गोपनीयता सूचना
1. हम कौन हैं
Talent ID सेवा का संचालन यूक्रेन में स्थापित Talent ID LLC (नाम पंजीकरण की प्रक्रिया में) करती है। चूँकि हम भारत में लोगों को यह सेवा देते हैं, हम डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (Digital Personal Data Protection Act, 2023 — DPDP Act) और डिजिटल व्यक्तिगत डेटा संरक्षण नियम, 2025 (Digital Personal Data Protection Rules, 2025) का पालन करते हैं। यह पृष्ठ DPDP अधिनियम की धारा 5 के अंतर्गत हमारी सूचना है। आप इसे हिन्दी या अंग्रेज़ी में पढ़ सकते हैं (पृष्ठ के ऊपर भाषा बदलें)। डेटा संरक्षण से जुड़े प्रश्नों और शिकायतों के लिए संपर्क व्यक्ति (DPDP अधिनियम की धारा 8(9)): Talent ID शिकायत अधिकारी (Grievance Officer) — privacy@talent-id.org; शिकायत अधिकारी का नाम लॉन्च से पहले यहाँ प्रकाशित किया जाएगा। माता-पिता अपने बच्चे के डेटा के बारे में भी इसी पते पर लिख सकते हैं; हम 48 घंटों के भीतर प्राप्ति की पुष्टि करते हैं और अधिकतम 30 दिनों में उत्तर देते हैं।
2. हम कौन-सा डेटा एकत्र करते हैं
वयस्क उपयोगकर्ता: नाम, ईमेल, मोबाइल नंबर, भूमिका, संगठन, सेटिंग्स, साइन-इन लॉग; यदि आप Google से साइन इन करते हैं — आपके Google खाते का नाम और ईमेल (हमें आपका Google पासवर्ड कभी नहीं मिलता); खाते के उपयोग का लॉग (कौन-से अनुभाग खोले गए — उनकी सामग्री के बिना)।
बच्चे (खिलाड़ी): नाम, जन्मतिथि, टीम समूह, शारीरिक माप (लंबाई, वज़न), टेस्ट परिणाम, कोच की रेटिंग, मेडिकल फ़िटनेस और अनुमति (क्लीयरेंस) की तिथियाँ, स्वास्थ्य-स्थिति (दैनिक जाँच, जिसमें यह भी कि कहीं दर्द तो नहीं), कोच या अकादमी के चिकित्सक की सिफ़ारिशें (निदान के बिना), मनोवैज्ञानिक परीक्षण के परिणाम (केवल माता-पिता की अलग सहमति से), उपस्थिति और प्रशिक्षण भार, क्लब के खेल उपकरणों की रीडिंग (अभ्यास के दौरान दूरी, गति, हृदय गति), अभ्यास और मैच वीडियो पर टैग (केवल माता-पिता की अलग सहमति से)। बच्चे का डेटा क्लब या माता-पिता दर्ज करते हैं; जो बच्चा किसी क्लब में नहीं है, उसके माता-पिता स्वयं एक संक्षिप्त प्रोफ़ाइल रख सकते हैं (जन्म का वर्ष और तिमाही, शहर, लंबाई, वज़न, 30 मीटर दौड़, पसंदीदा पैर)।
हम एकत्र नहीं करते: मेडिकल रिकॉर्ड, निदान, प्रोफ़ाइल में बच्चों की तस्वीरें, आधार नंबर, पहचान के लिए बायोमेट्रिक डेटा या सटीक लोकेशन।
तकनीकी: IP पता, डिवाइस का प्रकार, कुकीज़ (कुकी नीति देखें)।
3. उद्देश्य और कानूनी आधार
हम व्यक्तिगत डेटा को केवल नीचे दिए गए विशिष्ट उद्देश्यों के लिए और केवल DPDP अधिनियम द्वारा अनुमत आधारों पर प्रोसेस करते हैं: सहमति (धारा 6) — आपके अपने खाते के लिए आपकी सहमति, तथा हर बच्चे के डेटा और प्रोफ़ाइल के हर अलग प्रकटीकरण के लिए माता-पिता या विधिक अभिभावक की सत्यापन योग्य सहमति; कुछ वैध उपयोग (धारा 7) — जब आपने किसी उद्देश्य के लिए स्वेच्छा से हमें डेटा दिया हो और आपत्ति न की हो (जैसे सहायता अनुरोध), कानून, न्यायालय के आदेशों और प्राधिकरणों के वैध अनुरोधों का पालन, तथा चिकित्सा आपात स्थिति। उद्देश्य: अकादमी, क्लब या स्कूल के साथ अनुबंध के अंतर्गत सेवा प्रदान करना; सुरक्षा और दुरुपयोग की रोकथाम; लेखा और कानूनी दायित्व। सहमति