এই চুক্তি (“DPA”) প্রতিটি ব্যবসায়িক গ্রাহকের জন্য আমাদের পরিষেবার শর্তাবলির অংশ। আপনি একটি ওয়ার্কস্পেস তৈরি বা ব্যবহার করলে এটি স্বয়ংক্রিয়ভাবে প্রযোজ্য হয়, তাই আপনাকে কিছু স্বাক্ষর করতে হবে না। আপনার রেকর্ডের জন্য স্বাক্ষরিত কপি চাইলে privacy@companyflowhq.com-এ ইমেইল করুন।
১. কে কী
আপনি সেই ব্যবসা বা প্রতিষ্ঠান যার একটি CompanyFlowHQ ওয়ার্কস্পেস আছে (“গ্রাহক”)। আপনার ওয়ার্কস্পেসে কোন ব্যক্তিগত ডেটা যাবে এবং কেন, তা আপনিই ঠিক করেন, তাই আপনি নিয়ন্ত্রক।
আমরা: CompanyFlowHQ হলো Any Media Boost Ltd-এর একটি ট্রেডিং নাম, যা ইংল্যান্ড ও ওয়েলস-এ নিবন্ধিত একটি কোম্পানি, কোম্পানি নম্বর 17492797। নিবন্ধিত অফিস: 117 St Paul’s Avenue, Harrow, HA3 9PT, United Kingdom। আমরা সেই ডেটা শুধু আপনাকে পরিষেবা দেওয়ার জন্য প্রসেস করি, তাই আমরা আপনার প্রসেসর। আপনি নিজে যদি অন্য কারও প্রসেসর হন (যেমন আপনি নিজের ক্লায়েন্টদের ডেটা সামলান), তাহলে আমরা আপনার উপ-প্রসেসর হিসেবে কাজ করি এবং এই DPA একইভাবে প্রযোজ্য।
আপনার ও আপনার টিম সম্পর্কে আমাদের নিজস্ব অ্যাকাউন্ট, বিলিং, সহায়তা ও ওয়েবসাইটের ডেটার জন্য আমরা প্রসেসর নই, নিয়ন্ত্রক। তা এই DPA নয়, আমাদের গোপনীয়তা বিজ্ঞপ্তি দ্বারা আচ্ছাদিত।
২. এই DPA-তে ব্যবহৃত শব্দ
“UK GDPR”, “ব্যক্তিগত ডেটা”, “প্রসেসিং”, “নিয়ন্ত্রক”, “প্রসেসর”, “ডেটা বিষয়ী” ও “ব্যক্তিগত ডেটা লঙ্ঘন”-এর অর্থ UK GDPR-এ দেওয়া অর্থ। “ডেটা সুরক্ষা আইন” বলতে UK GDPR, ডেটা সুরক্ষা আইন ২০১৮ (Data Protection Act 2018), গোপনীয়তা ও ইলেকট্রনিক যোগাযোগ বিধিমালা ২০০৩ (Privacy and Electronic Communications Regulations 2003) এবং এগুলোর স্থলাভিষিক্ত যেকোনো আইন বোঝায়। “গ্রাহকের ব্যক্তিগত ডেটা” বলতে বোঝায় আপনার ওয়ার্কস্পেসের মাধ্যমে আপনার জন্য আমরা যে ব্যক্তিগত ডেটা প্রসেস করি।
৩. প্রসেসিংয়ের বিবরণ
বিষয়বস্তু ও উদ্দেশ্য
আপনার বেছে নেওয়া CompanyFlowHQ পরিষেবা দেওয়া: CRM ও লিড ব্যবস্থাপনা, বুকিং, ইমেইল, SMS, WhatsApp ও সোশ্যাল মেসেজিং, মার্কেটিং ক্যাম্পেইন, কোটেশন, ইনভয়েস ও ই-স্বাক্ষর, ক্লায়েন্ট পোর্টাল, টিম চ্যাট ও বোর্ড, HR ও কর্মী ব্যবস্থাপনা, রিপোর্ট, AI সহায়ক, ইন্টিগ্রেশন, ব্যাকআপ, নিরাপত্তা ও সহায়তা।
আপনি সোশ্যাল মিডিয়া অ্যাকাউন্ট যুক্ত করে কনটেন্ট ইনসাইট চালু করলে, আমরা আপনার পোস্টে আসা মন্তব্য এবং আপনাকে উল্লেখ করা পোস্টও সংগ্রহ করি, যাতে আপনি সেগুলো দেখে উত্তর দিতে পারেন। এই মন্তব্য ও উল্লেখ ৯০ দিন পরে স্বয়ংক্রিয়ভাবে মুছে ফেলা হয়।
প্রসেসিংয়ের প্রকৃতি
অ্যাপের মাধ্যমে আপনার নির্দেশ অনুযায়ী ডেটা সংগ্রহ, সংরক্ষণ, সাজানো, দেখানো, খোঁজা, পাঠানো, গ্রহণ, বিশ্লেষণ (যেমন লিড স্কোর ও রিপোর্ট), ব্যাকআপ, পুনরুদ্ধার, এক্সপোর্ট ও মুছে ফেলা।
সময়কাল
যতদিন আপনি পরিষেবা ব্যবহার করেন, আর তারপর শুধু ১১ নম্বর অংশে দেওয়া সময়কালের জন্য।
