গোপনীয়তা আইন সনদ

তারিখ – ০১/০১/২০২০ তারিখে প্রকাশিত

শেষ পরিবর্তন - ১২/০৬/২০২৩ তারিখে

প্রযোজ্যতা:

এই নথিটি ("প্রয়োজনীয়তা") শাইপ ("কোম্পানি") এবং পরিষেবা প্রদানকারী ("বিক্রেতা/ফ্রিল্যান্সার/পরামর্শদাতা") এর মধ্যে যেকোনো মাস্টার সার্ভিসেস চুক্তি, কাজের বিবৃতি, অথবা অন্যান্য চুক্তির ("চুক্তি") একটি অবিচ্ছেদ্য এবং আইনত বাধ্যতামূলক অংশ গঠন করে।

1। সংজ্ঞা

এই প্রয়োজনীয়তাগুলির উদ্দেশ্যে, নিম্নলিখিত পদগুলির অর্থ নীচে বর্ণিত হবে:

• "প্রযোজ্য তথ্য সুরক্ষা আইন" ব্যক্তিগত তথ্য প্রক্রিয়াকরণের ক্ষেত্রে প্রযোজ্য সমস্ত আন্তর্জাতিক, ফেডারেল, রাজ্য এবং স্থানীয় আইন, নিয়ম এবং প্রবিধানকে বোঝায়, যার মধ্যে রয়েছে কিন্তু সীমাবদ্ধ নয় GDPR, UK GDPR, CCPA/CPRA, HIPAA, PIPEDA, এবং LGPD।
• "কোম্পানির তথ্য" "কোম্পানি কর্তৃক বা তার পক্ষ থেকে বিক্রেতাকে সরবরাহ করা, অথবা সংগৃহীত, উৎপন্ন, উদ্ভূত, ছদ্মনামযুক্ত, বেনামী (যদি বিপরীতকরণ সম্ভব হয়), অথবা কোম্পানির পক্ষ থেকে বিক্রেতা কর্তৃক প্রক্রিয়াজাত করা, যেকোনো আকার বা মাধ্যমের সকল তথ্য, তথ্য এবং উপকরণকে বোঝায়। এর মধ্যে রয়েছে প্রকল্পের তথ্য এবং যেকোনো ব্যক্তিগত তথ্য।"
• "তথ্য লঙ্ঘন" "কোম্পানির ডেটা দুর্ঘটনাজনিত বা বেআইনি ধ্বংস, ক্ষতি, পরিবর্তন, অননুমোদিত প্রকাশ, বা অ্যাক্সেসের দিকে পরিচালিত করে এমন কোনও প্রকৃত বা সন্দেহজনক নিরাপত্তা লঙ্ঘন" বোঝায়।
• "GDPR" এর অর্থ জেনারেল ডেটা প্রোটেকশন রেগুলেশন (EU) 2016/679।
• "ব্যক্তিগত তথ্য" কোম্পানির ডেটার মধ্যে থাকা কোনও চিহ্নিত বা শনাক্তযোগ্য প্রাকৃতিক ব্যক্তি ("ডেটা বিষয়") সম্পর্কিত যেকোনো তথ্যকে বোঝায়।
• "সংবেদনশীল ব্যক্তিগত তথ্য" প্রযোজ্য ডেটা সুরক্ষা আইনের অধীনে সংবেদনশীল বলে বিবেচিত যেকোনো শ্রেণীর ডেটা বোঝায়, যার মধ্যে রয়েছে জাতিগত বা জাতিগত উৎপত্তি, রাজনৈতিক মতামত, ধর্মীয় বা দার্শনিক বিশ্বাস, ট্রেড ইউনিয়ন সদস্যপদ, জেনেটিক ডেটা, বায়োমেট্রিক ডেটা, স্বাস্থ্য সম্পর্কিত ডেটা, অথবা একজন স্বাভাবিক ব্যক্তির যৌন জীবন বা যৌন অভিমুখিতা সম্পর্কিত ডেটা।
• "প্রক্রিয়াকরণ" কোম্পানির ডেটার উপর সম্পাদিত যেকোনো ক্রিয়াকলাপ, যেমন সংগ্রহ, রেকর্ডিং, সংগঠন, সংরক্ষণ, অভিযোজন, পুনরুদ্ধার, ব্যবহার, প্রকাশ, প্রচার, বা ধ্বংস।
• "প্রকল্পের তথ্য" কোম্পানিকে সরবরাহ করা পরিষেবার অংশ হিসেবে বিক্রেতা কর্তৃক সংগৃহীত বা তৈরি করা নির্দিষ্ট ডেটা (যেমন, ভয়েস, ছবি, টেক্সট) বোঝায়।
• "সাব-প্রসেসর" কোম্পানির ডেটা প্রক্রিয়াকরণের জন্য বিক্রেতা কর্তৃক নিযুক্ত যেকোনো তৃতীয় পক্ষকে বোঝায়।

