प्रकाशन के क्षण से प्रवर्तन में आती है
इस नीति की Earthlings चार्टर से भिन्नता होने पर चार्टर लागू होता है, और चार्टर तथा Earthlings घोषणा के बीच भिन्नता होने पर - घोषणा। वैयक्तिक डाटा के प्रसंस्करण के साधारण नियम गोपनीयता नीति में हैं। स्थापना काल में - 22 नवंबर 2026 से घोषणा के अंगीकरण तक - घोषणा पर हस्ताक्षर और जन में प्रवेश स्थगित हैं: अंगीकृत पाठ से परिभाषित जन अभी है ही नहीं। इस काल में पहचान का सत्यापन निःशुल्क कराया जाता है, और उसके परिणाम पर पासपोर्ट नहीं, बल्कि स्थापना के प्रतिभागी का अस्थायी दस्तावेज़ दिया जाता है («स्थापना काल» दस्तावेज़, भाग 2, खंड 5)। अस्थायी दस्तावेज़ उसी कॉन्ट्रैक्ट में जारी होता है जिसमें पासपोर्ट («हम अभी कहाँ हैं» दस्तावेज़)। यह नीति ऐसे सत्यापन पर भी लागू होती है; उसमें हस्ताक्षर और पासपोर्ट के बारे में जो कहा गया है, वह घोषणा के अंगीकरण के बाद की मुख्य व्यवस्था से संबंधित है।
वह एक ही प्रयोजन की पूर्ति करती है: यह पुष्ट करना कि हर मत के पीछे एक जीवित, एकमात्र व्यक्ति खड़ा है। यह अनजान लोगों के बीच विश्वास का आधार है - और इससे अधिक कुछ नहीं। प्रणाली इस तरह अभिकल्पित की गई है कि जितना कम हो सके उतना ही भंडारित रहे।
व्यक्ति दस्तावेज़ों से बड़ा है। जन (a people) से आपकी संबद्धता (belonging) आपके स्वतंत्र चयन से तय होती है, पासपोर्ट या नागरिकता से नहीं। जाँच का काम बाहर से मान्यता दिलाना नहीं, बल्कि एक साधारण तथ्य की पुष्टि करना है: आप आप ही हैं, और आप एक ही हैं।
1. अनन्यता की पुष्टि, नियंत्रण नहीं। जाँच जन को बहुल रजिस्ट्रीकरणों से बचाती है और निगरानी के लिए काम में नहीं ली जाती।
2. संबद्धता की पुष्टि व्यक्तिगत रूप से होती है। राज्य के दस्तावेज़ अपनी जगह बने रहते हैं: जाँच केवल पहचान मिलाती है, किसी वस्तु का स्थान नहीं लेती।
3. जाँच के माध्यम से विश्वास। केंद्रीय सत्ता के बिना बने समुदाय में पुष्ट अनन्यता विश्वास की बुनियादी परत बनाती है। इससे किसी ठोस संव्यवहार में सद्भाव की प्रत्याभूति नहीं मिलती, किंतु खातों की गुमनाम बहुलता जोड़-तोड़ के स्रोत के रूप में हट जाती है।
4. दुरुपयोग से संरक्षण। चित्रों और टेम्पलेटों को भंडारित न करना, सर्वर की गुप्त कुंजी के साथ परिकलित हैश और भंडारित डाटा से चित्र फिर से बना सकने की व्यावहारिक असंभवता इसीलिए हैं कि प्रणाली का उपयोग बड़े पैमाने की निगरानी के लिए न किया जा सके।
यह नीति घोषणा पर हस्ताक्षर करते समय, earthling की स्थिति प्राप्त करते समय और जन की अवसंरचना में भाग लेते समय, तथा स्थापना काल में - स्थापना के प्रतिभागी के अस्थायी दस्तावेज़ के लिए पहचान का सत्यापन करते समय - बायोमेट्रिक डाटा के प्रसंस्करण को नियत करती है।
