डेटा प्रोसेसिंग समझौता

यह डेटा प्रोसेसिंग समझौता ("DPA") बताता है कि Astrina.io हमारे एनालिटिक्स, सत्र रिकॉर्डिंग, SEO निगरानी और समीक्षा सेवाओं का उपयोग करने वाले ग्राहक की ओर से व्यक्तिगत डेटा को कैसे संसाधित करता है। यह इस बात का वर्णन करने के लिए लिखा गया है कि हमारी सेवा आज वास्तव में क्या करती है, न कि हम बाद में क्या कर सकते हैं।

इसे हमारे साथ पढ़ा जाना चाहिए गोपनीयता नीति, सेवा की शर्तें, सुरक्षा पृष्ठ, उप-प्रसंस्कर्ताओं की सूची और डेटा संरक्षण पृष्ठ.

1. पक्षों की भूमिकाएँ

Astrina.io के साथ ट्रैक की गई वेबसाइटों के आगंतुकों से एकत्रित व्यक्तिगत डेटा के लिए, आप डेटा नियंत्रक हैं और Astrina.io डेटा प्रोसेसर है। आप तय करते हैं कि कौन सी साइटें ट्रैक की जाती हैं, क्या सत्र रिकॉर्डर स्थापित है, और डेटा का उपयोग किस लिए किया जाता है। हम उस डेटा को आपके लिए सेवा प्रदान करने के लिए संसाधित करते हैं।

हमारे साथ आपके अपने खाते के लिए — आपका ईमेल पता, पासवर्ड हैश, भूमिका, योजना, बैलेंस और समर्थन टिकट — Astrina.io नियंत्रक के रूप में कार्य करता है। उस प्रसंस्करण का वर्णन हमारे गोपनीयता नीति, इस DPA में नहीं।

आप जिस ट्रैकिंग को सक्षम करते हैं, उसके लिए एक वैध आधार होने और अपने आगंतुकों को इसके बारे में बताने के लिए आप जिम्मेदार हैं। हम आपके लिए ऐसा नहीं कर सकते, क्योंकि हम आपकी वेबसाइट को नियंत्रित नहीं करते।

2. विषय वस्तु और अवधि

प्रसंस्करण का विषय वस्तु आपके लिए Astrina.io सेवा का संचालन है। यह DPA तब तक लागू है जब तक आपके पास एक Astrina.io खाता है और हम आपके पक्ष में संसाधित व्यक्तिगत डेटा रखते हैं।

डेटा की व्यक्तिगत श्रेणियाँ नीचे अनुभाग 8 में निर्धारित अवधियों के लिए रखी जाती हैं। जब आप अपने पैनल से एक ट्रैक की गई साइट को हटाते हैं, तो उस साइट का डेटा हटा दिया जाता है। जब आपके खाते को अनुरोध पर हटाया जाता है, तो हम आपके पक्ष में प्रसंस्करण बंद कर देते हैं।

3. प्रसंस्करण की प्रकृति और उद्देश्य

• वेबसाइट विश्लेषण — आपके द्वारा ट्रैक की गई साइटों पर विज़िट की गिनती और वर्णन करना, और आपके लिए रिपोर्ट और समेकित सांख्यिकी तैयार करना।
• सत्र रिकॉर्डिंग — वैकल्पिक। यदि आप रिकॉर्डर स्क्रिप्ट स्थापित करते हैं, तो यह पृष्ठ इंटरैक्शन को कैप्चर करता है ताकि आप अपनी साइट पर सत्रों को फिर से चला सकें।
• SEO और पृष्ठ निगरानी — आपके द्वारा हमें निगरानी करने के लिए कहे गए पृष्ठों को क्रॉल करना और परिणामों का इतिहास रखना।
• समीक्षाएँ — समीक्षाओं को स्वीकार करना, मॉडरेट करना और प्रकाशित करना, जिनमें उन्हें उपयोगी बनाए रखने के लिए आवश्यक दुरुपयोग नियंत्रण शामिल हैं।

