अगर एक्सचेंज EU के बाहर स्थित है लेकिन EU उपयोगकर्ताओं को सेवा देता है, तो कौन से प्रतिधारण नियम लागू होते हैं?
कोई क्रिप्टो एक्सचेंज सिंगापुर, केमैन आइलैंड्स या कहीं और आधारित हो सकता है और फिर भी फ़्रांस, जर्मनी या स्पेन के किसी उपयोगकर्ता से KYC डेटा एकत्र कर सकता है। यहीं से असल सवाल शुरू होता है। कंपनी कहाँ बैठी है, बस वही पूरी कहानी नहीं है, क्योंकि उपयोगकर्ता का स्थान, दी जाने वाली सेवा और उस सेवा से जुड़ी डेटा-नियमावली — सबका महत्व हो सकता है।
EU उपयोगकर्ताओं के लिए मुश्किल यह है कि एक प्लेटफ़ॉर्म पर EU गोपनीयता संबंधी दायित्व लागू हो सकते हैं, जबकि दूसरा मुख्य रूप से अपने स्थानीय अनुपालन नियमों पर निर्भर कर सकता है। नतीजा अक्सर उलझा हुआ दिखता है। कोई प्लेटफ़ॉर्म कह सकता है कि वह सभी ग्राहकों के लिए एक ही प्रतिधारण शेड्यूल अपनाता है, लेकिन इससे अपने-आप यह साबित नहीं होता कि वह शेड्यूल यूरोपीय संघ के संदर्भ में सही बैठता है। इसी संदर्भ में अक्सर पूछा जाता है: "EU उपयोगकर्ताओं के लिए KYC डेटा कितने समय रखा जाता है" — और जवाब प्लेटफ़ॉर्म, डेटा श्रेणी और लागू नियमों पर निर्भर करता है।
एक ही ऑनबोर्डिंग फ़ॉर्म वाले दो एक्सचेंजों की कल्पना करें। एक एम्स्टर्डम में स्थापित है और दूसरा ऑफशोर है, लेकिन EU उपयोगकर्ताओं को सक्रिय रूप से मार्केट करता है। दोनों पासपोर्ट, सेल्फी और पते का प्रमाण ले सकते हैं, लेकिन उन फ़ाइलों को कितने समय तक रखने का कानूनी रास्ता अलग हो सकता है, क्योंकि कंपनी की जिम्मेदारियाँ गोपनीयता कानून, AML कानून और स्थानीय लाइसेंसिंग नियमों के अलग-अलग संयोजनों से उत्पन्न हो सकती हैं।
आमतौर पर उपयोगकर्ता एक सीधी बात जानना चाहते हैं: फ़ाइल कितने समय तक रहती है। यह वाजिब है। यूरोपीय संघ में उपयोगकर्ताओं के लिए क्रिप्टो एक्सचेंज KYC डेटा प्रतिधारण नियम जैसा वाक्य तकनीकी लगता है, लेकिन उपयोगकर्ता के लिहाज से मुद्दा काफ़ी सरल है: अगर एक्सचेंज कहता है कि वह फ़ाइलों को तय वर्षों तक रखता है, या तब तक रखता है जब तक कोई अनुपालन-ट्रिगर खत्म नहीं हो जाता, तो उसका स्पष्टीकरण इतना साफ़ होना चाहिए कि उसे नीति और खाते के इतिहास से मिलान किया जा सके।
ऑफशोर होना रिकॉर्ड-रखरखाव को खत्म नहीं कर देता। और न ही यह किसी तरह की छूट देता है। अगर एक्सचेंज EU उपयोगकर्ताओं को लक्षित करता है, उनके दस्तावेज़ प्रोसेस करता है, या उनकी पहचान-संबंधी जानकारी ऐसे सिस्टम में रखता है जो EU बाज़ार को छूते हैं, तो कंपनी को फिर भी ऐसा प्रतिधारण आधार चाहिए हो सकता है जिसे वह साधारण भाषा में समझा सके। सपोर्ट का एक वाक्य तीन बातें बताए: कौन-सा डेटा, कितने समय के लिए, और किस नियम के तहत।
खाता बंद, फ़्रीज़ या कभी पूरी तरह सत्यापित न होने पर KYC डेटा का क्या होता है?
