ডেটা প্রক্রিয়াকরণ চুক্তি (DPA)

১. সংজ্ঞা

• “ক্লায়েন্টের ব্যক্তিগত ডেটা” অর্থ চুক্তির অধীনে ক্লায়েন্টের পক্ষে Nebs-Creative যে ব্যক্তিগত ডেটা প্রক্রিয়াকরণ করে।
• “ডেটা সুরক্ষা আইন” অর্থ UK GDPR, Data Protection Act 2018 এবং, প্রক্রিয়াকরণের ক্ষেত্রে প্রযোজ্য হলে, EU GDPR, প্রযোজ্য মার্কিন যুক্তরাষ্ট্রের অঙ্গরাজ্যের গোপনীয়তা আইন এবং অন্যান্য প্রযোজ্য গোপনীয়তা/ডেটা সুরক্ষা আইন, সংশোধিত বা প্রতিস্থাপিত আকারে।
• “EU SCCs” অর্থ Implementing Decision (EU) 2021/914 দ্বারা অনুমোদিত ইউরোপীয় কমিশনের স্ট্যান্ডার্ড কন্ট্রাক্চুয়াল ক্লজসমূহ।
• “সীমাবদ্ধ স্থানান্তর” অর্থ এমন একটি স্থানান্তর, যা উপযুক্ত সুরক্ষা ব্যবস্থা ছাড়া প্রযোজ্য ডেটা সুরক্ষা আইন নিষিদ্ধ করত।
• “উপ-প্রক্রিয়াকারী” অর্থ ক্লায়েন্ট ব্যক্তিগত ডেটা প্রক্রিয়াকরণের জন্য Nebs-Creative কর্তৃক নিয়োজিত কোনো তৃতীয় পক্ষ বা সহযোগী প্রতিষ্ঠান।
• “স্থানান্তর ব্যবস্থা” অর্থ ইউকে আন্তর্জাতিক ডেটা স্থানান্তর চুক্তি (UK International Data Transfer Agreement), EU SCC-এর জন্য ইউকে অ্যাডেন্ডাম, EU SCC, অথবা প্রযোজ্য ডেটা সুরক্ষা আইন দ্বারা স্বীকৃত অন্য কোনো ব্যবস্থা।
• “কার্যদিবস” অর্থ রবিবার থেকে বৃহস্পতিবার, বাংলাদেশের সরকারি ছুটির দিন এবং বিজ্ঞপ্তিকৃত যেকোনো স্টুডিও বন্ধের দিন ব্যতীত।

নিয়ন্ত্রক, প্রক্রিয়াকারী, ডেটা বিষয়, ব্যক্তিগত ডেটা, ব্যক্তিগত ডেটা লঙ্ঘন, প্রক্রিয়াকরণ এবং তত্ত্বাবধায়ক কর্তৃপক্ষ—এই পদগুলোর অর্থ হবে UK GDPR-এ প্রদত্ত অর্থ অথবা প্রযোজ্য সমতুল্য আইনি পরিভাষার অর্থ।

২. ভূমিকা ও পরিধি

ক্লায়েন্ট ব্যক্তিগত ডেটার ক্ষেত্রে ক্লায়েন্ট নিয়ন্ত্রক এবং Nebs-Creative প্রক্রিয়াকারী। ক্লায়েন্ট নিজেই যদি অন্য কোনো নিয়ন্ত্রকের পক্ষে প্রক্রিয়াকারী হন, তবে Nebs-Creative উপ-প্রক্রিয়াকারী হিসেবে কাজ করবে এবং ক্লায়েন্ট নিশ্চিত করছেন যে এই DPA-তে নির্দেশনা দেওয়ার জন্য তিনি অনুমোদিত। অ্যানেক্স ১-এ প্রক্রিয়াকরণের বিবরণ দেওয়া আছে। সম্পর্ক পরিচালনার উদ্দেশ্যে প্রক্রিয়াকৃত সাধারণ ব্যবসায়িক যোগাযোগের ডেটার ক্ষেত্রে প্রতিটি পক্ষ স্বতন্ত্র নিয়ন্ত্রক হিসেবে থাকবে।

