Vibn कैसे काम करता है

1. संक्षेप में

Vibn एक निजी साझा एल्बम है। आप एक ग्रुप बनाते हैं, कुछ लोगों को बुलाते हैं, और एक ही मौके की सबकी फ़ोटो और वीडियो एक जगह जमा हो जाते हैं। यहाँ कोई फ़ीड नहीं है जिसमें आपको क्रम में लगाया जाए, कोई सार्वजनिक प्रोफ़ाइल नहीं, और किसी अजनबी के लिए आपका ग्रुप ढूँढ़ने का कोई रास्ता नहीं।

• ग्रुप सिर्फ़ न्योते से जुड़ते हैं। कोई खोज नहीं, कोई डिस्कवरी नहीं, कोई ब्राउज़िंग नहीं — अंदर आने का इकलौता रास्ता है किसी अंदर के व्यक्ति से मिला लिंक, कोड या QR।
• एन्क्रिप्टेड ग्रुप की फ़ोटो और वीडियो एंड-टू-एंड एन्क्रिप्टेड हैं। वे अपलोड से पहले आपके फ़ोन पर एन्क्रिप्ट होती हैं और पाने वालों के फ़ोन पर डिक्रिप्ट। हमारे सर्वर पर वह डेटा है जिसे वे पढ़ ही नहीं सकते।
• ग्रुप को डिक्रिप्ट करने वाली कुंजी कभी भी हमारे सर्वर तक ऐसे रूप में नहीं पहुँचती जिसे हम इस्तेमाल कर सकें। वह न्योते के लिंक के उस हिस्से में चलती है जिसे ब्राउज़र कभी भेजते ही नहीं, और अगर आप रिकवरी बैकअप रखते हैं तो हमारे पास मौजूद प्रति उस वाक्यांश से सील रहती है जो हमें कभी नहीं मिलता।
• चेहरा पहचान आपके डिवाइस पर चलती है। सिर्फ़ गुमनाम संख्यात्मक वेक्टर अपलोड होते हैं — आपकी सेटअप फ़ोटो कभी नहीं, और किसी दूसरे उपयोगकर्ता को वापस कभी नहीं।
• मीडिया कभी सार्वजनिक पते से नहीं खुलता। हर बार देखने पर एक अल्पकालिक, हस्ताक्षरित लिंक बनता है, हर अनुरोध पर अलग।
• आप अपना चेहरा-डेटा, अपना मीडिया, अपने ग्रुप और पूरा खाता मिटा सकते हैं, और ये मिटाना असली होता है।

2. न्योते से निजी, सर्वर पर लागू

किसी ग्रुप के डेटा के हर अनुरोध को कुछ भी लौटाने से पहले आपकी सदस्यता से जाँचा जाता है। अगर आप सदस्य नहीं हैं, तो API «नहीं मिला» कहता है, «अनुमति नहीं» नहीं — ताकि बाहर का कोई यह तक पक्का न कर सके कि वह ग्रुप मौजूद है, उसमें कौन है यह तो दूर की बात।

यह जाँच एक ही जगह रहती है, API में, ऐप के कोड में बिखरी हुई नहीं। ऐप अलग तरह से पूछकर खुद को पहुँच नहीं दे सकता, क्योंकि फ़ैसला करने वाला ऐप है ही नहीं।

एक जानबूझकर रखा अपवाद है: लॉग-इन किया हुआ कोई भी व्यक्ति जिसके पास न्योते का कोड है, जुड़ने से पहले उस न्योते की एक छोटी झलक पढ़ सकता है — ग्रुप का नाम, विवरण, और किसने बुलाया। इसके बिना आपको बिना देखे न्योता स्वीकारना पड़ता। न्योते सात दिन में ख़त्म हो जाते हैं।

2026 से सदस्यता की जाँच के साथ एक दूसरी जाँच भी चलती है, और वह केवल एक दिशा में काम करती है — वह रोक सकती है, पहुँच कभी नहीं देती। यदि किसी और की डाली गई फ़ोटो में आपकी पहचान होती है, तो आप उसे समूह से छिपा सकते हैं: उसके बाद API उसे केवल उन लोगों को देता है जिनकी पहचान उसमें पहले से है और जिसने उसे डाला है। इससे कुछ भी मिटता नहीं, जो प्रतियाँ पहले से किसी के फ़ोन में हैं उन तक यह नहीं पहुँचती, और डालने वाले को बताया जाता है और वे आपसे उसे वापस दिखाने को कह सकते हैं।

