैमिली ग्रुप की पहचान जान-बूझकर अनाम बनाई गई है, हम किसी ईमेल पते से आपके फ़ैमिली ग्रुप का डेटा नहीं ढूंढ सकते — यह पहचान केवल आपके डिवाइस के कीचेन में मौजूद है, और ऐसा जान-बूझकर किया गया है। इसलिए इन अधिकारों का इस्तेमाल डिवाइस से होता है: फ़ैमिली शेयरिंग → फ़ैमिली ग्रुप छोड़ें सर्वर पर आपकी सदस्यता ख़त्म करता है और आपकी साझा की गई लिस्ट वापस ले लेता है, और सेटिंग्स → ऐप का सारा डेटा मिटाएं यही करता है और फिर लोकल रूप से सब कुछ मिटा देता है। अगर आप आख़िरी सदस्य थे, तो फ़ैमिली ग्रुप और उसकी सारी सामग्री उसी प्रक्रिया में सर्वर से डिलीट हो जाती है। दो सीमाएं लागू होती हैं, और हम उन्हें यहीं बता रहे हैं ताकि आपको बाद में अचानक पता न चले: फ़ैमिली ग्रुप में पहले से साझा किए गए उत्पाद बाकी सदस्यों के पास रहते हैं, और मार्किंग लॉग को “आपकी” एंट्री के हिसाब से फ़िल्टर नहीं किया जा सकता, क्योंकि उसमें कभी दर्ज ही नहीं होता कि एंट्री किसने की।

तीसरे पक्ष के प्रोवाइडर्स (RevenueCat, Supabase, Anthropic, Resend — सेक्शन 7 देखें) द्वारा प्रोसेस किए जाने वाले डेटा के लिए, आप अपने अधिकारों का इस्तेमाल सीधे हर प्रोवाइडर के पास कर सकते हैं, उनकी प्राइवेसी नीतियों में दिए संपर्क विवरण के ज़रिए, जिनके लिंक सेक्शन 7 में हैं।

अगर इन अधिकारों के बारे में आपके कोई सवाल हैं या आप और जानकारी चाहते हैं, तो support@fango.fi पर संपर्क करें।

अनुरोधों को कैसे संभाला जाता है। अनुरोध मिलने के एक महीने के भीतर जवाब दिया जाता है (GDPR अनुच्छेद 12(3)); जटिल या कई अनुरोधों के मामले में यह अवधि दो महीने और बढ़ाई जा सकती है, और ऐसे में हम आपको पहले महीने के भीतर बता देंगे। जवाब मुफ़्त दिए जाते हैं (अनुच्छेद 12(5)); हम उचित शुल्क तभी ले सकते हैं या अनुरोध तभी ठुकरा सकते हैं जब वह साफ़ तौर पर बेबुनियाद या ज़रूरत से ज़्यादा हो, ख़ासकर बार-बार किए जाने की वजह से। क्योंकि Fango में यूज़र अकाउंट नहीं होते, इसलिए अगर आपकी पहचान को लेकर उचित संदेह हो, तो हम आपसे इतनी अतिरिक्त जानकारी मांग सकते हैं जिससे अनुरोध वाले डेटा से आपका संबंध पक्का हो सके (उदाहरण के लिए, संबंधित डेटा से जुड़ा IP पता, डिवाइस हैश या RevenueCat App User ID — अनुच्छेद 12(6))। अगर ऐसा कोई पहचानकर्ता नहीं दिया जा सकता, तो हम जवाब में पुष्टि करेंगे कि सर्वर पर आपसे जुड़ा कोई व्यक्तिगत डेटा नहीं है।

12 शिकायत दर्ज करने का अधिकार

आपको उस EU सदस्य देश की पर्यवेक्षी संस्था (supervisory authority) में शिकायत दर्ज करने का अधिकार है जहां आप आम तौर पर रहते हैं, जहां आप काम करते हैं, या जहां GDPR का कथित उल्लंघन हुआ (GDPR अनुच्छेद 77)।

Fango फ़िनलैंड से चलाया जाता है; यहां की सक्षम पर्यवेक्षी संस्था है:

डेटा संरक्षण लोकपाल का कार्यालय (Office of the Data Protection Ombudsman / Tietosuojavaltuutetun toimisto)
डाक पता: PO Box 800, FI-00531 Helsinki, Finland
दफ़्तर का पता: Lintulahdenkuja 4, 00530 Helsinki
ईमेल: tietosuoja@om.fi
फ़ोन (स्विचबोर्ड): +358 29 566 6700
वेबसाइट: tietosuoja.fi

पर्यवेक्षी संस्था से संपर्क करने से पहले, आप चाहें तो अपनी बात पहले हमें support@fango.fi पर बता सकते हैं, लेकिन ऐसा करना ज़रूरी नहीं है।

