1. দায়িত্বে কে
এখানে বর্ণিত ব্যক্তিগত ডেটার ডেটা নিয়ন্ত্রক (controller) হলো Dober Security ApS, Silkeborgvej 43, 1., 8000 Aarhus C, Denmark, CVR 46829034। এই নীতির যেকোনো বিষয়ে privacy@gelex.eu-এ লিখুন।
ডেটা সুরক্ষা কর্মকর্তা। আমাদের কর্পাসে আদালতের রায় আছে, যার কিছু ফৌজদারি অপরাধ সম্পর্কিত (GDPR-এর অনুচ্ছেদ 10)। সেগুলি বড় আকারে প্রকাশ করা আমাদের মূল কাজ, তাই আমরা অনুচ্ছেদ 37(1)(c)-কে ডেটা সুরক্ষা কর্মকর্তা নিয়োগের শর্ত হিসেবে গণ্য করি। আমরা একজন কর্মকর্তা নিয়োগের প্রক্রিয়ায় আছি; তাঁর নাম ও যোগাযোগের তথ্য এখানে প্রকাশ করা হবে। ততদিন privacy@gelex.eu ডেটা সুরক্ষার দায়িত্বপ্রাপ্ত ব্যক্তির কাছে পৌঁছায়।
আপনার প্রতিষ্ঠান যখন Gelex ব্যবহার করে, তখন এর সদস্যরা সেবাটিতে যে প্রশ্ন, নথি, কেস, খসড়া ও ট্রান্সক্রিপ্ট দেন, তা প্রতিষ্ঠানের পক্ষে প্রক্রিয়া করা হয়। সেগুলির ক্ষেত্রে প্রতিষ্ঠান ডেটা নিয়ন্ত্রক এবং আমরা তার ডেটা প্রক্রিয়াকারী, ডেটা প্রক্রিয়াকরণ চুক্তি অনুযায়ী।
আমরা যেসব আদালতের রায় প্রকাশ করি তাতে নাম-উল্লিখিত ব্যক্তিদের জন্য: দেখুন আলাদা রায়ে ব্যক্তিগত ডেটা সম্পর্কিত বিজ্ঞপ্তি।
2. আমরা কী প্রক্রিয়া করি, কেন, এবং কোন ভিত্তিতে
| ডেটা | কেন | আইনি ভিত্তি |
|---|---|---|
| অ্যাকাউন্ট: নাম, ইমেইল, ভাষা, প্রতিষ্ঠান ও ভূমিকা, এবং আপনার লগইন পদ্ধতি (পাসকি, পাসওয়ার্ডের হ্যাশ, অথেনটিকেটর অ্যাপ) | আপনাকে একটি অ্যাকাউন্ট দিতে এবং নিরাপদে লগইন করাতে | চুক্তি, অনুচ্ছেদ 6(1)(b) |
| Google বা Microsoft দিয়ে লগইন, আপনি তা বেছে নিলে: আপনার নাম, ইমেইল ঠিকানা এবং সেই সরবরাহকারীর অ্যাকাউন্ট শনাক্তকারী | আপনাকে লগইন করাতে। আর কিছুর জন্য ব্যবহার হয় না। | চুক্তি, অনুচ্ছেদ 6(1)(b) |
| প্রতিটি অনুরোধের ব্যবহার-মেটাডেটা: কে, কখন, কোন ধরনের টুল, কর্পাসের কোন নথি পড়া হয়েছে, এখতিয়ার, সময়, টোকেনের সংখ্যা, ফলাফল | আপনার প্ল্যানের বিপরীতে ব্যবহার গণনা করতে, সেবা চালাতে, এবং আপনার প্রতিষ্ঠানকে তার ব্যবহার দেখাতে | চুক্তি, অনুচ্ছেদ 6(1)(b) |
| অডিট লগ: নিরাপত্তা-সংশ্লিষ্ট ঘটনা (সদস্যপদ, ভূমিকা ও কী-এর পরিবর্তন, পাঠ্য ছাড়া “একটি প্রশ্ন করা হয়েছে”, কর্মীদের সহায়তা-প্রবেশ), হ্যাশ করা IP ঠিকানাসহ | সেবা এবং আপনার প্রতিষ্ঠানের অ্যাকাউন্ট নিরাপদ ও জবাবদিহিমূলক রাখতে | নিরাপত্তায় বৈধ স্বার্থ, অনুচ্ছেদ 6(1)(f) |
