Data Portability API के उपयोगकर्ता का डेटा और डेवलपर से जुड़ी नीति

Data Portability API का इस्तेमाल करने वाले डेवलपर के तौर पर, अक्सर उपयोगकर्ता का बेहद संवेदनशील डेटा इकट्ठा और मैनेज किया जाता है. डेटा मैनेज करने के इन मुख्य सिद्धांतों को ध्यान में रखें:

• निजता की सुरक्षा करना: उपयोगकर्ता के डेटा का इस्तेमाल, पाबंदी वाले कामों के लिए न करें.
• साफ़ तौर पर जानकारी दें: उपयोगकर्ताओं को साफ़ तौर पर बताएं कि आपका ऐप्लिकेशन कौनसा डेटा इकट्ठा करता है, उसे इकट्ठा क्यों किया जाता है, और उसका इस्तेमाल कैसे किया जाता है.
• सम्मान करें: उपयोगकर्ता के डेटा को अच्छी तरह से मैनेज करें. जब भी हो सके, उपयोगकर्ताओं को किसी प्रॉडक्ट से अपना डेटा ट्रांसफ़र करने की अनुमति दें. साथ ही, उपयोगकर्ताओं के डेटा को मिटाने के अनुरोधों को पूरा करें.
• सुरक्षित रहें: उपयोगकर्ता के सभी डेटा को सुरक्षित तरीके से मैनेज करें और यह बताएं कि आपने सुरक्षा से जुड़े कुछ तरीकों का पालन किया है.
• साफ़ तौर पर बताएं: ऐसे डेटा के ऐक्सेस का अनुरोध न करें जिसकी आपको ज़रूरत नहीं है. डेटा का ऐक्सेस सिर्फ़ इसलिए होना चाहिए, ताकि आपके ऐप्लिकेशन या सेवा की उन सुविधाओं को उपलब्ध कराया जा सके जिनसे उपयोगकर्ताओं को फ़ायदा हो.

Google API की सेवा की शर्तें, Google API सेवाओं के उपयोगकर्ता के डेटा की नीति, और OAuth 2.0 की नीतियां, Google API की सभी सेवाओं के इस्तेमाल को कंट्रोल करती हैं. ऐसा तब होता है, जब आप डेवलपर के तौर पर उपयोगकर्ता के डेटा के ऐक्सेस का अनुरोध करते हैं. Data Portability API के उपयोगकर्ता के डेटा और डेवलपर नीति में, ज़्यादा जानकारी दी गई है. इससे, Data Portability API के इस्तेमाल और ऐक्सेस को कंट्रोल किया जाता है. अगर डेटा पोर्टेबिलिटी एपीआई के उपयोगकर्ता के डेटा और डेवलपर से जुड़ी नीति या Google की एपीआई सेवाओं की किसी भी अन्य शर्त के बीच कोई अंतर है, तो डेटा पोर्टेबिलिटी एपीआई के उपयोगकर्ता के डेटा और डेवलपर से जुड़ी नीति को प्राथमिकता दी जाएगी. इसमें, डेटा को सही तरीके से ऐक्सेस करने और उपयोगकर्ता के डेटा के इस्तेमाल और सीमित इस्तेमाल के क्लॉज़ में अंतर भी शामिल है.

डेटा पोर्टेबिलिटी एपीआई की मदद से, यूरोपियन इकनॉमिक एरिया (ईईए) के असली उपयोगकर्ताओं को अपने डेटा पर ज़्यादा कंट्रोल मिलता है. ऐसा इसलिए, क्योंकि इसकी मदद से Google से डेटा को आसानी से किसी दूसरे प्लैटफ़ॉर्म पर ट्रांसफ़र किया जा सकता है. Google Takeout के साथ-साथ, Data Portability API यह पक्का करता है कि उपयोगकर्ताओं के पास अपने डेटा का बेहतर और आसान ऐक्सेस और कंट्रोल हो. Google की निजता नीति और निजता सेटिंग के बारे में ज़्यादा जानें. इनकी मदद से, उपयोगकर्ता अपनी निजता को कंट्रोल कर सकते हैं.

इस पेज को समय-समय पर देखते रहें. इन नीतियों को समय-समय पर अपडेट किया जाता है. इन नीतियों का समय-समय पर पालन हो रहा है या नहीं, इसकी मॉनिटरिंग करना और यह पक्का करना डेवलपर की ज़िम्मेदारी है. अगर किसी भी समय नीति की ज़रूरी शर्तों को पूरा नहीं किया जा सकता या ऐसा करने का खतरा है, तो हमारी सेवाओं का इस्तेमाल तुरंत बंद करें और हमसे संपर्क करें. अगर इस नीति का पालन नहीं किया जाता है, तो Google के पास उपयोगकर्ता के डेटा को हटाने या उसके ऐक्सेस पर पाबंदी लगाने का अधिकार सुरक्षित है.

