ট্রান্সফার ইমপ্যাক্ট অ্যাসেসমেন্ট

সর্বশেষ হালনাগাদ: ৬ জুলাই, ২০২৬

এই ট্রান্সফার ইমপ্যাক্ট অ্যাসেসমেন্ট ("TIA") Acira AI LLC ("Acira AI", "আমরা", "আমাদের") কর্তৃক ডেটা প্রোটেকশন কমিশনার বনাম Facebook Ireland Limited এবং Maximillian Schrems (কেস C-311/18, "Schrems II") মামলায় ইউরোপীয় ইউনিয়নের বিচার আদালতের সিদ্ধান্তের প্রয়োজনীয়তা এবং ইউরোপীয় ডেটা প্রোটেকশন বোর্ডের সুপারিশ (EDPB সুপারিশ 01/2020 সম্পূরক ব্যবস্থা সম্পর্কিত) অনুযায়ী প্রস্তুত করা হয়েছে।

এই TIA আমাদের পরিষেবা প্রদানের সাথে সম্পর্কিত ইউরোপীয় অর্থনৈতিক এলাকা ("EEA"), যুক্তরাজ্য, সুইজারল্যান্ড এবং কানাডা থেকে মার্কিন যুক্তরাষ্ট্র এবং অন্যান্য তৃতীয় দেশে হস্তান্তরিত ব্যক্তিগত ডেটার সুরক্ষার পর্যাপ্ততা মূল্যায়ন করে।

এই TIA আপনার সুবিধার জন্য অন্যান্য ভাষায় অনুবাদ করা হতে পারে। ইংরেজি সংস্করণ এবং যেকোনো অনুবাদ সংস্করণের মধ্যে কোনো বিরোধ বা অসঙ্গতি থাকলে, ইংরেজি সংস্করণ প্রাধান্য পাবে।

বিষয়বস্তু

1. হস্তান্তরের সংক্ষিপ্ত বিবরণ
2. হস্তান্তরিত ডেটার প্রকৃতি
3. হস্তান্তর প্রক্রিয়া
4. গন্তব্য দেশের আইনের মূল্যায়ন
5. পরিষেবা প্রদানকারী অনুযায়ী ডেটা প্রবাহের মূল্যায়ন
6. সম্পূরক ব্যবস্থা
7. ঝুঁকি মূল্যায়ন
8. উপসংহার
9. পর্যালোচনা সময়সূচি
10. যোগাযোগ করুন

1. হস্তান্তরের সংক্ষিপ্ত বিবরণ

1.1 প্রেক্ষাপট

Acira AI একটি সফটওয়্যার-অ্যাজ-আ-সার্ভিস প্ল্যাটফর্ম যা ব্যবসা এবং ব্যক্তিদের AI-চালিত ওয়েবসাইট তৈরি, পরিচালনা এবং হোস্ট করতে সক্ষম করে। যখন ব্যবহারকারীরা EEA, যুক্তরাজ্য, সুইজারল্যান্ড বা কানাডায় অবস্থিত দর্শকদের দ্বারা অ্যাক্সেস করা ওয়েবসাইট তৈরি করেন, তখন সেই দর্শকদের ব্যক্তিগত ডেটা মার্কিন যুক্তরাষ্ট্র এবং অন্যান্য স্থানে হস্তান্তরিত ও প্রক্রিয়া করা হতে পারে যেখানে আমাদের অবকাঠামো প্রদানকারীরা কাজ করে।

1.2 পক্ষসমূহ

• ডেটা রপ্তানিকারক: ওয়েবসাইট অপারেটর (আমাদের গ্রাহক, নিয়ন্ত্রক হিসেবে কাজ করছে) এবং বিশ্লেষণ ডেটার জন্য Acira AI যৌথ নিয়ন্ত্রক হিসেবে। যেখানে কোনো ওয়েবসাইট আমাদের এজেন্সি প্রোগ্রামের মাধ্যমে পরিচালিত হয়, সেখানে এজেন্সি এবং/অথবা তার এন্ড ক্লায়েন্ট নিয়ন্ত্রক/ডেটা রপ্তানিকারক হিসেবে কাজ করে (আমাদের এজেন্সি শর্তাবলী এবং DPA ধারা 2.7 দেখুন)।
• ডেটা আমদানিকারক: Acira AI LLC, নেভাডা, মার্কিন যুক্তরাষ্ট্রে নিবন্ধিত, প্রক্রিয়াকারক (এবং বিশ্লেষণার জন্য যৌথ নিয়ন্ত্রক) হিসেবে কাজ করছে।
• উপ-প্রক্রিয়াকারক: Acira AI কর্তৃক নিয়োজিত তৃতীয় পক্ষ পরিষেবা প্রদানকারী (বিভাগ ৫-এ তালিকাভুক্ত)।

1.3 হস্তান্তর গন্তব্য

2. হস্তান্তরিত ডেটার প্রকৃতি

2.1 ব্যক্তিগত ডেটার বিভাগসমূহ

হস্তান্তরিত ব্যক্তিগত ডেটা ওয়েবসাইট অপারেটর কর্তৃক সক্রিয় বৈশিষ্ট্য এবং ওয়েবসাইট দর্শকদের মিথস্ক্রিয়ার উপর নির্ভর করে। নিম্নলিখিত বিভাগগুলি হস্তান্তরিত হতে পারে:

