ट्रस्ट सेंटर
पहचान डेटा वह सबसे संवेदनशील डेटा है जो आपके यूज़र्स शेयर करते हैं। Zoi ID हर कदम पर इसकी सुरक्षा करता है, और आपकी सुरक्षा और कंप्लायंस टीमों को वह सब देता है जो उन्हें भरोसे के साथ मंज़ूरी देने के लिए चाहिए।
हर परत में सुरक्षा
सुरक्षा उस तरीके का हिस्सा है जिससे Zoi ID बनाया और चलाया जाता है, कोड की पहली लाइन से लेकर डेटा रखने की अवधि के आख़िरी दिन तक।
हर जगह एन्क्रिप्शन
ट्रांज़िट में भी और स्टोरेज में भी, हर फ़ाइल और हर पहचान रिकॉर्ड की अलग कुंजी के साथ।
डेटा EU में रहता है
पहचान डेटा जर्मनी में, Zoi ID के लिए समर्पित इंफ़्रास्ट्रक्चर पर रखा जाता है।
कोई फ़ेस टेम्पलेट नहीं
चेहरों की तुलना अलग-थलग सेवाओं में, सिर्फ़ मेमोरी में होती है। कोई बायोमेट्रिक टेम्पलेट नहीं रखा जाता।
कम से कम ज़रूरी पहुंच
नाम वाले कर्मचारी, भूमिका के हिसाब से अनुमतियां, और हर देखने और हर फ़ैसले का append-only ऑडिट ट्रेल।
चार आंखों वाले फ़ैसले
प्रतिबंध और PEP से संभावित मेल के लिए दो स्वतंत्र समीक्षक चाहिए। अपील किसी दूसरे समीक्षक के पास जाती है।
टेस्ट और सत्यापित
हर बदलाव पर स्वचालित सुरक्षा टेस्टिंग। हर रिलीज़ पर हस्ताक्षर होते हैं और चलने से पहले उसकी जांच होती है।
डेटा का स्थान
पहचान डेटा जर्मनी (EU) में रखा और प्रोसेस किया जाता है। कहीं और से पहुंच सिर्फ़ नाम वाले कर्मचारियों तक सीमित है और हमेशा लॉग होती है।
- स्टोरेज
- जर्मनी में समर्पित इंफ़्रास्ट्रक्चर, Zoi के हर दूसरे सिस्टम से अलग।
- बैकअप
- हमारे इंफ़्रास्ट्रक्चर से निकलने से पहले एन्क्रिप्ट होते हैं, और EU में रखे जाते हैं।
- नेटवर्क एज
- एक ग्लोबल एज नेटवर्क हर कनेक्शन की सुरक्षा करता है। आवेदक का डेटा वहां नहीं रखा जाता।
- EU के बाहर से पहुंच
- सिर्फ़ नाम वाले, प्रशिक्षित समीक्षक और एडमिनिस्ट्रेटर। जब भी वे निजी डेटा खोलते हैं, यह ऑडिट लॉग में लिखा जाता है।
- कंपनी और भूमिका
- Zoi Labs LLC, अमेरिका के वायोमिंग की कंपनी। पार्टनर के अंतिम उपयोगकर्ताओं के डेटा की प्रोसेसर। प्रतिबंध रिकॉर्ड, सुरक्षा लॉग और फ़्रॉड फ़िंगरप्रिंट की कंट्रोलर।
- ट्रांसफ़र
- डेटा प्रोसेसिंग समझौते में EU की मानक संविदात्मक धाराएं (Module Two) शामिल हैं।
एन्क्रिप्शन और कुंजी प्रबंधन
भरोसेमंद, मानक एन्क्रिप्शन, और हर रिकॉर्ड पर अपना अलग ताला।
सुरक्षा पेज पढ़ें- ट्रांज़िट में आधुनिक TLS से एन्क्रिप्टेड।
- स्टोरेज में AES-256 से एन्क्रिप्टेड, हर फ़ाइल और हर पहचान रिकॉर्ड की अलग कुंजी के साथ।
- हर एन्क्रिप्टेड चीज़ अपने रिकॉर्ड से बंधी होती है। किसी दूसरे रिकॉर्ड में कॉपी हो, तो वह नहीं खुलती।
- कुंजियों का प्रबंधन एक लिखित नीति के तहत होता है, और वे उस डेटा से अलग रखी जाती हैं जिसकी वे सुरक्षा करती हैं।
- बैकअप हमारे इंफ़्रास्ट्रक्चर से निकलने से पहले एन्क्रिप्ट होते हैं।