৩. ক্লায়েন্টের দায়িত্বসমূহ

• প্রক্রিয়াকরণের জন্য একটি বৈধ ভিত্তি বিদ্যমান আছে এবং প্রয়োজনীয় বিজ্ঞপ্তি/সম্মতি প্রদান করা হয়েছে তা নিশ্চিত করা।
• সেবার জন্য যুক্তিসংগতভাবে প্রয়োজনীয় ব্যক্তিগত ডেটা-ই কেবল প্রদান করা এবং যেখানে সম্ভব নমুনা, বেনামী বা ছদ্মনামযুক্ত ডেটা ব্যবহার করা।
• বিশেষ শ্রেণির ডেটা, অপরাধমূলক অপরাধ সংক্রান্ত ডেটা বা শিশুদের ডেটা প্রদানের আগে Nebs-Creative-কে লিখিতভাবে জানানো।
• Nebs-Creative-কে প্রদত্ত নির্দেশনা প্রযোজ্য ডেটা সুরক্ষা আইন মেনে চলে তা নিশ্চিত করা।

৪. Nebs-Creative-এর বাধ্যবাধকতাসমূহ

• আইনে ভিন্নভাবে বাধ্যতামূলক না হলে, আন্তর্জাতিক স্থানান্তর সংক্রান্ত নির্দেশনাসহ ক্লায়েন্টের লিখিত নির্দেশনা অনুযায়ীই কেবল ক্লায়েন্ট ব্যক্তিগত ডেটা প্রক্রিয়াকরণ করা।
• কোনো নির্দেশনা প্রযোজ্য ডেটা সুরক্ষা আইন লঙ্ঘন করছে বলে প্রতীয়মান হলে, আইনত অনুমোদিত সীমা পর্যন্ত ক্লায়েন্টকে অবহিত করা।
• অনুমোদিত কর্মীরা গোপনীয়তার বাধ্যবাধকতার অধীন থাকবেন তা নিশ্চিত করা।
• যাচাই সম্পন্ন হওয়ার পর অ্যানেক্স ২-এ বর্ণিত ব্যবস্থাসহ উপযুক্ত প্রযুক্তিগত ও সাংগঠনিক ব্যবস্থা বজায় রাখা।
• প্রক্রিয়াকরণের প্রকৃতি এবং প্রাপ্য তথ্য বিবেচনায় নিয়ে ডেটা বিষয়ের অধিকার, নিরাপত্তা সংক্রান্ত বাধ্যবাধকতা, লঙ্ঘন, DPIA এবং নিয়ন্ত্রক সংস্থার সাথে পরামর্শের ক্ষেত্রে যুক্তিসংগত সহায়তা প্রদান করা।
• যুক্তিসংগত সম্মতি-সংক্রান্ত তথ্য সরবরাহ করা এবং ধারা ৯ অনুযায়ী নিরীক্ষার অনুমতি দেওয়া।
• ক্লায়েন্ট ব্যক্তিগত ডেটা বিক্রয় না করা বা Nebs-Creative-এর নিজস্ব উদ্দেশ্যে, এমনকি Nebs-Creative-এর এআই মডেল প্রশিক্ষণের জন্যও, ব্যবহার না করা।

৫. উপ-প্রক্রিয়াকারী

ক্লায়েন্ট উপ-প্রক্রিয়াকারী ব্যবহারের জন্য সাধারণ অনুমোদন প্রদান করছেন। বর্তমান উপ-প্রক্রিয়াকারীদের অ্যানেক্স ৩-এ তালিকাভুক্ত করতে হবে। কোনো উপ-প্রক্রিয়াকারী সংযোজন বা প্রতিস্থাপনের অভিপ্রায় থাকলে Nebs-Creative কমপক্ষে ১৪ দিনের নোটিশ প্রদান করবে। ক্লায়েন্ট যুক্তিসংগত ডেটা সুরক্ষা সংক্রান্ত কারণে আপত্তি জানাতে পারেন। আপত্তি যুক্তিসংগতভাবে নিষ্পত্তি করা না গেলে ক্লায়েন্ট প্রভাবিত সেবাসমূহ সমাপ্ত করতে পারেন এবং সম্পাদিত হয়নি এমন সেবার জন্য অগ্রিম পরিশোধিত ফি ফেরত পাবেন। Nebs-Creative প্রতিটি উপ-প্রক্রিয়াকারীর ওপর মূলত সমতুল্য ডেটা সুরক্ষা বাধ্যবাধকতা আরোপ করবে এবং প্রযোজ্য আইন ও চুক্তি অনুযায়ী ওই বাধ্যবাধকতাগুলো পালনে উপ-প্রক্রিয়াকারীর কার্যসম্পাদনের জন্য ক্লায়েন্টের কাছে দায়ী থাকবে।

