ग़ैर-लाभकारी संस्थाएँ: PDF में सदस्य और दानदाता डेटा की रक्षा

एक छोटी ग़ैर-लाभकारी संस्था सद्भावना और बेहद सीमित साधनों पर चलती है। एक व्यक्ति हिसाब-किताब देखता है, दूसरा अनुदान के काग़ज़ात के पीछे लगा रहता है, एक स्वयंसेवक एक ऐसे लैपटॉप पर सदस्य सूची अद्यतन रखता है जिसने बेहतर दिन देखे हैं। इस काम में कोई डेटा प्रबंधित करने के लिए नहीं आया। वे इस उद्देश्य के लिए आए।

डेटा को इसकी परवाह नहीं। एक सदस्यता सूची नामों, पतों, कभी-कभी उम्र और डायरेक्ट डेबिट के बैंक विवरणों से भरी होती है। एक दानदाता रिकॉर्ड किसी असली व्यक्ति को इससे जोड़ता है कि उसने कितना और कब दिया। GDPR के तहत, ऐसा डेटा संभालने वाली एक संस्था पर वही क़ानूनी ज़िम्मेदारी होती है जो किसी बैंक या अस्पताल पर। ऐसी कोई छोटी-संस्था छूट नहीं है जो कहती हो कि कम धन होने की वजह से नियम ढीले पड़ जाते हैं।

यही खाई, बड़ी ज़िम्मेदारी और छोटा बजट, ठीक वही जगह है जहाँ चीज़ें ग़लत होती हैं। तो चलिए PDF की बात करते हैं।

वे दस्तावेज़ जिनमें संवेदनशील सामग्री होती है

किसी ग़ैर-लाभकारी संस्था का अधिकांश संवेदनशील डेटा किसी न किसी मोड़ पर PDF में आ जाता है। AGM के लिए एक्सपोर्ट की गई सालाना सदस्य सूची। दान की रसीदें जो आप समर्थकों को भेजते हैं ताकि वे टैक्स छूट का दावा कर सकें। लाभार्थियों की सूची वाली अनुदान रिपोर्ट। आवर्ती दान के बैंक मैंडेट। मिनट्स जो बताते हैं कि किसने किस बात के पक्ष में वोट दिया।

इनमें से हर एक उसी उबाऊ तरीक़े से संभाला जाता है। कोई इस पर हस्ताक्षर करता है, कुछ फ़ाइलों को एक पैकेट में मर्ज करता है, या किसी भारी स्कैन को छोटा करता है ताकि वह बोर्ड को ईमेल में फ़िट हो जाए। इसमें कुछ भी जटिल नहीं है। असली सवाल बस यह है कि काम कहाँ होता है, क्योंकि यही तय करता है कि आपके सदस्यों का डेटा कभी इमारत से बाहर जाता है या नहीं।

मुफ़्त अपलोड टूल ग़लत प्रतिक्रिया क्यों है

जब आप साधनों में जकड़े हों, तो प्रवृत्ति होती है कि जो भी पहली मुफ़्त PDF वेबसाइट लोड हो उसे पकड़ें, फ़ाइल खींचकर डालें, और नतीजा डाउनलोड करें। यह हानिरहित लगता है। यह एक मिनट बचाता है।

ऐसे ज़्यादातर टूल के साथ असल में यही होता है। आपकी फ़ाइल कहीं किसी सर्वर पर अपलोड होती है, काम वहाँ चलता है, और नतीजा वापस आता है। एक घंटे बाद हटाने का वादा करने वाली सूचना पूरी तरह सच हो सकती है। बस आपके पास इसे जाँचने का कोई तरीक़ा नहीं है। एक बार 200 सदस्यों के पतों वाली एक सूची किसी ऐसी मशीन पर बैठ जाए जिसे आप नियंत्रित नहीं करते, तो बैकअप प्रतियाँ रख सकते हैं, लॉग मेटाडेटा रख सकते हैं, और उनकी तरफ़ का एक उल्लंघन आपके सदस्यों के भरोसे का उल्लंघन बन जाता है।

और रिपोर्ट आपको ही करनी होती है। GDPR यह ज़िम्मेदारी उस संगठन पर डालता है जिसने डेटा प्रोसेस करने का फ़ैसला किया, जो आप हैं, वह वेबसाइट नहीं जिसे आपने तीस सेकंड के लिए उधार लिया। एक स्वयंसेवक-संचालित समूह का अपने सदस्यों को यह समझाना कि उनके घर के पते किसी लीक में क्यों पहुँचे, ऐसी बैठक है जिसकी अध्यक्षता कोई नहीं करना चाहता।

इसके बजाय अपनी ही मशीन पर काम करें

समाधान कोई महँगा एंटरप्राइज़ सूट नहीं है। यह ऐसे टूल चुनना है जो आपके ब्राउज़र के भीतर चलते हैं, जहाँ फ़ाइल कहीं नहीं जाती। reader.me बिल्कुल ऐसे ही काम करता है। आप एक PDF खोलते हैं, क्रिया आपके डिवाइस पर होती है, और आप नतीजा सेव करते हैं। कोई अपलोड चरण मौजूद ही नहीं, तो लीक होने को कुछ नहीं, भरोसा करने को कोई पॉलिसी नहीं, घूरने को कोई बैनर नहीं।