2.2 ডেটা বিষয়ের বিভাগসমূহ

• Acira AI প্ল্যাটফর্মে হোস্ট করা ওয়েবসাইটের দর্শক
• প্ল্যাটফর্মে হোস্ট করা ওয়েবসাইটে অ্যাকাউন্ট তৈরিকারী ব্যবহারকারী
• হোস্ট করা ওয়েবসাইটে ফর্ম জমা দেওয়া, চ্যাটবটের সাথে ইন্টারঅ্যাক্ট করা বা ফাইল আপলোড করা ব্যবহারকারী

2.3 যে ডেটা হস্তান্তর করা হয় না

• জিওলোকেশন ডেটা: IP-থেকে-অবস্থান লুকআপ আমাদের অবকাঠামো প্রদানকারী দ্বারা নেটওয়ার্ক এজে সম্পাদিত হয়। কোনো দর্শকের IP ঠিকানা কোনো বাহ্যিক জিওলোকেশন পরিষেবায় প্রেরণ করা হয় না।
• কাঁচা ভিজিটর IP ঠিকানা: প্ল্যাটফর্ম এগুলি সংরক্ষণ করে না। বিশ্লেষণ কেবল একটি দৈনিক-ঘূর্ণায়মান কী-নির্ভর হ্যাশ সংরক্ষণ করে; রেট সীমাবদ্ধতা কেবল একটি কী-নির্ভর হ্যাশ সংরক্ষণ করে; ফর্ম সাবমিশন ও চ্যাটবট কথোপকথন ঠিকানা নয়, দেশ ও অঞ্চল রেকর্ড করে। ওয়েবসাইট পরিচালকের নিজের পেজ কোড ভিজিটরের IP ঠিকানা পড়তে পারে, এবং সেই পরিচালক যা সংরক্ষণ করতে বেছে নেন তা তাঁর নিজস্ব সংগ্রহ, তাঁর নিজস্ব গোপনীয়তা নীতির অধীনে।
• প্লেইনটেক্সটে পাসওয়ার্ড: শুধুমাত্র ক্রিপ্টোগ্রাফিক হ্যাশ সংরক্ষিত এবং হস্তান্তর করা হয়।

3. হস্তান্তর প্রক্রিয়া

3.1 প্রাথমিক প্রক্রিয়া: স্ট্যান্ডার্ড কন্ট্র্যাকচুয়াল ক্লজ

আমরা কমিশন বাস্তবায়ন সিদ্ধান্ত (EU) 2021/914 দ্বারা গৃহীত ইউরোপীয় কমিশনের স্ট্যান্ডার্ড কন্ট্র্যাকচুয়াল ক্লজ (SCCs) এর উপর নির্ভর করি, বিশেষত:

• মডিউল এক (নিয়ন্ত্রক থেকে নিয়ন্ত্রক): বিশ্লেষণ ডেটার হস্তান্তরের জন্য যেখানে Acira AI ওয়েবসাইট অপারেটরের সাথে যৌথ নিয়ন্ত্রক হিসেবে কাজ করে (DPA বিভাগ ২.৩ দেখুন)।
• মডিউল দুই (নিয়ন্ত্রক থেকে প্রক্রিয়াকারক): ওয়েবসাইট অপারেটর (নিয়ন্ত্রক) থেকে Acira AI (প্রক্রিয়াকারক) এ দর্শকদের ব্যক্তিগত ডেটার হস্তান্তরের জন্য।
• মডিউল তিন (প্রক্রিয়াকারক থেকে উপ-প্রক্রিয়াকারক): Acira AI থেকে আমাদের উপ-প্রক্রিয়াকারকদের কাছে পরবর্তী হস্তান্তরের জন্য।

3.2 UK, সুইস এবং কানাডিয়ান হস্তান্তর

• UK: EU SCCs-এর UK আন্তর্জাতিক ডেটা ট্রান্সফার অ্যাডেন্ডাম প্রযোজ্য।
• সুইজারল্যান্ড: সুইস ফেডারেল ডেটা প্রোটেকশন অ্যাক্ট (FADP) দ্বারা প্রয়োজনীয় পরিবর্তন সহ SCCs প্রযোজ্য।
• কানাডা: হস্তান্তর প্রতিটি উপ-প্রক্রিয়াকারকের সাথে চুক্তিগত সুরক্ষার উপর নির্ভর করে যা ব্যক্তিগত তথ্য সুরক্ষা এবং ইলেকট্রনিক দলিল আইন (PIPEDA) এবং প্রযোজ্য প্রাদেশিক গোপনীয়তা আইনের সাথে সামঞ্জস্যপূর্ণ বাধ্যবাধকতা আরোপ করে, বিভাগ ৬-এ বর্ণিত সম্পূরক প্রযুক্তিগত এবং সাংগঠনিক ব্যবস্থার সাথে মিলিত। বিস্তারিত জানতে DPA বিভাগ ৭.৪ দেখুন।

3.3 উপ-প্রক্রিয়াকারক হস্তান্তর প্রক্রিয়া

4. গন্তব্য দেশের আইনের মূল্যায়ন

4.1 মার্কিন যুক্তরাষ্ট্র

মার্কিন যুক্তরাষ্ট্র হস্তান্তরিত ডেটার প্রাথমিক গন্তব্য। নিম্নলিখিত মার্কিন আইনগুলি এই মূল্যায়নের জন্য প্রাসঙ্গিক:

