सुरक्षा अवलोकन

विषय-सूची

1. 1. संक्षेप में
2. 2. आपका डेटा कहाँ रखा जाता है
3. 3. एन्क्रिप्शन
4. 4. हर व्यवसाय के डेटा को अलग रखना
5. 5. साइन-इन सुरक्षा
6. 6. ऑडिट ट्रेल और छेड़छाड़ की पहचान
7. 7. बैकअप और पुनर्प्राप्ति
8. 8. भुगतान और धन
9. 9. कृत्रिम बुद्धिमत्ता
10. 10. हमारी टीम की पहुँच
11. 11. निगरानी और घटना प्रतिक्रिया
12. 12. प्रमाणन
13. 13. आप क्या कर सकते हैं
14. 14. भेद्यता की रिपोर्टिंग

संस्करण: 1.2 · प्रकाशित: 16 अक्तूबर 2026 · प्रभावी: नए कार्यस्थानों के लिए स्वीकृति पर; जिन कार्यस्थानों ने कोई पूर्ववर्ती संस्करण स्वीकार किया उनके लिए, उस तिथि पर जो STAK अपने नोटिस में STAK ग्राहक सेवा की शर्तों के खंड 20 के तहत बताए · शासी पाठ: अंग्रेज़ी (ग्राहक सेवा की शर्तों का खंड 23.9)

द्वारा जारी: STAK Global, LLC, जो डेलावेयर राज्य, संयुक्त राज्य अमेरिका में गठित एक सीमित देयता कंपनी है (फ़ाइल संख्या 10798493) और STAK (ستاك) तथा सेवाओं की स्वामी है। संपर्क: [email protected]।

यह सुरक्षा अवलोकन सरल भाषा में बताता है कि हम आपके व्यवसाय के डेटा की सुरक्षा कैसे करते हैं और उसकी प्रतियाँ कैसे रखते हैं, जैसी इस संस्करण की प्रभावी तिथि पर स्थिति है। जब वह बदलती है तो हम इसे अद्यतन करते हैं। यह केवल जानकारी के लिए है। हमारी संविदात्मक प्रतिबद्धताएँ डेटा प्रसंस्करण अनुबंध में हैं। STAK ग्राहक सेवा की शर्तों में परिभाषित अभिव्यक्तियों का इस सुरक्षा अवलोकन में वही अर्थ है।

1. संक्षेप में

• आपका डेटा ट्रांज़िट में और हमारे सिस्टम में संग्रहीत होते समय एन्क्रिप्टेड रहता है।
• प्रत्येक व्यवसाय का डेटा डेटाबेस में ही दूसरों से अलग रखा जाता है।
• हम निरंतर बैकअप बनाते हैं, और दैनिक तथा मासिक प्रतियाँ किसी अन्य देश में रखते हैं, जो समय से पहले हटाए जाने से सुरक्षित हैं।
• हम कार्ड नंबर संग्रहीत नहीं करते, और हम आपका पैसा कभी प्राप्त या अपने पास नहीं रखते।
• हर महत्वपूर्ण परिवर्तन एक ऑडिट ट्रेल में दर्ज किया जाता है जिसे कोई उपयोगकर्ता बदल नहीं सकता।
• वर्तमान में हमारे पास ISO 27001 प्रमाणन या SOC 2 रिपोर्ट नहीं है। जब हम उन्हें प्राप्त करेंगे तो यहाँ बताएँगे।

2. आपका डेटा कहाँ रखा जाता है

2.1 सेवाएँ जर्मनी संघीय गणराज्य के फ़्रैंकफ़र्ट क्षेत्र में Amazon Web Services क्लाउड अवसंरचना पर चलती हैं। बैकअप आयरलैंड गणराज्य में Amazon Web Services के एक अलग क्षेत्र में कॉपी किए जाते हैं। इस पृथक्करण का अर्थ है कि आपके डेटा की एक प्रति तब भी रखी जा सकती है जब पूरा प्राथमिक होस्टिंग क्षेत्र विफल हो जाए।