• ग्रुप में भूमिकाएँ हैं मालिक, प्रबंधक और सदस्य। प्रबंधक मॉडरेट और संपादित कर सकते हैं; सिर्फ़ मालिक ग्रुप हटा सकता है या प्रबंधक नियुक्त कर सकता है।
• मालिक अपने ही ग्रुप से चुपचाप नहीं निकल सकता — वह उसे हटाता है या किसी और को सौंपता है। इससे ऐसा बिन-मालिक ग्रुप नहीं बचता जिसके स्टोरेज का कोई ज़िम्मेदार न हो।
• किसी सदस्य को हटाने से उसकी आगे की पहुँच रुक जाती है। जो उसने देख लिया, वह वापस नहीं होता, और हम ऐसा दिखावा भी नहीं करते।

3. एंड-टू-एंड एन्क्रिप्शन: हमारे सर्वर क्या नहीं कर सकते

एंड-टू-एंड रोलआउट के बाद बने ग्रुप एन्क्रिप्टेड हैं। हर ग्रुप की एक 256-बिट कुंजी होती है, जो बनाने वाले के डिवाइस पर बनती है। मीडिया अपलोड से पहले फ़ोन पर AES-256-GCM से एन्क्रिप्ट होता है और देखते समय फ़ोन पर डिक्रिप्ट। हम जो रखते हैं वह एक अपारदर्शी गुच्छा है।

अहम बात यह नहीं कि हम न देखने का वादा करते हैं। अहम यह है कि दूसरे ऐप जो कई सुविधाएँ देते हैं, वे हमारे लिए असंभव हैं, और हमने उन्हें खोना स्वीकार किया:

• हम सर्वर पर आपके एन्क्रिप्टेड मीडिया के थंबनेल या प्रीव्यू नहीं बना सकते, क्योंकि हम उसे डिकोड ही नहीं कर सकते।
• हम स्टोरेज बचाने के लिए उसे दोबारा एनकोड या कंप्रेस नहीं कर सकते।
• हम उस धुंधली तस्वीर को नहीं बना सकते जो खुलासे के दिन से पहले दिखती है — इसलिए एन्क्रिप्टेड ग्रुप में वह काम ऐप आपके डिवाइस पर करता है।
• हम एन्क्रिप्टेड ग्रुप के लिए सार्वजनिक साझा लिंक नहीं बना सकते। उन ग्रुप के लिए यह सुविधा बंद है, सिर्फ़ हतोत्साहित नहीं।
• हम एन्क्रिप्टेड मीडिया की सामग्री स्कैन नहीं कर सकते, न हम न कोई और। संवेदनशील सामग्री की पहचान आपके डिवाइस पर होती है, या होती ही नहीं।
• किसी फ़ोटो की असली सामग्री हम तक पहुँचने का ठीक एक ही रास्ता है, और उसे भेजने वाले आप होते हैं: किसी सामग्री की दुरुपयोग के लिए शिकायत करने पर आपका डिवाइस उसी एक आइटम की डिक्रिप्ट की गई कॉपी भेजता है — ऐप आपको पहले ही यह बता देता है। इसके अलावा हम उसे किसी और तरीके से नहीं पा सकते, और शिकायत निपटने के 90 दिन बाद वह मिटा दी जाती है।

4. कुंजी कैसे पहुँचती है

ग्रुप की कुंजी न्योते के लिंक के अंदर, # चिह्न के बाद बाँटी जाती है: https://vibn.space/i/CODE#k=… — # के बाद का सब कुछ एक URL फ़्रैगमेंट है, और ब्राउज़र फ़्रैगमेंट कभी सर्वर को नहीं भेजते। QR कोड में वही लिंक होता है। जो उसे खोलता है, ऐप में कुंजी निकालकर डिवाइस के सुरक्षित, हार्डवेयर-समर्थित स्टोरेज में रख देता है: iOS पर Keychain, Android पर Keystore।

इसका एक नतीजा है जिसे हम छिपाने के बजाय साफ़ कहना पसंद करते हैं। जिसे पूरा न्योता लिंक मिल गया, उसे ग्रुप की कुंजी मिल गई। न्योते के लिंक को घर की चाबी की तरह समझें: यह जुड़ने की कोई अर्ज़ी नहीं जिसे आप मंज़ूर करते हैं, यह वही चीज़ है जो दरवाज़ा खोलती है। इसे उसी माध्यम से साझा करें जिस पर आपको भरोसा हो।

