ডেটা প্রক্রিয়াকরণ চুক্তি (DPA) — ব্যবহারের শর্তাবলির পরিশিষ্ট 1

সংস্করণ 1.0 — 3 নভেম্বর 2026। এই চুক্তি (umowa powierzenia przetwarzania danych osobowych, অনুচ্ছেদ 28 GDPR) PolyMatch অ্যাকাউন্টধারী কোম্পানি ("ক্লায়েন্ট") এবং Eddy KHATIB, ul. Złota 75A/7, 00-819 Warszawa, পোল্যান্ড, NIP 5273244324 ("PolyMatch")-এর মধ্যে সম্পাদিত হয়। ক্লায়েন্টকে বাধ্য করার জন্য অনুমোদিত একজন ব্যক্তি ব্যবহারের শর্তাবলির সাথে একত্রে এটি গ্রহণ করেন; ক্লায়েন্টের নামে একটি তারিখযুক্ত কপি "আমার কোম্পানি" থেকে ডাউনলোড করা যায়।

1. বিষয়বস্তু ও পরিধি

1.1 এই চুক্তি ক্লায়েন্ট প্ল্যাটফর্মে যে কনটেন্ট আপলোড করে বা প্রবেশ করায় তাতে থাকা তৃতীয় পক্ষের ব্যক্তিগত ডেটা ("ক্লায়েন্ট ডেটা") ক্লায়েন্টের পক্ষে PolyMatch কর্তৃক প্রক্রিয়াকরণ নিয়ন্ত্রণ করে: এর সাব-কন্ট্রাক্টর, গ্রাহক বা অংশীদারদের যোগাযোগের বিবরণ, এর নথি, বার্তা, প্রকল্প বা অফারে উল্লিখিত ব্যক্তি।

1.2 নিম্নলিখিতগুলো ক্লায়েন্ট ডেটা নয় এবং PolyMatch গোপনীয়তা নীতি অনুযায়ী একটি স্বাধীন নিয়ন্ত্রক হিসেবে এগুলো প্রক্রিয়া করে: ক্লায়েন্টের ব্যবহারকারীদের অ্যাকাউন্ট, কোম্পানির শনাক্তকরণ ও তালিকাভুক্তির ডেটা, গ্রেডের কারিগরি ডেটা, কারিগরি দিক থেকে প্রকল্প, লিড, ম্যাচ ও র‍্যাঙ্কিং, বিলিং, নিরাপত্তা ও কার্যকলাপের লগ, সম্মতি। আনলকের পর কোম্পানিগুলোর মধ্যে বিনিময় হওয়া ডেটার ক্ষেত্রে ক্লায়েন্ট ও PolyMatch প্রত্যেকে স্বাধীন নিয়ন্ত্রক।

1.3 প্রক্রিয়াকরণের বিবরণ: প্রকৃতি — হোস্টিং, সংরক্ষণ, ক্লায়েন্ট ও এর ব্যবহারকারীদের কাছে প্রদর্শন, ক্লায়েন্ট প্ল্যাটফর্মের মাধ্যমে নিজে যেসব কোম্পানির সাথে যোগাযোগ স্থাপন করে তাদের কাছে প্রেরণ, বার্তার স্বয়ংক্রিয় অনুবাদ, ব্যাকআপ; উদ্দেশ্য — শর্তাবলিতে বর্ণিত পরিষেবা প্রদান; মেয়াদ — চুক্তির মেয়াদ; ডেটা বিষয়ের শ্রেণি — ক্লায়েন্টের সাব-কন্ট্রাক্টর, গ্রাহক ও অংশীদারদের ব্যবসায়িক যোগাযোগ ব্যক্তি, এর ব্যবহারকারীদের উল্লিখিত ব্যক্তি; ডেটার শ্রেণি — পেশাগত পরিচয়, কাজের ভূমিকা, ব্যবসায়িক যোগাযোগের বিবরণ, বার্তা ও নথির বিষয়বস্তু; কোনো বিশেষ শ্রেণির ডেটা (অনুচ্ছেদ 9 GDPR) প্রত্যাশিত নয় এবং ক্লায়েন্ট এমন কোনো ডেটা আপলোড না করার অঙ্গীকার করে।