ডেটা বিষয়ীদের ধরন
- আপনার লিড, জিজ্ঞাসাকারী, ক্লায়েন্ট, গ্রাহক, শিক্ষার্থী, রোগী এবং তাদের যোগাযোগ।
- আপনার কর্মী, ঠিকাদার, চাকরির আবেদনকারী ও সাবেক কর্মী।
- যারা আপনাকে মেসেজ পাঠায়, আপনার কাছে বুক করে, আপনার ফর্ম পূরণ করে বা আপনার পেজ দেখে।
- আপনার সরবরাহকারী, অংশীদার ও অন্যান্য ব্যবসায়িক যোগাযোগ।
ব্যক্তিগত ডেটার ধরন
- যোগাযোগ ও পরিচয়ের তথ্য: নাম, ইমেইল ঠিকানা, ফোন নম্বর, ডাক ঠিকানা, কোম্পানি, পদবি, সোশ্যাল মিডিয়া হ্যান্ডেল।
- CRM রেকর্ড: জিজ্ঞাসা, নোট, কাজ, পাইপলাইনের ধাপ, ডিল, বুকিং, কোটেশন, ইনভয়েস, পেমেন্ট, স্বাক্ষরিত নথি, সম্মতি ও মার্কেটিং পছন্দ।
- মেসেজ: ইমেইল, SMS, WhatsApp ও সোশ্যাল মেসেজ, লাইভ চ্যাট ও টিম চ্যাট, কলের তথ্য এবং আপনার বেছে নেওয়া যেকোনো রেকর্ডিং।
- কর্মী ও HR ডেটা: চাকরির তথ্য, চুক্তি, বেতন ও ব্যাংকের তথ্য, ছুটি ও অসুস্থতার রেকর্ড, কাজের অধিকার ও পরিচয়ের নথি, পরিচয় নম্বর (যেমন পাসপোর্ট, ন্যাশনাল ইনস্যুরেন্স, NHS নম্বর বা UTR), জরুরি যোগাযোগ, কাজের মূল্যায়নের নোট এবং কর্মীরা শেয়ার করতে চাইলে আনুমানিক অবস্থান।
- আপনার আপলোড করা ফাইল: নথি, ছবি, সংযুক্তি ও স্বাক্ষর।
- প্রযুক্তিগত ডেটা: IP ঠিকানা, ডিভাইস ও ব্রাউজারের তথ্য, সাইন-ইন রেকর্ড ও কার্যকলাপের লগ।
বিশেষ শ্রেণির ও ফৌজদারি অপরাধ সংক্রান্ত ডেটা
আপনি বিশেষ শ্রেণির ডেটা (যেমন HR রেকর্ডে স্বাস্থ্য বা অসুস্থতার তথ্য) বা ফৌজদারি অপরাধ সংক্রান্ত ডেটা (যেমন DBS যাচাইয়ের ফলাফল) সংরক্ষণ করতে বেছে নিতে পারেন। ডেটা সুরক্ষা আইন ২০১৮ (Data Protection Act 2018) অনুযায়ী এর জন্য বৈধ ভিত্তি ও উপযুক্ত নীতিপত্র রাখার দায় আপনার। ৬ নম্বর অংশের নিরাপত্তা ব্যবস্থা এতে প্রযোজ্য।
নিরাপত্তা কার্যকলাপের রেকর্ড
আপনি কার্যকলাপ ও ঝুঁকি সুবিধাটি ব্যবহার করলে আমরা আপনার ব্যবহারকারীরা অ্যাপে কী করেন তার একটি রেকর্ডও প্রক্রিয়া করি (সাইন-ইন, খোলা পেজ ও রেকর্ড, এক্সপোর্ট, পরিবর্তন ও মুছে ফেলা, সঙ্গে সময়, IP ঠিকানা, আনুমানিক অবস্থান ও ডিভাইস), যাতে অস্বাভাবিক কার্যকলাপ ধরা যায় এবং আপনি অনুমতি দিলে আপনার পর্যালোচনা পর্যন্ত কোনো অ্যাকাউন্ট থামানো যায়। শুধু আপনার ওয়ার্কস্পেসের মালিকেরা এটি দেখতে পারেন, এবং আপনার বেছে নেওয়া সময়ের পরে (30 থেকে 365 দিন; ডিফল্টভাবে 180) এটি মুছে ফেলা হয়। আপনার স্টাফকে এ বিষয়ে জানানো এবং এর জন্য আইনসম্মত ভিত্তি রাখা আপনার দায়িত্ব।
৪. আপনার নির্দেশ
আমরা গ্রাহকের ব্যক্তিগত ডেটা শুধু আপনার নথিভুক্ত নির্দেশেই প্রসেস করি। আপনার নির্দেশ হলো এই শর্তাবলি ও এই DPA, এবং অ্যাপে আপনার নেওয়া সিদ্ধান্ত (যেমন ক্যাম্পেইন পাঠানো, অ্যাকাউন্ট যুক্ত করা বা রেকর্ড মুছে ফেলা)। আমরা গ্রাহকের ব্যক্তিগত ডেটা নিজেদের উদ্দেশ্যে ব্যবহার করব না, বিক্রি করব না, বা AI মডেল প্রশিক্ষণে ব্যবহার করব না।
