গোপনীয়তা নীতি
Last updated: ২৮ আগস্ট, ২০২৬
এই অনুবাদ শুধু বোঝার সুবিধার জন্য। বাধ্যতামূলক সংস্করণ হলো ইংরেজি সংস্করণ; কোনো পার্থক্য থাকলে ইংরেজি text-ই কার্যকর হবে।
এই নীতি বর্ণনা করে costdown.org কী personal data সংগ্রহ করে, কেন, কতদিন রাখা হয়, আর কে এটা দেখে, আর আপনি এই নিয়ে কী করতে পারেন। এটা EU General Data Protection Regulation (GDPR)-এর Article 13 ও Article 14 অনুযায়ী বাধ্যতামূলক তথ্য notice।
এটা বর্ণনা করে service আজ সত্যিকারে কী করে। চলমান system-এর সাথে মিলিয়ে verify করা যায়নি এমন কোনো statement এই document-এ নেই।
১. কে দায়ী (data controller)
costdown.org একটা registered company না, একজন ব্যক্তি চালান। GDPR-এর Article 4(7) অনুযায়ী সেই ব্যক্তিই data controller।
Controller-এর জন্য কোনো general email address প্রকাশ করা হয় না। Section ১০-এ বর্ণিত প্রতিটা request সহ সব যোগাযোগ যোগাযোগ-এর মাধ্যমে হয়। সেখানে পাঠানো message save হয়, আর আপনি সাথে সাথে একটা reference number পান, তাই কোনো request নিঃশব্দে হারিয়ে যেতে পারে না।
একমাত্র ব্যতিক্রম হলো [email protected], security vulnerability report করার জন্য একটা নির্দিষ্ট address, /.well-known/security.txt-এও প্রকাশিত। এটা আছে যাতে কেউ একটা সমস্যা খুঁজে পেলে সেটা পাঠানোর একটা স্পষ্ট জায়গা থাকে, আর এটা section ১০-এর request-এর জন্য কোনো channel না — সেগুলো contact form-এর মাধ্যমে যায়, যা আপনার message save করে আর আপনাকে একটা reference number দেয়।
২. Data Protection Officer
কোনো Data Protection Officer নিয়োগ করা হয়নি। GDPR-এর Article 37(1) শুধু তখনই একজন দাবি করে যখন core activity-তে ব্যক্তিদের large-scale regular monitoring, বা special category data-র large-scale processing জড়িত থাকে। costdown.org কোনোটাই করে না: এটা business cost-reduction data process করে, আর এর রাখা personal data section ৪-এ তালিকাভুক্ত জিনিসের মধ্যেই সীমিত।
৩. আপনার পরিচয় জিজ্ঞেস করা হয় না
এটাই সেই অংশ যা বেশিরভাগ privacy policy বলতে পারে না, তাই table-এর আগে এটা আসছে। costdown.org-এ register করতে চারটা জিনিস চাওয়া হয়: একটা email address, একটা password, আপনি expert নাকি investor, আর আপনার দেশ। এটুকুই।
আপনার আসল নাম কখনো জিজ্ঞেস করা হয় না, আর phone number লেখার কোনো জায়গা নেই। Platform-এ আপনাকে system-এর তৈরি করা একটা ছোট code দিয়ে চেনা হয় — যেমন 2E — আর আপনার publish করা প্রতিটা জিনিসের পাশে নাম না, সেই code-ই দেখা যায়।
আপনার email address এখনও personal data: এটা আপনাকে চেনায়, আমরা এটা রাখি, আর এই নীতির সবকিছু এর উপর প্রযোজ্য। এটা আপনাকে sign in করাতে আর account email পাঠাতে ব্যবহৃত হয়। অন্য user-দের কখনো দেখানো হয় না।
৪. কী data সংগ্রহ করা হয়
| Data | কোথা থেকে আসে | কেন |
|---|---|---|
| Email address ও password (শুধু hash হিসাবে save হয়) | Register করার সময় আপনার কাছ থেকে | আপনার account তৈরি ও secure করতে |
| দেশ | Register করার সময় আপনার কাছ থেকে | Benchmark শুধু একই দেশের মধ্যে সংখ্যা তুলনা করে, তাই এটা বাধ্যতামূলক |
| Account code, role, language preference, verification ও suspension status | Service-এর তৈরি | Account code এখানে আপনার public পরিচয়; বাকিটা account চালায় |