बायोमेट्रिक डाटा GDPR के अनुच्छेद 9 के अनुसार वैयक्तिक डाटा की विशेष कोटि में आता है और उसका प्रसंस्करण केवल और केवल आपकी स्पष्ट सहमति के आधार पर किया जाता है (GDPR के अनुच्छेद 6(1)(a) और 9(2)(a))।
यही एकमात्र आधार है: न संविदा का पालन, न विधिसम्मत हित डाटा की विशेष कोटि को स्वयं वैध बनाते हैं।
जाँच स्वैच्छिक है। आपको किसी भी क्षण सहमति का प्रतिसंहरण करने का अधिकार है - इसके लिए privacy@earth-lings.org पर लिखिए।
प्रतिसंहरण पर क्या होता है:
हमें आपका पासपोर्ट आपके लिए बुझाने का अधिकार नहीं है। चार्टर (अनुच्छेद 21) पासपोर्ट का स्वयं धारक द्वारा न बुझाया जाना केवल दो दशाओं में अनुज्ञात करता है - सभा के निर्णय से अविधिमान्य जारी किए जाने का रद्दीकरण, और आपके ही आवेदन पर तकनीकी पुनर्जारी; आपकी इच्छा के विरुद्ध पासपोर्ट केवल इनमें से पहली दशा में ही बुझाया जा सकता है। सहमति का प्रतिसंहरण इन दशाओं में नहीं है, और प्लेटफ़ॉर्म आपकी कुंजियाँ भंडारित नहीं करता। सहमति के प्रतिसंहरण के बाद रजिस्टर की प्रविष्टि बनी रहती है। घोषणा के अंगीकरण तक सभा है ही नहीं (चार्टर, अनुच्छेद 38), और स्थापना के प्रतिभागी का अस्थायी दस्तावेज़ धारक की इच्छा के बिना «स्थापना काल» दस्तावेज़ में उपबंधित रीति से (भाग 2, खंड 5) बुझाया जाता है।
पूरी सूची और विधिक आधार गोपनीयता नीति में हैं। जाँच के लिए ये अपेक्षित हैं:
असली नाम और कुलनाम भंडारित नहीं किए जाते। दस्तावेज़ का डाटा केवल जाँच के क्षण में काम आता है, चेहरे को दस्तावेज़ से मिलाने और अनन्यता की पुष्टि के लिए; जाँच पूरी होने के बाद उसमें से केवल दस्तावेज़ का प्रकार और जारी करने वाला देश तथा अनुत्क्रमणीय हैश बचते हैं। आपका छद्मनाम वही नाम बना रहता है जिससे दूसरे प्रतिभागी आपको देखते हैं।
स्थिति क्या नहीं देती। पासपोर्ट न नागरिकता और निवास देता है, न वीज़ा के अधिकार, न राज्य संस्थाओं में कोई बल, और वह आपके देश के दस्तावेज़ों का स्थान नहीं लेता। Earthlings जन के पास अंतरराष्ट्रीय विधिक व्यक्तित्व नहीं है और वह न्यायालयों में या राज्य निकायों के समक्ष किसी के हितों का प्रतिनिधित्व नहीं कर सकता। पूरी सूची earthling का पथ और SBT-पासपोर्ट दस्तावेज़ों में है।
दस्तावेज़ → चेहरा → जीवंत उपस्थिति की जाँच → दस्तावेज़ और चेहरे का मिलान → परिणाम → परिणाम का भंडारण
जाँच के बाद क्या बचता है। चित्र, दस्तावेज़ों के स्कैन और बायोमेट्रिक टेम्पलेट भंडारित नहीं किए जाते। बचते हैं: जाँच की स्थिति, दस्तावेज़ का प्रकार और जारी करने वाला देश, जाँच के संख्यात्मक आकलन, अस्वीकृति के कारण तथा सर्वर की गुप्त कुंजी के साथ परिकलित अनुत्क्रमणीय हैश - दस्तावेज़ के क्रमांक का हैश और दस्तावेज़ में दर्ज नाम, कुलनाम व जन्म-तिथि का एक संयुक्त हैश; स्वयं दस्तावेज़ का क्रमांक, नाम, कुलनाम और जन्म-तिथि भंडारित नहीं किए जाते।
