ডেটা প্রসেসিং চুক্তি

এই ডেটা প্রসেসিং চুক্তি ("DPA") গ্রাহক (যে ব্যবসা LetsBot-এ সাবস্ক্রাইব করে, "আপনি") এবং BOT FOR DIGITAL SOLUTIONS LIMITED-এর মধ্যকার শর্তাবলি-র অংশ; উক্ত কোম্পানিটি ইংল্যান্ড ও ওয়েলসে 15477940 নম্বরে নিবন্ধিত, ঠিকানা 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom ("LetsBot", "আমরা", "আমাদের")।

শর্তাবলি গ্রহণ করার মাধ্যমে আপনি এই DPA-তেও সম্মত হন, যার মধ্যে পরিশিষ্ট IV থেকে VI-এ রেফারেন্সের মাধ্যমে অন্তর্ভুক্ত ট্রান্সফার ধারাগুলোও রয়েছে। গ্রহণের মুহূর্ত থেকেই, কোনো গ্রাহকের ব্যক্তিগত ডেটা ট্রান্সফার হওয়ার আগেই, এগুলো প্রত্যেক গ্রাহকের ক্ষেত্রে স্বয়ংক্রিয়ভাবে প্রযোজ্য হয়, এবং কোনো স্বাক্ষরের প্রয়োজন নেই।

স্বাক্ষরিত কপি ও বিশেষ ডকুমেন্ট। support@letsbot.net-এ অনুরোধ করলে আমরা আমাদের প্রতিস্বাক্ষরিত এই DPA-র একটি কপি, অথবা আপনার প্রতিষ্ঠানের প্রয়োজনীয় কোনো বিশেষ চুক্তি বা ডকুমেন্ট, যেমন পূরণ করা ট্রান্সফার ধারার একটি সেট, প্রদান করব।

অগ্রাধিকারের ক্রম। কোনো বিরোধ দেখা দিলে প্রথমে পরিশিষ্ট IV থেকে VI-এর ট্রান্সফার ধারা, তারপর এই DPA, তারপর শর্তাবলি প্রাধান্য পাবে।

ভাষা। এই DPA-র ইংরেজি সংস্করণই প্রযোজ্য; আরবি সংস্করণ শুধু সুবিধার জন্য দেওয়া হয়েছে। ব্রাজিলের ANPD স্ট্যান্ডার্ড ধারাগুলোর ক্ষেত্রে অফিসিয়াল পর্তুগিজ টেক্সট প্রযোজ্য।

• গ্রাহকের ব্যক্তিগত ডেটা: সার্ভিস প্রদানের সময় আমরা আপনার পক্ষে যে ব্যক্তিগত ডেটা প্রসেস করি, যার মধ্যে আপনার কন্টাক্টদের তথ্য, মেসেজ, মিডিয়া ও অর্ডার অন্তর্ভুক্ত। বিস্তারিত পরিশিষ্ট I-এ রয়েছে।
• সাব-প্রসেসর: গ্রাহকের ব্যক্তিগত ডেটা প্রসেস করার জন্য আমরা যে কোনো তৃতীয় পক্ষকে নিয়োগ করি।
• ব্যক্তিগত ডেটা লঙ্ঘন: নিরাপত্তার এমন কোনো লঙ্ঘন, যার ফলে গ্রাহকের ব্যক্তিগত ডেটা দুর্ঘটনাবশত বা বেআইনিভাবে ধ্বংস, হারানো, পরিবর্তিত, অননুমোদিতভাবে প্রকাশিত বা অ্যাক্সেস করা হয়।
• ডেটা সুরক্ষা আইন: প্রসেসিংয়ের ক্ষেত্রে প্রযোজ্য আইনসমূহ, যার মধ্যে রয়েছে EU GDPR, UK GDPR ও Data Protection Act 2018, সৌদি ব্যক্তিগত ডেটা সুরক্ষা আইন ও এর প্রবিধানসমূহ, ব্রাজিলের LGPD, এবং মিশরের 2020 সালের 151 নম্বর আইন ও এর নির্বাহী প্রবিধান।
• "নিয়ন্ত্রক" (controller), "প্রসেসর" (processor), "ডেটা সাবজেক্ট" ও "প্রসেসিং" শব্দগুলো ডেটা সুরক্ষা আইনে প্রদত্ত অর্থ বহন করে। LGPD অনুযায়ী "প্রসেসর"-এর মধ্যে "operador"-ও অন্তর্ভুক্ত।

1. আপনি গ্রাহকের ব্যক্তিগত ডেটার নিয়ন্ত্রক (অথবা অন্য কোনো নিয়ন্ত্রকের পক্ষে কাজ করা প্রসেসর), এবং আমরা প্রসেসর।
2. আমরা গ্রাহকের ব্যক্তিগত ডেটা কেবল আপনার লিখিত নির্দেশনা অনুযায়ী প্রসেস করি, অন্য দেশে ট্রান্সফারের ক্ষেত্রেও। আপনার নির্দেশনা হলো শর্তাবলি, এই DPA, প্যানেলে আপনার বেছে নেওয়া সেটিংস (যেমন চ্যানেল, ইন্টিগ্রেশন, AI ফিচার ও ডেটা সংরক্ষণের সময়সীমা), এবং আমাদের সম্মত অন্য যেকোনো লিখিত নির্দেশনা।
3. কোনো আইন যদি আমাদের আপনার নির্দেশনার বাইরে গ্রাহকের ব্যক্তিগত ডেটা প্রসেস করতে বাধ্য করে, তবে তা করার আগে আমরা আপনাকে জানাব, যদি না সেই আইন তা নিষিদ্ধ করে।
4. কোনো নির্দেশনা ডেটা সুরক্ষা আইন লঙ্ঘন করে বলে আমরা মনে করলে অবিলম্বে আপনাকে জানাব।
5. ডেটা আইনসম্মতভাবে সংগ্রহ করা এবং আপনার কন্টাক্টদের মেসেজ পাঠানোর জন্য আইনসম্মত ভিত্তি থাকা, Meta বা আইন যে সম্মতি দাবি করে তা-সহ, আপনার দায়িত্ব।
6. আমরা গ্রাহকের ব্যক্তিগত ডেটা আমাদের নিজস্ব উদ্দেশ্যে ব্যবহার করি না, বিক্রি করি না, এবং AI মডেল ট্রেনিংয়ে ব্যবহার করি না।

