চারটি অঙ্গীকার। প্রথম দিন থেকেই প্ল্যাটফর্মে গাঁথা।
Cogneris-এ নিরাপত্তা শেষে জুড়ে দেওয়া কোনো তালিকা নয়। এই চারটি নীতি প্রতিটি কোড পথে, প্রতিটি স্থাপনায়, প্রতিটি গ্রাহক সংযুক্তিতে গাঁথা।
প্ল্যাটফর্মের এনক্রিপশন নিয়ন্ত্রণ
যেখানে সেবা ও ওয়ার্কফ্লো সেভাবে কনফিগার করা, সেখানে Cogneris প্ল্যাটফর্ম সঞ্চালনে TLS আর বিশ্রামে AES-256-GCM এনক্রিপশন সমর্থন করে, যার প্রতি- tenant কি Google Cloud KMS-এ পরিচালিত হয়। গ্রাহক-পরিচালিত কি রোডম্যাপের সক্ষমতা।
কঠোর tenant পৃথকীকরণ
API অনুরোধ ডেটাবেস স্তরেই একটি tenant -এ সীমাবদ্ধ থাকে, tenant -সচেতন অনুমোদন ও কোয়েরির সীমাসহ। নিবেদিত কম্পিউট আর একক- tenant VPC স্থাপনা রোডম্যাপের সক্ষমতা, যদি না কোনো স্বাক্ষরিত স্থাপনার পরিধিতে স্পষ্টভাবে অন্তর্ভুক্ত থাকে।
ন্যূনতম-অধিকারের প্রবেশ
ভূমিকা-ভিত্তিক প্রবেশ নিয়ন্ত্রণ। প্রতিটি কর্মীর অ্যাকাউন্টে MFA বাধ্যতামূলক। উৎপাদনে প্রবেশ দ্বৈত-অনুমোদনের প্রবাহে চলে, অনুমতির মেয়াদ বাঁধা আর অডিট লগ থাকে। গ্রাহকের নথির বিষয়বস্তুতে প্রকৌশলীর প্রবেশের জন্য নথিভুক্ত ব্যবসায়িক কারণ আর পর্যালোচকের অনুমোদন লাগে।
কনফিগারযোগ্য অডিট মেটাডেটা
সমর্থিত ওয়ার্কফ্লো সময়-চিহ্ন, অনুরোধকারীর পরিচয়, মডেল সংস্করণ, আর প্রম্পট ও উত্তরের হ্যাশসহ কারচুপি-শনাক্তযোগ্য মেটাডেটা লিপিবদ্ধ করতে পারে। পরিধি, রপ্তানি ও সংরক্ষণ নির্ভর করে কনফিগার করা সেবা, tenant আর চুক্তির উপর।
আপনার নথি কোথায় থাকে, আর কতদিন।
প্রতিটি ধাপ নিয়ে আমরা স্পষ্ট। কোনো চমক দেওয়া সংরক্ষণ নেই, কোনো অস্বচ্ছ ভাণ্ডার নেই। ডিফল্ট রক্ষণশীল; সবকিছুই চুক্তি অনুযায়ী কনফিগারযোগ্য।
গ্রহণ
আপনার এন্ডপয়েন্ট থেকে আমাদের API পর্যন্ত TLS 1.3। নথির বাইট কখনোই প্রবেশ লগে রাখা হয় না। অনুরোধের মেটাডেটা নথির বিষয়বস্তু ছাড়াই লিপিবদ্ধ হয়।
প্রক্রিয়াকরণ
নিষ্কাশন কেবল অনুমানের সময়েই স্মৃতিতে চলে। কোনো নথির ডেটা tenant -এর সীমা পেরোয় না। উপ-প্রক্রিয়াকারী LLM কল প্রতি tenant কনফিগারযোগ্য — LLM ছাড়া ওয়ার্কফ্লোসহ।
সংরক্ষণ
যেখানে কনফিগার করা, প্ল্যাটফর্ম প্রতি- tenant কি দিয়ে বিশ্রামে এনক্রিপশন সমর্থন করে। ডেটা-সংরক্ষণের মেয়াদ tenant স্তরে কনফিগারযোগ্য ও চুক্তি অনুযায়ী নির্দিষ্ট, সেসব ওয়ার্কফ্লোসহ যারা প্রক্রিয়াকরণের পরে উৎস নথি ও নিষ্কাশিত বিষয়বস্তু ফেলে দেয়।
