सुरक्षा
जितना कम संभव हो, उतना ही रखने के लिए बनाया गया
लाइव ऑडियो कभी Newey सर्वर तक नहीं पहुँचता, और कैप्शन आपके ब्राउज़र में रेंडर होते हैं। जो आप सहेजना चुनते हैं वह आपके नियंत्रण में रहता है — निर्यात योग्य, हटाने योग्य, और वैकल्पिक रूप से एंड-टू-एंड एन्क्रिप्टेड।
लाइव ऑडियो कभी हमारे सर्वर से होकर नहीं गुज़रता
आपका ब्राउज़र एक शॉर्ट-लाइव्ड की (key) का उपयोग करके सीधे स्पीच रिकग्निशन इंजन से जुड़ता है, और लाइव ट्रांसक्रिप्शन व अनुवाद स्ट्रीम उसी रास्ते से वापस आती है। Newey सर्वर प्रमाणीकरण, अस्थायी की (key) जारी करने और उपयोग मीटरिंग का काम संभालते हैं — वे आपके द्वारा बोले गए या कैप्चर किए गए ऑडियो को कभी प्राप्त, संग्रहीत या रिले नहीं करते। दो ऑप्ट-इन सुविधाएँ डिज़ाइन के अनुसार अलग-अलग सामग्री को हमारे सर्वर से रूट करती हैं: ऑडियंस शेयरिंग कैप्शन टेक्स्ट को रिले करती है, और Voice to Voice अनुवादित वाक्य और उसके द्वारा उत्पन्न सिंथेसाइज़्ड ऑडियो को रिले करती है — दोनों केवल ट्रांज़िट के लिए हैं, कभी स्टोर नहीं किए जाते। पूर्ण विवरण के लिए नीचे दी गई डेटा लाइफसाइकिल तालिका देखें।
Newey सर्वर
प्रमाणीकरण · कुंजी जारी करना · उपयोग मीटरिंग
आपका ब्राउज़र
स्पीच रिकग्निशन इंजन
सीधा कनेक्शन, न्यूनतम-अधिकार कुंजियाँ
सर्वर केवल रीयल-टाइम ट्रांसक्रिप्शन तक सीमित एक अस्थायी कुंजी जारी करता है, जो बहुत कम समय के लिए वैध है — बस कनेक्शन खोलने भर के लिए। कुंजी की सामग्री हमारे डेटाबेस में कभी संग्रहीत नहीं होती; ऑडिट के लिए केवल जारी करने का मेटाडेटा रखा जाता है।
सर्वर की ज़िम्मेदारियाँ न्यूनतम रखी गई हैं
लाइव पाथ के लिए सर्वर की ज़िम्मेदारी साइन-इन, कुंजी जारी करने और हार्टबीट-आधारित उपयोग मीटरिंग पर ख़त्म होती है। लाइव ऑडियो और लाइव कैप्शन स्ट्रीम को हमारे सर्वर से दूर रखना कोडबेस का डिज़ाइन-अपरिवर्तनीय सिद्धांत है — कोई कॉन्फ़िगरेशन फ़्लैग नहीं।
ऑप्ट-इन सुविधाएँ भी उसी सिद्धांत का पालन करती हैं
ऑडियंस शेयरिंग चालू होने पर भी (डिफ़ॉल्ट रूप से बंद), कैप्शन टेक्स्ट केवल डिलीवरी के लिए सर्वर मेमोरी से होकर गुज़रता है — डेटाबेस या लॉग में कुछ भी नहीं लिखा जाता, और सत्र समाप्त होते ही वह मिटा दिया जाता है। AI संदर्भ सुझाव, शीर्षक और नोट्स केवल न्यूनतम टेक्स्ट को उस अनुरोध के लिए AI प्रदाता को भेजते हैं: हमारे डेटा-प्रोसेसिंग समझौतों के तहत इसे उनकी ओर भी सुरक्षित नहीं रखा जाता, और हमारे सर्वर इसमें से कुछ भी संग्रहीत नहीं करते। आप जो भी चालू करें, सिद्धांत वही रहता है: सर्वर पर जितना कम संभव हो, उतना ही रखना।