हम व्यक्तिगत डेटा नहीं बेचते हैं और न ही इसे विज्ञापनदाताओं के साथ साझा करते हैं। विश्लेषण केवल पहले-पार्टी विज़िटर आईडी का उपयोग करता है। हम कोई तृतीय-पक्ष कुकीज़, कोई क्रॉस-साइट ट्रैकिंग कुकीज़ और कोई विज्ञापन पिक्सेल सेट नहीं करते।

4. व्यक्तिगत डेटा के प्रकार

विश्लेषण (प्रत्येक हिट के लिए एक पंक्ति)

• टाइमस्टैम्प।
• विज़िटर आईडी — आपके अपने डोमेन पर संग्रहीत पहले-पार्टी "_astr" आईडी (कुकी फॉलबैक के साथ स्थानीय भंडारण), या, जहां यह उपलब्ध नहीं है, एक फॉलबैक आईडी के रूप में व्युत्पन्न। md5(ip + user-agent + date).
• आगंतुक का आईपी पता। नीचे नोट देखें — यह महत्वपूर्ण है।
• URL, पृष्ठ शीर्षक, संदर्भदाता और संदर्भदाता होस्ट।
• ब्राउज़र, ऑपरेटिंग सिस्टम, डिवाइस, स्क्रीन आकार।
• देश, जो Cloudflare के CF-IPCountry अनुरोध हेडर से लिया गया है।
• भाषा।
• अभियान पैरामीटर: utm_source, utm_medium, utm_campaign।

आईपी पते के बारे में — स्पष्ट रूप से कहा गया

आईपी पता कच्चे रूप में संग्रहीत किया जाता है। इसे अनामित नहीं किया गया है और इसे संक्षिप्त नहीं किया गया है। इसका उपयोग दो चीजों के लिए किया जाता है: (a) बैकअप आगंतुक आईडी निकालना, और (b) संभावित बॉट्स का पता लगाना, डेटा सेंटर और होस्टिंग आईपी पतों को रिवर्स DNS के माध्यम से वर्गीकृत करके। पिछले चार दिनों में देखे गए आईपी पतों पर हर पांच मिनट में एक कार्य चलता है, और वर्गीकरण परिणाम "ip_intel" नामक तालिका में रखे जाते हैं। आईपी पता तब तक रखा जाता है जब तक कच्चा हिट पंक्ति मौजूद है — अनुभाग 8 देखें।

यदि कच्चे आगंतुक आईपी पतों को संग्रहीत करना आपकी सेवा के उपयोग के लिए स्वीकार्य नहीं है, तो आपको ट्रैकिंग स्क्रिप्ट को लागू करने से पहले इसे ध्यान में रखना चाहिए।

सत्र रिकॉर्डिंग

मास्किंग डिफ़ॉल्ट रूप से चालू है और इसे ब्राउज़र में लागू किया गया है, इससे पहले कि डेटा हमें भेजा जाए:

• पासवर्ड, ईमेल और टेलीफोन इनपुट फ़ील्ड कभी भी एक मान नहीं भेजते — न ही इसकी लंबाई।
• भुगतान-कार्ड फ़ील्ड को भी इसी तरह से संभाला जाता है।
• अन्य सभी इनपुट पाठ को बुलेट्स में मास्क किया जाता है।
• आपके द्वारा [data-astr-mask] के साथ चिह्नित किया गया कोई भी उप-ट्री ब्राउज़र छोड़ने से पहले संपादित किया जाता है।

समीक्षाएँ

• लेखक (एक साइन-इन सदस्य या एक अतिथि), रेटिंग, समीक्षा पाठ और मॉडरेशन स्थिति।
• सबमिटर का आईपी पता, जिसका उपयोग केवल दुरुपयोग दर-सीमा के लिए किया जाता है।
• अतिथि समीक्षाएँ मॉडरेशन के बाद प्रकाशित होती हैं; साइन-इन सदस्यों की समीक्षाएँ तुरंत प्रकाशित होती हैं।
• कुछ समीक्षा प्रकारों के लिए साक्ष्य छवियाँ और वीडियो वेब रूट के बाहर संग्रहीत होते हैं और केवल एक गेटेड एंडपॉइंट के माध्यम से प्रदान किए जाते हैं, जो 403 लौटाता है जब तक कि समीक्षा को मंजूरी नहीं दी जाती, या आप इसके लेखक या एक प्रशासक नहीं हैं।

