अंतिम समीक्षा: 27 अगस्त 2026। आधार: DPDP Act, 2023 तथा DPDP Rules, 2025 (नवंबर 2025 में अधिसूचित)।
भारत में एक साइबर घटना एक साथ दो नियामक घड़ियाँ चालू कर सकती है। 28 अप्रैल 2022 के CERT-In Directions अपेक्षा करते हैं कि सूचीबद्ध साइबर घटनाओं की सूचना ध्यान में आने के 6 घंटे के भीतर दी जाए, जबकि DPDP Act, 2023 और DPDP Rules, 2025 अपेक्षा करते हैं कि व्यक्तिगत डेटा उल्लंघन की सूचना प्रभावित Data Principals तथा Data Protection Board को बिना देरी दी जाए, और 72 घंटे के भीतर Board को विस्तृत रिपोर्ट भेजी जाए। दोनों व्यवस्थाएँ ट्रिगर, प्राप्तकर्ता, विषय-वस्तु और दंड में भिन्न हैं, और विनियमित संस्थाओं के लिए RBI, SEBI या IRDAI एक तीसरी परत जोड़ देते हैं। यह लेख आपको एक टाइमलाइन, एक वर्गीकरण मैट्रिक्स और एक रनबुक संरचना देता है, ताकि आपकी टीम रात 2 बजे घड़ियाँ मिलाने में न उलझी रहे।
CERT-In Directions 2022 और DPDP उल्लंघन नियम: प्रत्येक व्यवस्था वास्तव में क्या माँगती है
CERT-In, IT Act की Section 70B के अंतर्गत, समग्र रूप से भारतीय साइबरस्पेस की रक्षा करता है। DPDP Act उन व्यक्तियों की रक्षा करता है जिनका व्यक्तिगत डेटा उजागर हुआ है। दोनों को एक ही दायित्व मान लेना वह सबसे सामान्य ग़लती है जो हम घटना-योजनाओं में देखते हैं।
CERT-In की घड़ी
28 अप्रैल 2022 के CERT-In Directions सेवा प्रदाताओं, मध्यवर्तियों, डेटा सेंटरों, बॉडी कॉर्पोरेट्स और सरकारी संगठनों पर लागू होते हैं, और इनमें क्लाउड तथा VPN प्रदाता स्पष्ट रूप से शामिल हैं। सूचीबद्ध साइबर घटनाओं (अनधिकृत पहुँच, रैनसमवेयर और मैलवेयर, डेटा उल्लंघन तथा लीक, वेबसाइट विरूपण, फ़िशिंग, क्लाउड और भुगतान प्रणालियों पर हमले, आदि) की सूचना ध्यान में आने के 6 घंटे के भीतर देनी होगी। ICT लॉग भारत के भीतर 180 दिन तक रखे जाने चाहिए, घड़ियाँ NIC या NPL NTP सर्वरों से समन्वयित होनी चाहिए, और VPN, क्लाउड तथा डेटा सेंटर प्रदाताओं को ग्राहक KYC 5 वर्ष तक बनाए रखना होगा।
घड़ी 'ध्यान में आने' से चलती है, पुष्टि से नहीं: 03:10 बजे मिला रैनसमवेयर नोट घड़ी 03:10 पर ही शुरू कर देता है। CERT-In आंशिक प्रारंभिक रिपोर्ट स्वीकार करता है; चुप्पी स्वीकार नहीं करता।
DPDP की घड़ी
DPDP Act की Section 8 प्रत्येक Data Fiduciary से अपेक्षा करती है कि वह व्यक्तिगत डेटा उल्लंघन की सूचना Board को तथा प्रत्येक प्रभावित Data Principal को दे। DPDP Rules, 2025 (नवंबर 2025 में अधिसूचित) यांत्रिकी तय करते हैं: प्रभावित Data Principals और Board को बिना देरी सूचित करें, तथा 72 घंटे के भीतर Board के पास विस्तृत रिपोर्ट दाख़िल करें। Data Principal को दी जाने वाली सूचना सरल भाषा में होनी चाहिए और उसमें उल्लंघन की प्रकृति व सीमा, संभावित परिणाम, शमन, व्यक्ति द्वारा उठाए जा सकने वाले क़दम तथा एक संपर्क शामिल होना चाहिए। सूचित न करने पर Section 33 तथा Schedule के अंतर्गत Rs 200 crore तक का दंड लगता है, जो सुरक्षा उपायों की विफलता के लिए Rs 250 crore तक के दंड से अलग है; हमारा दंड-Schedule व्याख्याकार देखें।
