कंपनियों के लिए ग्रुप कार्ड GDPR और सिक्योरिटी: IT को क्या जाँचना चाहिए

संक्षिप्त उत्तर: SignThisCard यूनाइटेड किंगडम (UK) की एक कंपनी चलाती है और एक प्राइवेसी नोटिस प्रकाशित करती है, जिसमें बताया गया है कि क्या डेटा लिया जाता है, किस कानूनी आधार पर, कितने समय तक रखा जाता है, और कौन-से थर्ड पार्टी (Google Fonts, reCAPTCHA, Stripe) UK के बाहर डेटा प्रोसेस कर सकते हैं। इसमें न कोई प्रकाशित DPA है, न SSO; साइन-इन ईमेल और पासवर्ड से या ईमेल से भेजे गए लिंक और कोड से होता है। प्रश्नावली के लिए हमसे संपर्क करें।

आपकी HR टीम एक ग्रुप कार्ड टूल लाना चाहती है, और अनुरोध IT की मेज़ पर तीन शब्दों के साथ पहुँचा है: "क्या यह GDPR वाला है?" यह गाइड कंपनियों के लिए ग्रुप कार्ड GDPR और सिक्योरिटी पर वे सवाल ईमानदारी से और आसान भाषा में सुलझाती है जो रिव्यूअर असल में पूछते हैं, और आखिर में एक चेकलिस्ट देती है जिसे आप SignThisCard या किसी भी दूसरी कंपनी के लिए इस्तेमाल कर सकते हैं।

सीटों, रोल और बिलिंग के लिए पहले हमारी कंपनी के ग्रुप कार्ड अकाउंट की गाइड पढ़ें।

क्या SignThisCard GDPR कंप्लायंट है?

हम "GDPR कंप्लायंट" या "सर्टिफाइड" बैज इस्तेमाल नहीं करते। इसके बजाय हम अपने प्राइवेसी नोटिस में अपने तौर-तरीके बताते हैं, ताकि आप खुद उनका आकलन कर सकें। हमारी राय में बैज रिव्यूअर को तथ्यों से कम बताता है।

हम आपको यह बता सकते हैं:

• इसे कौन चलाता है: SignThisCard को Williation Technologies Ltd चलाती है, जो इंग्लैंड और वेल्स में रजिस्टर्ड एक प्राइवेट लिमिटेड कंपनी है (कंपनी नंबर 17289183)।
• प्राइवेसी नोटिस: हमारा प्राइवेसी नोटिस बताता है कि कौन-सा पर्सनल डेटा लिया जाता है, हम किन कानूनी आधारों पर निर्भर हैं, डेटा कितने समय तक रखा जाता है और कौन-से थर्ड पार्टी उसे प्रोसेस कर सकते हैं।
• डेटा कितने समय तक रहता है: कार्ड तब तक रखे जाते हैं जब तक वे उपलब्ध रहते हैं। कोई तय सार्वजनिक एक्सपायरी नहीं है; अनुरोध पर डिलीट किया जा सकता है।
• भुगतान: कार्ड की जानकारी Stripe संभालता है, SignThisCard उसे स्टोर नहीं करता।
• ट्रांसपोर्ट सिक्योरिटी: साइट HTTPS इस्तेमाल करती है।
• दुरुपयोग से बचाव: ऑर्गनाइज़र के लिए reCAPTCHA v3 और ईमेल वेरिफिकेशन।

यूनाइटेड किंगडम में UK GDPR और Data Protection Act 2018 इस पर भी लागू होते हैं कि आपकी कंपनी स्टाफ के डेटा का इस्तेमाल कैसे करती है। GOV.UK पर UK के डेटा प्रोटेक्शन नियमों का आसान अंग्रेज़ी में सारांश है।

क्या आप डेटा प्रोसेसिंग एग्रीमेंट (DPA) पर साइन करते हैं?

