কানাডিয়ান VPS-এ ডেটা রেসিডেন্সি কীভাবে যাচাই করবেন

কানাডিয়ান VPS-এর ক্ষেত্রে ডেটা রেসিডেন্সি বলতে আসলে কী বোঝায়

কানাডিয়ান VPS-এর ক্ষেত্রে ডেটা রেসিডেন্সি হলো একটি নামের আড়ালে থাকা দুটি ভিন্ন প্রশ্ন। বাইটগুলো শারীরিকভাবে কোথায় সংরক্ষিত আছে এবং কোন সরকার কাউকে সেগুলো হস্তান্তরের জন্য বাধ্য করতে পারে। টরন্টোর কোনো ফ্যাসিলিটিতে থাকা একটি সার্ভার প্রথম প্রশ্নের উত্তর দেয়। এটি দ্বিতীয় প্রশ্নের উত্তর আংশিকভাবে দেয়, কারণ যে কোম্পানি মেশিনটি পরিচালনা করে এবং আপনার ব্যাকআপ রাখে, তারা নিজেরাই অন্য কোনো দেশের আইনের আওতাধীন হতে পারে।

এই নির্দেশিকাটি একটি প্রযুক্তিগত সিদ্ধান্তের প্রেক্ষাপট হিসেবে কাজ করবে। এটি কোনো আইনি পরামর্শ নয়। এখানে যেখানে কোনো নিয়ম গুরুত্বপূর্ণ, সেখানে আইন বা নিয়ন্ত্রক সংস্থার নাম উল্লেখ করা হয়েছে, যাতে আপনি মূল উৎসটি পড়তে পারেন এবং আপনার পরিস্থিতির সাথে মিলিয়ে দেখতে পারেন।

মূল্য এবং নেটওয়ার্কের ওপর ভিত্তি করে কানাডিয়ান প্রোভাইডার নির্বাচন করা একটি আলাদা বিষয়, এবং কানাডিয়ান VPS হোস্টিং কেনার সময় যা আসলে গুরুত্বপূর্ণ অংশে তা আলোচনা করা হয়েছে। এই পোস্টে অন্য দিকটি তুলে ধরা হয়েছে: ডেটা আইনত কোথায় থাকে এবং কারা এটি অ্যাক্সেস করতে পারে।

Residency, sovereignty এবং localisation একে অপরের পরিপূরক নয়

এই শব্দগুলো প্রায়ই সমার্থক হিসেবে ব্যবহৃত হয়। প্রতিটি শব্দ ভিন্ন ভিন্ন সিদ্ধান্তের দিকে পরিচালিত করে, তাই এদের আলাদা রাখা জরুরি।

Data residency হলো ভৌগোলিক অবস্থান সংক্রান্ত একটি দাবি। আপনার ডেটাবেস ধারণকারী ডিস্কটি অন্টারিওর একটি ভবনে রয়েছে। এটি নীতিগতভাবে একটি সত্য, তবে ভবনের বাইরে থেকে এটি প্রমাণ করা কঠিন, আর এই কারণেই এই গাইডের শেষ দুটি সেকশন রাখা হয়েছে।

Data sovereignty হলো আইন সংক্রান্ত একটি দাবি। এটি প্রশ্ন তোলে যে, কোন রাষ্ট্রের আদালত এবং পুলিশ আইনত ডেটা উৎপাদনের নির্দেশ দিতে পারে। এটি হার্ডওয়্যারের চেয়েও সেই ব্যক্তি বা কোম্পানির সাথে বেশি সম্পর্কিত যারা ডেটা নিয়ন্ত্রণ করে।

Data localisation হলো একটি নিয়ম। এটি একটি আইনি বাধ্যবাধকতা যে নির্দিষ্ট কিছু ডেটা একটি দেশের ভেতরেই রাখতে হবে। কানাডায় বেসরকারি কোম্পানিগুলোর জন্য কোনো সাধারণ localisation নিয়ম নেই, তবে নির্দিষ্ট কিছু খাতের জন্য কিছু সীমাবদ্ধ নিয়ম রয়েছে।

"Sovereign cloud" শব্দটি ভেন্ডরদের বিজ্ঞাপনে দেখা যায় এবং কানাডায় এর কোনো আইনি সংজ্ঞা নেই। যতক্ষণ না ভেন্ডর অবকাঠামো পরিচালনাকারী সত্তার নাম এবং সেই সত্তা কোন আইনের অধীনে দায়বদ্ধ তা উল্লেখ করছে, ততক্ষণ এটিকে মার্কেটিং হিসেবেই গণ্য করুন।

