অধ্যায় ১২.৩ — ডেটা সুরক্ষা
১. উদ্দেশ্য
travoBooks বহু-জুরিসডিকশনাল ডেটা সুরক্ষা আইনের অধীনে — প্ল্যাটফর্ম বিশ্বব্যাপী সবচেয়ে কঠোর প্রয়োজনীয়তা প্রয়োগ করে।
২. প্রযোজ্য আইন
| আইন | জুরিসডিকশন |
|---|---|
| GDPR | EU |
| UK GDPR | UK |
| DPDPA | ভারত |
| PDPA | সিঙ্গাপুর |
| CCPA / CPRA | ক্যালিফোর্নিয়া |
| LGPD | ব্রাজিল |
| POPIA | দক্ষিণ আফ্রিকা |
| ICT Act 2006 + Digital Security Act | বাংলাদেশ |
৩. PII টিয়ার
| টিয়ার | উদাহরণ | চিকিৎসা |
|---|---|---|
| Tier 1 (Basic) | নাম, ইমেইল, ফোন | encryption at rest |
| Tier 2 (Sensitive) | DOB, address, gender | + access logging |
| Tier 3 (Travel doc) | passport, visa | + আলাদা KMS key + secondary auth |
| Tier 4 (Payment) | card PAN, CVV | কখনো store করা হয় না — tokenised |
| Tier 5 (Special) | health, religion, biometric | explicit consent প্রয়োজন |
৪. ডেটা processing principles
GDPR Article 5 (এবং সমতুল্য): - Lawfulness, fairness, transparency - Purpose limitation - Data minimisation - Accuracy - Storage limitation - Integrity and confidentiality - Accountability
৫. Lawful basis
প্রতিটি processing operation এর একটি lawful basis থাকতে হবে: - Contract (booking fulfilment) - Legal obligation (tax retention) - Vital interest (emergency) - Public task (rare) - Legitimate interest (analytics, with balancing test) - Consent (marketing)
৬. Data Subject Rights (DSR)
| Right | কী |
|---|---|
| Access | তাদের ডেটা copy দেওয়া |
| Rectification | ভুল সংশোধন |
| Erasure | "right to be forgotten" |
| Restriction | processing স্থগিত |
| Portability | machine-readable format-এ ডেটা |
| Object | processing প্রত্যাখ্যান |
| Automated decision-making | human review |
travoBooks-এ DSR handling: - Portal: in-app request submission - SLA: 30 দিনের মধ্যে রেসপন্স - Identity verification আগে actioning - Financial records retention exception (regulatory) — anonymisation নয়, deletion
৭. Erasure বনাম Anonymisation
Financial records: legally retained 7-10 years। True deletion সম্ভব নয়।
Solution: anonymisation: - নাম → "Customer XXXX" - ইমেইল → null - ফোন → null - DOB → year only - ID documents → encrypted blob, key destroyed
Financial integrity preserved; PII protected।
৮. Cross-border transfer
EU → non-EU transfer: Standard Contractual Clauses (SCCs), adequacy decision, বা explicit consent।
বাংলাদেশ partner: travoBooks-এর host region (যেমন AWS Singapore) থেকে data residency consideration।
৯. লঙ্ঘন প্রতিক্রিয়া
GDPR Article 33: ৭২ ঘণ্টার মধ্যে supervisory authority-কে নোটিফাই (যদি high risk)। DPDPA: similar।
travoBooks playbook: 1. Detection (audit log, alert) 2. Containment (affected accounts lock) 3. Assessment (scope, impact) 4. Notification (DPA, affected data subjects) 5. Remediation 6. Post-incident review
১০. Privacy by Design
- Default-on encryption
- Minimal data collection
- Granular permissions
- Audit everything
- Sensitive data masking in logs
১১. Vendor management
Third-party processors (sub-processors): - Written contract (Data Processing Agreement) - DPA terms align with GDPR Article 28 - Sub-processor list maintained publicly - ৩০-দিন notice for new sub-processors
১২. Audit ও certification
- ISO 27001 (information security)
- SOC 2 Type II (annual)
- GDPR compliance audit (annual)
১৩. সাধারণ ফাঁদ
- ⚠️ ৭২-ঘণ্টা breach notification বাইপাস — fine up to 4% of global turnover
- ⚠️ Payment card PAN store — PCI-DSS violation
- ⚠️ DSR ignore — regulatory complaint
- ⚠️ Cross-border transfer ছাড়া SCCs — illegal
- ⚠️ Hard delete financial records — তাদের retention legally required