इसका दूसरा नतीजा भी है, और रिकवरी बैकअप उसे मिटाता नहीं, उसका रूप बदल देता है। जब कोई डिवाइस पहली बार किसी ग्रुप की कुंजी रखता है, Vibn आपको दस शब्दों का रिकवरी वाक्यांश देता है। आपका फ़ोन उन शब्दों से एक कुंजी बनाता है और आपकी ग्रुप कुंजियाँ उसी से सील करके भेजता है; हम वह सील किया हुआ पैकेट और कुंजी बनाने में इस्तेमाल हुआ सार्वजनिक सॉल्ट रखते हैं। वाक्यांश हम तक कभी नहीं पहुँचता — न किसी अनुरोध में, न ईमेल से, न शेयर मेन्यू से — इसलिए वह पैकेट हमारे लिए उतना ही बंद है जितना खुद आपका मीडिया। अगर कागज़ के बजाय आपको ठीक लगे तो आप इन शब्दों का स्क्रीनशॉट ले सकते हैं; स्क्रीनशॉट आम तौर पर किसी क्लाउड फ़ोटो सेवा से सिंक हो जाता है, इसलिए वह उतना ही निजी रहेगा जितना वह खाता। नए डिवाइस पर वाक्यांश टाइप करने से आपकी कुंजियाँ लौट आती हैं, और iOS पर बनी हुई कुंजी iCloud Keychain में चलती है, इसलिए ज़्यादातर बहाली में कुछ भी टाइप करने की ज़रूरत नहीं पड़ती। जिस डिवाइस पर कुंजियाँ अब भी हैं उससे कोड स्कैन करके आप उन्हें अब भी ले जा सकते हैं, या न्योते का लिंक चिपकाकर ग्रुप बहाल कर सकते हैं। लेकिन आप बैकअप छोड़ भी सकते हैं और मिटा भी सकते हैं, और तब अगर सभी डिवाइस और सभी लिंक चले गए तो मीडिया हमेशा के लिए एन्क्रिप्टेड रह जाएगा। खंड 3 की गारंटी की यही ईमानदार क़ीमत है।

• ग्रुप की कुंजी कभी किसी अनुरोध के भीतर, कभी न्योते के कोड में और कभी किसी लॉग में ऐसे रूप में नहीं होती जिसे कोई इस्तेमाल कर सके। हम तक पहुँचने वाली इकलौती प्रति रिकवरी पैकेट है, जो आपके वाक्यांश से सील है।
• मौजूदा सीमा: कोई सदस्य निकले तो कुंजी नहीं बदलती, और किसी एक व्यक्ति की पहुँच अलग से रद्द नहीं होती। जिस पूर्व सदस्य ने लिंक रख लिया, उसके पास कुंजी बनी रहती है।
• ग्रुप की कुंजी उसकी सेटिंग में सिर्फ़-पढ़ने के लिए दिखती है, इसलिए चाहें तो आप उसका बैकअप जानबूझकर रख सकते हैं।

5. आपका मीडिया असल में कहाँ रहता है

फ़ाइलें निजी ऑब्जेक्ट स्टोरेज में रहती हैं, जो हस्ताक्षर के बिना पढ़ी नहीं जा सकतीं। हमारे डेटाबेस में सिर्फ़ ऑब्जेक्ट का पथ रहता है — कोई URL नहीं। एक शुरुआती माइग्रेशन ने जानबूझकर सहेजे गए URL वाले कॉलम हटा दिए, इसलिए डेटाबेस की कोई पंक्ति लीक हो भी जाए तो उसमें ऐसा कुछ नहीं जिसे कोई खोल सके।

हर बार जब आप फ़ोटो खोलते हैं, API आपकी सदस्यता जाँचने के बाद उसी एक ऑब्जेक्ट के लिए, उसी एक अनुरोध के लिए, एक अल्पकालिक हस्ताक्षरित लिंक बनाता है। लिंक समाप्त हो जाता है। अपलोड उल्टे क्रम में इसी तरह काम करता है, और फ़ाइल का प्रकार उसी क्षण तय हो जाता है जब अपलोड को अनुमति मिलती है।

• न कोई सार्वजनिक बकेट है, न अंदाज़े से निकाला जा सकने वाला पथ, और न कोई स्थायी URL जो लीक हो सके।
• पूरे सिस्टम में बिना प्रमाणीकरण वाली इकलौती जगह है सार्वजनिक साझा गैलरी, जिसे कोई सदस्य ग़ैर-एन्क्रिप्टेड ग्रुप के लिए बना सकता है। यह लिंक के भीतर एक क्षमता-टोकन है, इसे बंद किया जा सकता है, और एन्क्रिप्टेड ग्रुप के लिए यह कभी बन ही नहीं सकती।
• अगर आप सेटिंग में दोबारा-साझा करना बंद कर दें, तो किसी और सदस्य की बनाई सार्वजनिक गैलरी से आपके अपलोड हट जाते हैं — आपकी अपनी साझा गैलरी में वे बने रहते हैं।

