Acavya मेरे संस्थान के डेटा की सुरक्षा कैसे करता है?

मेरा डेटा कहाँ रखा जाता है?

मुख्य डेटाबेस और कैश Azure पर हैं; ऐप की होस्टिंग मुंबई में है। अपलोड किए गए दस्तावेज़ों के लिए निजी Cloudflare R2 चुना गया है। उसकी एशिया-प्रशांत स्थान प्राथमिकता फ़ाइलें सिर्फ़ भारत में रखने की गारंटी नहीं देती। Cloudflare के स्थान संबंधी दस्तावेज़ यह सीमा समझाते हैं। अंतिम प्रदाता विवरण सब-प्रोसेसर सूची में हैं।

आप जिन सेवाओं का उपयोग चुनते हैं, उनमें से कुछ दूसरी प्रणालियों को छूती हैं: WhatsApp और SMS डिलीवरी नेटवर्क, पेमेंट पार्टनर और वैकल्पिक AI प्रदाता। AI प्रदाताओं को सिर्फ़ पहचान हटाया हुआ पाठ मिलता है, पहचान दस्तावेज़ों की तस्वीरें कभी नहीं। सब-प्रोसेसर सूची इस्तेमाल में हर प्रदाता का नाम, उसे मिलने वाला डेटा और स्थान बताती है।

संस्थानों को एक-दूसरे से अलग कैसे रखा जाता है?

एक इमारत सोचिए जिसमें हर संस्थान का अलग बंद कमरा है, और ताला डेटाबेस में ही लगा है। हर रिकॉर्ड पर उसके संस्थान की ID होती है, और डेटाबेस किसी दूसरे संस्थान की पंक्ति लौटाने से मना कर देता है, चाहे डेवलपर ने एप्लिकेशन कोड में गलती कर दी हो। हमारे निर्माण नियम हर रूट पर संस्थानों के आर-पार पढ़ने की कोशिश करने वाले स्वचालित टेस्ट अनिवार्य करते हैं।

एक संस्थान के भीतर, पहुँच भूमिका और दायरे पर निर्भर है: क्लास टीचर अपनी क्लास देखता है, अकाउंटेंट फ़ीस देखता है, अभिभावक सिर्फ़ अपने बच्चे देखता है। दायरे से बाहर कुछ माँगने पर जवाब वैसा ही दिखता है जैसे वह चीज़ है ही नहीं।

क्या-क्या एन्क्रिप्ट होता है?

• आपके डिवाइस और हमारे सर्वर के बीच का सारा ट्रैफ़िक TLS इस्तेमाल करता है।
• हेल्थ डेटा और काउंसलर नोट जैसे संवेदनशील फ़ील्ड आपके संस्थान की विशिष्ट कुंजियों से एन्क्रिप्ट होते हैं।
• आधार नंबर कभी पूरे नहीं रखे जाते: सिर्फ़ आख़िरी चार अंक और एक कुंजी वाला हैश, ताकि रिकॉर्ड मिलाया जा सके पर पढ़ा न जा सके।
• पासवर्ड सिर्फ़ धीमे, सॉल्ट वाले हैश के रूप में रखे जाते हैं। प्रोडक्शन में लॉगिन सत्यापित ईमेल पर भेजे गए कोड से होता है; संवेदनशील काम के लिए नया कोड और ज़रूरत पड़ने पर डिवाइस की मंज़ूरी ली जाती है।

ऑडिट लॉग में क्या दर्ज होता है?

पैसा, अंक, अटेंडेंस संपादन, प्रमाणपत्र, सहमतियाँ और अनुमति बदलाव एक केवल-जोड़ने वाले, हैश-जंजीर वाले ऑडिट लॉग में दर्ज होते हैं, ताकि छेड़छाड़ पकड़ी जा सके। छूट, रसीद रद्द करना और अंक बदलना दूसरे व्यक्ति की मंज़ूरी माँग सकते हैं (मेकर-चेकर)। रसीद नंबर कभी दोबारा इस्तेमाल नहीं होते।

क्या Acavya का स्टाफ मेरा डेटा देख सकता है?

सिर्फ़ ब्रेक-ग्लास पहुँच से: व्यक्ति कारण बताता है, पहुँच समय-सीमित होती है, हर कार्य लॉग होता है और संस्थान को सूचना दी जाती है। हमारे दूसरे कारोबारों के साथ कोई साझा डेटाबेस या लॉगिन नहीं है, और कोई Acavya मार्केटिंग टूल आपके डेटा तक नहीं पहुँच सकता। नो-पोच और डेटा स्वामित्व प्रतिज्ञा पढ़िए।

AI फ़ीचर सुरक्षित कैसे रखे जाते हैं?

• किसी मॉडल को पाठ जाने से पहले नाम, फ़ोन नंबर, ईमेल, आधार जैसे नंबर और पते टोकन से बदल दिए जाते हैं।
• पहचान दस्तावेज़ों या उत्तर-पुस्तिकाओं की तस्वीरें ऐसे प्रदाताओं को कभी नहीं भेजी जातीं जो इनपुट रख या उन पर ट्रेन कर सकते हैं।
• हर AI फ़ीचर का बिना-AI विकल्प, उपयोग सीमा और रिकॉर्ड बदलने वाली हर चीज़ के लिए इंसान की मंज़ूरी होती है।
• अभिभावकों और छात्रों को बताया जाता है कि उनके डेटा पर AI कब इस्तेमाल हुआ, और आप संस्थान के स्तर पर AI फ़ीचर बंद कर सकते हैं।

हमारी CERT-In और DPDP की स्थिति क्या है?

हमने Acavya को नियम पूरे करने में आपकी मदद के लिए बनाया है, और कोई प्रमाणन दावा नहीं करते; DPDP का कोई प्रमाणन होता ही नहीं। हम 28 अप्रैल 2022 के CERT-In निर्देशों का पालन करते हैं: सूचीबद्ध साइबर घटनाएँ 6 घंटे में रिपोर्ट करना, ICT लॉग 180 दिन भारत में रखना, घड़ियाँ किसी पता लगाने योग्य स्रोत से सिंक करना और एक संपर्क व्यक्ति नामित करना। कानून के आपके हिस्से के लिए DPDP तैयारी देखिए।

सुरक्षा समस्या कैसे रिपोर्ट करें?