न्यायिक उपचार का अधिकार (अनुच्छेद 79)। पर्यवेक्षी संस्था में शिकायत दर्ज करने के अलावा, आपको पर्यवेक्षी संस्था के बाध्यकारी निर्णय के ख़िलाफ़ (अनुच्छेद 78), और आपके अधिकारों का उल्लंघन करने वाले नियंत्रक या प्रोसेसर के ख़िलाफ़ प्रभावी न्यायिक उपचार का अधिकार है, और GDPR के उल्लंघन से हुए नुकसान का मुआवज़ा पाने का अधिकार भी (अनुच्छेद 82)। ऐसी कार्यवाही उस EU सदस्य देश की अदालतों में की जा सकती है जहां नियंत्रक या प्रोसेसर का प्रतिष्ठान है, या जहां आप आम तौर पर रहते हैं।

13 सुरक्षा

आपके डिवाइस पर सेव डेटा — आपके फ्रिज के आइटम, आंकड़े और सेटिंग्स — की सुरक्षा आपके डिवाइस की अपनी सुरक्षा (PIN, पासवर्ड या बायोमेट्रिक ऑथेंटिकेशन) पर निर्भर करती है। बिल स्कैनिंग के अनुरोध और बग रिपोर्ट HTTPS पर भेजे जाते हैं। फ़ैमिली शेयरिंग का डेटा सर्वर पर फ़ैमिली ग्रुप की सदस्यता से जुड़ी पंक्ति-स्तर की सुरक्षा (row-level security) से सुरक्षित रहता है, इसलिए उसे केवल उसी फ़ैमिली ग्रुप के सदस्य पढ़ सकते हैं; ऐप को साझा तालिकाओं से कुछ भी डिलीट करने की अनुमति नहीं दी जाती, और सारा ट्रैफ़िक एन्क्रिप्टेड होता है (HTTPS/TLS)। हमारी सलाह है:

• अपने डिवाइस का ऑपरेटिंग सिस्टम अपडेट रखें
• अपने डिवाइस पर मज़बूत PIN या बायोमेट्रिक लॉक इस्तेमाल करें
• अगर आप अपना डेटा सुरक्षित रखना चाहते हैं, तो ऑटोमैटिक बैकअप चालू करें

14 डेटा कितने समय तक रखा जाता है

फ़ैमिली शेयरिंग को छोड़कर, Fango आपके फ्रिज के आइटम, आंकड़े या सेटिंग्स किसी सर्वर पर नहीं रखता: ऐप में बनाया गया डेटा केवल आपके डिवाइस पर सेव होता है और तब तक वहीं रहता है जब तक आप उसे रखना चाहें — या जब तक आप उसे डिलीट न करें या ऐप अनइंस्टॉल न करें।

बिल स्कैनिंग की सामग्री (इमेज फ़ाइल या PDF का टेक्स्ट) अस्थायी रूप से प्रोसेस होती है और हमारे सर्वरों पर सेव नहीं होती।

समस्या रिपोर्ट के साथ अटैच किया गया बिल एकमात्र अपवाद है, और वह भी सिर्फ़ इसलिए कि आपने उसे जान-बूझकर अटैच किया: उसे तब तक रखा जाता है जब तक बिल स्कैनिंग को विकसित करने और टेस्ट करने के लिए उसकी ज़रूरत हो, और अगर वह मददगार नहीं है तो प्रोसेसिंग के बाद डिलीट कर दिया जाता है। हमारी टेस्ट सामग्री में शामिल होने से पहले उस पर दिखने वाले व्यक्तिगत विवरण हटा दिए जाते हैं। सेक्शन 4 देखें, जिसमें यह भी बताया गया है कि उसे डिलीट करवाने के लिए कैसे कहें।

फ़ैमिली शेयरिंग का डेटा। फ़ैमिली ग्रुप के उत्पाद, शॉपिंग लिस्ट, मार्किंग लॉग और साझा सेटिंग्स तब तक रखे जाते हैं जब तक ग्रुप में सदस्य हैं। जब आख़िरी सदस्य ग्रुप छोड़ता है, तो फ़ैमिली ग्रुप और उससे जुड़ा हर रिकॉर्ड तुरंत डिलीट हो जाता है, उसी प्रक्रिया में जिससे सदस्यता ख़त्म होती है — हम ख़ाली हुए फ़ैमिली ग्रुप को इंतज़ार में नहीं रखते। डिलीट करना बाद में नहीं, तुरंत होता है, क्योंकि ख़ाली फ़ैमिली ग्रुप में वापस जाने का एकमात्र तरीका कोई ऐसा इनवाइट कोड होता जो अभी इस्तेमाल न हुआ हो, और उस कोड को मान लेने का मतलब होता कि ग्रुप छोड़ चुके सदस्य का फ्रिज उस कोड वाले किसी भी व्यक्ति को मिल जाए।

