ডেটা প্রক্রিয়াকরণ চুক্তি

1. বিষয়বস্তু, মেয়াদ, প্রকৃতি ও উদ্দেশ্য

বিষয়বস্তু: ব্যবহারের শর্তাবলি অনুযায়ী সেবা প্রদান। মেয়াদ: সাবস্ক্রিপশন, এবং ডেটা ফেরত দিতে ও মুছে ফেলতে প্রয়োজনীয় সময়। প্রকৃতি ও উদ্দেশ্য: গ্রাহকের বিষয়বস্তু হোস্ট করা, তাতে অনুসন্ধান করা ও তা প্রেরণ করা, যাতে সদস্যরা ডেটা নিয়ন্ত্রকের বেছে নেওয়া একটি এআই মডেল দিয়ে আইন নিয়ে গবেষণা করতে পারেন।

ডেটা-বিষয় ব্যক্তিদের (data subjects) শ্রেণি: ডেটা নিয়ন্ত্রকের সদস্যরা, এবং সদস্যদের দেওয়া বিষয়বস্তুতে নাম-উল্লিখিত যেকোনো ব্যক্তি। ব্যক্তিগত ডেটার ধরন: সদস্যরা যা-ই দেন; সেবাটি বিশেষ শ্রেণির ডেটা (অনুচ্ছেদ 9) বা ফৌজদারি অপরাধ-সংক্রান্ত ডেটার (অনুচ্ছেদ 10) জন্য তৈরি নয়, এবং সেগুলি দেওয়া হবে কি না তা ডেটা নিয়ন্ত্রক ঠিক করেন।

2. নির্দেশনা

আমরা গ্রাহকের ব্যক্তিগত ডেটা কেবল ডেটা নিয়ন্ত্রকের লিখিত নির্দেশনা অনুযায়ী প্রক্রিয়া করি, অর্থাৎ শর্তাবলি, এই চুক্তি এবং ডেটা নিয়ন্ত্রক অ্যাপে যে সেটিংস বেছে নেন, তা অনুযায়ী, যদি না ইউরোপীয় ইউনিয়ন বা সদস্য রাষ্ট্রের আইন অন্যথা চায়; সেক্ষেত্রে আইনে নিষেধ না থাকলে আমরা আগে ডেটা নিয়ন্ত্রককে জানাই। কোনো নির্দেশনা ডেটা সুরক্ষা আইন লঙ্ঘন করে বলে মনে হলে আমরা ডেটা নিয়ন্ত্রককে জানাই।

3. গোপনীয়তা

গ্রাহকের ব্যক্তিগত ডেটা প্রক্রিয়া করার জন্য অনুমোদিত প্রত্যেকে গোপনীয়তার বাধ্যবাধকতায় আবদ্ধ।

4. নিরাপত্তা ব্যবস্থা

• ইউরোপীয় ইউনিয়নে হোস্টিং (Hetzner, নুরেমবার্গ, জার্মানি); স্থানান্তরকালে এনক্রিপশন। ব্যাকআপ আমাদের সার্ভারে রাখা হয়; অফ-সাইট কপি, তৈরি হলে, এনক্রিপ্টেড।
• ডেটা নিয়ন্ত্রক ট্রান্সক্রিপ্ট চালু না করলে প্রশ্ন বা উত্তরের পাঠ্য সংরক্ষণ করা হয় না; ট্রান্সক্রিপ্ট প্রতিষ্ঠানের নির্দিষ্ট একটি কী দিয়ে এনক্রিপ্ট করা হয়।
• এআই সরবরাহকারীর কী সংরক্ষণের সময় সিল করা হয়; পরে অ্যাপ কেবল তাদের শেষ চারটি অক্ষর দেখায়।
• প্রতিষ্ঠানের ভেতরে ভূমিকা-ভিত্তিক প্রবেশাধিকার; পাসকি ও দ্বিতীয় ফ্যাক্টর সমর্থিত; প্রতিষ্ঠান তার ইমেইল ডোমেইন প্রমাণ করার পর প্রতিষ্ঠানের নিজস্ব আইডেন্টিটি সরবরাহকারীর (Microsoft Entra ID, Google, Okta বা যেকোনো OpenID Connect সরবরাহকারী) মাধ্যমে প্রতিষ্ঠান-স্তরের সিঙ্গল সাইন-অন।
• স্বাক্ষরিত এক্সপোর্টসহ কেবল-যোগ-করা-যায় এমন অডিট লগ।
• আমাদের কর্মীরা স্টাফ কনসোলের মাধ্যমে কাজ করেন। এর জন্য দ্বিতীয় ফ্যাক্টরসহ একটি স্টাফ অ্যাকাউন্ট এবং শেষ ১২ ঘণ্টার মধ্যে করা একটি লগইন লাগে। কর্মীরা কোনো প্রতিষ্ঠানে যে প্রতিটি পরিবর্তন করেন তার জন্য একটি কারণ লাগে এবং তা সেই প্রতিষ্ঠানের নিজস্ব অডিট লগে রেকর্ড হয়। কর্মীদের প্রবেশাধিকার দেওয়া বা সরানো আমাদের নিজস্ব অডিট লগে রেকর্ড হয়। মূল্য বদলানো, ইনভয়েস ইস্যু বা পরিশোধ করা, ভ্যাট নম্বর যাচাই রেকর্ড করা বা সার্ভারের নিজস্ব কমান্ড লাইন থেকে সংরক্ষণকাল বদলানোর জন্যও অপারেটরের নাম ও একটি কারণ লাগে। সহায়তা দল কোনো প্রতিষ্ঠানকে একজন সদস্য হিসেবে, শুধু পড়ার জন্য, সর্বোচ্চ ৩০ মিনিট দেখতে পারে; তাও প্রতিষ্ঠানের লগে রেকর্ড হয়। ব্যক্তিগত ডেটা লঙ্ঘনের ঘটনা সহায়তা অংশে বর্ণিত পদ্ধতিতে সামলানো হয়।