आप इसे ख़ुद साबित कर सकते हैं। अपने ब्राउज़र का DevTools खोलें, काम करते समय Network टैब देखें, और आपको कोई रिक्वेस्ट फ़ाइल को बाहर ले जाती नहीं दिखेगी। अगर वह किसी रिक्वेस्ट में नहीं है, तो वह कहीं नहीं गई। यह एक ऐसी जाँच है जो कोई कोषाध्यक्ष एक बार कर सकता है और फिर चैन से सो सकता है।

जो आप भेजते हैं उसे लॉक कर दें। किसी सदस्य सूची या दानदाता एक्सपोर्ट के बोर्ड या किसी ऑडिटर के लिए आपका लैपटॉप छोड़ने से पहले, उस पर पासवर्ड लगाएँ। PDF को प्रोटेक्ट करें पासवर्ड से और फ़ाइल एन्क्रिप्ट हो जाती है, ताकि कोई बीच में रोका गया ईमेल या ग़लत पते पर गया अटैचमेंट कुंजी के बिना अपठनीय रहे। पासवर्ड किसी अलग चैनल से भेजें, एक फ़ोन कॉल या एक संदेश, और आपने वह सबसे आम तरीक़ा ढक लिया जिससे ये दस्तावेज़ लीक होते हैं।

प्रिंटर के झमेले के बिना हस्ताक्षर करें। अनुदान समझौतों, मिनट्स, और मैंडेट को अक्सर एक असली हस्ताक्षर चाहिए। आम रास्ता है प्रिंट करना, कलम से हस्ताक्षर करना, वापस स्कैन करना, स्कैन ईमेल करना, और किसी चालू प्रिंटर की तलाश में आधा घंटा गया। आप यह सब छोड़ सकते हैं। स्क्रीन पर ही PDF पर हस्ताक्षर करें, अपना हस्ताक्षर पेज पर डालें, और एक साफ़ हस्ताक्षरित फ़ाइल सेव करें जिसने आपका डिवाइस कभी नहीं छोड़ा। हस्ताक्षर की इमेज भी अपलोड नहीं होती, क्योंकि उसे अपलोड करने को कोई जगह ही नहीं है।

पैकेट को एक फ़ाइल में बाँध दें। अनुदान रिपोर्ट और AGM पैक आम तौर पर अलग-अलग दस्तावेज़ों का ढेर होते हैं: कवर लेटर, हिसाब, सदस्य सारांश, रसीदें। ढीले अटैचमेंट खो जाते हैं और क्रम बिगड़ जाता है। PDF को मर्ज करें एक ही दस्तावेज़ में, सही क्रम में, और आप बिखरी फ़ाइलों के फ़ोल्डर के बजाय एक करीने की फ़ाइल सौंपते हैं। यह सब आपके कंप्यूटर पर ही ढेर हुआ, किसी सर्वर पर कुछ नहीं भेजा गया।

छोटा बजट, वही ज़िम्मेदारी, आसान जवाब

यह किसी बड़ी कंपनी की तुलना में किसी ग़ैर-लाभकारी संस्था के लिए ज़्यादा क्यों मायने रखता है, यही वजह है कि यह आसान भी है। किसी चूक को सोखने के लिए आपके पास कोई IT विभाग नहीं है, इसलिए आप उसे झेल नहीं सकते। पर इससे बचने के लिए आपको कोई जटिल सेटअप भी नहीं चाहिए। हर दस्तावेज़ को उसी डिवाइस पर रखना जिसके पास वह पहले से है, पूरे जोखिम को एक ही क़दम में हटा देता है।

GDPR आपसे पैसा ख़र्च करने को नहीं कहता। यह आपसे लोगों के डेटा को सावधानी से संभालने और यह दिखा पाने को कहता है कि आपने ऐसा किया। एक ऐसा टूल जो कभी अपलोड नहीं करता, इसे दिखाने का सबसे साफ़ तरीक़ा है, क्योंकि किसी सदस्य के पते के लिए सबसे सुरक्षित जगह वही एक मशीन है जो उसे पहले से रखती है। अगर आप यह लंबा तर्क चाहते हैं कि अपलोड करना ही जोखिम भरा हिस्सा क्यों है, तो हमने इसे PDF अपलोड करने की GDPR समस्या में विस्तार से बताया है।

आपके सदस्यों और दानदाताओं ने आप पर अपने विवरणों का भरोसा इसलिए किया क्योंकि वे आपके काम में यक़ीन रखते थे। उन PDF को अपनी ही मशीन पर रखना ही वह तरीक़ा है जिससे आप वह भरोसा बनाए रखते हैं, और इसमें ऐसा करने के फ़ैसले के सिवा कुछ ख़र्च नहीं होता।