अनाम फ़ैमिली पहचान। फ़ैमिली ग्रुप छोड़ने पर पहचान और उससे जुड़ी सब्सक्रिप्शन की स्थिति (सेक्शन 5) तुरंत डिलीट नहीं होती: इन्हें इसलिए रखा जाता है ताकि दोबारा इनवाइट किया गया सदस्य उसी फ़ैमिली ग्रुप के इतिहास पर लौट सके। तय समय पर चलने वाला क्लीनअप जॉब पहचान, उसके सेशन (IP पता और user-agent स्ट्रिंग), सब्सक्रिप्शन रिकॉर्ड और नोटिफ़िकेशन टोकन को तब डिलीट करता है जब ये सभी बातें सही हों: उसकी कोई सक्रिय सदस्यता नहीं है या उसकी सदस्यता 90 दिन से ज़्यादा पहले ख़त्म हुई थी, उसका अपना कोई फ़ैमिली ग्रुप नहीं है, किसी भी फ़ैमिली ग्रुप में उसके कोई उत्पाद या शॉपिंग लिस्ट की पंक्तियां नहीं हैं, और उसे 90 दिनों से इस्तेमाल नहीं किया गया है। जो पहचान अभी इस्तेमाल में है, उसके लिए यही जॉब 90 दिन से पुराने सेशन डिलीट करता है; सबसे नया सेशन रखा जाता है। जब आप ऐप का सारा डेटा मिटाएं चुनते हैं, तो सर्वर पर पहचान के सारे सेशन तुरंत रद्द कर दिए जाते हैं और पहचान आपके डिवाइस से हटा दी जाती है। चालू फ़ैमिली ग्रुप के अंदर, डिलीट किए गए उत्पाद और लिस्ट की पंक्तियां डिलीट के निशान के साथ रखी जाती हैं ताकि डिलीट होने की जानकारी हर सदस्य तक पहुंचे, और 90 दिन बाद उन्हें सर्वर से हटा दिया जाता है।

नोटिफ़िकेशन टोकन। डिवाइस का पुश टोकन तब डिलीट किया जाता है जब आप फ़ैमिली ग्रुप छोड़ते हैं, जब आप नोटिफ़िकेशन बंद करते हैं, और जब Apple या Google टोकन को एक्सपायर बताते हैं।

दुरुपयोग रोकने वाले काउंटर (IP पते)। IP पते पर आधारित छद्मनामित रेट लिमिट रिकॉर्ड, अपनी सीमा-अवधि के लिए ज़रूरी न रहने पर, रोज़ चलने वाले क्लीनअप जॉब से अपने-आप डिलीट हो जाते हैं: ‘समस्या बताएं’ और रेफ़रल एंडपॉइंट के प्रति घंटा काउंटर लगभग 48 घंटों के भीतर हटा दिए जाते हैं, और स्कैनिंग के काउंटर — जो महीने भर की रोलिंग दुरुपयोग सीमा भी लागू करते हैं — लगभग 35 दिनों के भीतर। दुरुपयोग से जुड़े IP पतों की ब्लॉक-लिस्ट एंट्री केवल तब तक रखी जाती हैं जब तक उस दुरुपयोग को रोकने के लिए ज़रूरी हो। जिस रैंडम इंस्टॉलेशन पहचानकर्ता से स्कैन काउंटर जुड़े होते हैं, उसे बनने के 400 दिन बाद डिलीट कर दिया जाता है; जो इंस्टॉलेशन अभी इस्तेमाल में है, वह बस एक नया पहचानकर्ता रजिस्टर कर लेता है, यानी पहचानकर्ता बदलता रहता है और हमेशा आपके साथ नहीं चलता।

अनाम उपयोग एनालिटिक्स। अगर आप एनालिटिक्स चालू करते हैं, तो एकत्रित इवेंट (डिवाइस हैश, ऐप वर्ज़न, प्लेटफ़ॉर्म, भाषा; कोई खाना, बिल या व्यक्तिगत डेटा नहीं) रिले पर सेव होते हैं और 25 महीने बाद तय समय पर चलने वाले क्लीनअप जॉब से अपने-आप डिलीट हो जाते हैं। अनाम स्कैन टेलीमेट्री (देश, मोड, उत्पादों की संख्या, बिल का देश, पहचान का परिणाम — कोई IP नहीं, कोई पहचानकर्ता नहीं) कम समय तक रहने वाले सर्वर लॉग में रखी जाती है; इससे बनी हर देश की दैनिक गिनती अनिश्चित समय तक रखी जाती है, क्योंकि उससे किसी एक स्कैन या किसी व्यक्ति की पहचान नहीं हो सकती। रद्द करने पर सर्वे के जवाब भी 25 महीने तक रखे जाते हैं।