সার্ভিস প্রদান, সাপোর্ট বা সুরক্ষার জন্য যাদের অ্যাক্সেস প্রয়োজন, কেবল সেই কর্মী ও ঠিকাদাররাই গ্রাহকের ব্যক্তিগত ডেটা অ্যাক্সেস করতে পারেন, এবং তাঁরা সবাই এর গোপনীয়তা রক্ষায় বাধ্য।

যাঁদের গ্রাহকের ব্যক্তিগত ডেটায় অ্যাক্সেস আছে, তাঁরা প্রধানত মিশরে কাজ করেন, আমাদের সহযোগী প্রতিষ্ঠান Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م)-এর মাধ্যমে, আমাদের নির্দেশনা অনুযায়ী এবং এই DPA-র চেয়ে কম সুরক্ষামূলক নয় এমন শর্তে।

আমরা পরিশিষ্ট II-এর প্রযুক্তিগত ও সাংগঠনিক ব্যবস্থাগুলো প্রয়োগ করি, নিয়মিত সেগুলো পর্যালোচনা করি, এবং আপনার সাবস্ক্রিপশন চলাকালে সুরক্ষার সামগ্রিক মাত্রা কমাব না।

এছাড়াও আমরা প্রতিশ্রুতিবদ্ধ:

• ওয়ার্কস্পেস ডেটাবেসের এনক্রিপ্টেড ব্যাকআপ: পেইড, ট্রায়াল ও কমপ্লিমেন্টারি ওয়ার্কস্পেসের জন্য প্রতি রাতে, এবং অন্যান্য ওয়ার্কস্পেসের জন্য 10 দিনের আবর্তনে, সঙ্গে কেন্দ্রীয় অ্যাকাউন্ট ডেটাবেসের দৈনিক ব্যাকআপ। ব্যাকআপগুলো প্রোডাকশন সার্ভার থেকে আলাদা, প্রাইভেট স্টোরেজে, যুক্তরাষ্ট্রের Google Cloud-এ (us-east1) 30 দিন রাখা হয় এবং তারপর মুছে ফেলা হয়;
• কথোপকথনে আদান-প্রদান হওয়া মিডিয়া ফাইল এমন স্টোরেজে রাখা হয় যা ব্রাউজ বা তালিকাভুক্ত করা যায় না, এবং অনুমান করা কঠিন এমন দীর্ঘ, র‍্যান্ডম লিংকের মাধ্যমে সরবরাহ করা হয় (কন্টাক্টের প্রোফাইল ছবি ছাড়া)। যার কাছে হুবহু লিংকটি আছে, তিনি ফাইলটি খুলতে পারেন। আমরা মিডিয়াকে সময়-সীমিত স্বাক্ষরিত লিংকে স্থানান্তর করছি;
• কোনো ওয়ার্কস্পেসে সাপোর্ট টিমের প্রতিটি প্রবেশ এবং প্রতিটি সাইন-ইন সেই ওয়ার্কস্পেসের সিকিউরিটি লগে রেকর্ড করা।

1. সাধারণ অনুমোদন। আমাদের সাব-প্রসেসর পেজে (পরিশিষ্ট III) তালিকাভুক্ত সাব-প্রসেসরদের নিয়োগ করার অনুমোদন আপনি আমাদের দেন।
2. অগ্রিম নোটিশ। কোনো সাব-প্রসেসর যোগ বা প্রতিস্থাপনের আগে আমরা কমপক্ষে 30 দিনের নোটিশ দেব, যাঁরা সাবস্ক্রাইব করেছেন তাঁদের সবাইকে ই-মেইলে এবং পেজটি আপডেট করে। সাবস্ক্রাইব করতে "Subprocessor updates" বিষয় দিয়ে support@letsbot.net-এ লিখুন।
3. আপত্তি। নোটিশের সময়কালে যুক্তিসঙ্গত ডেটা সুরক্ষার কারণে আপনি লিখিতভাবে আপত্তি জানাতে পারেন। আমরা আপনার আপত্তি নিষ্পত্তির চেষ্টা করব, যেমন আপনার ডেটার জন্য ওই সাব-প্রসেসর ব্যবহার না করে। তা সম্ভব না হলে আপনি সার্ভিসের সংশ্লিষ্ট অংশটি বাতিল করতে পারেন এবং অবশিষ্ট সময়ের জন্য অগ্রিম পরিশোধিত যেকোনো ফি ফেরত পাবেন।
4. জরুরি প্রতিস্থাপন। সার্ভিসের নিরাপত্তা বা ধারাবাহিকতা রক্ষায় কোনো সাব-প্রসেসর তাৎক্ষণিকভাবে প্রতিস্থাপন করতে হলে আমরা যত দ্রুত সম্ভব আপনাকে জানাব, এবং আপত্তি জানানোর একই অধিকার আপনার থাকবে।
5. সমতুল্য বাধ্যবাধকতা। আমরা প্রত্যেক তৃতীয় পক্ষের সাব-প্রসেসরকে এমন একটি লিখিত চুক্তিতে আবদ্ধ করি, যার ডেটা সুরক্ষা বাধ্যবাধকতা এই DPA-র চেয়ে কম সুরক্ষামূলক নয়, এবং এর কার্যসম্পাদনের জন্য আমরা আপনার কাছে দায়বদ্ধ থাকি।
6. আপনার বেছে নেওয়া ইন্টিগ্রেশন, যেমন Meta (WhatsApp, Messenger, Instagram), ই-কমার্স প্ল্যাটফর্ম ও CRM, আমাদের সাব-প্রসেসর নয়। আপনি এগুলো সংযুক্ত করেন, এবং এগুলো আপনার সঙ্গে তাদের নিজস্ব শর্তে ডেটা প্রসেস করে।

