ডেটা প্রসেসিং চুক্তি

দলসমূহ

এই তথ্য প্রক্রিয়াকরণ চুক্তি (“ডিপিএ” বা “চুক্তি”) নিম্নলিখিত পক্ষগুলোর মধ্যে স্বাক্ষরিত হলো:

ডেটা কন্ট্রোলার (“কন্ট্রোলার” বা “কাস্টমার”)

ডেটা প্রসেসর (“প্রসেসর” বা “জাইজেনি”):

কন্ট্রোলার এবং প্রসেসরকে অতঃপর পৃথকভাবে “পক্ষ” এবং সম্মিলিতভাবে “পক্ষসমূহ” হিসাবে উল্লেখ করা হবে।

এই ডিপিএ পক্ষগুলোর মধ্যেকার মাস্টার সার্ভিস এগ্রিমেন্ট বা টার্মস অফ সার্ভিস (“মূল চুক্তি”)-এর একটি অংশ, যা জাইজেনি কর্তৃক তার অ্যাপ্লিকেশন নিরাপত্তা প্রদানের বিষয়টিকে নিয়ন্ত্রণ করে। software supply chain security পরিষেবাসমূহ (“পরিষেবাসমূহ”)। এই ডিপিএ এবং মূল চুক্তির মধ্যে কোনো বিরোধ দেখা দিলে, তথ্য সুরক্ষা সংক্রান্ত বিষয়ে এই ডিপিএ-ই প্রাধান্য পাবে।

1। সংজ্ঞা

এই ডিপিএ-এর উদ্দেশ্যে:

• "GDPR" এর অর্থ হলো ব্যক্তিগত তথ্য প্রক্রিয়াকরণের ক্ষেত্রে স্বাভাবিক ব্যক্তিদের সুরক্ষার বিষয়ে ইউরোপীয় সংসদ এবং পরিষদের ২৭ এপ্রিল ২০১৬-এর প্রবিধান (ইইউ) ২০১৬/৬৭৯।
• “LOPDGDD” মানে Ley Organica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• ব্যক্তিগত তথ্য, প্রক্রিয়াকরণ, নিয়ন্ত্রক, প্রসেসর, উপ-প্রসেসর, ডেটা সাবজেক্ট, তত্ত্বাবধায়ক কর্তৃপক্ষ, ব্যক্তিগত তথ্য লঙ্ঘন GDPR-এ এগুলোর জন্য নির্ধারিত অর্থ থাকবে।
• "গ্রাহক তথ্য" এর অর্থ হলো কন্ট্রোলার কর্তৃক বা তার পক্ষ থেকে পরিষেবাগুলিতে জমা দেওয়া যেকোনো ব্যক্তিগত ডেটা, অথবা পরিষেবাগুলির সাথে সম্পর্কিতভাবে কন্ট্রোলারের পক্ষ থেকে প্রসেসর কর্তৃক প্রক্রিয়াকৃত ডেটা।
• "সাব-প্রসেসর" এর অর্থ হলো প্রসেসর কর্তৃক নিযুক্ত এমন কোনো তৃতীয় পক্ষ, যা কন্ট্রোলারের পূর্বানুমতিক্রমে (ধারা ৭-এ বর্ণিত) কন্ট্রোলারের পক্ষে গ্রাহক ডেটা প্রক্রিয়াকরণ করে।
• “এসসিসি” মানে Standard ইউরোপীয় কমিশন কর্তৃক অনুমোদিত GDPR অনুসারে তৃতীয় দেশে ব্যক্তিগত তথ্য স্থানান্তরের জন্য চুক্তিভিত্তিক ধারাসমূহcisইউরোপীয় ইউনিয়ন (ইইউ) ২০২১/৯১৪, ৪ জুন ২০২১।
• "সেবা" মানে application security posture management, software supply chain securityমূল চুক্তির অধীনে কন্ট্রোলারকে জাইজেনি কর্তৃক প্রদত্ত দুর্বলতা সনাক্তকরণ এবং সংশ্লিষ্ট পরিষেবা।
• প্রযোজ্য তথ্য সুরক্ষা আইন এর অর্থ হলো জিডিপিআর, এলওপিডিজিডিডি এবং সময়ে সময়ে সংশোধিত অন্য যেকোনো প্রযোজ্য জাতীয় তথ্য সুরক্ষা আইন।

২. পক্ষসমূহের ভূমিকা

পক্ষগণ স্বীকার করে এবং সম্মত হয় যে:

• কন্ট্রোলার গ্রাহক তথ্যের ক্ষেত্রে ডেটা কন্ট্রোলার হিসেবে কাজ করে এবং পরিষেবাগুলিতে জমা দেওয়া গ্রাহক তথ্য প্রক্রিয়াকরণের উদ্দেশ্য ও উপায় নির্ধারণের জন্য দায়ী থাকে।
• প্রসেসর গ্রাহক তথ্যের ক্ষেত্রে ডেটা প্রসেসর হিসেবে কাজ করে এবং শুধুমাত্র কন্ট্রোলারের পক্ষে ও তার লিখিত নির্দেশনার ভিত্তিতেই উক্ত তথ্য প্রক্রিয়াকরণ করে।
• প্রতিটি পক্ষ নিয়ন্ত্রক বা প্রসেসর হিসাবে তার নিজ নিজ ভূমিকায় প্রযোজ্য তথ্য সুরক্ষা আইনের অধীনে তার বাধ্যবাধকতাগুলি মেনে চলবে।

যেখানে জাইজেনি তার নিজস্ব উদ্দেশ্যে (যেমন, অ্যাকাউন্ট ব্যবস্থাপনা, বিলিং, পরিষেবা উন্নয়ন বিশ্লেষণ) ব্যক্তিগত ডেটা প্রক্রিয়াকরণ করে, সেখানে এটি একটি স্বাধীন কন্ট্রোলার হিসেবে কাজ করে। এই ধরনের প্রক্রিয়াকরণ জাইজেনির গোপনীয়তা নীতি দ্বারা পরিচালিত হয় এবং এই ডিপিএ-এর আওতার বাইরে।