डेटा का सही तरीके से ऐक्सेस करना और उपयोगकर्ता के डेटा का इस्तेमाल करना

उपयोगकर्ता का डेटा एक्सपोर्ट करने के अनुरोध, आसान और साफ़ तौर पर समझ में आने वाले होने चाहिए. डेटा पोर्टेबिलिटी एपीआई का इस्तेमाल, सिर्फ़ लागू होने वाली नीतियों, नियमों, और शर्तों के मुताबिक ही किया जा सकता है. साथ ही, इसका इस्तेमाल इस नीति में बताए गए उन मामलों में भी किया जा सकता है जिनसे उपयोगकर्ताओं को फ़ायदा हो. इसका मतलब है कि डेवलपर, अनुमतियों के ऐक्सेस का अनुरोध सिर्फ़ तब कर सकते हैं, जब कोई ऐप्लिकेशन या सेवा, इस्तेमाल के ऐसे मामलों में शामिल हो जिनके लिए अनुमति ली जा सकती है.

अनुमतियों को ऐक्सेस करने के लिए, इस्तेमाल के उन मामलों के बारे में नीचे बताया गया है जिनके लिए अनुमति ली जा सकती है:

• ऐसे ऐप्लिकेशन या सेवाएं जिनमें एक या उससे ज़्यादा सुविधाएं हों. इनका मुख्य मकसद, उपयोगकर्ताओं को Google की एक सेवा से किसी दूसरे प्लैटफ़ॉर्म या सेवा पर डेटा ट्रांसफ़र करने, कॉपी करने या उसे किसी दूसरे प्लैटफ़ॉर्म या सेवा पर ले जाने की अनुमति देना हो.

काम की कम से कम अनुमतियों का अनुरोध करना

डेवलपर सिर्फ़ उन अनुमतियों के ऐक्सेस का अनुरोध कर सकते हैं जो किसी ऐप्लिकेशन या सेवा की सुविधाओं को लागू करने के लिए ज़रूरी हैं. इसका मतलब है:

• ऐसी जानकारी को ऐक्सेस करने का अनुरोध न करें जिसकी आपको ज़रूरत नहीं है. अगर किसी प्रॉडक्ट को खास अनुमतियों के ऐक्सेस की ज़रूरत नहीं है, तो आपको इन अनुमतियों के ऐक्सेस का अनुरोध नहीं करना चाहिए. ऐसी जानकारी को ऐक्सेस करने का अनुरोध न करें जिससे उन सेवाओं या सुविधाओं को फ़ायदा पहुंच सकता है जो अभी तक लागू नहीं हुई हैं. ऐसा करने से, आने वाले समय में उपयोगकर्ता के डेटा को ऐक्सेस करने की सुविधा को "आने वाले समय के लिए तैयार" के तौर पर पेश करने की कोशिश की जा सकती है.

• जहां भी हो सके, वहां संदर्भ के हिसाब से अनुमतियों का अनुरोध करें. जब भी हो सके, ज़रूरत के मुताबिक अनुमति का इस्तेमाल करके, सिर्फ़ उपयोगकर्ता के डेटा का ऐक्सेस मांगें. इससे उपयोगकर्ताओं को यह समझने में मदद मिलती है कि आपको डेटा की ज़रूरत क्यों है.

साफ़ तौर पर दी गई सही सूचना और कंट्रोल

Data Portability API, निजी और संवेदनशील जानकारी को मैनेज करता है. सभी ऐप्लिकेशन और सेवाओं के लिए निजता नीति ज़रूरी है. इस नीति में इस बात की पूरी जानकारी देनी होगी कि कोई ऐप्लिकेशन या वेब सेवा, उपयोगकर्ता के डेटा को किस तरह इकट्ठा, इस्तेमाल, और शेयर करती है. इसमें उन तीसरे पक्षों की जानकारी भी शामिल होनी चाहिए जिनके साथ डेटा शेयर किया जाता है. साथ ही, यह भी बताना चाहिए कि इसे किस तरह इस्तेमाल किया जाता है, सेव किया जाता है, और सुरक्षित रखा जाता है. इसके अलावा, आपको यह भी बताना होगा कि खाता बंद किए जाने या मिटाए जाने के बाद, डेटा का क्या होता है.