1. গ্রাহকের ব্যক্তিগত ডেটাকে প্রভাবিত করে এমন যেকোনো ব্যক্তিগত ডেটা লঙ্ঘনের বিষয়ে আমরা আপনাকে অযথা বিলম্ব ছাড়াই এবং যেকোনো ক্ষেত্রে তা জানার 24 ঘণ্টার মধ্যে জানাব। প্রতিটি দেশে এটিই আমাদের মানদণ্ড।
2. আমরা নোটিশটি অ্যাকাউন্ট মালিকের ই-মেইল ঠিকানায় এবং সম্ভব হলে প্যানেলে পাঠাই। তথ্য যতটুকু পাওয়া যায়, তাতে বর্ণনা থাকে: লঙ্ঘনের প্রকৃতি ও কারণ; ডেটা সাবজেক্ট ও রেকর্ডের ধরন এবং আনুমানিক সংখ্যা; সম্ভাব্য পরিণতি; তা নিয়ন্ত্রণে গৃহীত বা প্রস্তাবিত ব্যবস্থা; এবং আমাদের যোগাযোগের মাধ্যম।
3. সব তথ্য একবারে না থাকলে আমরা অযথা বিলম্ব ছাড়াই ধাপে ধাপে তা প্রদান করব, এবং ঘটনাটি নিষ্পত্তি না হওয়া পর্যন্ত নিয়মিত আপনাকে আপডেট দেব।
4. কর্তৃপক্ষ ও ডেটা সাবজেক্টদের জানানোর বিষয়ে আপনার নিজস্ব দায়িত্ব পালনে আমরা আপনাকে সহায়তা করব, যার মধ্যে EU, UK ও সৌদি আরবের 72 ঘণ্টার সময়সীমা এবং ব্রাজিলের তিন কর্মদিবসের সময়সীমা অন্তর্ভুক্ত।
5. নোটিশ দেওয়া মানে দোষ বা দায় স্বীকার করা নয়।

1. গ্রাহকের ব্যক্তিগত ডেটা সম্পর্কে কোনো ডেটা সাবজেক্টের কাছ থেকে অনুরোধ পেলে আমরা তা 48 ঘণ্টার মধ্যে আপনার কাছে পাঠিয়ে দেব এবং আপনার অনুমোদন ছাড়া তার উত্তর দেব না, শুধু এটুকু জানানো ছাড়া যে আমরা অনুরোধটি আপনার কাছে পাঠিয়েছি।
2. প্যানেলের মাধ্যমে আপনি কন্টাক্ট, কথোপকথন ও মেসেজ এক্সপোর্ট, সংশোধন ও মুছে ফেলতে পারেন। এই টুলগুলো যথেষ্ট না হলে আমরা আপনাকে যুক্তিসঙ্গত সহায়তা দেব।
3. আমাদের সহায়তায় আপনার আইনি সময়সীমা বিবেচনায় নেওয়া হয়, যার মধ্যে মিশরের ছয় কর্মদিবসের সময়সীমাও রয়েছে।

ডেটা সুরক্ষা প্রভাব মূল্যায়ন, ট্রান্সফার ঝুঁকি মূল্যায়ন, বা কোনো কর্তৃপক্ষের সঙ্গে পূর্ব-পরামর্শ সম্পন্ন করতে আপনার যুক্তিসঙ্গতভাবে যে তথ্য প্রয়োজন, আমরা তা আপনাকে দেব। আইন অনুযায়ী সংশ্লিষ্ট প্রভাব মূল্যায়ন আমাদের সঙ্গে শেয়ার করা আপনার জন্য বাধ্যতামূলক হলে, আমরা তা গ্রহণ করব।

1. আপনার সাবস্ক্রিপশন চলাকালে আপনি যেকোনো সময় প্যানেল থেকে আপনার ডেটা এক্সপোর্ট করতে, যেকোনো একটি কথোপকথন মুছে ফেলতে (যাতে এর মেসেজ ও মিডিয়া মুছে যায়), অথবা আপনার পুরো ওয়ার্কস্পেস মুছে ফেলতে পারেন। কারণ জানানো ঐচ্ছিক।
2. সার্ভিস শেষ হলে আপনার ডেটা 30 দিন এক্সপোর্টের জন্য উপলব্ধ থাকে। কোনো ওয়ার্কস্পেস মুছে ফেলা হলে আমরা 30 দিনের মধ্যে আমাদের লাইভ সিস্টেম থেকে গ্রাহকের ব্যক্তিগত ডেটা মুছে ফেলি, যার মধ্যে রয়েছে মিডিয়া, আর্কাইভ করা কপি, আমাদের AI প্রোভাইডারের কাছে রাখা ফাইল ও সংরক্ষিত উত্তর, এবং আমাদের QR কোড সংযোগ সার্ভিসে রাখা মেসেজ। ব্যাকআপে থাকা কপিগুলো পরবর্তী 30 দিনের মধ্যে মেয়াদোত্তীর্ণ হয়।
3. আইন যা রাখতে বাধ্য করে, আমরা কেবল ততটুকুই রাখি, এবং মুছে না ফেলা পর্যন্ত এই DPA অনুযায়ী তা সুরক্ষিত রাখি।
4. অনুরোধ করলে আমরা লিখিতভাবে মুছে ফেলার বিষয়টি নিশ্চিত করব।

