মূল অংশে যান
কুইজঝড়

ডেটা-প্রসেসিং চুক্তি (DPA)

সর্বশেষ হালনাগাদ: জুলাই ২০২৬

এই চুক্তিটি প্রযোজ্য হয় যখন কোনো প্রতিষ্ঠান (নিয়ন্ত্রক) কুইজঝড় (প্রসেসর) ব্যবহার করে অংশগ্রহণকারীর ডেটা — নাম, রোল/আইডি, উত্তর, ফলাফল, ঐচ্ছিক যোগাযোগ-ফোন — প্রসেস করে। এটি আমাদের শর্তাবলীর অংশ।

পক্ষসমূহ

প্রসেসর: QuizJhor (কুইজঝড়) (আইনি সত্তার বিবরণ শীঘ্রই যুক্ত হবে)

নিয়ন্ত্রক: কুইজঝড়ে ওয়ার্কস্পেস খোলা প্রতিষ্ঠান — রোস্টার ও অংশগ্রহণকারীর ডেটার মালিকানা ও আইনি ভিত্তি তাদের।

প্রসেসিং-এর ধরন

লাইভ কুইজ/অ্যাসেসমেন্ট চালানো, ফলাফল ও মেরিট-লিস্ট তৈরি, সনদ ইস্যু, এবং নিয়ন্ত্রকের নির্দেশে নির্ধারিত ফোনে ফল-SMS পাঠানো। আমরা এই ডেটা বিক্রি করি না; কুইজ, রোস্টার, উত্তর ও ফলাফল কখনো বিজ্ঞাপনে ব্যবহার হয় না।

সাব-প্রসেসর

  • Vercel — অ্যাপ্লিকেশন হোস্টিং (Singapore)
  • Supabase — ডেটাবেস ও রিয়েলটাইম (Singapore)
  • Resend — লেনদেন-ইমেইল (লগইন-কোড, রসিদ, হোস্টের অনুরোধে ফলাফল-রিপোর্ট) (USA)
  • bKash — পেমেন্ট — ওয়ালেট-তথ্য আমাদের সার্ভার ছোঁয় না (Bangladesh)
  • SSLCommerz — পেমেন্ট — কার্ড-তথ্য আমাদের সার্ভার ছোঁয় না (Bangladesh)
  • BulkSMSBD — অভিভাবককে ফল-SMS (হোস্ট চালু করলে) (Bangladesh)
  • Anthropic — AI কুইজ-জেনারেশন — হোস্টের দেওয়া উৎস; মডেল-ট্রেনিংয়ে নয় (USA)
  • OpenAI — AI জেনারেশন/ভয়েস-ট্রান্সক্রিপশন (কনফিগ অনুযায়ী) (USA)
  • OpenRouter — AI জেনারেশন/ভয়েস-রাউটিং (কনফিগ অনুযায়ী) (USA)
  • Groq — ভয়েস-ট্রান্সক্রিপশন (কনফিগ অনুযায়ী) (USA)
  • Google (Gemini API) — ভয়েস-ট্রান্সক্রিপশন (কনফিগ অনুযায়ী) (USA)
  • Google (Firebase Cloud Messaging) — মোবাইল-অ্যাপে পুশ-নোটিফিকেশন (অনুমতি দিলে) (Global)
  • Meta (Conversions API) — বিজ্ঞাপন-পরিমাপ: ক্রেতার পেমেন্ট-ইভেন্ট, হ্যাশড, সার্ভার-সাইড — ছাত্রের ডেটা কখনো নয় (USA)
  • Google (Analytics / Tag Manager) — মার্কেটিং-পাতার ভিজিট-পরিমাপ — ছাত্রের পর্দায় নয়; EEA/UK-এ ডিফল্টে বন্ধ (USA)
  • Meta (Pixel) — মার্কেটিং-পাতার ভিজিট-পরিমাপ — ছাত্রের পর্দায় নয়; EEA/UK-এ ডিফল্টে বন্ধ। Pixel নিজে Meta-র গেটওয়েতেও (Google Cloud-এ হোস্টেড) ইভেন্ট পাঠায় (USA)
  • YouTube (Google) — ব্লগের ভিডিও — শুধু আপনি প্লে চাপলে লোড হয় (privacy-enhanced nocookie মোড); পোস্টার আমাদের সার্ভার দিয়ে আসে (Global)
  • Vimeo — ব্লগের ভিডিও — শুধু আপনি প্লে চাপলে লোড হয় (USA)
  • Google Sign-In — লগইন — আপনি বাছলে তবেই (Global)
  • LinkedIn Sign-In — লগইন — আপনি বাছলে তবেই (Global)

নিরাপত্তা-ব্যবস্থা

ডেটাবেস-স্তরে লকডাউন (প্রতিটি টেবিলে RLS চালু, পাবলিক/anon অ্যাক্সেস প্রত্যাহৃত — প্রতিটি ডেটাবেস-পরিবর্তনের পর স্বয়ংক্রিয়ভাবে পুনঃপ্রয়োগ), সার্ভারে প্রতি-প্রতিষ্ঠান স্কোপড কোয়েরি, TLS-এনক্রিপশন, হ্যাশড টোকেন/OTP, রোল-ভিত্তিক অ্যাক্সেস। গ্রাহক-ডেটা পরিবর্তন করে এমন privileged অভ্যন্তরীণ কাজে নতুন OTP-যাচাই ও লিখিত কারণ বাধ্যতামূলক; গ্রাহক-ডেটা দেখাও রোল-গেটেড, আর কে কার অ্যাকাউন্ট কখন দেখেছে তা audit-লগে লেখা হয়। বিস্তারিত

রিটেনশন ও ডিলিশন

গেম/অ্যাসেসমেন্ট-ডেটা ৯০ দিন পর স্বয়ংক্রিয়ভাবে মুছে যায়; মেয়াদোত্তীর্ণ কোড ও লগ নিয়মিত মুছে যায়। যাচাইযোগ্য সনদ দীর্ঘমেয়াদী (অনুরোধে বাতিলযোগ্য)। অ্যাকাউন্ট-ডিলিশনে ৭ দিনের বাতিল-উইন্ডোসহ পূর্ণ মুছে ফেলা: /account/delete

ডেটা-সাবজেক্টের অধিকার

অংশগ্রহণকারীর প্রবেশ/সংশোধন/মুছে-ফেলার অনুরোধ প্রথমে নিয়ন্ত্রকের (প্রতিষ্ঠানের) কাছে যায়; আমরা নিয়ন্ত্রককে সহায়তা করি। ফল-SMS বন্ধের অনুরোধ সরাসরি আমাদের কাছেও করা যায়।

ঘটনা-অবহিতকরণ

অংশগ্রহণকারীর ডেটায় নিশ্চিত নিরাপত্তা-লঙ্ঘন ঘটলে আমরা অযথা বিলম্ব না করে প্রভাবিত প্রতিষ্ঠানকে জানাব, প্রভাব ও প্রতিকারসহ।

যোগাযোগ

যোগাযোগ-ফর্ম

বাংলা ও ইংরেজি পাঠে অসামঞ্জস্য হলে বাংলা পাঠ প্রাধান্য পাবে। এই চুক্তি বাংলাদেশের আইন অনুযায়ী পরিচালিত।