আইন যদি আমাদের গ্রাহকের ব্যক্তিগত ডেটা অন্যভাবে প্রসেস করতে বাধ্য করে, তাহলে আইন নিষেধ না করলে আমরা আগে আপনাকে জানাব। কোনো নির্দেশ ডেটা সুরক্ষা আইন ভঙ্গ করে বলে মনে হলে আমরা সঙ্গে সঙ্গে আপনাকে জানাব এবং সমাধান না হওয়া পর্যন্ত সেই প্রসেসিং স্থগিত রাখতে পারি।
আপনার নির্দেশ এবং CompanyFlowHQ-তে আপনার রাখা ডেটার বৈধতার দায় আপনার, যার মধ্যে বৈধ ভিত্তি থাকা, মানুষদের তাদের প্রাপ্য তথ্য দেওয়া এবং প্রয়োজনে মার্কেটিংয়ের জন্য সম্মতি নেওয়া ও রেকর্ড রাখা অন্তর্ভুক্ত।
৫. গোপনীয়তা রক্ষা
আমরা যাদের গ্রাহকের ব্যক্তিগত ডেটা প্রসেস করতে দিই, তারা সবাই গোপনীয়তা রক্ষার দায়িত্বে আবদ্ধ। প্রবেশাধিকার শুধু যাদের প্রয়োজন তাদের মধ্যে সীমিত। আমাদের প্ল্যাটফর্ম টিম ওয়ার্কস্পেসের সংখ্যা ও বিলিংয়ের তথ্য দেখে, আপনার লিড, ক্লায়েন্ট, কর্মী বা মেসেজ নয়। আমরা ওয়ার্কস্পেসের বিষয়বস্তু শুধু তখনই দেখি যখন আপনি সে বিষয়ে সাহায্য চান, কোনো নিরাপত্তা ঘটনা তদন্তের জন্য, বা আইন যখন তা দাবি করে।
৬. নিরাপত্তা
আমরা UK GDPR অনুচ্ছেদ ৩২ অনুযায়ী উপযুক্ত প্রযুক্তিগত ও সাংগঠনিক ব্যবস্থা নিই। বিশেষ করে:
- আদান-প্রদানে ও সংরক্ষণে এনক্রিপশন। সব ট্রাফিক HTTPS (TLS) ব্যবহার করে। ডেটাবেস ও ফাইল সংরক্ষণ Cloudflare সংরক্ষিত অবস্থায় এনক্রিপ্ট করে।
- গোপন তথ্যের জন্য অতিরিক্ত এনক্রিপশন। সেবাদাতার কী, অ্যাক্সেস টোকেন, মেইলবক্সের পাসওয়ার্ড ও পরিচয় নম্বর আমরাও AES-256-GCM দিয়ে এনক্রিপ্ট করি, প্রতিটি আইটেমের জন্য নতুন এলোমেলো মান ও কী পরিবর্তনের সমর্থনসহ। এগুলো কখনো ব্রাউজারে ফেরত পাঠানো হয় না।
- এনক্রিপ্ট করা ব্যাকআপ। পুরো ডেটাবেসের প্রতি রাতে ব্যাকআপ নেওয়া হয়, আর আপলোড করা ফাইল কয়েক ঘণ্টার মধ্যে আলাদা ব্যাকআপে কপি করা হয়, সবই AES-256-GCM দিয়ে এনক্রিপ্ট ও SHA-256 চেকসাম দিয়ে যাচাই করা।
- সবার জন্য দুই-ধাপের সাইন-ইন। প্রতিটি কর্মী ব্যবহারকারীকে দুই-ধাপের সাইন-ইন (অথেনটিকেটর অ্যাপ, ইমেইলে পাঠানো কোড বা পাসকি) ব্যবহার করতে হয়, রিকভারি কোড, নতুন ডিভাইসের সতর্কবার্তা আর এক ক্লিকে অন্য ডিভাইস থেকে সাইন আউটসহ। পাসওয়ার্ড শুধু সল্ট-যুক্ত একমুখী হ্যাশ হিসেবে রাখা হয়।
- ওয়ার্কস্পেস আলাদা রাখা। প্রতিটি অনুরোধ কিছু পড়া বা বদলানোর আগে যাচাই করে সেটি কোন ওয়ার্কস্পেসের, এবং এটি স্বয়ংক্রিয়ভাবে পরীক্ষা করা হয়।
- ভূমিকার অনুমতি। প্রতিটি ভূমিকা কী দেখতে ও করতে পারবে তা আপনি ঠিক করেন, এবং কর্মীদের রেকর্ড টিমগুলোর মধ্যে ব্যক্তিগত রাখতে পারেন।
- অডিট লগ। গুরুত্বপূর্ণ কাজ, সাইন-ইন এবং প্রতিবার কেউ সুরক্ষিত পরিচয় নম্বর দেখালে তা সময়, ব্যক্তি ও IP ঠিকানাসহ রেকর্ড হয় এবং এক বছর রাখা হয়।
- অপব্যবহার থেকে সুরক্ষা। সাইন-ইন ও পাবলিক এন্ডপয়েন্টে রেট লিমিট (অনুরোধের সীমা), Cloudflare Turnstile বট যাচাই, লুকানো ফাঁদ ঘর, আপলোডে ফাইলের ধরন যাচাই এবং আসা ইমেইলের নিরাপদ প্রদর্শন।
পরিষেবা ও ঝুঁকি বদলালে আমরা এই ব্যবস্থাগুলো পর্যালোচনা করি, এবং সুরক্ষার সামগ্রিক মান কমাব না।