डेटा जीवनचक्र
सेवा जिन डेटा श्रेणियों को प्रोसेस करती है — वे कहाँ प्रोसेस होते हैं, कैसे सुरक्षित रहते हैं, और कितने समय तक रहते हैं।
एन्क्रिप्शन
ट्रांज़िट में: हर जगह TLS
सेवा का सारा ट्रैफ़िक TLS से एन्क्रिप्टेड है — साइट HTTPS पर और स्पीच इंजन कनेक्शन wss पर, ऑडियो प्रसारण सहित।
सर्वर पर रेस्ट में
आपके खाते में सहेजे गए सत्र रिकॉर्ड प्रबंधित डेटाबेस इन्फ़्रास्ट्रक्चर पर संग्रहीत होते हैं, और हर रीड और राइट आपके खाते तक सीमित है — कोई अन्य उपयोगकर्ता उन तक नहीं पहुँच सकता। ऑप्ट-इन एंड-टू-एंड एन्क्रिप्शन के साथ सर्वर केवल साइफ़रटेक्स्ट रखता है।
आपके डिवाइस पर रेस्ट में
आपके रिकॉर्ड का स्थानीय कैश और आपकी शब्दावली इस ब्राउज़र में AES-256-GCM से एन्क्रिप्टेड हैं। कुंजी IndexedDB में रखी गई एक नॉन-एक्सट्रैक्टेबल WebCrypto कुंजी है — कोई स्क्रिप्ट उसे पढ़कर निकाल नहीं सकती, और कुंजी कभी आपके डिवाइस से बाहर नहीं जाती। हर राइट पर एक नया 12-बाइट IV बनाया जाता है। ‘केवल स्थानीय’ का एक अपवाद: शब्दावली आपके खाते में भी मिरर होती है, ताकि ब्राउज़र एक्सटेंशन और नए डिवाइस उसे पढ़ सकें।
ऑप्ट-इन एंड-टू-एंड एन्क्रिप्शन
इसे चालू करें, और ट्रांसक्रिप्ट व अनुवाद की सामग्री — आपके रिकॉर्ड का सार — अपलोड से पहले आपके डिवाइस पर ही एन्क्रिप्ट हो जाती है, इसलिए सर्वर केवल साइफ़रटेक्स्ट रखता है। एन्क्रिप्शन एक रैंडम 256-बिट AES-GCM मास्टर कुंजी करती है, हर रिकॉर्ड के लिए नए IV के साथ; कुंजी को 6 शब्दों के रिकवरी वाक्यांश (BIP39 शब्द-सूची से समान संभावना से चुने गए) के ज़रिये PBKDF2-SHA512 से 600,000 पुनरावृत्तियों पर रैप किया जाता है — यह न्यूनतम सीमा सर्वर स्वयं लागू करता है। आपके वाक्यांश के बिना सर्वर कुंजी को अनरैप नहीं कर सकता।
आपका डेटा, आपके नियंत्रण
सहेजना एक विकल्प है, डिफ़ॉल्ट नहीं — और जो कुछ आप सहेजते हैं, उसे कभी भी निर्यात या मिटाया जा सकता है।
प्राइवेट सत्र
शुरू करने से पहले प्राइवेट-सत्र टॉगल चालू करें, और कुछ भी सहेजा नहीं जाता — स्टोरेज पाथ कभी बुलाया ही नहीं जाता। केवल वे समाप्त सत्र आपके खाते में रखे जाते हैं जिन्हें आप सहेजना चुनते हैं।
सब कुछ निर्यात करें
किसी भी ट्रांसक्रिप्ट को TXT या SRT के रूप में डाउनलोड करें, या अपने सर्वर-साइड डेटा को एक ही JSON फ़ाइल के रूप में निर्यात करें — प्रोफ़ाइल, जुड़े खाते (टोकन को छोड़कर), पासकी मेटाडेटा, सत्र मेटाडेटा, उपयोग रिकॉर्ड, आपकी शब्दावली, AI नोट्स के साथ सहेजे गए रिकॉर्ड, मार्केटप्लेस इंस्टॉल, सदस्यता और इनवॉइस रिकॉर्ड, और कुंजी-जारी करने की ऑडिट प्रविष्टियाँ।