‘दोस्त को इनवाइट करें’ के रिकॉर्ड। इनवाइट कोड और उनसे जुड़े छद्मनामित डिवाइस हैश, एक्सपायर होने के बाद रोज़ चलने वाले क्लीनअप जॉब से मिटा दिए जाते हैं (कोड बनने के 30 दिन बाद एक्सपायर होते हैं); इस्तेमाल किया गया कोड, उसे इस्तेमाल करने वाले के RevenueCat App User ID के साथ, रेफ़रल प्रोग्राम चलने तक रखा जाता है, क्योंकि इसी से एक ही अकाउंट दूसरा कोड इस्तेमाल नहीं कर पाता। दिए जा चुके इनाम के रिकॉर्ड से 90 दिन बाद सब्सक्रिप्शन पहचानकर्ता हटा दिए जाते हैं; एक न्यूनतम छद्मनामित रिकॉर्ड (डिवाइस हैश, टाइमस्टैम्प, और इनाम पाने वाले तथा कोड बनाने वाले अकाउंट के SHA-256 हैश) रेफ़रल प्रोग्राम चलने तक रखा जाता है, क्योंकि इसी से हर डिवाइस और हर अकाउंट के लिए 10 महीने की इनाम सीमा लागू होती है और बार-बार इनाम लेना रुकता है (सेक्शन 7 देखें)।

बग रिपोर्ट ईमेल के रूप में भेजी जाती हैं, और रिपोर्ट की गई समस्या को ठीक करने के लिए जितना समय चाहिए, उतने समय तक डेवलपमेंट टीम के ईमेल इनबॉक्स में रखी जाती हैं।

RevenueCat सब्सक्रिप्शन से जुड़ा डेटा (सब्सक्रिप्शन की स्थिति और डिवाइस पहचानकर्ता) अपनी डेटा रिटेंशन नीति के अनुसार रखता है। Anthropic भरोसे और सुरक्षा (trust & safety) की निगरानी के लिए API डेटा रखने की अपनी सामान्य अवधि लागू करता है। Resend ईमेल डिलीवरी का मेटाडेटा अपनी नीति के अनुसार रखता है। इन प्रोवाइडर्स के पास मौजूद डेटा को डिलीट करवाने के लिए आप सीधे उनसे संपर्क कर सकते हैं।

15 बच्चों की प्राइवेसी

Fango 13 साल से कम उम्र के बच्चों के लिए नहीं बनाया गया है, और हम जान-बूझकर बच्चों से व्यक्तिगत जानकारी जमा नहीं करते। Fango में कोई यूज़र अकाउंट नहीं है, और यह किसी भी उम्र के यूज़र से नाम, ईमेल या प्रोफ़ाइल की कोई जानकारी नहीं मांगता।

डिजिटल सहमति की उम्र (GDPR अनुच्छेद 8)। जहां प्रोसेसिंग आपकी सहमति पर आधारित है — वैकल्पिक एनालिटिक्स, बिल स्कैनिंग, फ़ैमिली शेयरिंग — वहां कोई बच्चा यह सहमति ख़ुद केवल उस उम्र से दे सकता है जो उसके देश ने तय की है: जर्मनी, नीदरलैंड और पोलैंड में 16, फ़्रांस और चेक गणराज्य में 15, इटली और स्पेन में 14, और फ़िनलैंड, स्वीडन, नॉर्वे और डेनमार्क में 13। इससे कम उम्र में सहमति माता-पिता की ज़िम्मेदारी निभाने वाले व्यक्ति को देनी होगी, या उसकी मंज़ूरी से दी जानी होगी। क्योंकि Fango में रजिस्ट्रेशन नहीं होता, वह उम्र नहीं पूछता और उसे वेरिफ़ाई नहीं कर सकता, इसलिए वह यह जांच ख़ुद नहीं कर सकता — इसीलिए अभिभावक की भूमिका अहम है, और इसीलिए ऐप में कुछ भी बच्चों को आकर्षित करने के लिए नहीं बनाया गया है।

भारत: डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (Digital Personal Data Protection Act, 2023)। भारत में 18 साल से कम उम्र का हर व्यक्ति बच्चा माना जाता है, और उसका व्यक्तिगत डेटा केवल माता-पिता या कानूनी अभिभावक की ऐसी सहमति से प्रोसेस किया जा सकता है जिसे वेरिफ़ाई किया जा सके। भारत में Fango 18 साल या उससे ज़्यादा उम्र के यूज़र्स के लिए है; 18 साल से कम उम्र के यूज़र को सहमति पर आधारित सुविधाएं — वैकल्पिक एनालिटिक्स, बिल स्कैनिंग, फ़ैमिली शेयरिंग — केवल माता-पिता या अभिभावक की सहमति से ही चालू करनी चाहिए। Fango उम्र नहीं पूछता और उसे वेरिफ़ाई नहीं कर सकता, क्योंकि इसमें कोई यूज़र अकाउंट नहीं है।