6. खुलासे का दिन

ग्रुप को चुनी हुई तारीख़ पर खुलने के लिए सेट किया जा सकता है, ताकि कोई भी बाक़ी सबसे पहले फ़ोटो न देखे। उस क्षण से पहले सर्वर सिर्फ़ ऐप से चीज़ें छिपाने को नहीं कहता। जिन्होंने अपलोड नहीं किया उन्हें वह एक अलग फ़ाइल देता है — एक छोटी धुंधली प्रति — और असली फ़ाइल के लिए हस्ताक्षरित लिंक कभी बनाता ही नहीं। पूरे रिज़ॉल्यूशन वाली फ़ाइल की कुंजी उत्तर में होती ही नहीं कि कोई ढूँढ़ ले।

अपने अपलोड आप हमेशा देखते हैं। जिन फ़ोटो में आप हैं उनकी सूचनाएँ खुलासे तक रोकी जाती हैं और फिर एक ही सारांश के रूप में आती हैं, ताकि कोई सूचना वह न खोल दे जो स्क्रीन छिपा रही है।

इन फ़ोटो को समय से पहले देखने का एक रास्ता है, और वह जानबूझकर रखा गया है। ग्रुप का मालिक एक लाइव वॉल शुरू कर सकता है: एक लिंक, जो ज़्यादा से ज़्यादा एक दिन चलता है और कभी भी बंद किया जा सकता है, और जो ग्रुप की फ़ोटो ब्राउज़र में दिखाता है जैसे-जैसे वे आती हैं — किसी पार्टी में, कमरे की किसी स्क्रीन पर। जब तक यह चालू है, उस लिंक वाला व्यक्ति धुंधली नहीं, पूरी फ़ोटो देखता है — यही इसका मक़सद है। इसकी क़ीमत को दो चीज़ें सीमित रखती हैं। लिंक अपने आप खत्म हो जाता है, और मालिक उसे पहले भी बंद कर सकता है। और लिंक में ग्रुप की कुंजी नहीं होती: कुंजी ब्राउज़र तक ढकी हुई पहुँचती है और वहीं खुलती है, सिर्फ़ तब तक जब तक सत्र चल रहा है — इसलिए लाइव वॉल बंद करना सिर्फ़ पन्ना बंद करना नहीं है, वह कुंजी भी साथ ले जाता है।

7. चेहरा पहचान, और यहाँ यह असामान्य क्यों है

Vibn वे फ़ोटो ढूँढ़ सकता है जिनमें आप हैं। इस सुविधा के लगभग हर रूप में चेहरे सर्वर पर भेजे जाते हैं। हमारे में नहीं, और भेजे जा भी नहीं सकते: मीडिया एन्क्रिप्टेड है, इसलिए सर्वर पर मिलान करने वाले के पास देखने को कुछ होता ही नहीं।

इसके बजाय, चेहरे की पहचान और उसे संख्यात्मक वेक्टर में बदलना, दोनों आपके फ़ोन पर होते हैं। 512 संख्याओं का एक वेक्टर ही अपलोड होता है। वह कोई छवि नहीं है, और उससे छवि वापस नहीं बनाई जा सकती।

मिलान फिर सर्वर पर होता है, वेक्टर से वेक्टर। लौटती हैं सिर्फ़ मिले हुए उपयोगकर्ताओं की पहचान — किसी का वेक्टर कभी नहीं।

• चेहरा सेटअप के दौरान ली गई फ़ोटो कभी आपके डिवाइस से बाहर नहीं जातीं।
• कोई भी एंडपॉइंट किसी क्लाइंट को सहेजा गया चेहरा-वेक्टर नहीं लौटाता, आपके अपने को भी नहीं।
• आप खोजे जाने की सुविधा बंद कर सकते हैं, और बाक़ी सबको दिखने वाले मिलान परिणामों से आपकी पहचान हटा दी जाती है — अपने परिणाम आप फिर भी देखते हैं।
• आप कभी भी सेटिंग से अपना पूरा चेहरा-डेटा मिटा सकते हैं। इससे वेक्टर और सेटअप का निशान दोनों हटते हैं, सिर्फ़ कोई निशानी नहीं।
• यह सुविधा आपकी मर्ज़ी से चालू होती है और मुफ़्त तथा सशुल्क, दोनों योजनाओं में उपलब्ध है। हम आपकी निजता को पेवॉल के पीछे नहीं रखते।
• जिस फ़ोटो में आप दिखते हैं उसे आप बाकी समूह से छिपा सकते हैं, पर मिटा नहीं सकते। वह उसमें दिखने वाले लोगों और उसे डालने वाले को दिखती रहती है, जिसे बताया जाता है और जो आपसे उसे वापस दिखाने को कह सकता है।