2. ক্লায়েন্টের নির্দেশনা

2.1 PolyMatch কেবল ক্লায়েন্টের নথিভুক্ত নির্দেশনা অনুযায়ী ক্লায়েন্ট ডেটা প্রক্রিয়া করে। নির্দেশনাগুলো হলো: ব্যবহারের শর্তাবলি, এই চুক্তি এবং ক্লায়েন্ট ও এর ব্যবহারকারীরা প্ল্যাটফর্মে যেসব কাজ করেন (আপলোড, শেয়ার, প্রেরণ, মুছে ফেলা)।

2.2 PolyMatch যদি মনে করে যে কোনো নির্দেশনা GDPR বা অন্যান্য ডেটা সুরক্ষা বিধান লঙ্ঘন করে, তাহলে এটি অবিলম্বে ক্লায়েন্টকে অবহিত করে। ইউনিয়ন বা সদস্য রাষ্ট্রের আইন দাবি করলে PolyMatch নির্দেশনা ছাড়াই ক্লায়েন্ট ডেটা প্রক্রিয়া করতে পারে; তখন এটি ক্লায়েন্টকে অবহিত করে, যদি না আইন তা নিষিদ্ধ করে।

3. ক্লায়েন্টের দায়িত্ব

ক্লায়েন্ট নিশ্চয়তা দেয় যে ক্লায়েন্ট ডেটার জন্য তার একটি আইনি ভিত্তি আছে, যে সে ডেটা বিষয়দের অবহিত করেছে, যে তার নির্দেশনা বৈধ এবং যে সে ক্লায়েন্ট ডেটা প্রয়োজনীয় পরিমাণে সীমিত রাখে। ক্লায়েন্ট ডেটা সংক্রান্ত ডেটা বিষয় ও কর্তৃপক্ষের অনুরোধের উত্তর সে একাই দেয়, অনুচ্ছেদ 6-এর অধীনে PolyMatch-এর সহায়তায়।

4. PolyMatch-এর দায়িত্ব

4.1 গোপনীয়তা: ক্লায়েন্ট ডেটা প্রক্রিয়া করার জন্য অনুমোদিত ব্যক্তিরা চুক্তি বা আইন দ্বারা গোপনীয়তা রক্ষায় বাধ্য; প্রবেশাধিকার পরিচালনা ও সহায়তার জন্য যতটুকু প্রয়োজন ততটুকুতে সীমিত।

4.2 নিরাপত্তা: PolyMatch পরিশিষ্ট A-এর কারিগরি ও সাংগঠনিক ব্যবস্থাগুলো বাস্তবায়ন করে এবং সেগুলোর সামগ্রিক স্তর না কমিয়ে ঝুঁকির বিবর্তন অনুযায়ী সেগুলো অভিযোজিত করে।

4.3 রেকর্ড ও সহযোগিতা: PolyMatch ক্লায়েন্টের জন্য সম্পাদিত প্রক্রিয়াকরণ কার্যক্রমের শ্রেণিগুলোর রেকর্ড রাখে এবং অনুরোধের ভিত্তিতে তত্ত্বাবধায়ক কর্তৃপক্ষের সাথে সহযোগিতা করে।

5. উপ-প্রক্রিয়াকারী

5.1 ক্লায়েন্ট পরিশিষ্ট B-তে তালিকাভুক্ত উপ-প্রক্রিয়াকারীদের ব্যবহারের জন্য একটি সাধারণ অনুমোদন দেয়, যা গোপনীয়তা নীতিতে প্রকাশিত তালিকাটি পুনরুল্লেখ করে।

