নিরাপত্তা ও দায়িত্বশীল প্রকাশ

১. সংক্ষেপে

আমরা বহুস্তরের নিরাপত্তা ব্যবস্থা ব্যবহার করি, যার মধ্যে আছে HTTPS, শক্তিশালী পাসওয়ার্ড হ্যাশিং, হ্যাশ করা API key, কর্মীদের ভূমিকাভিত্তিক অ্যাক্সেস ও অডিট লগ। কোনো সিস্টেমই সম্পূর্ণ নিরাপদ নয়।
শক্তিশালী পাসওয়ার্ড ব্যবহার করে, API key গোপন রেখে এবং IP allowlist ব্যবহার করে আপনি আপনার অ্যাকাউন্ট সুরক্ষিত রাখতে সাহায্য করতে পারেন।
কোনো নিরাপত্তা দুর্বলতা পেলে অনুগ্রহ করে গোপনে আমাদের জানান, এবং প্রকাশের আগে তা ঠিক করার জন্য আমাদের যুক্তিসংগত সময় দিন।
শুধু নিজের অ্যাকাউন্টে পরীক্ষা করুন। অন্যের তথ্যে প্রবেশ করবেন না, সেবা বিঘ্নিত করবেন না, বা তৃতীয় পক্ষকে SMS পাঠাবেন না।
বর্তমানে আমরা কোনো বাগ বাউন্টি অর্থ প্রদান করি না।

২. আমরা কীভাবে প্ল্যাটফর্ম সুরক্ষিত রাখি

আমাদের নিরাপত্তা ব্যবস্থার মধ্যে রয়েছে:

স্থানান্তরের সময় এনক্রিপশন: ওয়েবসাইট, ড্যাশবোর্ড ও API HTTPS-এর মাধ্যমে চলে।
পাসওয়ার্ড: শুধু Argon2 হ্যাশ আকারে সংরক্ষিত।
কোড ও key: ওয়ান-টাইম কোড (OTP) ও API key শুধু হ্যাশ আকারে সংরক্ষিত। API key তৈরির সময় শুধু একবার দেখানো হয়।
এনক্রিপ্ট করা গোপন তথ্য: সংবেদনশীল সংরক্ষিত মান, যেমন SMS প্রোভাইডারের ক্রেডেনশিয়াল ও ইমেইল জবের তথ্য, এনক্রিপ্ট করা থাকে।
সেশন: সেশন cookie HttpOnly ও Secure, এবং নির্দিষ্ট সময় নিষ্ক্রিয় থাকলে সেশনের মেয়াদ শেষ হয়।
কর্মীদের অ্যাক্সেস: ন্যূনতম প্রয়োজনীয় অধিকারের ভিত্তিতে ভূমিকাভিত্তিক অ্যাক্সেস। পরিচয় নথি দেখতে আলাদা অনুমতি লাগে, এবং প্রতিটি দেখা লগ করা হয়।
অডিট লগ: গ্রাহক ও কর্মীদের গুরুত্বপূর্ণ কার্যক্রম শুধু-সংযোজনযোগ্য লগে রেকর্ড করা হয়।
অপব্যবহার প্রতিরোধ: রেট লিমিট, CAPTCHA, কনটেন্ট ও লিংক যাচাই এবং ঝুঁকি পর্যবেক্ষণ।
ব্যক্তিগত নথি: KYC ও ব্যবসায়িক নথির কোনো পাবলিক লিংক নেই; এগুলো শুধু স্বল্পমেয়াদি স্বাক্ষরিত লিংকের মাধ্যমে খোলে।
স্বাক্ষরিত webhook: আমরা আপনাকে যে webhook অনুরোধ পাঠাই তা স্বাক্ষরিত, ফলে আপনি যাচাই করতে পারেন যে সেগুলো আমাদের কাছ থেকেই এসেছে।

তথ্য স্থানান্তর বা সংরক্ষণের কোনো পদ্ধতিই সম্পূর্ণ নিরাপদ নয়, এবং অননুমোদিতভাবে তথ্যে প্রবেশ, প্রকাশ বা পরিবর্তন কখনো ঘটবে না, এমন নিশ্চয়তা আমরা দিতে পারি না। আমরা ব্যক্তিগত তথ্য কীভাবে পরিচালনা করি তা আমাদের গোপনীয়তা নীতিতে ব্যাখ্যা করা আছে।