किसी खाते के “active” न होने पर भी KYC डेटा संग्रहीत रह सकता है। बंद खाता भी पीछे एक फ़ाइल छोड़ सकता है। फ़्रीज़ किया गया खाता भी यही कर सकता है। यहाँ तक कि जो खाता अंतिम सत्यापन तक कभी नहीं पहुँचा, वह भी आर्काइव किया जा सकता है, क्योंकि एक्सचेंज कोशिश का रिकॉर्ड, जमा किए गए दस्तावेज़ और प्रक्रिया कहाँ रुकी — यह सब रखना चाह सकता है। इसी वजह से लोग पूछते हैं: "बंद खाते में KYC डेटा कितने समय तक रहता है" — और इसका उत्तर अक्सर खाते की स्थिति, डेटा श्रेणी और कानूनी होल्ड पर निर्भर करता है।
तीन स्थितियाँ सबसे ज़्यादा मायने रखती हैं। पहली, उपयोगकर्ता सत्यापन शुरू करके बीच में छोड़ देता है। दूसरी, अनुपालन समीक्षा के बाद एक्सचेंज खाता बंद कर देता है। तीसरी, एक्सचेंज सोर्स-ऑफ़-फ़ंड्स, सैंक्शंस स्क्रीनिंग या डुप्लिकेट पहचान संबंधी मुद्दों की जाँच करते हुए पहुँच रोक देता है। हर मामले में प्रतिधारण की अलग समय-सीमा हो सकती है, और वह समय-सीमा अलग तारीख से शुरू हो सकती है। वह तारीख महत्वपूर्ण है।
सपोर्ट टीम कह सकती है कि अधूरे फ़ाइलों को “audit purposes” के लिए रखा जाता है। यह आम बात है, लेकिन स्पष्टीकरण यहीं खत्म नहीं होना चाहिए। अगर किसी उपयोगकर्ता ने पासपोर्ट और यूटिलिटी बिल अपलोड किया, लेकिन ऑनबोर्डिंग पूरी नहीं की, तो एक्सचेंज को यह बताने में सक्षम होना चाहिए कि वे फ़ाइलें 30 दिनों तक, 1 साल तक, या किसी विवाद के निपटारे तक रखी जाती हैं या नहीं।
बंद खातों के साथ एक और सवाल उठता है: क्या एक्सचेंज सब कुछ रखता है, या सिर्फ़ अनुपालन रिकॉर्ड? व्यवहार में, इसका जवाब परतों में बँट सकता है। एक्सेस क्रेडेंशियल्स जल्दी मिटाए जा सकते हैं। KYC फ़ाइलें प्रतिबंधित स्टोरेज में रह सकती हैं। निर्णय से जुड़े आंतरिक नोट्स अनुपालन रिकॉर्ड के साथ जुड़े रह सकते हैं। इन तीनों के शेड्यूल अलग-अलग हो सकते हैं।
फ़्रीज़ किए गए खाते अक्सर सबसे कम पारदर्शी होते हैं। उपयोगकर्ता कभी-कभी मान लेते हैं कि फ़्रीज़ का मतलब बाद में डिलीट होना है। ज़रूरी नहीं। फ़्रीज़ एक संरक्षण-चरण शुरू कर सकता है, और इससे ट्रेडिंग तुरंत बंद होने के बावजूद प्रतिधारण अवधि बढ़ सकती है। एक अतिरिक्त अनुपालन अनुरोध भी समय-सीमा को महीनों या वर्षों तक बदल सकता है।
कौन-से KYC रिकॉर्ड आमतौर पर पहचान दस्तावेज़ से भी अधिक समय तक रखे जाते हैं?