फ़ैमिली शेयरिंग (नीचे देखें) के अलावा, डिवाइस से बाहर प्रोसेस होने वाला डेटा केवल सेक्शन 2–4 और 7 में बताया गया न्यूनतम, छद्मनामित डेटा है (दुरुपयोग रोकने वाले अस्थायी काउंटर, सहमति से चालू अनाम एनालिटिक्स, सब्सक्रिप्शन और रेफ़रल पहचानकर्ता) — इनमें से कुछ भी न तो बच्चों को ध्यान में रखकर है, और न ही किसी बच्चे की पहचान करने के लिए इस्तेमाल होता है।

फ़ैमिली शेयरिंग और नाबालिग। किसी फ़ैमिली ग्रुप में घर का कोई नाबालिग सदस्य भी हो सकता है — साझा फ्रिज घर चलाने का एक टूल है, और घरों में बच्चे भी होते हैं। फिर भी Fango कोई उम्र नहीं पूछता और कोई प्रोफ़ाइल नहीं रखता, इसलिए वह यह वेरिफ़ाई नहीं कर सकता कि कोई सदस्य कौन है; फ़ैमिली ग्रुप बनाने वाला वयस्क तय करता है कि किसे इनवाइट किया जाए और उसमें क्या साझा हो। फ़ैमिली ग्रुप में किसी नाबालिग सदस्य का डेटा वही खाने का डेटा है जो बाकी सबका है (सेक्शन 5), और मार्किंग लॉग में किसी सदस्य की पहचान दर्ज ही नहीं होती।

अगर आप माता-पिता या अभिभावक हैं और आपको लगता है कि आपके बच्चे ने ऐप इस्तेमाल किया है, तो सारा लोकल डेटा ऐप अनइंस्टॉल करके या सेटिंग्स में ‘ऐप का सारा डेटा मिटाएं’ विकल्प से डिलीट किया जा सकता है। अगर आपको लगता है कि हमारे पास सर्वर पर किसी बच्चे से जुड़ा कोई छद्मनामित रिकॉर्ड हो सकता है, तो support@fango.fi पर संपर्क करें, हम उसे डिलीट कर देंगे।

16 कैलिफ़ोर्निया के निवासी (CCPA / CPRA)

अगर आप कैलिफ़ोर्निया के निवासी हैं, तो कैलिफ़ोर्निया उपभोक्ता प्राइवेसी अधिनियम (California Consumer Privacy Act, CCPA), जिसे कैलिफ़ोर्निया प्राइवेसी अधिकार अधिनियम (California Privacy Rights Act, CPRA) ने संशोधित किया है, आपको आपकी व्यक्तिगत जानकारी से जुड़े कुछ ख़ास अधिकार देता है।

जमा की जाने वाली जानकारी की श्रेणियां। Fango अपने सर्वरों पर ऐसी जानकारी जमा नहीं करता जिससे आपकी पहचान हो (सेक्शन 2–4 और 7 देखें)। केवल ये श्रेणियां प्रोसेस हो सकती हैं: (a) व्यावसायिक जानकारी (सब्सक्रिप्शन की स्थिति, जिसे Apple App Store / Google Play और RevenueCat संभालते हैं); (b) पहचानकर्ता: छद्मनामित IP पते, जो केवल रेट लिमिट के ज़रिए दुरुपयोग रोकने के लिए इस्तेमाल होते हैं (48 घंटे से 35 दिनों के भीतर अपने-आप डिलीट), एक रैंडम इंस्टॉलेशन पहचानकर्ता, जो केवल स्कैन के उपयोग को गिनने के लिए इस्तेमाल होता है (आपके पहले स्कैन पर बनता है, 400 दिनों के भीतर डिलीट होता है — सेक्शन 3), और वैकल्पिक ‘दोस्त को इनवाइट करें’ सुविधा में इस्तेमाल होने वाला छद्मनामित डिवाइस हैश और RevenueCat App User ID (सेक्शन 7); और (c) छद्मनामित, एकत्रित उपयोग एनालिटिक्स इवेंट (डिवाइस हैश, ऐप वर्ज़न, प्लेटफ़ॉर्म और भाषा — कोई व्यक्तिगत जानकारी नहीं, कोई उत्पाद या बिल की सामग्री नहीं), जो केवल आपकी सहमति से जमा होते हैं और जिन्हें आप सेटिंग्स में कभी भी बंद कर सकते हैं; सेक्शन 7 देखें; और (d) अगर आप किसी फ़ैमिली ग्रुप में शामिल होते हैं, तो सेक्शन 5 में बताया गया फ़ैमिली ग्रुप का खाने का डेटा और आपका चुना हुआ निकनेम, अनाम फ़ैमिली पहचान और उससे जुड़ी सब्सक्रिप्शन की स्थिति, और एक नोटिफ़िकेशन टोकन (सेक्शन 6)।