মুছে ফেলা
সংরক্ষণকাল শেষ হলেই স্থায়ীভাবে মুছে ফেলা। 30 দিনের সফট-ডিলিট জানালা দুর্ঘটনাজনিত ক্ষতি ঠেকায়; অনুরোধ করলে আমরা সঙ্গে সঙ্গে স্থায়ীভাবে মুছি। অডিট মেটাডেটা আপনার চুক্তি অনুযায়ী রাখা হয়।
অডিট রপ্তানি
কনফিগার করা ওয়ার্কফ্লো প্রম্পট ও উত্তরের হ্যাশ, মডেল সংস্করণ, পর্যালোচকের পরিচয় আর সময়-চিহ্নসহ কারচুপি-শনাক্তযোগ্য মেটাডেটা তৈরি করতে পারে। সংরক্ষণকাল tenant স্তরে কনফিগারযোগ্য ও চুক্তি অনুযায়ী নির্দিষ্ট।
বিষয়ের অনুরোধ
প্রক্রিয়াকারী হিসেবে Cogneris ডেটা বিষয়ের অনুরোধ (GDPR বা CCPA-র অধীনে প্রবেশাধিকার, মুছে ফেলা, বহনযোগ্যতা) নিয়ন্ত্রকের কাছে — অর্থাৎ আপনার কাছে — পাঠিয়ে দেয়। আমরা সরঞ্জাম আর পূরণের জন্য 30 দিনের SLA দিই।
নিয়ন্ত্রিত শিল্পের সঙ্গে কাজ।
প্রতিটি কাঠামোয় আমরা কোথায় আছি সে বিষয়ে স্বচ্ছ। যেখানে অডিট চলছে, বলি। যেখানে চলছে না, সেটিও বলি। ট্রাস্ট প্যাকেট — DPA, নিরাপত্তা প্রশ্নমালার উত্তর ও চলতি অডিট প্রতিবেদনসহ — অনুরোধে পাওয়া যায়।
GDPR — আমাদের EU গ্রাহকদের জন্য
Cogneris GDPR-এর অনুচ্ছেদ 28 অনুযায়ী ডেটা প্রক্রিয়াকারী হিসেবে কাজ করে। আমাদের আদর্শ ডেটা প্রক্রিয়াকরণ সংযোজনী EEA-র বাইরে স্থানান্তরের জন্য EU স্ট্যান্ডার্ড কন্ট্রাকচুয়াল ক্লজ অন্তর্ভুক্ত করে আর প্রতিটি উপ-প্রক্রিয়াকারীকে সমমানের শর্তে বাঁধে। DPA স্বাক্ষরে legal@cogneris.ai।
CCPA / CPRA — আমাদের ক্যালিফোর্নিয়ার গ্রাহকদের জন্য
Cogneris CCPA §1798.140(ag) অনুযায়ী একটি সেবা প্রদানকারী। আমরা ব্যক্তিগত তথ্য বিক্রিও করি না, ভাগও করি না। ডেটা বিষয়ের অনুরোধ (জানার, মুছে ফেলার, সংশোধনের, ভাগ করা থেকে বিরত রাখার অধিকার) নিয়ন্ত্রকের কাছে পাঠানো হয়; আমাদের SLA প্রাপ্তির 30 দিন।
SOC 2 Type II — আমাদের এন্টারপ্রাইজ গ্রাহকদের জন্য
আমাদের Type II অডিট এখন চলছে। লক্ষ্য প্রতিবেদনের তারিখ, অডিটের অগ্রগতি আর আমাদের বর্তমান Type I প্রতিবেদন NDA-র অধীনে পাওয়া যায় — security@cogneris.ai-তে ইমেল করুন।
HIPAA — স্বাস্থ্যসেবা প্রবাহের জন্য
ব্যবসায়িক সহযোগী চুক্তি Enterprise চুক্তিতে পাওয়া যায়। PHI সামলানো প্রতি ওয়ার্কফ্লোয় কনফিগারযোগ্য — সংরক্ষণ-বিহীন মোড আর অডিট মেটাডেটায় PHI-সচেতন মোছাসহ।