| বিলিং: প্রতিষ্ঠানের নাম, বিলিং ঠিকানা, ভ্যাট নম্বর ও ইউরোপীয় ইউনিয়নের VIES নিবন্ধনের সঙ্গে তার যাচাই, ইনভয়েস, এবং বিলিং দেশ ঠিক হওয়ার আগে শেষ হয়ে যাওয়া কোনো ব্যবহার-মেয়াদের জন্য পাওনা অতিরিক্ত ব্যবহারের ফি | পেইড প্ল্যানের মূল্য আদায় করতে, ভ্যাট সঠিকভাবে প্রয়োগ করতে এবং হিসাব রাখতে | চুক্তি ও আইনি বাধ্যবাধকতা, অনুচ্ছেদ 6(1)(b) ও (c) |
| রেফারেল: কে কোন প্রতিষ্ঠানকে রেফার করেছে, এবং সেটি অর্থপ্রদানকারী গ্রাহক হয়েছে কি না | রেফারেল ক্রেডিট দিতে | চুক্তি, অনুচ্ছেদ 6(1)(b) |
| কোটেশনের অনুরোধ: নাম, ইমেইল, প্রতিষ্ঠান ও আপনার বার্তা | উত্তর দিতে ও প্রস্তাব তৈরি করতে | চুক্তির আগের পদক্ষেপ, অনুচ্ছেদ 6(1)(b) |
| বাতিল ও প্রত্যাহারের অনুরোধ (ভোক্তা) | সেগুলি কার্যকর করতে এবং আমরা যে তা করেছি তা প্রমাণ করতে | আইনি বাধ্যবাধকতা, অনুচ্ছেদ 6(1)(c) |
| বিষয়বস্তু সম্পর্কে নোটিস (অপসারণ বা সংশোধনের অনুরোধ, আপত্তি): নোটিসদাতার নাম, ইমেইল ও বিবৃতি | নোটিসটি দেখতে ও তার উত্তর দিতে, যেমনটি ডিজিটাল সার্ভিসেস অ্যাক্ট চায় | আইনি বাধ্যবাধকতা, অনুচ্ছেদ 6(1)(c) |
| আপনি আমাদের যে ইমেইল পাঠান | আপনাকে উত্তর দিতে | বৈধ স্বার্থ, অনুচ্ছেদ 6(1)(f) |
| গ্রাহকের বিষয়বস্তু: ট্রান্সক্রিপ্ট (শুধু আপনার প্রতিষ্ঠান চালু করলে), কেস, খসড়া, আপলোড করা নথি, খসড়ার ওপর ইলেকট্রনিক স্বাক্ষর, স্বাক্ষরের জন্য পাঠানো নথি ও প্রত্যেক স্বাক্ষরকারীর নাম, ইমেইল ঠিকানা, উত্তর এবং যে নেটওয়ার্ক ঠিকানা থেকে স্বাক্ষর করেছেন তা, প্রতিষ্ঠানের নিজস্ব টেমপ্লেট এবং কে সেগুলি লিখেছেন ও অনুমোদন করেছেন, কোনো কেস সম্পর্কে আইনের কোন পরিবর্তন কোন সদস্যকে ইমেইল করা হয়েছে, এবং কোনো কেসে ব্যক্তির নামের স্থানধারকগুলিকে সেই নামগুলির সঙ্গে যুক্ত করা কী, যা এআই থেকে আলাদা রাখা হয় | আপনার প্রতিষ্ঠান যেসব ফিচার ব্যবহার করে সেগুলি দিতে | ডেটা প্রক্রিয়াকরণ চুক্তি অনুযায়ী আপনার প্রতিষ্ঠানের জন্য প্রক্রিয়া করা হয় |
আমরা যা সংরক্ষণ করি না। আপনার প্রতিষ্ঠান ট্রান্সক্রিপ্ট চালু না করলে আমরা কোনো প্রশ্ন বা উত্তরের পাঠ্য কখনও সংরক্ষণ করি না। সংযুক্ত এআই মডেল উত্তর দিতে যা দরকার সেই প্রশ্ন ও উৎস-পাঠ্য পায়; আমরা কেবল ওপরের মেটাডেটা রাখি।
