इस policy के बारे में
Nootus AI ("Nootus", "हम") Nootus OS बनाता है, एक software जिसका उपयोग CA, CS, CMA और accounting firms अपनी practice और अपने clients के Finance, Tax और Office के काम चलाने के लिए करती हैं। यह policy बताती है कि हम इस website (www.nootus.ca), Nootus OS application, client portal और Nootus के माध्यम से भेजे जाने वाले WhatsApp और email messages में व्यक्तिगत डेटा को कैसे संभालते हैं।
Nootus AI हैदराबाद, तेलंगाना, भारत में स्थित है। हम व्यक्तिगत डेटा का प्रसंस्करण Digital Personal Data Protection Act, 2023 और उसके तहत बने नियमों (दोनों मिलाकर, "DPDP Act") तथा लागू अन्य भारतीय कानूनों के अंतर्गत करते हैं।
हमारी दो भूमिकाएं
कोई firm अपने clients, अपने clients के customers, vendors और कर्मचारियों, तथा अपने staff के बारे में जो डेटा Nootus में रखती है, उसके प्रसंस्करण का उद्देश्य और तरीका वही firm तय करती है। उस डेटा के लिए firm डेटा फ़िड्यूशियरी (data fiduciary) है और Nootus उसका डेटा प्रोसेसर (data processor) है। हम उस डेटा का प्रसंस्करण केवल firm के निर्देशों पर और firm के साथ हमारे अनुबंध के अनुसार करते हैं।
जो लोग इस website पर आते हैं, इस पर कोई form भरते हैं या हमें लिखते हैं, उनके लिए, और Nootus में sign in करने वाले लोगों के account details के लिए, Nootus डेटा फ़िड्यूशियरी है।
यदि आप Nootus का उपयोग करने वाली किसी firm के client हैं और आपके डेटा के बारे में कोई प्रश्न है, तो कृपया पहले उस firm से संपर्क करें। आपको जवाब देने में हम firm की सहायता करेंगे।
हम क्या एकत्र करते हैं
आप Nootus का उपयोग कैसे करते हैं, इसके आधार पर हम निम्नलिखित एकत्र या प्रसंस्कृत करते हैं:
- Account details: नाम, work email, mobile number, भूमिका, firm और branch, sign-in का तरीका और preferences।
- Firm द्वारा Nootus में रखे गए client records: books of account, invoices, bills, bank statements, returns और working papers, PAN, GSTIN, TAN, पते, और payroll डेटा जैसे salaries, bank accounts, declarations और आश्रित।
- Messages: firm और उसके clients के बीच WhatsApp, email और portal messages की सामग्री, उपयोग किए गए phone numbers और email addresses, delivery और read receipts, और संलग्न files।
- Password vault entries: सरकारी portals (जैसे Income Tax, GST, TRACES, EPFO, ESIC और MCA) के login, जिन्हें firm अपने clients के लिए store करना चुनती है, और हर बार देखे जाने का log।
- Questionnaire के उत्तर और documents, जिन्हें clients portal या WhatsApp के माध्यम से upload करते हैं।
- AI के काम के records: किस agent ने क्या किया, किस client के लिए, किन records से, और वह किस व्यक्ति को report करता है।
- Website enquiries: demo या partner form में आपके द्वारा दिए गए details, जैसे नाम, firm, शहर, clients की संख्या, भूमिका, email या phone, और आपका message।
- Website analytics: देखे गए pages, अनुमानित location, device और browser details, और form submit होने जैसे events, जो Google Analytics 4 के माध्यम से एकत्र किए जाते हैं (हमारा cookie notice देखें)।
- Security और usage logs: sign-ins, संवेदनशील actions और errors के लिए IP address, device, समय और action।
हम इसका उपयोग कैसे करते हैं
हम व्यक्तिगत डेटा का उपयोग केवल इन उद्देश्यों के लिए करते हैं:
- firm को Nootus OS प्रदान करना, जिसमें AI agents, messaging, portal और वे product features शामिल हैं जिन्हें firm चालू करती है;