| ছোট bio | ইচ্ছা হলে আপনার কাছ থেকে | একটা লিখলে আপনার public profile-এ দেখানো হয়; খালি রাখলে কিছুই দেখানো হয় না |
| আপনাকে সহকর্মীদের একটা group-এ যুক্ত করা একটা join code - keyed hash হিসাবে save হয়, code নিজে কখনো না | আপনি বা একজন সহকর্মী group তৈরি করলে service-এর তৈরি | যাতে সহকর্মীরা internal material code share করতে ও একসাথে তুলনা করতে পারেন, employer-এর নাম না বলে। এই table-এর নিচের note দেখুন। |
| Group name, industry, দেশ, size | Company page-এ ইচ্ছা হলে আপনার কাছ থেকে | শুধু আপনি পূরণ করলে। Industry ও দেশ আপনার সংখ্যাকে সঠিক benchmark group-এ রাখে; নাম system-এর দরকার এমন কোনো কাজে ব্যবহার হয় না। |
| আপনার লেখা case study, cost figure, engagement, verification ও comment | আপনার কাছ থেকে | এটাই service-এর content; publish করা item সবাই দেখতে পায় |
| Case-study view-এর সাথে record হওয়া IP address | আপনার browser থেকে | View গোনা ও abuse ধরতে |
| Rate-limiting-এর সময় সাময়িকভাবে রাখা IP address | আপনার browser থেকে | Registration, password reset ও contact form-এর automated abuse থামাতে |
| Savings, investment, verification, status ও role-এ পরিবর্তনের একটা change log — পুরনো value, নতুন value, কোন account, কখন | Service-এর তৈরি | Auditability: একটা benchmark platform-এর value ততটুকুই যতটুকু নিশ্চিত করা যায় যে সংখ্যা নিঃশব্দে বদলানো যাবে না |
| Contact form থেকে আপনার লেখা নাম, email, message ও IP address | আপনার কাছ থেকে | আপনাকে উত্তর দিতে ও form-এর abuse থামাতে |
সহকর্মীদের কীভাবে group করা হয়। আপনার employer-এর নাম বলে না। System একটা random join code তৈরি করে — 7KQ2M-XB49P-এর মতো কিছু — যা আপনি সহকর্মীদের দেন; যে এটা দেয় সে আপনার সাথে একই group-এ পড়ে। Grouping-এর জন্য শুধু এতটুকুই দরকার, তাই company নিজে কখনো নাম বলা হয় না।
Join code save হয় না। Database যা রাখে তা হলো code-এর একটা HMAC-SHA256, server-এর একটা file-এ থাকা একটা secret দিয়ে keyed — code নিজে না। এখানে একটা সাধারণ hash যথেষ্ট হতো না: দশ character-এর একটা code প্রায় 10^15 combination, যা একটা graphics card মিনিটে খুঁজে বের করতে পারে। Server key মিশে থাকায়, database-এর একটা copy একা কোনো code ফেরত আনতে অকেজো।
স্পষ্ট করে বলা হচ্ছে, কারণ এটা বাড়িয়ে বলা কিছু না বলার চেয়ে খারাপ হবে: যে server চালায় সে database আর সেই key দুটোই রাখে, তাই আমরা দাবি করি না যে code সবার নাগালের বাইরে। সত্যি হলো code কখনো readable form-এ save হয় না, কখনো log-এ লেখা হয় না, আর ঠিক একবার দেখানো হয় — তৈরি করার মুহূর্তে। হারিয়ে ফেললে, একজন administrator সহ কেউই এটা ফেরত আনতে পারবে না; বরং একটা নতুন code তৈরি করুন আর পুরনোটা revoke করুন।
Group-কে নাম দেওয়াও সম্ভব, আর এটাও ইচ্ছাধীন। এর জন্য একটা field আছে, join code আসার আগে থেকে থাকা আর একটা label চাওয়া group-এর জন্য রাখা। পূরণ করলে, নাম ঠিক যেভাবে type করেছেন সেভাবেই save হয় আর administrator-রা পড়তে পারেন। খালি রাখলে — default — প্রতিটা feature একইভাবে চলে।