৩. প্রক্রিয়াকরণের বিষয়বস্তু, প্রকৃতি এবং উদ্দেশ্য

এই ডিপিএ-এর তফসিল ১ (প্রক্রিয়াকরণের বিবরণ)-এ প্রক্রিয়াকরণের বিষয়বস্তু, প্রকৃতি, সময়কাল ও উদ্দেশ্য, সেইসাথে প্রক্রিয়াকৃত ব্যক্তিগত তথ্যের প্রকারভেদ এবং তথ্য প্রদানকারীর শ্রেণীবিভাগ উল্লেখ করা হয়েছে।

প্রসেসর, প্রযোজ্য আইন দ্বারা বাধ্য না হলে, মূল চুক্তিতে বর্ণিত পরিষেবাগুলি প্রদান করার জন্য যতটুকু প্রয়োজন ততটুকুই এবং কন্ট্রোলারের নথিভুক্ত নির্দেশাবলী অনুসারে গ্রাহকের ডেটা প্রক্রিয়া করবে। সেক্ষেত্রে, গুরুত্বপূর্ণ জনস্বার্থের কারণে আইন দ্বারা নিষিদ্ধ না হলে, প্রসেসর প্রক্রিয়াকরণের আগে কন্ট্রোলারকে সেই আইনি বাধ্যবাধকতা সম্পর্কে অবহিত করবে।

৪. নিয়ন্ত্রকের নির্দেশাবলী

কন্ট্রোলার প্রসেসরকে গ্রাহকের ডেটা প্রক্রিয়াকরণ করার জন্য নির্দেশ দেন, যা নিম্নলিখিত উদ্দেশ্যে প্রয়োজনীয়: (ক) মূল চুক্তি অনুসারে পরিষেবা প্রদান করা; (খ) সময়ে সময়ে লিখিতভাবে জানানো কন্ট্রোলারের নির্দেশাবলী মেনে চলা; এবং (গ) এই ডিপিএ-এর অধীনে প্রসেসরের বাধ্যবাধকতা পূরণ করা।

প্রসেসর তার যুক্তিসঙ্গত মতে যদি কন্ট্রোলারের কোনো নির্দেশনা প্রযোজ্য ডেটা সুরক্ষা আইন লঙ্ঘন করে বলে মনে করে, তবে সে অবিলম্বে কন্ট্রোলারকে তা জানাবে। সেক্ষেত্রে, কন্ট্রোলার নির্দেশনাটি স্পষ্ট বা সংশোধন না করা পর্যন্ত প্রসেসর উক্ত নির্দেশনা অনুসারে ডেটা প্রক্রিয়াকরণ বন্ধ করার অধিকারী হবে।

কন্ট্রোলার এই মর্মে নিশ্চয়তা ও ঘোষণা প্রদান করছে যে: (ক) প্রাসঙ্গিক ব্যক্তিগত ডেটা প্রক্রিয়াকরণের জন্য GDPR-এর ধারা ৬ (এবং, যেখানে প্রযোজ্য, ধারা ৯)-এর অধীনে এর একটি বৈধ আইনসম্মত ভিত্তি রয়েছে; (খ) এটি সমস্ত প্রয়োজনীয় বিজ্ঞপ্তি প্রদান করেছে এবং সমস্ত প্রয়োজনীয় সম্মতি প্রাপ্ত করেছে; এবং (গ) প্রসেসরের কাছে গ্রাহক ডেটা হস্তান্তর কোনো প্রযোজ্য আইন লঙ্ঘন করে না।

৫. প্রসেসরের বাধ্যবাধকতা

৫.১ প্রক্রিয়াকরণের সীমাবদ্ধতা

প্রসেসর, প্রযোজ্য ইইউ বা সদস্য রাষ্ট্রের আইন দ্বারা বাধ্য না হলে, কন্ট্রোলারের লিখিত নির্দেশনা অনুযায়ীই কেবল গ্রাহকের ডেটা প্রসেস করবে। প্রসেসর তার নিজের উদ্দেশ্যে গ্রাহকের ডেটা প্রসেস করবে না বা পরিষেবা প্রদানের জন্য প্রয়োজনীয় ক্ষেত্র অথবা আইন দ্বারা আবশ্যক ক্ষেত্র ব্যতীত তৃতীয় পক্ষের কাছে তা প্রকাশ করবে না।

5.2 গোপনীয়তা

প্রসেসর নিশ্চিত করবে যে গ্রাহক ডেটা প্রক্রিয়াকরণের জন্য অনুমোদিত ব্যক্তিদের কাছে রয়েছে commitগোপনীয়তা রক্ষায় প্রতিশ্রুতিবদ্ধ অথবা গোপনীয়তা রক্ষার জন্য একটি উপযুক্ত বিধিবদ্ধ বাধ্যবাধকতার অধীনে রয়েছেন। গ্রাহক ডেটাতে প্রবেশাধিকার শুধুমাত্র সেইসব কর্মচারী, ঠিকাদার এবং সাব-প্রসেসরদের মধ্যে সীমাবদ্ধ থাকবে, যাদের পরিষেবা প্রদানের উদ্দেশ্যে এই প্রবেশাধিকার প্রয়োজন।

৫.৩ নিরাপত্তা ব্যবস্থা

প্রসেসর গ্রাহকের ডেটাকে অননুমোদিত বা বেআইনি প্রক্রিয়াকরণ এবং আকস্মিক ক্ষতি, ধ্বংস, বিকৃতি, পরিবর্তন বা প্রকাশ থেকে রক্ষা করার জন্য উপযুক্ত প্রযুক্তিগত এবং সাংগঠনিক ব্যবস্থা বাস্তবায়ন ও বজায় রাখবে, নিম্নলিখিত বিষয়গুলো বিবেচনায় রেখে:

• সর্বাধুনিক প্রযুক্তি এবং বাস্তবায়নের খরচ;
• প্রক্রিয়াকরণের প্রকৃতি, পরিধি, প্রেক্ষাপট এবং উদ্দেশ্যসমূহ;
• ব্যক্তিদের অধিকার ও স্বাধীনতার ঝুঁকি, বিশেষ করে প্রেরিত, সংরক্ষিত বা অন্য কোনোভাবে প্রক্রিয়াকৃত গ্রাহক তথ্যের আকস্মিক বা বেআইনি ধ্বংস, ক্ষতি, পরিবর্তন, অননুমোদিত প্রকাশ বা তাতে প্রবেশাধিকারের কারণে উদ্ভূত ঝুঁকি।

এই ধরনের ব্যবস্থাগুলির মধ্যে ন্যূনতমভাবে এই ডিপিএ-এর তফসিল ২ (প্রযুক্তিগত এবং সাংগঠনিক নিরাপত্তা ব্যবস্থা)-তে উল্লিখিত ব্যবস্থাগুলি অন্তর্ভুক্ত থাকবে। প্রসেসরের ISO 27001 সার্টিফিকেশন একটি বেসলাইন তথ্য নিরাপত্তা ব্যবস্থাপনা সিস্টেমের প্রমাণ দেয়। প্রসেসর এই ডিপিএ-এর সম্পূর্ণ মেয়াদ জুড়ে ISO 27001 সার্টিফিকেশন বা সমতুল্য সার্টিফিকেশন বজায় রাখবে।

৫.৪ ডেটা বিষয়বস্তুর অধিকার

প্রসেসর, প্রক্রিয়াকরণের প্রকৃতি বিবেচনায় রেখে, যথাযথ প্রযুক্তিগত ও সাংগঠনিক ব্যবস্থার মাধ্যমে, যতদূর সম্ভব, কন্ট্রোলারকে কার্য সম্পাদনের অনুরোধে সাড়া দেওয়ার বাধ্যবাধকতা পূরণে সহায়তা করবে।cisপ্রযোজ্য ডেটা সুরক্ষা আইনের অধীনে ডেটা সাবজেক্টদের অধিকারসমূহ (জিডিপিআর-এর ১৫-২২ ধারা অনুযায়ী অ্যাক্সেস, সংশোধন, মুছে ফেলা, সীমাবদ্ধতা, পোর্টেবিলিটি এবং আপত্তির অধিকার সহ)।

প্রসেসর: (ক) গ্রাহক ডেটা সংক্রান্ত কোনো ডেটা সাবজেক্টের কাছ থেকে অনুরোধ পেলে কন্ট্রোলারকে অবিলম্বে অবহিত করবে; (খ) কন্ট্রোলারের লিখিত নির্দেশনা ব্যতীত বা প্রযোজ্য আইন দ্বারা আবশ্যক না হলে এই ধরনের অনুরোধে সাড়া দেবে না; এবং (গ) প্রযোজ্য আইনগত সময়সীমার (জিডিপিআর-এর ধারা ১২ অনুযায়ী ৩০ দিন) মধ্যে এই ধরনের অনুরোধে সাড়া দেওয়ার জন্য কন্ট্রোলারকে যুক্তিসঙ্গত সহায়তা প্রদান করবে।

৫.৫ নিয়ন্ত্রকের দায়িত্ব পালনে সহায়তা

প্রসেসর, প্রসেসিং-এর প্রকৃতি এবং প্রসেসরের কাছে উপলব্ধ তথ্য বিবেচনা করে, কন্ট্রোলারকে GDPR-এর ৩২-৩৬ অনুচ্ছেদের অধীনে থাকা বাধ্যবাধকতাগুলো মেনে চলা নিশ্চিত করতে সহায়তা করবে, যার মধ্যে নিম্নলিখিত বিষয়গুলো অন্তর্ভুক্ত থাকবে:

• প্রক্রিয়াকরণের নিরাপত্তা (ধারা ৩২);
• তত্ত্বাবধায়ক কর্তৃপক্ষকে ব্যক্তিগত তথ্য লঙ্ঘনের বিজ্ঞপ্তি প্রদান এবং তথ্য প্রদানকারী ব্যক্তিদেরকে তা জানানো (ধারা ৩৩-৩৪);
• তথ্য সুরক্ষা প্রভাব মূল্যায়ন এবং পূর্ব পরামর্শ (ধারা ৩৫-৩৬)।

৫.৬ ডেটা মুছে ফেলা বা ফেরত দেওয়া

মূল চুক্তির সমাপ্তি বা মেয়াদোত্তীর্ণ হওয়ার পর, অথবা কন্ট্রোলারের অনুরোধে, প্রসেসর কন্ট্রোলারের ইচ্ছানুযায়ী তার দখলে থাকা সমস্ত গ্রাহক ডেটা মুছে ফেলবে বা কন্ট্রোলারকে ফেরত দেবে এবং বিদ্যমান কপিগুলিও মুছে ফেলবে, যদি না প্রযোজ্য ইইউ বা সদস্য রাষ্ট্রের আইন ব্যক্তিগত ডেটা সংরক্ষণের প্রয়োজন হয়। প্রসেসর প্রাসঙ্গিক কারণ ঘটার ৩০ দিনের মধ্যে লিখিতভাবে মুছে ফেলার কাজ সম্পন্ন হওয়ার বিষয়টি নিশ্চিত করবে।

প্রসেসরের standard কন্ট্রোলার যদি আগেভাগে মুছে ফেলার জন্য অনুরোধ না করেন, তাহলে (তফসিল ১-এ উল্লিখিত) তথ্য সংরক্ষণের সময়সূচী প্রযোজ্য হবে।