कोई प्रकाशित DPA नहीं है। अगर आपकी कंपनी को डेटा प्रोसेसिंग एग्रीमेंट चाहिए या सिक्योरिटी प्रश्नावली का जवाब चाहिए, तो हमसे संपर्क करें और हम उस पर बात करेंगे।

पूछने से पहले यह तय कर लेना मदद करता है कि आपकी कंपनी इस रिश्ते को कैसे देखती है। UK की डेटा प्रोटेक्शन संस्था ICO कंट्रोलर (जो तय करता है कि पर्सनल डेटा क्यों और कैसे इस्तेमाल होगा) और प्रोसेसर (जो कंट्रोलर के निर्देशों पर काम करता है) का फर्क समझाती है, और बताती है कि UK GDPR के Article 28 के तहत कंट्रोलर–प्रोसेसर कॉन्ट्रैक्ट में क्या होना चाहिए। आपके उपयोग के लिए यह फैसला लेने के सही व्यक्ति आपके डेटा प्रोटेक्शन ऑफिसर हैं।

हमारे कर्मचारियों का डेटा कहाँ स्टोर होता है?

होस्टिंग प्रोवाइडर की जानकारी अनुरोध पर उपलब्ध है। प्राइवेसी नोटिस में बताए गए कुछ थर्ड पार्टी (Google Fonts, reCAPTCHA और Stripe) UK के बाहर डेटा प्रोसेस कर सकते हैं। अगर ट्रांसफर असेसमेंट के लिए होस्टिंग की जानकारी चाहिए, तो कॉन्टैक्ट पेज से हमसे पूछें।

ICO की इंटरनेशनल ट्रांसफर पर गाइडेंस बताती है कि UK के बाहर पर्सनल डेटा भेजना कब रेस्ट्रिक्टेड ट्रांसफर माना जाता है और कौन-से सेफगार्ड लागू होते हैं। आपके रिव्यूअर हमारे जवाबों को उससे मिलाकर देख सकते हैं।

एक ग्रुप कार्ड में कौन-सा डेटा होता है?

एक ग्रुप कार्ड में आम तौर पर होता है:

• ऑर्गनाइज़र के अकाउंट की जानकारी (नाम और ईमेल)
• कवर इमेज, कवर मैसेज और ऑर्गनाइज़र का जोड़ा कोई म्यूज़िक या वीडियो
• हर साइन करने वाले का मैसेज और उसका टाइप किया नाम, साथ में अगर वह चाहे तो फोटो या हाथ से बना सिग्नेचर
• पाने वाले का ईमेल पता, अगर ऑर्गनाइज़र ईमेल से भेजने वाला बटन इस्तेमाल करता है

क्या SignThisCard Microsoft या Google के साथ SSO सपोर्ट करता है?

नहीं। SignThisCard सिंगल साइन-ऑन (SAML, Microsoft या Google साइन-इन) सपोर्ट नहीं करता। ऑर्गनाइज़र ईमेल और पासवर्ड से, या ईमेल से भेजे गए साइन-इन लिंक और कोड से साइन इन करते हैं। साइन करने वाले साइन इन करते ही नहीं।

व्यवहार में इसका मतलब:

• अकाउंट किसे चाहिए: सिर्फ ऑर्गनाइज़र को, यानी कार्ड बनाने वालों को। टीम अकाउंट पर ये वे लोग हैं जिनके पास सीट है।
• जुड़ना: टीम का मालिक या एडमिन लोगों को ईमेल से आमंत्रित करते हैं (आमंत्रण लिंक एक बार, 14 दिन तक चलते हैं), या मालिक कंपनी के अपने डोमेन पर कन्फर्म ईमेल वाले किसी भी व्यक्ति को सीटें खाली रहने तक जुड़ने दे सकता है। इसके लिए पर्सनल ईमेल डोमेन इस्तेमाल नहीं हो सकते। SCIM या कोई और ऑटोमैटिक प्रोविज़निंग नहीं है।
• रोल: मालिक, टीम एडमिन और सदस्य। सदस्यों की सूची सिर्फ मालिक और एडमिन देखते हैं; बिलिंग सिर्फ मालिक संभालता है।
• कंपनी छोड़ने वाले: मालिक और एडमिन सदस्यों को टीम से हटा सकते हैं। कार्ड उसी के होते हैं जिसने उन्हें बनाया और उसके अपने अकाउंट में रहते हैं; हटाए जाने पर वह व्यक्ति अपने प्लान पर लौट जाता है। इसे अपनी ऑफबोर्डिंग चेकलिस्ट में जोड़ें।

UK का National Cyber Security Centre (NCSC) क्लाउड सेवाओं के लिए अपने हल्के-फुल्के सवालों में सिंगल साइन-ऑन को शामिल करता है। अगर आपकी पॉलिसी में SSO अनिवार्य है, तो आज की तारीख में SignThisCard सही विकल्प नहीं है; हमारी कंपनियों के लिए सबसे अच्छे ग्रुप कार्ड प्लेटफॉर्म वाली गाइड विकल्पों की निष्पक्ष तुलना करती है।

कार्ड कौन देख सकता है?