2.2 हम भविष्य में होस्टिंग को किसी अन्य क्षेत्र में ले जा सकते हैं। हम आपको कम से कम 30 दिन पहले सूचित करेंगे। प्राथमिक होस्टिंग क्षेत्र के खो जाने के बाद आयरलैंड गणराज्य में मौजूद बैकअप से सेवाओं को अस्थायी रूप से चलाना स्थानांतरण नहीं है, और हम आपको इसके बारे में बिना देरी बताएँगे।

2.3 STAK को STAK Global, LLC प्रदान करती है, जो संयुक्त राज्य अमेरिका में गठित एक कंपनी है। हमारा होस्टिंग प्रदाता और हमारे कुछ सेवा प्रदाता भी संयुक्त राज्य अमेरिका के कानून के अधीन हैं। हम आपके डेटा को किसी भी सरकार की गैरकानूनी पहुँच से वैसे सुरक्षित रखते हैं जैसा डेटा प्रसंस्करण अनुबंध के खंड 13 में बताया गया है: हम डेटा केवल बाध्यकारी अनुरोध पर प्रकट करते हैं, आपको बताते हैं जब तक कानून मना न करे, प्रकटीकरण को न्यूनतम तक सीमित रखते हैं, और जिन अनुरोधों को हम उचित रूप से गैरकानूनी मानते हैं उन्हें चुनौती देते हैं। आपका डेटा संग्रहीत होते समय और ट्रांज़िट में एन्क्रिप्टेड रहता है।

3. एन्क्रिप्शन

3.1 सेवाओं से हर कनेक्शन TLS संस्करण 1.2 या उसके बाद के संस्करण से एन्क्रिप्ट किया जाता है, और ऐप्लिकेशन हर कनेक्शन पर डेटाबेस सर्वर की पहचान सत्यापित करता है।

3.2 डेटाबेस, डिस्क, फ़ाइलें, बैकअप और सीक्रेट्स स्टोर संग्रहण में AES-256 से एन्क्रिप्ट किए जाते हैं, उन कुंजियों के साथ जो Amazon की कुंजी प्रबंधन सेवा के माध्यम से या होस्टिंग प्रदाता द्वारा प्रबंधित की जाती हैं।

3.3 आपके कर्मचारियों की फ़ाइलें और क्लिनिकल रिकॉर्ड ऐप्लिकेशन के भीतर अलग कुंजियों से अतिरिक्त रूप से एन्क्रिप्ट किए जाते हैं, और भुगतान सेवा प्रदाताओं और अन्य प्रदाताओं से जुड़ने की कुंजियाँ एक अलग सीक्रेट्स स्टोर में रखी जाती हैं जो अलग कुंजी से एन्क्रिप्ट है।

4. हर व्यवसाय के डेटा को अलग रखना

4.1 डेटाबेस में किसी व्यवसाय के डेटा के हर रिकॉर्ड पर उस व्यवसाय का पहचानकर्ता होता है जिससे वह संबंधित है। डेटाबेस स्वयं पंक्ति-स्तरीय सुरक्षा के नियम लागू करता है जो ऐप्लिकेशन को किसी अन्य व्यवसाय के रिकॉर्ड पढ़ने या लिखने से रोकते हैं। यह ऐप्लिकेशन की अपनी जाँचों के नीचे सुरक्षा की एक स्वतंत्र परत है।

4.2 ऐप्लिकेशन जो डेटाबेस खाता उपयोग करता है उसे इन नियमों को दरकिनार करने की कोई अनुमति नहीं है।

5. साइन-इन सुरक्षा

5.1 आप इनसे साइन-इन कर सकते हैं:

• सत्यापित नंबर पर WhatsApp द्वारा भेजा गया सत्यापन कोड;
• पासकी, चेहरे या फ़िंगरप्रिंट पहचान के साथ;
• Google, Apple या Microsoft खाता।

साइन-इन के बाद दूसरे चरण के रूप में एक ऑथेंटिकेटर ऐप का उपयोग किया जा सकता है। हम पासवर्ड का उपयोग नहीं करते।