ऐप्लिकेशन और सेवाओं को भी ज़रूरत के मुताबिक अनुमति का इस्तेमाल करके, उपयोगकर्ता के डेटा को ऐक्सेस करने का अनुरोध करना चाहिए. इससे उपयोगकर्ताओं को यह बेहतर तरीके से समझने में मदद मिलती है कि कौनसा डेटा दिया गया है, आपको डेटा की ज़रूरत क्यों है, और डेटा का इस्तेमाल कैसे किया जाता है. लागू होने वाले कानून की ज़रूरी शर्तों के अलावा, आपको इन ज़रूरी शर्तों का पालन भी करना होगा. ये शर्तें, OAuth 2.0 की हमारी नीतियों और Google API Services के उपयोगकर्ता के डेटा से जुड़ी नीतियों के मुताबिक हैं:

1. डेवलपर को डेटा को एक्सपोर्ट करने, ऐक्सेस करने, इकट्ठा करने, इस्तेमाल करने, और शेयर करने के बारे में जानकारी देनी होगी. ज़ाहिर की गई जानकारी:
1. उस ऐप्लिकेशन या सेवा की पहचान साफ़ तौर पर ज़ाहिर करनी होगी जिसके लिए उपयोगकर्ता के डेटा का ऐक्सेस मांगा गया है;
2. अगर यह ऐप्लिकेशन पर आधारित है, तो यह ऐप्लिकेशन में होना चाहिए. अगर यह वेब पर आधारित है, तो यह एक अलग डायलॉग विंडो में होना चाहिए;
3. अगर ऐप्लिकेशन, ऐप्लिकेशन पर आधारित है, तो उसे ऐप्लिकेशन के सामान्य इस्तेमाल के दौरान दिखाया जाना चाहिए. अगर वेबसाइट, वेब पर आधारित है, तो उसे वेबसाइट के सामान्य इस्तेमाल के दौरान दिखाया जाना चाहिए. साथ ही, इसके लिए उपयोगकर्ता को किसी मेन्यू या सेटिंग में जाने की ज़रूरत नहीं पड़नी चाहिए;
4. इस बारे में साफ़ और सही तौर पर बताना होगा कि किस तरह का डेटा ऐक्सेस किया जाएगा, मांगा जाएगा, एक्सपोर्ट किया जाएगा या इकट्ठा किया जाएगा;
5. इसमें यह बताना होगा कि डेटा का इस्तेमाल और शेयर कैसे किया जाता है. अगर किसी एक काम के लिए डेटा का अनुरोध किया गया है और उसका इस्तेमाल किसी दूसरी जगह भी किया जाएगा, तो इस्तेमाल के इन दोनों मामलों की सूचना उपयोगकर्ताओं को देनी होगी;
6. इसे सिर्फ़ निजता नीति या सेवा की शर्तों में नहीं रखा जा सकता; और
7. इसे ऐसी दूसरी जानकारी के साथ नहीं दिखाया जाना चाहिए जो निजी और संवेदनशील डेटा इकट्ठा करने से जुड़ी नहीं है.
2. डेवलपर को, उपयोगकर्ता की सहमति लेने के अनुरोध के साथ ही, जानकारी ज़ाहिर करनी चाहिए. सहमति मिलने से पहले, आपको डेटा इकट्ठा करना शुरू नहीं करना चाहिए. सहमति का अनुरोध:
1. सहमति वाला डायलॉग साफ़ और सीधे तौर पर दिखना चाहिए;
2. स्वीकार करने के लिए, उपयोगकर्ता को कोई कार्रवाई करनी होगी. जैसे, स्वीकार करने के लिए चुनना, चेकबॉक्स पर सही का निशान लगाना या स्वीकार करने के लिए बोलकर निर्देश देना;
3. जहां जानकारी दी गई है वहां से कहीं और जाने को, ऐप्लिकेशन इस्तेमाल करने वाले व्यक्ति की सहमति नहीं समझा जाना चाहिए. इसमें टैप करके बाहर जाना या वापस जाने के लिए बैक या होम बटन दबाना शामिल है
4. अपने-आप खारिज या खत्म होने वाले मैसेज का इस्तेमाल नहीं किया जाना चाहिए.
3. आपको उपयोगकर्ताओं की मदद के लिए एक दस्तावेज़ उपलब्ध कराना होगा. इसमें यह जानकारी होनी चाहिए कि उपयोगकर्ता आपके ऐप्लिकेशन में अपना डेटा किस तरह मैनेज कर सकते हैं और उसे कैसे मिटा सकते हैं.

