গোপনীয়তা নীতি
১. আপনার তথ্যের দায়িত্বে কে (ডেটা কন্ট্রোলার)
ALIEN AFFAIRS sp. z o.o.
Powstańców Wielkopolskich 16/1711, 61-895 Poznań, Poland
NIP 781-196-66-16
গোপনীয়তা বিষয়ে ই-মেইল: client@accomat.com · ফোন: +48 61 224 88 19
আমরা একটি অ্যাকাউন্টিং ও HR সেবাদানকারী অফিস। পোর্টাল ও অ্যাপ হলো সেই মাধ্যম, যার মাধ্যমে আমাদের ক্লায়েন্টরা (কোম্পানি) আমাদের সাথে নথি ও তথ্য আদান-প্রদান করেন। আমরা কোনো ডেটা প্রোটেকশন অফিসার নিয়োগ করিনি; আপনার তথ্য নিয়ে যেকোনো প্রশ্নে উপরের ই-মেইল ঠিকানায় লিখুন।
২. এই নীতি কাদের জন্য
- ক্লায়েন্ট ব্যবহারকারী — যারা কোনো ক্লায়েন্ট কোম্পানির পক্ষে পোর্টাল বা অ্যাপে লগইন করেন (মালিক, বোর্ড সদস্য, অনুমোদিত কর্মী)।
- যাদের তথ্য আমাদের ক্লায়েন্ট প্রবেশ করান — মূলত ক্লায়েন্টের কর্মচারী ও ঠিকাদার (যেমন বেতন, চুক্তি, ছুটির চিঠি, ওয়ার্ক পারমিট)। এই তথ্যের কন্ট্রোলার ক্লায়েন্ট কোম্পানি নিজে, আর আমরা অ্যাকাউন্টিং সেবা চুক্তির অধীনে তাদের প্রসেসর হিসেবে কাজ করি (GDPR ধারা ২৮)। এই নীতি ব্যাখ্যা করে, ক্লায়েন্টের পক্ষে আমরা সেই তথ্য কীভাবে ব্যবহার করি।
- দর্শনার্থী — qarmas.com — এর পাবলিক পাতাগুলোর।
৩. কোন তথ্য আমরা প্রক্রিয়া করি এবং কেন
| তথ্য | উদ্দেশ্য | আইনি ভিত্তি |
|---|---|---|
| কোম্পানির ট্যাক্স আইডি (NIP), কোম্পানির যোগাযোগ ই-মেইল, এককালীন লগইন কোড ও লিংক, সেশন আইডি, লগইনের তারিখ ও সময়, IP ঠিকানা, ডিভাইস/ব্রাউজারের ধরন | পাসওয়ার্ড ছাড়া লগইন করানো, সেশন বজায় রাখা, অপব্যবহার ঠেকানো (রেট লিমিট, আক্রমণ ব্লক করা) | ধারা ৬(১)(b) — সেবা চুক্তি পালন; ধারা ৬(১)(f) — সেবার নিরাপত্তায় আমাদের বৈধ স্বার্থ |
| পুশ নোটিফিকেশনের ডিভাইস টোকেন (Firebase Cloud Messaging), আপনার কোম্পানির সাথে যুক্ত | অ্যাপ থেকে আপনাকে নোটিফিকেশন পাঠানো (যেমন নথি প্রস্তুত, সময়সীমা কাছে)। ফোনের সেটিংসে নোটিফিকেশন বন্ধ করা যায়; লগআউট বা আনইনস্টল করলে টোকেন মুছে যায় | ধারা ৬(১)(b); ধারা ৬(১)(f) |
| বায়োমেট্রিক লক সেটিং (চালু/বন্ধ) | আঙুলের ছাপ বা মুখ দিয়ে অ্যাপ লক করা। বায়োমেট্রিক যাচাই শুধুমাত্র আপনার ফোনে হয় (Android / iOS সিস্টেম); আমরা কখনও বায়োমেট্রিক তথ্য পাই না — শুধু লক চালু আছে কি না, সেটুকু | ধারা ৬(১)(b) |
| আপনার আপলোড করা নথি: ব্যাংক স্টেটমেন্ট (PDF, MT940, ছবি), ইনভয়েস, চুক্তি, কর্মচারীর নথি, আমাদের সাথে শেয়ার করা অন্যান্য ফাইল | আপনার অর্ডার করা বুককিপিং, বেতন ও HR কাজ করা। ব্যাংক স্টেটমেন্ট ও কিছু নথি স্বয়ংক্রিয়ভাবে পড়া হয় (দেখুন অনুচ্ছেদ ৫, "AI-সহায়ক পঠন") — মাস ও অ্যাকাউন্ট শনাক্ত করতে এবং ফাইলিং দ্রুত করতে | ধারা ৬(১)(b); ধারা ৬(১)(c) — অ্যাকাউন্টিং, কর ও সামাজিক বীমা আইনের বাধ্যবাধকতা |