स्वतंत्र, विशिष्ट, सूचित, बिना शर्त होती है और सेवा में स्पष्ट कार्रवाई द्वारा दी जाती है; आप उसे उतनी ही आसानी से वापस ले सकते हैं जितनी आसानी से दी थी। जिस तिथि से भारतीय डेटा संरक्षण बोर्ड (Data Protection Board of India) में पंजीकृत सहमति प्रबंधक (Consent Managers) उपलब्ध होंगे, आप उनमें से किसी के माध्यम से भी सहमति दे, प्रबंधित कर और वापस ले सकेंगे। चूँकि संचालक भारत के बाहर स्थापित है, हमारी प्रोसेसिंग पर यूक्रेन का कानून «व्यक्तिगत डेटा संरक्षण पर» (On Personal Data Protection, No. 2297-VI) भी लागू होता है। हम व्यक्तिगत डेटा नहीं बेचते।
4. बच्चों का डेटा
DPDP अधिनियम के अनुसार 18 वर्ष से कम आयु का हर व्यक्ति बच्चा है। बच्चों के अपने खाते नहीं होते और सेवा बच्चों के उपयोग के लिए नहीं बनी है। बच्चे का डेटा केवल माता-पिता या विधिक अभिभावक की सत्यापन योग्य सहमति से प्रोसेस किया जाता है (DPDP अधिनियम की धारा 9(1) और DPDP नियम, 2025 का नियम 10): माता-पिता अपने खाते में, अपना ईमेल और मोबाइल नंबर पुष्टि करने तथा यह घोषणा करने के बाद कि वे वयस्क हैं और बच्चे के माता-पिता या विधिक अभिभावक हैं, सहमति देते हैं; उसके बाद ही क्लब बच्चे का डेटा दर्ज कर सकता है। विधिक अभिभावक वाले दिव्यांग व्यक्ति के लिए सहमति वही अभिभावक देता है। हम बच्चे के डेटा को ऐसे तरीके से प्रोसेस नहीं करते जिससे बच्चे की भलाई पर हानिकारक प्रभाव पड़ने की संभावना हो, विज्ञापन या प्रोफ़ाइलिंग के लिए बच्चों की ट्रैकिंग या व्यवहार की निगरानी नहीं करते और बच्चों पर लक्षित विज्ञापन नहीं दिखाते (धारा 9(2)–(3))। प्रशिक्षण के माप, उपस्थिति और मैच वीडियो केवल क्लब द्वारा, कोचिंग के उद्देश्य से और माता-पिता की सहमति से दर्ज किए जाते हैं। माता-पिता अपने खाते में बच्चे का डेटा देख सकते हैं, उसे सुधार सकते हैं, किसी भी समय उसकी पूरी प्रति डाउनलोड कर सकते हैं (“मेरा डेटा”), उसे मिटाने का अनुरोध कर सकते हैं या सहमति वापस ले सकते हैं — सेवा के उन हिस्सों तक पहुँच खोए बिना जिन्हें उस डेटा की आवश्यकता नहीं है। चयन के निर्णय कोच लेता है — सेवा केवल गणनाएँ दिखाती है।
5. हम डेटा किसके साथ साझा करते हैं
आपके संगठन के कोच और प्रबंधन — उनकी भूमिका की सीमा में। अन्य क्लब और अकादमियाँ — केवल हर विशिष्ट अनुरोध के लिए माता-पिता की अलग सहमति से। फ़ुटबॉल महासंघ या राज्य संघ — यदि आपकी अकादमी ने डेटा आदान-प्रदान जोड़ा है और बच्चे का पंजीकरण कराया है: केवल पूरा नाम, जन्मतिथि, अकादमी और टीम समूह, पोज़िशन, शहर और पंजीकरण संख्या (बदले में आधिकारिक मैच रिपोर्ट प्रोफ़ाइल में जोड़ी जाती हैं); टेस्ट, स्वास्थ्य, परिवार और संपर्क साझा नहीं किए जाते। ओपन API के माध्यम से आपकी अकादमी की अपनी प्रणालियाँ (Elite पैकेज) — केवल तब जब अकादमी प्रबंधन ने एक्सेस कुंजी बनाई हो: उस अकादमी के खिलाड़ियों का पूरा नाम, जन्मतिथि, टीम समूह, पोज़िशन, माप और उपस्थिति, केवल पढ़ने के लिए (स्वास्थ्य, स्वास्थ्य-स्थिति, परिवार और संपर्क साझा नहीं किए जाते); कुंजी किसी भी समय रद्द की जा सकती है, हर अनुरोध लॉग किया जाता है (30 दिन)। कोई भी व्यक्ति जिसे आप स्वयं बच्चे के विकास पासपोर्ट का लिंक भेजते हैं (केवल माता-पिता बनाते हैं, 7 दिनों