Data Processing Addendum

এই Data Processing Addendum (“DPA”) BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “আমরা”) এবং LumaKol-এর পরিষেবার শর্তাবলি গ্রহণকারী গ্রাহকের (“গ্রাহক”, “আপনি”) মধ্যে।

এই DPA প্রতিটি গ্রাহকের জন্য পরিষেবার শর্তাবলির অংশ এবং LumaKol গ্রাহকের পক্ষে ব্যক্তিগত ডেটা প্রসেস করলেই প্রযোজ্য — ভারতের Digital Personal Data Protection Act, 2023, GDPR, UK GDPR বা অন্য যেকোনো ডেটা সুরক্ষা আইনের অধীনে। এটি স্বয়ংক্রিয়ভাবে প্রযোজ্য; আপনাকে এতে স্বাক্ষর করতে হবে না।

কোনো গ্রাহক তার রেকর্ডের জন্য পাল্টা-স্বাক্ষরিত কপি চাইলে [email protected]এ অনুরোধ করতে পারেন। ব্যক্তিগত ডেটার সুরক্ষা নিয়ে এই DPA ও পরিষেবার শর্তাবলি সাংঘর্ষিক হলে এই DPA প্রাধান্য পায়।

• “ডেটা সুরক্ষা আইন” মানে প্রসেসিংয়ে প্রযোজ্য প্রতিটি ডেটা সুরক্ষা আইন, যার মধ্যে আছে ভারতের Digital Personal Data Protection Act, 2023 ও তার অধীনে প্রণীত বিধি (“DPDP Act”), EU General Data Protection Regulation 2016/679 (GDPR), UK GDPR ও UK Data Protection Act 2018, এবং সংশোধিত California Consumer Privacy Act (“CCPA”)।
• “গ্রাহকের ব্যক্তিগত ডেটা” মানে পরিষেবা প্রদানের জন্য LumaKol গ্রাহকের পক্ষে যে ব্যক্তিগত ডেটা প্রসেস করে।
• “কন্ট্রোলার”, “প্রসেসর”, “ডেটা সাবজেক্ট”, “ব্যক্তিগত ডেটা লঙ্ঘন” ও “প্রসেসিং”-এর অর্থ ডেটা সুরক্ষা আইনে দেওয়া অর্থ। যেখানে DPDP Act প্রযোজ্য, সেখানে “কন্ট্রোলার” মানে Data Fiduciary, “প্রসেসর” মানে Data Processor এবং “ডেটা সাবজেক্ট” মানে Data Principal।
• “সাব-প্রসেসর” মানে এমন তৃতীয় পক্ষ যাকে LumaKol গ্রাহকের ব্যক্তিগত ডেটা প্রসেস করতে নিযুক্ত করে।
• “SCCs” মানে Implementing Decision (EU) 2021/914-এ ইউরোপীয় কমিশন অনুমোদিত স্ট্যান্ডার্ড কন্ট্রাক্টচুয়াল ক্লজ, এবং “UK Addendum” মানে UK Information Commissioner-এর ইস্যু করা International Data Transfer Addendum।

অন্যান্য সংজ্ঞায়িত শব্দের অর্থ পরিষেবার শর্তাবলিতে দেওয়া অর্থ।

গ্রাহক গ্রাহকের ব্যক্তিগত ডেটার কন্ট্রোলার এবং LumaKol তার প্রসেসর। যেখানে গ্রাহক নিজেই অন্য কোনো কন্ট্রোলারের পক্ষে কাজ করা একজন প্রসেসর, সেখানে LumaKol তার সাব-প্রসেসর এবং সংশ্লিষ্ট নির্দেশ পৌঁছে দেওয়ার দায়িত্ব গ্রাহকের।

গ্রাহকের অ্যাকাউন্ট চালাতে প্রয়োজনীয় ব্যক্তিগত ডেটার জন্য, যেমন ব্যবহারকারীর নাম, সাইন-ইনের তথ্য ও বিলিংয়ের রেকর্ড, LumaKol একটি পৃথক কন্ট্রোলার। সেই ডেটা এই DPA নয়, গোপনীয়তা নীতির আওতায়।