हैश लौटने पर रोक नहीं लगाते। वे केवल एक ही व्यक्ति को एक ही समय पर दो प्रवर्तमान पासपोर्ट रखने से रोकते हैं: दुबारा प्रवेश पर प्रणाली मेल पा लेती है, यह सुनिश्चित करती है कि पहला पासपोर्ट बुझाया जा चुका है, और नया जारी कर देती है।
हैश की स्थिति के बारे में ठीक-ठीक। हैश अनुत्क्रमणीय है और सर्वर की गुप्त कुंजी के साथ परिकलित होता है: उसमें से नाम या दस्तावेज़ का नंबर पढ़ा नहीं जा सकता, और कुंजी के बिना उन्हें आज़माइश से खोजा भी नहीं जा सकता। किंतु वह दूसरों में से किसी एक ठोस व्यक्ति को अलग कर देता है - अन्यथा वह अपना काम ही न करता। इसलिए GDPR के अनुसार यह छद्मनामीकृत डाटा है, अनाम नहीं, और वैयक्तिक डाटा का संरक्षण उस पर पूरी तरह लागू होता है। हम उसे अवैयक्तिकृत नहीं कहते, क्योंकि यह कहना सही न होता।
साधारण उपाय गोपनीयता नीति में वर्णित हैं; नीचे वे हैं जो बायोमेट्री के लिए विशिष्ट हैं।
संरक्षित संप्रेषण। सारा डाटा आपके उपकरण और जाँच-प्रणाली के सर्वरों के बीच संरक्षित माध्यमों से, छोर-से-छोर गूढ़लेखन के साथ भेजा जाता है।
हैश की कुंजी। हैश सर्वर की गुप्त कुंजी के साथ परिकलित होते हैं (HMAC-SHA256); कुंजी डाटाबेस के बाहर रखी जाती है। भंडारित डाटा का अनुप्रयोग-स्तर पर गूढ़लेखन नहीं है।
एक ही भंडार। हैश और जाँच के परिणाम उपयोगकर्ता-खाते के डाटा के साथ एक ही डाटाबेस में भंडारित रहते हैं; प्लेटफ़ॉर्म का डाटा अलग डाटाबेस में है।
मूल सामग्री का तत्काल मिटाया जाना। चित्र और स्कैन जाँच पूरी होते ही मिटा दिए जाते हैं।
पहुँच का नियंत्रण। जाँच के डाटा तक पहुँच केवल प्रशासकों को है, प्रशासक की कुंजी से; बहुस्तरीय अधिप्रमाणन अभी नहीं है, और हर पहुँच का लेखा-अभिलेखन नहीं होता।
सुरक्षा का दर्शन: जितना कम भंडारित है, उतना ही कम चुराया जा सकता है। चित्र, बायोमेट्रिक टेम्पलेट, नाम और दस्तावेज़ का नंबर हम भंडारित नहीं करते; जो भंडारित रहता है, वह अध्याय 09 में और गोपनीयता नीति में गिनाया गया है।
प्रतिभागी के साधारण अधिकार गोपनीयता नीति और उपयोगकर्ता करार में हैं। नीचे वे हैं जो बायोमेट्री के लिए विशिष्ट हैं।
सहमति का प्रतिसंहरण करना - किसी भी क्षण; रीति और परिणाम अध्याय 02 में वर्णित हैं।
जाँच फिर से कराना। यदि रूप-रंग बहुत बदल गया हो और जाँच आपको न पहचाने, तो आप उसे फिर से कराते हैं। टेम्पलेट इस समय «अद्यतन» नहीं होता: वह कहीं भंडारित है ही नहीं, और मिलान हर बार शून्य से किया जाता है।