কানাডায় ডেটা সংরক্ষণ সম্পর্কে কানাডার গোপনীয়তা আইন কী বলে

ফেডারেল বেসরকারি খাতের আইন হলো PIPEDA (the Personal Information Protection and Electronic Documents Act)। এটি ব্যক্তিগত তথ্য কানাডায় রাখার বাধ্যবাধকতা আরোপ করে না। Office of the Privacy Commissioner of Canada (OPC) জানুয়ারি 2009-এ প্রকাশিত Guidelines for processing personal data across borders-এ বিষয়টি স্পষ্টভাবে বলেছে: "PIPEDA does not prohibit organizations in Canada from transferring personal information to an organization in another jurisdiction for processing."

এর পরিবর্তে আইনটি যে বিষয়টি চায়, তা হলো ডেটার সঙ্গে দায়বদ্ধতাও বজায় থাকবে। PIPEDA-এর accountability principle অনুযায়ী, কোনো প্রতিষ্ঠান প্রক্রিয়াকরণের জন্য ব্যক্তিগত তথ্য তৃতীয় পক্ষের কাছে স্থানান্তর করলেও সেই তথ্যের জন্য দায়ী থাকে। তৃতীয় পক্ষের কাছে তথ্য থাকা অবস্থায় প্রতিষ্ঠানটিকে "contractual or other means" ব্যবহার করে তথ্যটির জন্য "a comparable level of protection" নিশ্চিত করতে হবে। একই OPC guideline-এ স্বচ্ছতার একটি দায়িত্বও বলা হয়েছে। প্রতিষ্ঠানটির উচিত মানুষকে স্পষ্ট ভাষায় এবং সম্ভব হলে তথ্য সংগ্রহের সময় জানানো যে তাদের তথ্য বিদেশি কোনো দেশে প্রক্রিয়াকৃত হতে পারে এবং সেই দেশের law enforcement ও national security কর্তৃপক্ষের কাছে তা প্রবেশযোগ্য হতে পারে।

একটি পুরোনো বিভ্রান্তি দূর করা দরকার। 2019 সালে OPC একটি consultation পরিচালনা করেছিল। সেখানে processing-এর জন্য transfer-কে disclosure হিসেবে গণ্য করার প্রস্তাব উঠেছিল। তা গ্রহণ করা হলে প্রতিটি transfer-এর জন্য consent প্রয়োজন হতো। OPC সেই অবস্থান গ্রহণ করেনি। consultation শেষ করার সময় OPC নিশ্চিত করে যে processing-এর জন্য transfer হলো use, disclosure নয়। তাই transfer-এর জন্য আলাদা consent প্রয়োজন হয় না।

প্রাদেশিক বেসরকারি খাতের আইনগুলো সীমান্তের বাইরে নতুন বাধ্যবাধকতা যোগ করে, তবে ডেটা কানাডার ভেতরে রাখার বাধ্যবাধকতা যোগ করে না। Alberta-এর PIPA-এর Section 13.1 অনুযায়ী, কোনো প্রতিষ্ঠান কানাডার বাইরে থাকা service provider ব্যবহার করলে তথ্য সংগ্রহ বা transfer করার আগে, অথবা সেই সময়ে, ব্যক্তিদের জানাতে হবে কীভাবে তারা কানাডার বাইরের service provider সম্পর্কে প্রতিষ্ঠানের policies ও practices-এর লিখিত তথ্য পেতে পারেন। সেই arrangement সম্পর্কে প্রশ্নের উত্তর দিতে পারেন এমন একজন ব্যক্তির তথ্যও দিতে হবে। দেশগুলোর নাম জানানো Section 6(2)-এর অধীনে পৃথক বাধ্যবাধকতা। ওই লিখিত policies-তে বলতে হবে কানাডার বাইরে কোন কোন দেশে তথ্য সংগ্রহ, ব্যবহার, disclosure বা storage হচ্ছে বা হতে পারে। অনুরোধ করলে প্রতিষ্ঠানকে policies-গুলো সরবরাহ করতে হবে। Quebec-এর Law 25 আরও কঠোর। Quebec-এর বাইরে personal information communicate করার আগে কোনো business-কে privacy impact assessment সম্পন্ন করতে হবে। এতে তথ্যের sensitivity, ব্যবহারের উদ্দেশ্য, তথ্যের ওপর থাকা safeguards এবং তথ্য যে legal regime-এর আওতায় যাবে তা বিবেচনা করতে হবে। সেখানে protection adequate হলেই কেবল business এগোতে পারবে। এই বাধ্যবাধকতা 22 September 2023-এ কার্যকর হয়।