৬. আন্তর্জাতিক স্থানান্তর

ক্লায়েন্ট স্বীকার করছেন যে Nebs-Creative-এর দল বাংলাদেশ থেকে কাজ করে এবং অনুমোদিত উপ-প্রক্রিয়াকারীরা অ্যানেক্স ৩-এ উল্লিখিত স্থানসমূহে ক্লায়েন্ট ব্যক্তিগত ডেটা প্রক্রিয়াকরণ করতে পারে। প্রতিটি সীমাবদ্ধ স্থানান্তর অবশ্যই একটি বৈধ স্থানান্তর ব্যবস্থা বা অন্য কোনো আইনসম্মত ভিত্তি দ্বারা এবং, যেখানে প্রয়োজন, একটি উপযুক্ত স্থানান্তর ঝুঁকি মূল্যায়ন বা সমতুল্য মূল্যায়ন দ্বারা সমর্থিত হতে হবে।

বাংলাদেশের স্টুডিও সত্তা বা কোনো উপ-প্রক্রিয়াকারীর মতো প্রাপকের কাছে Nebs-Creative কর্তৃক সম্পাদিত ইউকে সীমাবদ্ধ স্থানান্তরের ক্ষেত্রে Nebs-Creative প্রযোজ্য ইউকে আন্তর্জাতিক ডেটা স্থানান্তর চুক্তি, প্রাসঙ্গিক EU SCC মডিউলসহ ইউকে অ্যাডেন্ডাম, অথবা অন্য কোনো বৈধ ব্যবস্থা ব্যবহার করবে। যেসব EEA স্থানান্তরে EU SCC আবশ্যক, সেখানে প্রযোজ্য ক্ষেত্রে নিয়ন্ত্রক-থেকে-প্রক্রিয়াকারী বা প্রক্রিয়াকারী-থেকে-প্রক্রিয়াকারী মডিউল প্রযোজ্য হবে। বাধ্যতামূলক স্থানান্তর শর্তাবলী এই DPA-র সাথে সাংঘর্ষিক হলে বাধ্যতামূলক স্থানান্তর শর্তাবলীই প্রাধান্য পাবে।

৭. ব্যক্তিগত তথ্যের লঙ্ঘন

ক্লায়েন্ট ব্যক্তিগত তথ্যকে প্রভাবিত করে এমন কোনো ব্যক্তিগত তথ্য লঙ্ঘন সম্পর্কে অবগত হওয়ার পর Nebs-Creative অযথা বিলম্ব না করে এবং বর্তমান স্ট্যান্ডার্ড ডিপিএ অনুযায়ী যেকোনো ক্ষেত্রে ৪৮ ঘণ্টার মধ্যে ক্লায়েন্টকে জানাবে। বিজ্ঞপ্তিতে লঙ্ঘনের প্রকৃতি, পরিধি, সম্ভাব্য পরিণতি এবং প্রশমন সম্পর্কে উপলব্ধ তথ্য থাকবে, এবং আরও তথ্য পাওয়া গেলে তা সরবরাহ করা হবে। Nebs-Creative ঘটনাটি নিয়ন্ত্রণে আনা ও প্রতিকারের জন্য যুক্তিসঙ্গত পদক্ষেপ নেবে এবং ক্লায়েন্টের সঙ্গে সহযোগিতা করবে। আইনে অন্যথা প্রয়োজন না হলে, ক্লায়েন্টের নির্দেশ ছাড়া Nebs-Creative ক্লায়েন্টের পক্ষে কোনো নিয়ন্ত্রক সংস্থা বা ডেটা সাবজেক্টকে জানাবে না।

৮. ডেটা সাবজেক্টের অনুরোধ

Nebs-Creative যদি ক্লায়েন্ট ব্যক্তিগত তথ্য সংক্রান্ত কোনো অনুরোধ পায়, তবে ৫ কার্যদিবসের মধ্যে অনুরোধটি ক্লায়েন্টের কাছে পাঠিয়ে দেবে এবং ক্লায়েন্ট কর্তৃক অনুমোদিত বা আইন দ্বারা আবশ্যক হওয়া ছাড়া সারবস্তুগতভাবে সাড়া দেবে না।