৭. উপ-প্রসেসর
আপনি আমাদের নিচের উপ-প্রসেসর তালিকায় থাকা উপ-প্রসেসরদের ব্যবহারের সাধারণ লিখিত অনুমোদন দেন। কোনো উপ-প্রসেসর যোগ বা বদল করার আগে আমরা এই পেজটি হালনাগাদ করব এবং কমপক্ষে ৩০ দিন আগে ওয়ার্কস্পেসের মালিককে ইমেইল করব।
সেই ৩০ দিনের মধ্যে privacy@companyflowhq.com-এ ইমেইল করে আপনি যুক্তিসংগত ডেটা-সুরক্ষার কারণে আপত্তি জানাতে পারেন। আমরা সমাধান খোঁজার চেষ্টা করব, যেমন আপনার ডেটার জন্য নতুন উপ-প্রসেসর ব্যবহার না করা। তা সম্ভব না হলে পরিবর্তন কার্যকর হওয়ার আগে আপনি প্রভাবিত পরিষেবা শেষ করতে পারেন এবং শেষ হওয়ার পরের সময়ের জন্য আগাম দেওয়া ফি আমরা ফেরত দেব।
আমরা প্রতিটি উপ-প্রসেসরের সাথে লিখিত চুক্তি করি, যা গ্রাহকের ব্যক্তিগত ডেটাকে এই DPA-র মতোই সুরক্ষা দেয়, এবং তাদের কাজের জন্য আমরা আপনার কাছে দায়ী থাকি।
আপনি নিজে যে পরিষেবা যুক্ত করেন (যেমন আপনার নিজের Google, Microsoft, Meta, Twilio বা Stripe অ্যাকাউন্ট, একটি মেইলবক্স, একটি সোশ্যাল নেটওয়ার্ক বা একটি অটোমেশন টুল), সেগুলো আপনিই বেছে নেন এবং সেই সেবাদাতার সাথে আপনার নিজের চুক্তি অনুযায়ী কাজ করে। আপনি বললেই শুধু আমরা তাদের ডেটা পাঠাই। ডেটা কোথায় যায় তা যাতে দেখতে পান, সেজন্য সেগুলো নিচে তালিকাভুক্ত।
৮. মানুষের অধিকার রক্ষায় আপনাকে সহায়তা
ডেটা সুরক্ষা আইনে নিজেদের অধিকার (প্রবেশাধিকার, সংশোধন, মুছে ফেলা, সীমাবদ্ধকরণ, বহনযোগ্যতা ও আপত্তি) প্রয়োগকারী মানুষদের উত্তর দিতে আমরা আপনাকে সাহায্য করি। CompanyFlowHQ-তে এমন টুল আছে যাতে এর বেশিরভাগ আপনি নিজেই করতে পারেন:
- একজন ব্যক্তির রেকর্ড থেকে তার ডেটা ফাইল হিসেবে এক্সপোর্ট করুন (গোপনীয়তা (GDPR) অংশ)।
- পুরো ওয়ার্কস্পেস থেকে একজন ব্যক্তিকে মুছে ফেলুন (তার রেকর্ডে, বা সেটিংস → একজন ব্যক্তিকে মুছুন)।
- যেকোনো রেকর্ড সরাসরি সংশোধন করুন, এবং সম্মতি ও আনসাবস্ক্রাইব সেটিংস দিয়ে মার্কেটিং বন্ধ করুন।
- যেকোনো সময় আপনার সব ওয়ার্কস্পেস ডেটা ডাউনলোড করুন (সেটিংস → আপনার ডেটা)।
আপনার কোনো ডেটা বিষয়ীর কাছ থেকে সরাসরি অনুরোধ পেলে আমরা অযথা দেরি না করে তা আপনার কাছে পাঠাব এবং আপনি না বললে নিজেরা উত্তর দেব না।
৯. আমাদের অন্যান্য সহায়তা
আমাদের কাছে থাকা তথ্য বিবেচনা করে, নিরাপত্তা, লঙ্ঘনের বিজ্ঞপ্তি, ডেটা সুরক্ষা প্রভাব মূল্যায়ন এবং তথ্য কমিশনারের সাথে পূর্ব পরামর্শ (UK GDPR অনুচ্ছেদ ৩২ থেকে ৩৬) সংক্রান্ত আপনার দায়িত্বে আমরা যুক্তিসংগত সহায়তা দেব।
১০. ব্যক্তিগত ডেটা লঙ্ঘন
গ্রাহকের ব্যক্তিগত ডেটাকে প্রভাবিত করে এমন কোনো ব্যক্তিগত ডেটা লঙ্ঘনের কথা জানতে পারলে, আমরা অযথা দেরি না করে এবং যেকোনো ক্ষেত্রে জানার ৪৮ ঘণ্টার মধ্যে ওয়ার্কস্পেসের মালিককে জানাব। সে সময় আমরা যতটা জানি, ততটা জানাব: কী ঘটেছে, জড়িত মানুষ ও রেকর্ডের ধরন ও আনুমানিক সংখ্যা, সম্ভাব্য পরিণতি, এবং আমরা কী করেছি বা করার প্রস্তাব দিচ্ছি। আরও তথ্য পাওয়া গেলে আমরা যোগ করব, লঙ্ঘন সীমিত করতে যুক্তিসংগত পদক্ষেপ নেব, এবং প্রয়োজনে ৭২ ঘণ্টার মধ্যে তথ্য কমিশনারকে জানানোর আপনার নিজের দায়িত্ব পালনে সাহায্য করব। লঙ্ঘনের কথা আপনাকে জানানো দোষ স্বীকার নয়।