उल्लंघन-सूचना Rules अधिसूचित होने के 18 महीने बाद, यानी मई 2027 से प्रवर्तनीय होती है, जबकि CERT-In जून 2022 से प्रवर्तनीय है। मई 2027 तक DPDP की घड़ी एक पूर्वाभ्यास है, पर ऐसा पूर्वाभ्यास जो अभी चलाना चाहिए, क्योंकि लॉगिंग और साक्ष्य की आदतें जमने में एक वर्ष लगता है। हमारा प्रवर्तन-चरण लेख देखें।
आमने-सामने
| आयाम | CERT-In | DPDP |
|---|---|---|
| कौन | क्लाउड और VPN प्रदाताओं सहित सभी संस्थाएँ | प्रत्येक Data Fiduciary |
| ट्रिगर | सूचीबद्ध घटना प्रकार | व्यक्तिगत डेटा उल्लंघन |
| प्राप्तकर्ता | CERT-In | Board तथा प्रभावित Data Principals |
| समय-सीमा | 6 घंटे | बिना देरी; 72-घंटे की Board रिपोर्ट |
| लॉग | 180 दिन, भारत में | कम से कम 1 वर्ष |
| दंड | IT Act | Rs 200 crore तक |
CERT-In बनाम Data Protection Board सूचना: ट्रिगर कहाँ अलग हो जाते हैं
व्यावहारिक प्रश्न यह नहीं है कि 'हम किस नियामक को बुलाएँ', बल्कि यह कि 'इस घटना ने कौन-सी घड़ियाँ चालू कर दी हैं'। चार संयोजन संभव हैं।
केवल CERT-In। एक DDoS हमला आपकी वेबसाइट गिरा देता है; किसी व्यक्तिगत डेटा तक पहुँच नहीं होती। 6 घंटे के भीतर CERT-In को सूचित करें और दर्ज करें कि DPDP क्यों ट्रिगर नहीं हुआ।
केवल DPDP। एक कर्मचारी 4,000 ग्राहक रिकॉर्ड ग़लत बाहरी पते पर ईमेल कर देता है। हमारे पठन में यह एक व्यक्तिगत डेटा उल्लंघन है, और यक़ीनन CERT-In सूची का 'डेटा लीक' भी। संदेह हो तो CERT-In को सूचित करें: अधिक-सूचना पर कोई दंड नहीं है, कम-सूचना पर है।
दोनों। रैनसमवेयर एक ग्राहक डेटाबेस को एन्क्रिप्ट कर देता है और रिकॉर्ड बाहर निकाल लेता है। 6 घंटे के भीतर CERT-In, Data Principals तथा Board को बिना देरी, और 72 घंटे के भीतर Board को विस्तृत रिपोर्ट। रनबुक इसी परिदृश्य के इर्द-गिर्द बनाएँ।
कोई नहीं। एक एन्क्रिप्टेड लैपटॉप चोरी होता है और कुंजी से समझौता नहीं हुआ। आकलन दर्ज करें और टिकट बंद करें।
दोनों व्यवस्थाएँ श्रोता के मामले में भी अलग हैं। CERT-In तकनीकी संकेतक चाहता है। DPDP अपेक्षा करता है कि आप प्रभावित व्यक्तियों से सरल भाषा में बात करें, इसलिए कमरे में केवल SOC नहीं, ग्राहक सहायता और क़ानूनी टीम भी होनी चाहिए। वे व्यक्ति फिर जिन अधिकारों का प्रयोग कर सकते हैं, वे आपके DPDP अधिकार में दिए गए हैं।
भारत में उल्लंघन-सूचना की टाइमलाइन: T+0 से T+72घं और उसके आगे एक ही घड़ी
दोनों व्यवस्थाओं को एक ही टाइमलाइन में मिलाएँ और उसका अभ्यास करें। समय पहली बार ध्यान में आने से गिना गया है।
| समय | कार्रवाई | संबंधित व्यवस्था | स्वामी |
|---|---|---|---|
| T+0 | घटना IST टाइमस्टैम्प के साथ दर्ज; घड़ी शुरू; अस्थिर साक्ष्य संरक्षित | दोनों | SOC प्रमुख |
| T+0 से T+1घं | ट्रायाज: नीचे दिया गया वर्गीकरण मैट्रिक्स पूरा करें | दोनों | घटना कमांडर |