৯. নিরীক্ষা ও সম্মতি সংক্রান্ত তথ্য

Nebs-Creative সাধারণত বছরে একবার যুক্তিসঙ্গত সম্মতি প্রশ্নাবলিতে সাড়া দেবে, এবং প্রযোজ্য ক্ষেত্রে প্রাসঙ্গিক লঙ্ঘন বা নিয়ন্ত্রক সংস্থার অনুরোধের পর অতিরিক্ত তথ্য প্রদান করবে। যুক্তিসঙ্গত লিখিত তথ্য সম্মতি প্রমাণের জন্য যথেষ্ট না হলে, ক্লায়েন্ট বা গোপনীয়তার বাধ্যবাধকতায় আবদ্ধ একজন স্বাধীন, অ-প্রতিযোগী নিরীক্ষক প্রযোজ্য ডিপিএ-তে উল্লিখিত নোটিশ, ঘন ঘন সম্পাদনের সীমা, কর্মঘণ্টা এবং কার্যক্রমে ব্যাঘাত না ঘটানোর বিধিনিষেধ অনুসারে নিরীক্ষা পরিচালনা করতে পারেন। চুক্তি বা প্রযোজ্য আইনে অন্যথা প্রয়োজন না হলে প্রতিটি পক্ষ নিজ নিজ নিরীক্ষা ব্যয় বহন করবে।

১০. ফেরত প্রদান ও মুছে ফেলা

সংশ্লিষ্ট পরিষেবা শেষ হলে, অথবা লিখিত নির্দেশ থাকলে তার আগেই, Nebs-Creative ক্লায়েন্টের পছন্দ অনুযায়ী ৩০ দিনের মধ্যে ক্লায়েন্ট ব্যক্তিগত তথ্য ফেরত দেবে বা মুছে ফেলবে এবং প্রযোজ্য আইনে সংরক্ষণ আবশ্যক না হলে বিদ্যমান অনুলিপিগুলো মুছে ফেলবে। নিয়মিত ব্যাকআপে থাকা তথ্য স্বাভাবিক ব্যাকআপ চক্রে ওভাররাইট না হওয়া পর্যন্ত এই ডিপিএ দ্বারা সুরক্ষিত থাকবে। অনুরোধ করা হলে মুছে ফেলার লিখিত নিশ্চিতকরণ দেওয়া হবে।

১১. মার্কিন রাজ্যের গোপনীয়তা শর্তাবলি

প্রযোজ্য কোনো মার্কিন রাজ্যের গোপনীয়তা আইন যে পরিমাণে Nebs-Creative-কে ক্লায়েন্ট ব্যক্তিগত তথ্যের ক্ষেত্রে সেবা প্রদানকারী, ঠিকাদার বা প্রসেসর হিসেবে গণ্য করে, সেই পরিমাণে Nebs-Creative প্রযোজ্য আইনে সংজ্ঞায়িত অর্থে সেই তথ্য বিক্রি বা শেয়ার করবে না, অনুমোদিত সেবা সম্পর্কের বাইরে তা ধারণ/ব্যবহার/প্রকাশ করবে না, অথবা আইন যতটুকু অনুমতি দেয় তার বাইরে অন্য ব্যক্তিগত তথ্যের সঙ্গে একত্র করবে না। Nebs-Creative তার ভূমিকার জন্য আবশ্যক গোপনীয়তা সুরক্ষার মাত্রা প্রদান করবে এবং আর সেই বাধ্যবাধকতা পূরণ করতে না পারলে ক্লায়েন্টকে জানাবে। অননুমোদিত ব্যবহার বন্ধ ও প্রতিকারের জন্য প্রযোজ্য আইনে আবশ্যক যুক্তিসঙ্গত পদক্ষেপ ক্লায়েন্ট নিতে পারবে।