২. বিক্রেতার ভূমিকা এবং বাধ্যবাধকতা

২.১ প্রসেসর/সাব-প্রসেসর হিসেবে ভূমিকা। ভেন্ডর স্বীকার করে যে, কোম্পানির ডেটা প্রক্রিয়াকরণের ক্ষেত্রে, এটি কোম্পানির পক্ষ থেকে একজন “প্রসেসর” বা “সাব-প্রসেসর” হিসেবে কাজ করে। কোম্পানির ডেটার উপর ভেন্ডরের কোনো মালিকানা বা স্বাধীন অধিকার নেই।

২.২ নির্দেশ অনুযায়ী প্রক্রিয়াকরণ। ভেন্ডর শুধুমাত্র কোম্পানির নথিভুক্ত, আইনসম্মত নির্দেশাবলী অনুসারে কোম্পানির ডেটা প্রক্রিয়াকরণ করবে, যার মধ্যে চুক্তি এবং প্রাসঙ্গিক কাজের বিবরণীতে উল্লিখিত নির্দেশাবলীও অন্তর্ভুক্ত। ভেন্ডরের জন্য তার নিজের উদ্দেশ্যে বা কোম্পানি কর্তৃক স্পষ্টভাবে নির্দেশিত নয় এমন কোনো উদ্দেশ্যে কোম্পানির ডেটা প্রক্রিয়াকরণ করা স্পষ্টভাবে নিষিদ্ধ। নির্দেশাবলীতে ডেটা সংরক্ষণ এবং নিষ্পত্তির প্রয়োজনীয়তা অন্তর্ভুক্ত থাকবে। যদি ভেন্ডর মনে করে যে কোনো নির্দেশ প্রযোজ্য ডেটা সুরক্ষা আইন লঙ্ঘন করছে, তবে তাকে অবশ্যই অবিলম্বে কোম্পানিকে জানাতে হবে।

২.৩ আইন প্রতিপালন। বিক্রেতা এই মর্মে নিশ্চয়তা ও অঙ্গীকার প্রদান করছে যে, এই চুক্তি সম্পাদনের ক্ষেত্রে সে সকল প্রযোজ্য তথ্য সুরক্ষা আইন মেনে চলবে এবং যদি কোনো আইন এই প্রতিপালনে বাধা সৃষ্টি করে বা কোম্পানির তথ্য প্রকাশের প্রয়োজন হয় (যেমন, সরকারি প্রবেশাধিকারের অনুরোধ), তবে সে অবিলম্বে কোম্পানিকে অবহিত করবে।

৩. কারিগরি ও সাংগঠনিক নিরাপত্তা ব্যবস্থা

৩.১ নিরাপত্তা মানদণ্ড। বিক্রেতা যেকোনো তথ্য লঙ্ঘন থেকে কোম্পানির ডেটা সুরক্ষিত রাখার জন্য উপযুক্ত প্রযুক্তিগত এবং সাংগঠনিক নিরাপত্তা ব্যবস্থা বাস্তবায়ন ও বজায় রাখবে। এই ব্যবস্থাগুলো ঝুঁকির মাত্রা এবং ডেটার প্রকৃতির সাথে সামঞ্জস্যপূর্ণ হবে এবং ন্যূনতমভাবে নিম্নলিখিত বিষয়গুলো অন্তর্ভুক্ত করবে:

1. এনক্রিপশন: বিশ্রামে এবং পরিবহনের সময় সমস্ত কোম্পানির ডেটা এনক্রিপশন।
2. প্রবেশাধিকার নিয়ন্ত্রণ: ন্যূনতম সুযোগ-সুবিধার উপর ভিত্তি করে কঠোর অ্যাক্সেস নিয়ন্ত্রণ, নিশ্চিত করে যে কেবলমাত্র অনুমোদিত কর্মীদেরই কোম্পানির ডেটা অ্যাক্সেস থাকবে।
3. ডেটা মিনিমাইজেশন: নির্দিষ্ট প্রকল্পের জন্য প্রয়োজনীয় ন্যূনতম পরিমাণ ব্যক্তিগত তথ্য সংগ্রহ এবং প্রক্রিয়াকরণ।
4. নিরাপদ পরিবেশ: কোম্পানির ডেটা প্রক্রিয়াকরণের জন্য ব্যবহৃত সমস্ত সিস্টেম নিরাপদে কনফিগার, প্যাচ, লগ এবং পর্যবেক্ষণ করা হয়েছে তা নিশ্চিত করা।
5. নিরাপদে মুছে ফেলা: কোম্পানির নির্দেশে কোম্পানির তথ্য নিরাপদে এবং স্থায়ীভাবে মুছে ফেলার জন্য প্রক্রিয়া বাস্তবায়ন করা, যার মধ্যে ব্যাকআপ থেকে মুছে ফেলাও অন্তর্ভুক্ত।
6. শারীরিক নিরাপত্তা: কোম্পানির ডেটা যেখানে সংরক্ষণ বা অ্যাক্সেস করা হয় সেই সমস্ত ভৌত অবস্থান এবং ডিভাইসগুলিকে সুরক্ষিত করা।
7. পরীক্ষা ও পর্যবেক্ষণ: নিয়মিত অনুপ্রবেশ পরীক্ষা, দুর্বলতা মূল্যায়ন এবং ক্রমাগত পর্যবেক্ষণ।
8. ব্যবসার ধারাবাহিকতা: দুর্ঘটনার প্রতিক্রিয়া, দুর্যোগ পুনরুদ্ধার এবং ব্যবসায়িক ধারাবাহিকতা পরিকল্পনা বজায় রাখা।

৪. সাব-প্রসেসিং

৪.১ পূর্বানুমতি আবশ্যক। বিক্রেতা, কোম্পানির পূর্বানুমতি ব্যতীত কোম্পানির ডেটা প্রক্রিয়াকরণের জন্য কোনো উপ-প্রসেসরকে নিযুক্ত করতে পারবে না।

৪.২ বাধ্যবাধকতার হস্তান্তর। যদি সম্মতি প্রদান করা হয়, তবে ভেন্ডরকে অবশ্যই সাব-প্রসেসরের সাথে একটি লিখিত চুক্তিতে আবদ্ধ হতে হবে, যা এই আবশ্যকতাগুলো দ্বারা ভেন্ডরের উপর আরোপিত বাধ্যবাধকতার সমান বা তার চেয়েও কঠোর বাধ্যবাধকতা সাব-প্রসেসরের উপর আরোপ করবে।

৪.৩ উপ-প্রসেসর তালিকা। বিক্রেতা উপ-প্রসেসরদের একটি হালনাগাদ তালিকা রক্ষণাবেক্ষণ করবে এবং অনুরোধের ভিত্তিতে তা কোম্পানিকে প্রদান করবে। কোম্পানি যেকোনো সময়ে যেকোনো উপ-প্রসেসরের বিষয়ে আপত্তি জানানোর অধিকার সংরক্ষণ করে।

৪.৪ পূর্ণ দায়। সাব-প্রসেসরের বাধ্যবাধকতা পালনের জন্য এবং সাব-প্রসেসরের যেকোনো কাজ বা ভুলের জন্য বিক্রেতা কোম্পানির কাছে সম্পূর্ণরূপে দায়বদ্ধ থাকবে।

৫. ডেটা লঙ্ঘনের বিজ্ঞপ্তি এবং ব্যবস্থাপনা

৫.১ অবিলম্বে বিজ্ঞপ্তি। বিক্রেতা কোনও ডেটা লঙ্ঘনের বিষয়ে প্রথম অবগত হওয়ার পর অযথা বিলম্ব না করে, এবং কোনও অবস্থাতেই চব্বিশ (24) ঘন্টার বেশি দেরি না করে কোম্পানিকে লিখিতভাবে অবহিত করবে।

৫.২ লঙ্ঘনের বিবরণ। বিজ্ঞপ্তিতে ন্যূনতম যা যা থাকতে হবে:

