सुरक्षा और डेटा संरक्षण का अवलोकन

1. हमारा दृष्टिकोण

Nebs-Creative क्लाइंट के कार्य, खातों और व्यक्तिगत डेटा की सुरक्षा के लिए आनुपातिक तकनीकी और संगठनात्मक उपायों का उपयोग करता है। नियंत्रणों का चयन जानकारी की संवेदनशीलता, क्लाइंट की आवश्यकताओं, शामिल प्रणालियों और परियोजना के जोखिमों के अनुसार किया जाता है।

2. एक्सेस नियंत्रण

• क्लाइंट के कार्य के लिए उपयोग किए जाने वाले समर्थित खातों पर मल्टी-फ़ैक्टर प्रमाणीकरण आवश्यक है।
• एक्सेस केवल उन्हीं लोगों तक सीमित है जिन्हें किसी विशिष्ट परियोजना के लिए इसकी आवश्यकता है, और आवश्यकता समाप्त होने पर इसे हटा दिया जाता है।
• साझा क्रेडेंशियल, जहाँ अपरिहार्य हों, सामान्य दस्तावेज़ों या चैट संदेशों के बजाय स्वीकृत एन्क्रिप्टेड पासवर्ड मैनेजर में संग्रहीत किए जाते हैं।
• प्रदान की गई आंतरिक नीति के अनुसार परियोजना के समापन पर पहुँच की समीक्षा तथा सक्रिय पहुँच की समय-समय पर समीक्षा आवश्यक है।

3. डिवाइस और खाते

• कार्य उपकरणों से अपेक्षा की जाती है कि उनमें स्क्रीन लॉक, वर्तमान समर्थित ऑपरेटिंग सिस्टम, स्वचालित सुरक्षा अपडेट और फ़ुल-डिस्क एन्क्रिप्शन का उपयोग हो।
• प्रदान की गई आंतरिक नीति के अंतर्गत क्लाइंट कार्य के लिए उपयोग किए जाने वाले उपकरणों पर एंटी-मैलवेयर सुरक्षा आवश्यक है।
• व्यक्तिगत उपकरणों का उपयोग केवल आंतरिक अनुमोदन और सुरक्षा आवश्यकताओं के अधीन ही किया जा सकता है।
• टीम के सदस्यों को अद्वितीय क्रेडेंशियल का उपयोग करना होगा और कंपनी की पासवर्ड नीति का पालन करना होगा।

4. डेटा का संचालन और न्यूनतमकरण

• जहाँ संभव हो, हम वास्तविक (लाइव) व्यक्तिगत डेटा के बजाय नमूना, अनामीकृत या छद्मनामीकृत डेटा को प्राथमिकता देते हैं।
• क्लाइंट का व्यक्तिगत डेटा केवल अनुमोदित टूल और अधिकृत व्यक्तियों तक सीमित है।
• वास्तविक व्यक्तिगत डेटा को डिज़ाइन/प्रोटोटाइप में तब तक नहीं डाला जाना चाहिए जब तक क्लाइंट हमें ऐसा करने का निर्देश न दे और उपयुक्त सुरक्षा उपाय लागू न हों।
• गोपनीय जानकारी वाली फ़ाइलें परियोजना के अनुरूप पहुँच प्रतिबंधों के साथ साझा की जाती हैं।

5. एन्क्रिप्शन और स्थानांतरण

प्रदान किया गया DPA स्थानांतरण के दौरान एन्क्रिप्शन (encryption in transit) तथा, जहाँ अनुमोदित स्टोरेज सिस्टम द्वारा उपलब्ध हो, संग्रहण की स्थिति में एन्क्रिप्शन (encryption at rest) का प्रावधान करता है, साथ ही जहाँ लागू डेटा-संरक्षण कानून द्वारा आवश्यक हो, अंतरराष्ट्रीय स्थानांतरण के लिए सुरक्षा उपायों का भी प्रावधान करता है।

6. लोग और गोपनीयता

प्रदान किए गए कानूनी पैक के अनुसार कर्मचारियों, ठेकेदारों और फ़्रीलांसरों को क्लाइंट कार्य तक पहुँच प्राप्त करने से पहले गोपनीयता और बौद्धिक संपदा संबंधी दायित्वों पर हस्ताक्षर करने होंगे। आंतरिक नीति के अंतर्गत नियुक्ति के समय और उसके बाद समय-समय पर सुरक्षा और डेटा-संरक्षण प्रशिक्षण आवश्यक है।

