ডেটা প্রসেসিং চুক্তি

• ডেটা নিয়ন্ত্রক: Stampaz অ্যাকাউন্টের মালিক ব্যবসা, সেটিংসে দেওয়া আইনি তথ্যসহ।
• ডেটা প্রসেসর: Miranda Network, S.L., NIF B-75866194, ঠিকানা Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), যোগাযোগ support@mirandanetwork.es।

প্রসেসর শুধু লয়্যালটি কার্ড পরিষেবা দেওয়ার জন্য ডেটা প্রসেস করে: গ্রাহক নথিভুক্ত করা, স্ট্যাম্প, পয়েন্ট ও পুরস্কার পরিচালনা, Apple Wallet ও Google Wallet-এ কার্ড ইস্যু ও আপডেট করা, নিয়ন্ত্রকের সিদ্ধান্ত অনুযায়ী নোটিফিকেশন পাঠানো, পরিসংখ্যান এবং গ্রাহকদের অধিকার সংক্রান্ত অনুরোধ পূরণ।

কার্যক্রম: সংগ্রহ, নথিভুক্তি, সংরক্ষণ, দেখা, পরিবর্তন, কার্ড ইস্যু করতে Apple ও Google-কে জানানো, এক্সপোর্ট ও মুছে ফেলা।

ব্যবসার যতদিন Stampaz-এ অ্যাকাউন্ট থাকে, ততদিন এই চুক্তি বহাল থাকে।

• সংশ্লিষ্ট ব্যক্তি: নিয়ন্ত্রকের যে গ্রাহকরা তার লয়্যালটি প্রোগ্রামে যোগ দেয় এবং তার টিমের যে সদস্যরা স্ক্যানার ব্যবহার করে।
• ডেটা: নাম; ইমেইল, ফোন ও জন্মদিন, যদি নিয়ন্ত্রক চায়; ভিজিট, স্ট্যাম্প, পয়েন্ট ও পুরস্কারের ইতিহাস; অফার সংক্রান্ত পছন্দ; সম্মতির প্রমাণ (লেখার তারিখ, সময় ও সংস্করণ); কার্ডের প্রযুক্তিগত শনাক্তকারী।
• বিশেষ শ্রেণির ডেটা বা লোকেশন ডেটা প্রসেস করা হয় না: কাছাকাছি থাকার নোটিফিকেশন গ্রাহকের ফোন নিজেই ঠিক করে।

নিয়ন্ত্রক তার প্যানেলের সেটিংসের মাধ্যমে নির্দেশনা দেয়: কোন ডেটা চাওয়া হবে, কোন নোটিফিকেশন পাঠানো হবে, নিষ্ক্রিয় গ্রাহকদের কতদিন রাখা হবে (৬ থেকে ৬০ মাস) এবং গ্রাহককে কোন আইনি তথ্য দেখানো হবে। যোগ দেওয়ার সময় গ্রাহক নিয়ন্ত্রকের তথ্যসহ প্রথম স্তরের তথ্য দেখে, এবং Stampaz তার সম্মতির প্রমাণ সংরক্ষণ করে।