4.1.1 ফরেন ইন্টেলিজেন্স সার্ভেইল্যান্স অ্যাক্ট (FISA), ধারা ৭০২

FISA ধারা ৭০২ মার্কিন সরকারকে বিদেশী গোয়েন্দা উদ্দেশ্যে মার্কিন যুক্তরাষ্ট্রের বাইরে অবস্থিত অ-মার্কিন ব্যক্তিদের যোগাযোগে অ্যাক্সেস প্রদান করতে ইলেকট্রনিক যোগাযোগ পরিষেবা প্রদানকারীদের বাধ্য করার ক্ষমতা দেয়।

ঝুঁকির মূল্যায়ন:

• প্রযোজ্যতা: FISA ধারা ৭০২ 50 U.S.C. § 1881(b)(4)-এ সংজ্ঞায়িত "ইলেকট্রনিক যোগাযোগ পরিষেবা প্রদানকারী"-দের ক্ষেত্রে প্রযোজ্য — একটি সংজ্ঞা যা দূরবর্তী কম্পিউটিং পরিষেবা প্রদানকারীদের, সম্ভাব্যভাবে Acira AI-এর মতো SaaS প্ল্যাটফর্ম এবং আমাদের অবকাঠামো উপ-প্রক্রিয়াকারকদের (AWS, Cloudflare) পর্যন্ত পৌঁছানোর মতো যথেষ্ট বিস্তৃত।
• ঝুঁকিপূর্ণ ডেটার পরিধি: আমরা যে ব্যক্তিগত ডেটা প্রক্রিয়া করি তা মূলত ওয়েবসাইট দর্শকদের বিশ্লেষণ (ছদ্মনামিকৃত), ফর্ম সাবমিশন এবং চ্যাটবট বার্তা নিয়ে গঠিত। এই ডেটা বিদেশী গোয়েন্দা স্বার্থের বিষয় হওয়ার সম্ভাবনা কম।
• বাস্তব সম্ভাব্যতা: আমাদের পরিষেবার প্রকৃতি এবং আমরা যে ডেটা প্রক্রিয়া করি তার পরিপ্রেক্ষিতে ধারা ৭০২ নির্দেশ পাওয়ার বাস্তব সম্ভাব্যতাকে অত্যন্ত কম হিসেবে মূল্যায়ন করি।

4.1.2 এক্সিকিউটিভ অর্ডার ১২৩৩৩

EO 12333 মার্কিন গোয়েন্দা সংস্থাগুলিকে সিগন্যাল ইন্টেলিজেন্সের বাল্ক সংগ্রহ সহ নজরদারি কার্যক্রম পরিচালনার অনুমতি দেয়। এটি ট্রানজিটে ডেটার ক্ষেত্রে প্রযোজ্য এবং বেসরকারি কোম্পানিগুলিকে সহযোগিতা করতে বাধ্য করে না।

ঝুঁকির মূল্যায়ন:

• প্রশমন: ট্রানজিটে সমস্ত ডেটা TLS ব্যবহার করে এনক্রিপ্ট করা হয়েছে। ট্রানজিটে এনক্রিপ্টেড ডেটার বাল্ক আটকানো প্লেইনটেক্সট ব্যক্তিগত ডেটা প্রদান করবে না।
• বাস্তব সম্ভাব্যতা: কম। আমাদের পরিষেবার মাধ্যমে প্রক্রিয়া করা ডেটা সাধারণত সিগন্যাল ইন্টেলিজেন্স দ্বারা লক্ষ্যবিদ্ধ প্রকৃতির নয়।

4.1.3 এক্সিকিউটিভ অর্ডার ১৪০৮৬ এবং EU-US ডেটা প্রাইভেসি ফ্রেমওয়ার্ক

এক্সিকিউটিভ অর্ডার ১৪০৮৬ (অক্টোবর ২০২২) সিগন্যাল ইন্টেলিজেন্স কার্যক্রমের জন্য অতিরিক্ত সুরক্ষা প্রবর্তন করেছে, যার মধ্যে রয়েছে:

• গোয়েন্দা সংগ্রহের জন্য প্রয়োজনীয়তা এবং আনুপাতিকতার প্রয়োজনীয়তা
• EU/UK/সুইস ব্যক্তিদের জন্য উপলব্ধ দ্বি-স্তরীয় প্রতিকার প্রক্রিয়া (সিভিল লিবার্টিজ প্রোটেকশন অফিসার + ডেটা প্রোটেকশন রিভিউ কোর্ট)
• বাল্ক সংগ্রহের সীমাবদ্ধতা

ইউরোপীয় কমিশন ১০ জুলাই, ২০২৩-এ EU-US ডেটা প্রাইভেসি ফ্রেমওয়ার্ক (DPF) এর জন্য একটি পর্যাপ্ততা সিদ্ধান্ত গ্রহণ করেছে। যদিও Acira AI বর্তমানে DPF এর অধীনে স্ব-সার্টিফাইড নয়, EO 14086-এর অধীনে সুরক্ষাগুলি মার্কিন যুক্তরাষ্ট্রে সমস্ত ডেটা হস্তান্তরের ক্ষেত্রে ব্যাপকভাবে প্রযোজ্য এবং ব্যবহৃত হস্তান্তর প্রক্রিয়া নির্বিশেষে সমস্ত ডেটা বিষয়কে উপকৃত করে।