उपयोगकर्ता के डेटा का सीमित इस्तेमाल

सही इस्तेमाल के लिए Data Portability API को ऐक्सेस करने पर, डेवलपर को मिले डेटा का इस्तेमाल इन ज़रूरी शर्तों के मुताबिक करना होगा. ये ज़रूरी शर्तें, संवेदनशील और पाबंदी वाले दायरों पर लागू होती हैं. साथ ही, ये शर्तें Data Portability API से मिले रॉ डेटा पर भी लागू होती हैं. इसके अलावा, ये शर्तें रॉ डेटा से इकट्ठा किए गए डेटा, पहचान से जुड़ी जानकारी हटाकर बनाए गए डेटा, पहचान से जुड़ी जानकारी हटाकर बनाए गए डेटा या रॉ डेटा से बनाए गए डेटा पर भी लागू होती हैं.

1. डेटा का इस्तेमाल, सिर्फ़ उन मामलों या सुविधाओं को उपलब्ध कराने या उन्हें बेहतर बनाने के लिए करें जिनके लिए इस डेटा का इस्तेमाल करने की अनुमति है. ये सुविधाएं, उस ऐप्लिकेशन के यूज़र इंटरफ़ेस की मुख्य सुविधाएं होनी चाहिए जिसके लिए अनुमति पाने का अनुरोध किया जा रहा है.
2. डेटा ट्रांसफ़र करने की अनुमति नहीं है. हालांकि, इन मामलों में डेटा ट्रांसफ़र किया जा सकता है:
1. इसका इस्तेमाल, उन मामलों या सुविधाओं को उपलब्ध कराने या उन्हें बेहतर बनाने के लिए किया जाए जिनके लिए इस डेटा का इस्तेमाल करने की अनुमति है. ये सुविधाएं, उस ऐप्लिकेशन के यूज़र इंटरफ़ेस की होनी चाहिए जिसके लिए अनुमति पाने का अनुरोध किया जा रहा है. इस डेटा को ट्रांसफ़र करने के लिए, उपयोगकर्ता की सहमति लेना भी ज़रूरी है;
2. सुरक्षा के मकसद से, जैसे कि गलत इस्तेमाल की जांच करने के लिए;
3. ऐसा करना, लागू कानूनों या नियमों का पालन करने के लिए ज़रूरी हो; या
4. डेवलपर की एसेट मर्ज करनी हों, हासिल करनी हों या बेचनी हों. ऐसा करने से पहले, उपयोगकर्ता की सहमति लेना ज़रूरी है.
3. लोगों को उपयोगकर्ता का डेटा देखने की अनुमति सिर्फ़ तब दें, जब:
1. आपने उपयोगकर्ता से किसी खास डेटा को पढ़ने के लिए, उसकी अनुमति ली हो और उसे दस्तावेज़ में दर्ज किया हो. उदाहरण के लिए, पासवर्ड खोने के बाद, उपयोगकर्ता को प्रॉडक्ट या सेवा का ऐक्सेस वापस पाने में मदद करना;
2. डेटा को इकट्ठा करके, उसका इस्तेमाल निजता और अधिकार क्षेत्र से जुड़ी, लागू होने वाली अन्य कानूनी ज़रूरतों के हिसाब से अंदरूनी कार्रवाइयों के लिए किया जाए. इसमें, रॉ डेटा से तैयार किया गया डेटा भी शामिल है;
3. ऐसा करना सुरक्षा के लिहाज़ से ज़रूरी हो. जैसे, गलत इस्तेमाल की जांच करना; या
4. लागू होने वाले कानूनों या नियमों का पालन करना ज़रूरी है.

ऐप्लिकेशन या सेवा के डेटा के इस्तेमाल से जुड़ी पुष्टि करने वाला या मिलता-जुलता कोई अन्य स्टेटमेंट, ऐप्लिकेशन या सेवा की वेबसाइट पर ज़ाहिर किया जाना चाहिए. इससे यह पता चलता है कि डेटा का इस्तेमाल, सीमित इस्तेमाल से जुड़ी पाबंदियों के मुताबिक किया जा रहा है. उदाहरण के लिए, होम पेज पर मौजूद निजता नीति या खास पेज का लिंक, जिसमें यह जानकारी हो:

"Data Portability API से मिली जानकारी का इस्तेमाल, Data Portability API के उपयोगकर्ता के डेटा और डेवलपर नीति के मुताबिक किया जाता है. इसमें सीमित इस्तेमाल से जुड़ी ज़रूरी शर्तें भी शामिल हैं".

मिलते-जुलते वाक्यों का इस्तेमाल किया जा सकता है, जो सीमित इस्तेमाल वाले सेक्शन में डेटा शेयर करने से जुड़ी पाबंदियों के मुताबिक हों.