आपके लिए संसाधित अन्य डेटा

• SEO रिपोर्ट और प्रति-पृष्ठ निगरानी इतिहास।
• API: प्रति सदस्य एक कुंजी (प्रिफिक्स ak_) और एक प्रति-दिन कॉल काउंटर जो सदस्य आईडी, तिथि और कॉल की संख्या रखता है।
• समर्थन डेस्क: टिकट और संदेश।
• "Astrina के साथ लॉगिन": प्रत्येक लिंक की गई पहचान के लिए हम प्रदाता, प्रदाता का उपयोगकर्ता आईडी, और जो कुछ भी प्रदाता हमें लौटाता है — आमतौर पर ईमेल पता, डिस्प्ले नाम और अवतार संग्रहीत करते हैं।

5. डेटा विषयों की श्रेणियाँ

• वे आगंतुक जो वेबसाइटों पर जाते हैं जिन्हें आप Astrina.io के साथ ट्रैक करते हैं, जिसमें कोई भी शामिल है जिसका सत्र वैकल्पिक रिकॉर्डर द्वारा कैप्चर किया गया है।
• आपके अपने उपयोगकर्ता — वे लोग जो आपके साथ खाते रखते हैं या आपकी साइट पर साइन इन करते हैं और जिन्हें ट्रैकिंग स्क्रिप्ट द्वारा देखा जाता है।
• वे लोग जो समीक्षाएँ प्रस्तुत करते हैं, और वे लोग जो आपके समर्थन डेस्क से संपर्क करते हैं।

6. हमारे प्रोसेसर के रूप में दायित्व

• दस्तावेज़ीकृत निर्देश। हम आपकी ओर से केवल सेवा प्रदान करने के लिए व्यक्तिगत डेटा संसाधित करते हैं, और केवल आपके दस्तावेज़ीकृत निर्देशों पर। आपके निर्देश इस DPA, हमारी सेवा की शर्तें, और आपके पैनल में किए गए विकल्प हैं — आप किन साइटों को ट्रैक करते हैं, क्या आप रिकॉर्डर स्थापित करते हैं, और आपके पृष्ठों के किन हिस्सों को आप मास्क करते हैं।
• गोपनीयता। हम आपके पक्ष में संसाधित डेटा को गोपनीय रखते हैं। सेवा संचालित करने के लिए आवश्यक तक ही पहुंच सीमित है। हम इसे नहीं बेचते और न ही इसे विज्ञापनदाताओं के साथ साझा करते हैं।
• सुरक्षा। हम अनुभाग 7 में वर्णित तकनीकी उपायों को लागू करते हैं और हमारे सुरक्षा पृष्ठ.
• उप-प्रसंस्कर्ता। हम केवल अनुभाग 9 में सूचीबद्ध उप-प्रसंस्कर्ताओं का उपयोग करते हैं और हमारे उप-प्रसंस्कर्ता पृष्ठ.
• डेटा-विशय अनुरोधों में सहायता। यदि आपके डेटा विषयों में से कोई आपसे संपर्क करता है और आपको उनके डेटा का उत्तर देने, खोजने या हटाने में हमारी मदद की आवश्यकता है, तो support@astrina.io पर लिखें और हम सहायता करेंगे।
• हटाना। हम आपके पक्ष में संसाधित डेटा को अनुरोध पर हटाते हैं - अनुभाग 10 देखें।
• जानकारी उपलब्ध कराना। हम आपके डेटा को प्रोसेस करने के तरीके के बारे में उचित प्रश्नों का उत्तर देते हैं। हम क्या प्रदान कर सकते हैं और क्या नहीं, इसके लिए अनुभाग 11 देखें।

7. सुरक्षा उपाय

ये वे उपाय हैं जो आज वास्तव में लागू हैं:

• सभी ट्रैफ़िक के लिए TLS: क्लाउडफ्लेयर पूर्ण (कठोर) मोड में, मूल सर्वर पर Let's Encrypt प्रमाणपत्र के साथ।
• पासवर्ड केवल हैश के रूप में संग्रहीत होते हैं, PHP password_hash() का उपयोग करके bcrypt (PASSWORD_DEFAULT) के साथ, और password_verify() के साथ जांचे जाते हैं। स्पष्ट पासवर्ड कभी भी संग्रहीत या लॉग नहीं किए जाते।
• ईमेल-प्रमाणीकरण और पासवर्ड-रीसेट टोकन SHA-256 हैश के रूप में संग्रहीत होते हैं, एकल-उपयोग होते हैं, और समाप्त हो जाते हैं।
• सत्र कुकी "astrsess" HttpOnly है, HTTPS पर सुरक्षित है, और SameSite=Lax है।
• राज्य-परिवर्तन फॉर्म सबमिशन पर CSRF टोकन।
• API कुंजियाँ केवल अनुरोध हेडर (X-Api-Key या Authorization: Bearer) में स्वीकार की जाती हैं। उन्हें जानबूझकर URL क्वेरी स्ट्रिंग में स्वीकार नहीं किया जाता है, ताकि वे सर्वर लॉग, प्रॉक्सी लॉग, ब्राउज़र इतिहास या Referer हेडर में लीक न हों। कुंजियाँ किसी भी समय /my/api.php से पुनः उत्पन्न की जा सकती हैं, जो पुराने कुंजी को तुरंत रद्द कर देती है। प्रति-योजना दैनिक कोटा HTTP 429 लौटाता है जब इसे पार किया जाता है।
• CORS: सार्वजनिक API विधियाँ खुली हैं (Access-Control-Allow-Origin: *)। निजी एनालिटिक्स विधि /api/v1/stats कोई Allow-Origin हेडर नहीं भेजती है, इसलिए एक ब्राउज़र इसे क्रॉस-ओरिजिन नहीं पढ़ सकता।
• SEO क्रॉलर SSRF के खिलाफ मजबूत किया गया है: केवल http और https की अनुमति है, निजी, लूपबैक और लिंक-स्थानीय रेंज को अस्वीकार किया गया है, हल किया गया IP पिन किया गया है, हर रीडायरेक्ट हॉप को फिर से मान्य किया गया है, और प्रतिक्रिया शरीर को सीमित किया गया है।
• दुरुपयोग नियंत्रण की समीक्षा करें: प्रति-IP सबमिशन सीमाएँ और मॉडरेशन।
• बॉट फ़िल्टरिंग: उपयोगकर्ता-एजेंट नियम और रिवर्स DNS के माध्यम से डेटा सेंटर-IP वर्गीकरण।
• व्यवस्थापक क्षेत्र एक भूमिका जांच द्वारा गेटेड है।

हमारे पास क्या नहीं है। हम यह कहना पसंद करेंगे बजाय इसके कि आप अन्यथा मानें: Astrina पैनल के लिए कोई दो-कारक प्रमाणीकरण और कोई SSO नहीं है, कोई प्रकाशित पेनिट्रेशन परीक्षण नहीं है, कोई ISO, SOC 2 या कोई अन्य प्रमाणन नहीं है, और कोई बग-बाउंटी कार्यक्रम नहीं है।

बैकअप और पुनर्स्थापन

Hestia नियंत्रण पैनल लगभग 05:12 UTC पर फ़ाइलों और डेटाबेस का दैनिक बैकअप लेता है, जो उसी सर्वर पर /backup में संग्रहीत होता है। कोई ऑफ-साइट या भू-लालित्य पुनरुत्पादन नहीं है: बैकअप उसी मशीन पर रहता है जिस डेटा की वह सुरक्षा करता है। लगभग एक दैनिक प्रति रखी जाती है। यदि सेवा को पुनर्स्थापित करना है, तो इसे नवीनतम दैनिक बैकअप से पुनर्स्थापित किया जाता है। कोई RTO या RPO की गारंटी नहीं है।