किसी व्यक्ति द्वारा पुनर्विचार की माँग करना। स्वचालित अस्वीकृति अंतिम नहीं होती (GDPR, अनुच्छेद 22)। आपको अपना पक्ष रखने और परिणाम को चुनौती देने का अधिकार है। दो असफल स्वचालित प्रयासों के बाद किसी व्यक्ति द्वारा पुनर्विचार अलग से माँगे बिना किया जाता है। आवेदन दुबारा देने की संख्या पर कोई सीमा नहीं है।
शिकायत करना - अपने देश के डाटा-संरक्षण पर्यवेक्षी निकाय में; रीति गोपनीयता नीति में है।
सूची निःशेष है: अन्य प्रयोजनों के लिए प्रसंस्करण नहीं किया जाता।
हम क्या नहीं करते। स्थान का पीछा नहीं करते। आचरण का विश्लेषण नहीं करते, सिवाय भेंटों की समेकित सांख्यिकी के, जिसमें जाँच की प्रश्नावली के चरण भी गिने जाते हैं (गोपनीयता नीति, खंड 04)। तीसरे पक्षों को डाटा नहीं बेचते। विज्ञापन के लिए प्रोफ़ाइल नहीं बनाते। प्रणाली का उपयोग निगरानी के लिए नहीं करते। राज्य निकायों को डाटा नहीं देते, सिवाय प्रवर्तन में आ चुके न्यायालय के निर्णय पर या उसके समतुल्य विधिसम्मत अपेक्षा पर, जिसकी वैधता हर दशा में जाँची जाती है।
पूरी की गई अपेक्षाओं के बारे में प्रतिभागी को सूचित किया जाता है, यदि स्वयं उस निर्णय द्वारा इसका प्रतिषेध न किया गया हो। ऐसी दशाओं का सार पारदर्शिता के प्रतिवेदन में प्रकाशित होता है।
पासपोर्ट के स्मार्ट कॉन्ट्रैक्ट का कोड MIT अनुज्ञप्ति के अधीन खुला है और नेटवर्क के अन्वेषक में सत्यापित है: अन्वेषक ने पुष्टि की है कि स्रोत-कोड तैनात कॉन्ट्रैक्ट से पूरी तरह मेल खाता है («हम अभी कहाँ हैं» दस्तावेज़)।
पहचान की जाँच-प्रणाली का कोड बंद है - ठीक इसलिए कि वह वैयक्तिक डाटा के साथ काम करता है और उसका प्रकाशन संरक्षण का परिहार आसान बना देता। यह एक सोचा-समझा चयन है, चुप्पी नहीं; कारणों के साथ सूची हम अभी कहाँ हैं दस्तावेज़ में है।
बंद रखने के बदले हम अपने ऊपर यह लेते हैं:
बायोमेट्रिक डाटा के प्रसंस्करण की नैतिकता से जुड़े प्रश्न स्वतंत्र परिषद के विचार में रखे जाते हैं - वह ऐसी संस्था है जो प्लेटफ़ॉर्म का प्रचालन करने वालों के अधीन नहीं है। घोषणा के अंगीकरण के बाद, जब तक परिषद गठित नहीं हुई, यह चरण छोड़ दिया जाता है, और ऐसे प्रश्नों की सार्वजनिक चर्चा की समय-सीमाएँ दुगुनी कर दी जाती हैं (चार्टर, अनुच्छेद 39); घोषणा के अंगीकरण तक परिषद है ही नहीं (चार्टर, अनुच्छेद 38)।
घोषणा के अंगीकरण के बाद इस नीति को बदलने के प्रस्ताव सभा के मतदान में रखे जाते हैं, और अंगीकरण से पहले उन पर निर्णय घोषणा का लेखक «स्थापना काल» दस्तावेज़ में उपबंधित रीति से (भाग 2, खंड 2) लेता है।
क्या भंडारित नहीं किया जाता: असली नाम और कुलनाम; पासपोर्टों और दस्तावेज़ों के नंबर; जन्म की ठीक-ठीक तिथियाँ; निवास के पते; चित्र और बायोमेट्रिक टेम्पलेट; फ़ोन नंबर, दो-कारक अधिप्रमाणन की दशाओं को छोड़कर।