ऑपरेटिंग सिस्टम का सुरक्षित माहौल बनाए रखना

आपको उपयोगकर्ता का पूरा डेटा सुरक्षित तरीके से मैनेज करना होगा. Data Portability API का इस्तेमाल करने वाले सभी ऐप्लिकेशन या सिस्टम को बिना अनुमति के या गैर-कानूनी तरीके से ऐक्सेस करने, इस्तेमाल करने, खत्म करने, नुकसान पहुंचाने, बदलाव करने या ज़ाहिर करने से बचाने के लिए, उचित और सही कदम उठाएं.

पाबंदी वाले दायरों को ऐक्सेस करने वाले ऐप्लिकेशन को सुरक्षा से जुड़ी कुछ कार्रवाइयों का पालन करना होगा. सुरक्षा के जो तरीके सुझाए गए हैं उनमें इंफ़ॉर्मेशन सिक्योरिटी मैनेजमेंट सिस्टम को लागू करना और उसका रखरखाव करना शामिल है. इसके बारे में, ISO/IEC 27001 में बताया गया है. इसके अलावा, आपको यह भी पक्का करना होगा कि आपका ऐप्लिकेशन या वेब सेवा बेहतरीन है और उसमें सुरक्षा से जुड़ी आम समस्याएं नहीं हैं. इन समस्याओं की जानकारी, OWASP मुख्य 10 में दी गई है.

सुरक्षा के ज़रूरी उपायों में ये शामिल हैं:

1. उपयोगकर्ता के डेटा को एन्क्रिप्ट (सुरक्षित) करने के लिए, इंडस्ट्री में स्वीकार किए गए एन्क्रिप्शन स्टैंडर्ड का इस्तेमाल करना. यह डेटा:
1. पोर्टेबल डिवाइसों या पोर्टेबल इलेक्ट्रॉनिक मीडिया पर सेव किया गया हो;
2. Google या डेवलपर के सिस्टम से बाहर मैनेज किया जाता है;
3. किसी ऐसे बाहरी नेटवर्क पर ट्रांसफ़र किया गया हो जिसे सिर्फ़ आप मैनेज नहीं करते हैं; और
4. डेवलपर के सिस्टम पर आराम कर रहे हों.
2. एचटीटीपीएस जैसे सुरक्षित आधुनिक प्रोटोकॉल का इस्तेमाल करके डेटा ट्रांसफ़र करना.
3. उपयोगकर्ता के डेटा और क्रेडेंशियल को एन्क्रिप्ट (सुरक्षित) करके रखना. खास तौर पर, OAuth ऐक्सेस और रीफ़्रेश टोकन जैसे टोकन.
4. यह पक्का करना कि पासकोड और पासकोड से जुड़ा कॉन्टेंट सही तरीके से मैनेज किया जा रहा हो. जैसे, हार्डवेयर सुरक्षा मॉड्यूल या पासकोड मैनेजमेंट सिस्टम में सेव किया गया हो.

सीमित दायरे के लिए ज़रूरी सुरक्षा उपायों में, क्लाउड ऐप्लिकेशन के लिए सुरक्षा आकलन (सीएएसए) का पालन करना शामिल है. इसके अलावा, आपको ऐप्लिकेशन या सेवा को समय-समय पर सुरक्षा से जुड़ी जांच कराने की अनुमति देनी पड़ सकती है. साथ ही, Google की ओर से तय किए गए तीसरे पक्ष से, जांच का लेटर भी पाना पड़ सकता है.

आपने सहमति दी है कि अगर आपको पता चलता है कि Google के डेटा को सेव करने वाले सिस्टम, नेटवर्क, खातों या अन्य जगहों को बिना अनुमति के ऐक्सेस किया जा रहा है या ऐसा होने का संदेह है, तो आपको इसकी जानकारी तुरंत security@google.com पर देनी होगी. इसे सुरक्षा से जुड़ी घटना कहा जाता है. आपने, सुरक्षा से जुड़ी किसी भी ऐसी घटना को ठीक करने के लिए, Google के साथ पूरी तरह से सहयोग करने के साथ-साथ, सार्वजनिक तौर पर इस बारे में कोई भी जानकारी देने से पहले, security@google.com पर Google को सूचना देने के लिए सहमति दी है जिसकी आपको जानकारी है या जिसकी आशंका है.

OAuth 2.0 स्कोप

Data Portability API के सभी स्कोप और रिसॉर्स ग्रुप की सूची के लिए, डेटा पोर्टेबिलिटी के लिए स्कोप देखें.

पाबंदी वाले अन्य स्कोप के बारे में ज़्यादा जानकारी के लिए, पाबंदी वाले स्कोप की सूची देखें.