सेवा स्तर

कोई सेवा स्तर समझौता सार्वजनिक रूप से पेश नहीं किया जाता है। हम यहां अपटाइम आंकड़े या प्रतिक्रिया समय का वादा नहीं करते हैं। SLA केवल तभी मौजूद है जब एक अलग व्यक्तिगत अनुबंध किया गया हो — यदि आपको एक की आवश्यकता है तो support@astrina.io पर लिखें।

8. रिटेंशन

रिटेंशन अवधि हमारे द्वारा, ऑपरेटर द्वारा, प्रशासन सेटिंग्स में कॉन्फ़िगर की जाती हैं। ये ग्राहक-कॉन्फ़िगर करने योग्य नहीं हैं। वर्तमान मान:

कच्चे हिट को एक दैनिक कार्य द्वारा छांटा जाता है। अंतिम पंक्ति का ईमानदार परिणाम नोट करें: संयुक्त दैनिक और आयाम तालिकाएँ हिट से निकाली जाती हैं और अनिश्चितकाल के लिए रखी जाती हैं, इसलिए वे उन कच्चे पंक्तियों के छंटाई से बच जाती हैं जिनसे वे आई थीं। इनमें IP पता शामिल नहीं है।

9. उपप्रोसेसर

यह उप-प्रोसेसरों की पूरी सूची है:

• OVH — ईयू में बुनियादी ढांचे की मेज़बानी। सर्वर पर संग्रहीत सब कुछ संसाधित करता है।
• Cloudflare — DNS, CDN, TLS समाप्ति और WAF। अनुरोध मेटाडेटा को संसाधित करता है, जिसमें IP पते शामिल हैं।
• Payora — बैलेंस टॉप-अप के लिए भुगतान प्रसंस्करण (कार्ड और क्रिप्टो)।
• क्या मैं Pwned हुआ हूँ (Pwned Passwords) — पासवर्ड-लीक जांच। केवल SHA-1 हैश के पहले पांच अक्षर भेजे जाते हैं (k-गुमनामी)। पासवर्ड स्वयं कभी भी ब्राउज़र या हमारे सर्वर से बाहर नहीं जाता है, और कोई व्यक्तिगत डेटा नहीं भेजा जाता है।

हम CoinGecko, SteamSpy, Open Food Facts और IMDb डेटा सेट से सार्वजनिक कैटलॉग डेटा भी खींचते हैं। ये स्रोत हैं जिनसे हम पढ़ते हैं - वे हमसे कोई व्यक्तिगत डेटा प्राप्त नहीं करते हैं।

वर्तमान सूची यहाँ प्रकाशित है /subprocessors.

10. अंतरराष्ट्रीय स्थानांतरण

हम केवल वही बताएंगे जो सच है। हमारा बुनियादी ढांचा ईयू में OVH के साथ होस्ट किया गया है, और सर्वर को Hestia नियंत्रण पैनल के साथ प्रबंधित किया जाता है, जिसमें उसी सर्वर पर MariaDB/MySQL डेटाबेस है। Cloudflare इसके सामने DNS, CDN और TLS प्रॉक्सी के रूप में बैठता है, और उस भूमिका में अनुरोध मेटाडेटा को संसाधित करता है, जिसमें IP पते शामिल हैं। आउटबाउंड ईमेल हमारे अपने Exim मेल सर्वर द्वारा noreply@astrina.io से भेजा जाता है, जिसमें DKIM कॉन्फ़िगर किया गया है; कोई तीसरा पक्ष मेल प्रदाता नहीं है।

इन तथ्यों के अलावा, हम स्थानांतरण तंत्र के बारे में कोई और प्रतिनिधित्व नहीं करते हैं। यदि आपको अपने अनुपालन कार्य के लिए एक विशिष्ट स्थानांतरण व्यवस्था का दस्तावेज़ीकरण करने की आवश्यकता है, तो इसे support@astrina.io पर उठाएं।

