सुरक्षा और आपका डेटा

शॉप का डेटा शॉप का है

हार्नेस, रिविज़न, कोटेशन, प्राइस लिस्ट, लेबर टाइम टेबल और प्रिंटर करेक्शन एक संस्था के होते हैं। इन्हें सिर्फ़ उसके सदस्य देखते हैं: शॉप के डेटा की हर रिक्वेस्ट कुछ भी पढ़ने या लिखने से पहले संस्था की जाँच करती है।

शॉप जो कुछ डालती है, उसमें से कुछ भी सार्वजनिक नहीं है। कस्टमर की ड्रॉइंग से बना कोई साझा पार्ट्स पूल नहीं है।

एक्सपोर्ट और डिलीट

कोई भी प्रोजेक्ट कभी भी, पूरा का पूरा, बाहर निकाला जा सकता है: रिविज़न हिस्ट्री के साथ .zwire फ़ाइल के रूप में, CSV (cut list, BOM) के रूप में और PDF (कोटेशन, formboard, प्रोडक्शन पैक) के रूप में। .zwire फ़ाइल सादा JSON है, जिसे Zorowire के बिना भी पढ़ा जा सकता है।

डिलीट किया गया प्रोजेक्ट 30 दिन के लिए “हाल में डिलीट किए गए” में जाता है, जहाँ उसका मालिक उसे वापस ला सकता है; उसके बाद वह अपने सभी रिविज़न के साथ पूरी तरह मिटा दिया जाता है। पहले से जारी कोटेशन अपनी फ़्रीज़ कॉपी रखते हैं।

अकाउंट डिलीट करने पर वह तुरंत बंद हो जाता है: न लॉग इन, न API key, न webhook, कुछ भी काम नहीं करता। जिस संस्था को आप अकेले चलाते थे, उसके प्रोजेक्ट, कोटेशन, प्राइस लिस्ट और प्रिंटर सेटिंग 30 दिन बाद हमेशा के लिए डिलीट हो जाते हैं (तब तक, आप हमें लिखें तो हम उन्हें वापस ला सकते हैं)। टीम की संस्था के प्रोजेक्ट बाकी सदस्यों के लिए बने रहते हैं। बिलिंग के रिकॉर्ड रखे जाते हैं, जैसा अकाउंटिंग क़ानून माँगता है।

लॉग इन

• पासवर्ड सिर्फ़ Argon2id हैश के रूप में सेव होते हैं (64 MiB मेमोरी, तीन पास)। ई-मेल लिंक से लॉग इन करने के लिए पासवर्ड की ज़रूरत ही नहीं।
• पासवर्ड की जगह passkey इस्तेमाल हो सकती है, और authenticator ऐप (TOTP) एक दूसरा फ़ैक्टर जोड़ता है। Authenticator के सीक्रेट अपनी अलग key से AES-256-GCM में एन्क्रिप्ट करके रखे जाते हैं; रिकवरी कोड सिर्फ़ हैश के रूप में सेव होते हैं, और कोई कोड दो बार इस्तेमाल नहीं हो सकता।
• सेशन कुकी HttpOnly, Secure और SameSite=Lax है। अकाउंट पेज हर लॉग इन किए हुए डिवाइस की लिस्ट दिखाता है, और हर एक को साइन आउट किया जा सकता है।
• लॉग इन, साइन अप और पासवर्ड रीसेट की कोशिशों की संख्या सीमित है।

Zorowire स्टाफ़

टीम के बैक ऑफ़िस के लिए दूसरा फ़ैक्टर ज़रूरी है, और वहाँ किए गए हर बदलाव के लिए पिछले दस मिनट के अंदर पहचान की नई पुष्टि ज़रूरी है। ऐसा हर बदलाव एक ऑडिट लॉग में लिखा जाता है।

पेमेंट

पेमेंट Stripe अपने चेकआउट पेज पर लेता है। कार्ड की जानकारी Stripe को जाती है; Zorowire कभी कार्ड नंबर न पाता है, न सेव करता है।

बैकअप

डेटाबेस का हर रात डंप लिया जाता है और हर डंप सर्वर पर 14 दिन रखा जाता है। सर्वर से बाहर एक एन्क्रिप्टेड कॉपी, जिसे सर्वर ख़ुद डिक्रिप्ट नहीं कर सकता, और जिस रात बैकअप फ़ेल हो उसके लिए एक अलर्ट सेट किए जा रहे हैं; ये चालू होंगे तो यह पेज बताएगा।

वेबसाइट

यह साइट कोई थर्ड-पार्टी स्क्रिप्ट लोड नहीं करती। एक सख़्त Content Security Policy तय करती है कि कोई पेज क्या लोड कर सकता है या क्या भेज सकता है। Workspace आपके ब्राउज़र में चलता है; लॉग इन किए बिना ड्राफ़्ट सिर्फ़ इसी ब्राउज़र में रहता है।

सर्च इंजन और AI असिस्टेंट

हमारे सार्वजनिक पेज — प्रोडक्ट, कीमतें, गाइड, तुलना, रेफ़रेंस डेटा — सर्च इंजन और AI असिस्टेंट के लिए खुले हैं, उन क्रॉलर के लिए भी जो मॉडल ट्रेन करने के लिए टेक्स्ट इकट्ठा करते हैं। हम चाहते हैं कि हमें सही तरह से कोट किया जाए, बजाय इसके कि बिल्कुल न किया जाए।

जिन क्रॉलर को हम अनुमति देते हैं, उनमें से हर एक का नाम हमारी robots.txt में लिखा है: OpenAI के OAI-SearchBot, ChatGPT-User और GPTBot; Anthropic के Claude-SearchBot, Claude-User और ClaudeBot; PerplexityBot और Perplexity-User; Google-Extended; Applebot और Applebot-Extended; और Common Crawl का CCBot। Bytespider को अनुमति नहीं है, क्योंकि हमें उसके ऑपरेटर का कोई डॉक्यूमेंट नहीं मिला कि वह क्या इकट्ठा करता है या robots.txt को कैसे मानता है।

शॉप जो कुछ डालती है, उसमें से कुछ भी सार्वजनिक नहीं है। हार्नेस, कोटेशन, ड्रॉइंग और अपलोड लॉग इन या एक्सपायर होने वाले लिंक के पीछे रहते हैं और कभी इंडेक्स नहीं होते, robots.txt में चाहे जो लिखा हो।

robots.txt →llms.txt →

समस्या की रिपोर्ट

कोई सुरक्षा समस्या मिली? [email protected] पर लिखें। हम हर रिपोर्ट का जवाब देते हैं और बताते हैं कि हमने क्या बदला।