5.2 PolyMatch যেকোনো সংযোজন বা প্রতিস্থাপন কার্যকর হওয়ার কমপক্ষে ত্রিশ দিন আগে ই-মেলের মাধ্যমে ক্লায়েন্টকে অবহিত করে। ক্লায়েন্ট সেই সময়ের মধ্যে ডেটা সুরক্ষা সংক্রান্ত বৈধ কারণে লিখিতভাবে আপত্তি জানাতে পারে; সমঝোতা না হলে, ক্লায়েন্ট পরিবর্তনটি কার্যকর হওয়ার আগে কোনো জরিমানা ছাড়াই চুক্তির অবসান ঘটাতে পারে।

5.3 PolyMatch চুক্তির মাধ্যমে প্রতিটি উপ-প্রক্রিয়াকারীর ওপর নিজের দায়িত্বের সমতুল্য ডেটা সুরক্ষা দায়িত্ব আরোপ করে এবং সেগুলোর বাস্তবায়নের জন্য ক্লায়েন্টের প্রতি দায়ী থাকে।

6. সহায়তা ও ডেটা বিষয়দের অধিকার

6.1 প্রক্রিয়াকরণের প্রকৃতি বিবেচনায় রেখে, PolyMatch নিজেদের অধিকার (প্রবেশাধিকার, সংশোধন, মুছে ফেলা, সীমিতকরণ, বহনযোগ্যতা, আপত্তি) প্রয়োগকারী ডেটা বিষয়দের অনুরোধের উত্তর দিতে ক্লায়েন্টকে সহায়তা করে। প্ল্যাটফর্মের ভেতরে ক্লায়েন্টের কাছে ক্লায়েন্ট ডেটা দেখা, সংশোধন ও মুছে ফেলার উপায় রয়েছে; প্ল্যাটফর্ম যা করতে দেয় না, তার জন্য PolyMatch লিখিত অনুরোধের ভিত্তিতে দশ কার্যদিবসের মধ্যে হস্তক্ষেপ করে।

6.2 কোনো ডেটা বিষয় যদি ক্লায়েন্ট ডেটা সম্পর্কে সরাসরি PolyMatch-এর সাথে যোগাযোগ করেন, তাহলে PolyMatch মূল বিষয়ে উত্তর না দিয়ে অনুরোধটি ক্লায়েন্টের কাছে পাঠিয়ে দেয়, যদি না আইনগতভাবে তা প্রয়োজন হয়।

6.3 PolyMatch তার কাছে উপলব্ধ তথ্যের পরিধির মধ্যে নিরাপত্তা, লঙ্ঘনের বিজ্ঞপ্তি এবং প্রভাব মূল্যায়ন সংক্রান্ত দায়িত্ব (অনুচ্ছেদ 32 থেকে 36 GDPR) পালনে ক্লায়েন্টকে সহায়তা করে।

7. ডেটা লঙ্ঘন

ক্লায়েন্ট ডেটাকে প্রভাবিত করে এমন যেকোনো ব্যক্তিগত ডেটা লঙ্ঘনের বিষয়ে PolyMatch অযথা বিলম্ব ছাড়াই এবং তা জানার সর্বোচ্চ আটচল্লিশ ঘণ্টার মধ্যে ক্লায়েন্টের প্রশাসকদের ই-মেলের মাধ্যমে ক্লায়েন্টকে অবহিত করে। বিজ্ঞপ্তিতে লঙ্ঘনের প্রকৃতি, সংশ্লিষ্ট ডেটা বিষয় ও রেকর্ডের শ্রেণি ও আনুমানিক সংখ্যা, সম্ভাব্য পরিণতি, গৃহীত বা প্রস্তাবিত ব্যবস্থা এবং যোগাযোগ বিন্দু বর্ণনা করা হয়; যে তথ্য এখনও উপলব্ধ নয় তা উপলব্ধ হওয়ামাত্র প্রদান করা হয়।