| T+1घं से T+4घं | नियंत्रण: होस्ट अलग करें, क्रेडेंशियल रद्द करें, लॉग का स्नैपशॉट लें | दोनों | IT और सुरक्षा |
| T+4घं से T+6घं | प्रारंभिक CERT-In रिपोर्ट दाख़िल करें; आंशिक जानकारी स्वीकार्य | CERT-In | CISO |
| T+6घं | CERT-In की समय-सीमा; RBI-पर्यवेक्षित संस्थाएँ उसी आधार पर RBI के पास दाख़िल करती हैं | CERT-In, क्षेत्र | CISO, अनुपालन प्रमुख |
| T+6घं से T+24घं | व्यक्तिगत डेटा का दायरा तय करें (रिकॉर्ड, Data Principals, फ़ील्ड); Data Principals और Board को प्रारंभिक सूचनाएँ जारी करें | DPDP | गोपनीयता प्रमुख, क़ानूनी |
| T+24घं से T+48घं | Data Principal सूचनाएँ पूरी करें; हेल्पलाइन खोलें; विस्तृत Board रिपोर्ट का मसौदा बनाएँ | DPDP | गोपनीयता प्रमुख, सहायता |
| T+72घं | विस्तृत Board रिपोर्ट दाख़िल करें; तस्वीर बदली हो तो पूरक CERT-In अद्यतन | दोनों | DPO, CISO |
| T+72घं से T+30 दिन | मूल कारण, उपचार, विक्रेता व बीमा सूचनाएँ, बोर्ड ब्रीफ़िंग | आंतरिक | घटना कमांडर, CFO |
| सतत | घटना लॉग 1 वर्ष (DPDP) तथा सिस्टम लॉग 180 दिन (CERT-In) रखें; नियामक प्रश्नों का उत्तर दें | दोनों | IT, क़ानूनी |
हमारे पठन में 'बिना देरी' 72 घंटे से कम है; 72-घंटे की खिड़की विस्तृत रिपोर्ट के लिए है। यह मानकर योजना बनाएँ कि जैसे ही आपको पता चले कि कौन प्रभावित है, Data Principals को 24 से 48 घंटे के भीतर (सांकेतिक) आपसे सूचना मिल जाए। CERT-In की खिड़की सप्ताहांत पर नहीं रुकती, इसलिए ऑन-कॉल रोस्टर में कोई ऐसा व्यक्ति होना चाहिए जो रिपोर्ट भेजने के लिए अधिकृत हो।
72-घंटे की खिड़की पर DPDP-विशिष्ट विवरण के लिए, जिसमें सूचना का मसौदा शब्दांकन भी शामिल है, हमारी 72-घंटे उल्लंघन-प्रतिक्रिया मार्गदर्शिका तथा साथी लेख हमारे ब्लॉग पर 72-घंटे की उल्लंघन-सूचना योजना देखें।
क्षेत्रीय परतें: CERT-In और DPDP के ऊपर RBI, SEBI तथा IRDAI
विनियमित संस्थाएँ एक तीसरी घड़ी ढोती हैं। RBI-पर्यवेक्षित संस्थाएँ बैंकों के लिए बने RBI साइबर सुरक्षा ढाँचे तथा संबंधित निर्देशों के अंतर्गत साइबर घटनाओं की सूचना 6 घंटे के भीतर RBI को देती हैं, और RBI Digital Lending Guidelines तथा Account Aggregator ढाँचे के अंतर्गत और भी अपेक्षाएँ हैं। बाज़ार मध्यवर्ती SEBI के साइबर सुरक्षा एवं साइबर लचीलापन ढाँचे के अंतर्गत सूचना देते हैं। बीमाकर्ता IRDAI के सूचना एवं साइबर सुरक्षा दिशानिर्देशों के अंतर्गत सूचना देते हैं।
इसलिए एक विनियमित संस्था एक ही घटना पर तीन रिपोर्ट दाख़िल कर सकती है। तीन रनबुक न लिखें। एक लिखें, जिसमें एक क्षेत्रीय अनुलग्नक हो जो अतिरिक्त प्राप्तकर्ता, प्रारूप और समय-सीमा सूचीबद्ध करे। हमारी बैंकिंग क्षेत्र पोस्ट RBI परत को कवर करती है।
घटना वर्गीकरण मैट्रिक्स: पहले घंटे में तीन प्रश्न
हर घटना को पहले घंटे के भीतर तीन प्रश्नों पर परखें।
| प्रश्न | हाँ | नहीं |