4.1.4 CLOUD অ্যাক্ট

ক্ল্যারিফাইং লফুল ওভারসিজ ইউজ অফ ডেটা (CLOUD) অ্যাক্ট মার্কিন আইন প্রয়োগকারীদের একটি বৈধ পরোয়ানা বা আদালতের আদেশের সাপেক্ষে ডেটা কোথায় সংরক্ষিত তা নির্বিশেষে মার্কিন-ভিত্তিক প্রদানকারীদের ডেটা প্রদান করতে বাধ্য করার অনুমতি দেয়।

ঝুঁকির মূল্যায়ন:

• সুরক্ষা: CLOUD অ্যাক্টের জন্য একটি বৈধ আইনি প্রক্রিয়া (পরোয়ানা, সমন বা আদালতের আদেশ) প্রয়োজন। এটি পরোয়ানাহীন বাল্ক অ্যাক্সেস অনুমোদন করে না।
• সৌজন্য বিধান: CLOUD অ্যাক্টে একটি সৌজন্য কাঠামো রয়েছে যা প্রদানকারীদের বিদেশী আইনের সাথে সংঘর্ষমূলক আদেশগুলিকে চ্যালেঞ্জ করার অনুমতি দেয়।
• বাস্তব সম্ভাব্যতা: ওয়েবসাইট দর্শকদের ডেটার জন্য কম। আইন প্রয়োগকারী অনুরোধগুলি দর্শক বিশ্লেষণ বা ফর্ম সাবমিশনের পরিবর্তে অপরাধমূলক কার্যকলাপে সন্দেহভাজন নির্দিষ্ট অ্যাকাউন্টগুলিকে লক্ষ্য করার সম্ভাবনা বেশি।

4.2 ইসরায়েল (BrightData)

BrightData ইসরায়েলে অবস্থিত। ইসরায়েলে ইউরোপীয় কমিশনের কাছ থেকে একটি পর্যাপ্ততা সিদ্ধান্ত (2011/61/EU) রয়েছে, যার অর্থ ইসরায়েলে হস্তান্তরগুলি EEA-অভ্যন্তরীণ হস্তান্তরের মতো আচরণ করা হয়। তবে BrightData অন্যান্য বৈশ্বিক অবস্থানেও ডেটা প্রক্রিয়া করে। আমরা উল্লেখ করি যে:

• BrightData প্রক্রিয়াকরণ শুধুমাত্র ব্যবহারকারী-নির্দেশিত হলে (বিষয়বস্তু আমদানির জন্য ওয়েবসাইট তৈরির সময়) বা নির্ধারিত SERP ট্র্যাকিংয়ের সময় ঘটে।
• কোনো ওয়েবসাইট দর্শকের ব্যক্তিগত ডেটা BrightData-তে প্রেরণ করা হয় না।

4.3 কানাডা (কানাডা থেকে মার্কিন যুক্তরাষ্ট্রে হস্তান্তর)

কানাডায় অবস্থিত ওয়েবসাইট দর্শকদের ব্যক্তিগত ডেটা প্রক্রিয়াকরণের জন্য মার্কিন যুক্তরাষ্ট্রে হস্তান্তর করা হতে পারে। নিম্নলিখিত কানাডিয়ান আইনগুলি এই মূল্যায়নের জন্য প্রাসঙ্গিক:

4.3.1 ব্যক্তিগত তথ্য সুরক্ষা এবং ইলেকট্রনিক দলিল আইন (PIPEDA)

PIPEDA বাণিজ্যিক কার্যক্রমের গতিতে বেসরকারি খাতের সংস্থাগুলির দ্বারা ব্যক্তিগত তথ্যের সংগ্রহ, ব্যবহার এবং প্রকাশ পরিচালনা করে। PIPEDA নীতি ৪.১.৩ সংস্থাগুলিকে কানাডার বাইরে হস্তান্তর সহ প্রক্রিয়াকরণের জন্য ব্যক্তিগত তথ্য তৃতীয় পক্ষের কাছে হস্তান্তর করার সময় তুলনামূলক স্তরের সুরক্ষা নিশ্চিত করার জন্য চুক্তিগত বা অন্যান্য উপায় ব্যবহার করতে প্রয়োজন।

ঝুঁকির মূল্যায়ন:

• তুলনামূলক সুরক্ষা: বিভাগ ৬-এ বর্ণিত সম্পূরক ব্যবস্থাগুলি (এনক্রিপশন, ছদ্মনামীকরণ, অ্যাক্সেস নিয়ন্ত্রণ, ডেটা ন্যূনতমকরণ) PIPEDA-এর অধীনে প্রয়োজনীয় সুরক্ষার একটি তুলনামূলক স্তর প্রদান করে। সমস্ত উপ-প্রক্রিয়াকারকদের সাথে লিখিত ডেটা প্রক্রিয়াকরণ চুক্তি রয়েছে।
• কোনো পর্যাপ্ততার প্রয়োজনীয়তা নেই: GDPR-এর বিপরীতে, PIPEDA "পর্যাপ্ততা" খুঁজে পাওয়ার অভাবযুক্ত দেশগুলিতে হস্তান্তর নিষিদ্ধ করে না। সংস্থাগুলিকে চুক্তিগত এবং অন্যান্য উপায়ে তুলনামূলক সুরক্ষা নিশ্চিত করতে হবে, যা আমরা বাস্তবায়ন করেছি।

