बायोमेट्रिक डेटा रखने और नष्ट करने की नीति

आखिरी अपडेट: 12 अक्टूबर 2026

यह वही लिखित नीति है जो तय करती है कि बायोमेट्रिक डेटा कब तक रखा जाएगा और कब नष्ट किया जाएगा, और जिसका हवाला हमारी गोपनीयता नीति देती है। यह हर उस व्यक्ति पर लागू होती है जो सेवा में चेहरे की जाँच शुरू करता है, चाहे वह कहीं भी हो। सेवा का मतलब है विश्व गणराज्य का ऐप और वेबसाइट — और इसमें वही ऐप तब भी शामिल है जब वह Raised by Humanity नाम से दिया जाता है। गोपनीयता नीति का खंड 1 बताता है कि सेवा में कौन-कौन सी साइटें आती हैं, और इस नीति में भी उसका यही मतलब है। यह नीति इसलिए प्रकाशित की जाती है कि आप हमसे इसका पालन करवा सकें, और इसलिए भी कि जो कानून इस तरह की सार्वजनिक नीति ज़रूरी बनाते हैं, उनका पालन हो सके।

1. यह नीति किस पर लागू होती है

चेहरे की जाँच — गोपनीयता नीति के खंड 4 में बताई गई वही जाँच, जिससे पुष्टि होती है कि आप कैमरे के सामने मौजूद हैं — दो तरह का बायोमेट्रिक डेटा बनाती है, और दोनों को हमारी ओर से Amazon Web Services (AWS) अपने यूरोपीय संघ (आयरलैंड) रीजन में रखता है:

• चेहरे की एक संदर्भ तस्वीर — आपकी चेहरे की जाँच के सेशन से, जो Amazon S3 में रखी जाती है।
• चेहरे का एक वेक्टर (टेम्पलेट) — उसी तस्वीर से बना, जो Amazon Rekognition के एक कलेक्शन में रखा जाता है और आपके खाते से जुड़ा होता है। इसी कलेक्शन की वजह से हम यह जाँच पाते हैं कि एक ही चेहरे से दूसरा खाता सत्यापित न किया जाए।

इस नीति में “बायोमेट्रिक डेटा” का मतलब है ये दोनों, और साथ में हमारे डेटाबेस के वे आंतरिक रिकॉर्ड भी जो इनकी ओर इशारा करते हैं (आपकी चेहरे की जाँचों के सेशन रिकॉर्ड)।

यह नीति किसी जाँच के नतीजे पर लागू नहीं होती। आपका खाता सत्यापित है या नहीं, और यह रिकॉर्ड कि आपका चेहरा किसी दूसरे खाते से मेल खा गया और सत्यापन मंज़ूर नहीं हुआ (कौन सा खाता, और समानता का स्कोर) — ये खाते के सामान्य रिकॉर्ड हैं, और इन्हें गोपनीयता नीति में बताए तरीके से संभाला जाता है।

इस नीति की अवधियाँ एक रिकॉर्ड पर लागू नहीं होतीं। हमारे क्लाउड खातों का सुरक्षा ऑडिट लॉग वह अनुरोध दर्ज करता है जो आपके चेहरे को कलेक्शन में जोड़ता है, और वह प्रविष्टि यह दर्ज करती है कि संदर्भ तस्वीर में आपकी आँखें, नाक और मुँह कहाँ हैं और आपके सिर का कोण क्या है — तस्वीर या टेम्पलेट कभी नहीं। हम इन स्थितियों को बायोमेट्रिक डेटा मानते हैं। वह प्रविष्टि उतनी अवधि तक रखी जाती है जितनी गोपनीयता नीति का खंड 8 सुरक्षा ऑडिट लॉग के लिए बताता है — यह अवधि इस नीति की अवधियों से लंबी हो सकती है — और आपका बाकी बायोमेट्रिक डेटा नष्ट करने से वह प्रविष्टि नहीं हटती। हम इन स्थितियों का कभी इस्तेमाल नहीं करते।

2. बायोमेट्रिक डेटा कब नष्ट किया जाता है

हम बायोमेट्रिक डेटा सिर्फ़ तब तक रखते हैं, जब तक वह यह पुष्टि करने के लिए ज़रूरी हो कि आप एक विशिष्ट, जीवित व्यक्ति हैं, और दोहरे मतदाता खातों को रोकने के लिए ज़रूरी हो। नीचे दी गई इन स्थितियों में से जो भी सबसे पहले आए, तब उसे हमेशा के लिए नष्ट कर दिया जाता है:

1. जब खाता मिटाया जाता है। इसमें सेवा में आपका खुद खाता मिटाना भी आता है, और वह बंद करना भी जो हम खुद, हाथ से करते हैं — उपयोग की शर्तों के तहत, या इसलिए कि हमें पता चलता है कि खाताधारक की उम्र 18 साल से कम है। दोनों में फ़र्क सिर्फ़ इतना है कि नष्ट करना शुरू कैसे होता है। सेवा में आप खाता मिटाएँ, तो यह अपने आप शुरू हो जाता है: आपकी संदर्भ तस्वीरें और आपके चेहरे का वेक्टर उसी मिटाने के हिस्से के तौर पर नष्ट हो जाते हैं — तुरंत, या, अगर आपने जिस परीक्षण चुनाव में वोट डाला है वह अगले चौदह दिनों के भीतर समाप्त हो रहा हो, तो उस चुनाव के समाप्त होने पर। आपके ऐसा करने के चौदह दिन से ज़्यादा बाद समाप्त होने वाला चुनाव नष्ट करने को बिल्कुल नहीं रोकता; इसकी वजह गोपनीयता नीति के खंड 4.5 में दी गई है। हम जो खाता हाथ से बंद करते हैं, उसे शुरू करने वाली कोई स्क्रीन सेवा में नहीं है, इसलिए हम खुद दर्ज कर लेते हैं कि नष्ट करना बाकी है, और इससे शुरुआत में देर हो सकती है। एक बार यह दर्ज हो जाए कि नष्ट करना बाकी है, तो वह अपने आप पूरा किया जाता है, और पूरा होने तक हर दिन अपने आप फिर कोशिश की जाती है। यह आपके मिटाने पर भी उतना ही लागू है और हमारे बंद करने पर भी। और यही तब भी होता है जब आपके खाता मिटाते समय नष्ट करना पूरा न हो सके: आपका खाता फिर भी मिट जाता है, और दर्ज हो जाता है कि नष्ट करना बाकी है।
2. जब आप सहमति वापस लें या हमसे इसे मिटाने को कहें। सेवा में आपका सहमति वापस लेना (यह कहाँ से होता है, यह गोपनीयता नीति का खंड 4.4 बताता है), और गोपनीयता नीति में दिए गए संपर्क पर आई माँग, दोनों उसी तरह निपटाए जाते हैं जैसे बिंदु 1 के तहत खाता मिटाना, बस एक फ़र्क के साथ: अगर नष्ट करना बाकी हो और अभी चला न हो, और आप चेहरे की नई जाँच पूरी कर लें, तो वह नई जाँच एक नई सहमति है और बाकी पड़ा नष्ट करना रद्द कर दिया जाता है। खाता मिटाना इस तरह कभी रद्द नहीं होता।
3. सेवा में आपकी आखिरी सक्रियता के तीन साल बाद। हमारे रिकॉर्ड में दिखने वाली आपकी आखिरी सक्रियता के तीन साल बाद — एक वोट, WDD की कोई निकासी, सत्यापन की कोई कोशिश, आपकी पंजीकृत की हुई किसी पार्टी में कोई बदलाव, या ऐसा कोई सेशन जिसमें आप अब भी साइन इन हैं — एक अपने आप चलने वाली प्रक्रिया आपका बायोमेट्रिक डेटा नष्ट कर देती है और आपका सत्यापन हटा देती है। इसके अलावा सिर्फ़ साइन इन और साइन आउट करना अपने आप में दर्ज नहीं होता। आपको दिए गए इनाम सक्रियता नहीं गिने जाते। आपके खाते, बैलेंस और पहले डाले गए वोटों पर इसका कोई असर नहीं पड़ता। आप वापस आएँ, तो चेहरे की नई जाँच से फिर से सत्यापित हो सकते हैं।
4. जिस मकसद के लिए यह लिया गया था, वह पूरा हो जाने पर। वह मकसद है यह पुष्टि करना कि आप एक विशिष्ट, जीवित व्यक्ति हैं, और एक ही चेहरे को दूसरा खाता सत्यापित करने से रोकना। यह मकसद तब तक रहता है जब तक खाता रहता है, क्योंकि उसी चेहरे से दूसरा खाता खुलते हुए सिर्फ़ चेहरे का वेक्टर ही देख सकता है। मकसद खत्म होने पर डेटा नष्ट कर दिया जाता है।
5. इससे पहले, अगर कानून ऐसा कहे।