Cogneris-এর পেছনের অবকাঠামো।
গ্রাহকের ডেটা সামলায় এমন প্রতিটি উপ-প্রক্রিয়াকারীকে আমরা তালিকাভুক্ত করি — তারা কী করে আর কোথায় কাজ করে। যেকোনো সংযোজন বা পরিবর্তনের আগে গ্রাহকরা অন্তত 30 দিনের নোটিশ পান, DPA-র অধীনে আপত্তির অধিকারসহ।
| উপ-প্রক্রিয়াকারী | উদ্দেশ্য | অঞ্চল | প্রবেশযোগ্য ডেটা |
|---|---|---|---|
| Google Cloud Platform | ক্লাউড হোস্টিং, Cloud Run, Cloud SQL, GCS অবজেক্ট স্টোরেজ, KMS, Secret Manager | EU-অঞ্চলের tenant -এর জন্য EU (europe-west1); US-অঞ্চলের tenant , অ-উৎপাদন পরিবেশ ও যৌথ প্রশাসনিক প্রক্রিয়াকরণের জন্য US (us-central1) | নথি, নিষ্কাশন, অ্যাকাউন্টের মেটাডেটা, লগ, গোপন কি |
| Google Cloud Vertex AI | AI অনুমান, নথি নিষ্কাশন, শ্রেণিবিন্যাস | tenant ও মডেল কনফিগারেশন অনুযায়ী EU বা US | অনুমানের সময় নথির বিষয়বস্তু, প্রম্পট, নিষ্কাশিত ফিল্ড |
| Amazon Web Services | পরিচয় যাচাইয়ের জন্য বায়োমেট্রিক মুখ তুলনা (Amazon Rekognition CompareFaces) | EU অঞ্চলের tenant-এর জন্য EU (eu-west-1); US অঞ্চলের tenant-এর জন্য US (us-east-1) | তুলনার জন্য পাঠানো সেলফি ও পরিচয়পত্রের প্রতিকৃতি; নথির অন্য কোনো বিষয়বস্তু কখনোই নয় |
| OpenAI | AI অনুমান, নথি নিষ্কাশন, নথি প্রশ্নোত্তর | US | অনুমানের সময় নথির বিষয়বস্তু, প্রম্পট, নিষ্কাশিত ফিল্ড |
| Anthropic | AI অনুমান, নথি প্রশ্নোত্তর, এজেন্টিক ওয়ার্কফ্লো | US | অনুমানের সময় নথির বিষয়বস্তু, প্রম্পট, নিষ্কাশিত ফিল্ড |
| New Relic | পর্যবেক্ষণযোগ্যতা: অ্যাপ্লিকেশন কর্মক্ষমতা নজরদারি, লগ, মেট্রিক, ট্রেস আর ব্রাউজার নজরদারি | US | পরিচালন টেলিমেট্রি, স্ট্যাক ট্রেস, অনুরোধ ও ডেটাবেসের মেটাডেটা, আর বিশ্লেষণে সম্মতি দেওয়া প্রান্ত-ব্যবহারকারীদের IP ঠিকানা ও ব্রাউজার টেলিমেট্রি; নথির মূল অংশ পাঠানোর আগেই সরিয়ে ফেলা হয় |
| Fingerprint | লগইন জালিয়াতি শনাক্তকরণ আর অ্যাকাউন্ট দখল ঠেকাতে ডিভাইস ইন্টেলিজেন্স | US | ব্রাউজার ও ডিভাইসের বৈশিষ্ট্য, IP ঠিকানা, আর একটি স্থায়ী দর্শক শনাক্তকারী; নথির বিষয়বস্তু কখনোই নয় |
| Google reCAPTCHA | সাইন-ইন ও সাইন-আপে বট ও অপব্যবহারের প্রতিরোধ | US | প্রমাণীকরণ পৃষ্ঠায় IP ঠিকানা, ব্রাউজারের বৈশিষ্ট্য আর মিথস্ক্রিয়ার সংকেত; নথির বিষয়বস্তু কখনোই নয় |