4.3.2 প্রাদেশিক গোপনীয়তা আইন

আলবার্তার ব্যক্তিগত তথ্য সুরক্ষা আইন (PIPA), ব্রিটিশ কলাম্বিয়ার ব্যক্তিগত তথ্য সুরক্ষা আইন (PIPA) এবং কুইবেকের ব্যক্তিগত খাতে ব্যক্তিগত তথ্য সুরক্ষা সংক্রান্ত আইন কিছু প্রদেশের জন্য অতিরিক্ত প্রয়োজনীয়তা আরোপ করে:

ঝুঁকির মূল্যায়ন:

• কুইবেক আইন ২৫: কুইবেকের আধুনিকীকৃত গোপনীয়তা আইন (সেপ্টেম্বর ২০২৩ থেকে কার্যকর) কুইবেকের বাইরে ব্যক্তিগত তথ্য হস্তান্তরের আগে একটি গোপনীয়তা প্রভাব মূল্যায়ন প্রয়োজন, এবং হস্তান্তরকারী সংস্থাকে সন্তুষ্ট হতে হবে যে তথ্যটি পর্যাপ্ত সুরক্ষা পাবে। আমাদের চুক্তিগত সুরক্ষা, সম্পূরক প্রযুক্তিগত ব্যবস্থা এবং ডেটার প্রকৃতি (মূলত ছদ্মনামিকৃত বিশ্লেষণ এবং ছোট ব্যবসার ওয়েবসাইট মিথস্ক্রিয়া) পর্যাপ্ত সুরক্ষার একটি অনুসন্ধান সমর্থন করে।
• আলবার্তা এবং BC: আলবার্তা এবং BC-এর PIPAs সংস্থাগুলিকে হস্তান্তরিত ডেটার জন্য তুলনামূলক সুরক্ষা নিশ্চিত করতে প্রয়োজন। আমাদের চুক্তিগত এবং প্রযুক্তিগত সুরক্ষা এই প্রয়োজনীয়তা পূরণ করে।

4.3.3 কানাডিয়ান দৃষ্টিকোণ থেকে মার্কিন সরকারের অ্যাক্সেস

বিভাগ ৪.১-এ মূল্যায়ন করা একই মার্কিন সরকারের অ্যাক্সেস ঝুঁকিগুলি কানাডিয়ান ডেটা হস্তান্তরের ক্ষেত্রেও প্রযোজ্য। সরকারী অ্যাক্সেসের কম সম্ভাব্যতা (ডেটার প্রকৃতি এবং আমাদের কোম্পানির প্রোফাইল বিবেচনা করে), বিভাগ ৬-এর সম্পূরক ব্যবস্থার সাথে মিলিত, নিশ্চিত করে যে কানাডা থেকে মার্কিন যুক্তরাষ্ট্রে হস্তান্তরিত ব্যক্তিগত ডেটা কানাডিয়ান গোপনীয়তা আইনের অধীনে প্রয়োজনীয় সুরক্ষার একটি তুলনামূলক স্তর পায়।

4.4 বৈশ্বিক এজ লোকেশন (Cloudflare)

Cloudflare এজ লোকেশনের একটি বৈশ্বিক নেটওয়ার্ক পরিচালনা করে। EU দর্শকদের অনুরোধগুলি সাধারণত Cloudflare-এর নিকটতম পয়েন্ট অফ প্রেজেন্সে প্রক্রিয়া করা হয়, যা EU দর্শকদের জন্য সাধারণত একটি EU অবস্থান হবে।

• অনুরোধ রাউটিং, TLS সমাপ্তি এবং বট সুরক্ষা নিকটতম এজ লোকেশনে ঘটে।
• EU বাসিন্দা হিসেবে চিহ্নিত ওয়েবসাইট অপারেটরদের জন্য, স্থায়ী স্টোরেজ (ফর্ম সাবমিশন, চ্যাটবট কথোপকথন এবং সেশন ডেটা সহ) Cloudflare-এর জুরিসডিকশন API ব্যবহার করে ইউরোপীয় ইউনিয়নে এখতিয়ারগতভাবে সীমাবদ্ধ। EU-বহির্ভূত ওয়েবসাইট অপারেটরদের জন্য, স্থায়ী স্টোরেজ অপারেটরের ভৌগোলিক অঞ্চলের নিকটে অবস্থিত কিন্তু EU-এর বাইরে হতে পারে।
• অ্যানালিটিক্স ডেটা Cloudflare-পরিচালিত অবকাঠামোতে প্রক্রিয়া করা হয়।

5. পরিষেবা প্রদানকারী অনুযায়ী ডেটা প্রবাহের মূল্যায়ন

5.1 Amazon Web Services (মার্কিন যুক্তরাষ্ট্র)

AWS সুরক্ষা:

• ISO 27001, 27017, 27018 সার্টিফাইড
• SOC 1/2/3 রিপোর্ট উপলব্ধ
• শিল্প-মানক এনক্রিপশন ব্যবহার করে বিশ্রামে ডেটা এনক্রিপ্টেড
• ট্রানজিটে ডেটা এনক্রিপ্টেড (TLS)
• প্রতিটি সিস্টেম কম্পোনেন্টের জন্য ন্যূনতম-সুবিধা অ্যাক্সেস নিয়ন্ত্রণ
• প্রধান পরিষেবাগুলি মার্কিন যুক্তরাষ্ট্রে হোস্ট করা হয়; ইইউ-বাসী ওয়েবসাইট অপারেটরদের জন্য স্বয়ংক্রিয় দর্শক-মুখী কার্যক্রম (কন্টেন্ট জমাদানের বিজ্ঞপ্তি এবং লেনদেনমূলক ইমেইল ডেলিভারি) ইউরোপীয় ইউনিয়নে (স্টকহোম) প্রক্রিয়াকৃত হয়