|---|---|---|
| क्या इसमें व्यक्तिगत डेटा शामिल है, या प्रशंसनीय रूप से शामिल हो सकता है? | DPDP घड़ी शुरू। Data Principals और फ़ील्ड पहचानें। | 'नहीं' का आधार दर्ज करें। दायरा विकसित होने पर पुनः जाँचें। |
| क्या यह CERT-In की सूचीबद्ध घटना श्रेणी है? | CERT-In की 6-घंटे की घड़ी शुरू। | यदि यह किसी सूचीबद्ध श्रेणी की सीमा पर है, तो फिर भी सूचित करने पर विचार करें। |
| क्या संस्था किसी विनियमित क्षेत्र (RBI, SEBI, IRDAI) में है? | क्षेत्रीय घड़ी शुरू; क्षेत्रीय अनुलग्नक देखें। | कोई अतिरिक्त परत नहीं। |
परिणामी कोड घटना रिकॉर्ड के शीर्ष पर लिखें, उदाहरण के लिए 'PD-Y / CI-Y / SEC-RBI'।
व्यवहार में हम दो निर्णय-नियम लागू करते हैं। पहला, 'प्रशंसनीय रूप से शामिल' होना DPDP घड़ी चालू कर देता है: यदि व्यक्तिगत डेटा रखने वाले सर्वर तक पहुँच हुई और आप सिद्ध नहीं कर सकते कि डेटा अछूता रहा, तो उसे शामिल मानें। दूसरा, Data Processor की घटनाएँ आपकी ही घटनाएँ हैं। Data Fiduciary, Processor की परवाह किए बिना उत्तरदायी बना रहता है, इसलिए आपके पेरोल विक्रेता या क्लाउड होस्ट पर हुआ उल्लंघन आपकी घड़ी तब चालू करता है जब आपको जानकारी होती है। Processor अनुबंधों में सूचना घंटों में अपेक्षित होनी चाहिए, दिनों में नहीं; हमारा विक्रेता-उपचार लेख देखें।
एक ही रनबुक संरचना जो दोनों व्यवस्थाओं को संतुष्ट करे
एक दस्तावेज़, छह खंड, तिमाही समीक्षा।
सक्रियण और भूमिकाएँ। कौन घटना घोषित करता है, ऑन-कॉल रिपोर्टर तक 03:00 बजे कैसे पहुँचा जाता है, और नीचे दी गई RACI।
वर्गीकरण। तीन-प्रश्न मैट्रिक्स, सामान्य उदाहरणों के बजाय आपके अपने CRM, HRMS और क्लाउड टेनेंसी से लिए गए उदाहरणों के साथ।
रिपोर्टिंग पैक। CERT-In रिपोर्ट, Data Principal सूचना, Board सूचना और 72-घंटे की Board रिपोर्ट के लिए पहले से भरे टेम्पलेट, साथ में एक क्षेत्रीय अनुलग्नक। संस्था का विवरण और मानक अनुच्छेद पहले से भर दें ताकि दबाव में केवल घटना-विशिष्ट बातें ही टाइप करनी पड़ें।
संचार। ग्राहकों, कर्मचारियों, मीडिया और बोर्ड के लिए अनुमोदित होल्डिंग वक्तव्य; क़ानूनी टीम और घटना कमांडर के हस्ताक्षर के बिना कोई बाहरी वक्तव्य नहीं।
साक्ष्य और लॉगिंग। क्या और कहाँ संरक्षित करना है, प्रतिधारण CERT-In के लिए 180 दिन तथा DPDP के लिए 1 वर्ष पर पुष्ट।
समापन और सीख। मूल कारण, उपचार ट्रैकर, नियामक फ़ॉलो-अप, बीमा कार्रवाइयाँ और तिथि-अंकित सीख-प्रविष्टि।
Board की यांत्रिकी पर एक बात। Rules के अंतर्गत सूचना का सटीक प्रारूप, Board का पोर्टल और कोई भी पावती प्रक्रिया Board के सक्रिय होने के साथ परिचालन रूप लेगी। इस पृष्ठ पर भरोसा करने से पहले उन्हें हमारे Data Protection Board व्याख्याकार तथा Act और Rules एक्सप्लोरर के सामने पुनः जाँचें, और जब Board अपने प्रारूप प्रकाशित करे तो अपने रिपोर्टिंग पैक अद्यतन करें।
RACI: भारतीय उल्लंघन के दौरान कौन किस पर हस्ताक्षर करता है
