सुरक्षा

1. फ़ाइलें आपके डिवाइस पर रहती हैं

कंप्रेशन, OCR और रूपांतरण सहित सभी फ़ाइल टूल आपके ब्राउज़र में चलते हैं (JavaScript और WebAssembly)। फ़ाइल सर्वर पर नहीं भेजी जाती, इसलिए हमारी ओर से कोई उस तक नहीं पहुँच सकता। आप स्वयं जाँच सकते हैं: ब्राउज़र के डेवलपर टूल (F12) में «नेटवर्क» टैब खोलें और कोई फ़ाइल संसाधित करें — फ़ाइल का कोई अपलोड नहीं दिखेगा। सर्वर तक केवल AI सुविधाओं के लिए टेक्स्ट और URL से PDF के लिए पेज का पता पहुँचता है।

2. एन्क्रिप्टेड कनेक्शन

साइट केवल HTTPS पर चलती है। HSTS हेडर (ब्राउज़रों की प्रीलोड सूची में दर्ज) ब्राउज़र को हमेशा, पहली विज़िट में भी, सुरक्षित रूप से जुड़ने के लिए बाध्य करता है।

3. ब्राउज़र में सुरक्षा

• Content Security Policy सीमित करती है कि साइट कहाँ से स्क्रिप्ट लोड कर सकती है और किनसे जुड़ सकती है: हमारा डोमेन और उसमें नामित सेवाएँ (Google साइन-इन, Dropbox, Microsoft और सहमति के बाद Google Analytics)।
• साइट को दूसरी साइटों में एम्बेड नहीं किया जा सकता (X-Frame-Options: DENY, frame-ancestors) — यह क्लिकजैकिंग से बचाता है।
• Permissions-Policy कैमरा, माइक्रोफ़ोन, लोकेशन, USB और भुगतान तक पहुँच रोकती है।
• X-Content-Type-Options और Referrer-Policy फ़ाइल प्रकार के अनुमान और पेज के पतों को आगे भेजने को सीमित करते हैं।

4. सर्वर की सुरक्षा

• API अनुरोध केवल हमारी अपनी साइट से स्वीकार किए जाते हैं (Origin और Referer हेडर की जाँच — CSRF सुरक्षा)।
• अनुरोध सीमाएँ: API के लिए प्रति IP पता प्रति मिनट 30, AI सुविधाओं के लिए प्रतिदिन 15, URL से PDF के लिए हर 10 मिनट में 30; अनुरोध आकार सीमा 100 MB।
• URL से PDF निजी और स्थानीय नेटवर्क तथा सर्वर की क्लाउड सेवाओं के पते अस्वीकार करता है, और जाँचा गया पता वही होता है जिससे सर्वर जुड़ता है (SSRF और DNS रीबाइंडिंग से सुरक्षा)।
• API इनपुट सर्वर पर जाँचे जाते हैं (टेक्स्ट की लंबाई, अनुमत अनुवाद भाषाएँ)।

5. AI सुविधाएँ

AI को हम केवल फ़ाइल से निकाला गया टेक्स्ट और आपका प्रश्न भेजते हैं — आपके IP पते या ब्राउज़र की जानकारी के बिना, अपने सर्वर और उसकी API कुंजी के माध्यम से (आपको अपनी कुंजी नहीं चाहिए)। हर अनुरोध ऐसा प्रदाता माँगता है जो OpenRouter के अनुसार अनुरोध के बाद डेटा नहीं रखता और उस पर मॉडल प्रशिक्षित नहीं करता; ऐसा कोई न हो तो अनुरोध पूरा नहीं होता।

6. न खाते, न प्रोफ़ाइल

हम पंजीकरण या साइन-इन नहीं माँगते, पासवर्ड संग्रहीत नहीं करते और उपयोगकर्ता प्रोफ़ाइल नहीं बनाते। PDF को सुरक्षित करने और खोलने के पासवर्ड तथा हस्ताक्षर के प्रमाणपत्र केवल आपके ब्राउज़र में उपयोग होते हैं।

7. निर्भरताएँ

हम लाइब्रेरी अपडेट रखते हैं और ज्ञात कमज़ोरियों की जाँच npm audit और एक परीक्षण से करते हैं जो साइट द्वारा उपयोग की जाने वाली निर्भरताओं में हर नई उच्च या गंभीर चेतावनी की सूचना देता है।

8. कमज़ोरी की रिपोर्ट

यदि आपको कोई सुरक्षा खामी मिले, तो kontakt@optimapdf.com पर लिखें। हम प्रतिबद्ध हैं:

• 24 घंटे के भीतर प्राप्ति की पुष्टि करने के लिए,
• उसका विश्लेषण करके 14 दिनों के भीतर (गंभीरता के अनुसार) सुधार जारी करने के लिए,
• आपको बताने के लिए कि हमने क्या किया,
• सद्भावना से कमज़ोरियाँ बताने वालों के विरुद्ध कोई कानूनी कार्रवाई न करने के लिए।

9. प्रमाणन

OptimaPDF के पास अपना ISO 27001 या SOC 2 प्रमाणन नहीं है। हमारे होस्टिंग प्रदाता Vercel के पास ISO 27001:2022 प्रमाणन और SOC 2 टाइप 2 रिपोर्ट है। चूँकि फ़ाइलें कभी हमारे सर्वर तक नहीं पहुँचतीं, हमारी ओर एन्क्रिप्ट करने के लिए कोई «संग्रहीत» फ़ाइल नहीं है।

10. डिजिटल हस्ताक्षर और eIDAS

«PDF पर हस्ताक्षर» टूल आपके अपने प्रमाणपत्र (.p12/.pfx) से PAdES डिजिटल हस्ताक्षर बनाता है — पूरी तरह ब्राउज़र में; न फ़ाइल भेजी जाती है, न प्रमाणपत्र। यह वास्तविक क्रिप्टोग्राफ़िक हस्ताक्षर है, लेकिन eIDAS विनियमन (EU 910/2014) के तहत अपने-आप योग्य इलेक्ट्रॉनिक हस्ताक्षर (QES) नहीं है: QES का दर्जा इस पर निर्भर करता है कि प्रमाणपत्र किसी योग्य ट्रस्ट सेवा प्रदाता ने जारी किया है और कुंजी किसी योग्य डिवाइस पर है।