5.2 Cloudflare (বৈশ্বিক)

Cloudflare সুরক্ষা:

• ISO 27001 সার্টিফাইড, SOC 2 Type II
• সমস্ত সংযোগের জন্য TLS 1.2+
• SCCs সহ Cloudflare DPA উপলব্ধ
• এজ প্রসেসিং-এর অর্থ হলো, অনুরোধ প্রক্রিয়াকরণের জন্য ইইউ ভিজিটর ডেটা সাধারণত ইইউ এজ লোকেশনগুলোতে প্রক্রিয়াকৃত হয়
• ইইউ বাসিন্দা হিসাবে চিহ্নিত ওয়েবসাইট অপারেটরদের জন্য, স্থায়ী স্টোরেজ (ফর্ম জমাদান, চ্যাটবট কথোপকথন, সেশন ডেটা এবং ব্যবহারকারী টেবিল ডেটা ধারণকারী) Cloudflare-এর এখতিয়ার API ব্যবহার করে ইউরোপীয় ইউনিয়নে এখতিয়ারগতভাবে সীমাবদ্ধ, নিশ্চিত করে যে এই ডেটা একচেটিয়াভাবে ইইউ ডেটা সেন্টারে সংরক্ষিত এবং প্রক্রিয়াকৃত হয়। প্রান্ত থেকে ব্যাকএন্ড API কলগুলি (কন্টেন্ট জমাদানের বিজ্ঞপ্তি এবং লেনদেনমূলক ইমেইল ডেলিভারির জন্য) ইইউ-ভিত্তিক AWS অবকাঠামোতে রুট করা হয়।
• AI ইনফারেন্স প্রশিক্ষণের জন্য ইনপুট ডেটা ধরে রাখে না

5.3 পেমেন্ট প্রদানকারী (Merchant of Record)

পেইড পরিষেবার জন্য পেমেন্ট একটি তৃতীয়-পক্ষের পেমেন্ট প্রদানকারী দ্বারা পরিচালিত হয় যে লেনদেনের জন্য Merchant of Record হিসেবে কাজ করে — বর্তমানে Stripe (এর সহযোগী Sold through Link, LLC, মার্কিন যুক্তরাষ্ট্রের মাধ্যমে)। Merchant of Record হিসেবে, এই প্রদানকারী চেকআউটে জমা দেওয়া পেমেন্ট ডেটার স্বাধীন নিয়ন্ত্রক হিসেবে কাজ করে, আমাদের সাব-প্রসেসর হিসেবে নয়; তাই নিচের স্থানান্তরগুলি নিয়ন্ত্রক-থেকে-প্রসেসর নয় বরং নিয়ন্ত্রক-থেকে-নিয়ন্ত্রক।

নোট: এই প্রদানকারী ওয়েবসাইট দর্শকদের ব্যক্তিগত ডেটা পায় না। শুধুমাত্র ওয়েবসাইট অপারেটরের (আমাদের গ্রাহকের) বিলিং তথ্য প্রক্রিয়া করা হয়।

স্থানান্তরের ভিত্তি এবং সুরক্ষা: Stripe / Sold through Link, LLC (US) — Standard Contractual Clauses (Module One) এর অধীনে নিয়ন্ত্রক-থেকে-নিয়ন্ত্রক স্থানান্তর; PCI DSS Level 1 এবং ISO 27001 সার্টিফাইড।

5.4 AI অনুমান প্রদানকারী (মার্কিন যুক্তরাষ্ট্র)

Fireworks AI এবং xAI AI মডেল অনুমান পরিষেবা প্রদান করে।

নোট: এই AI প্রদানকারীরা ওয়েবসাইট দর্শকদের ব্যক্তিগত ডেটা পায় না। চ্যাটবট বৈশিষ্ট্য (ওয়েবসাইট দর্শকদের পরিষেবা দেওয়া) Cloudflare Workers AI ব্যবহার করে (বিভাগ ৫.২-এ মূল্যায়ন করা হয়েছে), এই প্রদানকারীদের নয়। তবে, প্ল্যাটফর্মের কথোপকথনমূলক AI সহকারী — ওয়েবসাইট অপারেটরদের দ্বারা তাদের ওয়েবসাইট পরিচালনার জন্য ব্যবহৃত — প্রতিক্রিয়া তৈরির অংশ হিসেবে এই প্রদানকারীদের কাছে প্ল্যাটফর্ম ব্যবহারকারীর ব্যক্তিগত ডেটা (নাম, ইমেইল ঠিকানা এবং কথোপকথনের ইতিহাস) পাঠায়। এই প্রক্রিয়াকরণের জন্য, Acira AI নিয়ন্ত্রক (প্রক্রিয়াকারক নয়) হিসেবে কাজ করে এবং ডেটা বিষয়গুলি হল আমাদের প্ল্যাটফর্ম ব্যবহারকারীরা (ওয়েবসাইট অপারেটর), তাদের ওয়েবসাইট দর্শকরা নয়।