क्या भंडारित किया जाता है: छद्मनाम; ईमेल पता; 18+ आयु की पुष्टि; निवास का देश (सांख्यिकी के लिए); पहचान सत्यापन की स्थिति; पासपोर्ट से कड़ी; स्थिति प्राप्त करने की तिथि; वॉलेट का पता; जाँच के क्षण का IP-पता और ब्राउज़र का प्रकार - 12 मास से अधिक नहीं।
रजिस्टर GDPR के अनुसार डाटा के न्यूनीकरण के सिद्धांत का पालन करता है। केवल वही भंडारित रहता है जो अनन्यता की पुष्टि के लिए और निर्णयों में भागीदारी हेतु पासपोर्ट से कड़ी के लिए आवश्यक है; ठीक-ठीक क्या भंडारित रहता है - ऊपर, नीचे की वर्णिका में और गोपनीयता नीति में।
चित्र और स्कैन जाँच के तुरंत बाद मिटा दिए जाते हैं, किंतु उसका परिणाम विधिमान्य और सत्यापनीय बना रहता है।
असली नाम और कुलनाम भंडारित नहीं किए जाते। दस्तावेज़ का डाटा केवल जाँच के क्षण में प्रसंस्कृत होता है। पहचान सत्यापन की प्रणाली में छद्मनाम, डाक का पता, देश, वॉलेट का पता, जाँच के क्षण का IP-पता और ब्राउज़र का प्रकार बचते हैं, और जाँच में से - जाँच की स्थिति, दस्तावेज़ का प्रकार और जारी करने वाला देश, जाँच के संख्यात्मक आकलन, अस्वीकृति के कारण तथा सर्वर की गुप्त कुंजी के साथ परिकलित अनुत्क्रमणीय हैश - दस्तावेज़ के क्रमांक का हैश और दस्तावेज़ में दर्ज नाम, कुलनाम व जन्म-तिथि का एक संयुक्त हैश; स्वयं दस्तावेज़ का क्रमांक, नाम, कुलनाम और जन्म-तिथि भंडारित नहीं किए जाते; खुले रजिस्टर में छद्मनाम नहीं लिखा जाता। इसीलिए आपका नाम या दस्तावेज़ का नंबर न अन्य प्रतिभागियों पर प्रकट किया जा सकता है, न प्रशासकों पर, न तीसरे पक्षों पर: वे हमारे पास हैं ही नहीं।
जो आप भंडारित करते हैं, उसमें से क्या आप मेरा चेहरा फिर से बना सकते हैं? नहीं। बायोमेट्रिक टेम्पलेट भंडारित होता ही नहीं: तुलना जाँच के क्षण में की जाती है, और उसके बाद मूल डाटा मिटा दिया जाता है। बचते हैं जाँच का परिणाम और अनुत्क्रमणीय हैश, जिनसे चित्र नहीं पाया जा सकता; उनमें से नाम या दस्तावेज़ का नंबर पढ़ा नहीं जा सकता, और सर्वर की गुप्त कुंजी के बिना उन्हें आज़माइश से खोजा भी नहीं जा सकता।
यदि मेरा फ़ोन खो जाए तो क्या होगा? जाँच का डाटा सुरक्षित है। अनुप्रयोग है ही नहीं: जाँच ब्राउज़र में होती है। यदि वॉलेट डाक, Google या Apple से प्रवेश के माध्यम से बनाया गया था, तो नए उपकरण पर उसी ढंग से प्रवेश कर लेना पर्याप्त है। यदि वॉलेट तक पहुँच खो गई हो, तो आपके आवेदन पर पासपोर्ट नए पते पर फिर से जारी कर दिया जाता है, और संबद्धता नहीं टूटती (चार्टर, अनुच्छेद 21)।