5. উপ-প্রক্রিয়াকারী

ডেটা নিয়ন্ত্রক উপ-প্রক্রিয়াকারীর তালিকায় থাকা উপ-প্রক্রিয়াকারীদের জন্য সাধারণ অনুমোদন দেন। কোনো সংযোজন বা প্রতিস্থাপনের কথা আমরা অন্তত ৩০ দিন আগে ইমেইলে এবং ওই পৃষ্ঠায় জানাই; ডেটা নিয়ন্ত্রক যুক্তিসঙ্গত ডেটা সুরক্ষার কারণে আপত্তি করতে পারেন এবং আমরা আপত্তিটি মেটাতে না পারলে আনুপাতিক ফেরতসহ প্রভাবিত সেবাটি শেষ করতে পারেন। প্রতিটি উপ-প্রক্রিয়াকারী এগুলির সমতুল্য ডেটা সুরক্ষা বাধ্যবাধকতায় আবদ্ধ, এবং তার দায় আমাদেরই থাকে।

ডেটা নিয়ন্ত্রক যে এআই সরবরাহকারী সংযুক্ত করেন, তাকে ডেটা নিয়ন্ত্রক নিযুক্ত করেন, তার সঙ্গে নিজের চুক্তির অধীনে, এবং সে আমাদের উপ-প্রক্রিয়াকারী নয়।

6. সহায়তা

আমরা ডেটা নিয়ন্ত্রককে ডেটা-বিষয় ব্যক্তিদের অনুরোধের উত্তর দিতে সাহায্য করি — অ্যাপের এক্সপোর্ট ও মুছে ফেলার ফাংশন বেশির ভাগই কভার করে — এবং নিরাপত্তা, লঙ্ঘনের বিজ্ঞপ্তি, প্রভাব-মূল্যায়ন ও পূর্ব-পরামর্শে সাহায্য করি, আমরা যা জানতে পারি তা বিবেচনায় রেখে। ব্যক্তিগত ডেটা লঙ্ঘনের কথা আমরা অযথা বিলম্ব ছাড়া ডেটা নিয়ন্ত্রককে জানাই, এবং তা জানতে পারার ৪৮ ঘণ্টার মধ্যে জানানোর লক্ষ্য রাখি।

7. ফেরত দেওয়া ও মুছে ফেলা

আপনার প্রতিষ্ঠান খোলা থাকাকালে ডেটা নিয়ন্ত্রক যেকোনো সময় নিজের ডেটা এক্সপোর্ট করতে পারেন। এটি বন্ধ হলে আমাদের কাছে থাকা গ্রাহকের ব্যক্তিগত ডেটা আমরা ৩০ দিন পরে মুছে ফেলি, ব্যাকআপ থেকেও, সেগুলি আবর্তিত হওয়ার সঙ্গে সঙ্গে, যদি না আইন আমাদের তা রাখতে বাধ্য করে।

8. তথ্য ও নিরীক্ষা

অনুচ্ছেদ 28 মেনে চলার প্রমাণ দিতে যে তথ্য দরকার তা আমরা সহজলভ্য করি, এবং ডেটা নিয়ন্ত্রক বা তাঁর নিযুক্ত কোনো নিরীক্ষকের নিরীক্ষা অনুমোদন করি, যুক্তিসঙ্গত নোটিসে এবং বছরে সর্বোচ্চ একবার, যদি না কোনো লঙ্ঘন বা কোনো কর্তৃপক্ষ অন্যরকম চায়। আমাদের এখনও কোনো নিরাপত্তা সার্টিফিকেশন নেই, এবং কোনো স্বাধীন পেনিট্রেশন টেস্টও নেই; আমাদের থাকলে তা তারিখসহ এখানে তালিকাভুক্ত হবে।