আমরা আপনার ডেটা দিয়ে এআই মডেল প্রশিক্ষণ দিই না। আমাদের নিজস্ব কোনো এআই মডেল নেই। উত্তর আসে আপনার প্রতিষ্ঠান যে মডেল সংযুক্ত করে তা থেকে।
Google ও Microsoft ব্যবহারকারীর ডেটা। আপনি Google বা Microsoft দিয়ে লগইন করলে আমরা কেবল ওপরের টেবিলের সারিতে থাকা ডেটাই পাই। আমরা তা শুধু আপনার অ্যাকাউন্ট তৈরি ও লগইন করাতে ব্যবহার করি। আমরা তা শেয়ার করি না, বিজ্ঞাপনে ব্যবহার করি না, বা মডেল প্রশিক্ষণে ব্যবহার করি না। Google ও Microsoft নিজেদের লগইনের জন্য স্বাধীন ডেটা নিয়ন্ত্রক হিসেবে কাজ করে।
3. আপনার সংযুক্ত এআই
কোন এআই মডেল উত্তর দেবে তা আপনি বেছে নেন। আপনি API কী দিয়ে একটি সংযুক্ত করলে আপনার প্রশ্ন ও উৎস-পাঠ্য সেই সরবরাহকারীর সঙ্গে আপনার নিজের চুক্তির অধীনে তার কাছে পাঠানো হয়। সরবরাহকারী আপনার প্রক্রিয়াকারী, আমাদের নয়, এবং তার নিজস্ব গোপনীয়তা শর্তাবলি প্রযোজ্য। আপনি নিজের সহকারীর ভেতরে আমাদের MCP কানেক্টর ব্যবহার করলে, সেই সহকারীর সরবরাহকারী তার শর্ত অনুযায়ী আপনি সেখানে যা লেখেন তা পায়। দেখুন এআই স্বচ্ছতা।
4. ডেটা কারা পায়
অল্প কয়েকটি প্রক্রিয়াকারী আমাদের সেবা চালাতে সাহায্য করে। তাদের অবস্থানসহ তালিকা উপ-প্রক্রিয়াকারী পৃষ্ঠায় আছে। আমরা ব্যক্তিগত ডেটা বিক্রি করি না এবং বিজ্ঞাপনের জন্য শেয়ার করি না। আইনে বাধ্য হলেই কেবল আমরা কর্তৃপক্ষের কাছে ডেটা প্রকাশ করি।
আমাদের কর্মীরা। কর্মীরা দ্বিতীয় ফ্যাক্টর দিয়ে লগইন করার পরই কেবল স্টাফ কনসোলে কোনো প্রতিষ্ঠানের অ্যাকাউন্ট খুলতে পারেন। সহায়তার কোনো ঘটনায় সাহায্য করতে একজন কর্মী আপনার সদস্যদের একজনের মতো করে সেবাটি দেখতে পারেন। সেই দেখা শুধু পড়ার জন্য, ডিফল্টে ১৫ মিনিট ও সর্বোচ্চ ৩০ মিনিট স্থায়ী হয়, একটি উল্লেখিত কারণ লাগে, এবং আপনার প্রতিষ্ঠানের নিজস্ব অডিট লগে তা রেকর্ড হয়।
5. ডেটা কোথায় সংরক্ষিত থাকে
সেবা ও তার সার্ভার-ব্যাকআপ জার্মানির নুরেমবার্গে অবস্থিত ডেটা সেন্টারে Hetzner হোস্ট করে; অফ-সাইট ব্যাকআপ কপি চালু হলে তার অবস্থান এখানে জানানো হবে। লেনদেন-সংক্রান্ত ইমেইল পাঠানো হয় সুইস কোম্পানি Migadu-র মাধ্যমে। ইউরোপীয় কমিশন সুইজারল্যান্ডকে পর্যাপ্ত সুরক্ষা প্রদানকারী হিসেবে স্বীকৃতি দিয়েছে। আমরা যুক্তরাষ্ট্রের মালিকানাধীন কোনো ক্লাউড সরবরাহকারী ব্যবহার করি না, এবং এমন সিদ্ধান্ত আছে এমন দেশ ছাড়া আমরা ইউরোপীয় ইউনিয়ন/ইউরোপীয় অর্থনৈতিক অঞ্চলের বাইরে ব্যক্তিগত ডেটা স্থানান্তর করি না।