যেখানে CCPA প্রযোজ্য, সেখানে গ্রাহক একটি “business” এবং LumaKol তার “service provider”। LumaKol গ্রাহকের ব্যক্তিগত ডেটা বিক্রি বা শেয়ার করবে না, পরিষেবা প্রদান ছাড়া অন্য কোনো উদ্দেশ্যে বা গ্রাহকের সাথে সরাসরি ব্যবসায়িক সম্পর্কের বাইরে তা রাখবে, ব্যবহার বা প্রকাশ করবে না, এবং CCPA যতটা অনুমতি দেয় তার বাইরে অন্য উৎসের ব্যক্তিগত ডেটার সাথে মেলাবে না। LumaKol এই বাধ্যবাধকতা আর পূরণ করতে না পারলে গ্রাহককে জানাবে।

প্রসেসিংয়ের জন্য একটি আইনসম্মত ভিত্তি রাখা (DPDP Act-এর অধীনে সম্মতি বা বৈধ ব্যবহার), গ্রাহকের ব্যক্তিগত ডেটার নির্ভুলতা, যাদের সাথে যোগাযোগ করা হয় তাঁদের আইন অনুযায়ী প্রয়োজনীয় নোটিস দেওয়া, এবং মার্কেটিং কল ও কল রেকর্ডিং সংক্রান্ত আইন নিজে মেনে চলার দায়িত্ব গ্রাহকের।

• বিষয়বস্তু: LumaKol প্রদান, একটি কলিং CRM যেখানে গ্রাহকের টিম লিড পরিচালনা করে, নিজেদের মোবাইল ফোন থেকে কল করে এবং প্রতিটি কলের ফলাফল রেকর্ড করে।
• মেয়াদ: গ্রাহক যতদিন পরিষেবা ব্যবহার করেন ততদিন, এবং তার পরে “মোছা ও ফেরত” অনুযায়ী ডেটা মোছা না হওয়া পর্যন্ত।
• প্রকৃতি: সংগ্রহ, সংরক্ষণ, বিন্যাস, পুনরুদ্ধার, প্রদর্শন, গ্রাহকের ব্যবহারকারী ও ডিভাইসে প্রেরণ, এবং মোছা।
• উদ্দেশ্য: গ্রাহকের জন্য পরিষেবা প্রদান, সুরক্ষা ও সাপোর্ট, এবং অন্য কোনো উদ্দেশ্যে নয়।

LumaKol গ্রাহকের ব্যক্তিগত ডেটা শুধু গ্রাহকের নথিভুক্ত নির্দেশে প্রসেস করে। পরিষেবার শর্তাবলি, এই DPA এবং গ্রাহকের পরিষেবা ব্যবহার ও কনফিগারেশনই সেই নির্দেশ। কোনো নির্দেশ ডেটা সুরক্ষা আইন ভঙ্গ করে বলে LumaKol মনে করলে গ্রাহককে জানাবে, যদি না আইন তা নিষেধ করে।

আইন যদি LumaKol-কে গ্রাহকের ব্যক্তিগত ডেটা অন্যভাবে প্রসেস করতে বাধ্য করে, তবে তা করার আগে গ্রাহককে জানাবে, যদি না আইন তা নিষেধ করে।

LumaKol নিশ্চিত করে যে গ্রাহকের ব্যক্তিগত ডেটা প্রসেস করার জন্য অনুমোদিত প্রত্যেকে গোপনীয়তার দায়িত্বে আবদ্ধ। গ্রাহকের ব্যক্তিগত ডেটায় কর্মীদের অ্যাক্সেস পরিষেবা পরিচালনা ও সাপোর্টের জন্য যতটা দরকার ততটায় সীমিত, এবং তা লগ করা হয়।

LumaKol ঝুঁকির সাথে সামঞ্জস্যপূর্ণ প্রযুক্তিগত ও সাংগঠনিক ব্যবস্থা বজায় রাখে, যার মধ্যে আছে:

• ট্রানজিটে ডেটার এনক্রিপশন (TLS), সংরক্ষিত অবস্থায় ডেটাবেসের এনক্রিপশন, এবং টোকেন ও সংযুক্ত-মেইলবক্সের পাসওয়ার্ডের মতো গোপন তথ্যের জন্য AES-256 এনক্রিপশনের দ্বিতীয় স্তর;
• ওয়ার্কস্পেস অনুযায়ী প্রতিটি গ্রাহকের ডেটা আলাদা রাখা, প্রতিটি কোয়েরি গ্রাহকের ওয়ার্কস্পেস দিয়ে ফিল্টার করা;
• Argon2id দিয়ে হ্যাশ করা পাসওয়ার্ড এবং শুধু হ্যাশ হিসেবে সংরক্ষিত সেশন টোকেন;
• সাইন-ইনে রেট লিমিটিং ও লকআউট;
• প্রোডাক্টে রোল-ভিত্তিক অ্যাক্সেস, ফোন নম্বর মাস্ক করা, এক্সপোর্ট সীমিত করা এবং কে রেকর্ডিং শুনতে পারবে তা সীমিত করার বিকল্পসহ;
• সংবেদনশীল কাজের শুধু-সংযোজনযোগ্য অডিট লগ;
• LumaKol কর্মীদের জন্য মাল্টি-ফ্যাক্টর অথেন্টিকেশন, প্রোডাকশন ডেটায় লগ করা অ্যাক্সেসসহ;
• ব্যর্থতার পরে পুনরুদ্ধারের জন্য ব্যাকআপ, যা প্রায় চার সপ্তাহের মধ্যে মুছে যায়।

সামগ্রিক সুরক্ষার স্তর না কমলে LumaKol এই ব্যবস্থাগুলো হালনাগাদ করতে পারে।

গ্রাহক LumaKol-কে নিচের টেবিলে বর্ণিত সাব-প্রসেসরদের নিযুক্ত করার অনুমতি দিচ্ছেন। LumaKol প্রতিটি সাব-প্রসেসরকে লিখিত চুক্তির মাধ্যমে এই DPA-এর চেয়ে কম সুরক্ষামূলক নয় এমন ডেটা সুরক্ষা বাধ্যবাধকতায় আবদ্ধ করে, এবং প্রতিটি সাব-প্রসেসরের কাজের জন্য গ্রাহকের কাছে দায়ী থাকে। বর্তমান সাব-প্রসেসরদের নাম যেকোনো গ্রাহককে অনুরোধে [email protected]এ দেওয়া হয়, এবং সেগুলো এই DPA-এর অংশ।

কোনো নতুন সাব-প্রসেসর গ্রাহকের ব্যক্তিগত ডেটা প্রসেস করা শুরুর আগে LumaKol অন্তত 30 দিন আগে ইমেইলে ওয়ার্কস্পেসের মালিককে তার নাম উল্লেখ করে জানাবে। গ্রাহক সেই সময়ের মধ্যে যুক্তিসঙ্গত ডেটা সুরক্ষার কারণে আপত্তি জানাতে পারেন। পক্ষগুলো আপত্তির সমাধান করতে না পারলে গ্রাহক পরিষেবার প্রভাবিত অংশ ব্যবহার বন্ধ করতে বা সাবস্ক্রিপশন শেষ করতে পারেন।

iPhone অ্যাপ প্রকাশিত হলে iPhone প্ল্যাটফর্মের নিজস্ব পরিষেবা এর পুশ নোটিফিকেশন পৌঁছাবে; তা হওয়ার আগে আমরা উপরে বর্ণিত নোটিসসহ এটিকে এই তালিকায় যোগ করব। Google Drive, Sheets ও Calendar, Microsoft Outlook ক্যালেন্ডার এবং Facebook ও Instagram লিড বিজ্ঞাপন এখনো সংযুক্ত করা যায় না।

কল রেকর্ডিং LumaKol-এর সার্ভারে সংরক্ষিত। ভয়েস নোট ও ফিল্ড-ভিজিটের ছবি LumaKol-এর সার্ভারে নয়, যে টিম সদস্য Google Drive সংযুক্ত করবেন তাঁর Drive-এ সংরক্ষিত হবে।

গ্রাহক তার নিজের লিডদের যে ইমেইল পাঠায় তা LumaKol-এর ইমেইল প্রদানকারীর মাধ্যমে নয়, গ্রাহকের নিজের মেইলবক্সের (সেটিংস → ইমেইল) মাধ্যমে যায়। গ্রাহক নিজে যে সিস্টেম সংযুক্ত করেন, যেমন তার নিজের ওয়েবসাইট, লিড সোর্স, API ক্লায়েন্ট ও ওয়েবহুক এন্ডপয়েন্ট, সেগুলো গ্রাহকের নির্দেশে ডেটা পায় এবং LumaKol-এর সাব-প্রসেসর নয়।