न बिक्री, न साझा करना, न टारगेटेड विज्ञापन। Fango आपकी व्यक्तिगत जानकारी को न तो बेचता है और न ही साझा करता है, और उसे क्रॉस-कॉन्टेक्स्ट बिहेवियरल विज्ञापन के लिए इस्तेमाल नहीं करता। “Do Not Sell or Share My Personal Information” (मेरी व्यक्तिगत जानकारी न बेचें या साझा न करें) लिंक की ज़रूरत नहीं है, क्योंकि ऐसी कोई गतिविधि होती ही नहीं।

CCPA/CPRA के तहत आपके अधिकार। आपको जानने, डिलीट करवाने, सुधार करवाने, और संवेदनशील व्यक्तिगत जानकारी के उपयोग को सीमित करने का अधिकार है, और इन अधिकारों का इस्तेमाल करने पर भेदभाव न किए जाने का अधिकार भी। क्योंकि Fango आपका डेटा आपके अपने डिवाइस पर सेव करता है (और फ़ैमिली शेयरिंग का डेटा फ़ैमिली ग्रुप के सर्वर पर भी — सेक्शन 11 देखें), आप जानने और डिलीट करवाने के अधिकार का इस्तेमाल सीधे सेटिंग्स → ‘ऐप का सारा डेटा मिटाएं’ से या ऐप अनइंस्टॉल करके कर सकते हैं। तीसरे पक्ष के प्रोवाइडर्स के पास मौजूद डेटा (सेक्शन 7) के लिए सीधे हर प्रोवाइडर से संपर्क करें।

सवाल: support@fango.fi।

17 दूसरे देश और क्षेत्र

Fango कई देशों में उपलब्ध है। इस नीति में बताई गई व्यवस्था — डेटा डिवाइस पर, कोई अकाउंट नहीं — सभी यूज़र्स पर एक समान लागू होती है, चाहे वे कहीं भी हों। जहां स्थानीय प्राइवेसी कानून ऊपर बताए गए अधिकारों से ज़्यादा अधिकार देते हैं, वहां Fango के डेटा व्यवहार की सीमा तक उन अधिकारों का सम्मान किया जाता है। ख़ास तौर पर:

ब्रिटेन (UK GDPR)। सेक्शन 10 और 11 में बताए गए वही अधिकार लागू होते हैं; शिकायत ब्रिटेन के सूचना आयुक्त कार्यालय (Information Commissioner's Office, ICO) में दर्ज की जा सकती है।

स्विट्ज़रलैंड (संशोधित FADP)। इसके बराबर अधिकार लागू होते हैं; शिकायत संघीय डेटा संरक्षण और सूचना आयुक्त (Federal Data Protection and Information Commissioner, FDPIC) के पास दर्ज की जा सकती है।

अमेरिका के दूसरे राज्यों के प्राइवेसी कानून (Virginia VCDPA, Colorado CPA, Connecticut CTDPA, Utah UCPA, Texas TDPSA, Oregon OCPA, और आगे लागू होने वाले दूसरे कानून)। Fango व्यक्तिगत डेटा नहीं बेचता, टारगेटेड विज्ञापन का उपयोग नहीं करता, और ऐसी प्रोफ़ाइलिंग नहीं करता जिसका कानूनी या उसके जैसा कोई बड़ा असर हो। डिलीट करवाने और एक्सेस के अधिकारों का इस्तेमाल डिवाइस पर होता है, जैसा कि सेक्शन 11 में बताया गया है।

तुर्की (KVKK / कानून संख्या 6698)। Fango तुर्की भाषा के बिल फ़ॉर्मैट सपोर्ट करता है। KVKK के मूल दायित्व (डेटा को न्यूनतम रखना, उद्देश्य की सीमा, सुरक्षा) ऊपर बताई गई प्राइवेसी-बाय-डिज़ाइन व्यवस्था से पूरे होते हैं। जहां KVKK अनुच्छेद 11 के तहत डेटा से जुड़े अधिकारों का इस्तेमाल किया जाता है, वहां सेक्शन 11 में बताई गई डिवाइस पर डिलीट करने की प्रक्रिया लागू होती है; तीसरे पक्षों के पास बचे डेटा के लिए सेक्शन 7 में बताए गए प्रोवाइडर्स से सीधे संपर्क करें।