৩. কীভাবে আপনার অ্যাকাউন্ট সুরক্ষিত রাখবেন

শক্তিশালী ও আলাদা পাসওয়ার্ড ব্যবহার করুন, যা অন্য কোনো ওয়েবসাইটে ব্যবহার করেন না।
API key গোপন রাখুন। এগুলো কখনো ওয়েবসাইট, মোবাইল অ্যাপ, পাবলিক কোড রিপোজিটরি বা বার্তায় রাখবেন না। শুধু আপনার সার্ভারে সংরক্ষণ করুন।
API key-তে IP allowlist ব্যবহার করুন, যাতে key শুধু আপনার নিজস্ব সার্ভার থেকে কাজ করে।
অপ্রয়োজনীয় বা ফাঁস হয়ে থাকতে পারে এমন key বাতিল করুন এবং নতুন key তৈরি করুন।
webhook-এর তথ্যে ভরসা করার আগে স্বাক্ষর যাচাই করুন।
শেয়ার করা ডিভাইসে সাইন-আউট করুন।
ফিশিং থেকে সাবধান থাকুন। SMSGELY কখনো আপনার পাসওয়ার্ড, OTP, API key, বা bKash, Nagad অথবা Rocket-এর PIN চাইবে না।
আপনার অ্যাকাউন্টের কার্যক্রম দেখুন, এবং অপ্রত্যাশিত কিছু চোখে পড়লে সঙ্গে সঙ্গে Support-এ যোগাযোগ করুন।

৪. দুর্বলতা রিপোর্ট করা

SMSGELY-তে কোনো নিরাপত্তা দুর্বলতা পেয়েছেন বলে মনে হলে, অনুগ্রহ করে এই পেজে দেখানো নিরাপত্তা যোগাযোগে তা জানান। কোনো যোগাযোগ দেখানো না থাকলে আমাদের যোগাযোগ পেজ বা আপনার ড্যাশবোর্ডের Support ব্যবহার করুন, এবং উল্লেখ করুন যে এটি একটি নিরাপত্তা রিপোর্ট।

অনুগ্রহ করে অন্তর্ভুক্ত করুন:

দুর্বলতার বিবরণ ও এর সম্ভাব্য প্রভাব;
প্রভাবিত URL, API endpoint বা ফিচার;
পুনরায় ঘটানোর স্পষ্ট ধাপ, প্রয়োজনীয় proof-of-concept, স্ক্রিনশট বা অনুরোধসহ;
আপনার পরীক্ষার তারিখ ও সময়, এবং ব্যবহৃত কোনো টেস্ট অ্যাকাউন্ট; এবং
আমরা কীভাবে আপনার সঙ্গে যোগাযোগ করতে পারি।

রিপোর্টে অন্য কারও ব্যক্তিগত তথ্য দেবেন না। সমস্যাটির সমাধান না হওয়া পর্যন্ত বিস্তারিত গোপন রাখুন।

SMSGELY-র মাধ্যমে পাঠানো স্প্যাম, ফিশিং বা প্রতারণামূলক বার্তা আমাদের প্ল্যাটফর্মের নিরাপত্তা দুর্বলতা নয়; এগুলো জানাতে আমাদের অপব্যবহার রিপোর্ট পেজ ব্যবহার করুন। আমাদের অপব্যবহার রিপোর্টিং নীতি দেখুন।

৫. আমাদের অঙ্গীকার

আপনি সরল বিশ্বাসে কোনো দুর্বলতা রিপোর্ট করলে এবং এই নীতি মেনে চললে, আমরা:

আপনার রিপোর্ট পাওয়ার কথা জানাব;
এটি তদন্ত করব এবং গুরুত্ব অনুযায়ী যুক্তিসংগত সময়ের মধ্যে নিশ্চিত সমস্যাগুলো সমাধানের কাজ করব;
যেখানে সম্ভব, আমাদের অগ্রগতি সম্পর্কে আপনাকে জানাব; এবং
আপনার অনুমতি নিয়ে, সমস্যা সমাধানের পর প্রকাশ্যে আপনাকে ধন্যবাদ জানাব।

অনুচ্ছেদ ৬-এর নিয়ম মেনে সরল বিশ্বাসে করা নিরাপত্তা গবেষণার জন্য আমরা আপনার বিরুদ্ধে আইনগত ব্যবস্থা নেব না। যে কার্যক্রম এই নিয়ম ভাঙে, আমাদের গ্রাহক বা সেবার ক্ষতি করে, অথবা আইন ভঙ্গ করে, তা এর আওতায় পড়ে না; এবং আমাদের হোস্টিং বা SMS প্রোভাইডারের মতো তৃতীয় পক্ষের পক্ষে আমরা কোনো প্রতিশ্রুতি দিতে পারি না।

৬. নিরাপত্তা গবেষণার নিয়ম

পরীক্ষার সময় আপনাকে অবশ্যই:

শুধু নিজের অ্যাকাউন্ট ব্যবহার করতে হবে, এবং কখনো অন্য গ্রাহকের তথ্যে প্রবেশ, পরিবর্তন বা মুছে ফেলা যাবে না;
ব্যক্তিগত তথ্য বা অন্য গ্রাহকের তথ্য সামনে এলে সঙ্গে সঙ্গে থেমে আমাদের জানাতে হবে, এবং তা রাখা, কপি করা বা শেয়ার করা যাবে না;
ধ্বংসাত্মক পরীক্ষা চালানো যাবে না, বা এমন পরীক্ষা যা তথ্যের ক্ষতি করতে পারে অথবা সেবার মান কমাতে পারে;
denial-of-service বা লোড টেস্টিং করা যাবে না;
সেবার ওপর স্বয়ংক্রিয় উচ্চমাত্রার স্ক্যানিং চালানো যাবে না;
brute force বা credential stuffing-এর চেষ্টা করা যাবে না;
আমাদের কর্মী বা গ্রাহকদের ওপর সোশ্যাল ইঞ্জিনিয়ারিং বা ফিশিং করা যাবে না;
আমাদের অফিস, কর্মী বা প্রোভাইডারের ওপর কোনো শারীরিক আক্রমণের চেষ্টা করা যাবে না;
স্প্যাম বা তৃতীয় পক্ষকে SMS পাঠানো যাবে না, বা নিজের টেস্ট নম্বর ছাড়া অন্য কাউকে বার্তা পাঠাতে সেবা ব্যবহার করা যাবে না; এবং
প্রকাশ্যে জানানোর আগে সমস্যা সমাধানের জন্য আমাদের যুক্তিসংগত সময় দিতে হবে, এবং প্রকাশের সময় আমাদের সঙ্গে ঠিক করে নিতে হবে।

আপনাকে সকল প্রযোজ্য আইনও মেনে চলতে হবে।

৭. আওতার বাইরে

বাস্তব নিরাপত্তা প্রভাব দেখাতে না পারলে, নিচের বিষয়গুলো সাধারণত আওতার বাইরে:

প্রমাণিত প্রভাব ছাড়া নিরাপত্তা header বা best-practice সেটিংয়ের অনুপস্থিতি;
self-XSS, অথবা এমন সমস্যা যেখানে ভুক্তভোগীকে নিজের ব্রাউজারে কোড পেস্ট করতে হয়;
সংবেদনশীল নয় এমন endpoint-এ রেট লিমিট সংক্রান্ত সমস্যা;
কার্যকর দুর্বলতার প্রমাণ ছাড়া স্বয়ংক্রিয় স্ক্যানারের রিপোর্ট;
সংবেদনশীল কোনো কাজ নেই এমন পেজে clickjacking;
এমন সমস্যা যার জন্য আক্রান্ত ডিভাইস বা ব্যবহারকারীর ডিভাইসে শারীরিক প্রবেশাধিকার লাগে;
আমাদের ব্যবহৃত তৃতীয় পক্ষের সেবার দুর্বলতা, যা সংশ্লিষ্ট প্রোভাইডারকে জানানো উচিত; এবং
SMSGELY-র মাধ্যমে পাঠানো স্প্যাম বা ফিশিং বার্তা (অনুগ্রহ করে অপব্যবহার রিপোর্ট ব্যবহার করুন)।

৮. বাগ বাউন্টি নেই

বর্তমানে দুর্বলতা রিপোর্টের জন্য আমরা কোনো অর্থ বা পুরস্কার দিই না। কোনো দুর্বলতা রিপোর্ট করলে কোনো চুক্তি তৈরি হয় না এবং আপনি কোনো অর্থ পাওয়ার অধিকারী হন না।

৯. নিরাপত্তা ঘটনা

ব্যক্তিগত তথ্যকে প্রভাবিত করে এমন কোনো নিরাপত্তা ঘটনা সম্পর্কে জানতে পারলে আমরা তা তদন্ত করব, নিয়ন্ত্রণে আনব, পুনরাবৃত্তি ঠেকাতে পদক্ষেপ নেব, এবং প্রযোজ্য আইন অনুযায়ী প্রয়োজন হলে ক্ষতিগ্রস্ত গ্রাহক ও সংশ্লিষ্ট কর্তৃপক্ষকে জানাব।

১০. এই নীতির পরিবর্তন

এই নীতির প্রতিটি সংস্করণের একটি সংস্করণ নম্বর ও কার্যকর হওয়ার তারিখ থাকে, যা এই পেজে দেখানো হয়।

এই নীতি ইংরেজি ও বাংলায় প্রকাশিত। দুই সংস্করণের মধ্যে অসংগতি থাকলে, আইনগত পর্যালোচনার পর SMSGELY যে সংস্করণ নির্ধারণ করবে সেটি প্রযোজ্য হবে।

১১. গুরুত্বপূর্ণ নোটিশ

SMSGELY মেসেজিং অবকাঠামো ও সংশ্লিষ্ট প্রযুক্তি সেবা প্রদান করে। বার্তার বিষয়বস্তু, প্রাপকের তালিকা, প্রাপকের সম্মতি, প্রেরকের পরিচয় ও অনুমোদন, ক্যাম্পেইনের বৈধতা, প্রযোজ্য মার্কেটিং, টেলিকম ও ডেটা সুরক্ষা সংক্রান্ত বাধ্যবাধকতা এবং সকল প্রযোজ্য আইন মেনে চলার দায়িত্ব গ্রাহকের।

SMSGELY তার সেবার কোনো বেআইনি ব্যবহার অনুমোদন করে না। SMSGELY প্রযোজ্য আইন, বিধিবিধান, টেলিকম প্রোভাইডারের শর্ত এবং চুক্তিগত বিধিনিষেধ সাপেক্ষে পরিচালিত হয়।