5.2 आप विशिष्ट भूमिकाओं के लिए दो-चरणीय साइन-इन अनिवार्य कर सकते हैं, और जब कोई अपने सत्यापन तरीके बदलता है तो मालिकों और एडमिन को अलर्ट किया जाता है। हर व्यक्ति को अलर्ट किया जाता है जब उसका अपना खाता किसी नए डिवाइस से उपयोग हो। जिन प्लान में ये शामिल हैं उन पर आप सत्र के निष्क्रिय रहने का टाइम-आउट भी सेट कर सकते हैं, और जब कोई नए डिवाइस से साइन-इन करता है तो मालिकों को अलर्ट किया जाता है।

5.3 प्रत्येक स्टाफ़ सदस्य को एक निर्धारित भूमिका और अनुमतियाँ मिलती हैं, और उनकी पहुँच विशेष शाखाओं तक सीमित की जा सकती है। साझा डिवाइस पर स्टाफ़ छह अंकों की व्यक्तिगत पहचान संख्या (PIN) का उपयोग करता है, और उसके साथ साइन-इन पाँच गलत प्रयासों के बाद लॉक हो जाता है।

6. ऑडिट ट्रेल और छेड़छाड़ की पहचान

6.1 हर महत्वपूर्ण परिवर्तन एक ऑडिट ट्रेल में दर्ज किया जाता है, जिसमें यह होता है कि किसने किया, कब किया, कहाँ से किया और किस IP पते से किया। कोई उपयोगकर्ता इस ट्रेल को बदल या हटा नहीं सकता, सिवाय इसके कि किसी अंतिम ग्राहक के डेटा को मिटाने के अनुरोध को पूरा करने से उस व्यक्ति की पहचान उसकी प्रविष्टियों से हट जाती है जबकि यह बना रहता है कि क्या किया गया, किसने किया और कब। ट्रेल शर्तों के तहत समाप्ति पर ग्राहक डेटा के साथ हटा दी जाती है।

6.2 लेखा प्रविष्टियाँ एक ऐसी शृंखला में जुड़ी होती हैं जो उनमें बाद के किसी भी बदलाव को उजागर कर देती है, और आप उनकी अखंडता सुरक्षा पृष्ठ से जाँच सकते हैं।

7. बैकअप और पुनर्प्राप्ति

7.1 हम डेटाबेस के निरंतर बैकअप बनाते हैं, जो उन्हें पिछले 35 दिनों के भीतर किसी भी क्षण तक बहाल करने की अनुमति देते हैं। हम ये भी बनाते हैं:

• दैनिक बैकअप, 35 दिन रखे जाते हैं;
• मासिक बैकअप, 12 महीने रखे जाते हैं;
• हर रात डेटाबेस का एक तार्किक बैकअप (डेटाबेस डंप), जो 35 दिन लॉक किए गए संग्रहण में रखा जाता है।

7.2 दैनिक और मासिक बैकअप आयरलैंड में कॉपी किए जाते हैं। फ़्रैंकफ़र्ट और आयरलैंड में बैकअप वॉल्ट की नीति किसी को भी, हमारी अपनी टीम सहित, प्रतिधारण अवधि समाप्त होने से पहले कोई बैकअप हटाने या उस अवधि को बदलने से रोकती है। वॉल्ट होस्टिंग प्रदाता के अनुपालन मोड में भी लॉक हैं, जिसे इस तरह डिज़ाइन किया गया है कि कोई भी, उसमें वह भी शामिल जो होस्टिंग प्रदाता के साथ हमारे किसी खाते पर कब्ज़ा कर ले, पहले 35 दिनों में कोई बैकअप न हटा सके।

7.3 हर महीने हम बैकअप से डेटाबेस की पुनर्प्राप्ति का परीक्षण करते हैं। हमारा लक्ष्य है कि यदि डेटाबेस विफल हो तो 15 मिनट से अधिक का डेटा न खोए, और यदि पूरा होस्टिंग क्षेत्र खो जाए तो 24 घंटे से अधिक का नहीं, सेवा-स्तर अनुबंध में दिए गए पुनर्प्राप्ति लक्ष्यों के अनुरूप।