- लोगों को sign in कराना, accounts सुरक्षित रखना, दुरुपयोग का पता लगाना और घटनाओं की जांच करना;
- support requests और enquiries का जवाब देना, और demos की व्यवस्था करना;
- firms को उनके plans के लिए bill करना और वित्तीय records रखना;
- website के उपयोग को समझना, ताकि हम उसे बेहतर बना सकें;
- अपने कानूनी दायित्वों को पूरा करना, जिसमें उन अधिकारियों के अनुरोध शामिल हैं जिनका उत्तर देना कानूनन आवश्यक है।
AI और आपका डेटा
Nootus documents पढ़ने, firm के records से clients के सवालों के जवाब देने, messages draft करने और review के लिए काम तैयार करने हेतु AI models का उपयोग करता है। AI केवल उसी firm के डेटा पर काम करता है जिसके लिए वह काम कर रहा है, और केवल उन्हीं उद्देश्यों के लिए जो firm ने तय किए हैं।
Firm और client के डेटा का उपयोग कभी भी किसी AI model को train या fine-tune करने के लिए नहीं किया जाता, चाहे वह model हमारा हो या किसी provider का। AI models को भेजे गए prompts और उनसे मिले मूल उत्तर log नहीं किए जाते; हम इस बात का record रखते हैं कि हर agent ने क्या किया, किस client के लिए और किसके लिए, ताकि firm उसे review कर सके।
AI का output firm के staff के लिए एक draft है। किसी सरकारी प्राधिकरण के पास filing, पैसे का लेन-देन और access में बदलाव हमेशा firm के किसी व्यक्ति के approval की प्रतीक्षा करते हैं।
WhatsApp और email पर messages
Firm के clients को messages, firm की ओर से, Nootus के WhatsApp Business number और Nootus email addresses से भेजे जाते हैं। अपने clients को message भेजने के लिए उनकी अनुमति लेना firm की ज़िम्मेदारी है।
WhatsApp messages, Meta के WhatsApp Business Platform से और emails हमारे email providers के माध्यम से, उन providers की अपनी शर्तों और privacy policies के अनुसार भेजे जाते हैं। इनमें से कुछ भारत के बाहर डेटा का प्रसंस्करण करते हैं।
Password vault
Password vault में रखे गए portal logins, अन्य डेटा के encryption के अतिरिक्त, encryption की एक और परत से सुरक्षित होते हैं। वे केवल उन्हीं staff को, दूसरी जांच के बाद, दिखाए जाते हैं जिन्हें firm ने अनुमति दी है, और हर बार देखे जाने को व्यक्ति, समय और client के साथ log किया जाता है।
कोई firm किसी client के logins केवल उस client के अधिकार (authority) से ही store कर सकती है।
Website forms और analytics
जब आप इस website पर कोई form submit करते हैं, तो वह Microsoft Azure पर हमारे द्वारा चलाई जाने वाली एक छोटी service को भेजा जाता है, जो उसकी जांच करती है, उसे हमारी team को email करती है और एक प्रति रखती है ताकि कुछ भी खोए नहीं। Forms, Cloudflare Turnstile से सुरक्षित हैं, जो जांचता है कि form कोई व्यक्ति submit कर रहा है, bot नहीं।
Google Analytics 4 इस website के हर page पर load होता है और visits गिनने तथा pages के उपयोग को समझने के लिए cookies set करता है। हमारा cookie notice बताता है कि यह क्या एकत्र करता है और इसे कैसे सीमित किया जा सकता है।
हम form details का उपयोग केवल आपको उत्तर देने और आपसे Nootus के बारे में बात करने के लिए करते हैं। आपसे पूछे बिना हम आपको किसी mailing list में नहीं जोड़ते।
डेटा कहां रखा जाता है
Nootus OS भारत में, भारत स्थित Microsoft Azure data centres पर hosted है। Firm का डेटा, documents और backups वहीं store किए जाते हैं।