১১. ডেটা মুছে ফেলা বা ফেরত দেওয়া
- আপনি গ্রাহক থাকাকালীন সেটিংস → আপনার ডেটা থেকে যেকোনো সময় আপনার সব ডেটা ডাউনলোড করতে পারেন, এবং যখন খুশি আলাদা আলাদা রেকর্ড মুছতে পারেন।
- আপনার সাবস্ক্রিপশন শেষ হলে (যেমন ট্রায়াল পেইড প্ল্যানে রূপান্তরিত হয়নি, পেমেন্ট ব্যর্থ হয়েছে বা আপনি বাতিল করেছেন), ওয়ার্কস্পেস ৯০ দিনের জন্য শুধু-পড়ার-জন্য হয়ে যায়, যাতে আপনি তবুও সাইন ইন করে সবকিছু ডাউনলোড করতে পারেন। সেই সময় শেষের ৭ দিন আগে আমরা মালিককে ইমেইল করি। শেষ হওয়ার পরে আমাদের টিম ওয়ার্কস্পেস পর্যালোচনা করে ৩০ দিনের মধ্যে মুছে ফেলে।
- আপনি আমাদের ওয়ার্কস্পেস মুছতে বললে (সেটিংস → আপনার ডেটা → আমার ওয়ার্কস্পেস মুছুন), শুধু মালিকই ওয়ার্কস্পেসের নাম টাইপ করে তা চাইতে পারেন। ১৪ দিন কিছুই মোছা হয় না, আর তার আগ পর্যন্ত আপনি বাতিল করতে পারেন। এরপর আমাদের টিম অনুরোধ পর্যালোচনা করে আপনার অনুরোধের ৩০ দিনের মধ্যে ওয়ার্কস্পেস মুছে ফেলে।
- আমাদের নিজস্ব বিলিং রেকর্ড। কোনো ওয়ার্কস্পেস মুছে ফেলা হলে আমরা শুধু আপনি আমাদের কী পরিশোধ করেছেন (সাবস্ক্রিপশন, ক্রেডিট ও অতিরিক্ত সুবিধার পেমেন্ট) তার নিজস্ব রেকর্ড রাখি, UK কর আইনের দাবি অনুযায়ী ৬ বছর। এগুলো গ্রাহকের ব্যক্তিগত ডেটা নয় এবং তারপর মুছে ফেলা হয়।
- ব্যাকআপ। মুছে ফেলা ডেটা বিদ্যমান ব্যাকআপ থেকে সঙ্গে সঙ্গে সরানো হয় না। ব্যাকআপ ৩০টি দৈনিক, ১২টি মাসিক ও ৫টি বার্ষিক কপির পর্যায়ক্রমিক সূচিতে রাখা হয়, তাই সেই কপির মেয়াদ শেষ হলে (সর্বোচ্চ পাঁচ বছর পরে) মুছে ফেলা ডেটা শেষ ব্যাকআপ থেকে বেরিয়ে যায়। কোনো গুরুতর ঘটনা থেকে পুনরুদ্ধারের জন্য, যেমন কেউ কিছুদিন খেয়াল না করায় ডেটা নষ্ট বা মুছে যাওয়া, আমরা বার্ষিক কপি এত দিন রাখি। ব্যাকআপ এনক্রিপ্ট করা থাকে, শুধু অল্প কয়েকজন অনুমোদিত ব্যক্তি তাতে প্রবেশ করতে পারেন, এগুলো শুধু কোনো ঘটনা থেকে পুনরুদ্ধারে ব্যবহার হয়, এবং কখনো কোনোটি পুনরুদ্ধার করলে আপনি আগে যে ডেটা মুছতে বলেছিলেন তা আমরা আবার মুছে দেব। আপলোড করা ফাইলের আলাদা ব্যাকআপ নেওয়া হয় এবং শুধু সর্বশেষ কপিটি রাখা হয়: মুছে ফেলা ফাইল (মুছে ফেলা ওয়ার্কস্পেসের ফাইলসহ) ৩৫ দিনের মধ্যে সেই ফাইল ব্যাকআপ থেকে সরিয়ে ফেলা হয়।
- অডিট লগের এন্ট্রি এক বছর রাখা হয় এবং এমনভাবে লেখা হয় যাতে আপনার যোগাযোগের নাম না থাকে।
- কনটেন্ট ইনসাইটের জন্য সংগৃহীত সোশ্যাল মন্তব্য ও উল্লেখ ৯০ দিন পরে মুছে ফেলা হয়।
আইন যেখানে বাধ্য করে, শুধু সেখানে এবং শুধু সেই উদ্দেশ্যেই আমরা ডেটা বেশি দিন রাখব।
১২. তথ্য ও অডিট