7.4 हम बैकअप सेवा की बहाली के लिए रखते हैं, आपके लिए अभिलेखागार के रूप में नहीं। इसलिए कृपया अपना डेटा प्लान और बिलिंग पृष्ठ से या प्रत्येक ऐप से नियमित रूप से निर्यात करें।

8. भुगतान और धन

8.1 सेवाएँ इस तरह डिज़ाइन की गई हैं कि कार्ड नंबर हमारे सिस्टम से न गुज़रें और न उनमें संग्रहीत हों: भुगतान भुगतान सेवा प्रदाताओं के अपने पृष्ठों पर या उनके प्रमाणित कार्ड स्वीकार करने वाले टर्मिनलों और ऐप पर होता है। सेवाओं की स्क्रीन में कार्ड नंबर या उनके सुरक्षा कोड के लिए कोई फ़ील्ड नहीं है, और आप सुरक्षा पृष्ठ से माँग सकते हैं कि टेक्स्ट फ़ील्ड में गलती से दर्ज किए गए कार्ड नंबरों के लिए उन्हें स्कैन किया जाए।

8.2 आपका पैसा भुगतान सेवा प्रदाता से सीधे आपके बैंक खाते में निपटाया जाता है। हम उसे कभी प्राप्त नहीं करते और न अपने पास रखते हैं।

8.3 STAK में निपटान प्राप्त करने के लिए पंजीकृत बैंक खाता बदलने के लिए एक अतिरिक्त सत्यापन चरण आवश्यक है और यह केवल 48 घंटे के बाद प्रभावी होता है। मालिकों को तुरंत सचेत किया जाता है ताकि वे इसे रद्द कर सकें।

9. कृत्रिम बुद्धिमत्ता

9.1 डेटा AI प्रदाता को केवल तब भेजा जाता है जब कोई उपयोगकर्ता किसी AI सुविधा का अनुरोध करे, पढ़ने के लिए कोई दस्तावेज़ अपलोड करे, जैसे रसीद, या जब किसी उपयोगकर्ता द्वारा सेट किया गया ऑटोमेशन कोई AI चरण चलाए, और केवल वही डेटा भेजा जाता है जो उस अनुरोध या चरण के लिए आवश्यक हो।

9.2 आपका डेटा कृत्रिम बुद्धिमत्ता मॉडलों को प्रशिक्षित करने के लिए उपयोग नहीं होता। AI सुविधाएँ कोई रिकॉर्ड केवल आपकी स्पष्ट पुष्टि के बाद, या किसी ऐसे ऑटोमेशन के तहत बदलती हैं जिसे किसी अधिकृत उपयोगकर्ता ने सेट करके चालू किया हो।

10. हमारी टीम की पहुँच

प्रोडक्शन परिवेश तक पहुँच सीमित संख्या में नामित कर्मचारियों तक सीमित है और इसके लिए मल्टी-फ़ैक्टर प्रमाणीकरण आवश्यक है, और पहुँच के हर सत्र की शुरुआत लॉग की जाती है। सर्वरों तक प्रशासनिक पहुँच केवल Amazon की सिस्टम प्रबंधन सेवा के माध्यम से होती है, सर्वरों में कोई सीधा लॉगिन नहीं होता।

हम आपका डेटा केवल इन मामलों में देखते हैं:

• आपके द्वारा माँगी गई सहायता प्रदान करने के लिए;
• सेवाओं को चलाने, बनाए रखने और बहाल करने के लिए;
• किसी सुरक्षा घटना या स्वीकार्य उपयोग नीति के संदिग्ध उल्लंघन की जाँच के लिए;
• जहाँ कानून इसकी अपेक्षा करे।