कुछ services भारत के बाहर डेटा का प्रसंस्करण करती हैं: WhatsApp के लिए Meta, Gmail, Sign-in और Analytics के लिए Google, Turnstile के लिए Cloudflare, और वह AI provider जिसे कोई firm चुनती है, यदि वह चुनती है। हम डेटा को भारत के बाहर केवल DPDP Act द्वारा अनुमत सीमा तक भेजते हैं, और कभी भी ऐसे देश में नहीं भेजते जिस पर भारत सरकार ने प्रतिबंध लगाया हो।
हम इसकी सुरक्षा कैसे करते हैं
डेटा transit और storage दोनों में encrypted रहता है, और PAN, bank details तथा portal passwords को encryption की एक अतिरिक्त परत मिलती है। हर firm का डेटा अलग रखा जाता है, ताकि कोई दूसरी firm उसे न देख सके।
Firm के भीतर access, firm द्वारा तय roles के अनुसार होता है, और approve करने के लिए अलग permission होती है। Nootus का support staff केवल पढ़ सकता है, एक समय में एक record, किसी support ticket और कारण से जुड़ा हुआ, और हर access record किया जाता है। Nootus staff किसी firm के डेटा पर AI का काम शुरू नहीं कर सकता।
कोई भी system पूरी तरह सुरक्षित नहीं होता। यदि किसी व्यक्तिगत डेटा उल्लंघन (breach) से आप प्रभावित होते हैं, तो हम DPDP Act की अपेक्षा के अनुसार प्रभावित firms, भारतीय डेटा संरक्षण बोर्ड (Data Protection Board of India) और, जहां हम फ़िड्यूशियरी हैं, आपको सूचित करेंगे।
हम इसे कितने समय तक रखते हैं
हम डेटा केवल तब तक रखते हैं जब तक वह उस उद्देश्य के लिए आवश्यक है जिसके लिए उसे एकत्र किया गया था, या जब तक कानून अपेक्षा करता है। Firm तय करती है कि उसके client records कितने समय तक रखे जाएं, वैधानिक न्यूनतम अवधि के भीतर, जैसे books of account के लिए आठ वर्ष। हमारी data retention policy में हर प्रकार के डेटा की अवधि दी गई है।
आपके अधिकार
DPDP Act के तहत आपको यह अधिकार है कि आप:
- हमारे द्वारा आपके बारे में प्रसंस्कृत व्यक्तिगत डेटा का सारांश और उसके प्रसंस्करण का तरीका जान सकें;
- गलत या अधूरे डेटा को सही और अद्यतन करवा सकें;
- आवश्यकता न रहने पर अपना डेटा मिटवा सकें, जब तक कि कानून हमें उसे रखने की अपेक्षा न करे;
- दी गई सहमति वापस ले सकें, इससे पहले किए गए प्रसंस्करण पर असर डाले बिना;
- अपनी मृत्यु या असमर्थता की स्थिति में अपने अधिकारों का प्रयोग करने के लिए किसी अन्य व्यक्ति को nominate कर सकें;
- अपनी शिकायत का निवारण हमारे Grievance Officer से, और उसके बाद भारतीय डेटा संरक्षण बोर्ड से करवा सकें।
बच्चों का डेटा
यह website और Nootus OS पेशेवरों और व्यवसायों के लिए हैं, बच्चों के लिए नहीं। Firms अपने client records में नाबालिगों का डेटा रख सकती हैं, उदाहरण के लिए payroll में आश्रित या किसी परिवार के returns में नाबालिगों की आय; वे ऐसा फ़िड्यूशियरी के रूप में करती हैं और जहां DPDP Act अपेक्षा करता है, वहां माता-पिता या अभिभावक की सहमति लेना उनका दायित्व है। हम बच्चों को track नहीं करते और न ही उनके डेटा का advertising के लिए उपयोग करते हैं।
Grievance Officer
हमारे Grievance Officer privacy से जुड़े प्रश्नों, अनुरोधों और शिकायतों को देखते हैं। privacy@nootus.ai पर लिखें। हम हर message की पावती देते हैं और 7 दिनों के भीतर उत्तर देते हैं।
यदि आप हमारे उत्तर से संतुष्ट नहीं हैं, तो आप भारतीय डेटा संरक्षण बोर्ड से शिकायत कर सकते हैं।
इस policy में बदलाव
हमारे product या कानून में बदलाव होने पर हम इस policy को अद्यतन करेंगे। ऊपर दी गई तारीख नवीनतम संस्करण दर्शाती है। यदि कोई बदलाव महत्वपूर्ण है, तो उसके लागू होने से पहले हम firms को email से या application में सूचित करेंगे।