এই পৃষ্ঠাটি একটি অনুবাদ। ইংরেজি সংস্করণের সঙ্গে কোনো কিছু না মিললে ইংরেজি সংস্করণটিই প্রযোজ্য হবে। ইংরেজিতে পড়ুন

তথ্যের নিরাপত্তা

সংস্করণ 2026-10-v1 · সর্বশেষ আপডেট 23 অক্টোবর 2026

আপনার স্বাস্থ্য ও সুরক্ষা-সংক্রান্ত তথ্য সবচেয়ে ব্যক্তিগত তথ্যগুলির মধ্যে পড়ে। এই পৃষ্ঠায় সহজ কথায় বোঝানো হয়েছে Ilayra কীভাবে তা সুরক্ষিত রাখে — এবং কোনো অ্যাপই কী প্রতিশ্রুতি দিতে পারে না।

আমাদের প্রথম নিয়ম: যে তথ্য আমরা কখনো পাই না, তা ফাঁস হতে পারে না

আপনার মাসিক, গর্ভাবস্থা, উপসর্গ, মেজাজ, ঘুম, সন্তানদের রেকর্ড এবং বিশ্বস্ত পরিচিতদের তথ্য রাখা থাকে শুধু আপনার ফোনে। এগুলি আমাদের সার্ভারে থাকে না, তাই সার্ভারে নিরাপত্তা লঙ্ঘন হলে এগুলি হারিয়ে যেতে পারে না, বিক্রি হতে পারে না, বা আমাদের কাছ থেকে দাবি করে নেওয়া যায় না।

আপনার ফোনে

• এনক্রিপ্ট করা স্টোরেজ — Ilayra যা কিছু রাখে, সবই AES-256-GCM দিয়ে এনক্রিপ্ট করা। চাবিটি আপনার ফোনের সুরক্ষিত হার্ডওয়্যারে (iPhone Keychain / Android Keystore) রাখা থাকে, কখনো আপনার ফোন থেকে বাইরে যায় না এবং ক্লাউড ব্যাকআপে কপি হয় না।
• প্রত্যেক মানুষের জন্য আলাদা জায়গা — পরিবারের সদস্যরা একটি ফোন শেয়ার করলে, প্রতিটি Ilayra অ্যাকাউন্টের নিজস্ব এনক্রিপ্ট করা জায়গা এবং নিজস্ব চাবি থাকে। একজন অন্যজনের তথ্য দেখতে পারেন না।
• অ্যাপ লক — একটি PIN, অথবা আপনার আঙুলের ছাপ বা মুখ। 5 বার ভুল PIN দেওয়ার পরে অ্যাপটি ক্রমশ আরও বেশি সময়ের জন্য লক হয়ে যায়।
• চাপে পড়লে ব্যবহারের PIN (ডিউরেস PIN) — কেউ যদি আপনাকে জোর করে Ilayra খোলাতে চায়, তাহলে একটি দ্বিতীয় PIN একটি খালি অ্যাপ খোলে এবং চুপচাপ আপনার বিশ্বস্ত পরিচিতদের সতর্ক করতে পারে। স্ক্রিনে এমন কিছুই দেখা যায় না যা থেকে বোঝা যায় যে এটি আছে।
• লুকানো মোড — একটি সাধারণ নাম দেখায়, নোটিফিকেশনে স্বাস্থ্য-সংক্রান্ত শব্দ আসতে দেয় না, এবং ফোন ঝাঁকালে অ্যাপটি লুকিয়ে ফেলে।
• স্ক্রিনশট নয় — Android-এ Ilayra স্ক্রিনশট এবং স্ক্রিন রেকর্ডিং আটকে দেয়; দুটি সিস্টেমেই অ্যাপ-সুইচারের প্রিভিউ লুকানো থাকে।
• মুছে ফেলা — আপনার তথ্য বা অ্যাকাউন্ট মুছে ফেললে তার এনক্রিপশন চাবি নষ্ট হয়ে যায়, তাই তা আর ফিরিয়ে আনা যায় না।

আমাদের সার্ভারে যাওয়ার পথে

• শুধু TLS 1.3, ইন্টারনেট সংযোগের জন্য সর্বশেষ এনক্রিপশন। পুরোনো, দুর্বল সংস্করণগুলি প্রত্যাখ্যান করা হয়।
• সার্টিফিকেট পিনিং — অ্যাপটি শুধু সেই সার্টিফিকেট কর্তৃপক্ষগুলিকেই বিশ্বাস করে যাদের সার্টিফিকেট আমাদের সার্ভারে ব্যবহৃত হয়, তাই কোনো নকল সার্টিফিকেট (যেমন স্পাইওয়্যার থেকে আসা) মাঝপথে আপনার তথ্য হাতিয়ে নিতে (ইন্টারসেপ্ট করতে) পারে না।
• এনক্রিপশনের দ্বিতীয় স্তর — প্রতিটি অনুরোধ ও উত্তর আধুনিক ক্রিপ্টোগ্রাফি (X25519, HKDF-SHA256, AES-256-GCM) দিয়ে আমাদের সার্ভার পর্যন্ত এন্ড-টু-এন্ড সিল করাও থাকে, প্রতিটি অনুরোধের জন্য একটি নতুন চাবি দিয়ে। নেটওয়ার্ক প্রদানকারীরা, এমনকি আমাদের নিজেদের নেটওয়ার্ক পার্টনাররাও, শুধু এলোমেলো করা (স্ক্র্যাম্বলড) তথ্য দেখতে পায়।