1. তথ্য লঙ্ঘনের প্রকৃতি বর্ণনা করুন, যার মধ্যে বিভাগ এবং সংশ্লিষ্ট তথ্য বিষয় এবং তথ্য রেকর্ডের আনুমানিক সংখ্যা অন্তর্ভুক্ত রয়েছে।
2. বিক্রেতার তথ্য সুরক্ষা কর্মকর্তা বা অন্যান্য প্রাসঙ্গিক যোগাযোগ বিন্দুর নাম এবং যোগাযোগের বিবরণ প্রদান করুন।
3. তথ্য লঙ্ঘনের সম্ভাব্য পরিণতি বর্ণনা করো।
4. ডেটা লঙ্ঘন মোকাবেলা এবং এর প্রভাব কমাতে বিক্রেতা কর্তৃক গৃহীত বা প্রস্তাবিত ব্যবস্থাগুলি বর্ণনা করুন।

৫.৩ চলমান হালনাগাদ। ঘটনাটি সম্পূর্ণরূপে সমাধান না হওয়া পর্যন্ত বিক্রেতা নিয়মিত হালনাগাদ প্রদান করবে।

৫.৪ সহযোগিতা। যেকোনো ডেটা লঙ্ঘনের তদন্ত, প্রতিকার এবং অবহিতকরণের ক্ষেত্রে বিক্রেতা কোম্পানিকে সম্পূর্ণরূপে সহযোগিতা করবে। এই শর্তাবলী লঙ্ঘনের কারণে ডেটা লঙ্ঘনের সাথে সম্পর্কিত সমস্ত খরচ বিক্রেতা বহন করবে।

6. আন্তর্জাতিক ডেটা স্থানান্তর

৬.১ বিক্রেতা কোম্পানির পূর্ব লিখিত সম্মতি ব্যতীত আন্তর্জাতিক সীমানা জুড়ে কোম্পানির ডেটা স্থানান্তর করবে না। বিক্রেতাকে অবশ্যই সেই সমস্ত দেশের নাম উল্লেখ করতে হবে যেখানে সে কোম্পানির ডেটা প্রসেস করবে।

৬.২ যেখানে প্রয়োজন, বিক্রেতা আইনসম্মত ডেটা স্থানান্তর নিশ্চিত করার জন্য স্ট্যান্ডার্ড কনট্রাকচুয়াল ক্লজেস (এসসিসি), বাইন্ডিং কর্পোরেট রুলস (বিসিআর), ইউকে অ্যাডেন্ডাম, বা কোম্পানি কর্তৃক বাধ্যতামূলক অন্য কোনো ব্যবস্থায় প্রবেশ করতে সম্মত হয়।

৬.৩ প্রযোজ্য ক্ষেত্রে, বিক্রেতা স্থানীয় ডেটা সংরক্ষণের নিয়মাবলী মেনে চলবে।

৭. নিরীক্ষা এবং পরিদর্শন

কোম্পানি, অথবা তার মনোনীত তৃতীয় পক্ষের নিরীক্ষকের, এই প্রয়োজনীয়তাগুলির সাথে বিক্রেতার সম্মতি যাচাই করার জন্য, নিজস্ব খরচে নিরীক্ষা পরিচালনা করার অধিকার থাকবে। বিক্রেতা সমস্ত প্রয়োজনীয় তথ্য, ডকুমেন্টেশন এবং সুযোগ-সুবিধা এবং কর্মীদের অ্যাক্সেস সরবরাহ করবে।

বিক্রেতাকে নিয়মিত তৃতীয় পক্ষের সার্টিফিকেশন (যেমন, ISO 27001, SOC 2) এবং/অথবা স্ব-মূল্যায়ন করতে হবে এবং পারস্পরিক সম্মত সময়সীমার মধ্যে নিরীক্ষা বা মূল্যায়নে চিহ্নিত যেকোনো ত্রুটি তাৎক্ষণিকভাবে সংশোধন করতে হবে।

৮. ডেটা সাবজেক্ট রাইটস অ্যাসিস্ট্যান্স

বিক্রেতা তাৎক্ষণিকভাবে, এবং কোনও অবস্থাতেই আটচল্লিশ (৪৮) ঘন্টার মধ্যে, কোনও ডেটা সাবজেক্টের কাছ থেকে তাদের অধিকার প্রয়োগের জন্য প্রাপ্ত যেকোনো অনুরোধের বিষয়ে কোম্পানিকে অবহিত করবেন (যেমন, অ্যাক্সেস, সংশোধন, মুছে ফেলা, বহনযোগ্যতা)। কোম্পানির নির্দেশ না থাকলে বিক্রেতা সরাসরি এই ধরনের অনুরোধের জবাব দেবেন না এবং কোম্পানির প্রতিক্রিয়া সক্ষম করার জন্য প্রয়োজনীয় সকল সহায়তা প্রদান করবেন।