October 2026 অনুযায়ী ফেডারেল statute এখনও PIPEDA। Bill C-27, যা PIPEDA-এর পরিবর্তে Consumer Privacy Protection Act চালু করত, Parliament January 2025-এ prorogue হওয়ার সময় Order Paper থেকে বিলুপ্ত হয়। এর successor Bill C-36, যা Protecting Privacy and Consumer Data Act প্রণয়ন করবে, 15 June 2026-এ উত্থাপিত হয়েছে এবং House of Commons-এ কেবল first reading সম্পন্ন করেছে। আজ যে আইন কার্যকর আছে, তার ভিত্তিতে design করুন। Bill পাস হওয়ার আগে এটি পরিবর্তিত হবে বলে ধরে নিন।

যেখানে প্রকৃত স্থানীয়করণ বিধি প্রযোজ্য

Nova Scotia এক্ষেত্রে কঠোর। PIIDPA (Personal Information International Disclosure Protection Act) অনুযায়ী সরকারি সংস্থা, পৌরসভা এবং তাদের পরিষেবা প্রদানকারীদের ব্যক্তিগত তথ্য কানাডায় সংরক্ষণ করতে হয়। শুধুমাত্র কানাডার ভেতর থেকেই এই তথ্যে প্রবেশের অনুমতি দেওয়া যায়। এর ব্যতিক্রম কেবল তখনই সম্ভব যদি সরকারি সংস্থার প্রধান তা অনুমোদন করেন এবং বিচার মন্ত্রীর কাছে রিপোর্ট করেন। 2025 সালে পাস হওয়া নতুন Freedom of Information and Protection of Privacy Act-এর মাধ্যমে PIIDPA বাতিল করা হয়েছে এবং আন্তঃসীমান্ত বিধিনিষেধটিকে নতুন আইনের অন্তর্ভুক্ত করা হয়েছে। এটি 2027 সালের এপ্রিল মাসে কার্যকর হবে এবং এর প্রবিধান সাপেক্ষে কাজ করবে। 2026 সালের আগস্ট পর্যন্ত এই প্রবিধানগুলো প্রকাশিত হয়নি, তাই এর বিষয়বস্তু নিয়ে যারা কথা বলছেন তারা কেবল অনুমান করছেন।

British Columbia উল্টো পথে হেঁটেছে। FIPPA-এর 30.1 ধারায় আগে নিয়ম ছিল যে, সরকারি সংস্থাকে ব্যক্তিগত তথ্য কানাডায় সংরক্ষণ করতে হবে এবং শুধুমাত্র কানাডার ভেতর থেকেই তাতে প্রবেশের অনুমতি দিতে হবে। Bill 22 2021 সালের নভেম্বরে সেই ধারাটি বাতিল করে। 33.1 ধারা অনুযায়ী এখন প্রবিধান মেনে কানাডার বাইরে তথ্য প্রকাশ করা সম্ভব। Personal Information Disclosure for Storage Outside of Canada Regulation অনুযায়ী, সংবেদনশীল ব্যক্তিগত তথ্য কানাডার বাইরে সংরক্ষণ করা হলে একটি privacy impact assessment করা বাধ্যতামূলক। অর্থাৎ, নিষেধাজ্ঞাটি এখন একটি প্রক্রিয়ায় পরিণত হয়েছে।

ফেডারেল প্রতিষ্ঠানগুলোর নিজস্ব মানদণ্ড রয়েছে। Treasury Board Direction for Electronic Data Residency অনুযায়ী, Protected B, Protected C এবং Classified পর্যায়ের তথ্য কানাডার ভেতরে অনুমোদিত কোনো স্থাপনায় অথবা বিদেশে অবস্থিত কানাডিয়ান সরকারি দপ্তরে সংরক্ষণ করতে হবে। আপনি যদি কোনো ফেডারেল বিভাগের জন্য হোস্টিং করেন, তবে PIPEDA নয়, বরং এই নির্দেশনাই আপনার জন্য প্রযোজ্য।