| Stripe | পরিশোধ প্রক্রিয়াকরণ, বিলিং, চালান | US | বিলিং যোগাযোগ, পরিশোধ টোকেন, চালানের মেটাডেটা; নথির বিষয়বস্তু কখনোই নয় |
| Twilio SendGrid | লেনদেনমূলক ইমেল ও ইমেল বিজ্ঞপ্তি | US | ইমেল ঠিকানা, বার্তার মেটাডেটা, লেনদেনের বিষয়বস্তু; গ্রাহকের নথি কখনোই নয় |
| Twilio | SMS, WhatsApp, MFA ও বিজ্ঞপ্তি | US | ফোন নম্বর, বার্তার মেটাডেটা, লেনদেনের বিষয়বস্তু; গ্রাহকের নথি কখনোই নয় |
| ipapi.co | প্রমাণীকরণ নিরাপত্তা নিরীক্ষার জন্য IP ভূ-অবস্থান অনুসন্ধান | নিশ্চিত নয়; সরবরাহকারীর প্রমাণের অপেক্ষায় | IP ঠিকানা; SSO ভূ-অবস্থানের উত্তরটি বাতিল করে এবং ফেরত পাওয়া দেশ, দেশের কোড বা শহরের ক্ষেত্র সংরক্ষণ করে না |
উপ-প্রক্রিয়াকারী পরিবর্তনের বিজ্ঞপ্তি-তে সাবস্ক্রাইব করুন আর যেকোনো পরিবর্তনের 30 দিন আগে হালনাগাদ পান। পরিকল্পিত ব্যক্তিগত VPC ও গ্রাহক-পরিচালিত-কি সক্ষমতার জন্য ব্যক্তিগত ক্লাউড রোডম্যাপ দেখুন।
কিছু ভুল হলে, গ্রাহকরাই সবার আগে আমাদের কাছে শোনেন।
আমরা একটি নথিভুক্ত ঘটনা প্রতিক্রিয়া পরিকল্পনা রাখি, যেখানে ভূমিকা, উত্থাপনের পথ আর গ্রাহক যোগাযোগের অঙ্গীকার নির্ধারিত। যে প্রধান সংখ্যাগুলোয় আমরা নিজেদের বাঁধি:
≤ 1 ঘণ্টা
নিশ্চিত হওয়া সতর্কবার্তা থেকে ঘটনা-প্রধান নিয়োগ, তীব্রতার শ্রেণিবিন্যাস আর গ্রাহক-প্রভাব মূল্যায়ন শুরু পর্যন্ত।
≤ 48 ঘণ্টা
গ্রাহকের ডেটা ছুঁয়েছে এমন নিশ্চিত ব্যক্তিগত-ডেটা লঙ্ঘনের ক্ষেত্রে: নিশ্চিত হওয়ার 48 ঘণ্টার মধ্যে ক্ষতিগ্রস্ত গ্রাহকদের জানানো, এমনভাবে সাজানো যাতে আপনি নিজের GDPR অনুচ্ছেদ 33-এর 72 ঘণ্টার সময়সীমা রাখতে পারেন।
≤ 10 কর্মদিবস
ক্ষতিগ্রস্ত গ্রাহকদের লিখিত ঘটনা-পরবর্তী পর্যালোচনা দেওয়া হয়, যাতে মূল কারণ, প্রশমন ও সংশোধনমূলক পদক্ষেপ থাকে।
বিজ্ঞপ্তিতে — তখন যতটা জানা — ঘটনার ধরন, ক্ষতিগ্রস্ত ডেটা বিষয় ও রেকর্ডের শ্রেণি ও আনুমানিক সংখ্যা, সম্ভাব্য পরিণতি, নেওয়া বা প্রস্তাবিত ব্যবস্থা, আর পরবর্তী যোগাযোগের একটি ঠিকানা থাকে। আরও তথ্য পাওয়ার সঙ্গে সঙ্গে পরবর্তী হালনাগাদ পাঠানো হয়। বিজ্ঞপ্তি আপনার অ্যাকাউন্টে নির্ধারিত নিরাপত্তা যোগাযোগে যায় আর, অনুরোধে, গ্রাহকের দেওয়া PGP-সুরক্ষিত ইমেল ঠিকানায়। লঙ্ঘন-বিজ্ঞপ্তির পূর্ণ শর্ত আমাদের DPA-তে।