8. पहचान, भुगतान और वे हिस्से जो हम जानबूझकर खुद नहीं चलाते

साइन-इन Firebase Authentication संभालता है — ईमेल, Google या Apple। हम कभी पासवर्ड न देखते हैं न रखते हैं; हमारे डेटाबेस में पासवर्ड का कोई कॉलम ही नहीं है जो लीक हो सके।

सदस्यताओं की पुष्टि हमारा अपना सर्वर सीधे Apple और Google से करता है। आपकी ख़रीद का इतिहास रखने वाला कोई तीसरा बिलिंग बिचौलिया नहीं है। आपका अधिकार स्टोर से पुष्ट रसीद के आधार पर हमारी तरफ़ तय होता है, इसलिए बदला हुआ ऐप खुद को सशुल्क योजना नहीं दे सकता।

योजना की सीमाएँ — कितने ग्रुप, कितने सदस्य, कितना स्टोरेज, कौन-सा रिज़ॉल्यूशन — सर्वर पर लागू होती हैं, ऐप में नहीं। ऐप में उन संख्याओं की प्रति सिर्फ़ इसलिए है कि सीमा से टकराने से पहले आपको एक सहज संदेश दिखाया जा सके।

9. आपके डिवाइस से क्या जाता है, और किसके पास

यही वह खंड है जिसे ज़्यादातर श्वेतपत्र धुँधला छोड़ देते हैं। हमारा विशिष्ट है, वहाँ भी जहाँ यह हमारे पक्ष में नहीं।

त्रुटि और क्रैश रिपोर्ट Sentry को जाती हैं। उसे आपके खाते की पहचान, नाम और ईमेल मिलते हैं ताकि रिपोर्ट को प्रभावित उपयोगकर्ता से जोड़ा जा सके। उसे ऐसा सेट किया गया है कि उसे कभी अनुरोध की सामग्री, प्रमाणीकरण टोकन, हस्ताक्षरित स्टोरेज URL, न्योते के कोड, साझा टोकन — और ग्रुप की कुंजी न मिले। आख़िरी बात नीति का मामला नहीं है: ग़लत लिखी गई कुंजी वरना अपवाद के संदेश के भीतर रिपोर्ट तक पहुँच जाती, इसलिए उसे हटाने वाली सफ़ाई पर परीक्षण लगे हैं जो पीछे हटने पर बिल्ड ही तोड़ देते हैं।

उत्पाद विश्लेषण PostHog को जाता है: कौन-सी स्क्रीन खुलती हैं, कौन-सी सुविधाएँ इस्तेमाल होती हैं, और ऐप का संस्करण तथा प्लैटफ़ॉर्म। स्क्रीन के नाम साफ़ किए जाते हैं ताकि ग्रुप, मीडिया और न्योते की पहचान कभी किसी घटना में न आए।

पुश सूचनाएँ OneSignal से पहुँचती हैं। लाइव चैट और मौजूदगी अब किसी तीसरे पक्ष के ढाँचे पर नहीं चलतीं: वे हमारे अपने रीयल-टाइम सर्वर पर चलती हैं, और संदेश हमारे अपने डेटाबेस में रहते हैं — एन्क्रिप्टेड ग्रुप में ऐसे टेक्स्ट के रूप में जिसे हम पढ़ नहीं सकते। आपका ऐप एक अल्पकालिक टोकन से जुड़ता है जो केवल आपकी पहचान बताता है, और हर ग्रुप के कमरे में एक दूसरे टोकन से आता है जो ठीक उसी कमरे के लिए जारी होता है और हर बार आपकी सदस्यता से जाँचा जाता है। व्यक्तिगत संदेश भी इसी तरह काम करते हैं, बस एक फ़र्क़ बताने लायक है: दो लोगों की बातचीत की कोई समूह-कुंजी नहीं होती, इसलिए दोनों डिवाइस आपस में एक कुंजी निकालते हैं — उन पहचान-कुंजियों से जिनका सिर्फ़ सार्वजनिक हिस्सा हमारे पास होता है। हम नतीजा संग्रहीत करते हैं और उसे खोल नहीं सकते।

