প্রাইভেসি পলিসি (ড্রাফট)

আমরা কারা

QRPayBD চালান Israfil। আমাদের সাথে যোগাযোগ করুন info@qrpaybd.com ঠিকানায়।

QRPayBD বাংলাদেশের অনলাইন বিক্রেতাদের ওয়ালেট পেমেন্ট কনফার্ম করতে সাহায্য করে। এটি বিক্রেতার নিজের অ্যান্ড্রয়েড ফোনে আসা পেমেন্টের এসএমএস পড়ে, সেগুলো অর্ডারের সাথে মেলায় এবং বিক্রেতার স্টোরকে জানায়। এটি টাকা নিজের কাছে রাখে না, সরায়ও না।

দোকান মালিকদের কাছ থেকে আমরা কী জমা রাখি

আপনি দোকান মালিক হিসেবে QRPayBD ব্যবহার করলে আমরা এগুলো জমা রাখি:

• আপনার অ্যাকাউন্ট: ইমেইল ঠিকানা, দোকান বা ব্যবসার নাম, আর আপনার পাসওয়ার্ড এক-মুখী হ্যাশ আকারে (আমরা আপনার পাসওয়ার্ড পড়তে পারি না)।
• গ্রাহক যাতে আপনাকে পেমেন্ট করতে পারে, সেজন্য আপনি যে পেমেন্টের তথ্য দেন: ওয়ালেট নম্বর আর নোট। এগুলো পেমেন্ট পেজে আপনার গ্রাহকদের দেখানো হয়।
• আপনার ফোন: একটা লেবেল, কানেকশনের অবস্থা, সবশেষ কখন যোগাযোগ করেছে এবং অ্যাপের ভার্সন। ফোনের অ্যাক্সেস কী শুধু হ্যাশ আকারে রাখা হয়।
• আপনার অর্ডার: টাকার অঙ্ক, আপনার নিজের অর্ডার আইডি, একটা রেফারেন্স কোড, স্ট্যাটাস, যে TrxID দিয়ে অর্ডার কনফার্ম হয়েছে, আর কখন পেইড হয়েছে।
• আপনার স্টোরের সংযোগ: API key (হ্যাশ আকারে; আলাদা চেনার জন্য শুধু একটা ছোট প্রিফিক্স রাখা হয়), আপনার webhook ঠিকানা, আর webhook সাইন করতে আমরা যে সিগনিং সিক্রেট ব্যবহার করি।
• লগ ইন সেশন: একটা সেশন টোকেন, যা আমাদের দিকে হ্যাশ আকারে রাখা হয়।

আপনার ফোন থেকে আসা পেমেন্টের মেসেজ

Collector অ্যাপ এসএমএস পাওয়া ও পড়ার অনুমতি চায়। কিছু পাঠানোর আগে ফোনেই এই নিয়মগুলো প্রয়োগ করে:

• সাধারণ ফোন নম্বর থেকে আসা মেসেজ বাদ দেয়।
• OTP, PIN, পাসওয়ার্ড বা ভেরিফিকেশন কোডের মতো দেখতে কোনো মেসেজ কখনো পাঠায় না।
• শুধু সেই মেসেজ পাঠায়, যেখানে টাকার অঙ্ক উল্লেখ আছে।
• অ্যাপ চলতে না পারার সময় যেসব মেসেজ মিস হয়েছে সেগুলো ধরতে অ্যাপ আপনার সাম্প্রতিক ইনবক্সও স্ক্যান করে: প্রথমবার শেষ 24 ঘণ্টা, আর কখনোই 7 দিনের বেশি পেছনে নয়। একই নিয়ম এখানেও খাটে।

আমাদের সার্ভারও একই নিয়ম আবার প্রয়োগ করে। যেসব মেসেজে টাকার অঙ্ক উল্লেখ আছে, শুধু সেগুলোর পুরো লেখা আমরা জমা রাখি। এর মধ্যে পেমেন্টের মেসেজ তো আছেই, আর ব্যাংক বা ওয়ালেট থেকে আসা অন্য টাকার মেসেজও থাকতে পারে, যেমন ক্যাশ-আউটের নোটিশ বা অফার। এসব লেখায় পেমেন্টদাতার ফোন নম্বর, একটা TrxID এবং আপনার ওয়ালেটের ব্যালান্স থাকতে পারে।

আমাদের কাছে পৌঁছানো অন্য যেকোনো মেসেজের ক্ষেত্রে (যেমন যেটা OTP-র মতো দেখতে, যেটাতে টাকার অঙ্ক নেই, বা যেটা সাধারণ ফোন নম্বর থেকে এসেছে) আমরা লেখাটা জমা রাখি না, শুধু একটা প্লেসহোল্ডার রাখি। আমরা OTP বা PIN জমা রাখি না।

আমরা কখনো আপনার ওয়ালেটের PIN বা পাসওয়ার্ড চাই না, আর অ্যাপও সেগুলো কখনো হাতে নেয় না।

আপনার গ্রাহকদের কাছ থেকে আমরা কী জমা রাখি

গ্রাহকদের কোনো অ্যাকাউন্ট খুলতে হয় না। পেমেন্ট পেজে দোকানের নাম, টাকার অঙ্ক আর দোকানের পেমেন্টের তথ্য দেখানো হয়। গ্রাহক একটা TrxID লেখেন, আর সেটা আমরা অর্ডারের সাথে জমা রাখি, যাতে পেমেন্টের মেসেজের সাথে মিলিয়ে দেখা যায়।