क्या मेरी बायोमेट्री चुराई जा सकती है? बायोमेट्री चुराई नहीं जा सकती: हम उसे भंडारित ही नहीं करते। जो हैश हम भंडारित करते हैं, वे सर्वर की गुप्त कुंजी के साथ दस्तावेज़ के डाटा से परिकलित हैं, बायोमेट्री से नहीं, और उनमें चेहरे का चित्र है ही नहीं।
क्या असली नाम बताना अनिवार्य है? जाँच के लिए - हाँ: दस्तावेज़ के अनुसार नाम और कुलनाम उससे मिलान के लिए चाहिए। असली नाम और कुलनाम भंडारित नहीं किए जाते। दस्तावेज़ का डाटा केवल जाँच के क्षण में जाँचा जाता है; उसके बाद उसमें से केवल दस्तावेज़ का प्रकार और जारी करने वाला देश तथा अनुत्क्रमणीय हैश बचते हैं। रोज़ के व्यवहार में आप छद्मनाम से जाने जाते हैं।
बाहर जाने पर डाटा के साथ क्या होता है? पासपोर्ट का बुझाया जाना अपने आप डाटा नहीं मिटाता: उपयोगकर्ता-खाते का डाटा आपके निवेदन पर मिटाया जाता है, और मिटाए जाने के बाद वॉलेट का पता, पासपोर्ट की प्रविष्टि का क्रमांक, छद्मनाम, देश, जाँच का परिणाम और उसके आकलन तथा अनुत्क्रमणीय हैश बचे रहते हैं। छद्मनामीकृत हैश केवल और केवल इसलिए भंडारित रहते हैं कि एक ही व्यक्ति के पास दो प्रवर्तमान पासपोर्ट न हो सकें। लौटने में यह बाधा नहीं डालता।
यदि रूप-रंग बहुत बदल गया हो तो क्या करें? जाँच फिर से कराएँ। ऐसा कोई भंडारित टेम्पलेट है ही नहीं जिसे अद्यतन करना पड़े।
यदि जाँच अस्वीकृत हो जाए तो? स्वचालित अस्वीकृति के कारण जाँच के परदे पर दिखाए जाते हैं - अभी सेवा-कोडों के रूप में, - और किसी व्यक्ति द्वारा पुनर्विचार के बाद का निर्णय पत्र से आता है। उन्हें दूर करने के बाद प्रयास दोहराया जा सकता है - उदाहरण के लिए, बेहतर गुणता के चित्रों के साथ या किसी दूसरे दस्तावेज़ के साथ। असहमति होने पर आपको किसी व्यक्ति द्वारा पुनर्विचार की माँग करने का अधिकार है, और दो असफल स्वचालित प्रयासों के बाद किसी व्यक्ति द्वारा पुनर्विचार अलग से माँगे बिना किया जाता है।
मेरे असली नाम और कुलनाम तक किसकी पहुँच है? किसी की नहीं: वे भंडारित ही नहीं किए जाते। जो जानकारी जन के पास है ही नहीं, उसे वह तकनीकी रूप से उजागर नहीं कर सकता।
क्या आप राज्यों को डाटा देते हैं? केवल प्रवर्तन में आ चुके न्यायालय के निर्णय पर या उसके समतुल्य विधिसम्मत अपेक्षा पर - रीति और प्रतिभागी को सूचना गोपनीयता नीति में वर्णित हैं।
प्रौद्योगिकी और विधान के विकास के साथ-साथ नीति अद्यतन की जाती है। परिवर्तन प्रवर्तन में आने की तिथि के उल्लेख के साथ प्रकाशित किए जाते हैं।
परिवर्तन की रीति - कम से कम 30 दिन पहले ईमेल से सूचना, अगले प्रवेश पर प्लेटफ़ॉर्म पर सूचना, परिवर्तनों की सूची का प्रकाशन और आपत्ति करने का अधिकार - गोपनीयता नीति द्वारा नियत है।
पहचान की जाँच से जुड़े प्रश्नों के लिए: privacy@earth-lings.org