हर रिकॉर्ड एक जैसे तरीके से पुराना नहीं होता। पासपोर्ट स्कैन एक आइटम हो सकता है, लेकिन वह शायद ही फ़ोल्डर का अकेला आइटम होता है। एक्सचेंज अक्सर पहचान दस्तावेज़ को सहायक रिकॉर्ड से अलग रखते हैं, और यही अलगाव एक कारण है कि कुछ फ़ाइलों की प्रतिधारण अवधि दूसरों से लंबी हो सकती है।
आम श्रेणियों में ID स्कैन, सेल्फी या लाइवनेस चेक, पते का प्रमाण, ट्रांज़ैक्शन लॉग, जोखिम-चिन्ह, सपोर्ट टिकट और आंतरिक ऑडिट ट्रेल शामिल होते हैं। यूटिलिटी बिल जल्दी अपडेट हो सकता है। ट्रांज़ैक्शन लॉग आमतौर पर नहीं। चार्जबैक, निकासी शिकायत, या सैंक्शंस स्क्रीनिंग परिणाम से जुड़ा जोखिम नोट उस दस्तावेज़ से भी ज़्यादा समय तक फ़ाइल के साथ रह सकता है, जिसने सबसे पहले उपयोगकर्ता की पहचान की थी।
लंबे समय तक स्टोरेज का एक व्यावहारिक कारण भी है। एक्सचेंज को सिर्फ़ यह नहीं दिखाना होता कि उपयोगकर्ता कौन था, बल्कि यह भी कि निर्णय लेते समय एक्सचेंज को क्या पता था। इसका मतलब है कि सिर्फ़ ID स्कैन काफ़ी नहीं होता। फ़ाइल में टाइमस्टैम्प, डिवाइस डेटा, समीक्षा की स्थिति, और फ़ाइल जाँचने वाले स्टाफ़ या वेंडर का नाम भी हो सकता है।
कुछ रिकॉर्ड इसलिए रखे जाते हैं क्योंकि वे संचालन से जुड़े होते हैं, न कि इसलिए कि वे मूल KYC फ़ाइल हैं। यदि कोई उपयोगकर्ता अस्वीकृत दस्तावेज़ पर आपत्ति करता है, तो सपोर्ट टिकट अनुपालन चित्र का हिस्सा बन सकते हैं। ऑडिट ट्रेल यह दिखा सकते हैं कि एक्सचेंज ने सत्यापन चरणों को सही ढंग से संभाला या नहीं। एक अकेली लॉगिन समस्या भी ऐसा काग़ज़ी निशान छोड़ सकती है जो दस्तावेज़ से कहीं ज़्यादा समय तक जीवित रहे।
यहाँ अंतर महत्वपूर्ण है: “KYC डेटा” एक ही bucket नहीं है। यह आमतौर पर कई bucket होते हैं। यही कारण है कि नीति एक अवधि के बाद पहचान छवियों को मिटाने की बात कह सकती है, जबकि जाँच, धोखाधड़ी नियंत्रण, या कानूनी hold से जुड़े रिकॉर्ड दूसरी अवधि तक रखे जाते हैं।
क्या AML रिकॉर्ड-कीपिंग नियमों की वजह से कोई क्रिप्टो एक्सचेंज मेरा KYC डेटा रख सकता है?