न्यूज़ीलैंड (Privacy Act 2020), सिंगापुर (PDPA), इज़राइल (Protection of Privacy Law 5741-1981)। इन सभी कानूनों में साझा सिद्धांत — उद्देश्य की सीमा, डेटा को न्यूनतम रखना, सुरक्षा उपाय, और एक्सेस/सुधार/डिलीट करवाने के अधिकार — Fango के डिवाइस पर डेटा रखने वाले मॉडल से पूरे होते हैं। इज़राइल के निवासी PPL की धारा 15 के तहत अपने अधिकारों का इस्तेमाल कर सकते हैं; सिंगापुर के निवासी बचे हुए डेटा के लिए सेक्शन 7 में बताए गए प्रोवाइडर्स से संपर्क कर सकते हैं।

कनाडा (PIPEDA), ऑस्ट्रेलिया (Privacy Act 1988), ब्राज़ील (LGPD), जापान (APPI), दक्षिण कोरिया (PIPA), दक्षिण अफ़्रीका (POPIA), भारत (डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023), मेक्सिको (LFPDPPP), अर्जेंटीना (PDPA), थाईलैंड (PDPA), और दूसरे क्षेत्राधिकार। Fango की प्राइवेसी-बाय-डिज़ाइन व्यवस्था (कोई यूज़र अकाउंट नहीं, केवल सहमति से चालू एनालिटिक्स, कोई व्यवहार-ट्रैकिंग नहीं, डेटा की कोई बिक्री नहीं) इन कानूनों की मूल ज़रूरतें पूरी करती है। जहां स्थानीय कानून इस नीति में बताए गए अधिकारों या उपायों से ज़्यादा अधिकार देता है, वहां Fango की न्यूनतम सर्वर-डेटा वाली व्यवस्था में जितना उचित रूप से संभव है, उन अधिकारों का सम्मान किया जाता है। अगर आपको अपने क्षेत्राधिकार से जुड़ी अतिरिक्त जानकारी चाहिए, तो support@fango.fi पर संपर्क करें।

18 वेबसाइट (fango.fi)

सेक्शन 1–17 Fango ऐप के बारे में हैं। यह सेक्शन fango.fi वेबसाइट के बारे में है, जिसमें ब्लॉग भी शामिल है। वेबसाइट ऐप से अलग चलाई जाती है, उसके साथ कोई डेटा साझा नहीं करती, और ऐसा कुछ भी जमा नहीं करती जिससे आपकी पहचान हो।

कोई कुकी नहीं, कोई विज्ञापन ट्रैकर नहीं। वेबसाइट कोई कुकी सेट नहीं करती और कोई विज्ञापन, सोशल या प्रोफ़ाइलिंग स्क्रिप्ट लोड नहीं करती। इसलिए स्वीकार या अस्वीकार करने के लिए कोई कुकी बैनर भी नहीं है।

विज़िटर के आंकड़े। पेज व्यू और डाउनलोड बटन पर टैप GoatCounter से गिने जाते हैं, जो बिना कुकी वाली एनालिटिक्स सेवा है। यह सेवा कोई कुकी सेट नहीं करती, IP पते सेव नहीं करती और विज़िटर्स को अलग-अलग साइटों पर फ़ॉलो नहीं करती। हमें केवल कुल गिनती मिलती है — हर पेज के पेज व्यू और बटन टैप, रेफ़र करने वाली साइट, और ब्राउज़र और देश की मोटी श्रेणियां — किसी एक विज़िटर की ब्राउज़िंग हिस्ट्री कभी नहीं। इसी तरह, कुल गिनती के रूप में ही, यह सेवा हर पेज के लिए यह भी गिनती है कि पेज कितना स्क्रॉल किया गया (चौथाई हिस्सों में), पेज 30 सेकंड या दो मिनट से ज़्यादा खुला रहा या नहीं, डाउनलोड बटन स्क्रीन पर दिखा या नहीं, fango.fi के दूसरे पेजों के लिंक और भाषा मेन्यू पर टैप, और उन पतों पर विज़िट जो मौजूद नहीं हैं। GoatCounter का अपना प्राइवेसी स्टेटमेंट goatcounter.com/help/privacy पर उपलब्ध है।