| ক্লায়েন্টের প্রবেশ করানো কর্মচারী ও ঠিকাদারের তথ্য: নাম, PESEL / পাসপোর্টের তথ্য, ঠিকানা, যোগাযোগের তথ্য, চুক্তির শর্ত, বেতন, কর্মঘণ্টা, ছুটি, ওয়ার্ক পারমিট ও বসবাসের তথ্য | বেতন, চাকরির চুক্তি, ZUS ও কর দাখিল, ছুটির চিঠি, ওয়ার্ক পারমিট ও ইমিগ্রেশন চিঠি — ক্লায়েন্টের নির্দেশে | ক্লায়েন্টের পক্ষে প্রক্রিয়াকরণ (GDPR ধারা ২৮)। ক্লায়েন্টের নিজস্ব ভিত্তি সাধারণত ধারা ৬(১)(b), (c) এবং বিশেষ তথ্যের জন্য ধারা ৯(২)(b) |
| পোর্টালের মাধ্যমে পাঠানো বার্তা ও নোট, আদান-প্রদান করা ই-মেইল | আপনাকে উত্তর দেওয়া, অনুরোধ সামলানো, নির্দেশনার রেকর্ড রাখা | ধারা ৬(১)(b); ধারা ৬(১)(f) |
| টেকনিক্যাল লগ (সংবেদনশীল পাতায় অনুরোধ, ত্রুটি, নিরাপত্তা ঘটনা) | সেবা চালু ও নিরাপদ রাখা, ঘটনা তদন্ত করা | ধারা ৬(১)(f) |
লগইন ও সেবার জন্য প্রয়োজনীয় তথ্য দেওয়া পোর্টাল ও অ্যাপ ব্যবহারের শর্ত; এগুলো ছাড়া আমরা আপনাকে লগইন করাতে বা সেবা দিতে পারি না। ডিভাইস টোকেন দেওয়া ঐচ্ছিক (ফোনে নোটিফিকেশনের অনুমতি না দিলেই হয়)।
৪. অ্যাপ যেসব অনুমতি চায়
- নোটিফিকেশন — পুশ বার্তা পৌঁছে দিতে (ঐচ্ছিক)।
- ফাইল / ছবি / ক্যামেরা — শুধু যখন আপনি কোনো ফাইল বেছে নেন বা আপলোডের জন্য নথির ছবি তোলেন। অ্যাপ আপনার গ্যালারি স্ক্যান করে না।
- বায়োমেট্রিক্স — শুধু স্থানীয়ভাবে অ্যাপ আনলক করতে (ঐচ্ছিক)।
অ্যাপ আপনার লোকেশন, কন্টাক্ট, মাইক্রোফোন বা কল লগ ব্যবহার করে না, এতে কোনো বিজ্ঞাপন নেই এবং কোনো তৃতীয় পক্ষের অ্যানালিটিক্স বা ট্র্যাকিং SDK নেই।
৫. কারা আপনার তথ্য পায় (প্রাপক ও প্রসেসর)
আমরা শুধু সেইসব সেবাদাতার সাথে তথ্য শেয়ার করি, যারা সেবা চালাতে আমাদের সাহায্য করে — ডেটা-প্রসেসিং চুক্তির অধীনে এবং শুধু যতটুকু প্রয়োজন:
- হোস্টিং প্রোভাইডার — যে সার্ভারে qarmas.com ও এর ডাটাবেস চলে, এবং আমাদের ই-মেইল সার্ভার।
- Cloudflare, Inc. — DNS/CDN, ওয়েব লগইন পাতায় বট সুরক্ষা ("Turnstile"), এবং এনক্রিপ্টেড অফ-সাইট ব্যাকআপ স্টোরেজ (Cloudflare R2)। ব্যাকআপ হলো দুর্যোগ পুনরুদ্ধারের জন্য রাখা পুরো সিস্টেমের এনক্রিপ্টেড কপি।
- Google LLC — অ্যাপে পুশ নোটিফিকেশনের জন্য Firebase Cloud Messaging এবং আমাদের ই-মেইল পাঠানোর জন্য Google Workspace।