हम बायोमेट्रिक डेटा आपकी आखिरी सक्रियता के तीन साल से ज़्यादा नहीं रखते, सिवाय खंड 1 में बताई गई सुरक्षा ऑडिट लॉग की प्रविष्टि के।

तीन साल की यह अवधि सबके लिए एक जैसी है, और कुछ कानून इससे कम की अधिकतम सीमा तय करते हैं। कोलोराडो के कानून के मुताबिक बायोमेट्रिक डेटा आपकी आखिरी सक्रियता के 24 महीने के भीतर नष्ट कर दिया जाना चाहिए। हम यह नहीं पूछते कि आप कहाँ रहते हैं, इसलिए ऊपर बताई गई अपने आप चलने वाली प्रक्रिया खुद से आप पर इससे कम अवधि लागू नहीं कर सकती। आपको उस प्रक्रिया का इंतज़ार करने की ज़रूरत नहीं है। आप अपना बायोमेट्रिक डेटा खुद, कभी भी, बिना खाता मिटाए नष्ट कर सकते हैं — गोपनीयता नीति का खंड 4.4 बताता है कि सेवा में यह कहाँ से किया जा सकता है — और आप खंड 7 में दिए गए पते पर हमसे इसे नष्ट करने को कह सकते हैं।

3. नष्ट करना कैसे होता है

नष्ट करने का मतलब है डेटा को मिटा देना, न कि उस पर सिर्फ़ ‘इस्तेमाल में नहीं’ का निशान लगा देना:

• आपकी चेहरे की जाँच के हर सेशन के तहत रखी गई संदर्भ तस्वीरें Amazon S3 से मिटा दी जाती हैं।
• चेहरे का वेक्टर Amazon Rekognition के कलेक्शन से मिटा दिया जाता है, और उसी के साथ उस कलेक्शन में खाते की प्रविष्टि भी हटा दी जाती है।
• जो आंतरिक रिकॉर्ड इनकी ओर इशारा करते थे, वे हमारे डेटाबेस से मिटा दिए जाते हैं। इसका इकलौता अपवाद वह रिकॉर्ड है कि आपका चेहरा किसी दूसरे खाते से मेल खा गया और सत्यापन मंज़ूर नहीं हुआ (कौन सा खाता, और समानता का स्कोर) — आपका खाता अब भी खुला हो, तो यह रिकॉर्ड तस्वीर का संदर्भ हटाकर खाते के रिकॉर्ड के तौर पर रखा जाता है; खाता मिटाने पर यह भी बाकी सबके साथ मिट जाता है।

कोई भी कदम नाकाम रहे, तो खाते पर निशान लगा दिया जाता है और वह प्रक्रिया हर दिन फिर कोशिश करती है। चेहरे की जिस जाँच का डेटा निष्क्रियता की समय-सीमा पर नष्ट हुआ हो, उसका सत्यापन भी उसी पल चला जाता है, ताकि कोई खाता ऐसे चेहरे के बल पर वोट न डाल सके जिसे दोहरे खाते की जाँच अब देख ही नहीं सकती।

ऊपर दी गई समय-सीमा से अलग, यही रोज़ चलने वाली प्रक्रिया चेहरे के हर उस वेक्टर को हटा देती है जो अब किसी खाते से जुड़ा नहीं है, ताकि कलेक्शन में गलती से कुछ भी बचा न रह जाए।