1. এই DPA মেনে চলার প্রমাণ দিতে প্রয়োজনীয় তথ্য আমরা উপলব্ধ করব, এবং যুক্তিসঙ্গত নিরাপত্তা প্রশ্নাবলির উত্তর দেব।
2. সেই তথ্য যথেষ্ট না হলে, আপনি অথবা গোপনীয়তার বাধ্যবাধকতায় আবদ্ধ কোনো স্বাধীন অডিটর প্রতি 12 মাসে একবার, 30 দিনের নোটিশ দিয়ে, কর্মঘণ্টার মধ্যে এবং অন্য গ্রাহকদের ডেটা ঝুঁকিতে না ফেলে আমাদের অডিট করতে পারেন। কোনো ব্যক্তিগত ডেটা লঙ্ঘনের পরে অথবা কোনো কর্তৃপক্ষ অডিট দাবি করলে এই সীমা প্রযোজ্য নয়।
3. প্রতিটি পক্ষ নিজ নিজ খরচ বহন করবে, যদি না অডিটে আমাদের কোনো গুরুতর লঙ্ঘন প্রকাশ পায়।
4. সৌদি ডেটা ও AI কর্তৃপক্ষ (SDAIA)-সহ উপযুক্ত তত্ত্বাবধায়ক কর্তৃপক্ষ অনুরোধ করলে আমরা তাদের সঙ্গে সহযোগিতা করব।

1. ডেটা কোথায় প্রসেস করা হয়। গ্রাহকের ব্যক্তিগত ডেটা যুক্তরাষ্ট্রে Google Cloud-এ (অঞ্চল us-east1) হোস্ট করা হয়, আমাদের কর্মীরা দূর থেকে তা অ্যাক্সেস করেন, যাঁরা প্রধানত আমাদের সহযোগী প্রতিষ্ঠানের মাধ্যমে মিশরে কাজ করেন, এবং তাদের পেজে দেখানো অবস্থানগুলোতে সাব-প্রসেসররা তা প্রসেস করে। আমাদের সব সার্ভার ও ব্যাকআপ যুক্তরাষ্ট্রে; আমরা অন্য কোনো অঞ্চলে হোস্টিং দিই না।
2. ট্রান্সফার ব্যবস্থা। পরিশিষ্ট IV (EU ও UK), পরিশিষ্ট V (ব্রাজিল) ও পরিশিষ্ট VI (সৌদি আরব)-এর ধারাগুলো প্রত্যেক গ্রাহকের জন্য এই DPA-র অংশ, এবং যে ট্রান্সফারে সংশ্লিষ্ট আইন প্রযোজ্য, তা নিয়ন্ত্রণ করে।
3. যে বিদেশি আইনের আওতায় আমরা রয়েছি। আমরা UK আইনের অধীন একটি UK কোম্পানি। ডেটা একটি মার্কিন প্রোভাইডারের কাছে হোস্ট করা, এবং মার্কিন কর্তৃপক্ষ মার্কিন আইন অনুযায়ী, CLOUD Act ও Foreign Intelligence Surveillance Act-এর Section 702-সহ, মার্কিন প্রোভাইডারদের ডেটা প্রকাশ করতে বাধ্য করতে পারে। মিশরে আমাদের সহযোগী প্রতিষ্ঠান মিশরীয় আইনের অধীন। এই আইনগুলোর কোনোটি আমাদের এই DPA মেনে চলতে বাধা দেয় বলে আমাদের জানা নেই, এবং এতে পরিবর্তন হলে আমরা দ্রুত আপনাকে জানাব।
4. সরকারি কর্তৃপক্ষের অনুরোধ। গ্রাহকের ব্যক্তিগত ডেটা প্রকাশের জন্য কোনো সরকারি কর্তৃপক্ষের বাধ্যতামূলক অনুরোধ পেলে আমরা আপনাকে জানাব, যদি না আইন তা নিষিদ্ধ করে; কর্তৃপক্ষকে সরাসরি আপনার কাছে আসতে বলব; বেআইনি বা মাত্রাতিরিক্ত অনুরোধের বিরোধিতা করব; এবং কেবল ন্যূনতম প্রয়োজনীয় তথ্যই প্রকাশ করব।