প্রসেসর যদি মনে করে কোনো নির্দেশনা আইন লঙ্ঘন করে, তাহলে সে নিয়ন্ত্রককে জানাবে।

• শুধু নিয়ন্ত্রকের লিখিত নির্দেশনা অনুযায়ী ডেটা প্রসেস করা এবং নিজের উদ্দেশ্যে ব্যবহার না করা।
• ডেটা প্রসেস করার অনুমতিপ্রাপ্ত ব্যক্তিদের গোপনীয়তা নিশ্চিত করা।
• GDPR অনুচ্ছেদ 32-এর নিরাপত্তা ব্যবস্থা প্রয়োগ করা: ট্রানজিটে এনক্রিপশন, ব্যবসা অনুযায়ী ডেটা আলাদা রাখা, অ্যাক্সেস নিয়ন্ত্রণ, ব্যাকআপ ও অ্যাক্সেস লগ।
• সংশ্লিষ্ট ব্যক্তিদের অধিকার পূরণে নিয়ন্ত্রককে সাহায্য করা। গ্রাহকরা তাদের কার্ড থেকে ডেটা সংশোধন ও ডাউনলোড করতে, অফার বন্ধ করতে ও সব মুছে ফেলতে পারে; প্রসেসরের কাছে আসা অনুরোধ দেরি না করে নিয়ন্ত্রকের কাছে পাঠানো হবে।
• নিরাপত্তা লঙ্ঘনের কথা অযথা দেরি না করে এবং যেকোনো ক্ষেত্রে জানার পর সর্বোচ্চ ৪৮ ঘণ্টার মধ্যে উপলব্ধ তথ্যসহ নিয়ন্ত্রককে জানানো।
• প্রয়োজনে প্রভাব মূল্যায়ন ও তত্ত্বাবধায়ক কর্তৃপক্ষের সাথে পরামর্শে নিয়ন্ত্রককে সাহায্য করা।
• সম্মতি প্রমাণের জন্য প্রয়োজনীয় তথ্য নিয়ন্ত্রককে দেওয়া এবং যুক্তিসঙ্গত অডিটের অনুমতি দেওয়া, ৩০ দিন আগে নোটিশ দিয়ে এবং নিয়ন্ত্রকের খরচে।
• প্রসেসর হিসেবে প্রসেসিং কার্যক্রমের রেকর্ড রাখা।

নিয়ন্ত্রক সাধারণভাবে নিচের সাব-প্রসেসরদের অনুমোদন দেয়:

• Supabase: ডেটাবেস, প্রমাণীকরণ ও স্টোরেজ (EU-তে হোস্টিং)।
• Vercel: অ্যাপ্লিকেশনের হোস্টিং, যা তাদের ফ্রাঙ্কফুর্ট অঞ্চলে (ইউরোপীয় ইউনিয়ন) চলে।
• Apple ও Google: তাদের Wallet-এ কার্ড ইস্যু ও আপডেট (শুধু কার্ডের বিষয়বস্তু: নাম, স্ট্যাম্প বা পয়েন্ট ও কোড)।

সাব-প্রসেসরে যেকোনো পরিবর্তনের কথা আমরা কমপক্ষে ১৫ দিন আগে জানাব যাতে নিয়ন্ত্রক আপত্তি জানাতে পারে; আপত্তি জানালে এবং বিকল্প না থাকলে, সে বাতিল করতে পারবে। প্রতিটি সাব-প্রসেসর সমতুল্য বাধ্যবাধকতার অধীন। EEA-র বাইরে স্থানান্তর GDPR-এর অধ্যায় V-এর সুরক্ষা মেনে করা হয় (পর্যাপ্ততার সিদ্ধান্ত, যেমন EU-US ডেটা প্রাইভেসি ফ্রেমওয়ার্ক, বা স্ট্যান্ডার্ড চুক্তিভিত্তিক ধারা)।

• সেটিংসে তার আইনি তথ্য পূরণ করা, গ্রাহকদের জানানো এবং বৈধ আইনি ভিত্তি থাকা।
• শুধু যারা রাজি হয়েছে তাদের অফার পাঠানো এবং নোটিফিকেশনের অপব্যবহার না করা।
• তার কর্মীরা যেন GDPR মেনে চলে এবং স্ক্যানারের অ্যাক্সেস সুরক্ষিত রাখে তা নিশ্চিত করা।

সাবস্ক্রিপশন শেষ হলে, প্রসেসর ৩০ দিন পর সমস্ত ডেটা স্বয়ংক্রিয়ভাবে মুছে ফেলে। এই সময়ের মধ্যে নিয়ন্ত্রক সেগুলো এক্সপোর্ট করতে পারে (JSON)। নিয়ন্ত্রক অ্যাকাউন্ট মুছে ফেললে, মুছে ফেলা তাৎক্ষণিক। শুধু আইন যে ডেটা রাখতে বাধ্য করে সেগুলোই ব্লক অবস্থায় রাখা হবে।