तक मान्य, रद्द किया जा सकता है): पूरा नाम, जन्म का वर्ष और आयु, पोज़िशन, अकादमी और टीम समूह, मेडिकल क्लीयरेंस की स्थिति, 90 दिनों की उपस्थिति, मैच और नवीनतम माप — संपर्कों और अन्य बच्चों के डेटा के बिना। स्काउट या क्लब जिसे अकादमी वीडियो क्लिप की प्लेलिस्ट का लिंक भेजती है (केवल माता-पिता की अलग सहमति “स्काउट और क्लबों के लिए क्लिप” से, 30 दिनों तक, माता-पिता को सूचित किया जाता है, रद्द किया जा सकता है): पूरा नाम, जन्म का वर्ष, पोज़िशन और बच्चे वाली क्लिप; क्लिप अकादमी की वीडियो सेवा में मैच रिकॉर्डिंग से चलती है, इसलिए प्राप्तकर्ता तकनीकी रूप से पूरी रिकॉर्डिंग देख सकता है। विज्ञापनदाता — माता-पिता की संख्या के अलावा कुछ नहीं (20 से कम होने पर नहीं दिखाई जाती)। डेटा प्रोसेसर, लिखित अनुबंधों के अंतर्गत जो डेटा के उनके उपयोग को सीमित करते हैं (DPDP अधिनियम की धारा 8(2)): EU (आयरलैंड, Supabase) में होस्टिंग और डेटाबेस; EU (Cloudflare) में कंटेंट डिलीवरी, “इंसान हैं, बॉट नहीं” जाँच और मैच फ़ाइलों का भंडारण; ईमेल सेवा; मोबाइल सत्यापन कोड के लिए SMS सेवा; Google — केवल यदि आप Google से साइन इन करना चुनते हैं; मैच वीडियो में क्षण पहचानने वाला सर्वर (Modal, USA) — उसे मैच रिकॉर्डिंग केवल विश्लेषण के समय के लिए मिलती है और वह उसे नहीं रखता; भुगतान सेवाएँ — कार्ड और UPI डेटा हम तक कभी नहीं पहुँचता। सरकारी प्राधिकरण — केवल वैध आधार पर (उदाहरण के लिए, न्यायालय का आदेश या भारतीय कानून के अंतर्गत वैध माँग)।
6. डेटा कितने समय तक रखा जाता है
खाता — जब तक सक्रिय है, और मिटाने के अनुरोध के 30 दिन बाद तक। खिलाड़ी का डेटा — जब तक बच्चा क्लब में है और छोड़ने के बाद विकास के इतिहास के लिए 3 वर्ष तक, जब तक माता-पिता पहले मिटाने का अनुरोध न करें। मूल मैच रिकॉर्डिंग — 30 दिन (टैग और क्लिप — जब तक बच्चा क्लब में है)। वेबसाइट त्रुटि लॉग — 30 दिन। खाता उपयोग लॉग और विज़िट आँकड़े — 13 महीने। सुरक्षा लॉग और प्रोसेसिंग लॉग — कम से कम 12 महीने, जैसा DPDP नियमों में अपेक्षित है। भुगतान रिकॉर्ड — कर कानून द्वारा अपेक्षित अवधि तक (GST रिकॉर्ड सहित)। जब उद्देश्य पूरा हो जाता है, हम डेटा मिटा देते हैं और अपने डेटा प्रोसेसरों से भी ऐसा करने को कहते हैं; जहाँ नियमों में अपेक्षित है, निष्क्रिय खाते को मिटाने से कम से कम 48 घंटे पहले हम आपको सूचित करते हैं, ताकि आप साइन इन करके उसे बनाए रख सकें।
7. आपके अधिकार
डेटा प्रधान (Data Principal) के रूप में आपको अधिकार है (DPDP अधिनियम की धाराएँ 11–14): हमारे द्वारा प्रोसेस किए जा रहे आपके व्यक्तिगत डेटा और प्रोसेसिंग गतिविधियों का सारांश, तथा जिन डेटा न्यासियों (Data Fiduciaries) और डेटा प्रोसेसरों के साथ वह साझा किया गया है उनकी पहचान प्राप्त करने का; अपने डेटा को सुधारने, पूरा करने और अद्यतन करने का; आवश्यकता न रहने पर या सहमति वापस लेने पर उसे मिटवाने का; किसी भी समय सहमति वापस लेने का (इससे पहले की गई प्रोसेसिंग प्रभावित नहीं होती); मृत्यु या अक्षमता की स्थिति में अपने अधिकारों का उपयोग करने के लिए किसी अन्य व्यक्ति को नामित करने का; और सहज उपलब्ध शिकायत निवारण का। बच्चे की ओर से ये अधिकार माता-पिता और विधिक अभिभावक