डाउनलोड लिंक की गिनती। जब आप ऐप इंस्टॉल करने वाले किसी लिंक पर टैप करते हैं, तो fango.fi/get/ आपको App Store या Google Play पर भेज देता है और सर्वर लॉग में एक लाइन लिखता है: समय, लिंक किस लेख में और पेज पर किस जगह था, डिवाइस का प्रकार (Android, iPhone या कंप्यूटर), ब्राउज़र/ऑपरेटिंग सिस्टम की मोटी श्रेणी और ब्राउज़र का मुख्य वर्ज़न, जैसे Safari18/iOS, और एक तकनीकी वर्गीकरण कि टैप किसी इंसान का लगता है या किसी ऑटोमेटेड प्रोग्राम का। कोई IP पता, कोई कुकी, कोई पहचानकर्ता और ब्राउज़र की पूरी स्ट्रिंग दर्ज नहीं की जाती, इसलिए एंट्री को एक-दूसरे से या आपसे नहीं जोड़ा जा सकता। एकमात्र अपवाद वे प्रोग्राम हैं जो ख़ुद को क्रॉलर बताते हैं, और साफ़ तौर पर नकली ब्राउज़र स्ट्रिंग — इनके लिए फ़िल्टरिंग को बेहतर बनाने के लिए ब्राउज़र स्ट्रिंग का छोटा रूप सेव किया जाता है। हम इसका उपयोग केवल यह देखने के लिए करते हैं कि कौन-से लेख लोगों को ऐप इंस्टॉल करने तक ले जाते हैं। ये एंट्री 90 दिन बाद अपने-आप डिलीट हो जाती हैं। जिस स्टोर लिंक पर आपको भेजा जाता है, उसमें लेख के स्तर का वही कैंपेन टैग होता है; Apple और Google उसे अपनी प्राइवेसी नीतियों के तहत अपने स्टोर एनालिटिक्स में प्रोसेस करते हैं (सेक्शन 7 देखें) — इससे लेख की पहचान होती है, आपकी नहीं।

आपके डिवाइस पर सेव होने वाली एकमात्र जानकारी। अगर आप किसी ब्लॉग लेख के नीचे दिखने वाला डाउनलोड बार बंद करते हैं, तो आपके ब्राउज़र के लोकल स्टोरेज में fango_sticky_dismissed नाम का एक फ़्लैग सेव होता है, ताकि अगली बार आने पर भी बार बंद रहे। इसमें कोई पहचानकर्ता नहीं होता, यह कहीं भी नहीं भेजा जाता, और आप इसे कभी भी अपने ब्राउज़र की साइट-डेटा सेटिंग्स से हटा सकते हैं।

Apple का Smart App Banner। iPhone पर Safari पेज के ऊपर Apple का अपना ऐप बैनर दिखा सकता है। यह बैनर Apple हमारे पेजों के एक स्टैंडर्ड टैग से बनाता है; इसके साथ कोई भी इंटरैक्शन आपके डिवाइस और Apple के बीच होता है और हमें दिखाई नहीं देता।

होस्टिंग। किसी भी वेबसाइट की तरह, fango.fi एक होस्टिंग प्रोवाइडर (Hostingpalvelu Oy, फ़िनलैंड) के सर्वर से चलती है, जिसका वेब सर्वर सुरक्षा और तकनीकी समस्याएं ठीक करने के लिए IP पतों वाले सामान्य एक्सेस लॉग रखता है। ये लॉग प्रोवाइडर अपनी रिटेंशन नीति के तहत रखता है; हम इनका उपयोग एनालिटिक्स, प्रोफ़ाइलिंग या मार्केटिंग के लिए नहीं करते।

कानूनी आधार। कुल आंकड़े और डाउनलोड लिंक लॉग यह समझने के वैध हित (अनुच्छेद 6(1)(f)) पर आधारित हैं कि कौन-सी सामग्री उपयोगी है और साइट ठीक से काम कर रही है या नहीं — और इस हित को इस बात से संतुलित किया गया है कि कोई व्यक्तिगत डेटा जमा नहीं किया जाता। लोकल स्टोरेज का फ़्लैग आपके मांगे गए काम (बंद किए गए बार को बंद रखना) के लिए बिल्कुल ज़रूरी है, इसलिए यूरोपीय संघ के ई-प्राइवेसी निर्देश (ePrivacy Directive) के तहत इसके लिए सहमति की ज़रूरत नहीं है।

19 इस नीति में बदलाव

हम समय-समय पर इस प्राइवेसी नीति को अपडेट कर सकते हैं। ऐसा होने पर हम इस पेज के ऊपर दी गई लागू होने की तारीख़ अपडेट करेंगे। हमारी सलाह है कि आप समय-समय पर यह नीति देखते रहें, ख़ासकर ऐप का नया वर्ज़न इस्तेमाल करने से पहले।

बदलाव प्रकाशित होने के बाद भी Fango का उपयोग जारी रखने का मतलब है कि आप अपडेट की गई नीति स्वीकार करते हैं। अगर बदलाव बड़े हैं, तो हम यूज़र्स को सूचना देने की उचित कोशिश करेंगे (उदाहरण के लिए, ऐप में एक नोटिस के ज़रिए)।

20 संपर्क

प्राइवेसी से जुड़े सवालों या अनुरोधों के लिए हमसे संपर्क करें:

ईमेल: support@fango.fi

हम प्राइवेसी से जुड़े सभी सवालों का जवाब 30 दिनों के भीतर देने की कोशिश करते हैं।