कार्ड का साइनिंग लिंक या तैयार कार्ड का लिंक रखने वाला कोई भी उसे खोल सकता है। लिंक ही एक्सेस कंट्रोल है, ठीक किसी शेयर्ड डॉक्यूमेंट लिंक की तरह।

अपनी ऑर्गनाइज़र गाइडेंस में डालने लायक अच्छे तरीके:

1. साइनिंग लिंक सिर्फ उन्हीं से शेयर करें जिनसे साइन करवाना है, प्राइवेट चैनल या डायरेक्ट मैसेज में।
2. कार्ड का मैनेजमेंट लिंक प्राइवेट रखें; यह सिर्फ ऑर्गनाइज़र के लिए है।
3. तैयार कार्ड का लिंक सिर्फ पाने वाले और उसके चुने लोगों को भेजें।
4. यादगार के तौर पर PDF डाउनलोड करें, फिर अगर कार्ड ऑनलाइन नहीं रखना है तो सपोर्ट से उसे डिलीट करने को कहें।

हमारी आम गाइड क्या ग्रुप कार्ड वेबसाइटें इस्तेमाल करने के लिए सुरक्षित हैं इसे साइन करने वाले के नज़रिए से समझाती है।

IT टीमों के लिए सिक्योरिटी-रिव्यू चेकलिस्ट

यह चेकलिस्ट किसी भी ग्रुप कार्ड कंपनी के लिए इस्तेमाल करें। यह क्लाउड सिक्योरिटी पर NCSC के हल्के-फुल्के तरीके के विषयों पर आधारित है। दाईं ओर वाला कॉलम नवंबर 2026 तक SignThisCard के जवाब देता है।

जिसका जवाब यहाँ नहीं है, जैसे स्टोर किए गए डेटा का एन्क्रिप्शन (encryption at rest) या इंसिडेंट रिस्पॉन्स, वह सीधे हमसे पूछें। हम लेख में अंदाज़ा लगाने के बजाय उसका ठीक से जवाब देना पसंद करेंगे।

SignThisCard कब सही है, और कब नहीं?

यह उन कंपनियों के लिए सही है जो एक आसान, कम खर्च वाला कार्ड टूल चाहती हैं, जिसमें सिर्फ कुछ ऑर्गनाइज़र के अकाउंट हों और साइन करने वाले सिस्टम के लिए गुमनाम रहें। जब पॉलिसी में SSO, किसी भी इस्तेमाल से पहले साइन किया हुआ DPA, SCIM प्रोविज़निंग या केंद्रीय ऑडिट लॉग ज़रूरी हों, तब यह कमज़ोर विकल्प है।

बहुत बड़ी कंपनियों के लिए हमारी बड़ी कंपनियों के लिए ग्रुप कार्ड प्लेटफॉर्म वाली गाइड सीटों की संख्या, खास व्यवस्थाएँ और 500 से ज़्यादा सीटों के लिए हमसे संपर्क करने के बारे में बताती है।

मुख्य बातें

• SignThisCard को Williation Technologies Ltd चलाती है, जो इंग्लैंड और वेल्स में रजिस्टर्ड है (कंपनी नंबर 17289183)।
• प्राइवेसी नोटिस में लिया जाने वाला डेटा, कानूनी आधार, डेटा रखने की अवधि और UK के बाहर डेटा प्रोसेस कर सकने वाले थर्ड पार्टी बताए गए हैं।
• कोई प्रकाशित DPA नहीं है; जिन कंपनियों को DPA या सिक्योरिटी प्रश्नावली का जवाब चाहिए, वे हमसे संपर्क करें।
• होस्टिंग प्रोवाइडर की जानकारी अनुरोध पर उपलब्ध है।
• SSO (SAML, Microsoft, Google) सपोर्टेड नहीं है; साइन-इन ईमेल और पासवर्ड से या ईमेल से भेजे गए लिंक और कोड से होता है।
• साइन करने वालों को अकाउंट नहीं चाहिए; साइनिंग लिंक वाला कोई भी कार्ड खोल सकता है, इसलिए लिंक सावधानी से शेयर करें।

अक्सर पूछे जाने वाले सवाल

क्या SignThisCard GDPR सर्टिफाइड है?