- AI-সহায়ক পঠন — আপলোড করা ব্যাংক স্টেটমেন্টের মাস ও অ্যাকাউন্ট শনাক্ত করতে, বা আপলোড করা নথি থেকে ঘর পড়তে, ফাইলের বিষয়বস্তু একটি লার্জ-ল্যাঙ্গুয়েজ-মডেল প্রোভাইডারের কাছে পাঠানো হতে পারে (বর্তমানে OpenRouter, Inc. — এর মাধ্যমে, Google ও অন্যান্য প্রোভাইডারের মডেল ব্যবহার করে)। ফলাফল শুধু ওই নথি ফাইল করতে ব্যবহৃত হয়। আমরা কোনো মডেল প্রশিক্ষণে তথ্য ব্যবহার করি না; আমরা এমন প্রোভাইডার বেছে নিই, যারা API ডেটায় প্রশিক্ষণ দেয় না।
- সরকারি কর্তৃপক্ষ — কর অফিস, ZUS (সামাজিক বীমা), শ্রম ও ইমিগ্রেশন অফিস, আদালত — যখন আপনার অর্ডার করা সেবায় দাখিল প্রয়োজন হয় বা আইন আমাদের বাধ্য করে।
- ALIEN AFFAIRS sp. z o.o. — এর অ্যাকাউন্ট্যান্ট, বেতন ও HR কর্মী এবং প্রয়োজনে গোপনীয়তায় আবদ্ধ আমাদের পেশাদার উপদেষ্টা (অডিটর, আইনজীবী)।
আমরা ব্যক্তিগত তথ্য বিক্রি করি না এবং বিজ্ঞাপনের জন্য শেয়ার করি না।
৬. ইউরোপীয় অর্থনৈতিক অঞ্চলের (EEA) বাইরে তথ্য স্থানান্তর
আমাদের নিজস্ব সার্ভার ও ডাটাবেস ইউরোপীয় ইউনিয়নে। Cloudflare, Google ও AI প্রোভাইডাররা যুক্তরাষ্ট্র বা অন্য দেশে তথ্য প্রক্রিয়া করতে পারে। এমন স্থানান্তরের ভিত্তি — প্রোভাইডার সার্টিফাইড হলে ইউরোপীয় কমিশনের পর্যাপ্ততা সিদ্ধান্ত (EU–US Data Privacy Framework), অন্যথায় স্ট্যান্ডার্ড কন্ট্রাকচুয়াল ক্লজ (GDPR ধারা ৪৬(২)(c)) এবং ট্রানজিট ও স্টোরেজে এনক্রিপশনের মতো অতিরিক্ত সুরক্ষা। প্রযোজ্য সুরক্ষার কপি পেতে client@accomat.com — এ লিখুন।
৭. কতদিন আমরা তথ্য রাখি
- অ্যাকাউন্টিং ও কর নথি (ব্যাংক স্টেটমেন্ট, ইনভয়েস, খাতা, দাখিল) — যে ক্যালেন্ডার বছরে কর দায় শেষ হয়েছে তার শেষ থেকে ৫ বছর, পোলিশ অ্যাকাউন্টিং আইন ও ট্যাক্স অর্ডিন্যান্স অনুযায়ী; আইন বা চলমান মামলা চাইলে আরও বেশি।
- বেতন ও কর্মচারীর রেকর্ড — পোলিশ শ্রম কোড ও সামাজিক বীমা আইনে নির্ধারিত সময় (২০১৯ সাল থেকে রেকর্ডের জন্য চাকরি শেষের ১০ বছর পর; পুরোনো রেকর্ডের জন্য ৫০ বছর পর্যন্ত) — যতদিন আমরা ক্লায়েন্টের পক্ষে সেগুলো রাখি।
- অ্যাকাউন্ট ও সেশনের তথ্য — সেবা চুক্তি চলাকালীন; লগইন কোড কয়েক মিনিটে মেয়াদোত্তীর্ণ হয়, সেশন লগআউট বা নিষ্ক্রিয়তার পরে শেষ হয়।
- পুশ টোকেন — লগআউট, অ্যাপ আনইনস্টল, বা টোকেন অকার্যকর হওয়া পর্যন্ত।
- নিরাপত্তা ও অ্যাক্সেস লগ — ১২ মাস পর্যন্ত, তদন্তে প্রয়োজন না হলে।
- ব্যাকআপ — এনক্রিপ্টেড ব্যাকআপ স্বয়ংক্রিয়ভাবে ঘোরানো হয়, পুরোনো কপি কয়েক দিন পর মুছে যায়।
- চিঠিপত্র — চুক্তির মেয়াদ ও দাবির তামাদি সময় পর্যন্ত (সাধারণত ৬ বছর পর্যন্ত)।
৮. আপনার অধিকার