আমাদের সার্ভারে

• ভারতে হোস্ট করা — বেঙ্গালুরুতে DigitalOcean-এর ডেটা সেন্টার।
• কোনো খোলা দরজা নেই — আমাদের সার্ভার ইন্টারনেট থেকে কোনো সরাসরি সংযোগ গ্রহণ করে না; ট্র্যাফিক আসে শুধু একটি এনক্রিপ্ট করা Cloudflare টানেলের মধ্য দিয়ে।
• এনক্রিপ্ট করা অ্যাকাউন্ট-তথ্য — আপনার নাম ও ইমেল এনক্রিপ্ট করা; আপনার ইমেল খোঁজা হয় শুধু একটি একমুখী কোডের মাধ্যমে; পাসওয়ার্ড রাখা হয় শুধু Argon2id হ্যাশ হিসেবে, যা নিরাপত্তা বিশেষজ্ঞদের সুপারিশ করা পদ্ধতি।
• SOS লোকেশন এন্ড-টু-এন্ড এনক্রিপ্টেড — শুধু আপনার বিশ্বস্ত পরিচিতদের ব্রাউজারই তা পড়তে পারে; আমরা এমন এলোমেলো করা তথ্য রাখি যা আমরা পড়তে পারি না।
• কড়াভাবে সুরক্ষিত সিস্টেম — প্রতিটি অংশ নিজস্ব সিল করা কন্টেইনারে, যতটা সম্ভব কম অনুমতি নিয়ে চলে; ডেটাবেসের কোনো ইন্টারনেট সংযোগ নেই; ডেটাবেসের প্রতিটি কোয়েরি একজন মানুষের তথ্যের মধ্যেই সীমাবদ্ধ।
• আন্দাজে চেষ্টা করার বিরুদ্ধে সুরক্ষা — চেষ্টার সংখ্যায় সীমা, সাময়িক লকআউট এবং এককালীন কোড যা 15 মিনিটে মেয়াদোত্তীর্ণ হয়।
• ব্যাকআপ — এমন একটি চাবি দিয়ে এনক্রিপ্ট করা যা সার্ভার থেকে দূরে, অফলাইনে রাখা হয়।
• ন্যূনতম লগ — লগে কখনো স্বাস্থ্য-তথ্য, মেসেজ বা পাসওয়ার্ড থাকে না। বিষয়বস্তুহীন কার্যকলাপের লগ আইনের প্রয়োজন অনুযায়ী এক বছর রাখা হয়।

মানুষ ও প্রক্রিয়া

• শুধু অল্প কয়েকজন অনুমোদিত কর্মী শক্তিশালী প্রমাণীকরণ (অথেন্টিকেশন) দিয়ে সার্ভার পরিচালনা করতে পারেন।
• চালু হওয়ার আগে এবং তার পরে নিয়মিতভাবে স্বাধীন নিরাপত্তা পরীক্ষা।
• ডাক্তারেরা স্বাস্থ্য-বিষয়বস্তু পর্যালোচনা করেন; AI কোচ কখনো আপনার পরিচয় দেখে না।

যদি কিছু ভুল হয়

যদি ব্যক্তিগত তথ্যের কোনো লঙ্ঘন (ব্রিচ) আপনাকে প্রভাবিত করতে পারে, আমরা:

• CERT-In Directions (2022)-এর নির্দেশ অনুযায়ী 6 ঘণ্টার মধ্যে CERT-In-কে তা জানাব;
• DPDP Rules, 2025-এর নির্দেশ অনুযায়ী দেরি না করে আপনাকে এবং ভারতের ডেটা সুরক্ষা বোর্ডকে (Data Protection Board of India) জানাব, এবং 72 ঘণ্টার মধ্যে বোর্ডকে একটি বিস্তারিত রিপোর্ট দেব;
• কী ঘটেছে, আপনার জন্য তার অর্থ কী এবং আপনি কী করতে পারেন, তা ব্যাখ্যা করব।

নিরাপত্তা-সংক্রান্ত সমস্যা জানান

আপনি কোনো নিরাপত্তা-সংক্রান্ত সমস্যা খুঁজে পেলে, অনুগ্রহ করে [email protected]-এ ইমেল করুন। অন্য মানুষের তথ্যে প্রবেশ করবেন না বা পরিষেবায় বিঘ্ন ঘটাবেন না। আমরা 3 কার্যদিবসের মধ্যে আপনার রিপোর্টের প্রাপ্তিস্বীকার করব, আপনাকে অগ্রগতি জানাব, এবং এই নিয়মগুলি মেনে সৎ উদ্দেশ্যে করা গবেষণার বিরুদ্ধে কোনো আইনি পদক্ষেপ নেব না।

যে প্রতিশ্রুতি কোনো অ্যাপই দিতে পারে না

• যদি আপনার ফোন হ্যাক হয় বা "জেলব্রেক" করা থাকে, অথবা কেউ আপনার PIN জানে, তাহলে আপনি যা দেখতে পান, তারাও তা দেখতে পারে।
• মোবাইল নেটওয়ার্ক টেক্সট মেসেজ (SMS) এনক্রিপ্ট করে না।
• আপনি যাঁদের SOS লিংক পাঠান, লিংকটি সক্রিয় থাকাকালীন (60 মিনিট) তাঁরা সেটি অন্যকে ফরওয়ার্ড করতে পারেন।

যে মানদণ্ডগুলি আমরা মেনে চলি

Digital Personal Data Protection Act, 2023 এবং Rules, 2025; Information Technology Act, 2000 এবং Reasonable Security Practices Rules, 2011; CERT-In Directions, 2022; OWASP মোবাইল ও API নিরাপত্তা নির্দেশিকা; WCAG 2.2 অ্যাক্সেসিবিলিটি।