স্বাস্থ্য সংক্রান্ত তথ্যের ক্ষেত্রে নিজস্ব আইন রয়েছে। প্রাদেশিক স্বাস্থ্য গোপনীয়তা আইনের অধীনে থাকা কাস্টোডিয়ানদের এজেন্ট, নিরাপত্তা ব্যবস্থা এবং ক্ষেত্রবিশেষে তথ্যের অবস্থান নিয়ে এমন সব নিয়ম মানতে হয় যা PIPEDA-তে নেই। আপনি যদি ক্লিনিক্যাল ডেটা হোস্ট করেন, তবে সাধারণ আইনের পরিবর্তে প্রাদেশিক স্বাস্থ্য আইনটি পড়ুন।

এরপর আসে সেই নিয়ম যা বেশিরভাগ মানুষ বাস্তবে সম্মুখীন হন, যা আসলে কোনো আইন নয়। কোনো ব্যাংক, হাসপাতাল, স্কুল বোর্ড বা এন্টারপ্রাইজ ক্রেতা তাদের ক্রয় চুক্তিতে কানাডায় ডেটা সংরক্ষণের শর্ত জুড়ে দিতে পারে, এমনকি যেখানে কোনো আইন তা বাধ্যতামূলক করেনি। সেই ধারাটি চুক্তি আইনের মাধ্যমে আপনাকে আবদ্ধ করে, তাই কোনো region বেছে নেওয়ার আগে তা পড়ে নিন। আপনি যদি অন্য কোথাও একই বিষয় নিয়ে ভাবেন, তবে running a VPS in Brazil আপনাকে একটি ভিন্ন আইনি কাঠামোর মধ্যে নিয়ে যাবে, যার উত্তরও হবে ভিন্ন।

Toronto-এর একটি datacentre কোন দেশের আইন প্রযোজ্য হবে তা নির্ধারণ করে না

operator বিদেশি মালিকানাধীন হলেই geography এবং jurisdiction আলাদা হয়ে যায়। এর সবচেয়ে স্পষ্ট উদাহরণ হলো 2018 সালের United States CLOUD Act (Clarifying Lawful Overseas Use of Data Act)। এই আইন Stored Communications Act সংশোধন করে, যাতে covered provider-কে বৈধ US process-এর অধীনে তার “possession, custody, or control”-এ থাকা data দিতে হয়, সেই data United States-এর ভেতরে থাকুক বা না থাকুক। Ireland-এর একটি datacentre-এ সংরক্ষিত email-এর জন্য Microsoft warrant মানতে অস্বীকার করার পর Congress এই আইন পাস করে। disk-এর অবস্থানই ছিল পুরো বিতর্কের বিষয়, কিন্তু disk-এর অবস্থান মামলাটির সিদ্ধান্ত নির্ধারণ করেনি।

কোনো provider-কে ওই আইনের আওতায় আনে সীমান্ত নয়, একটি সম্পর্ক: provider-এর ওপর US personal jurisdiction। US parent-এর Canadian subsidiary এই শর্ত পূরণ করতে পারে। US contracting entity-এর অধীনে পরিচালিত Canadian facility-ও পারে, অথবা Canadian capacity পুনর্বিক্রি করা US company-ও পারে। কোনো network measurement আপনাকে এসবের কিছুই দেখাবে না। Corporate registry দেখাবে।

এর অর্থ এই নয় যে প্রতিটি foreign owned facility-কে সবচেয়ে খারাপভাবে ধরে নিতে হবে। Canadian authorities নিজেদের production orders জারি করে, এবং Canadian company-গুলো তাদেরই কাছে জবাবদিহি করে। বক্তব্যটি আরও সীমিত। operator-এর home law operator-এর সঙ্গেই অনুসরণ করে। তাই জেনে নিন, আপনার contract কোন legal entity স্বাক্ষর করছে এবং শেষ পর্যন্ত সেটির মালিক কে।