পরিষেবা গ্রাহককে তার লিডদের ডেটা খুঁজতে, সংশোধন, এক্সপোর্ট ও মুছতে এবং কোনো লিডে আর কল ব্লক করতে দেয়, যাতে বেশিরভাগ ডেটা-সাবজেক্টের অনুরোধের উত্তর গ্রাহক নিজেই দিতে পারেন। যেখানে পারেন না, সেখানে প্রসেসিংয়ের প্রকৃতি বিবেচনা করে LumaKol অনুরোধে সাহায্য করবে।

গ্রাহকের ব্যক্তিগত ডেটা নিয়ে কোনো ডেটা সাবজেক্টের কাছ থেকে LumaKol সরাসরি অনুরোধ পেলে অযথা দেরি না করে তা গ্রাহকের কাছে পাঠাবে এবং গ্রাহকের নির্দেশ ছাড়া উত্তর দেবে না।

LumaKol গ্রাহকের ডেটা সুরক্ষা প্রভাব মূল্যায়ন এবং তত্ত্বাবধায়ক কর্তৃপক্ষের সাথে পরামর্শেও যুক্তিসঙ্গত সাহায্য দেবে, যতটা তা LumaKol-এর প্রসেসিংয়ের সাথে সম্পর্কিত।

গ্রাহকের ব্যক্তিগত ডেটাকে প্রভাবিত করে এমন কোনো ব্যক্তিগত ডেটা লঙ্ঘন সম্পর্কে জানার পরে LumaKol অযথা দেরি না করে, এবং যেকোনো ক্ষেত্রে 48 ঘণ্টার মধ্যে, গ্রাহককে জানাবে, যাতে গ্রাহক নিয়ন্ত্রক ও প্রভাবিত ব্যক্তিদের জানানোর নিজস্ব দায়িত্ব পালন করতে পারেন — যেমন GDPR ও DPDP Act-এর বিধির অধীনে 72 ঘণ্টার মধ্যে। নোটিসে, তখন পর্যন্ত যতটা জানা যায়, লঙ্ঘনের প্রকৃতি, প্রভাবিত ব্যক্তি ও রেকর্ডের শ্রেণি ও আনুমানিক সংখ্যা, সম্ভাব্য পরিণতি এবং গৃহীত বা প্রস্তাবিত ব্যবস্থা বর্ণনা করা হবে, এবং আরও তথ্যের জন্য একজন কনট্যাক্টের নাম দেওয়া হবে।

আরও জানা গেলে LumaKol গ্রাহককে আপডেট করবে এবং লঙ্ঘন নিয়ন্ত্রণ ও এর প্রভাব সীমিত করতে যুক্তিসঙ্গত পদক্ষেপ নেবে। লঙ্ঘনের বিজ্ঞপ্তি দোষ স্বীকার নয়।

সাবস্ক্রিপশন চলাকালীন গ্রাহক তার লিড CSV-তে এক্সপোর্ট করতে এবং পাবলিক API-এর মাধ্যমে তার ডেটা পড়তে পারেন। গ্রাহক তার ওয়ার্কস্পেস বন্ধ করলে, অথবা বাতিল বা পেমেন্ট না হওয়ায় বিরতির পরে পেমেন্টের শর্তাবলিতে উল্লিখিত সংরক্ষণকাল শেষ হলে, LumaKol পরিষেবা থেকে গ্রাহকের ব্যক্তিগত ডেটা মুছে ফেলে।

ব্যাকআপের কপি চলমান সময়সূচিতে মেয়াদোত্তীর্ণ হয় এবং তখন মুছে ফেলা হয়। LumaKol শুধু সেখানেই ডেটা রাখতে পারে যেখানে আইন দাবি করে, এবং তখনও শুধু সেই ডেটা, এই DPA-এর অধীনে সুরক্ষিত, আইন যতদিন দাবি করে ততদিন।

যুক্তিসঙ্গত অনুরোধে LumaKol এই DPA ও GDPR-এর Article 28-এর অধীনে তার বাধ্যবাধকতা পূরণ করছে তা দেখানোর জন্য প্রয়োজনীয় তথ্য দেবে, যেমন নিরাপত্তা প্রশ্নাবলির লিখিত উত্তর।

সেই তথ্য যথেষ্ট না হলে গ্রাহক নিজে বা গোপনীয়তায় আবদ্ধ একজন স্বাধীন অডিটরের মাধ্যমে LumaKol-এর সম্মতি অডিট করতে পারেন — অন্তত 30 দিনের লিখিত নোটিসে, কাজের সময়ে, বছরে একবারের বেশি নয় যদি না কোনো তত্ত্বাবধায়ক কর্তৃপক্ষ দাবি করে বা কোনো ব্যক্তিগত ডেটা লঙ্ঘনের পরে, এবং গ্রাহকের খরচে। পক্ষগুলো আগে থেকেই পরিধি ঠিক করবে, যাতে অডিট পরিষেবায় বিঘ্ন না ঘটায় বা অন্য গ্রাহকদের ডেটা প্রকাশ না করে।

