ডেটা প্রসেসিং চুক্তি

এই ডেটা প্রসেসিং চুক্তি (“DPA”) ELXAO SASU (“প্রসেসর”) এবং ক্লায়েন্ট (“কন্ট্রোলার”)-এর মধ্যকার চুক্তির একটি অবিচ্ছেদ্য অংশ গঠন করে এবং রেগুলেশন (EU) 2016/679 (“GDPR”)-এর অনুচ্ছেদ 28 ও ফরাসি ডেটা সুরক্ষা আইন (6 জানুয়ারি 1978 সালের Loi n° 78-17, সংশোধিত) বাস্তবায়ন করে। সেবা প্রদানের সময় ELXAO যখনই কন্ট্রোলারের পক্ষে ব্যক্তিগত তথ্য প্রক্রিয়াকরণ করে, তখনই এটি প্রযোজ্য।

সংজ্ঞা

"ব্যক্তিগত ডেটা", "প্রসেসিং", "কন্ট্রোলার", "প্রসেসর", "সাব-প্রসেসর", "ডেটা বিষয়", "বিশেষ বিভাগ ডেটা" এবং "ব্যক্তিগত ডেটা লঙ্ঘন" শব্দগুলির অর্থ GDPR এর 4 অনুচ্ছেদে দেওয়া আছে। চুক্তির শর্তাবলি এই DPA-এর ক্ষেত্রেও প্রযোজ্য, তবে এই DPA স্পষ্টভাবে যেখানে সেগুলিকে অগ্রাহ্য করে সেখানে নয়।

বিষয়, সময়কাল এবং প্রক্রিয়াকরণের প্রকৃতি

ভূমিকা এবং নির্দেশাবলী

নিয়ন্ত্রক প্রক্রিয়াকরণের উদ্দেশ্য এবং উপায় নির্ধারণ করে। ELXAO শুধুমাত্র নিয়ন্ত্রকের নথিভুক্ত নির্দেশাবলীর উপর ব্যক্তিগত ডেটা প্রক্রিয়া করে, যা চুক্তি, আদেশ, SLA, নিয়ন্ত্রকের গোপনীয়তা নীতি এবং তারপরে প্রেরিত কোনো নির্দিষ্ট লিখিত নির্দেশ দ্বারা আনুষ্ঠানিক হয়। ELXAO ডেটা-সুরক্ষা আইন লঙ্ঘন করার নির্দেশ বিবেচনা করলে অযথা বিলম্ব না করে কন্ট্রোলারকে জানাবে।

কর্মীদের গোপনীয়তা

ELXAO নিশ্চিত করে যে ব্যক্তিগত ডেটা প্রক্রিয়া করার জন্য অনুমোদিত প্রত্যেক ব্যক্তি একটি প্রয়োগযোগ্য গোপনীয়তার বাধ্যবাধকতা (কর্মসংস্থান চুক্তি, ফ্রিল্যান্স চুক্তি বা NDA) দ্বারা আবদ্ধ এবং তাদের ভূমিকার জন্য উপযুক্ত ব্যক্তিগত-ডেটা সুরক্ষার প্রশিক্ষণ পেয়েছে।

নিরাপত্তা ব্যবস্থা

ELXAO উপযুক্ত প্রযুক্তিগত এবং সাংগঠনিক ব্যবস্থা (অনুচ্ছেদ 32 জিডিপিআর) প্রয়োগ করে, যার মধ্যে রয়েছে:

• ট্রানজিটে TLS 1.2+ এনক্রিপশন এবং উৎপাদন ডেটা স্টোরের জন্য AES-256 এনক্রিপশন বাকি।
• ন্যূনতম বিশেষাধিকারের নীতি সহ ভূমিকা-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ; সমস্ত প্রশাসকের জন্য বাধ্যতামূলক মাল্টি-ফ্যাক্টর প্রমাণীকরণ।
• নিয়মিত দুর্বলতা স্ক্যানিং এবং প্যাচিং সহ কঠোর, ইইউ-হোস্টেড অবকাঠামো।
• কোড রিভিউ, সিক্রেটস ম্যানেজমেন্ট, সুরক্ষিত SDLC এবং প্রোডাকশন/স্টেজিং এনভায়রনমেন্ট আলাদা করা।
• কেন্দ্রীভূত, অখণ্ডতা-সুরক্ষিত লগিং; সন্দেহজনক প্রমাণীকরণ এবং ডেটা-রপ্তানি ইভেন্টের বিষয়ে সতর্কতা।
• নথিভুক্ত পুনরুদ্ধার পরীক্ষার সাথে এনক্রিপ্ট করা, ভৌগলিকভাবে পৃথক ব্যাকআপ।
• কর্মীদের অনবোর্ডিং/অফবোর্ডিং পদ্ধতি, পাসওয়ার্ড ম্যানেজার, ফুল-ডিস্ক এনক্রিপশন সহ সুরক্ষিত ল্যাপটপ।
• ব্যবসার ধারাবাহিকতা এবং ঘটনা-প্রতিক্রিয়া পরিকল্পনা কমপক্ষে বার্ষিক পর্যালোচনা করা হয়।

সাব-প্রসেসিং

কন্ট্রোলার ELXAO নির্দিষ্ট প্রসেসিং কার্যক্রমের (হোস্টিং, ইমেল ডেলিভারি, বিশ্লেষণ, বিজ্ঞাপন প্ল্যাটফর্ম, গ্রাহক সহায়তা সরঞ্জাম, ইভেন্ট-ম্যানেজমেন্ট প্ল্যাটফর্ম) কার্য সম্পাদনের জন্য সাব-প্রসেসরদের নিযুক্ত করার জন্য একটি সাধারণ অনুমোদন দেয়। ELXAO সাব-প্রসেসরগুলির একটি বর্তমান তালিকা বজায় রাখে, যা [email protected] এ অনুরোধে উপলব্ধ, এবং যেকোনও উদ্দিষ্ট সংযোজন বা প্রতিস্থাপনের কমপক্ষে ত্রিশ (30) দিনের পূর্বে নোটিশ দেবে, এই সময়ে কন্ট্রোলার যুক্তিসঙ্গত ডেটা-প্রোটেশনে আপত্তি জানাতে পারে। ELXAO প্রতিটি সাব-প্রসেসরের উপর আরোপ করে ডেটা-সুরক্ষা বাধ্যবাধকতাগুলি এই ডিপিএ-তে নির্ধারিতগুলির চেয়ে কম সুরক্ষামূলক নয়৷

আন্তর্জাতিক স্থানান্তর

ব্যক্তিগত ডেটা প্রাথমিকভাবে ইউরোপীয় অর্থনৈতিক এলাকার (EEA) মধ্যে প্রক্রিয়া করা হয়। যেখানে প্রক্রিয়াকরণের সাথে EEA-এর বাইরে কোনো দেশে পর্যাপ্ততার সিদ্ধান্ত ছাড়াই স্থানান্তর জড়িত, ELXAO অনুচ্ছেদ 46 GDPR-এর অধীনে উপযুক্ত সুরক্ষার উপর নির্ভর করে, প্রধানত 4 জুন 2021-এর ইউরোপীয় কমিশনের স্ট্যান্ডার্ড কন্ট্রাকচুয়াল ক্লজ (SCCs), যা স্থানান্তর প্রভাব হিসাবে প্রয়োজনীয় কোনো অতিরিক্ত ব্যবস্থার দ্বারা পরিপূরক।

নিয়ন্ত্রককে সহায়তা

ELXAO কন্ট্রোলারকে, উপযুক্ত প্রযুক্তিগত এবং সাংগঠনিক ব্যবস্থার মাধ্যমে, ডেটা-বিষয়ের অনুরোধের (আর্টিকেল 12-22 জিডিপিআর) সাড়া দেওয়ার জন্য এবং 32-36 জিডিপিআর (নিরাপত্তা, লঙ্ঘনের বিজ্ঞপ্তি, DPIA, পূর্ব পরামর্শ) এর সাথে সম্মতি নিশ্চিত করতে তার বাধ্যবাধকতা পূরণে সহায়তা করে। স্ট্যান্ডার্ড সহায়তা পরিষেবাগুলিতে অন্তর্ভুক্ত করা হয়েছে; একটি (1) অতিরিক্ত কাজের জন্য অনুরোধ প্রতি কার্যদিবস লিখিত নোটিশের পরে ELXAO এর তৎকালীন বর্তমান পেশাদার হারে বিল করা যেতে পারে।