আমরা এই DPA ও UK GDPR অনুচ্ছেদ ২৮ মেনে চলি তা দেখাতে যুক্তিসংগতভাবে প্রয়োজনীয় তথ্য দেব, এবং যুক্তিসংগত নিরাপত্তা প্রশ্নাবলির উত্তর দেব। আপনি (বা আপনার নিয়োগ করা গোপনীয়তায় আবদ্ধ কোনো স্বাধীন অডিটর) যেকোনো ১২ মাসে একবার, কমপক্ষে ৩০ দিনের লিখিত নোটিশে, কর্মঘণ্টার মধ্যে এবং নিজের খরচে আমাদের নিয়ম পালন অডিট করতে পারেন। বিদ্যমান রিপোর্ট বা সার্টিফিকেশন (আমাদের উপ-প্রসেসরদের, যেমন Cloudflare-এর, সহ) আপনার প্রশ্নের উত্তর দিলে আমরা আপনাকে সেগুলোর ওপর নির্ভর করতে বলতে পারি। তথ্য কমিশনার অডিট চাইলে বা আপনার ডেটাকে প্রভাবিত করা ব্যক্তিগত ডেটা লঙ্ঘনের পরে এই সীমা প্রযোজ্য নয়।
১৩. আন্তর্জাতিক হস্তান্তর
CompanyFlowHQ চলে Cloudflare-এর বৈশ্বিক নেটওয়ার্কে, এবং কিছু উপ-প্রসেসর USA-তে অবস্থিত, তাই গ্রাহকের ব্যক্তিগত ডেটা UK-এর বাইরে প্রসেস হতে পারে। আমরা তা শুধু সেখানেই হস্তান্তর করি যেখানে UK গন্তব্যকে পর্যাপ্ত হিসেবে স্বীকৃতি দিয়েছে (সার্টিফাইড US কোম্পানির জন্য EU–US ডেটা গোপনীয়তা কাঠামোর UK সম্প্রসারণ (UK Extension to the EU–US Data Privacy Framework) সহ), অথবা UK আন্তর্জাতিক ডেটা হস্তান্তর চুক্তি (UK International Data Transfer Agreement) বা EU স্ট্যান্ডার্ড চুক্তিভিত্তিক ধারার UK সংযোজনী (UK Addendum to the EU Standard Contractual Clauses) অনুযায়ী, প্রয়োজনে হস্তান্তরের ঝুঁকি মূল্যায়ন ও সম্পূরক ব্যবস্থাসহ। আপনি এই হস্তান্তরগুলোর অনুমোদন দেন।
১৪. দায়
এই DPA অনুযায়ী প্রতিটি পক্ষের দায় পরিষেবার শর্তাবলিতে দেওয়া সীমা ও বর্জনের অধীন। এই DPA-র কিছুই কোনো পক্ষের এমন দায় সীমিত করে না যা আইনত সীমিত করা যায় না, বা ডেটা সুরক্ষা আইনে ডেটা বিষয়ীদের অধিকার সীমিত করে না।
১৫. সময়কাল, অগ্রাধিকার ও আইন
যতদিন আমরা আপনার জন্য গ্রাহকের ব্যক্তিগত ডেটা প্রসেস করি, ততদিন এই DPA বহাল থাকে। যে অংশগুলো প্রকৃতিগতভাবে চলতে থাকা উচিত (যেমন গোপনীয়তা রক্ষা, মুছে ফেলা ও দায়), সেগুলো এটি শেষ হওয়ার পরেও চলে। ডেটা সুরক্ষা বিষয়ে এই DPA শর্তাবলির সাথে বিরোধ করলে এই DPA প্রাধান্য পাবে। এটি ইংল্যান্ড ও ওয়েলস-এর আইন দ্বারা পরিচালিত, এবং ইংল্যান্ড ও ওয়েলস-এর আদালতের একচেটিয়া এখতিয়ার রয়েছে।
আইনে, আমাদের উপ-প্রসেসরদের মধ্যে (৭ নম্বর অংশ অনুসরণ করে) বা পরিষেবায় পরিবর্তন প্রতিফলিত করতে আমরা এই DPA হালনাগাদ করতে পারি। আপনার ডেটার সুরক্ষা উল্লেখযোগ্যভাবে কমায় এমন যেকোনো পরিবর্তনের কমপক্ষে ৩০ দিনের নোটিশ আমরা দেব।
১৬. উপ-প্রসেসর তালিকা
সবসময় ব্যবহৃত
| সেবাদাতা | আমাদের জন্য যা করে | যে ব্যক্তিগত ডেটা পায় | কোথায় |
|---|---|---|---|
| Cloudflare, Inc. | অ্যাপ হোস্ট ও চালানো (Workers), ডেটাবেস (D1), ফাইল ও মিডিয়া সংরক্ষণ এবং এনক্রিপ্ট করা ব্যাকআপ (R2), লাইভ চ্যাট ও মেইলবক্স সিঙ্ক (Durable Objects), AI সহায়ক (Workers AI; মডেল Cloudflare-এর নিজস্ব নেটওয়ার্কে চলে), বট যাচাই (Turnstile), আসা ইমেইল ফরোয়ার্ড করা (Email Routing) এবং কাস্টম ডোমেইন। | সব ওয়ার্কস্পেস ডেটা: লিড ও ক্লায়েন্ট, কর্মী ও HR রেকর্ড, মেসেজ, ফাইল, এবং অ্যাপ বা আপনার পাবলিক পেজ ব্যবহারকারীদের IP ঠিকানা ও ব্রাউজারের তথ্য। | UK, EU ও USA-সহ Cloudflare-এর বৈশ্বিক নেটওয়ার্ক। সংরক্ষিত ডেটা UK-এর বাইরে রাখা হতে পারে। |