LumaKol গ্রাহকের ব্যক্তিগত ডেটা ভারতে, পরিষেবা যেখানে হোস্ট করা সেই সিঙ্গাপুর ও জাপানে, এবং যে দেশগুলোতে এর সাব-প্রসেসররা কাজ করে সেখানে প্রসেস করে। যেখানে এতে EEA থেকে, বা UK থেকে, adequacy সিদ্ধান্ত বা বিধিমালা নেই এমন কোনো দেশে ব্যক্তিগত ডেটার স্থানান্তর জড়িত, সেখানে পক্ষগুলো সম্মত যে:

• EEA ডেটার জন্য SCCs প্রযোজ্য এবং রেফারেন্সের মাধ্যমে এই DPA-তে অন্তর্ভুক্ত: গ্রাহক কন্ট্রোলার হলে Module Two (controller to processor), এবং গ্রাহক প্রসেসর হলে Module Three (processor to processor), ঐচ্ছিক ডকিং ক্লজ, Clause 9-এ option 2 (সাধারণ অনুমোদন), এবং Clauses 17 ও 18-এ আয়ারল্যান্ডের প্রযোজ্য আইন ও আদালতসহ;
• UK ডেটার জন্য UK Addendum প্রযোজ্য এবং রেফারেন্সের মাধ্যমে অন্তর্ভুক্ত, এর টেবিলগুলো এই DPA-এর তথ্য দিয়ে পূরণ করা;
• SCCs তাদের সংযুক্তিতে যে তথ্য চায় তা উপরের “পক্ষসমূহ”, “বিষয়বস্তু, মেয়াদ, প্রকৃতি ও উদ্দেশ্য”, “ডেটা সাবজেক্ট ও ব্যক্তিগত ডেটা”, “নিরাপত্তা ব্যবস্থা” ও “সাব-প্রসেসরের তালিকা”-র তথ্য।

যেখানে DPDP Act প্রযোজ্য, সেখানে ভারত সরকার যে দেশ বা অঞ্চল সীমাবদ্ধ করেছে সেখানে LumaKol গ্রাহকের ব্যক্তিগত ডেটা স্থানান্তর করবে না।

SCCs বা UK Addendum এই DPA-এর সাথে সাংঘর্ষিক হলে সেগুলো প্রাধান্য পায়। LumaKol তার সাব-প্রসেসরদের উপযুক্ত সুরক্ষার মাধ্যমে পরবর্তী স্থানান্তর সুরক্ষিত রাখতে বাধ্য করে।

এই DPA-এর অধীনে প্রত্যেক পক্ষের দায় পরিষেবার শর্তাবলির সীমার অধীন, তবে যেখানে ডেটা সুরক্ষা আইন বা SCCs দায় সীমিত করতে দেয় না সেখানে নয়।

LumaKol যতদিন গ্রাহকের ব্যক্তিগত ডেটা প্রসেস করে ততদিন এই DPA বলবৎ থাকে। যে বাধ্যবাধকতাগুলো প্রকৃতিগতভাবে বহাল থাকা উচিত, যেমন গোপনীয়তা রক্ষা ও মোছা, সেগুলো এর সমাপ্তির পরেও বহাল থাকে। আইন বা পরিষেবার পরিবর্তন প্রতিফলিত করতে LumaKol এই DPA হালনাগাদ করতে পারে; এটি গ্রাহকের ব্যক্তিগত ডেটার সুরক্ষা কমাবে না, এবং উপরের “সর্বশেষ আপডেট” তারিখ বর্তমান সংস্করণ দেখায়।

এই DPA নিয়ে প্রশ্ন, এর অধীনে নোটিস এবং পাল্টা-স্বাক্ষরিত কপির অনুরোধ [email protected]এ পাঠান।

স্বাক্ষরিত কপির অনুরোধ করুন: আপনার প্রতিষ্ঠানের আইনি নাম ও ঠিকানাসহ [email protected]এ লিখুন, আমরা এই DPA পাল্টা-স্বাক্ষর করে ফেরত পাঠাব।