৯. ডেটা রিটার্ন এবং ডিলিটেশন

চুক্তির সমাপ্তির পর অথবা কোম্পানির অনুরোধে, বিক্রেতা, কোম্পানির পছন্দ অনুসারে, ত্রিশ (30) দিনের মধ্যে সমস্ত কোম্পানির ডেটা নিরাপদে মুছে ফেলবেন বা ফেরত দেবেন। বিক্রেতা ব্যাকআপ থেকে মুছে ফেলা নিশ্চিত করবেন এবং এই ধরনের মুছে ফেলার লিখিত শংসাপত্র প্রদান করবেন।

১০. তথ্যের বিশেষ বিভাগ

১০.১ স্বাস্থ্যসেবা সংক্রান্ত ডেটা (HIPAA): যদি ভেন্ডর কোনো সুরক্ষিত স্বাস্থ্য তথ্য (PHI) প্রক্রিয়াকরণ করে, তবে ভেন্ডর স্বীকার করে যে সে HIPAA-এর অধীনে একজন “বিজনেস অ্যাসোসিয়েট” (বা কোনো বিজনেস অ্যাসোসিয়েটের সাবকন্ট্রাক্টর)। ভেন্ডরকে অবশ্যই HIPAA-এর প্রয়োজনীয়তাগুলো মেনে চলতে হবে এবং কোম্পানির বিজনেস অ্যাসোসিয়েট অ্যাগ্রিমেন্ট (BAA) সম্পাদন করতে হবে।

১০.২ অন্যান্য সংবেদনশীল ডেটা: সংবেদনশীল ব্যক্তিগত ডেটা (বায়োমেট্রিক ডেটা বা শিশুদের ডেটা সহ) জড়িত প্রকল্পগুলির জন্য, বিক্রেতাকে অবশ্যই কোম্পানির অনুমোদন নিতে হবে এবং কোম্পানি কর্তৃক নির্দিষ্ট করা উন্নত নিরাপত্তা ও পরিচালনা প্রোটোকল মেনে চলতে হবে।

১১. ক্ষতিপূরণ এবং দায়বদ্ধতা

বিক্রেতা, তার কর্মচারী, বা তার সাব-প্রসেসরদের দ্বারা এই প্রয়োজনীয়তাগুলির যেকোনও লঙ্ঘনের ফলে উদ্ভূত বা সম্পর্কিত যেকোনও এবং সমস্ত দাবি, দায়, ক্ষতি, ক্ষতি, জরিমানা, জরিমানা এবং ব্যয় (যুক্তিসঙ্গত আইনজীবীর ফি সহ) থেকে কোম্পানি, তার সহযোগী, কর্মকর্তা এবং ক্লায়েন্টদের রক্ষা করতে, ক্ষতিপূরণ দিতে এবং ক্ষতিহীন রাখতে সম্মত হচ্ছেন।

তথ্য লঙ্ঘন, নিয়ন্ত্রক জরিমানা, ইচ্ছাকৃত অসদাচরণ, বা জালিয়াতির সাথে জড়িত লঙ্ঘনের জন্য দায়বদ্ধতা সীমাবদ্ধ থাকবে না।

12। সাধারণ বিধান

১২.১ প্রাধান্য। চুক্তির শর্তাবলী এবং এই আবশ্যকতাসমূহের মধ্যে কোনো বিরোধ দেখা দিলে, তথ্য সুরক্ষার ক্ষেত্রে এই আবশ্যকতাসমূহই প্রাধান্য পাবে।

১২.২ পরিবর্তন। এই শর্তাবলী শুধুমাত্র উভয় পক্ষের ক্ষমতাপ্রাপ্ত প্রতিনিধিদের দ্বারা স্বাক্ষরিত একটি লিখিত সংশোধনীর মাধ্যমে পরিবর্তন করা যেতে পারে।

১২.৩ স্থায়িত্ব। গোপনীয়তা, তথ্য মুছে ফেলা, দায়বদ্ধতা এবং নিরীক্ষার অধিকার সম্পর্কিত বাধ্যবাধকতাগুলো চুক্তির অবসানের পরেও বলবৎ থাকবে।

১২.৪ প্রযোজ্য আইন। এই শর্তাবলী চুক্তিতে উল্লিখিত প্রযোজ্য আইন দ্বারা পরিচালিত ও ব্যাখ্যা করা হবে।