৫.৭ সম্মতি নিরীক্ষা ও প্রদর্শন

প্রসেসর এই ডিপিএ-তে উল্লিখিত বাধ্যবাধকতাগুলো প্রতিপালন প্রদর্শনের জন্য প্রয়োজনীয় সকল তথ্য কন্ট্রোলারের কাছে উপলব্ধ করবে, এবং কন্ট্রোলার বা কন্ট্রোলার কর্তৃক নিযুক্ত কোনো নিরীক্ষক দ্বারা পরিচালিত নিরীক্ষা, পরিদর্শনসহ, কার্যক্রমে অনুমতি দেবে ও অবদান রাখবে।

প্রসেসর নিম্নলিখিত প্রদানের মাধ্যমে এই বাধ্যবাধকতা পূরণ করতে পারে:

• এর বর্তমান ISO 27001 সার্টিফিকেট বা SOC 2 টাইপ II রিপোর্টের একটি অনুলিপি (প্রাপ্তির পর);
• কন্ট্রোলারের নিরাপত্তা প্রশ্নাবলী পূরণ করা (প্রাপ্তির ১০ কার্যদিবসের মধ্যে);
• ৩০ দিন আগে লিখিত নোটিশ দিয়ে, কন্ট্রোলারের খরচে, প্রতি ক্যালেন্ডার বছরে একবারের বেশি নয় এমন যুক্তিসঙ্গত সরেজমিন নিরীক্ষা (যদি না নিয়ম লঙ্ঘনের যুক্তিসঙ্গত সন্দেহ থাকে)।

৬. ব্যক্তিগত তথ্য লঙ্ঘনের বিজ্ঞপ্তি

প্রসেসর, গ্রাহকের ডেটাকে প্রভাবিত করে এমন কোনো ব্যক্তিগত ডেটা লঙ্ঘনের বিষয়ে অবগত হওয়ার সাথে সাথে, অযথা বিলম্ব না করে এবং যেকোনো ক্ষেত্রে ৪৮ ঘণ্টার মধ্যে কন্ট্রোলারকে অবহিত করবে। উক্ত বিজ্ঞপ্তিতে, সেই সময়ে উপলব্ধ তথ্য অনুযায়ী, নিম্নলিখিত বিষয়গুলো অন্তর্ভুক্ত থাকবে:

• ব্যক্তিগত তথ্য লঙ্ঘনের প্রকৃতির একটি বিবরণ, যার মধ্যে অন্তর্ভুক্ত থাকবে সংশ্লিষ্ট তথ্য বিষয়সমূহের শ্রেণি ও আনুমানিক সংখ্যা এবং সংশ্লিষ্ট ব্যক্তিগত তথ্য রেকর্ডসমূহের শ্রেণি ও আনুমানিক সংখ্যা;
• তথ্য সুরক্ষা কর্মকর্তা অথবা অন্য কোনো যোগাযোগ মাধ্যমের নাম ও যোগাযোগের বিবরণ, যার কাছ থেকে আরও তথ্য পাওয়া যাবে;
• ব্যক্তিগত তথ্য লঙ্ঘনের সম্ভাব্য পরিণতির বিবরণ;
• ব্যক্তিগত তথ্য লঙ্ঘনের বিষয়টি মোকাবেলার জন্য গৃহীত বা গ্রহণের জন্য প্রস্তাবিত পদক্ষেপগুলোর একটি বিবরণ, যেখানে প্রযোজ্য ক্ষেত্রে, এর সম্ভাব্য প্রতিকূল প্রভাব প্রশমিত করার পদক্ষেপও অন্তর্ভুক্ত থাকবে।

যেখানে উপরোক্ত সমস্ত তথ্য একযোগে প্রদান করা সম্ভব নয়, সেখানে অযথা অতিরিক্ত বিলম্ব না করে তথ্যগুলো পর্যায়ক্রমে প্রদান করা যেতে পারে। প্রসেসর, কন্ট্রোলারের সাথে সহযোগিতা করবে এবং লঙ্ঘনের তদন্ত, প্রশমন ও প্রতিকারে সহায়তা করার জন্য কন্ট্রোলারের প্রয়োজনীয় যুক্তিসঙ্গত পদক্ষেপ গ্রহণ করবে।

পক্ষগণ স্বীকার করে যে, GDPR-এর ধারা ৩৩ অনুযায়ী কোনো ব্যক্তিগত তথ্য লঙ্ঘনের বিষয়ে অবগত হওয়ার ৭২ ঘণ্টার মধ্যে উপযুক্ত তত্ত্বাবধায়ক কর্তৃপক্ষকে (Agencia Española de Protección de Datos — AEPD, বা অন্য কোনো প্রাসঙ্গিক কর্তৃপক্ষ) অবহিত করার বাধ্যবাধকতা ডেটা কন্ট্রোলার হিসেবে কন্ট্রোলারের উপর বর্তায়। এই ধারার অধীনে কন্ট্রোলারকে প্রসেসরের দেওয়া বিজ্ঞপ্তির উদ্দেশ্য হলো কন্ট্রোলারকে এই নিয়ন্ত্রক বাধ্যবাধকতা পূরণে সক্ষম করা। প্রসেসরের এই বিজ্ঞপ্তি কোনো দোষ বা দায়ের স্বীকারোক্তি হিসেবে গণ্য হবে না।

৭. সাব-প্রসেসর

৭.১ সাধারণ অনুমোদন

কন্ট্রোলার এই ডিপিএ-এর তফসিল ৩ (অনুমোদিত সাব-প্রসেসর)-এ তালিকাভুক্ত সাব-প্রসেসরদের নিযুক্ত করার জন্য প্রসেসরকে সাধারণ অনুমোদন প্রদান করে। প্রসেসর প্রতিটি সাব-প্রসেসরের উপর এই ডিপিএ-তে নির্ধারিত ডেটা সুরক্ষা বাধ্যবাধকতার সমতুল্য বাধ্যবাধকতা আরোপ করবে, বিশেষত যথাযথ প্রযুক্তিগত এবং সাংগঠনিক ব্যবস্থা বাস্তবায়নের জন্য পর্যাপ্ত নিশ্চয়তা প্রদান করবে।