মডেল পরিবার: এই অবকাঠামো প্রদানকারীরা বিভিন্ন তৃতীয় পক্ষের দ্বারা তৈরি AI মডেল হোস্ট এবং চালায়। ব্যবহৃত নির্দিষ্ট মডেল এবং মডেল পরিবারগুলি সময়ের সাথে পরিবর্তন হতে পারে। মডেল ডেভেলপাররা কোনো ব্যবহারকারীর ডেটা গ্রহণ করে না বা অ্যাক্সেস করতে পারে না — সমস্ত ডেটা প্রক্রিয়াকরণ মূলত মডেলটি কোথায় তৈরি হয়েছে তা নির্বিশেষে তালিকাভুক্ত সাবপ্রসেসরদের অবকাঠামোর মধ্যে একচেটিয়াভাবে ঘটে। সমস্ত AI ইনফারেন্স প্রক্রিয়াকরণ আমাদের তালিকাভুক্ত সাবপ্রসেসরদের অবকাঠামোতে থাকে। কোনো ব্যবহারকারীর ডেটা মডেল ডেভেলপারদের কাছে বা এই মূল্যায়নে তালিকাভুক্ত সাবপ্রসেসরদের বাইরের অবকাঠামোতে প্রেরণ করা হয় না। ব্যবহৃত মডেল পরিবারগুলির একটি বর্তমান তালিকা legal@acira.ai-তে যোগাযোগ করে অনুরোধে পাওয়া যায়।

5.5 BrightData (ইসরায়েল / বৈশ্বিক)

নোট: BrightData ওয়েবসাইট দর্শকদের ব্যক্তিগত ডেটা প্রক্রিয়া করে না।

5.6 EU-ভিত্তিক প্রদানকারী (কোনো হস্তান্তর নেই)

এই প্রদানকারীরা EU-এর মধ্যে ডেটা প্রক্রিয়া করে এবং আন্তর্জাতিক হস্তান্তর গঠন করে না।

5.7 প্রোগ্রাম্যাটিক অ্যাক্সেস ও স্থানীয় রপ্তানি (CLI / API)

ওয়েবসাইট অপারেটররা — তাদের ক্লায়েন্টদের পক্ষে ওয়েবসাইট পরিচালনাকারী এজেন্সিগুলো সহ — Acira কমান্ড-লাইন ইন্টারফেস (CLI) এবং অন্যান্য প্রোগ্রাম্যাটিক API-এর মাধ্যমে ওয়েবসাইট বিষয়বস্তু ও দর্শক ডেটা পুনরুদ্ধার করতে পারে, যার মধ্যে একটি স্থানীয় পরিবেশে বিষয়বস্তু সারি রপ্তানি করা অন্তর্ভুক্ত।

• এই অ্যাক্সেস প্রমাণীকৃত এবং অপারেটর পরিচালনা করার জন্য অনুমোদিত ওয়েবসাইটগুলোতে সীমিত।
• যেখানে অপারেটর EEA/UK/সুইজারল্যান্ড/কানাডার বাইরে অবস্থিত, সেখানে এমন পুনরুদ্ধার প্ল্যাটফর্ম ড্যাশবোর্ড অ্যাক্সেসের অনুরূপ একটি চাহিদা-অনুযায়ী, অপারেটর-শুরু করা স্থানান্তর (DPA ধারা 7.1 দেখুন)।
• ডেটা আমাদের অবকাঠামোর মধ্যে থাকা পর্যন্ত আমাদের অধিক্ষেত্র-বাসস্থান ও প্রযুক্তিগত ব্যবস্থা প্রযোজ্য। একবার ডেটা অপারেটরের নিজস্ব পরিবেশে (যেমন একটি স্থানীয় মেশিন বা তৃতীয় পক্ষের ডেভেলপমেন্ট সরঞ্জাম) রপ্তানি হলে, তার সুরক্ষার জন্য অপারেটর দায়ী, এবং আমাদের ব্যবস্থা তাতে প্রসারিত হয় না। এটি DPA ও এজেন্সি শর্তাবলীতে অপারেটরদের কাছে প্রকাশ করা হয়।

6. সম্পূরক ব্যবস্থা

SCCs-এর পাশাপাশি, আমরা হস্তান্তরিত ব্যক্তিগত ডেটার জন্য মূলত সমতুল্য সুরক্ষা নিশ্চিত করতে নিম্নলিখিত সম্পূরক ব্যবস্থাগুলি বাস্তবায়ন করি:

6.1 প্রযুক্তিগত ব্যবস্থা

6.2 সাংগঠনিক ব্যবস্থা

6.3 চুক্তিগত ব্যবস্থা

7. ঝুঁকি মূল্যায়ন

7.1 সরকারি অ্যাক্সেসের সম্ভাব্যতা

সামগ্রিক সম্ভাব্যতা: কম

7.2 অ্যাক্সেস ঘটলে প্রভাব

সামগ্রিক প্রভাব: কম থেকে মাঝারি (পৃথক ওয়েবসাইট অপারেটরদের দ্বারা সংগৃহীত ডেটার সংবেদনশীলতার উপর নির্ভর করে)