8. ইউরোপীয় ইউনিয়নের বাইরে স্থানান্তর

ক্লায়েন্ট ডেটা ইউরোপীয় ইউনিয়নে হোস্ট করা হয়। কোনো উপ-প্রক্রিয়াকারী কর্তৃক কোনো তৃতীয় দেশে যেকোনো স্থানান্তর একটি পর্যাপ্ততা সিদ্ধান্ত অথবা ইউরোপীয় কমিশনের প্রমিত চুক্তিগত ধারার ওপর নির্ভর করে, যথাযথ সম্পূরক ব্যবস্থাসহ; পরিশিষ্ট B প্রতিটি উপ-প্রক্রিয়াকারীর ক্ষেত্রে প্রযোজ্য সুরক্ষাব্যবস্থা নির্দেশ করে। কিছু স্বয়ংক্রিয় প্রক্রিয়াকরণ যুক্তরাষ্ট্রে প্রতিষ্ঠিত AI প্রদানকারীদের নিকট অর্পিত হয়, ইউরোপীয় কমিশনের প্রমিত চুক্তিগত ধারার ভিত্তিতে; আপনার তথ্য তাদের মডেল প্রশিক্ষণের জন্য ব্যবহৃত হয় না।

9. নিরীক্ষা

9.1 PolyMatch এই চুক্তির সাথে সম্মতি প্রদর্শনের জন্য প্রয়োজনীয় তথ্য ক্লায়েন্টের কাছে উপলব্ধ করে: নিরাপত্তা ব্যবস্থার বিবরণ, উপ-প্রক্রিয়াকারীদের তালিকা, বছরে একবার একটি লিখিত প্রশ্নাবলির উত্তর।

9.2 সরেজমিন নিরীক্ষা, বা কোনো স্বাধীন তৃতীয় পক্ষের মাধ্যমে নিরীক্ষা, বছরে একবার, অথবা কোনো ডেটা লঙ্ঘনের পর বা কোনো কর্তৃপক্ষের অনুরোধে সম্ভব, ত্রিশ দিনের লিখিত পূর্ব-বিজ্ঞপ্তিতে, কর্মঘণ্টার মধ্যে, কার্যক্রমে বিঘ্ন না ঘটিয়ে বা অন্যান্য ক্লায়েন্টের ডেটায় প্রবেশাধিকার না দিয়ে, ক্লায়েন্টের খরচে। নিরীক্ষার ফলাফল গোপনীয়।

10. প্রক্রিয়াকরণের সমাপ্তি

10.1 চুক্তির অবসানে PolyMatch ত্রিশ দিনের মধ্যে ক্লায়েন্ট ডেটা মুছে ফেলে, যদি না কোনো আইনি সংরক্ষণ বাধ্যবাধকতা প্রযোজ্য হয়, সেক্ষেত্রে সেই বাধ্যবাধকতার মেয়াদ শেষ না হওয়া পর্যন্ত ডেটা পৃথকভাবে রাখা হয়। চুক্তির অবসানের আগে ক্লায়েন্ট প্ল্যাটফর্মের ফাংশনের মাধ্যমে নিজেই তার ডেটা এক্সপোর্ট করে।

10.2 ক্লায়েন্টের নির্দেশনায় কোনো আনলক, অফার বা নথি শেয়ারের মাধ্যমে অন্য কোনো কোম্পানির কাছে ইতিমধ্যে পাঠানো ক্লায়েন্ট ডেটা সেই কোম্পানির কাছে থেকে যায়, যা এর নিয়ন্ত্রক। চুক্তির অবসানের পর গ্রেডগুলোর অব্যাহত তালিকাভুক্তি (শর্তাবলির অনুচ্ছেদ 12.5) কারিগরি ও কোম্পানির ডেটা সংক্রান্ত, যা ক্লায়েন্ট ডেটা নয়।

11. দায় ও মেয়াদ

11.1 এই চুক্তির অধীনে প্রত্যেক পক্ষের দায় ব্যবহারের শর্তাবলির অনুচ্ছেদ 13-এর সীমাবদ্ধতার অধীন, যদি না GDPR-এর বাধ্যতামূলক বিধান অন্যরকম নির্ধারণ করে।