1. আপনি AI রিপ্লাই, AI এজেন্ট, ভয়েস নোট ট্রান্সক্রিপশন বা AI টুল চালু করলে, ফিচারটির প্রয়োজনীয় ডেটা আমরা আমাদের কোনো একটি AI সার্ভিস প্রোভাইডারের কাছে পাঠাই, যারা যুক্তরাষ্ট্রে অবস্থিত সাব-প্রসেসর: মেসেজ, কথোপকথনের ইতিহাস, ভয়েস নোট, নলেজ ফাইল ও প্রোডাক্ট ক্যাটালগ, এবং যেখানে ফিচারটি ব্যবহার করে সেখানে কন্টাক্টের নাম ও নম্বর।
2. আমাদের AI সার্ভিস প্রোভাইডাররা হলো OpenAI, যা ডিফল্ট প্রোভাইডার এবং সবসময় ভয়েস নোট ট্রান্সক্রিপশন ও নলেজ ফাইলের সংরক্ষণ ও অনুসন্ধান পরিচালনা করে; এবং Anthropic (Claude) ও Google (Gemini API), যাদের কাছে আমরা OpenAI-এর পরিবর্তে বা ব্যাকআপ হিসেবে AI কাজ পাঠাতে পারি, অথবা উত্তরের মান তুলনা করতে অনুরোধের একটি সীমিত নমুনা পাঠাতে পারি। তুলনামূলক উত্তর কখনো আপনার গ্রাহকদের কাছে পাঠানো হয় না। তালিকা ও ট্রান্সফার ব্যবস্থা আমাদের সাব-প্রসেসর পেজে রয়েছে।
3. তাদের ব্যবসায়িক শর্ত অনুযায়ী, এই প্রোভাইডারদের কেউই তাদের API-এর মাধ্যমে পাঠানো ডেটা দিয়ে নিজেদের মডেল ট্রেনিং করে না (দেখুন OpenAI-এর ব্যবসায়িক শর্ত, Anthropic-এর Commercial Terms এবং Gemini API Additional Terms), এবং আমরা কোনো ট্রেনিং ব্যবহারে সম্মতি দিইনি। প্রতিটি প্রোভাইডার তার শর্ত অনুযায়ী অপব্যবহার পর্যবেক্ষণের জন্য একটি অস্থায়ী কপি রাখে, এবং OpenAI তার API ডেটা নীতি অনুযায়ী নিজের তৈরি উত্তরগুলো সংরক্ষণ করে।
4. আমরা কোনো মডেল ট্রেনিংয়ে গ্রাহকের ব্যক্তিগত ডেটা ব্যবহার করি না। "ইতিহাস থেকে শেখা" ফিচারটি যা শেখে, তা আপনার ওয়ার্কস্পেসের ভেতরেই থাকে।
5. এই ফিচারগুলো ঐচ্ছিক এবং আপনি যেকোনো সময় এগুলো বন্ধ করতে পারেন। আপনি আপনার ওয়ার্কস্পেস মুছে ফেললে, এর জন্য OpenAI-এ সংরক্ষিত ফাইলগুলো আমরা মুছে ফেলি।
6. আইন যেখানে দাবি করে, সেখানে উত্তর AI দ্বারা তৈরি হতে পারে বলে আপনার গ্রাহকদের জানানো আপনার দায়িত্ব।

1. আমাদের সাপোর্ট কর্মীরা কেবল সাপোর্ট দেওয়ার জন্যই আপনার ওয়ার্কস্পেসে প্রবেশ করেন।
2. প্রতিটি প্রবেশ আপনার ওয়ার্কস্পেসের সিকিউরিটি লগে রেকর্ড করা হয়, যা আপনি পর্যালোচনা করতে পারেন।
3. আপনি আপনার ওয়ার্কস্পেসে টু-ফ্যাক্টর অথেন্টিকেশন চালু করলে, আমাদের কর্মীরা কেবল আপনার স্পষ্ট অনুমোদন নিয়েই তাতে প্রবেশ করতে পারেন।

এই DPA-র অধীনে প্রতিটি পক্ষের দায় শর্তাবলির সীমাবদ্ধতা সাপেক্ষ, তবে আইনত যে দায় সীমিত করা যায় না তা ব্যতীত, এবং পরিশিষ্ট IV থেকে VI-এর ট্রান্সফার ধারার অধীনে ডেটা সাবজেক্টদের অধিকার ক্ষুণ্ণ না করে, যা এই DPA বা শর্তাবলির কোনো কিছুই সীমিত করে না।

1. যতদিন আমরা গ্রাহকের ব্যক্তিগত ডেটা প্রসেস করি, ততদিন এই DPA প্রযোজ্য।
2. আইন বা সার্ভিসের সঙ্গে সামঞ্জস্য রাখতে আমরা এই DPA আপডেট করতে পারি। যেকোনো গুরুত্বপূর্ণ পরিবর্তনের 30 দিনের নোটিশ আমরা দেব, এবং আপনার পেইড সাবস্ক্রিপশনের মেয়াদকালে কোনো পরিবর্তন সুরক্ষার মাত্রা কমাবে না।
3. এই DPA ইংল্যান্ড ও ওয়েলসের আইন দ্বারা পরিচালিত এবং সেখানকার আদালতের এখতিয়ার রয়েছে, তবে পরিশিষ্ট IV থেকে VI-এর প্রতিটি ট্রান্সফার ধারার সেট এতে উল্লিখিত আইন ও আদালত দ্বারা পরিচালিত হবে।

ব্যক্তিগত ডেটা সুরক্ষা আইন ও এর বাস্তবায়ন প্রবিধানের (অনুচ্ছেদ 17) উদ্দেশ্যে:

• প্রসেসিংয়ের উদ্দেশ্য, ডেটার ধরন ও মেয়াদ পরিশিষ্ট I-এ রয়েছে।
• আমরা অযথা বিলম্ব ছাড়াই এবং 24 ঘণ্টার মধ্যে আপনাকে লঙ্ঘনের বিষয়ে জানাই (ধারা 7)।
• যে বিদেশি আইনের আওতায় আমরা রয়েছি এবং সেগুলোর প্রভাব ধারা 12-এ বর্ণিত।
• সৌদি আইন আমাদের কোনো তথ্য প্রকাশে বাধ্য করলে, আমরা সে বিষয়ে আপনাকে জানাব।
• সাব-প্রসেসর ও অন্যান্য প্রাপক পরিশিষ্ট III-এ চিহ্নিত, এবং যেকোনো পরিবর্তনের আগে আমরা আপনাকে জানাই, আপত্তি জানানোর অধিকারসহ (ধারা 6)।
• আমরা ডেটা সাবজেক্টদের অনুরোধ 48 ঘণ্টার মধ্যে পাঠিয়ে দিই (ধারা 8), এবং মূল্যায়ন ও অডিট গ্রহণ করি (ধারা 11)।
• ট্রান্সফার ধারা: পরিশিষ্ট VI।

LGPD-এর উদ্দেশ্যে আমরা "operador" হিসেবে কাজ করি:

• আমরা আপনার নির্দেশনা অনুযায়ী ডেটা প্রসেস করি (অনুচ্ছেদ 39) এবং প্রসেসিং কার্যক্রমের রেকর্ড রাখি (অনুচ্ছেদ 37)।
• আমরা পরিশিষ্ট II-এর নিরাপত্তা ব্যবস্থা প্রয়োগ করি, এবং প্রসেসিং শেষ হওয়ার পরও আমাদের নিরাপত্তার দায়িত্ব অব্যাহত থাকে (অনুচ্ছেদ 46 ও 47)।
• আমরা 24 ঘণ্টার মধ্যে আপনাকে লঙ্ঘনের বিষয়ে জানাই, যাতে আপনি তিন কর্মদিবসের মধ্যে ANPD ও ডেটা সাবজেক্টদের জানাতে পারেন (অনুচ্ছেদ 48)।
• প্রসেসিং শেষ হলে আমরা ধারা 10 অনুযায়ী ডেটা মুছে ফেলি (অনুচ্ছেদ 16)।
• LGPD যেখানে ডেটা সাবজেক্টদের প্রতি আমাদের দায় আরোপ করে, সেখানে এই DPA-র কোনো কিছুই সেই দায় সীমিত করে না।
• ট্রান্সফার ধারা: পরিশিষ্ট V। অনুরোধ করলে আমরা আন্তর্জাতিক ট্রান্সফারের একটি পর্তুগিজ সারাংশ দিই, যা আপনি আপনার গ্রাহকদের জন্য প্রকাশ করতে পারেন।

2020 সালের আইন নং 151 এবং এর নির্বাহী প্রবিধানের জন্য:

• মিশরে আমাদের সহযোগী প্রতিষ্ঠান হলো Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), বাণিজ্যিক নিবন্ধন নং 223572 (কায়রো ইনভেস্টমেন্ট রেজিস্ট্রি অফিস), Tower 22, 3rd floor, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egypt।
• আমাদের প্রসেসিং এবং আন্তঃসীমান্ত স্থানান্তরের জন্য আইন যে লাইসেন্স বা অনুমতি চায়, তার ওপর নির্ভর করার আগেই আমরা তা সংগ্রহ করি, এবং পার্সোনাল ডেটা প্রোটেকশন সেন্টারে নিবন্ধিত একজন ডেটা প্রোটেকশন অফিসার নিয়োগ করি।
• আপনাকে 24 ঘণ্টার মধ্যে জানানোর পাশাপাশি, প্রসেসর হিসেবে আইন যেখানে আমাদের তা করতে বাধ্য করে, সেখানে আপনার সাথে সমন্বয় করে আমরা 72 ঘণ্টার মধ্যে পার্সোনাল ডেটা প্রোটেকশন সেন্টারকে লঙ্ঘনের বিষয়ে জানাই।
• ছয় কর্মদিবসের মধ্যে ডেটা সাবজেক্টের অনুরোধের উত্তর দিতে আমরা আপনার সাথে কাজ করি।
• আইন যেখানে প্রয়োজন মনে করে, সেখানে ডেটা সাবজেক্টদের সম্মতি নেওয়ার দায়িত্ব আপনার, মিশরের বাইরে স্থানান্তরের সম্মতিসহ।

এই DPA-তে EU GDPR এবং UK GDPR-এর Article 28(3) অনুযায়ী প্রয়োজনীয় শর্তাবলি রয়েছে: নির্দেশনা (ধারা 3), গোপনীয়তা (ধারা 4), নিরাপত্তা (ধারা 5 ও সংযুক্তি II), সাব-প্রসেসর (ধারা 6), ডেটা সাবজেক্টের অনুরোধে সহায়তা (ধারা 8) এবং নিরাপত্তা, লঙ্ঘন ও মূল্যায়নে সহায়তা (ধারা 5, 7 ও 9), মুছে ফেলা ও ফেরত দেওয়া (ধারা 10), এবং তথ্য ও অডিট (ধারা 11)।

যুক্তরাজ্য, যেখানে আমরা প্রতিষ্ঠিত, ইউরোপীয় কমিশনের একটি adequacy সিদ্ধান্তের আওতাভুক্ত। তবুও সংযুক্তি IV (EU Standard Contractual Clauses এবং UK Addendum) প্রত্যেক গ্রাহকের জন্য অন্তর্ভুক্ত করা হয়েছে এবং EU GDPR বা UK GDPR অন্যভাবে অনুমতি দেয় না এমন যেকোনো গ্রাহক ব্যক্তিগত ডেটা স্থানান্তর এটি দ্বারা পরিচালিত হয়, যুক্তরাষ্ট্রে আমাদের পরবর্তী স্থানান্তরসহ।