- कोई फ़ेस टेम्पलेट नहीं रखा जाता। चेहरों की तुलना मेमोरी में, सिर्फ़ एक अनुरोध के लिए होती है।
पहुंच और संचालन
कौन क्या देख सकता है, इस पर सख़्त नियंत्रण, और उनके हर काम का रिकॉर्ड।
- कम से कम ज़रूरी पहुंच: नाम वाले खाते, भूमिका के हिसाब से अनुमतियां, और पहुंच सिर्फ़ वहीं जहां काम को उसकी ज़रूरत हो।
- निजी डेटा का हर देखना, हर फ़ैसला और हर एडमिन काम एक append-only ऑडिट लॉग में जाता है, जो 10 साल रखा जाता है।
- समीक्षकों को पहुंच मिलने से पहले एक लिखित मैनुअल पर ट्रेनिंग दी जाती है।
- चेहरे, जीवित व्यक्ति की जांच और दस्तावेज़ का विश्लेषण हमारे अपने इंफ़्रास्ट्रक्चर के अंदर अलग-थलग सेवाओं में चलता है। कोई पहचान डेटा किसी थर्ड-पार्टी AI सेवा को नहीं जाता।
- पार्टनर API कुंजियां सीमित दायरे की होती हैं और सिर्फ़ हैश के रूप में रखी जाती हैं। हर वेबहुक पर हस्ताक्षर होते हैं।
- पार्टनर डैशबोर्ड पासकी और ऑथेंटिकेटर ऐप्स को सपोर्ट करता है, और कुंजियों, सेटिंग्स और सदस्यों में हर बदलाव लॉग करता है।
- हर मिटाना दर्ज होता है और बैकअप से किसी भी रीस्टोर के बाद फिर से लागू किया जाता है।
- हम सिर्फ़ कृत्रिम डेटा से बनाते और टेस्ट करते हैं।
लगातार सुरक्षा टेस्टिंग
स्वचालित जाँचें हर बदलाव पर और नियमित रूप से चलती हैं। उच्च गंभीरता वाले नतीजे रिलीज़ रोक देते हैं।
- हमारे सारे कोड का स्टैटिक विश्लेषण
- ज्ञात कमज़ोरियों के लिए डिपेंडेंसी स्कैनिंग, और सुरक्षा अपडेट बिना देर किए
- हर कमिट पर और पूरी हिस्ट्री में सीक्रेट स्कैनिंग
- इंफ़्रास्ट्रक्चर और कॉन्फ़िगरेशन की स्कैनिंग
- चिप, दस्तावेज़ और तस्वीरें पढ़ने वाले कोड की फ़ज़ टेस्टिंग
- वेब ऐप और API की डायनामिक टेस्टिंग
घटना पर प्रतिक्रिया और निरंतरता
कुछ गलत होने पर एक साफ़ योजना, और हम पर भरोसा करने वाले पार्टनर्स से पक्के वादे।
- प्रतिक्रिया योजना
- घटना पर प्रतिक्रिया की एक लिखित योजना रोकथाम, आकलन और सूचना को कवर करती है, और हर उस बाज़ार के लिए समय-सीमा तय करती है जहां हम सेवा देते हैं।
- पार्टनर को सूचना
- अगर निजी डेटा का कोई उल्लंघन आपके यूज़र्स को प्रभावित करता है, तो हम आपको बिना अनुचित देरी के, और ज़्यादा से ज़्यादा 36 घंटों में बताते हैं।
- अधिकारी
- जहां ज़िम्मेदारी हमारी है, वहां हम अधिकारियों और प्रभावित लोगों को कानून के तय समय में सूचना देते हैं, आमतौर पर 72 घंटे।
- निरंतरता
- EU में एन्क्रिप्टेड बैकअप, और रिकवरी के लिखित, कदम-दर-कदम तरीके।
डेटा रखने की अवधि
ये तय अवधियां हैं। क़ानूनी रोक घड़ी को रोक सकती है।
| डेटा | कब तक रखा जाता है |
|---|---|
| कभी सबमिट न हुआ सेशन | बनने के 7 दिन बाद तक। |
| खुला सेशन (प्रोसेसिंग या समीक्षा में) | ज़्यादा से ज़्यादा 60 दिन, फिर समाप्त। |