किसी भी स्तर पर हटाएँ
रिकॉर्ड को एक-एक करके या एक साथ हटाएँ। अपना खाता हटाने पर एक ही डेटाबेस ट्रांज़ैक्शन में सब कुछ मिट जाता है — जिसमें हमारे पास मौजूद सभी साइन-इन क्रेडेंशियल शामिल हैं, चाहे वे OAuth टोकन, पासकी, या ईमेल कोड हों — और एक न्यूनतम विलोपन ऑडिट प्रविष्टि (ईमेल, समय) लिखी जाती है जिसे रखा जाता है। यदि आपने Google के साथ साइन इन किया है, तो हम Google पर ही Newey की Google OAuth अनुमति को भी निरस्त कर देते हैं; Microsoft तृतीय-पक्ष ऐप्स को कोई समकक्ष API प्रदान नहीं करता है, इसलिए वहां हम अपने पास मौजूद टोकन हटा देते हैं और आप जब चाहें अपने Microsoft खाते की ऐप सूची से Newey को हटा सकते हैं। उसके बाद केवल वही रहता है जो कानून हमें रखने के लिए बाध्य करता है — ऊपर दी गई विलोपन ऑडिट प्रविष्टि और, यदि आपने कोई सशुल्क प्लान खरीदा है, तो उस खरीदारी का रिकॉर्ड; गोपनीयता नीति प्रत्येक का विवरण और अवधि निर्धारित करती है।
अधिकार, सीधे प्रोडक्ट में लागू
निर्यात GDPR की पहुँच और पोर्टेबिलिटी (अनुच्छेद 15, 20) लागू करता है; हटाना मिटाने का अधिकार (अनुच्छेद 17) लागू करता है। जो प्रोडक्ट में शामिल नहीं है, उसके लिए support@newey.ai पर लिखें।
प्लेटफ़ॉर्म प्रथाएँ
सख़्त Content Security Policy
प्रोडक्शन में CSP लागू है — default-src 'self', object-src 'none', frame-ancestors 'none' — जो स्पष्ट अनुमति के बिना हर ऑरिजिन को रोक देती है।
सुरक्षा हेडर
HSTS (2 वर्ष, includeSubDomains), X-Content-Type-Options nosniff, X-Frame-Options DENY, Referrer-Policy, और एक ऐसी Permissions-Policy जो कैमरा और जियोलोकेशन को रोकती है तथा माइक्रोफ़ोन और स्क्रीन कैप्चर को केवल ऐप तक सीमित रखती है।
सीक्रेट कभी क्लाइंट तक नहीं पहुँचते
मास्टर API कुंजियाँ और डेटाबेस क्रेडेंशियल केवल सर्वर एनवायरनमेंट में रहते हैं, सर्वर-ओनली मॉड्यूल गार्ड के पीछे — क्लाइंट बंडल में कुछ भी गोपनीय शामिल नहीं होता।
लीक होने के लिए कोई पासवर्ड ही नहीं
हम कोई पासवर्ड संग्रहीत नहीं करते और न ही कोई पासवर्ड सेट करना होता है — आप Google, Microsoft, पासकी, या ईमेल किए गए वन-टाइम कोड से साइन इन करते हैं। पासकी बायोमेट्रिक्स कभी आपके डिवाइस से बाहर नहीं जाते (केवल एक पब्लिक की और आइडेंटिफ़ायर संग्रहीत होते हैं), और ईमेल कोड हैश करके संग्रहीत किए जाते हैं जो कुछ ही मिनटों में समाप्त हो जाते हैं। प्रमाणीकरण कुकीज़ HttpOnly और Secure हैं, और API अनुरोधों का ऑरिजिन सत्यापित किया जाता है।