7.3 অবশিষ্ট ঝুঁকি মূল্যায়ন

সরকারি অ্যাক্সেসের কম সম্ভাব্যতা, সম্পূরক প্রযুক্তিগত ব্যবস্থা (এনক্রিপশন, ছদ্মনামীকরণ, ডেটা ন্যূনতমকরণ) এবং EO 14086 দ্বারা প্রবর্তিত অতিরিক্ত সুরক্ষা বিবেচনা করে, আমরা মূল্যায়ন করি যে ডেটা বিষয়গুলির জন্য অবশিষ্ট ঝুঁকি কম এবং সম্পূরক ব্যবস্থাগুলি, SCC (EEA/UK/সুইস হস্তান্তরের জন্য) এবং চুক্তিভিত্তিক সুরক্ষার (কানাডিয়ান হস্তান্তরের জন্য) সঙ্গে মিলিতভাবে, EEA-এর মধ্যে নিশ্চিত সুরক্ষার মূলত সমতুল্য এবং কানাডিয়ান গোপনীয়তা আইনের অধীনে প্রয়োজনীয় সুরক্ষার তুলনীয় স্তর প্রদান করে।

8. উপসংহার

এই মূল্যায়নের ভিত্তিতে, আমরা উপসংহারে পৌঁছাই যে:

1. আমাদের পরিষেবা প্রদানের সাথে সম্পর্কিত EEA/UK/সুইজারল্যান্ড/কানাডা থেকে মার্কিন যুক্তরাষ্ট্রে হস্তান্তরিত ব্যক্তিগত ডেটা EU ডেটা সুরক্ষা আইনের অধীনে নিশ্চিত সুরক্ষার মূলত সমতুল্য স্তরের সুরক্ষা এবং কানাডিয়ান গোপনীয়তা আইনের অধীনে প্রয়োজনীয় তুলনীয় স্তরের সুরক্ষা থেকে উপকৃত হয়।

2. বিভাগ ৬-এ বর্ণিত সম্পূরক প্রযুক্তিগত, সাংগঠনিক এবং চুক্তিগত ব্যবস্থার সাথে মিলিত স্ট্যান্ডার্ড কন্ট্র্যাকচুয়াল ক্লজ এই মূল্যায়নে চিহ্নিত ঝুঁকিগুলিকে পর্যাপ্তভাবে সম্বোধন করে।

3. ডেটার প্রকৃতি (মূলত ছদ্মনামিকৃত বিশ্লেষণ এবং ছোট ব্যবসার ওয়েবসাইট দর্শকদের মিথস্ক্রিয়া) এবং ডেটা আমদানিকারকের প্রোফাইল (একটি ছোট SaaS কোম্পানি) সরকারি নজরদারির ব্যবহারিক ঝুঁকি উল্লেখযোগ্যভাবে হ্রাস করে।

4. এক্সিকিউটিভ অর্ডার ১৪০৮৬ এবং সংশ্লিষ্ট প্রতিকার প্রক্রিয়া দ্বারা প্রবর্তিত সুরক্ষাগুলি অতিরিক্ত সুরক্ষা প্রদান করে যা ব্যবহৃত নির্দিষ্ট হস্তান্তর প্রক্রিয়া নির্বিশেষে সমস্ত ডেটা বিষয়কে উপকৃত করে।

5. কানাডিয়ান হস্তান্তরের জন্য, এখানে বর্ণিত চুক্তিগত সুরক্ষা এবং সম্পূরক ব্যবস্থাগুলি PIPEDA এবং প্রযোজ্য প্রাদেশিক গোপনীয়তা আইনের অধীনে প্রয়োজনীয় সুরক্ষার একটি তুলনামূলক স্তর নিশ্চিত করে, কুইবেকের আধুনিকীকৃত গোপনীয়তা আইন সহ।

6. আমরা মার্কিন নজরদারি আইন ও অনুশীলনে এবং কানাডিয়ান গোপনীয়তা আইনে (প্রস্তাবিত কনজিউমার প্রাইভেসি প্রোটেকশন অ্যাক্ট সহ) উন্নয়ন পর্যবেক্ষণ অব্যাহত রাখব, এবং পরিস্থিতি বস্তুগতভাবে পরিবর্তিত হলে এই TIA পুনর্মূল্যায়ন করব।

হস্তান্তরগুলি এখানে বর্ণিত SCCs এবং সম্পূরক ব্যবস্থার অব্যাহত প্রয়োগের শর্তে এগিয়ে যেতে পারে।

9. পর্যালোচনা সময়সূচি

এই TIA পর্যালোচনা এবং আপডেট করা হবে:

• বার্ষিক, ন্যূনতম, বা
• প্রযোজ্য আইন বা বিধিমালায় বস্তুগত পরিবর্তনের উপর,
• আমাদের উপ-প্রক্রিয়াকারক বা হস্তান্তরিত ডেটার প্রকৃতিতে পরিবর্তনের উপর,
• SCCs-এর বৈধতাকে বস্তুগতভাবে প্রভাবিত করে এমন যেকোনো আদালতের সিদ্ধান্তের উপর।

10. যোগাযোগ করুন

এই ট্রান্সফার ইমপ্যাক্ট অ্যাসেসমেন্ট সম্পর্কে আপনার কোনো প্রশ্ন থাকলে, অনুগ্রহ করে আমাদের সাথে যোগাযোগ করুন:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
মার্কিন যুক্তরাষ্ট্র

ফোন: 888-389-1189
ইমেইল: legal@acira.ai