Database-এ দুইটা field আছে যা কখনো কিছু দিয়ে পূরণ হয় না: একটা phone number আর একটা time zone। Site-এর কোনো কিছুই এগুলোতে লেখে না আর কোনো account-এ কোনোটাতেই value নেই। এগুলো এখানে শুধু এই কারণে তালিকাভুক্ত যাতে এই document নিঃশব্দে কিছু বাদ দেওয়ার বদলে database-এর সাথে ঠিক মিলে যায়।
অন্য website জুড়ে আপনাকে track করা হয় না, advertising profiling হয় না, আর GDPR-এর Article 22 অনুযায়ী legal effect তৈরি করে এমন কোনো automated decision-making বা profiling হয় না।
৫. Cookie ও browser storage
আপনি logged out থাকা অবস্থায়, costdown.org কোনো cookie set করে না, আর আপনার browser-এর local বা session storage-এ কিছুই save করে না। এটা live site-এ verify করা হয়েছে।
Login করার পরে, একটা signed session token রাখা একটা cookie set হয় — user_id। এটা আপনাকে logged in রাখার জন্য একদম প্রয়োজনীয়, তাই ePrivacy Directive অনুযায়ী এর জন্য কোনো consent banner লাগে না। Log out করলে এটা delete হয়ে যায়।
Traffic measurement Cloudflare Web Analytics ব্যবহার করে, যা cookieless: এটা আপনার browser-এ কোনো identifier set করে না আর আপনাকে অন্য site-এ track করে না।
৬. Processing-এর জন্য legal basis
| Processing | Legal basis |
|---|---|
| আপনার account তৈরি ও চালানো; আপনার জমা দেওয়া content publish করা | Article 6(1)(b) — আপনার সাথে একটা contract-এর performance |
| Session cookie, password hashing, login-attempt limit, IP rate limiting | Article 6(1)(f) — service ও এর user-দের secure রাখার legitimate interest |
| View count ও aggregate traffic measurement | Article 6(1)(f) — service ব্যবহার হচ্ছে কিনা জানার legitimate interest |
| আর্থিক ও verification সংখ্যার immutable change log | Article 6(1)(f) — বিশ্বাসযোগ্য data-র legitimate interest, যা এই platform-এর পুরো উদ্দেশ্য |
| Contact form দিয়ে পাঠানো message handle করা | Service সম্পর্কিত হলে Article 6(1)(b); Article 15-22-এর অধীনে একটা request হলে Article 6(1)(c) — legal obligation |
| Transactional email (verification, password reset, account notice) | Article 6(1)(b) — account দেওয়ার জন্য প্রয়োজনীয় |
এগুলোর কোনোটাই দিতে আপনি বাধ্য না। কিন্তু একটা email address, password ও দেশ ছাড়া একটা account থাকতে পারে না, তাই এগুলো না দিলে service দেওয়া যাবে না। Section ৩-এ optional চিহ্নিত সবকিছু কোনো function হারানো ছাড়াই খালি রাখা যায়।
৭. আর কে data পায়
| যে পায় | তারা কী দেখে | ভূমিকা |
|---|---|---|
| Hetzner Online GmbH (Nuremberg, জার্মানি) | Service-এর save করা সবকিছু — তারা server ও database হোস্ট করে | Processor |
| Cloudflare, Inc. | Site-এর সামনের network হিসাবে আপনার IP address, user agent ও requested URL; plus cookieless traffic measurement | Processor |
| Resend (Ireland-এ Amazon Web Services-এ চলে) | আপনাকে পাঠানো transactional email-এর recipient address ও content - account verification, password reset, account notice | Processor |
| costdown.org-এর অন্য user-রা | আপনি publish করা সবকিছু: case study, cost figure, comment, আর আপনার পূরণ করা profile field | Processor না — publish করাই তো উদ্দেশ্য |