সেবার অবস্থা প্রকাশ করা হয়, দাবি করা হয় না।
একটিমাত্র আনুষ্ঠানিক স্ট্যাটাস প্রবেশপথ থেকে একটি উৎপাদন অঞ্চল বাছুন আর তার উপাদানের বর্তমান অবস্থা, ঘটনার ইতিহাস ও 90 দিনের প্রাপ্যতার পটি দেখুন: status.cogneris.ai। অঞ্চলগুলো স্বাধীনভাবে চলে আর স্বাধীনভাবেই জানানো হয়।
শুধু EU প্রোডাকশন অঞ্চলে 19টি নজরদারি করা উপাদানের মাপা প্রাপ্যতা 2026-08-05 থেকে 2026-10-29 পর্যন্ত (86 পূর্ণ দিন) ছিল 99.78%, আর কোনো একক উপাদান 98.5477%-এর নিচে নামেনি। এটি একটি পর্যবেক্ষণ, অঙ্গীকার নয় — চুক্তিবদ্ধ আপটাইম SLA সার্ভিস ক্রেডিটসহ আলাদা সংখ্যা আর তা আপনার চুক্তিতে লেখা। মাপার পদ্ধতি স্ট্যাটাস পৃষ্ঠায় লেখা।
কিছু পেলেন? আমাদের জানান।
আমরা নিরাপত্তা গবেষকদের সম্মান করি আর সদিচ্ছার প্রতিবেদনের উত্তর 1 কর্মদিবসের মধ্যে দিই। আমরা প্রতিবেদকদের সঙ্গে স্বচ্ছভাবে কাজ করার আর তাঁদের কাজের স্বীকৃতি দেওয়ার অঙ্গীকার করি।
কীভাবে জানাবেন
- security@cogneris.ai-তে সমস্যার স্পষ্ট বিবরণ, পুনরুৎপাদনের ধাপ আর প্রভাবসহ ইমেল করুন।
- বিষয়টি স্পর্শকাতর হলে প্রথম ইমেলেই আমাদের PGP কি চেয়ে নিন; আমরা চার কর্মঘণ্টার মধ্যে উত্তর দেব।
- প্রকাশ্যে জানানোর আগে অনুগ্রহ করে আমাদের 90 দিন দিন। আমরা গুরুতর সমস্যা 30 দিনে, উচ্চ-তীব্রতার 60 দিনে সারানোর আর (আপনি চাইলে) পরিবর্তনপঞ্জিতে আপনাকে স্বীকৃতি দেওয়ার অঙ্গীকার করি।
পরিধির ভেতরে
- cogneris.ai আর সব
*.cogneris.aiসাবডোমেন - Document AI-এর REST API ও webhook তন্ত্র
- প্রমাণীকরণ, সেশন আর tenant -পৃথকীকরণের যুক্তি
- গ্রাহক ড্যাশবোর্ড ও পর্যালোচনা সারি
পরিধির বাইরে
- স্পর্শকাতর কাজ নেই এমন পৃষ্ঠায় সেলফ-XSS / ক্লিকজ্যাকিং
- আমরা যেসব তৃতীয় পক্ষের সেবায় উপ-প্রক্রিয়া করি তাদের নিজস্ব সমস্যা (সরাসরি সেই বিক্রেতাকে জানান)
- উন্মুক্ত এন্ডপয়েন্টে হার-সীমা ও ব্রুট-ফোর্স (এগুলো আমাদের সামলানো আছে)
- কার্যকর অপব্যবহার না দেখিয়ে কেবল সর্বোত্তম-চর্চার হেডার প্রতিবেদন
DPA, অডিট প্রতিবেদন নাকি নিরাপত্তা প্রশ্নমালা দরকার?
বেশিরভাগ এন্টারপ্রাইজ নিরাপত্তা প্রশ্নমালা আমাদের 1 কর্মদিবসের কম লাগে। উপ-প্রক্রিয়াকারী বিজ্ঞপ্তির সাবস্ক্রিপশন, DPA, বর্তমান SOC 2 অবস্থা আর আমাদের পেন-টেস্ট সারসংক্ষেপ — সবই অনুরোধে পাওয়া যায়, উচ্চ-স্তরের নথির জন্য কোনো NDA বাধা নেই।