मुफ़्त योजना पर विज्ञापन Google AdMob दिखाता है। iOS पर किसी भी विज्ञापन पहचानकर्ता के इस्तेमाल से पहले आपसे पूछा जाता है, और मना करने पर भी विज्ञापन दिखते रहते हैं, बस लक्षित नहीं होते। जहाँ स्थानीय क़ानून सहमति फ़ॉर्म माँगता है, वह इस अनुरोध से पहले दिखता है। AdMob को आपका नाम, ईमेल, फ़ोटो या आपके ग्रुप के भीतर की कोई चीज़ कभी नहीं मिलती।

अगर आपने Vibn हमारे किसी विज्ञापन से इंस्टॉल किया है, तो हम बताते हैं कि उन विज्ञापनों से क्या हुआ, ताकि हम जान सकें कि कौन-से काम करते हैं: कि ऐप इंस्टॉल हुआ, कि खाता बनाया गया, कि आपने प्लान स्क्रीन खोली, कि आपने सदस्यता के लिए टैप किया, और कि सदस्यता खरीदी गई। Google और Meta को इनमें से पहला, दूसरा और आख़िरी आपके डिवाइस से मिलता है — iPhone पर Apple के SKAdNetwork के ज़रिए, जो विज्ञापनदाता को एक जोड़ा हुआ, देरी से भेजा गया अंक देता है और कोई पहचानकर्ता नहीं, इसीलिए इस ऐप में ट्रैकिंग की अनुमति नहीं माँगी जाती; Android पर उनके अपने SDK के ज़रिए, और जहाँ स्थानीय क़ानून सहमति फ़ॉर्म माँगता है, वह पहले दिखाया जाता है। OpenAI Ads को पाँचों आपके डिवाइस से नहीं, हमारे सर्वर से मिलते हैं, और यही एकमात्र जगह है जहाँ कोई पहचानकर्ता शामिल होता है: अगर आपने विज्ञापन मापन के लिए सहमति दी है, तो हम आपके ईमेल पते का एक अपरिवर्तनीय, गुप्त रूप भी जोड़ते हैं ताकि किसी खरीद को आपके देखे गए विज्ञापन से जोड़ा जा सके। अगर आपने मना किया, या आपसे कभी पूछा ही नहीं गया, तो कोई पहचानकर्ता नहीं भेजा जाता। इनमें से किसी को भी कभी नहीं बताया जाता कि आपने क्या साझा किया, आप किन ग्रुप में हैं, या उनके भीतर क्या है।

अगर आप किसी फ़ोटो या वीडियो की शिकायत करते हैं, तो उसी आइटम की डिक्रिप्ट की गई कॉपी शिकायत के साथ भेजी जाती है ताकि कोई व्यक्ति उसे परख सके — ऐप यह बात उसी स्क्रीन पर बता देता है जहाँ से आप शिकायत भेजते हैं। वह ग्रुप से अलग रखी जाती है, केवल कुछ ही मिनटों में खत्म होने वाले लिंक से दिखाई जाती है, और शिकायत निपटने के 90 दिन बाद मिटा दी जाती है। किसने शिकायत की, यह कभी नहीं बताया जाता। किसी व्यक्ति या ग्रुप की शिकायत करने पर कोई मीडिया नहीं भेजा जाता।

10. चीज़ें मिटाना

अपना खाता हटाने से वह खाता, आपके बनाए ग्रुप और उनमें मौजूद मीडिया हट जाती है, और दूसरी जगहों की आपकी सदस्यताएँ छूट जाती हैं। 30 दिन तक इसे वापस पाया जा सकता है, और हम इसे केवल इसी वजह से रखते हैं: खाता बंद रहता है, आपकी प्रोफ़ाइल बाकी सबकी ऐप से हट जाती है, आपके बनाए ग्रुप हटाने की तारीख़ के साथ केवल-पढ़ने के हो जाते हैं, और दोबारा साइन इन करने पर सब कुछ पलटने के लिए एक बटन मिलता है। 30 दिन पूरे होते ही एक निर्धारित काम वही मिटाना चलाता है जो पहले बटन तुरंत करता था, और सब खत्म — आपके लिए भी, हमारे लिए भी। यह उसके बाद किसी सहेजी हुई पंक्ति पर छिपा हुआ निशान कभी नहीं रहता।