৭.২ সাব-প্রসেসরগুলিতে পরিবর্তন

প্রসেসর সাব-প্রসেসরদের সংযোজন বা প্রতিস্থাপন সংক্রান্ত কোনো উদ্দিষ্ট পরিবর্তন সম্পর্কে কন্ট্রোলারকে নিম্নলিখিত উপায়ে অবহিত করবে: (ক) https://xygeni.io/legal/subprocessors-এ প্রকাশিত সাব-প্রসেসর তালিকাটি সংশোধিত “সর্বশেষ আপডেট” তারিখ দিয়ে আপডেট করে; এবং (খ) পরিবর্তন কার্যকর হওয়ার কমপক্ষে দশ (10) দিন আগে কন্ট্রোলারকে লিখিত নোটিশ প্রদান করে। কন্ট্রোলার এই ধরনের বিজ্ঞপ্তির সাত (7) দিনের মধ্যে যুক্তিসঙ্গত ডেটা সুরক্ষা কারণ দেখিয়ে পরিবর্তনটির বিরুদ্ধে আপত্তি জানাতে পারে। যদি কন্ট্রোলার আপত্তি জানায় এবং পক্ষগুলো আপত্তিটি সমাধান করতে না পারে, তবে কন্ট্রোলার কোনো জরিমানা ছাড়াই যুক্তিসঙ্গত নোটিশ দিয়ে মূল চুক্তিটি বাতিল করতে পারে।

যদি প্রসেসর কোনো সাব-প্রসেসরকে নিযুক্ত করে, তবে সেই সাব-প্রসেসর তার ডেটা সুরক্ষা সংক্রান্ত বাধ্যবাধকতা পূরণে ব্যর্থ হলে, প্রসেসর সেই সাব-প্রসেসরের দায়িত্ব পালনের জন্য কন্ট্রোলারের কাছে সম্পূর্ণরূপে দায়বদ্ধ থাকবে।

৭.৩ সাব-প্রসেসরের ফ্লো-ডাউন প্রয়োজনীয়তা

প্রতিটি সাব-প্রসেসরের জন্য, প্রসেসর নিম্নলিখিত কাজগুলো করবে:

• সাব-প্রসেসর নিযুক্ত করার পূর্বে যথাযথভাবে যাচাই-বাছাই করুন;
• একটি লিখিত ডেটা প্রক্রিয়াকরণ চুক্তিতে প্রবেশ করা, যা এই ডিপিএ-তে থাকা বাধ্যবাধকতার চেয়ে কম সুরক্ষামূলক নয় এমন ডেটা সুরক্ষা বাধ্যবাধকতা আরোপ করে;
• সাব-প্রসেসরের নিরাপত্তা ব্যবস্থা যেন ধারা ৫.৩ এবং তফসিল ২-এর অধীনে প্রয়োজনীয় ব্যবস্থার অন্তত সমতুল্য হয়, তা নিশ্চিত করতে হবে;
• এর মধ্যে লঙ্ঘন বিজ্ঞপ্তি প্রদানের বাধ্যবাধকতা অন্তর্ভুক্ত রয়েছে, যার ফলে সাব-প্রসেসরকে কোনো ব্যক্তিগত তথ্য লঙ্ঘনের বিষয়ে অবগত হওয়ার ২৪ ঘণ্টার মধ্যে প্রসেসরকে জানাতে হবে, যাতে প্রসেসর কন্ট্রোলারকে দেওয়া তার ৪৮-ঘণ্টার বিজ্ঞপ্তি প্রদানের বাধ্যবাধকতা পূরণ করতে পারে।

8. আন্তর্জাতিক স্থানান্তর

প্রসেসর গ্রাহকের ডেটা ইউরোপীয় অর্থনৈতিক অঞ্চল (EEA)-এর বাইরের কোনো দেশে স্থানান্তর করবে না, যদি না:

• ইউরোপীয় কমিশন একটি পর্যাপ্ততা ডি গ্রহণ করেছেcisজিডিপিআর-এর ৪৫ নং ধারা অনুযায়ী সেই দেশের জন্য প্রযোজ্য; অথবা
• GDPR-এর ৪৬ নং ধারা অনুসারে যথাযথ সুরক্ষা ব্যবস্থা বাস্তবায়ন করা হয়েছে, যার মধ্যে অন্তর্ভুক্ত কিন্তু সীমাবদ্ধ নয় Standard ইউরোপীয় কমিশন কর্তৃক গৃহীত চুক্তিভিত্তিক ধারাসমূহ যা ডি বাস্তবায়ন করেcis৪ জুন ২০২১ তারিখের ইইউ (EU) 2021/914 (“SCCs”)।

যেখানে এসসিসি (SCC) প্রয়োজন হবে, সেখানে প্রসেসর, কন্ট্রোলারের অনুরোধে, কন্ট্রোলার এবং/অথবা সংশ্লিষ্ট সাব-প্রসেসরের সাথে প্রযোজ্য এসসিসিগুলো সম্পাদন করবে। কন্ট্রোলার থেকে প্রসেসরের কাছে স্থানান্তরের জন্য এসসিসি-এর প্রযোজ্য মডিউল হবে মডিউল দুই (কন্ট্রোলার থেকে প্রসেসর), এবং প্রসেসর কর্তৃক সাব-প্রসেসরদের কাছে পরবর্তী স্থানান্তরের জন্য মডিউল তিন (প্রসেসর থেকে সাব-প্রসেসর)।