GDPR অনুযায়ী আপনার অধিকার আছে: আপনার তথ্যে প্রবেশ ও কপি পাওয়া; সংশোধন করানো; মুছে ফেলানো (যেখানে আইন আমাদের রাখতে বাধ্য করে না); প্রক্রিয়াকরণ সীমিত করা; ডেটা পোর্টেবিলিটি; আমাদের বৈধ স্বার্থভিত্তিক প্রক্রিয়াকরণে আপত্তি জানানো; এবং সম্মতিভিত্তিক প্রক্রিয়াকরণ হলে যেকোনো সময় সম্মতি প্রত্যাহার করা — আগের প্রক্রিয়াকরণে প্রভাব ছাড়াই।
কোনো অধিকার প্রয়োগ করতে client@accomat.com — এ বা উপরের ডাক ঠিকানায় লিখুন। আমরা এক মাসের মধ্যে উত্তর দিই। আপনার তথ্য কোনো ক্লায়েন্ট কোম্পানি প্রবেশ করিয়ে থাকলে (যেমন আপনি তার কর্মচারী), আমরা আপনার অনুরোধ সেই কোম্পানিকে পাঠাব এবং উত্তর দিতে সাহায্য করব।
তত্ত্বাবধায়ক কর্তৃপক্ষের কাছে অভিযোগ করার অধিকারও আপনার আছে: Prezes Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, পোল্যান্ড, uodo.gov.pl।
৯. অ্যাকাউন্ট ও অ্যাপের তথ্য মুছে ফেলা
পোর্টাল ও অ্যাপে আপনার প্রবেশ বন্ধ করতে অনলাইন ফর্ম https://qarmas.com/data-delete ব্যবহার করুন (লগইন লাগে না; বর্তমান ও প্রাক্তন ক্লায়েন্টদের জন্য), client@accomat.com — এ (কোম্পানির নিবন্ধিত ই-মেইল থেকে) আমাদের জানান, অথবা সেবা চুক্তি শেষ করুন। তখন আমরা লগইন নিষ্ক্রিয় করি, পুশ টোকেন ও সেশন মুছি, এবং আইনত রাখতে বাধ্য নই এমন তথ্য সরিয়ে ফেলি। অ্যাকাউন্টিং ও বেতনের রেকর্ড অনুচ্ছেদ ৭-এর বিধিবদ্ধ সময় পর্যন্ত রাখতে হয় এবং সেই সময় শেষে মুছে ফেলা হয়। অ্যাপ আনইনস্টল করলে ফোন থেকে অ্যাপের সব তথ্য মুছে যায়, কিন্তু তাতে অ্যাকাউন্ট নিজে থেকে বন্ধ হয় না।
১০. নিরাপত্তা
সংযোগ এনক্রিপ্টেড (HTTPS)। লগইনে কোম্পানির নিবন্ধিত ই-মেইলে পাঠানো এককালীন কোড ব্যবহৃত হয়, অনুমান ঠেকাতে রেট লিমিট ও লক-আউটসহ। নথি পাবলিক ওয়েব রুটের বাইরে রাখা হয় এবং শুধু লগইন করা, অনুমোদিত ব্যবহারকারী ও আমাদের কর্মীরাই পৌঁছাতে পারেন। আমাদের কর্মীদের প্রবেশ ভূমিকাভিত্তিক ও লগ করা হয়। ব্যাকআপ এনক্রিপ্টেড।
১১. কুকি
পোর্টাল শুধু অত্যাবশ্যক কুকি ব্যবহার করে: সেশন কুকি, CSRF-সুরক্ষা টোকেন, এবং আপনার ভাষা ও থিম মনে রাখার কুকি। ওয়েব লগইন পাতা Cloudflare Turnstile লোড করে, যা মানুষ ও বট আলাদা করতে একটি কুকি সেট করতে পারে। কোনো বিজ্ঞাপন বা অ্যানালিটিক্স কুকি ব্যবহৃত হয় না, তাই কুকি সম্মতির ব্যানার দেখানো হয় না।
১২. শিশু
পোর্টাল ও অ্যাপ আমাদের ক্লায়েন্ট কোম্পানিগুলোর জন্য ব্যবসায়িক টুল এবং ১৮ বছরের নিচে কারও জন্য নয়।
১৩. এই নীতিতে পরিবর্তন
সেবা বা আইন বদলালে আমরা এই নীতি হালনাগাদ করতে পারি। বর্তমান সংস্করণ সবসময় https://qarmas.com/privacy-policy?lang=bn — এ থাকে, নিচে "সর্বশেষ হালনাগাদ" তারিখসহ। গুরুত্বপূর্ণ পরিবর্তন পোর্টালে জানানো হবে।