आप ऐप खोले बिना हमारी वेबसाइट से भी मिटाना शुरू कर सकते हैं, जो डिवाइस खो जाने पर काम आता है। उस पन्ने पर दर से रोक और स्वचालित दुरुपयोग से बचाव है, और वह जानबूझकर वही उत्तर देता है चाहे उस पते से खाता हो या न हो — समय भी उतना ही लेता है — ताकि उससे यह पता न लगाया जा सके कि किसका Vibn खाता है।

• आपके अपलोड किए मीडिया को मिटाने पर सहेजा गया ऑब्जेक्ट मिटता है, सिर्फ़ सूची की प्रविष्टि नहीं।
• चेहरा-डेटा मिटाना तत्काल और पूर्ण होता है।
• आपका चेहरा डेटा 30 दिन का इंतज़ार नहीं करता: जिस पल आप हटाने को कहते हैं उसी वक़्त वह मिट जाता है, और खाता वापस पाने से वह वापस नहीं आता।
• बैकअप और लॉग अपने-अपने चक्र में ख़त्म होते हैं; मिटाना हर जगह एक साथ तुरंत नहीं होता, और हम ऐसा दावा भी नहीं करते।

11. हम क्या नहीं करते

आपकी फ़ोटो और वीडियो जिन सर्वरों पर रहते हैं, उनका खर्च किसी को तो उठाना है। वह सदस्यताएँ उठाती हैं, और मुफ़्त स्तर पर विज्ञापन मदद करते हैं। जो इसका खर्च नहीं उठाते, वे आप हैं: आपके ग्रुप के भीतर की कोई चीज़ किसी को नहीं दी जाती, और नीचे लिखी कोई भी बात ऐसा कारोबार नहीं है जिसे हमने आगे के लिए बचाकर रखा हो।

इस सूची का एक बिंदु वादा है ही नहीं। एन्क्रिप्टेड ग्रुप का मीडिया हमारे लिए पढ़ा ही नहीं जा सकता, इसलिए न उससे कुछ निकाला जा सकता है, न उसे बेचा जा सकता है, न उससे कुछ सिखाया जा सकता है — न हमारे द्वारा, और न ही उनके द्वारा जिनके पास आगे चलकर ये सर्वर हों; क्यों, यह खंड 3 बताता है। बाकी वादे हैं, और आपको अनुमान लगाने देने के बजाय हम बता देना पसंद करेंगे कि कौन-सा क्या है।

• हम आपका निजी डेटा नहीं बेचते।
• हम आपके खाते, आपके ग्रुप या आपके मीडिया तक पहुँच न बेचते हैं, न किराए पर देते हैं, न उसका आदान-प्रदान करते हैं — न विज्ञापनदाताओं को, न डेटा दलालों को, न किसी और को।
• हम आपकी फ़ोटो, वीडियो या संदेशों की सामग्री का इस्तेमाल विज्ञापन लक्षित करने के लिए नहीं करते।
• हम आपकी सामग्री पर कोई मॉडल प्रशिक्षित नहीं करते।
• हम ग्रुप के आर-पार कोई सामाजिक ग्राफ़ नहीं बनाते, और उत्पाद में कहीं भी फ़ॉलोअर सूची, सार्वजनिक प्रोफ़ाइल या मित्र-सुझाव नहीं हैं।
• हम आपके संदेश नहीं पढ़ते। एन्क्रिप्टेड ग्रुप में हम पढ़ ही नहीं सकते; पुराने ग्रुप में हम पढ़ते नहीं।

12. ज्ञात सीमाएँ

जो गोपनीयता दस्तावेज़ सिर्फ़ ख़ूबियाँ गिनाए, वह विज्ञापन है। आपकी जगह होते तो हम ये बातें जानना चाहते।