ব্যক্তিগত তথ্য লঙ্ঘন

ELXAO নিয়ন্ত্রকের ডেটা প্রভাবিত করে ব্যক্তিগত ডেটা লঙ্ঘনের বিষয়ে সচেতন হওয়ার পরে অযথা বিলম্ব না করে এবং যেকোন ঘটনাতে বাহাত্তর (72) ঘন্টার মধ্যে কন্ট্রোলারকে অবহিত করে। বিজ্ঞপ্তিতে লঙ্ঘনের প্রকৃতি, বিভাগ এবং প্রভাবিত আনুমানিক ভলিউম, সম্ভাব্য পরিণতি এবং এটি মোকাবেলার জন্য নেওয়া বা প্রস্তাবিত ব্যবস্থা অন্তর্ভুক্ত রয়েছে।

অডিট

ELXAO কন্ট্রোলারের কাছে উপলব্ধ করে, যুক্তিসঙ্গত অনুরোধে এবং বছরে একবারের বেশি নয় (একটি লঙ্ঘন অনুসরণ করা ব্যতীত), এই DPA-এর সাথে সম্মতি প্রদর্শনের জন্য প্রয়োজনীয় তথ্য, যেখানে উপ-প্রসেসর থেকে ISO 27001 / SOC 2 টাইপ রিপোর্ট পাওয়া যায়। নিয়ন্ত্রক বা পারস্পরিকভাবে অনুমোদিত তৃতীয়-পক্ষ নিরীক্ষকের দ্বারা, নিয়ন্ত্রকের খরচে, যুক্তিসঙ্গত পূর্ব নোটিশের মাধ্যমে এবং ব্যবসায়িক সময় চলাকালীন, এমনভাবে যাতে অযৌক্তিকভাবে ELXAO-এর ক্রিয়াকলাপগুলিকে ব্যাহত না করে, অন-সাইট অডিট পরিচালনা করা যেতে পারে।

ডেটা ফেরত দেওয়া বা মুছে ফেলা

চুক্তির সমাপ্তির পরে, ELXAO, ত্রিশ (30) দিনের মধ্যে কন্ট্রোলারের পছন্দ অনুসারে, হয় একটি কাঠামোগত, সাধারণত ব্যবহৃত এবং মেশিন-পঠনযোগ্য বিন্যাসে সমস্ত ব্যক্তিগত ডেটা ফেরত দেবে, অথবা সমস্ত উত্পাদন এবং অপারেশনাল সিস্টেম থেকে মুছে দেবে৷ ব্যাকআপ কপিগুলি স্ট্যান্ডার্ড ঘূর্ণন চক্রে (নব্বই (90) দিন পর্যন্ত) মুছে ফেলা হয় এবং প্রযোজ্য আইনের প্রয়োজনে শুধুমাত্র সেই সময়কালের পরেও রাখা যেতে পারে, যে ক্ষেত্রে সেগুলি এই DPA-এর নিরাপত্তা এবং গোপনীয়তার বাধ্যবাধকতার অধীন থাকবে৷

দায়

MSA-এর দায়বদ্ধতার বিধানগুলি এই DPA-এর অধীনে উদ্ভূত দাবির ক্ষেত্রে প্রযোজ্য। 82 GDPR অনুচ্ছেদ অনুসারে প্রতিটি পক্ষ ডেটা বিষয় এবং তত্ত্বাবধানকারী কর্তৃপক্ষের কাছে দায়বদ্ধ থাকে।

যোগাযোগ

এই DPA-এর অধীনে যেকোনো ডেটা-সুরক্ষা প্রশ্ন, অনুরোধ বা বিজ্ঞপ্তির জন্য, [email protected]-এ ELXAO যোগাযোগ করুন।