আমরা গ্রাহকের কাছে নাম, ফোন নম্বর, PIN বা পাসওয়ার্ড চাই না। দোকানের ফোনে আসা পেমেন্টের মেসেজে পেমেন্টদাতার ফোন নম্বর থাকতে পারে, আর সেই মেসেজ ওপরে বলা নিয়মে জমা রাখা হয়।

পেমেন্ট পেজে কোনো থার্ড-পার্টি স্ক্রিপ্ট বা ট্র্যাকার নেই। এই পেজ যেন সার্চ ইঞ্জিনে ইনডেক্স না হয়, সেই অনুরোধও করা আছে।

অপব্যবহার ঠেকাতে আমরা অল্প সময়ের জন্য প্রতিটি IP ঠিকানা থেকে আসা রিকোয়েস্ট গুনি। বর্তমান ভার্সনে এই গণনা সার্ভারের মেমরিতে থাকে, আমাদের ডেটাবেসে লেখা হয় না। আমাদের হোস্টিং প্রোভাইডার (Namecheap) সাধারণ সার্ভার লগ রাখতে পারে, যাতে IP ঠিকানা থাকে। সেই লগ কতদিন রাখা হবে তা হোস্টিং প্রদানকারী ঠিক করে, আমরা নয়।

কুকি ও ব্রাউজার স্টোরেজ

ড্যাশবোর্ড আপনার লগ ইন টোকেন আপনার ব্রাউজারের লোকাল স্টোরেজে রাখে। আমরা বিজ্ঞাপনের কুকি ব্যবহার করি না।

পেমেন্ট পেজ আপনার ব্রাউজারে ভাষার পছন্দ মনে রাখতে পারে (কুকি বা লোকাল স্টোরেজে)। এই ওয়েবসাইটে আমরা অ্যানালিটিক্স, বিজ্ঞাপন বা ট্র্যাকিং স্ক্রিপ্ট ব্যবহার করি না।

এই ডেটা কেন ব্যবহার করি

সেবা চালানোর জন্য: আপনার অ্যাকাউন্ট তৈরি করা, ফোন পেয়ার করা, পেমেন্ট অর্ডারের সাথে মেলানো, আপনার ড্যাশবোর্ড দেখানো, আপনার স্টোরে webhook পাঠানো, আর সেবাকে অপব্যবহার থেকে নিরাপদ রাখা।

কার সাথে শেয়ার করি

আমরা আপনার ডেটা বিক্রি করি না। অর্ডারের তথ্য আপনার নিজের স্টোরে যায়, আপনার দেওয়া webhook ঠিকানার মাধ্যমে। সেবা চালাতে আমরা একটা হোস্টিং প্রোভাইডার (Namecheap) ব্যবহার করি। আমরা আপনার ডেটা বিকাশ, নগদ, উপায়, রকেট বা কোনো ব্যাংকের কাছে পাঠাই না, আর তাদের সাথে আমাদের কোনো সংশ্লিষ্টতাও নেই। আমরা আপনার ডেটা বিক্রি করি না এবং বিজ্ঞাপনের কাজেও ব্যবহার করি না।

কত দিন রাখি, আর কীভাবে মুছবেন

বর্তমান ভার্সনে কোনো অটোমেটিক মুছে ফেলা নেই, আর নিজে থেকে অ্যাকাউন্ট মুছে ফেলার সুবিধাও নেই। ড্যাশবোর্ডে একটা ফোন সরিয়ে দিলে সেটা আর মেসেজ পাঠাতে পারে না, আর একটা API key বাতিল করলে সেই key কাজ করা বন্ধ করে, কিন্তু আগের অর্ডার ও মেসেজের রেকর্ড আপনার অ্যাকাউন্টে থেকে যায়।

আপনার অ্যাকাউন্ট ও রেকর্ড মুছে ফেলতে, বা আমরা আপনার সম্পর্কে কী রেখেছি জানতে, ইমেইল করুন info@qrpaybd.com ঠিকানায়। এখনকার জন্য আপনার অ্যাকাউন্ট থাকা পর্যন্ত আমরা অ্যাকাউন্ট ও পেমেন্টের রেকর্ড রাখি এবং কিছুই স্বয়ংক্রিয়ভাবে মুছে যায় না। ডেটাবেস ব্যাকআপ সীমিত সময় (বর্তমানে ১৪ দিন) রাখা হয়।

কীভাবে সুরক্ষিত রাখি

পাসওয়ার্ড, API key, ফোনের key আর সেশন টোকেন হ্যাশ আকারে রাখা হয়। Collector অ্যাপ আমাদের সার্ভারের সাথে HTTPS দিয়ে কথা বলে। অ্যাপ তার key ফোনের এনক্রিপ্টেড স্টোরেজে রাখে। Webhook সাইন করা হয়। কোনো সিস্টেমই পুরোপুরি নিরাপদ নয়, আর আমরাও সেটা নিশ্চিত করে বলতে পারি না।

আপনি যা করতে পারেন

আপনার ডেটা দেখতে, ঠিক করতে বা মুছতে চাইলে ইমেইল করুন info@qrpaybd.com ঠিকানায়। আপনি যেকোনো সময় Collector অ্যাপ আনইনস্টল করতে পারেন, বা ড্যাশবোর্ড থেকে ফোনটা সরিয়ে দিতে পারেন। আপনার অধিকারের ক্ষেত্রে কোন আইন প্রযোজ্য, সেটা নির্ভর করে আপনি আর আমরা কোথায় আছি তার ওপর। আমরা বাংলাদেশের আইন অনুসারে কাজ করি।

পরিবর্তন ও যোগাযোগ

এই পলিসি বদলালে আমরা ওপরের তারিখ হালনাগাদ করব। প্রশ্ন থাকলে: info@qrpaybd.com।