हस्ताक्षर अस्पष्ट हों तो गति टूट जाती है। RACI घटना से पहले तय करें।
| सुपुर्दगी | उत्तरदायी | जवाबदेह | परामर्शित | सूचित |
|---|---|---|---|---|
| घटना घोषणा और वर्गीकरण कोड | SOC प्रमुख | घटना कमांडर (आमतौर पर CISO या CTO) | गोपनीयता प्रमुख, क़ानूनी | CEO, CFO |
| CERT-In 6-घंटे की रिपोर्ट | सुरक्षा इंजीनियर | CISO | क़ानूनी | घटना कमांडर |
| क्षेत्रीय नियामक रिपोर्ट | अनुपालन प्रमुख | मुख्य अनुपालन अधिकारी | CISO, क़ानूनी | निदेशक मंडल |
| Data Principal सूचना | गोपनीयता प्रमुख या DPO | DPO (SDF) या Section 8 के अंतर्गत नामित संपर्क | क़ानूनी, मार्केटिंग, ग्राहक सहायता | CEO |
| Board सूचना और 72-घंटे की रिपोर्ट | गोपनीयता प्रमुख | DPO या CEO | CISO, क़ानूनी | निदेशक मंडल |
| बाहरी वक्तव्य | संचार प्रमुख | CEO | क़ानूनी, घटना कमांडर | सभी कर्मचारी |
Section 10 के अंतर्गत Significant Data Fiduciaries के पास भारत में एक DPO होना चाहिए, इसलिए किसी SDF के लिए DPDP सुपुर्दगियों पर जवाबदेह भूमिका DPO की है। बाक़ी सभी के लिए, Section 8 का शिकायत संपर्क Data Principal सूचनाओं पर हस्ताक्षर करे। यदि आप निश्चित नहीं हैं कि आप SDF हैं या नहीं, तो हमारे टूल्स में मौजूद SDF Classifier एक प्रारंभिक दृष्टि देता है।
संरक्षित करने योग्य साक्ष्य, और दोनों व्यवस्थाएँ अलग-अलग चीज़ें क्यों चाहती हैं
CERT-In संकेतक और हमले की शृंखला चाहता है। Board जानना चाहता है कि व्यक्तिगत डेटा के साथ क्या हुआ और आपने कितनी तेज़ी से कार्रवाई की। दोनों के लिए संरक्षित करें।
तकनीकी साक्ष्य (CERT-In का केंद्र)। प्रभावित अवधि के फ़ायरवॉल, VPN, एंडपॉइंट और पहचान लॉग; पुनर्निर्माण से पहले ली गई डिस्क तथा मेमोरी इमेज; मैलवेयर हैश, हमलावर IP और डोमेन; NTP-समन्वयित टाइमस्टैम्प।
व्यक्तिगत डेटा साक्ष्य (DPDP का केंद्र)। उजागर हुए रिकॉर्ड और फ़ील्ड की सूची, Data Principals की संख्या से मानचित्रित; पहुँच और क्वेरी लॉग जो दिखाएँ कि क्या पढ़ा या निर्यात किया गया; टाइमस्टैम्प सहित प्रत्येक Data Principal सूचना की प्रतियाँ; दाख़िल करने के प्रमाण सहित Board को दिए गए अभ्यावेदन; हेल्पलाइन लॉग।
निर्णय साक्ष्य (दोनों)। एक टाइमस्टैम्प-युक्त निर्णय लॉग जो दर्ज करे कि घटना कब ध्यान में आई, प्रत्येक वर्गीकरण प्रश्न का उत्तर कब दिया गया, किसने किस रिपोर्ट को अनुमोदित किया और कोई रिपोर्ट दाख़िल क्यों नहीं की गई। हमारे अनुभव में नियामक उन संगठनों में अंतर करते हैं जिन्होंने अपूर्ण पर दृश्यमान ढंग से कार्रवाई की, और उनमें जो यह दिखा ही नहीं सकते कि उन्होंने क्या किया।
DPDP Rules के लॉगिंग सुरक्षा उपाय के अंतर्गत यह सब कम से कम एक वर्ष तक रखें, और यदि मुक़दमा, बीमा या कोई क्षेत्रीय नियामक अपेक्षा करे तो उससे भी अधिक समय तक।
अक्सर पूछे जाने वाले प्रश्न
क्या CERT-In का 6-घंटे का नियम बिना सुरक्षा टीम वाली छोटी कंपनी पर भी लागू होता है?