4. माँगने पर देखी जाने वाली तस्वीरें

आपका चेहरा किसी दूसरे खाते से मेल खा जाए, तो सत्यापन अपने आप मना कर दिया जाता है और तस्वीरें कोई व्यक्ति नहीं देखता। आप हमसे कह सकते हैं कि कोई व्यक्ति उस फ़ैसले को देखे; गोपनीयता नीति बताती है कि यह कैसे करना है। आप ऐसा कहें, तो वह व्यक्ति आपकी जाँच की संदर्भ तस्वीर और जिस खाते से चेहरा मेल खाया उसके लिए रखी गई तस्वीर, दोनों खोलता है — और सिर्फ़ तभी जब दोनों अब भी मौजूद हों, क्योंकि इनमें से कोई भी ऊपर बताई गई समय-सीमा पर पहले ही नष्ट हो चुकी हो सकती है। ये वही संदर्भ तस्वीरें हैं जिनका ज़िक्र ऊपर है, ये उसी समय-सीमा पर नष्ट होती हैं, और उस व्यक्ति के देख लेने के बाद कोई कॉपी नहीं रखी जाती।

5. हमारे सेवा प्रदाता

AWS हमारी ओर से और हमारे निर्देशों पर बायोमेट्रिक डेटा रखता और प्रोसेस करता है, जैसा गोपनीयता नीति में बताया गया है। चेहरे की जाँच के हमारे सेशन इस तरह सेट किए गए हैं कि AWS उनसे कोई ऑडिट तस्वीर नहीं रखता।

हमने एक दूसरा रास्ता बनाया था — पहचान के दस्तावेज़ की जाँच के लिए, दूसरी सेवा Didit के पास, उन मामलों के लिए जहाँ चेहरे की जाँच किसी को गलती से मना कर दे। वह रास्ता खुला नहीं है। सेवा में ऐसी कोई स्क्रीन नहीं है जो ऐसी जाँच शुरू करे, और जो अनुरोध ऐसी जाँच शुरू करता, उसे हमेशा मना कर दिया जाता है। Didit के पास हमारा कोई बायोमेट्रिक या पहचान का डेटा नहीं है। कोई जाँच शुरू ही नहीं की जा सकती, इसलिए Didit के पास न तो ऐसा कुछ है जहाँ खाता मिटाने की प्रक्रिया पहुँचे, और न ही ऐसा कुछ जिसके बारे में पूछना पड़े।

अगर वह रास्ता कभी खोला जाता है, तो गोपनीयता नीति बताएगी कि Didit आपका डेटा किन शर्तों पर रख सकता है और उसे कब मिटाना होगा, और यह नीति बताएगी कि खंड 2 की नष्ट करने की समय-सीमा उस डेटा पर कैसे लागू होती है। ऐसी कोई भी जाँच लिए जाने से पहले हम ये दोनों बदलाव प्रकाशित करेंगे।

6. इस नीति में बदलाव

अगर हम डेटा रखने की अवधि या नष्ट करने का तरीका बदलते हैं, तो बदलाव लागू होने से पहले हम उसे इसी पन्ने पर प्रकाशित करेंगे और ऊपर दी गई “आखिरी अपडेट” की तारीख बदल देंगे। यही पन्ना इकलौती सूचना है जो हम दे सकते हैं: साइन इन से हमारे पास आपका न कोई ईमेल पता होता है, न कोई फ़ोन नंबर, न कोई डाक का पता; किसी पार्टी के बारे में रिपोर्ट पर आपका दिया हुआ पता सिर्फ़ उसी रिपोर्ट के लिए इस्तेमाल होता है, किसी और चीज़ के लिए नहीं; और सेवा में कोई बैनर या संदेश भी नहीं आता — गोपनीयता नीति का खंड 13 बताता है कि ऐसा क्यों है। रखने की छोटी अवधि तुरंत लागू की जा सकती है। रखने की लंबी अवधि उस डेटा पर, जो पहले से हमारे पास है, तब तक लागू नहीं होती जब तक बदलाव इस पन्ने पर 30 दिन प्रकाशित न हो जाए।

यह नीति अंग्रेज़ी में लिखी गई है, और हम इसे दूसरी भाषाओं में भी प्रकाशित करते हैं। आप पर वही संस्करण लागू होता है जो उस भाषा में है जिसमें सेवा ने आपको यह दिखाया। जहाँ वह संस्करण और अंग्रेज़ी का पाठ अलग-अलग हों, वहाँ वही मतलब लागू होगा जो आपके लिए बेहतर है।

7. संपर्क

इस नीति के बारे में सवाल और आपके बायोमेट्रिक डेटा से जुड़ी माँगें गोपनीयता नीति में दिए गए संपर्क पते पर भेजें।