লিখিতভাবে অন্য কোনো চুক্তি না থাকলে, এসসিসি-গুলির উদ্দেশ্যে উপযুক্ত তত্ত্বাবধায়ক কর্তৃপক্ষ হলো স্প্যানিশ ডেটা প্রোটেকশন এজেন্সি (Agencia Española de Protección de Datos — AEPD)।

প্রসেসর গ্রাহক ডেটার সমস্ত আন্তর্জাতিক স্থানান্তরের একটি হালনাগাদ রেকর্ড এবং প্রতিটির জন্য প্রযোজ্য স্থানান্তর পদ্ধতি সংরক্ষণ করবে এবং অনুরোধের ভিত্তিতে কন্ট্রোলারের কাছে তা উপলব্ধ করবে।

৯. তথ্য সুরক্ষা প্রভাব মূল্যায়ন

যেখানে কোনো প্রক্রিয়াকরণ কার্যকলাপের ফলে স্বাভাবিক ব্যক্তিদের অধিকার ও স্বাধীনতার জন্য উচ্চ ঝুঁকি তৈরি হওয়ার সম্ভাবনা থাকে এবং GDPR-এর ৩৫ নং ধারা অনুযায়ী কন্ট্রোলারকে একটি ডেটা সুরক্ষা প্রভাব মূল্যায়ন (DPIA) সম্পাদন করতে হয়, সেখানে প্রসেসর কন্ট্রোলারকে DPIA সম্পাদনে সক্ষম করার জন্য প্রয়োজনীয় যুক্তিসঙ্গত সহায়তা এবং তথ্য প্রদান করবে। প্রসেসর ১৫ কার্যদিবসের মধ্যে কন্ট্রোলারের DPIA-সম্পর্কিত যুক্তিসঙ্গত অনুরোধের জবাব দেবে।

১০. প্রক্রিয়াকরণ কার্যক্রমের রেকর্ড

প্রসেসর, কন্ট্রোলারের অনুরোধে, GDPR ধারা 30(2) অনুসারে কন্ট্রোলারের পক্ষে সম্পাদিত প্রক্রিয়াকরণ কার্যক্রমের একটি রেকর্ড বজায় রাখবে, যার মধ্যে অন্তর্ভুক্ত থাকবে: প্রসেসর এবং যেকোনো সাব-প্রসেসরের নাম এবং যোগাযোগের বিবরণ; কন্ট্রোলারের পক্ষে সম্পাদিত প্রক্রিয়াকরণের বিভাগসমূহ; তৃতীয় কোনো দেশে ব্যক্তিগত ডেটা স্থানান্তর; এবং প্রযুক্তিগত ও সাংগঠনিক নিরাপত্তা ব্যবস্থার একটি সাধারণ বিবরণ।

11. দায়বদ্ধতা

এই ডিপিএ-এর অধীনে বা এর সাথে সম্পর্কিত বিষয়ে একে অপরের প্রতি প্রত্যেক পক্ষের দায়বদ্ধতা মূল চুক্তিতে উল্লিখিত সীমাবদ্ধতা এবং বর্জন সাপেক্ষে হবে। যেখানে প্রযোজ্য ডেটা সুরক্ষা আইন লঙ্ঘনকারী প্রক্রিয়াকরণের ফলে কোনো ডেটা সাবজেক্ট ক্ষতিগ্রস্ত হয়েছেন, সেখানে প্রত্যেক পক্ষ জিডিপিআর-এর ৮২-৮৩ ধারা অনুসারে জিডিপিআর লঙ্ঘনকারী তার প্রক্রিয়াকরণের দ্বারা সৃষ্ট ক্ষতির জন্য দায়ী থাকবে। এই ধারার কোনো কিছুই প্রযোজ্য আইনের অধীনে ডেটা সাবজেক্টদের প্রতি কোনো পক্ষের দায়বদ্ধতাকে সীমাবদ্ধ করে না।

12। শব্দ এবং পরিসমাপ্তি

এই ডিপিএ মূল চুক্তির তারিখ থেকে (অথবা এই ডিপিএ স্বাক্ষরের তারিখ, যদি তা পরবর্তী হয়) কার্যকর হবে এবং মূল চুক্তির মেয়াদকাল পর্যন্ত বলবৎ থাকবে। যেকোনো কারণে মূল চুক্তি বাতিল হলে এই ডিপিএ-ও স্বয়ংক্রিয়ভাবে বাতিল হয়ে যাবে।

চুক্তি বাতিলের পরেও, ধারা ৫.৬ (ডেটা মুছে ফেলা বা ফেরত দেওয়া)-এর অধীনে প্রসেসরের বাধ্যবাধকতাগুলো বহাল থাকবে এবং প্রসেসর চুক্তি বাতিলের ৩০ দিনের মধ্যে গ্রাহকের ডেটা মুছে ফেলা বা ফেরত দেওয়ার কাজ সম্পন্ন করবে। গোপনীয়তা, দায়বদ্ধতা, প্রযোজ্য আইন এবং নিরীক্ষা সম্পর্কিত ধারাগুলোও চুক্তি বাতিলের পরেও বহাল থাকবে।

13। পরিচালনা আইন এবং এখতিয়ার

এই ডিপিএ স্পেনের আইন দ্বারা পরিচালিত ও ব্যাখ্যা করা হবে। এই ডিপিএ থেকে উদ্ভূত বা এর সাথে সম্পর্কিত যেকোনো বিরোধ নিষ্পত্তির জন্য পক্ষগণ মাদ্রিদ আদালতের অ-একচেটিয়া এখতিয়ার মেনে নেয়। যদি এই ডিপিএ-র কোনো বিধান এসসিসি-র সাথে সাংঘর্ষিক হয়, তবে এসসিসি প্রাধান্য পাবে।