11.2 এই চুক্তি চুক্তির সম্পূর্ণ মেয়াদে এবং ক্লায়েন্ট ডেটা মুছে ফেলা না হওয়া পর্যন্ত প্রযোজ্য। এটি পোলিশ আইন দ্বারা পরিচালিত; ব্যক্তিগত ডেটা সংক্রান্ত কোনো বিষয়ে শর্তাবলির সাথে বিরোধের ক্ষেত্রে এই চুক্তি প্রাধান্য পায়।

পরিশিষ্ট A — কারিগরি ও সাংগঠনিক ব্যবস্থা

• ISO 27001 ও SOC 2 প্রত্যয়িত একটি পরিষেবা প্রদানকারীর মাধ্যমে ইউরোপীয় ইউনিয়নে (আয়ারল্যান্ড) ডেটা ও ফাইলের হোস্টিং।
• যোগাযোগের (TLS 1.2 বা তার বেশি) এবং সংরক্ষিত ডেটার এনক্রিপশন।
• প্রতি কোম্পানি ও প্রতি ভূমিকাভিত্তিক ডেটার পৃথকীকরণ, ডেটাবেস স্তরে প্রয়োগকৃত (সারি-স্তরের প্রবেশাধিকার নিয়ন্ত্রণ); সংবেদনশীল টেবিলে ব্রাউজারের কোনো সরাসরি প্রবেশাধিকার নেই; সংবেদনশীল ফাংশন কেবল সার্ভার দ্বারা সম্পাদনযোগ্য।
• হ্যাশ করা পাসওয়ার্ডের মাধ্যমে প্রমাণীকরণ, আপস হওয়া পাসওয়ার্ডের বিরুদ্ধে সুরক্ষা, 7 দিন নিষ্ক্রিয় থাকার পর সেশনের মেয়াদোত্তীর্ণ, নিবন্ধন, লগইন ও পাসওয়ার্ড রিসেটে অ্যান্টি-বট যাচাই, হার সীমিতকরণ।
• সময়-সীমিত স্বাক্ষরিত লিংকের মাধ্যমে ফাইলে প্রবেশাধিকার; কোম্পানিগুলোর মধ্যে শেয়ার করা নথির রেজিস্টার।
• কারিগরি গোপন তথ্য একটি নিবেদিত ভল্টে রাখা হয়, কখনোই কোডে নয়; নামাঙ্কিত ও লগ করা প্রশাসনিক প্রবেশাধিকার।
• এনক্রিপ্ট করা ব্যাকআপ, দ্বিতীয় একটি পরিষেবা প্রদানকারীর কাছে ফাইলের কপি; পুনরুদ্ধার প্রক্রিয়া।
• কাজ ও ত্রুটির লগ; কোনো চুক্তিসংক্রান্ত যোগাযোগ পাঠাতে ব্যর্থ হলে সতর্কবার্তা।
• প্রতিটি রিলিজের আগে স্বয়ংক্রিয় পরীক্ষা, পর্যালোচনা ও নিরাপত্তা গার্ডসহ উন্নয়ন; চালুর আগে এবং প্রতিটি বড় পরিবর্তনের পর নিরাপত্তা নিরীক্ষা।
• ডেটা প্রক্রিয়াকরণ চুক্তিতে আবদ্ধ উপ-প্রক্রিয়াকারী; তাদের সার্টিফিকেশন ও স্থানান্তর সুরক্ষাব্যবস্থার যাচাই।
• লঙ্ঘন ব্যবস্থাপনা প্রক্রিয়া: শনাক্তকরণ, নিয়ন্ত্রণ, বিশ্লেষণ, বিজ্ঞপ্তি (অনুচ্ছেদ 7), সংশোধনমূলক ব্যবস্থা।

পরিশিষ্ট B — উপ-প্রক্রিয়াকারী

তালিকাটি ক্লায়েন্টদের জন্য "আমার কোম্পানি" (চুক্তির নথি) অংশে প্রবেশযোগ্য। যেকোনো পরিবর্তন অনুচ্ছেদ 5-এর প্রক্রিয়া অনুসরণ করে।