Personal data বিক্রি হয় না, আর advertiser বা data broker-দের সাথে share হয় না। শুধু আইন দাবি করলেই public authority-দের কাছে প্রকাশ করা হয়।
৮. আন্তর্জাতিক transfer
Server ও database জার্মানিতে, EU-এর ভেতরে অবস্থিত। তাই service-এর দিন-প্রতিদিনের কাজে আপনার data EEA-র বাইরে যায় না।
স্পষ্টভাবে বলা দুইটা ব্যতিক্রম:
- Cloudflare, Inc. একটা global network চালানো একটা US company। costdown.org-এর traffic EEA-র বাইরের একটা edge location-এ handle হতে পারে। Cloudflare European Commission-এর Standard Contractual Clauses আর EU-US Data Privacy Framework-এর উপর নির্ভর করে।
- Encrypted database backup জার্মান server থেকে EEA-র বাইরের একটা দেশে controller-এর রাখা একটা machine-এ copy করা হয়, যাতে hosting provider-এর একটা failure একসাথে সব copy ধ্বংস না করতে পারে। সেই দেশের জন্য European Commission-এর কোনো adequacy decision নেই। Backup server ছাড়ার আগে AES-256 দিয়ে encrypted হয়, শুধু hosting provider-এর কাছে না থাকা একটা passphrase দিয়ে পড়া যায়, আর controller ছাড়া কেউ এগুলো রাখে না।
৯. Data কতদিন রাখা হয়
| Data | Retention |
|---|---|
| Account ও profile data | আপনি delete চাওয়া পর্যন্ত। Contact form-এর মাধ্যমে চান, সরিয়ে দেওয়া হবে। |
| আপনার publish করা case study ও অন্য content | আপনি delete করা বা আমাদের বলা পর্যন্ত। মনে রাখবেন ইতিমধ্যে publish করা একটা benchmark comparison-এ ব্যবহৃত সংখ্যা এমন aggregate form-এ থেকে যেতে পারে যেখানে কোনো individual চেনা যায় না। |
| আর্থিক ও verification সংখ্যার change log | Record-এর জীবনকাল জুড়ে রাখা হয় আর ইচ্ছা করে আগে edit বা delete করা যায় না — এটা application code দিয়ে না, database নিজেই বাধ্য করে। এটা ছাড়া, এই platform-এর কোনো সংখ্যাই বিশ্বাস করা যেত না। এটা কী বদলেছে আর কোন account দিয়ে তা record করে, personal detail না। |
| Case-study view-এর সাথে record হওয়া IP address | View record-এর সাথে রাখা হয়; case study delete হলে সরানো হয়। |
| Rate limiting-এর জন্য ব্যবহৃত IP address | শুধু memory-তে রাখা হয়, আর rate-limit window-এর মধ্যে (বড়জোর এক ঘণ্টা) নিজে থেকে expire হয়। |
| Join code (keyed hash হিসাবে) | Code active থাকা পর্যন্ত রাখা হয়। একটা code revoke করলে row delete না করে revoked চিহ্নিত করা হয়, যাতে একটা code নিঃশব্দে আবার ব্যবহার করা না যায়; row-এ একটা hash থাকে, code না। |
| Contact-form message | বিষয়টা open থাকা পর্যন্ত, আর পরে একটা legal request সময়মতো উত্তর দেওয়া হয়েছে তার প্রমাণ হিসাবে; বন্ধ হওয়ার পরে request করলে delete হয়। |
| Encrypted backup | Server-এ ঘণ্টাভিত্তিক backup ৭২ ঘণ্টা রাখা হয়। Controller-এর off-site রাখা দৈনিক copy ৩০ দিন রাখা হয়। আপনার delete করতে বলা data সেই window পার না হওয়া পর্যন্ত backup-এ থেকে যেতে পারে। |
১০. Data subject হিসাবে আপনার অধিকার
GDPR-এর অধীনে আপনি যেকোনো সময় বিনামূল্যে নিচের অধিকারগুলো ব্যবহার করতে পারেন। প্রতিটার নাম নিচে legal term আর সহজ ভাষা দুটোতেই দেওয়া হয়েছে, কারণ বাধ্যতামূলক হলো legal term:
- Access-এর অধিকার (Article 15) — আপনার সম্পর্কে কী data রাখা আছে জিজ্ঞেস করা আর এর একটা copy পাওয়া।