| Resend (Plus Five Five, Inc.) | ইমেইল পাঠানো: সাইন-ইন কোড ও সতর্কবার্তা, নোটিফিকেশন, আপনি নিজের মেইলবক্স যুক্ত না করলে আপনার ক্লায়েন্টদের ইমেইল (ইনভয়েস, বুকিং, ই-স্বাক্ষর ও পোর্টাল লিংক), এবং CompanyFlowHQ-এর পাঠানোর অ্যাকাউন্ট দিয়ে পাঠানো ইমেইল ক্যাম্পেইন। | প্রাপকের নাম ও ইমেইল ঠিকানা, বিষয়, মেসেজের বিষয়বস্তু, এবং ডেলিভারি, খোলা, ক্লিক, ফেরত আসা ও আনসাবস্ক্রাইবের ঘটনা। | USA। |
| Stripe (Stripe Payments UK Ltd / Stripe, Inc.) | আপনার CompanyFlowHQ সাবস্ক্রিপশনের পেমেন্ট নেওয়া। | আপনার বিলিং যোগাযোগকারীর নাম ও ইমেইল, আপনার ওয়ার্কস্পেসের পরিচিতি ও প্ল্যান, এবং পেমেন্ট কার্ডের তথ্য (সরাসরি Stripe-এ দেওয়া হয়; আমরা কখনো পুরো কার্ড নম্বর দেখি না)। কোনো লিড, ক্লায়েন্ট বা কর্মীর ডেটা নয়। | UK, EU ও USA। |
| Google (Google Fonts) | অ্যাপে ব্যবহৃত টাইপফেস পৌঁছে দেওয়া। | অ্যাপ ব্যবহারকারীদের IP ঠিকানা ও ব্রাউজারের তথ্য। কোনো ওয়ার্কস্পেস ডেটা নয়। | USA, EU ও অন্যান্য জায়গা। |
শুধু আপনি সুবিধা চালু করলে বা অ্যাকাউন্ট যুক্ত করলে
| সেবাদাতা | আমাদের জন্য যা করে | যে ব্যক্তিগত ডেটা পায় | কোথায় |
|---|---|---|---|
| Google (Google LLC / Google Ireland Ltd) | Google দিয়ে সাইন ইন; Google Calendar সিঙ্ক; বুকিং ও মিটিংয়ের জন্য Google Meet লিংক; Google Analytics, Search Console, Business Profile ও Google Ads রিপোর্ট ও কাজ। | যুক্ত ব্যক্তির নাম ও ইমেইল; আপনার সিঙ্ক করা ক্যালেন্ডারের ইভেন্ট ও বুকিংয়ের তথ্য; ওয়েবসাইট, রিভিউ ও বিজ্ঞাপনের যে ডেটা আপনি আমাদের পড়তে বা পোস্ট করতে বলেন। | USA, EU ও অন্যান্য জায়গা। |
| Microsoft (Microsoft Corporation / Microsoft Ireland Operations Ltd) | Microsoft দিয়ে সাইন ইন; Outlook / Microsoft 365 মেইলবক্স (মেইল পড়া ও পাঠানো); Outlook ক্যালেন্ডার সিঙ্ক; Microsoft Teams মিটিং লিংক (আপনার Outlook ক্যালেন্ডার সংযোগের মাধ্যমে)। | যুক্ত ব্যক্তির নাম ও ইমেইল; যুক্ত মেইলবক্স দিয়ে আপনার পাঠানো ও পাওয়া ইমেইল; আপনার সিঙ্ক করা ক্যালেন্ডারের ইভেন্ট। | USA, EU ও অন্যান্য জায়গা। |
| Meta (Meta Platforms Ireland Ltd / Meta Platforms, Inc.) | Facebook ও Instagram পেজ ও বিজ্ঞাপন, Messenger ও Instagram মেসেজ, WhatsApp Business মেসেজ, Threads পোস্ট এবং Facebook লিড ফর্ম। | আপনার যোগাযোগদের কাছে পাঠানো ও তাদের কাছ থেকে আসা মেসেজ, তাদের নাম ও ফোন নম্বর বা প্রোফাইল পরিচিতি, লিড ফর্মের উত্তর, এবং আপনার প্রকাশ করা পোস্ট ও বিজ্ঞাপনের তথ্য। | USA, EU ও অন্যান্য জায়গা। |