सहमति-आधारित एनालिटिक्स
एनालिटिक्स हर क्षेत्र में डिफ़ॉल्ट रूप से बंद हैं और केवल आपकी सहमति के बाद ही चलते हैं। विज्ञापन सिग्नल स्थायी रूप से अस्वीकृत हैं — कोई विज्ञापन कुकी नहीं — और कोई सेशन रिप्ले नहीं है; आपकी पहचान केवल एक छद्मनाम आंतरिक ID से होती है, कभी ईमेल या नाम से नहीं।
अनुपालन स्थिति
GDPR डेटा-विषय अधिकार सीधे प्रोडक्ट में लागू किए गए हैं — निर्यात के माध्यम से एक्सेस और पोर्टेबिलिटी, और डिलीट करने के माध्यम से इरेज़र। हमारी सेवा उन डेटा-सुरक्षा कानूनों का पालन करने के लिए डिज़ाइन और संचालित की गई है जो हमारे उपयोगकर्ताओं पर लागू होते हैं: GDPR और UK GDPR, कैलिफ़ोर्निया का CCPA और CPRA, कोरिया का व्यक्तिगत सूचना संरक्षण अधिनियम, और अन्य स्थानों पर समान कानून। प्रोसेसिंग, अंतरराष्ट्रीय स्थानांतरण और प्रतिधारण अवधियों का विवरण गोपनीयता नीति में दिया गया है।
हमारे आंतरिक सुरक्षा कार्यक्रम की निरंतर समीक्षा की जाती है और उसे ISO/IEC 27001:2022 नियंत्रणों के अनुरूप रखा जाता है। हम नियमित आंतरिक सुरक्षा समीक्षाएँ चलाते हैं, जिनमें एडवर्सैरियल परीक्षण भी शामिल है, और पुष्ट निष्कर्षों को तुरंत ठीक कर तैनात किया जाता है।
जिस नियंत्रण पर हम सबसे अधिक भरोसा करते हैं, वह आर्किटेक्चर ही है: हमारे सर्वर जितना कम संवेदनशील डेटा छू सकते हैं, सुरक्षित रखने को उतना ही कम बचता है। संवेदनशील डेटा के लिए सर्वर की सतह न्यूनतम रखना पहले दिन से ही हमारा डिज़ाइन सिद्धांत रहा है।
हमने इन कानूनों और ISO/IEC 27001:2022 नियंत्रणों के आधार पर स्वयं इसका मूल्यांकन किया है; स्वतंत्र प्रमाणन प्रक्रिया में है और अभी जारी नहीं किया गया है।
किसी भेद्यता की रिपोर्ट करना
किसी भी भेद्यता (vulnerability) की रिपोर्ट ईमेल द्वारा करें, जिसमें उसे दोहराने के लिए पर्याप्त विवरण हो। दायरे में शामिल हैं: newey.ai, ऐप, ब्राउज़र एक्सटेंशन, और डेस्कटॉप ऐप। हम उन लोगों के खिलाफ कानूनी कार्रवाई नहीं करते जो सद्भावना से रिपोर्ट करते हैं, अपने स्वयं के खाते और डेटा तक सीमित रहते हैं, और समस्या को सार्वजनिक करने से पहले हमें उसे ठीक करने के लिए उचित समय देते हैं। हमारा security.txt भी यही संपर्क विवरण प्रदान करता है।
संबंधित पेज
आप जो भी देखें, जिससे भी बात करें
आप चाहे जिससे बात करें, कहीं भी हों, अपनी भाषा में दुनिया भर के लोगों से जुड़ें।