১২. দায়, অগ্রাধিকার ও আইন

ডেটা সুরক্ষা আইন যতটুকু অনুমতি দেয়, এই ডিপিএ-র অধীনে দায় ততটুকু চুক্তির দায় সংক্রান্ত শর্তাবলির অধীন। Nebs-Creative যতদিন ক্লায়েন্ট ব্যক্তিগত তথ্য প্রক্রিয়া করবে ততদিন ডিপিএ বলবৎ থাকবে এবং ব্যক্তিগত তথ্য সংক্রান্ত বিষয়ে পরস্পরবিরোধী চুক্তির শর্তের উপর প্রাধান্য পাবে। স্ট্যান্ডার্ড ডিপিএ ইংল্যান্ড ও ওয়েলসের আইন দ্বারা পরিচালিত, তবে বাধ্যতামূলক স্থানান্তর ধারাসমূহ অন্য কোনো প্রযোজ্য আইন বা বিচারক্ষেত্র আবশ্যক করলে তা ব্যতিক্রম।

পরিশিষ্ট ১ - প্রক্রিয়াকরণের বিবরণ

অ্যানেক্স ২ - প্রযুক্তিগত ও সাংগঠনিক ব্যবস্থা

• ক্লায়েন্টের ব্যক্তিগত ডেটা অ্যাক্সেসে ব্যবহৃত অ্যাকাউন্টগুলোতে, পরিষেবা সমর্থন করলে, MFA (মাল্টি-ফ্যাক্টর অথেনটিকেশন)।
• প্রকল্পভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ; প্রকল্প শেষে অ্যাক্সেস প্রত্যাহার; নিয়মিত অ্যাক্সেস পর্যালোচনা।
• ব্যক্তিগত ব্যবহারকারী অ্যাকাউন্ট; ভাগ করা গোপন তথ্য (শেয়ার্ড সিক্রেট) অনুমোদিত এনক্রিপ্টেড পাসওয়ার্ড ম্যানেজারে সংরক্ষণ।
• অভ্যন্তরীণ নীতির প্রয়োজন অনুযায়ী, ক্লায়েন্টের কাজে ব্যবহৃত ডিভাইসে ফুল-ডিস্ক এনক্রিপশন, স্ক্রিন লক, সমর্থিত অপারেটিং সিস্টেম, স্বয়ংক্রিয় নিরাপত্তা আপডেট এবং অ্যান্টি-ম্যালওয়্যার।
• ক্লায়েন্টের ব্যক্তিগত ডেটা কেবল অনুমোদিত টুলে সংরক্ষণ; সুনির্দিষ্টভাবে অনুমোদিত না হলে কোনো রিমুভেবল মিডিয়া বা ব্যক্তিগত অ্যাকাউন্টে সংরক্ষণ নয়।
• ডেটা ন্যূনতমকরণ এবং যেখানে সম্ভব নমুনা/অ্যানোনিমাইজড/সিউডোনিমাইজড ডেটার ব্যবহার।
• সীমিত লিংক/ফাইল শেয়ারিং এবং ট্রানজিটে এনক্রিপশন; প্রযোজ্য ক্ষেত্রে স্টোরেজ প্রদানকারীর স্থির অবস্থায় (অ্যাট রেস্ট) এনক্রিপশন।
• প্রয়োজনীয় সুরক্ষা ব্যবস্থা/সেটিংসহ অনুমোদিত টুল এবং ক্লায়েন্টের সম্মতি ছাড়া AI টুলে ক্লায়েন্টের ব্যক্তিগত ডেটা ব্যবহার করা হবে না।
• টিমের গোপনীয়তা/বৌদ্ধিক সম্পত্তি চুক্তি এবং নিরাপত্তা/ডেটা সুরক্ষা প্রশিক্ষণ।
• অভ্যন্তরীণভাবে দ্রুত ঘটনা প্রতিবেদন এবং ঘটনার লগ সংরক্ষণ।
• অনুমোদিত ক্লাউড পরিষেবাগুলির জন্য প্রদানকারীর ব্যাকআপ/পুনরুদ্ধার সক্ষমতা।
• DPA-তে নির্ধারিত সংরক্ষণ বিধি অনুসারে ক্লায়েন্টের ব্যক্তিগত ডেটা ফেরত প্রদান/মুছে ফেলা।

সংযুক্তি ৩ - সাব-প্রসেসর

স্বাক্ষর ব্লক (স্বাক্ষরিত ডিপিএ অনুরোধ করা হলে ঐচ্ছিক)