नहीं, और हम किसी सर्टिफिकेशन बैज का दावा नहीं करते। हम अपने तौर-तरीके प्राइवेसी नोटिस में बताते हैं, जिसमें लिया जाने वाला डेटा, कानूनी आधार, डेटा रखने की अवधि और थर्ड पार्टी शामिल हैं। आपके डेटा प्रोटेक्शन ऑफिसर इसे रिव्यू करके आगे के सवालों या सिक्योरिटी प्रश्नावली के साथ हमसे संपर्क कर सकते हैं।

क्या आप हमारे DPA पर साइन करेंगे?

कोई प्रकाशित DPA नहीं है। अगर आपकी कंपनी को डेटा प्रोसेसिंग एग्रीमेंट चाहिए, तो अपनी ज़रूरतों के साथ कॉन्टैक्ट पेज से हमसे संपर्क करें और हम बात करेंगे कि हम क्या कर सकते हैं। हम खास शर्तों का पहले से वादा नहीं कर सकते, इसलिए यह बात अपने रिव्यू की शुरुआत में ही उठाएँ।

क्या हमारा डेटा UK में स्टोर होता है?

होस्टिंग प्रोवाइडर की जानकारी अनुरोध पर उपलब्ध है। प्राइवेसी नोटिस बताता है कि Google Fonts, reCAPTCHA और Stripe UK के बाहर डेटा प्रोसेस कर सकते हैं। अगर ट्रांसफर रिस्क असेसमेंट के लिए होस्टिंग की जानकारी चाहिए, तो टूल लागू करने से पहले कॉन्टैक्ट पेज से हमसे पूछें।

क्या स्टाफ Microsoft या Google अकाउंट से साइन इन कर सकता है?

नहीं। SignThisCard, SAML, Microsoft या Google के ज़रिए SSO सपोर्ट नहीं करता। ऑर्गनाइज़र ईमेल और पासवर्ड से या ईमेल से भेजे गए लिंक और कोड से साइन इन करते हैं। साइन करने वाले कभी साइन इन नहीं करते। अगर आपकी सिक्योरिटी पॉलिसी हर SaaS टूल के लिए SSO माँगती है, तो आज की तारीख में SignThisCard सही विकल्प नहीं है।

कर्मचारी के कंपनी छोड़ने पर उसके कार्डों का क्या होता है?

मालिक और एडमिन उसे टीम से हटा सकते हैं, जिससे वह अपने प्लान पर लौट जाता है। उसके कार्ड उसके अपने अकाउंट में रहते हैं, क्योंकि कार्ड उसी के होते हैं जिसने उन्हें बनाया। अगर कोई कार्ड डिलीट होना चाहिए, तो बनाने वाला सपोर्ट से कह सकता है, या आप हमसे संपर्क कर सकते हैं।

क्या साइन करने वालों को हमें पर्सनल डेटा देना पड़ता है?

साइन करने वालों को अकाउंट नहीं चाहिए। वे एक मैसेज और नाम टाइप करते हैं, और चाहें तो फोटो या हाथ से बना सिग्नेचर जोड़ सकते हैं। लोगों को मैसेज सामान्य रखने और सेहत जैसी संवेदनशील जानकारी से बचने के लिए कहें, खासकर जल्दी ठीक होने और शोक वाले कार्डों पर।

निष्कर्ष

कंपनियों के लिए ग्रुप कार्ड GDPR और सिक्योरिटी साफ जवाबों पर टिकी है: सेवा कौन चलाता है, उसमें कौन-सा डेटा है, वह कहाँ जाता है, और लोग साइन इन कैसे करते हैं। SignThisCard प्राइवेसी नोटिस प्रकाशित करता है, अनुरोध पर होस्टिंग की जानकारी देता है, और जो उसके पास नहीं है उसके बारे में साफ है: न कोई प्रकाशित DPA, न SSO।

अगर आप अपनी कंपनी के लिए हमारा रिव्यू कर रहे हैं, तो प्राइवेसी नोटिस पढ़ें, ऊपर दी गई चेकलिस्ट चलाएँ और हमारी टीम को अपने सिक्योरिटी सवाल भेजें।