उपयोग करते हैं। अधिकांश कार्य आपकी प्रोफ़ाइल में उपलब्ध हैं: “भाषा, थीम और डेटा”; अन्य अनुरोध — privacy@talent-id.org पर (हम आपकी पहचान की पुष्टि करने को कह सकते हैं, जैसे यूज़रनेम या मोबाइल नंबर से)। हम अनुरोधों और शिकायतों का उत्तर 30 दिनों के भीतर देते हैं, और हर स्थिति में DPDP नियमों द्वारा अनुमत 90 दिनों के भीतर। यदि आप हमारे उत्तर से संतुष्ट नहीं हैं, तो हमारे शिकायत निवारण का उपयोग करने के बाद आप भारतीय डेटा संरक्षण बोर्ड (Data Protection Board of India, dpb.gov.in) में शिकायत कर सकते हैं (धारा 13(3)); बोर्ड के आदेश के विरुद्ध अपील दूरसंचार विवाद समाधान और अपील अधिकरण (Telecom Disputes Settlement and Appellate Tribunal — TDSAT) में होती है। आप यूक्रेन के संसदीय मानवाधिकार आयुक्त (Ukrainian Parliament Commissioner for Human Rights) से भी शिकायत कर सकते हैं। कृपया DPDP अधिनियम की धारा 15 के अंतर्गत अपने कर्तव्यों पर भी ध्यान दें: झूठी जानकारी न दें, किसी का प्रतिरूपण न करें और तुच्छ शिकायतें दर्ज न करें।
8. सुरक्षा
प्रेषण और भंडारण के दौरान एन्क्रिप्शन, डेटाबेस स्तर पर पहुँच का पृथक्करण, ऑथेंटिकेटर ऐप से दो-चरणीय साइन-इन (सभी के लिए उपलब्ध, अकादमी प्रबंधन के लिए अनुशंसित), प्रशासक द्वारा नए पंजीकरणों की समीक्षा, एक्सेस लॉग, दैनिक बैकअप, लॉन्च से पहले सुरक्षा समीक्षा — DPDP अधिनियम की धारा 8(5) के अंतर्गत उचित सुरक्षा उपाय। व्यक्तिगत डेटा उल्लंघन (data breach) की स्थिति में हम हर प्रभावित उपयोगकर्ता को (और बच्चे के मामले में माता-पिता को) बिना विलंब सूचित करेंगे — क्या हुआ, कब, संभावित परिणाम, हम क्या कर रहे हैं, आप अपनी सुरक्षा के लिए क्या कर सकते हैं और किससे संपर्क करें — तथा भारतीय डेटा संरक्षण बोर्ड को बिना विलंब सूचित करेंगे और 72 घंटों के भीतर विस्तृत रिपोर्ट भेजेंगे (धारा 8(6) और DPDP नियम); जहाँ अपेक्षित हो, साइबर सुरक्षा घटनाओं की सूचना CERT-In को भी दी जाती है।
9. भारत के बाहर डेटा का अंतरण
Talent ID का डेटाबेस यूरोपीय संघ (आयरलैंड) में होस्ट किया गया है और संचालक यूक्रेन में स्थापित है। जब आप भारत में सेवा का उपयोग करते हैं, तो आपका और आपके बच्चे का डेटा भारत के बाहर अंतरित और संग्रहीत किया जाता है। DPDP अधिनियम की धारा 16 ऐसे अंतरण की अनुमति देती है, सिवाय उन देशों के जिन्हें केंद्र सरकार अधिसूचना द्वारा प्रतिबंधित करे; इस सूचना की तिथि पर हमारे द्वारा उपयोग किया जाने वाला कोई भी देश (आयरलैंड और अन्य EU देश, यूक्रेन, USA — वीडियो विश्लेषण और Google साइन-इन के लिए) प्रतिबंधित नहीं है, और कोई देश प्रतिबंधित होने पर हम वहाँ अंतरण रोक देंगे। होस्टिंग पर EU का सामान्य डेटा संरक्षण विनियम (General Data Protection Regulation — GDPR) लागू होता है, और EU, यूक्रेन और USA के बीच अंतरण उचित सुरक्षा उपायों (EU मानक संविदात्मक खंड — Standard Contractual Clauses) के साथ किए जाते हैं।
10. परिवर्तन
महत्वपूर्ण परिवर्तनों की घोषणा हम ईमेल और सेवा में कम से कम 14 दिन पहले करेंगे। यदि कोई परिवर्तन बच्चों के डेटा के उपयोग के तरीके को प्रभावित करता है या नया उद्देश्य जोड़ता है, तो उसे लागू करने से पहले हम नई सहमति माँगेंगे।