| Twilio Inc. | SMS মেসেজ ও ফোন কল। সাধারণত আপনার নিজের Twilio অ্যাকাউন্ট। | প্রাপকদের ফোন নম্বর, মেসেজের বিষয়বস্তু, কলের তথ্য এবং আপনি রেকর্ডিং চালু করলে রেকর্ডিং। | USA ও অন্যান্য জায়গা। |
| Zadarma | আপনার নিজের Zadarma অ্যাকাউন্ট দিয়ে ফোন কল (ক্লিক-টু-কল, মিসড কল ও কল রেকর্ডিং)। | ফোন নম্বর, কলের তথ্য, এবং Zadarma-তে রেকর্ডিং চালু করলে রেকর্ডিং। | EU। |
| Zoom Video Communications, Inc. | আপনার নিজের Zoom অ্যাকাউন্ট দিয়ে বুকিং ও মিটিংয়ের জন্য Zoom মিটিং লিংক তৈরি। | যুক্ত ব্যক্তির Zoom ইমেইল ও অ্যাকাউন্ট পরিচিতি, এবং মিটিংয়ের শিরোনাম ও সময় (যাতে আপনার ক্লায়েন্টের নাম থাকতে পারে)। | USA। হস্তান্তর UK আন্তর্জাতিক ডেটা হস্তান্তর চুক্তি (UK International Data Transfer Agreement) বা EU স্ট্যান্ডার্ড চুক্তিভিত্তিক ধারার UK সংযোজনীর (UK Addendum to the EU Standard Contractual Clauses) ওপর নির্ভর করে। |
| Cloudflare, Inc. (Realtime TURN) | ব্রাউজারগুলো সরাসরি যুক্ত হতে না পারলে সরাসরি স্ক্রিন শেয়ার পৌঁছে দেওয়া। শুধু তখনই ব্যবহার হয় যখন পরিষেবার জন্য এটি চালু করা হয়েছে। | শেয়ারে থাকা মানুষদের IP ঠিকানা এবং এনক্রিপ্ট করা স্ক্রিন-শেয়ার স্ট্রিম, যা শুধু পার হয়ে যায় এবং সংরক্ষণ হয় না। | UK, EU ও USA-সহ Cloudflare-এর বৈশ্বিক নেটওয়ার্ক। |
| Stripe (আপনার নিজের অ্যাকাউন্ট) | আপনার ইনভয়েস, প্রস্তাব ও বুকিংয়ের ডিপোজিটের কার্ড পেমেন্ট, যা আপনার নিজের Stripe অ্যাকাউন্টে জমা হয়। | আপনার ক্লায়েন্টের নাম, ইমেইল, পরিমাণ এবং তা কীসের জন্য। | UK, EU ও USA। |
| আপনার যুক্ত করা অন্যান্য পরিষেবা | আপনার নিজের ইমেইল সেবাদাতা (IMAP/SMTP মেইলবক্স) বা Resend অ্যাকাউন্ট; সোশ্যাল পোস্টিংয়ের জন্য LinkedIn, X, Pinterest, Telegram, Bluesky, Mastodon, WordPress ও Ceylon Chat; আপনার সাজানো Zapier, Make ও ওয়েবহুক; Companies House-এ কোম্পানি খোঁজা। | সংযোগের যা দরকার শুধু তাই: আপনার পাঠাতে বেছে নেওয়া পোস্ট, মেসেজ বা রেকর্ড, আর Companies House-এর জন্য শুধু আপনার খোঁজা কোম্পানি নম্বর। | আপনার বেছে নেওয়া সেবাদাতার ওপর নির্ভর করে। |
কিছু কাজ এমনভাবে হয় যাতে কোনো ব্যক্তিগত ডেটা CompanyFlowHQ থেকে বাইরে যায় না: আবহাওয়ার পূর্বাভাস শুধু আনুমানিক স্থানাঙ্ক ব্যবহার করে (MET Norway), আর সরকারি ছুটির তারিখ শুধু দেশের কোড ব্যবহার করে (Nager.Date)। ফোন ও ব্রাউজারে পুশ নোটিফিকেশন ডিভাইসে থাকা পুশ সেবার (Apple, Google, Mozilla বা Microsoft) মাধ্যমে যায় এবং শুরু থেকে শেষ পর্যন্ত এনক্রিপ্ট করা থাকে, তাই সেই সেবা সেগুলো পড়তে পারে না।
১৭. যোগাযোগ
এই DPA বা আমরা কীভাবে আপনার ডেটা সামলাই সে বিষয়ে প্রশ্ন: privacy@companyflowhq.com-এ ইমেইল করুন বা Any Media Boost Ltd, 117 St Paul’s Avenue, Harrow, HA3 9PT, United Kingdom ঠিকানায় লিখুন। কোনো নিরাপত্তা সমস্যা জানাতে security@companyflowhq.com-এ ইমেইল করুন।