6. আমরা কত দিন রাখি
- প্রশ্ন, উত্তর ও উৎস-পাঠ্য: আপনার প্রতিষ্ঠান ট্রান্সক্রিপ্ট চালু না করলে কখনও সংরক্ষিত হয় না, ডেটাবেসেও না, লগেও না।
- ট্রান্সক্রিপ্ট: কেবল যতক্ষণ আপনার প্রতিষ্ঠানে সেগুলি চালু থাকে। প্রতিষ্ঠান যে মেয়াদ ঠিক করে ততদিন সেগুলি রাখা হয়, তারপর মুছে ফেলা হয়; কোনো মেয়াদ ঠিক না করলে প্রতিষ্ঠান বা আপনি মুছে না ফেলা পর্যন্ত থাকে। ট্রান্সক্রিপ্ট বন্ধ করলে নতুনগুলি আর সংরক্ষিত হয় না; আগেরগুলি তাদের মেয়াদ শেষ না হওয়া বা মুছে ফেলা না হওয়া পর্যন্ত থাকে।
- অ্যাকাউন্ট ডেটা: অ্যাকাউন্ট যতদিন থাকে। আপনার অ্যাকাউন্ট মুছলে আপনার লগইন মুছে যায়, এবং ব্যবহার ও অডিট রেকর্ডে যা অবশিষ্ট থাকে তা ছদ্মনামযুক্ত (pseudonymised) করা হয়।
- এআই সরবরাহকারীর কী: সংযোগ বা প্রতিষ্ঠান সরানো হলে মুছে ফেলা হয়; বদলে ফেলা কী তখনই মুছে ফেলা হয়।
- ডেটা এক্সপোর্ট: আপনি চাইলে তৈরি হয়, এবং কখনও সংরক্ষিত হয় না।
- ব্যবহার-মেটাডেটা: ২৪ মাস।
- বন্ধ হওয়া প্রতিষ্ঠান: প্রতিষ্ঠান বন্ধ হওয়ার ৩০ দিন পরে এর বিষয়বস্তু (কেস, খসড়া, নথি, ট্রান্সক্রিপ্ট, আমন্ত্রণ, সেশন ও সদস্য-সংযোগ) মুছে ফেলা হয়। যে সদস্য অন্য কোনো প্রতিষ্ঠানের নন, তাঁর অ্যাকাউন্টও মুছে ফেলা হয়: তাঁর নাম, ইমেইল ও লগইন। এর ইনভয়েস ও অডিট লগ এখানে যেমন বলা আছে তেমন থাকে।
- অডিট লগ: প্রতিষ্ঠান বন্ধ হওয়ার ৫ বছর পরে। অ্যাকাউন্টে কী ঘটেছিল তা প্রমাণ করতে এটি রাখা হয়, এবং প্রতিষ্ঠানের বাকি ডেটার সঙ্গে মুছে ফেলা হয় না।
- অসমাপ্ত লগইন চেষ্টা: ২৪ ঘণ্টা। অ্যাপে ফেরার ঠিকানা ছাড়া এগুলিতে কোনো ব্যক্তিগত ডেটা থাকে না।
- মেয়াদোত্তীর্ণ সেশন ও আমন্ত্রণ: ৯০ দিন।
- কোটেশনের অনুরোধ: ২ বছর। বিষয়বস্তু সম্পর্কিত নোটিস: সিদ্ধান্তের ৩ বছর পরে। ভোক্তার বাতিল ও প্রত্যাহারের অনুরোধ: ৫ বছর।
- সার্ভার লগ: ৩০ দিন। এগুলিতে কখনও প্রশ্নের পাঠ্য থাকে না, এবং ওয়েব সার্ভার কোনো অ্যাক্সেস লগ রাখে না।
- ইনভয়েস: আর্থিক বছর শেষ হওয়ার ৫ বছর পরে, যেমনটি ডেনিশ হিসাবরক্ষণ আইন চায়।