এই ব্যবস্থাগুলো বর্তমানে চালু আছে:

• ট্রানজিটে এনক্রিপশন: Cloudflare এজে HSTS-সহ TLS 1.3, এবং অরিজিন সার্ভারে TLS সার্টিফিকেট।
• সংরক্ষিত অবস্থায় এনক্রিপশন: ডিস্ক ও স্টোরেজ বাকেটের জন্য Google-পরিচালিত কী দিয়ে Google Cloud-এর ডিফল্ট এনক্রিপশন, এবং এর পাশাপাশি চ্যানেল অ্যাক্সেস টোকেন, ইন্টিগ্রেশন ও ওয়েবহুক সিক্রেট, টু-ফ্যাক্টর সিক্রেট, সার্ভের উত্তর ও সম্মতির রেকর্ডের অ্যাপ্লিকেশন-স্তরের এনক্রিপশন।
• পাসওয়ার্ড ও টোকেন: পাসওয়ার্ড bcrypt দিয়ে হ্যাশ করা; API টোকেন হ্যাশ আকারে সংরক্ষিত।
• আইসোলেশন: প্রতিটি ওয়ার্কস্পেসের জন্য আলাদা ডেটাবেস।
• নেটওয়ার্ক: ডেটাবেস ও ক্যাশ ইন্টারনেট থেকে পৌঁছানো যায় না; Cloudflare DDoS সুরক্ষা ও ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল; পাবলিক ফর্মে Turnstile বট সুরক্ষা।
• সার্ভার হার্ডেনিং: CageFS অ্যাকাউন্ট আইসোলেশন, Imunify360 ফায়ারওয়াল ও ম্যালওয়্যার স্ক্যানিং, এবং লাইভ কার্নেল সিকিউরিটি প্যাচিং (KernelCare)।
• অ্যাক্সেস নিয়ন্ত্রণ: প্রতি ব্যবহারকারীর রোল ও অনুমতি, অভ্যন্তরীণ অ্যাডমিনিস্ট্রেশন টুলের জন্য আলাদা সাইন-ইন গার্ড, প্রতিটি ওয়ার্কস্পেসে উপলব্ধ টু-ফ্যাক্টর অথেন্টিকেশন, এবং সাইন-ইন IP সীমাবদ্ধতা।
• লগিং: প্রতিটি ওয়ার্কস্পেসের জন্য একটি নিরাপত্তা লগ, যাতে সাইন-ইন ও ব্যর্থ প্রচেষ্টা, টু-ফ্যাক্টর ও রোল পরিবর্তন, সাপোর্ট অ্যাক্সেস এবং API কী রোটেশন অন্তর্ভুক্ত।
• ইন্টিগ্রেশন: Meta, Salla ও Zid থেকে আসা ডেটায় সিগনেচার যাচাই, এবং প্রতিটি নতুন আউটগোয়িং ওয়েবহুকের জন্য আলাদা সাইনিং সিক্রেট।
• প্রাইভেট স্টোরেজ: ডকুমেন্ট, ই-মেইল অ্যাটাচমেন্ট, কল রেকর্ডিং, ব্যাকআপ এবং আর্কাইভ করা ওয়ার্কস্পেস পাবলিক অ্যাক্সেস বন্ধ রাখা প্রাইভেট স্টোরেজ বাকেটে রাখা হয়।
• কথোপকথনের মিডিয়া: এমন স্টোরেজে রাখা হয় যা ব্রাউজ বা তালিকাভুক্ত করা যায় না, এবং দীর্ঘ, র‍্যান্ডম ও অনুমান করা কঠিন লিংকের মাধ্যমে পরিবেশন করা হয় (কন্টাক্টের প্রোফাইল ছবি ছাড়া); সময়-সীমিত সাইন করা লিংকে স্থানান্তরের কাজ চলছে।
• ব্যাকআপ: পেইড, ট্রায়াল ও কমপ্লিমেন্টারি ওয়ার্কস্পেসের ডেটাবেসের রাত্রিকালীন ব্যাকআপ, অন্যান্য ওয়ার্কস্পেসের জন্য 10 দিনের রোটেশন, এবং কেন্দ্রীয় অ্যাকাউন্ট ডেটাবেসের দৈনিক ব্যাকআপ; যুক্তরাষ্ট্রে (us-east1) প্রাইভেট স্টোরেজে 30 দিন রাখা হয়।
• মুছে ফেলা: প্রত্যেক গ্রাহক প্যানেল থেকে পুরো ওয়ার্কস্পেস মুছে ফেলতে পারেন, এর মিডিয়া, আর্কাইভ কপি এবং OpenAI-তে থাকা AI ফাইলসহ; কোনো কথোপকথন মুছলে তার মেসেজ ও মিডিয়া মুছে যায়।
• ডেটা মিনিমাইজেশন: প্ল্যাটফর্ম থেকে আসা পেলোড 14 দিন পর, সার্ভার লগ 14 দিন পর, এবং কল রেকর্ডিং ডিফল্টভাবে 90 দিন পর মুছে ফেলা হয়।
• মনিটরিং: বাহ্যিক আপটাইম মনিটরিং, এবং রিয়েল-টাইম অ্যালার্টসহ মেমরি, ডেটাবেস, সেশন ও কিউ-এর অভ্যন্তরীণ মনিটরিং, যেখানে ফোন নম্বর ও ই-মেইল ঠিকানা মাস্ক করা থাকে।