7. सुरक्षित विकास और परियोजना कार्य

किसी विकास परियोजना के लिए सुरक्षा संबंधी उत्तरदायित्व उसके दायरे पर निर्भर करते हैं। हम संलग्नता के अनुरूप वर्ज़न कंट्रोल, नियंत्रित पहुँच, समीक्षाएँ, परीक्षण, डिपेंडेंसी प्रबंधन और संरचित डिप्लॉयमेंट पद्धतियों का उपयोग कर सकते हैं। जिस क्लाइंट को कोई विशिष्ट सुरक्षित-विकास फ़्रेमवर्क, पेनेट्रेशन टेस्ट, सुरक्षा मानक, कोड ऑडिट या अनुपालन प्रमाणन चाहिए, उसे इसे SOW में स्पष्ट रूप से शामिल करना चाहिए।

8. AI टूल

क्लाइंट की गोपनीय जानकारी और व्यक्तिगत डेटा को अनअनुमोदित AI टूल में दर्ज नहीं किया जाना चाहिए। जहाँ क्लाइंट की जानकारी के साथ किसी अनुमोदित AI टूल का उपयोग किया जाता है, वहाँ उपयोग को लागू क्लाइंट समझौते, DPA, अनुमोदित सेटिंग्स और मॉडल प्रशिक्षण पर प्रतिबंधों का पालन करना होगा। क्लाइंट परियोजना-विशिष्ट दस्तावेज़ों में AI-जनित तत्वों को सीमित कर सकते हैं।

9. घटना प्रतिक्रिया

प्रदान की गई आंतरिक नीति के अनुसार संदिग्ध सुरक्षा घटनाओं की आंतरिक रूप से तुरंत सूचना दी जानी चाहिए और उन्हें दर्ज किया जाना चाहिए। जहाँ किसी घटना में क्लाइंट का व्यक्तिगत डेटा शामिल हो, वहाँ DPA के अनुसार बिना अनुचित विलंब के क्लाइंट को सूचित करना आवश्यक है और, वर्तमान DPA के अंतर्गत, किसी भी स्थिति में Nebs-Creative को संबंधित व्यक्तिगत-डेटा उल्लंघन की जानकारी होने के 48 घंटों के भीतर सूचित करना आवश्यक है। नियामकीय या व्यक्तियों को दी जाने वाली सूचनाएँ लागू कानून तथा क्लाइंट/कंट्रोलर के उत्तरदायित्वों के अनुसार संभाली जाती हैं।

10. व्यावसायिक निरंतरता और बैकअप

परियोजना कार्य आमतौर पर प्रदाता की बैकअप/रिकवरी क्षमताओं वाली अनुमोदित क्लाउड सेवाओं में रखा जाता है। क्लाइंट के प्रोडक्शन सिस्टम, होस्टिंग और इन्फ्रास्ट्रक्चर के बैकअप की ज़िम्मेदारी परियोजना के दायरे पर निर्भर करती है और इसे SOW या होस्टिंग/रखरखाव समझौते में बताया जाना चाहिए।

11. डेटा हटाना

DPA के अंतर्गत संसाधित क्लाइंट के व्यक्तिगत डेटा के लिए वर्तमान संविदात्मक स्थिति यह है कि संबंधित सेवाओं की समाप्ति के 30 दिनों के भीतर डेटा लौटाया या हटाया जाएगा, जो क्लाइंट के निर्देशों, कानूनी प्रतिधारण दायित्वों और सामान्य बैकअप-ओवरराइट चक्रों के अधीन है। अन्य व्यावसायिक अभिलेख हमारी गोपनीयता नीति और कानूनी दायित्वों के अनुसार रखे जाते हैं।

12. सुरक्षा संबंधी रिपोर्टिंग

यदि आपको लगता है कि आपने Nebs-Creative को प्रभावित करने वाली कोई सुरक्षा समस्या पाई है, तो कृपया विषय पंक्ति में “Security” लिखकर contact@nebs-creative.com पर संपर्क करें और हमारी जाँच के लिए पर्याप्त जानकारी प्रदान करें। ऐसे डेटा तक पहुँच न बनाएँ, उसे डाउनलोड, परिवर्तित या प्रकट न करें जो आपका नहीं है, सेवाओं में बाधा न डालें और विनाशकारी परीक्षण का उपयोग न करें।

13. पूर्ण सुरक्षा की कोई गारंटी नहीं

कोई भी संगठन यह गारंटी नहीं दे सकता कि प्रत्येक प्रणाली, उपकरण या संचरण पूरी तरह सुरक्षित है। यह अवलोकन हमारी अभीष्ट कार्यप्रणालियों का वर्णन करता है और लागू क्लाइंट अनुबंध या DPA में स्पष्ट रूप से उल्लिखित दायित्वों से परे कोई वारंटी उत्पन्न नहीं करता।