यो पृष्ठ अनुवाद हो। अङ्ग्रेजी संस्करणसँग कुनै कुरा फरक परेमा, अङ्ग्रेजी संस्करण नै लागू हुन्छ। अङ्ग्रेजीमा पढ्नुहोस्

डेटा सुरक्षा

संस्करण 2026-10-v1 · अन्तिम पटक अद्यावधिक 23 अक्टोबर 2026

तपाईंको स्वास्थ्य र सुरक्षाको डेटा सबैभन्दा व्यक्तिगत जानकारीमध्ये पर्छ। यो पृष्ठले Ilayra ले यसलाई कसरी सुरक्षित राख्छ — र कुनै पनि एपले के वाचा गर्न सक्दैन — सरल शब्दमा बुझाउँछ।

हाम्रो पहिलो नियम: हामीले कहिल्यै नपाउने डेटा चुहिन सक्दैन

तपाईंको महिनावारी, गर्भावस्था, लक्षण, मनोदशा, निद्रा, बच्चाहरूका रेकर्ड र विश्वासिला सम्पर्कहरू तपाईंको फोनमा मात्र राखिन्छन्। यी हाम्रा सर्भरमा हुँदैनन्, त्यसैले सर्भरमा हुने डेटा उल्लङ्घन (breach) मा हराउन, बेचिन वा हामीसँग माग गरिन सक्दैनन्।

तपाईंको फोनमा

• इन्क्रिप्ट गरिएको भण्डारण — Ilayra ले राख्ने सबै कुरा AES-256-GCM ले इन्क्रिप्ट गरिन्छ। साँचो तपाईंको फोनको सुरक्षित हार्डवेयर (iPhone Keychain / Android Keystore) मा रहन्छ, तपाईंको फोनबाट कहिल्यै बाहिर जाँदैन र क्लाउड ब्याकअपमा कपी हुँदैन।
• हरेक व्यक्तिका लागि छुट्टै ठाउँ — परिवारका सदस्यहरूले एउटै फोन बाँड्छन् भने, हरेक Ilayra खाताको आफ्नै इन्क्रिप्ट गरिएको ठाउँ र आफ्नै साँचो हुन्छ। एक व्यक्तिले अर्काको डेटा हेर्न सक्दैन।
• एप लक — PIN, वा तपाईंको औंलाको छाप वा अनुहार। 5 पटक गलत PIN हालेपछि एप झन्-झन् लामो समयका लागि लक हुन्छ।
• दबाब (duress) PIN — कसैले तपाईंलाई Ilayra खोल्न जबरजस्ती गरेमा, दोस्रो PIN ले खाली एप खोल्छ र चुपचाप तपाईंका विश्वासिला सम्पर्कहरूलाई सूचना पठाउन सक्छ। यो छ भनेर स्क्रिनमा केही देखिँदैन।
• लुकेको मोड — साधारण नाम देखाउँछ, सूचनाहरूमा स्वास्थ्यका शब्द आउन दिँदैन, र फोन हल्लाउनुभयो भने एप लुकाउँछ।
• स्क्रिनसट छैन — Android मा Ilayra ले स्क्रिनसट र स्क्रिन रेकर्डिङ रोक्छ; दुवै प्रणालीमा एप बदल्ने स्क्रिन (app switcher) को पूर्वावलोकन लुकाइन्छ।
• मेटाउने — तपाईंको डेटा वा खाता मेटाउँदा त्यसको इन्क्रिप्सन साँचो नष्ट हुन्छ, त्यसैले त्यो फेरि प्राप्त गर्न सकिँदैन।

हाम्रा सर्भरसम्म आउने बाटोमा

• TLS 1.3 मात्र, इन्टरनेट जडानका लागि सबैभन्दा नयाँ इन्क्रिप्सन। पुराना, कमजोर संस्करणहरू अस्वीकार गरिन्छन्।
• सर्टिफिकेट पिनिङ — एपले हाम्रा सर्भरका लागि प्रयोग हुने सर्टिफिकेट अधिकारीहरूलाई मात्र विश्वास गर्छ, त्यसैले नक्कली सर्टिफिकेट (जस्तै स्पाइवेयरबाट आएको) ले तपाईंको डेटा बीचमै समात्न सक्दैन।
• इन्क्रिप्सनको दोस्रो तह — हरेक अनुरोध र जवाफ आधुनिक क्रिप्टोग्राफी (X25519, HKDF-SHA256, AES-256-GCM) ले हाम्रो सर्भरसम्म एन्ड-टु-एन्ड बन्द (सिल) गरिन्छ, हरेक अनुरोधका लागि नयाँ साँचोसहित। नेटवर्क प्रदायकहरू, र हाम्रै नेटवर्क साझेदारहरूले पनि, अस्तव्यस्त (पढ्न नसकिने) डेटा मात्र देख्छन्।