সাব-প্রসেসরদের বর্তমান তালিকা, তারা যে ডেটা প্রসেস করে, তাদের অবস্থান ও স্থানান্তরের সুরক্ষাব্যবস্থাসহ, আমাদের সাব-প্রসেসর পেজে প্রকাশিত এবং এটি এই DPA-এর অংশ।

Commission Implementing Decision (EU) 2021/914 দ্বারা গৃহীত Standard Contractual Clauses রেফারেন্সের মাধ্যমে অন্তর্ভুক্ত করা হলো:

• আপনি কন্ট্রোলার হলে Module Two (কন্ট্রোলার থেকে প্রসেসর), এবং আপনি অন্য কারও জন্য প্রসেসর হিসেবে কাজ করলে Module Three (প্রসেসর থেকে প্রসেসর)।
• Clause 7 (ডকিং ক্লজ): অন্তর্ভুক্ত।
• Clause 9(a): Option 2 (সাধারণ লিখিত অনুমোদন), 30 দিনের অগ্রিম নোটিশসহ।
• Clause 11(a): ঐচ্ছিক ভাষা প্রযোজ্য নয়।
• Clause 13: উপযুক্ত তত্ত্বাবধায়ক কর্তৃপক্ষ আপনার পরিস্থিতি অনুযায়ী Clause 13(a)-এর অধীনে নির্ধারিত হয়।
• Clause 17: Option 1, আয়ারল্যান্ডের আইন দ্বারা পরিচালিত। Clause 18: আয়ারল্যান্ডের আদালত।
• Annex I.A: ধারা 1-এর পক্ষসমূহ (আপনি ডেটা এক্সপোর্টার, আমরা ডেটা ইমপোর্টার)। Annex I.B: এই DPA-এর সংযুক্তি I। Annex I.C: Clause 13-এর অধীনে যেমন নির্ধারিত। Annex II: এই DPA-এর সংযুক্তি II। Annex III: এই DPA-এর সংযুক্তি III।

যুক্তরাজ্যের আইন দ্বারা পরিচালিত স্থানান্তরের জন্য ICO-এর International Data Transfer Addendum to the EU Standard Contractual Clauses রেফারেন্সের মাধ্যমে অন্তর্ভুক্ত করা হলো: Table 1, ওপরে উল্লিখিত পক্ষসমূহ; Table 2, ওপরে নির্বাচিত ক্লজসমূহ; Table 3, সংযুক্তি I থেকে III; Table 4, যেকোনো পক্ষ এর Section 19-এ বর্ণিত পদ্ধতিতে Addendum শেষ করতে পারে।

LGPD দ্বারা পরিচালিত ডেটার আন্তর্জাতিক স্থানান্তরের জন্য, শর্তাবলি গ্রহণের মাধ্যমে পক্ষসমূহ Resolution CD/ANPD No. 19/2024-এর Annex II-এ থাকা স্ট্যান্ডার্ড কন্ট্রাকচুয়াল ক্লজ সম্পূর্ণরূপে এবং কোনো পরিবর্তন ছাড়াই গ্রহণ করে। সরকারি পর্তুগিজ পাঠ প্রাধান্য পাবে।

• Section I: আপনি এক্সপোর্টার (কন্ট্রোলার) এবং আমরা ইমপোর্টার (অপারেটর); স্থানান্তরের বিবরণ সংযুক্তি I-এ দেওয়া আছে।
• Section III (নিরাপত্তা ব্যবস্থা): সংযুক্তি II।
• Section IV: কোনো অতিরিক্ত ক্লজ নেই।

এই DPA বা Terms & Conditions-এর অন্য কোনো শর্ত এই ক্লজগুলোকে বাদ দিতে, পরিবর্তন করতে বা এর বিরোধিতা করতে পারবে না।

রাজ্যের (সৌদি আরব) বাইরে ব্যক্তিগত ডেটা স্থানান্তরের জন্য, শর্তাবলি গ্রহণের মাধ্যমে পক্ষসমূহ সৌদি ডেটা ও AI কর্তৃপক্ষ (SDAIA) কর্তৃক জারি করা ব্যক্তিগত ডেটা স্থানান্তরের স্ট্যান্ডার্ড কন্ট্রাকচুয়াল ক্লজ, Template 2 (কন্ট্রোলার থেকে প্রসেসর), কোনো পরিবর্তন ছাড়াই গ্রহণ করে।

• পক্ষসমূহ: আপনি এক্সপোর্টার এবং আমরা ইমপোর্টার।
• টেমপ্লেটের Appendix 1 থেকে 3: এই DPA-এর ধারা 1, সংযুক্তি I ও সংযুক্তি II।
• ক্লজগুলোতে যেমন বলা আছে, এই ক্লজগুলো সৌদি আরব রাজ্যের আইন দ্বারা পরিচালিত এবং এর আদালতের এখতিয়ার রয়েছে।
• আমরা 24 ঘণ্টার মধ্যে আপনাকে লঙ্ঘনের বিষয়ে জানাই, 48 ঘণ্টার মধ্যে ডেটা সাবজেক্টের অনুরোধ ফরোয়ার্ড করি, এবং যেকোনো অডিটে SDAIA-কে সহযোগিতা করি।
• রাজ্যের বাইরে কোন সাব-প্রসেসররা এই ক্লজগুলোতে যুক্ত হয়েছে, এবং কারা হয়নি, তা আপনার ডেটার জন্য তাদের ওপর নির্ভর করার আগেই আমরা আপনাকে জানাই।