हाँ, अक्सर यही मुख्य कारण होता है। AML रिकॉर्ड-कीपिंग नियम उपयोगकर्ता के खाता बंद करने के बाद भी प्रतिधारण को उचित ठहरा सकते हैं। एक्सचेंज को उचित जाँच, मॉनिटरिंग और रिपोर्टिंग के निर्णयों के प्रमाण को एक तय अवधि तक सुरक्षित रखने की आवश्यकता हो सकती है।
इसका मतलब यह नहीं कि “एक्सचेंज सब कुछ हमेशा के लिए रख सकता है।” इसका अर्थ यह है कि एक्सचेंज के पास कुछ अनुपालन रिकॉर्ड को एक निश्चित समय तक रखने का कानूनी आधार हो सकता है। आम तौर पर उद्देश्य जिज्ञासा नहीं, बल्कि traceability होता है। नियामक यह देखना चाह सकते हैं कि एक्सचेंज ने क्या जाँचा, कब जाँचा, और क्या कोई चेतावनी संकेत सामने आए।
पहचान सत्यापन और AML फ़ाइल-रखरखाव में अंतर होता है। ID इमेज नाम और जन्मतिथि की पुष्टि के लिए इस्तेमाल हो सकती है। जोखिम फ़ाइल यह दर्ज कर सकती है कि कोई लेन-देन क्यों flagged हुआ, खाता क्यों review किया गया, या निकासी क्यों रोकी गई। ये रिकॉर्ड साथ रखे जा सकते हैं, लेकिन ये एक ही चीज़ नहीं हैं, और इनकी प्रतिधारण घड़ी भी हमेशा समान नहीं होती।
उपयोगकर्ता अक्सर पूछते हैं कि क्या डिलीट किए गए खाते का मतलब डिलीट किया गया KYC है। अपने-आप नहीं। अगर AML नियम लागू होते हैं, तो एक्सचेंज को खाता बंद होने के बाद भी अनुपालन रिकॉर्ड रखना पड़ सकता है, भले ही फ़्रंट-एंड प्रोफ़ाइल हट गई हो। गोपनीयता अनुरोध और प्रतिधारण दायित्व साथ-साथ मौजूद रह सकते हैं। यह तनाव सामान्य है, अपने-आप में बुरे इरादे का संकेत नहीं।
अगर आप एक और व्यावहारिक नज़रिया चाहते हैं, तो कोई दस्तावेज़ भेजने से पहले क्रिप्टोकरेंसी एक्सचेंज की वैधता कैसे जाँचें इस पर नज़र डालें। जो प्लेटफ़ॉर्म अनुपालन के बारे में टालमटोल करता है, वह बाद में भी अक्सर टालमटोल ही करता है। यह शायद ही अच्छा संकेत होता है।
एक्सचेंज को अपनी privacy notice में प्रतिधारण अवधि कैसे समझानी चाहिए?
एक अच्छी privacy notice को प्रतिधारण नियम को कानूनी धुंध में नहीं छुपाना चाहिए। उसमें या तो एक तय अवधि, मानदंड-आधारित अवधि, या ऐसा कानूनी ट्रिगर होना चाहिए जो अवधि समाप्त करता है। अगर नोटिस सिर्फ़ यह कहता है “हम डेटा तब तक रखते हैं जब तक आवश्यक हो,” तो वह अकेले में बहुत व्यापक हो सकता है।
एक तय अवधि समझने में सबसे आसान होती है। उदाहरण के लिए, नीति कह सकती है कि सत्यापन फ़ाइलें खाता बंद होने के बाद कुछ निश्चित वर्षों तक रखी जाती हैं। मानदंड-आधारित अवधि कम सुसज्जित लग सकती है, लेकिन फिर भी उपयोगी है, अगर वह वह घटना बताती है जिससे उलटी गिनती शुरू होती है — जैसे अंतिम खाता बंद होना, धोखाधड़ी समीक्षा का पूरा होना, या वैधानिक प्रतिधारण अवधि का अंत।
अस्पष्ट शब्दावली समस्या पैदा करती है। अगर नीति मार्केटिंग रिकॉर्ड और अनुपालन रिकॉर्ड को अलग नहीं करती, तो उपयोगकर्ता यह नहीं जानता कि कौन-सा डेटा किस नियम के तहत चलता है। अगर वह क्षेत्र का नाम नहीं लेती, तो उपयोगकर्ता यह नहीं जानता कि क्या वही प्रतिधारण अवधि यूरोपीय संघ, यूनाइटेड किंगडम या कहीं और लागू होती है।
एक अच्छी सूचना नकली सटीकता से भी बचती है। “हम डेटा उतने समय तक रखते हैं जितना आवश्यक है” तब मददगार नहीं होता जब नोटिस कोई मानक ही न दे। “लागू कानून द्वारा आवश्यक अवधि के लिए” बेहतर है, लेकिन सिर्फ़ तब, जब एक्सचेंज कानून, डेटा के प्रकार, या प्रतिधारण शुरू करने वाली घटना की पहचान करे। उपयोगकर्ता को नीति समझने के लिए जासूस बनने की ज़रूरत नहीं होनी चाहिए।
प्लेटफ़ॉर्म की गुणवत्ता को जल्दी समझने के लिए, इस गाइड में सबसे अच्छे क्रिप्टो एक्सचेंज में क्या होता है इसे देखें। नीति 5 मिनट में पढ़ी जानी चाहिए, 50 में नहीं।
अगर मुझे अपनी KYC फ़ाइल के लिए सटीक प्रतिधारण शेड्यूल चाहिए, तो मुझे सपोर्ट से क्या पूछना चाहिए?