11. निगरानी और घटना प्रतिक्रिया

11.1 हम क्लाउड अवसंरचना की स्वचालित रूप से चौबीसों घंटे निगरानी करते हैं, हमारी टीम को तुरंत अलर्ट के साथ। क्लाउड अवसंरचना पर हर प्रशासनिक कार्रवाई लॉग की जाती है, और खतरों और अतिरिक्त अनुमतियों का पता स्वचालित रूप से लगाया जाता है।

11.2 यदि कोई व्यक्तिगत डेटा उल्लंघन आपके डेटा को प्रभावित करता है, तो हम आपको अनावश्यक देरी के बिना सूचित करते हैं: जहाँ संभव हो उसकी जानकारी होने के 24 घंटे के भीतर, और किसी भी स्थिति में 48 घंटे के भीतर। हम आपको बताते हैं कि क्या हुआ और हमने उसके बारे में क्या किया है।

12. प्रमाणन

वर्तमान में हमारे पास ISO 27001 प्रमाणन या SOC 2 रिपोर्ट नहीं है। हमारे पास PCI DSS प्रमाणन भी नहीं है, क्योंकि सेवाएँ इस तरह डिज़ाइन की गई हैं कि कार्ड डेटा हमारे सिस्टम से नहीं गुज़रता: वह भुगतान सेवा प्रदाताओं के अपने पृष्ठों पर या उनके प्रमाणित टर्मिनलों और ऐप पर संसाधित होता है। जिन भुगतान सेवा प्रदाताओं को आप सेवाओं से जोड़ते हैं उनके पास अपने प्रमाणन हैं। हम भविष्य में प्राप्त किया गया कोई भी प्रमाणन यहाँ सूचीबद्ध करेंगे।

यदि आप अपने STAK पृष्ठों के माध्यम से कार्ड भुगतान लेते हैं, तो खरीदार को आपके भुगतान सेवा प्रदाता के अपने पृष्ठ पर भेजा जाता है, या आप उसके प्रमाणित टर्मिनल और ऐप का उपयोग करते हैं, इसलिए STAK के पृष्ठ कभी कार्ड डेटा एकत्र नहीं करते। अपने PCI DSS दायित्वों की जाँच अपने भुगतान सेवा प्रदाता के साथ करें; ऐसा रीडायरेक्ट उपयोग करने वाला व्यवसाय आमतौर पर सबसे छोटी स्व-मूल्यांकन प्रश्नावली (SAQ A) पूरी करता है। STAK PCI DSS प्रमाणन का दावा नहीं करता।

13. आप क्या कर सकते हैं

• मालिकों और एडमिन के लिए दो-चरणीय साइन-इन चालू करें।
• प्रत्येक स्टाफ़ सदस्य को केवल वही अनुमतियाँ दें जो उसके काम के लिए आवश्यक हों, और जो व्यक्ति छोड़ दे उसकी पहुँच तुरंत हटा दें।
• अपना डेटा नियमित रूप से, कम से कम महीने में एक बार, निर्यात करें।
• पॉइंट-ऑफ़-सेल डिवाइस को तब तक जुड़ा रखें जब तक ऑफ़लाइन दर्ज की गई बिक्री का सिंक्रनाइज़ेशन पूरा न हो जाए, किसी भी डिवाइस को मिटाने या उससे साइन आउट करने से पहले।
• अपने डिवाइस के सिस्टम और ब्राउज़र को अद्यतन रखें।
• किसी भी संदिग्ध गतिविधि के बारे में हमें तुरंत बताएँ।

14. भेद्यता की रिपोर्टिंग

यदि आपको कोई सुरक्षा भेद्यता मिले, तो हमें [email protected] पर ईमेल करें। हम रिपोर्टों को गोपनीय रूप से संभालते हैं। हम स्वीकार्य उपयोग नीति के खंड 10 की सीमाओं के भीतर सद्भावना से सुरक्षा परीक्षण की अनुमति देते हैं, और हम किसी ऐसे व्यक्ति के विरुद्ध कोई शिकायत या दावा नहीं करते जो उन सीमाओं के भीतर रहे और भेद्यता की रिपोर्ट हमें बिना देरी दे।