- Rectification-এর অধিকার (Article 16) — ভুল data ঠিক করানো, বা অসম্পূর্ণ data সম্পূর্ণ করানো।
- Erasure-এর অধিকার, right to be forgotten নামেও পরিচিত (Article 17) — আপনার data delete করানো।
- Processing restriction-এর অধিকার (Article 18) — একটা বিরোধ মেটা পর্যন্ত processing স্থগিত রাখা।
- Data portability-র অধিকার (Article 20) — আপনার data একটা structured, সাধারণভাবে ব্যবহৃত, machine-readable form-এ পাওয়া, আর technically সম্ভব হলে অন্য একটা controller-এ পাঠানো।
- Object করার অধিকার (Article 21) — legitimate interest-এর ভিত্তিতে processing-এ আপত্তি জানানো, উপরে বর্ণিত view counting সহ।
- Consent withdraw করার অধিকার (Article 7(3)) — processing consent-এর উপর নির্ভর করলে, যেকোনো সময় এটা withdraw করা, আগে যা lawful ছিল তা প্রভাবিত না করে।
- Automated decision-making-এর অধীন না হওয়ার অধিকার (Article 22) — costdown.org legal বা একইরকম গুরুত্বপূর্ণ effect তৈরি করে এমন কোনো automated decision নেয় না, তাই এই অধিকার প্রযোজ্য হয় না।
যোগাযোগ ব্যবহার করুন আর Personal data request বেছে নিন। সাথে সাথে একটা reference number পাবেন, আর Article 12(3)-এর দাবি অনুযায়ী এক মাসের মধ্যে উত্তর পাবেন। Request জটিল হলে, আমরা আরও দুই মাস বাড়াতে পারি আর প্রথম মাস শেষ হওয়ার আগে কারণ জানাব।
১১. Supervisory authority-তে complaint করার অধিকার
আপনার data বেআইনিভাবে handle হয়েছে মনে করলে, একটা data protection supervisory authority-তে complaint দিতে পারেন — আপনার বসবাসের দেশ, কাজের জায়গা, বা অভিযুক্ত লঙ্ঘন ঘটেছে এমন জায়গার authority-তে যেতে পারেন (Article 77 GDPR)। আগে আমাদের সাথে যোগাযোগ করার দরকার নেই, তবে করলে সাধারণত দ্রুত হয়।
EU ও EEA authority-দের একটা list European Data Protection Board edpb.europa.eu-তে প্রকাশ করে। Server জার্মানিতে থাকায়, জার্মান federal আর Bavarian state authority-ও সক্ষম।
১২. Security
- Password শুধু hash হিসাবে save হয়; readable form-এ কখনো save বা log হয় না।
- পুরো site HSTS সহ HTTPS দিয়ে served হয়।
- বারবার login ব্যর্থ হলে account সাময়িকভাবে lock হয়, আর registration, password reset ও contact form-এর request IP অনুযায়ী rate-limited।
- আপনার data-র প্রতিটা read ও write শুধু browser-এ না, server-এ আপনার permission-এর সাথে check হয়।
- Backup AES-256 দিয়ে encrypted, আর সেখান থেকে restore করা ধরে নেওয়ার বদলে test করা হয়।
কোনো system পুরোপুরি secure না। একটা vulnerability খুঁজে পেলে, দয়া করে publicly প্রকাশ করার আগে [email protected]এ report করুন। একই address RFC 9116-এর format-এ /.well-known/security.txt-এ machine-readable form-এ প্রকাশিত। চাইলে contact form-ও কাজ করে।
১৩. শিশু
costdown.org manufacturing-এ কাজ করা মানুষদের জন্য একটা tool, শিশুদের জন্য না। ১৬ বছরের কম বয়সী কারো জন্য জেনেবুঝে account তৈরি করা হয় না। কোনো শিশু register করেছে মনে করলে, contact form-এর মাধ্যমে আমাদের বলুন, account সরিয়ে দেওয়া হবে।
১৪. এই নীতিতে পরিবর্তন
এই document বদলালেই উপরের তারিখ বদলে যায়। কোনো পরিবর্তন আপনার অধিকারকে উল্লেখযোগ্যভাবে প্রভাবিত করলে, registered user-রা নিজে থেকে লক্ষ্য করার বদলে email-এ জানানো হয়।