सटीक श्रेणी, सटीक ट्रिगर और सटीक प्रतिधारण अवधि पूछिए। तीन सवाल। शुरुआत के लिए इतना काफ़ी है। अगर सपोर्ट इन तीनों का जवाब नहीं दे पाता, तो उनसे आपका अनुरोध compliance या privacy टीम तक भेजने को कहिए।
एक उपयोगी संदेश सीधा होता है। पूछिए कि कौन-से KYC रिकॉर्ड रखे जाते हैं, क्या खाता स्थिति शेड्यूल बदलती है, और गिनती किस घटना से शुरू होती है। आसान शब्द इस्तेमाल कीजिए। आप कोई नीति-निबंध नहीं माँग रहे हैं। आपको एक तारीख़ का नियम, फ़ाइल का प्रकार और कारण चाहिए।
एक व्यावहारिक कदम यह है कि उस policy version के लिए पूछें जो आपके onboarding के समय लागू थी। यह तब मायने रखता है जब एक्सचेंज ने बाद में अपने नियम बदले हों। एक और उपयोगी कदम यह पूछना है कि आपकी फ़ाइल active review, restricted storage, या long-term archive में है या नहीं। ये एक ही जगह नहीं हैं, और इनकी प्रतिधारण logic अलग हो सकती है।
अगर सपोर्ट एक सामान्य-सा जवाब दे, तो एक बार और पूछिए। data category के हिसाब से प्रतिधारण शेड्यूल माँगिए: identity document, proof of address, transaction history, risk notes, और support correspondence। इन पाँचों के लिए एक ही जवाब अक्सर एक red flag होता है। एक्सचेंज को अंतर पता होना चाहिए।
एक छोटा-सा वाक्य बहुत काम कर सकता है: “कृपया मेरी KYC फ़ाइल का प्रतिधारण शेड्यूल दें, जिसमें प्रतिधारण शुरू करने वाली घटना और श्रेणी-विशिष्ट समय-सीमा शामिल हो।” यह अनुरोध सीधा, विशिष्ट और टालना मुश्किल है।
कौन-से red flags बताते हैं कि एक्सचेंज KYC डेटा ज़रूरत से ज़्यादा समय तक रख रहा हो सकता है?
अनिश्चितकालीन स्टोरेज वाली भाषा सबसे पहला red flag है। अगर नीति कहती है कि डेटा “आगे की सूचना तक” या “जब तक कंपनी उचित समझे” रखा जाता है, तो यह ज़्यादातर उपयोगकर्ताओं के लिए बहुत खुला-समाप्ति वाला है। प्रतिधारण नीति में एक सीमा होनी चाहिए, भले ही वह सीमा कानून या समीक्षा-घटना से जुड़ी हो।
एक और चेतावनी तब दिखती है जब re-verification के बाद भी पुराने दस्तावेज़ portal में मौजूद रहते हैं। अगर उपयोगकर्ता नया पासपोर्ट अपलोड करता है, लेकिन पुराना अभी भी दिखाई देता है, तो संभव है कि एक्सचेंज operational file के लिए ज़रूरत से ज़्यादा रख रहा हो। यह गलत काम का प्रमाण नहीं है, लेकिन पूछने लायक ज़रूर है।
नीतियाँ तब भी गड़बड़ हो जाती हैं जब वे एक ही वाक्य में अनुपालन और मार्केटिंग को मिला देती हैं। अगर नोटिस कहता है कि KYC डेटा “service improvement, product development, and security” के लिए इस्तेमाल हो सकता है, तो यह बहुत व्यापक हो सकता है, जब तक एक्सचेंज उन उद्देश्यों को अलग-अलग न करे और हर एक के लिए प्रतिधारण नियम न बताए।