- কোম্পানির নামে পাঠানো চিঠি: যে ঠিকানায় গিয়েছিল, তার বিষয় ও পাঠ্য, এবং কেন পাঠানো হয়েছিল, তা আমাদের আউটবক্সে পাঠানো, প্রত্যাখ্যাত বা ব্যর্থ হওয়ার ২ বছর পর্যন্ত রাখা হয়; আমাদের ইমেইল সরবরাহকারী তার নিজস্ব নীতি অনুযায়ী ডেলিভারি লগ রাখে।
- ব্যাকআপ: দৈনিক ব্যাকআপ ৩০ দিন এবং মাসের শেষের ব্যাকআপ ১২ মাস রাখা হয়। তাই সেবা থেকে মুছে ফেলা ডেটা সর্বোচ্চ ১২ মাসের মধ্যে ব্যাকআপ থেকে চলে যায়। ব্যাকআপ জার্মানিতে আমাদের সার্ভারে রাখা হয় এবং শুধু সেবা পুনরুদ্ধারের জন্য ফিরিয়ে আনা হয়; অফ-সাইট কপি, তৈরি হলে, এনক্রিপ্টেড।
7. আপনার অধিকার
আপনার ডেটা দেখার, সংশোধন বা মুছে ফেলানোর, প্রক্রিয়াকরণ সীমিত করার বা তাতে আপত্তি করার, এবং বহনযোগ্য ফরম্যাটে তা পাওয়ার অধিকার আছে। এর দুটি আপনি নিজেই অ্যাপে করতে পারেন, সেটিংস → আপনার ডেটা-তে: আপনার ডেটা ডাউনলোড করুন এবং আপনার অ্যাকাউন্ট মুছুন। অন্য সবকিছুর জন্য privacy@gelex.eu-এ লিখুন। আমরা এক মাসের মধ্যে উত্তর দিই।
যেখানে আমরা বৈধ স্বার্থের ওপর নির্ভর করি, সেখানে আপনি যেকোনো সময় আপত্তি করতে পারেন। আপনি ডেনিশ ডেটা সুরক্ষা সংস্থার (Datatilsynet, datatilsynet.dk) কাছে বা আপনি যেখানে বাস করেন সেখানকার কর্তৃপক্ষের কাছে অভিযোগ করতে পারেন।
8. আপনাকে কি আমাদের ডেটা দিতেই হবে?
একটি অ্যাকাউন্টের জন্য নাম ও ইমেইল ঠিকানা লাগে; এগুলি ছাড়া আমরা সেবাটি দিতে পারি না। পেইড প্ল্যানের জন্য বিলিং ডেটা আইনত প্রয়োজন। কেবল স্বয়ংক্রিয় প্রক্রিয়াকরণের ওপর ভিত্তি করে আইনগত বা অনুরূপ গুরুতর প্রভাব ফেলে এমন কোনো সিদ্ধান্ত আমরা আপনার সম্পর্কে নিই না।
9. নিরাপত্তা
লগইনে পাসকি ও অথেনটিকেটর অ্যাপ সমর্থিত। সংযোগগুলি এনক্রিপ্টেড। আপনার প্রতিষ্ঠান যে এআই সরবরাহকারীর কী সংরক্ষণ করে তা এনক্রিপ্টেড এবং আর কখনও দেখানো হয় না। ট্রান্সক্রিপ্ট আপনার প্রতিষ্ঠানের নির্দিষ্ট একটি কী দিয়ে এনক্রিপ্ট করা হয়। অডিট লগে কেবল যোগ করা যায়, এবং তার এক্সপোর্ট স্বাক্ষরিত, যাতে তা যাচাই করা যায়। কোনো দুর্বলতা জানাতে security@gelex.eu-এ লিখুন (দেখুন আমাদের প্রকাশ নীতি)।
10. পরিবর্তন
আমরা যা করি তা বদলালে এই নীতি হালনাগাদ করি, এবং কোনো গুরুতর পরিবর্তন কার্যকর হওয়ার আগে অ্যাকাউন্টধারীদের ইমেইলে জানাই।
পরিবর্তনের তালিকা
- , সংস্করণ 1: প্রথম সংস্করণ।