14. বিবিধ

সামগ্রিক চুক্তিনামা: এই ডিপিএ, এর তফসিলসমূহ এবং মূল চুক্তি সহ, এর বিষয়বস্তু সম্পর্কিত বিষয়ে পক্ষগুলোর মধ্যে সম্পূর্ণ চুক্তি গঠন করে এবং ডেটা প্রক্রিয়াকরণ সম্পর্কিত পূর্ববর্তী সকল চুক্তি, বোঝাপড়া বা উপস্থাপনাকে বাতিল করে।

সংশোধনী: এই ডিপিএ শুধুমাত্র উভয় পক্ষের ক্ষমতাপ্রাপ্ত প্রতিনিধিদের স্বাক্ষরিত লিখিত চুক্তির মাধ্যমে সংশোধন করা যাবে।

তীব্রতা: যদি এই ডিপিএ-র কোনো বিধান অবৈধ বা অপ্রয়োগযোগ্য বলে গণ্য হয়, তবে অবশিষ্ট বিধানসমূহ পূর্ণভাবে কার্যকর থাকবে।

অগ্রাধিকার: এই ডিপিএ এবং তফসিলগুলির মধ্যে কোনো বিরোধ দেখা দিলে, তফসিলে স্পষ্টভাবে অন্যথা বলা না থাকলে, ডিপিএ-র মূল অংশটিই প্রাধান্য পাবে। এই ডিপিএ এবং এসসিসি-গুলির (যেখানে প্রযোজ্য) মধ্যে কোনো বিরোধ দেখা দিলে, এসসিসি-গুলিই প্রাধান্য পাবে।

তফসিল ১ — প্রক্রিয়াকরণের বিবরণ

৩. বিষয়বস্তু

প্রক্রিয়াকরণের বিষয়বস্তু হলো জাইজেনি কর্তৃক সরবরাহ। application security posture management, software supply chain security বিশ্লেষণ, দুর্বলতা সনাক্তকরণ, CI/CD মূল চুক্তিতে বর্ণিত নিরাপত্তা পর্যবেক্ষণ এবং সংশ্লিষ্ট পরিষেবাসমূহ।

২. প্রক্রিয়াকরণের প্রকৃতি

গ্রাহক ডেটার সংগ্রহ, সংগঠন, কাঠামোবদ্ধকরণ, সংরক্ষণ, বিশ্লেষণ, পুনরুদ্ধার, ব্যবহার, স্থানান্তরের মাধ্যমে প্রকাশ, সমন্বয় বা সংমিশ্রণ, সীমাবদ্ধকরণ, মুছে ফেলা বা ধ্বংস করা।

৪. প্রক্রিয়াকরণের উদ্দেশ্য

কন্ট্রোলারকে পরিষেবা প্রদানের একমাত্র উদ্দেশ্যে গ্রাহক ডেটা প্রক্রিয়াকরণ করা হয়, যার মধ্যে অন্তর্ভুক্ত রয়েছে: নিরাপত্তা দুর্বলতা শনাক্তকরণ ও প্রতিবেদন তৈরি; সফটওয়্যার সরবরাহ শৃঙ্খল ঝুঁকি বিশ্লেষণ; CI/CD pipeline security পর্যবেক্ষণ; অসঙ্গতি শনাক্তকরণ; এবং গ্রাহক সহায়তা।

৪. প্রক্রিয়াকরণের সময়কাল

প্রসেসর মূল চুক্তির সময়কাল পর্যন্ত গ্রাহকের ডেটা প্রসেস করবে। চুক্তি সমাপ্তির পর, কন্ট্রোলার আগে মুছে ফেলার অনুরোধ না করলে, প্রসেসর সাবস্ক্রিপশন শেষ হওয়ার তারিখের পর ৩ মাস পর্যন্ত গ্রাহকের ডেটা সংরক্ষণ করবে এবং তারপর তা মুছে ফেলবে। ট্রায়াল অ্যাকাউন্টের ডেটা ট্রায়ালের মেয়াদ শেষ হওয়ার পর ১ মাস পর্যন্ত সংরক্ষণ করা হয়।

৫. ব্যক্তিগত তথ্যের প্রকারভেদ

6। ডেটা বিষয়ের বিভাগ

ডেটা সাবজেক্টদের মধ্যে অন্তর্ভুক্ত আছেন: কন্ট্রোলারের কর্মচারী, ঠিকাদার এবং অন্যান্য অনুমোদিত ব্যবহারকারী যারা সার্ভিসগুলো অ্যাক্সেস করেন; রিপোজিটরিগুলোর অবদানকারী (ডেভেলপার, বট অ্যাকাউন্ট, বিল্ড এজেন্ট) এবং pipelineপরিষেবাগুলি দ্বারা নিরীক্ষিত; এবং নিয়ন্ত্রকের প্রতিনিধি ও যোগাযোগকারী ব্যক্তিগণ।

৭. বিশেষ শ্রেণীর তথ্য

এই পরিষেবাগুলি GDPR-এর ধারা ৯-এ সংজ্ঞায়িত বিশেষ শ্রেণীর ব্যক্তিগত তথ্য প্রক্রিয়াকরণের জন্য ডিজাইন করা হয়নি। কন্ট্রোলার এই মর্মে নিশ্চয়তা প্রদান করছে যে, Xygeni-এর সাথে পূর্ব লিখিত চুক্তি এবং যথাযথ অতিরিক্ত সুরক্ষাব্যবস্থা বাস্তবায়ন ব্যতীত এটি পরিষেবাগুলিতে বিশেষ শ্রেণীর ব্যক্তিগত তথ্য জমা দেবে না।

তফসিল ২ — প্রযুক্তিগত এবং সাংগঠনিক নিরাপত্তা ব্যবস্থা

Xygeni তার ISO 27001 সনদপ্রাপ্ত তথ্য নিরাপত্তা ব্যবস্থাপনা সিস্টেমের সাথে সামঞ্জস্য রেখে, গ্রাহক ডেটা সুরক্ষিত করার জন্য নিম্নলিখিত প্রযুক্তিগত এবং সাংগঠনিক ব্যবস্থা গ্রহণ করে:

প্রবেশাধিকার নিয়ন্ত্রণ

• গ্রাহকের ডেটা প্রক্রিয়াকারী সমস্ত সিস্টেমে ভূমিকা-ভিত্তিক প্রবেশাধিকার নিয়ন্ত্রণ (RBAC) প্রয়োগ করা হয়।
• প্রোডাকশন সিস্টেমে প্রবেশকারী জাইজেনির সকল কর্মীর জন্য মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) আবশ্যক।
• সকল ব্যবহারকারী অ্যাকাউন্টের ক্ষেত্রে ন্যূনতম বিশেষাধিকারের নীতি প্রযোজ্য; প্রবেশাধিকার ত্রৈমাসিকভাবে পর্যালোচনা করা হয়।
• প্রোডাকশন সার্ভার অ্যাক্সেসের জন্য SSH কী-ভিত্তিক প্রমাণীকরণ; পাসওয়ার্ড প্রমাণীকরণ নিষ্ক্রিয় করা হয়েছে।

তথ্য এনক্রিপশন

• গ্রাহকের ডেটা স্থানান্তরের সময় TLS 1.2 বা উচ্চতর সংস্করণ ব্যবহার করে এনক্রিপ্ট করা হয়।
• গ্রাহকের ডেটা AES-256 বা সমতুল্য প্রযুক্তি ব্যবহার করে সংরক্ষিত অবস্থায় এনক্রিপ্ট করা থাকে।
• AWS কী ম্যানেজমেন্ট সার্ভিস (KMS)-এর মাধ্যমে এনক্রিপশন কীগুলো পরিচালিত হয়।

নেটওয়ার্ক নিরাপত্তা

• নেটওয়ার্ক বিভাজন সহ AWS ভার্চুয়াল প্রাইভেট ক্লাউড (VPC)-এ হোস্ট করা প্রোডাকশন সিস্টেম।
• পাবলিক-ফেসিং এন্ডপয়েন্টগুলোর জন্য ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল (WAF) স্থাপন করা হয়েছে।
• অনুপ্রবেশ শনাক্তকরণ ও প্রতিরোধ ব্যবস্থা চালু আছে।
• ইনফ্রাস্ট্রাকচার এবং অ্যাপ্লিকেশন লেয়ারের নিয়মিত ভালনারেবিলিটি স্ক্যানিং এবং পেনিট্রেশন টেস্টিং।

শারীরিক নিরাপত্তা

• গ্রাহকের ডেটা AWS ডেটা সেন্টারগুলিতে SOC 2 Type II এবং ISO 27001 সার্টিফিকেশন সহ হোস্ট করা হয়।
• বায়োমেট্রিক নিয়ন্ত্রণের মাধ্যমে ডেটা সেন্টার সুবিধাগুলিতে শুধুমাত্র অনুমোদিত AWS কর্মীদের প্রবেশাধিকার সীমাবদ্ধ।

প্রাপ্যতা এবং স্থিতিস্থাপকতা

• সমস্ত গ্রাহক ডেটার দৈনিক স্বয়ংক্রিয় ব্যাকআপ নেওয়া হয়, যা ন্যূনতম ৭ দিনের জন্য সংরক্ষিত থাকে।
• ব্যাকআপের অখণ্ডতা পর্যায়ক্রমে যাচাই করা হয়।
• Disastপুনরুদ্ধারের পদ্ধতিগুলো নথিভুক্ত করা হয় এবং প্রতি বছর পরীক্ষা করা হয়।

ঘটনা ব্যবস্থাপনা

• নিরাপত্তা ঘটনা প্রতিক্রিয়া পরিকল্পনাটি বার্ষিকভাবে রক্ষণাবেক্ষণ ও পরীক্ষা করা হয়।
• নিরাপত্তা সংক্রান্ত ঘটনাগুলো পর্যবেক্ষণ ও লিপিবদ্ধ করা হয়; সতর্কতাগুলো নিরাপত্তা কার্যক্রম বিভাগ দ্বারা পর্যালোচনা করা হয়।
• কন্ট্রোলারকে ৪৮ ঘণ্টার মধ্যে অবহিত করার বাধ্যবাধকতা পূরণের জন্য ব্যক্তিগত তথ্য লঙ্ঘনের বিজ্ঞপ্তি পদ্ধতি চালু আছে।

কর্মিবৃন্দ

• Xygeni-এর গ্রাহক তথ্যে প্রবেশাধিকার আছে এমন সকল কর্মী গোপনীয়তা রক্ষার বাধ্যবাধকতা দ্বারা আবদ্ধ।
• প্রতি বছর সকল কর্মীদের জন্য নিরাপত্তা সচেতনতা প্রশিক্ষণ পরিচালিত হয়।
• প্রযোজ্য আইন দ্বারা অনুমোদিত সীমা পর্যন্ত, প্রোডাকশন সিস্টেমে প্রবেশাধিকার থাকা কর্মীদের পটভূমি যাচাই করা হয়।

তৃতীয় পক্ষের ব্যবস্থাপনা

• নিযুক্ত হওয়ার পূর্বে সাব-প্রসেসরদের নিরাপত্তা বিধি প্রতিপালনের বিষয়টি মূল্যায়ন করা হয়।
• সকল সাব-প্রসেসরের সাথে ডেটা প্রক্রিয়াকরণ চুক্তি বিদ্যমান রয়েছে।

সাক্ষ্যদান

• জাইজেনি আইএসও ২৭০০১ সনদ (তথ্য নিরাপত্তা ব্যবস্থাপনা সিস্টেম) প্রাপ্ত।
• জাইজেনি এসওসি ২ টাইপ II সার্টিফিকেশন অর্জনের জন্য কাজ করছে; এটি সম্পন্ন হলে কন্ট্রোলারকে সার্টিফিকেট প্রদান করা হবে।