अंतर की कमी पर ध्यान दें। एक नीति को newsletter email list और identity documents को एक जैसा नहीं मानना चाहिए। इसे support complaint और AML alert को भी एक जैसा नहीं मानना चाहिए। अगर सब कुछ एक अस्पष्ट storage rule के तहत आता है, तो प्रतिधारण logic संभवतः कमज़ोर है।
एक और red flag है फ़्रीज़ या closure के बाद चुप्पी। अगर एक्सचेंज 24 घंटे में खाता बंद कर सकता है, लेकिन 24 दिनों में डेटा शेड्यूल समझा नहीं सकता, तो उपयोगकर्ता को सतर्क रहना चाहिए। ऐसा mismatch अक्सर दिखाता है कि आंतरिक प्रक्रिया अच्छी तरह दस्तावेज़ित नहीं है।
सामान्य सुरक्षा जाँच के लिए, क्रिप्टो एक्सचेंज सुरक्षा चेकलिस्ट पर यह लेख किसी भी फ़ाइल को भेजने से पहले कमजोर नियंत्रण पहचानने में मदद कर सकता है। ढीली प्रतिधारण नीति अक्सर ढीली सुरक्षा के साथ आती है।
अगर किसी EU उपयोगकर्ता को प्रतिधारण शर्तें अस्पष्ट या असंगत लगें, तो उसे क्या करना चाहिए?
लिखित अनुरोध से शुरुआत करें। एक ईमेल या एक सपोर्ट टिकट में स्पष्टीकरण माँगें, और जवाब संभाल कर रखें। फिर policy version, संबंधित data category, और वह घटना पूछें जो प्रतिधारण शुरू करती है। इससे बाद में जवाब बदलें तो आपके पास रिकॉर्ड रहेगा।
अगर एक्सचेंज दो अलग-अलग जवाब देता है, तो पूछें कि आपके खाते पर कौन-सा लागू होता है और क्यों। कभी-कभी public policy एक बात कहती है और onboarding screen दूसरी। वह mismatch महत्वपूर्ण है। screenshots सहेजें। dates सहेजें। ticket number सहेजें।
इसके बाद पूछिए कि क्या कंपनी के पास EU निवासियों के लिए data protection contact है। जवाब privacy email, DPO contact, या formal complaint path हो सकता है। अगर एक्सचेंज उचित अनुरोध के बाद भी स्पष्टता नहीं देता, तो escalation अगला कदम हो सकता है।
एक अंतिम कदम यह है कि यदि policy असंगत बनी रहे और कंपनी उसे ठीक न करे, तो संबंधित data protection authority से संपर्क करें। यह पहला कदम नहीं है। यह तब का कदम है जब एक्सचेंज को सीधे सवालों का जवाब देने का मौका दिया जा चुका हो और उसने फिर भी न दिया हो। अनुरोध संक्षिप्त और तथ्यात्मक रखें।
अगर प्लेटफ़ॉर्म की भाषा फिर भी फिसलती हुई लगे, तो इसकी तुलना क्रिप्टो निवेश घोटाले को कैसे पहचाने वाले गाइड की भाषा से करें। ढीली भाषा धोखाधड़ी का प्रमाण नहीं है, लेकिन यह अक्सर उन्हीं जगहों पर दिखती है: onboarding, retention, और support replies।
कुछ उपयोगकर्ताओं को नया खाता खोलने से पहले क्रिप्टो एक्सचेंज कैसे चुनें वाला लेख देखना भी उपयोगी लगता है। अगर एक्सचेंज अपने प्रतिधारण logic को एक साफ़ जवाब में नहीं समझा सकता, तो वह पहले से ही उपयोगी जानकारी है।
सबसे अच्छा परीक्षण सरल है: शेड्यूल पूछिए, ट्रिगर पूछिए, और श्रेणी पूछिए। अगर एक्सचेंज इन 3 बातों का साफ़ जवाब नहीं दे सकता, तो प्रतिधारण नियम EU उपयोगकर्ताओं के लिए पर्याप्त स्पष्ट नहीं है।