हाँ। CERT-In Directions आकार की परवाह किए बिना सभी बॉडी कॉर्पोरेट्स और सेवा प्रदाताओं पर लागू होते हैं, छोटे व्यवसाय के लिए कोई छूट नहीं है। प्रारंभिक रिपोर्ट भेजने के अधिकार वाले एक व्यक्ति को नामित करें और CERT-In फ़ॉर्म तथा संपर्क विवरण रनबुक में रखें। रिपोर्ट आंशिक हो सकती है; समय-सीमा चूकी नहीं जा सकती।
यदि हम CERT-In को सूचित कर दें, तो क्या DPDP उल्लंघन दायित्व पूरा हो गया?
नहीं। CERT-In और Data Protection Board अलग प्राधिकरण हैं, जिनके ट्रिगर और विषय-वस्तु की अपेक्षाएँ अलग हैं। CERT-In रिपोर्ट प्रभावित व्यक्तियों से कुछ नहीं कहती, जिन्हें Section 8 तथा DPDP Rules, 2025 के अंतर्गत अलग से सूचित किया जाना चाहिए। इन्हें एक ही टाइमलाइन पर दो दाख़िलों के रूप में देखें।
DPDP की 72-घंटे की घड़ी कब शुरू होती है?
Board को विस्तृत रिपोर्ट, Data Fiduciary को उल्लंघन की जानकारी होने के 72 घंटे के भीतर देनी होती है। हमारे पठन में जानकारी तब शुरू होती है जब संगठन में कोई व्यक्ति उचित रूप से यह पहचान लेता है कि व्यक्तिगत डेटा उल्लंघन हुआ है, न कि तब जब उसकी औपचारिक पुष्टि होती है। Data Principals और Board को सूचना बिना देरी दी जानी चाहिए, जो 72-घंटे की रिपोर्ट की समय-सीमा से पहले है।
क्या DPDP उल्लंघन दंड आज प्रवर्तनीय हैं?
अभी नहीं। उल्लंघन-सूचना का कर्तव्य Rules अधिसूचित होने के 18 महीने बाद, यानी मई 2027 से प्रवर्तनीय होता है। CERT-In Directions जून 2022 से प्रवर्तनीय हैं, इसलिए 6-घंटे की घड़ी अभी सक्रिय है। DPDP प्रक्रिया आज बनाएँ ताकि दंड लागू होने से पहले उसका परीक्षण हो चुका हो।
क्या हम पूरा दायरा जाने बिना Data Principals को सूचित करें?
व्यवहार में, हाँ — जैसे ही आपको पता चले कि Data Principals का एक समूह प्रभावित है, भले ही पूरी सूची अभी बन रही हो। Rules बिना देरी सूचना की अपेक्षा करते हैं, और ज्ञात Data Principals को पहले सूचित करके दायरा बढ़ने पर अद्यतन करना, निश्चितता की प्रतीक्षा करने से अधिक बचाव-योग्य है। प्रत्येक चरण का आधार निर्णय लॉग में दर्ज करें।
संबंधित व्याख्याकार
अगला क़दम
दो घड़ियाँ तब संभालने योग्य होती हैं जब रनबुक, टेम्पलेट और RACI घटना से पहले मौजूद हों। मिली-जुली टाइमलाइन, वर्गीकरण मैट्रिक्स और रिपोर्टिंग पैक सहित उल्लंघन रनबुक टेम्पलेट हमारे DPDP Starter Templates से डाउनलोड करें और इसी तिमाही में उसे अपने अनुरूप ढालें।