11. ऑडिट और जानकारी

कोई तीसरे पक्ष का ऑडिट रिपोर्ट, कोई प्रमाणन और कोई प्रकाशित पेनिट्रेशन टेस्ट नहीं है जिसे हम आपको भेज सकें, क्योंकि ऐसा कुछ नहीं है। हम अन्यथा का संकेत नहीं देने जा रहे हैं।

हम जो कर सकते हैं वह प्रश्नों का उत्तर देना है। support@astrina.io पर लिखें और हम बताएंगे कि सिस्टम का एक विशेष भाग डेटा को कैसे संभालता है, जितनी जानकारी हम सेवा की सुरक्षा को कमजोर किए बिना या किसी अन्य ग्राहक के डेटा को उजागर किए बिना दे सकते हैं। सुरक्षा पृष्ठ पर /security जो वास्तव में तैनात है उसका सटीक विवरण रखा गया है।

12. डेटा-विशय अनुरोध, विलोपन और आपके नियंत्रण

• आज पैनल में स्व-सेवा खाता विलोपन नहीं है। विलोपन अनुरोध पर किया जाता है: support@astrina.io पर ईमेल करें और हम खाता और इसके लिए रखे गए डेटा को हटा देंगे। हम इसे स्पष्ट रूप से बता रहे हैं बजाय इसके कि आपको एक बटन की ओर इंगित करें जो मौजूद नहीं है।
• आप अपने पैनल से व्यक्तिगत ट्रैक की गई साइट को स्वयं हटा सकते हैं। इससे इसका डेटा हटा दिया जाता है।
• आप किसी भी समय /my/api.php से अपने API कुंजी को पुनः उत्पन्न या रद्द कर सकते हैं।
• यदि एक डेटा विषय आपके खिलाफ एक अधिकार का प्रयोग करता है और आपको हमारे द्वारा अंतर्निहित डेटा पर कार्य करने की आवश्यकता है, तो support@astrina.io से संपर्क करें।

support@astrina.io हमारा एकमात्र संपर्क पता है। यह वह जगह भी है जहाँ आप गोपनीयता अनुरोध, डेटा विलोपन अनुरोध और सुरक्षा कमजोरियों की रिपोर्ट भेजते हैं।

13. कुकीज़ और संग्रहण

हम astrina.io पर "astrsess" (कड़ाई से आवश्यक सत्र कुकी: HttpOnly, Secure, SameSite=Lax) और "astr_lang" (जो आपकी चुनी हुई इंटरफेस भाषा को याद रखता है) सेट करते हैं। आपकी थीम प्राथमिकता localStorage में "astr-theme" के रूप में संग्रहीत होती है, कुकी में नहीं। हम astrina.io पर कोई विज्ञापन या तीसरे पक्ष की ट्रैकिंग कुकीज़ सेट नहीं करते हैं।

आपकी साइट पर, एनालिटिक्स स्क्रिप्ट "_astr", एक पहले-पक्ष आगंतुक आईडी, localStorage में कुकी फॉलबैक के साथ, आपके अपने डोमेन पर संग्रहीत करती है। यह साइटों के बीच पढ़ने योग्य नहीं है और यह एक तीसरे पक्ष की कुकी नहीं है।

अधिक विवरण: कुकी नीति.

14. इस दस्तावेज़ की स्थिति

यह DPA जैसा है, वैसा ही प्रस्तुत किया गया है। यह आपके पक्ष में संसाधित डेटा को संभालने के तरीके का हमारा विवरण है, और यह तब लागू होता है जब आप सेवा का उपयोग करते हैं।

यदि आपको एक हस्ताक्षरित डेटा प्रोसेसिंग समझौता, एक बातचीत की गई संस्करण, या विशिष्ट संविदात्मक प्रतिबद्धताएँ चाहिए, तो उस पर चर्चा की जा सकती है — support@astrina.io पर लिखें। इस पृष्ठ पर कुछ भी आपकी अपनी कानूनी सलाह का विकल्प नहीं है।

संबंधित पृष्ठ: गोपनीयता · शर्तें · सुरक्षा · उपप्रसंस्कर्ता · रिटेंशन · स्वीकृत उपयोग · कुकीज़ · संपर्क