| दस्तावेज़ की तस्वीरें, चिप का डेटा, वीडियो | अंतिम फ़ैसले के 90 दिन बाद तक। अगर व्यक्ति न्यूनतम उम्र से कम है तो 24 घंटे। सहमति वापस लेने या मिटाने के अनुरोध पर तुरंत। |
| पहचान की जानकारी (नाम, जन्म तिथि, दस्तावेज़ नंबर, पता) | जब तक पार्टनर के पास यूज़र का खाता है और पहचान रद्द नहीं हुई। आख़िरी सत्यापन के ज़्यादा से ज़्यादा 5 साल बाद तक। |
| दोहराव जांच की कुंजियां, फ़ैसले और बिना निजी डेटा वाले जांच नतीजे | धोखाधड़ी रोकने के लिए आख़िरी सेशन के 5 साल बाद तक। |
| प्रतिबंध स्क्रीनिंग रिकॉर्ड | 10 साल, जैसा प्रतिबंध रिकॉर्ड नियम मांगते हैं। |
| ऑडिट लॉग | 10 साल। |
| बैकअप | 30 दिन। |
हर मिटाना दर्ज होता है और बैकअप से किसी भी रीस्टोर के बाद फिर से लागू किया जाता है।
सब-प्रोसेसर
वे कंपनियां जो Zoi ID के लिए निजी डेटा प्रोसेस करती हैं। हर एक लिखित डेटा प्रोसेसिंग समझौते से बंधी है।
| कंपनी | क्या करती है | स्थान |
|---|---|---|
| Hetzner Online GmbH | सर्वर होस्टिंग। Zoi ID जो कुछ रखता है वह सब यहां होता है, और स्टोरेज में हमेशा एन्क्रिप्टेड। | जर्मनी (EU) |
| Cloudflare, Inc. | नेटवर्क सुरक्षा, TLS, DNS और एन्क्रिप्टेड बैकअप का स्टोरेज। | वैश्विक एज नेटवर्क। बैकअप EU में। |
| Google LLC | Play Integrity: ऐप और डिवाइस के बारे में हां या ना का जवाब। कोई पहचान डेटा नहीं। | अमेरिका |
| Apple Inc. | App Attest: इस बात का सबूत कि अनुरोध असली iOS ऐप से आया है। कोई पहचान डेटा नहीं। | अमेरिका |
सब-प्रोसेसर जोड़ने या बदलने से 30 दिन पहले पार्टनर को सूचना दी जाती है, और वे आपत्ति कर सकते हैं।
कमज़ोरी की रिपोर्ट करें
कोई सुरक्षा समस्या मिली? official@zoi.network पर लिखें। हम नेक इरादे से की गई रिसर्च का स्वागत करते हैं और 3 कार्य दिवसों में जवाब देते हैं।
security.txt खोलें- हमें बताएं कि आपने क्या पाया और उसे दोहराया कैसे जाए।
- सिर्फ़ अपने टेस्ट खाते और कृत्रिम डेटा इस्तेमाल करें। दूसरों का डेटा न खोलें।
- सेवा बाधित करने वाले हमले नहीं, सोशल इंजीनियरिंग नहीं, और हमारे सब-प्रोसेसर के खिलाफ़ कोई टेस्ट नहीं।
- समस्या प्रकाशित करने से पहले हमें उसे ठीक करने का समय दें।
सार्वजनिक दस्तावेज़
NDA के तहत उपलब्ध
- SOC 2 और ISO/IEC 27001:2022 से कंट्रोल की मैपिंग
- CAIQ v4 और SIG Lite शैली की भरी हुई प्रश्नावलियां
- एक छोटा फ़ॉर्म, उन सुरक्षा सवालों के साथ जो खरीदार सबसे ज़्यादा पूछते हैं
- हमारी सूचना सुरक्षा नीतियां
- सुरक्षा डिज़ाइन दस्तावेज़ और हमारा डेटा प्रोटेक्शन इम्पैक्ट असेसमेंट
- आपके अपने पेनिट्रेशन टेस्ट या किसी स्वतंत्र आकलन के लिए अनुबंध की शर्तें
हर अकाउंट के पीछे एक असली इंसान पक्का करें
Zoi ID जल्द लॉन्च हो रहा है। अर्ली एक्सेस पार्टनर्स को सैंडबॉक्स कुंजियां, हमारी टीम से सीधा संपर्क और उनके बाज़ारों के हिसाब से सेटअप मिलता है।
या official@zoi.network पर लिखें