• जिसके पास पूरा न्योता लिंक है, उसके पास ग्रुप की कुंजी है (खंड 4)।
• अभी न कुंजी बदलती है न किसी एक सदस्य की पहुँच अलग से रद्द होती है; किसी को हटाना आगे की पहुँच रोकता है, पहले की जानकारी नहीं।
• सारे डिवाइस और न्योता लिंक खो जाएँ तो लौटने का रास्ता सिर्फ़ आपका रिकवरी वाक्यांश है। अगर आपने बैकअप नहीं लिया या वाक्यांश भी खो गया, तो मीडिया कोई वापस नहीं ला सकता, हम भी नहीं।
• जिन ग्रुप में साझा करना बंद है, वहाँ स्क्रीनशॉट रोक ऑपरेटिंग सिस्टम का स्क्रीनशॉट रोकती है। यह किसी को दूसरे फ़ोन से स्क्रीन की तस्वीर लेने से नहीं रोकती।
• एन्क्रिप्शन आने से पहले बने ग्रुप एंड-टू-एंड एन्क्रिप्टेड नहीं हैं। उनका मीडिया पहुँच-नियंत्रण और हस्ताक्षरित URL से सुरक्षित है, पर सर्वर उसे पढ़ सकता है।
• मेटाडेटा एन्क्रिप्टेड नहीं है: हमें पता होता है कौन-से खाते किन ग्रुप में हैं, चीज़ें कब अपलोड हुईं, फ़ाइल के अनुसार वे कब ली गई थीं और कितनी बड़ी हैं।
• बातचीत का मेटाडेटा भी एन्क्रिप्टेड नहीं है: हमें पता होता है कि कौन किसके साथ और कब व्यक्तिगत संदेश भेजता है, भले ही हम उनका एक शब्द भी न पढ़ सकें।
• स्टोरेज का शुल्क group के मालिक पर लगता है। यदि उनकी सदस्यता समाप्त हो जाती है और चेतावनी के 30 दिन बाद भी उनके groups मुफ़्त सीमा से ऊपर रहते हैं, तो हम उन groups का सबसे पुराना मीडिया हटाते हैं — जिसमें अन्य सदस्यों द्वारा अपलोड किया गया मीडिया भी शामिल है — जब तक वे सीमा में न आ जाएँ।
• किसी फ़ोटो या वीडियो की शिकायत करने पर हमें उसकी डिक्रिप्ट की गई कॉपी मिलती है। खंड 3 में कही हर बात का यही एकमात्र अपवाद है; यह तभी होता है जब कोई सदस्य खुद शिकायत करना चुनता है, और केवल उसी आइटम के लिए। शिकायत किया गया आइटम समीक्षा होने तक ग्रुप से छिपा भी रहता है, और अगर कोई समीक्षा नहीं करता तो सात दिन बाद अपने आप वापस आ जाता है।
• जब आप कोई फ़ोटो या वीडियो भेजते हैं, तो आपका फ़ोन उस फ़ाइल की एक फ़िंगरप्रिंट साथ भेजता है, ताकि जो चीज़ ग्रुप में पहले से है उसकी हूबहू कॉपी हम अस्वीकार कर सकें। एन्क्रिप्टेड ग्रुप में यह फ़िंगरप्रिंट ग्रुप की अपनी कुंजी से बनती है, जो हमारे पास कभी नहीं होती: इससे हमें बस इतना पता चलता है कि एक ही ग्रुप में भेजी गई दो फ़ाइलें एक जैसी हैं, इससे ज़्यादा कुछ नहीं। अपने पास मौजूद किसी फ़ाइल को हम इससे मिलाकर नहीं देख सकते।
• हम कुछ ऐसे खातों की ग्रुप कुंजियाँ रखते हैं जो हम खुद बनाते हैं: गुणवत्ता जाँच और स्टोर समीक्षा के लिए इस्तेमाल होने वाले टेस्ट खाते। उन ग्रुप में जनरेट की गई प्लेसहोल्डर तस्वीरें होती हैं और वे किसी की नहीं होतीं। आपके किसी ग्रुप की कुंजी कभी भी ऐसे रूप में संग्रहीत नहीं की जाती जिसे हम इस्तेमाल कर सकें।

13. इसमें से कुछ भी कैसे जाँचें

इस दस्तावेज़ के दावे ऐसे व्यवहार से जुड़ते हैं जिन्हें आप देख सकते हैं: बाहर का कोई ग्रुप माँगे तो उसे «नहीं मिला» मिलता है; साझा फ़ोटो का URL हस्ताक्षर की मियाद ख़त्म होते ही काम करना बंद कर देता है; एन्क्रिप्टेड ग्रुप के लिए सार्वजनिक साझा नहीं बनाया जा सकता; चेहरा-डेटा मिटाते ही व्यक्ति फ़िल्टर आपको भूल जाता है।

अगर आपको यहाँ कुछ ऐसा मिले जो ऐप के व्यवहार से मेल न खाए, तो दोनों में से किसी एक में गड़बड़ है, और हम उसके बारे में जानना चाहेंगे।

14. संपर्क

इस दस्तावेज़ या इसमें दी किसी बात के बारे में सवाल: [email protected]

हम क्या इकट्ठा करते हैं और क्यों, इसके औपचारिक विवरण के लिए हमारी गोपनीयता नीति देखें। दोनों में अंतर हो तो गोपनीयता नीति ही बाध्यकारी है।