हाम्रा सर्भरमा

• भारतमा होस्ट गरिएको — बेङ्गलुरुमा रहेको DigitalOcean डेटा सेन्टर।
• कुनै खुला ढोका छैन — हाम्रा सर्भरले इन्टरनेटबाट सिधा जडान स्वीकार गर्दैनन्; ट्राफिक इन्क्रिप्ट गरिएको Cloudflare टनेलबाट मात्र आउँछ।
• इन्क्रिप्ट गरिएको खाता डेटा — तपाईंको नाम र इमेल इन्क्रिप्ट गरिन्छन्; तपाईंको इमेल एकतर्फी कोडमार्फत मात्र खोजिन्छ; पासवर्डहरू Argon2id ह्यासका रूपमा मात्र राखिन्छन्, जुन सुरक्षा विशेषज्ञहरूले सिफारिस गरेको विधि हो।
• SOS लोकेसन एन्ड-टु-एन्ड इन्क्रिप्टेड छ — तपाईंका विश्वासिला सम्पर्कहरूको ब्राउजरले मात्र यसलाई पढ्न सक्छ; हामी आफैंले पढ्न नसक्ने अस्तव्यस्त डेटा राख्छौं।
• कडा रूपमा बन्द प्रणालीहरू — हरेक भाग आफ्नै बन्द कन्टेनरमा सकेसम्म कम अनुमतिसहित चल्छ; डेटाबेसमा इन्टरनेट पहुँच छैन; हरेक डेटाबेस क्वेरी एक व्यक्तिको डेटामा मात्र सीमित हुन्छ।
• अनुमान गरेर खोल्ने प्रयासविरुद्ध सुरक्षा — प्रयासहरूमा सीमा, अस्थायी लकआउट र 15 मिनेटमा म्याद सकिने एकपटके कोडहरू।
• ब्याकअप — सर्भरभन्दा टाढा, अफलाइन राखिएको साँचोले इन्क्रिप्ट गरिन्छ।
• न्यूनतम लग — लगमा कहिल्यै स्वास्थ्य डेटा, सन्देश वा पासवर्ड हुँदैन। सामग्रीरहित गतिविधि लगहरू कानुनले माग गरेअनुसार एक वर्षसम्म राखिन्छन्।

मानिस र प्रक्रिया

• थोरै सङ्ख्यामा अधिकृत कर्मचारीहरूले मात्र बलियो प्रमाणीकरणसहित सर्भरहरू सञ्चालन गर्न सक्छन्।
• सुरु (लन्च) हुनुअघि र त्यसपछि नियमित रूपमा स्वतन्त्र सुरक्षा परीक्षण।
• डाक्टरहरूले स्वास्थ्य सामग्रीको समीक्षा गर्छन्; AI कोचले तपाईंको पहिचान कहिल्यै देख्दैन।

केही गडबड भएमा

व्यक्तिगत डेटा उल्लङ्घन (breach) ले तपाईंलाई असर गर्न सक्ने भएमा, हामी:

• CERT-In Directions (2022) ले माग गरेअनुसार 6 घण्टाभित्र CERT-In लाई रिपोर्ट गर्नेछौं;
• DPDP Rules, 2025 ले माग गरेअनुसार तपाईं र भारतीय डेटा संरक्षण बोर्ड (Data Protection Board of India) लाई ढिलो नगरी जानकारी दिनेछौं, र 72 घण्टाभित्र बोर्डलाई विस्तृत रिपोर्ट दिनेछौं;
• के भयो, तपाईंका लागि यसको अर्थ के हो र तपाईं के गर्न सक्नुहुन्छ भनेर बुझाउनेछौं।

सुरक्षा समस्या रिपोर्ट गर्नुहोस्

तपाईंले कुनै सुरक्षा समस्या भेट्नुभयो भने, कृपया [email protected] मा इमेल गर्नुहोस्। अरूको डेटा नखोल्नुहोस् र सेवामा बाधा नपुर्‍याउनुहोस्। हामी 3 कार्यदिनभित्र तपाईंको रिपोर्ट प्राप्त भएको स्वीकार गर्नेछौं, तपाईंलाई जानकारी दिइरहनेछौं, र यी नियम पालना गर्ने असल नियतको अनुसन्धानविरुद्ध कानुनी कारबाही गर्नेछैनौं।

कुनै पनि एपले के वाचा गर्न सक्दैन

• तपाईंको फोन ह्याक भएमा वा "जेलब्रेक" गरिएको भएमा, वा कसैलाई तपाईंको PIN थाहा भएमा, तपाईंले देख्न सक्ने कुरा उनीहरूले पनि देख्न सक्छन्।
• मोबाइल नेटवर्कहरूले पाठ सन्देश (SMS) इन्क्रिप्ट गर्दैनन्।
• तपाईंले SOS लिङ्क पठाएका मानिसहरूले त्यो सक्रिय रहँदा (60 मिनेट) अरूलाई फर्वार्ड गर्न सक्छन्।

हामीले पालना गर्ने मापदण्डहरू

Digital Personal Data Protection Act, 2023 र Rules, 2025; Information Technology Act, 2000 र Reasonable Security Practices Rules, 2011; CERT-In Directions, 2022; OWASP मोबाइल र API सुरक्षा मार्गदर्शन; WCAG 2.2 पहुँचयोग्यता।