একটি ব্যবহারিক পার্থক্য জানা দরকার। October 2026 পর্যন্ত Canada এবং United States-এর মধ্যে কোনো CLOUD Act executive agreement কার্যকর নেই। March 2022-এ negotiations ঘোষিত হয়েছিল, এবং এরপর কোনো agreement স্বাক্ষরিত হয়নি। United States-এর ওই ধরনের দুইটি agreement কার্যকর আছে: একটি United Kingdom-এর সঙ্গে, এবং একটি Australia-এর সঙ্গে; Australia-এর agreement-টি December 2021-এ স্বাক্ষরিত এবং January 2024 থেকে কার্যকর। এমন agreement না থাকলে, purely Canadian company-এর কাছে থাকা data পেতে US authorities mutual legal assistance treaty (MLAT) process ব্যবহার করে। এই process Canadian authorities এবং Canadian courts-এর মাধ্যমে পরিচালিত হয়। এই procedural difference-ই Canadian operator বেছে নেওয়ার সুবিধার বড় অংশ।

VPS সার্ভার দেশের ভেতরে থাকলেও আপনার ডেটা দেশের বাইরে চলে যেতে পারে

একটি সিস্টেমের অংশ হিসেবে VPS কেবল একটি উপাদান। এর সাথে সংযুক্ত প্রতিটি বিষয়ের ক্ষেত্রে ডেটা বসবাসের স্থান বা residency সংক্রান্ত আলাদা সিদ্ধান্ত নিতে হয় এবং ডিফল্ট সেটিংস সাধারণত কানাডার বাইরে থাকে।

• ব্যাকআপ এবং স্ন্যাপশট। ব্যাকআপের মূল উদ্দেশ্যই হলো অফ-সাইট কপি রাখা, আর অবজেক্ট স্টোরেজ এন্ডপয়েন্টগুলো ডিফল্টভাবে সেই অঞ্চলে থাকে যেখানে অ্যাকাউন্টটি খোলা হয়েছিল।
• লগ শিপিং, মেট্রিক্স এবং এরর ট্র্যাকিং। একটি হোস্ট করা সার্ভিস আপনার লগের বিষয়বস্তু তার নিজস্ব অঞ্চলে প্রসেস করে। এই লগগুলোতে IP অ্যাড্রেস, ইমেইল অ্যাড্রেস এবং কখনও কখনও পুরো রিকোয়েস্ট বডি থাকে।
• CDN এবং এজ ক্যাশিং। একটি কন্টেন্ট ডেলিভারি নেটওয়ার্ক অনেকগুলো দেশের পয়েন্ট অফ প্রেজেন্স (PoP) থেকে আপনার অবজেক্টের কপি সংরক্ষণ এবং পরিবেশন করে। টরন্টোতে থাকা অরিজিন সার্ভার থেকে পাঠক সরাসরি বাইটগুলো পায় না।
• ইমেইল। আউটবাউন্ড রিলে, ইনবাউন্ড ফিল্টারিং এবং হোস্ট করা আর্কাইভগুলো প্রায়শই যুক্তরাষ্ট্রে থাকে এবং বার্তার বিষয়বস্তু ব্যক্তিগত তথ্যের অন্তর্ভুক্ত।
• অথোরিটেটিভ DNS। এনি কাস্ট নেমসার্ভারগুলো ক্লায়েন্টের সবচেয়ে কাছের নোড থেকে উত্তর দেয় এবং কুয়েরি লগগুলো রেকর্ড করে যে কে কী জানতে চেয়েছে।
• সাপোর্ট এবং অ্যাডমিনিস্ট্রেশন। কনসোল বা হাইপারভাইজার অ্যাক্সেস থাকা ইঞ্জিনিয়ার একজন ব্যক্তি, যিনি কোনো একটি দেশে অবস্থান করছেন। বিদেশ থেকে রিমোট অ্যাক্সেস নোভা স্কোশিয়া রুল এবং ব্রিটিশ কলাম্বিয়া অ্যাসেসমেন্ট অনুযায়ী অ্যাক্সেস হিসেবে গণ্য হয়।
• আপনার নিজস্ব ওয়ার্কস্টেশন এবং এর টুলিং। একটি এডিটর প্লাগইন বা কোডিং এজেন্ট যা আপনার ফাইলগুলো পড়ে, তা কোথাও না কোথাও কিছু ডেটা পাঠায়। একটি কোডিং এজেন্ট আসলে আপনার মেশিন থেকে কী পাঠায় তা জেনে রাখা জরুরি, বিশেষ করে প্রোডাকশন ডেটার ক্ষেত্রে এটি ব্যবহারের আগে।

এনক্রিপশন একজন অপারেটর কী দেখতে পাবে তা পরিবর্তন করে, তবে তা কেবল একমুখী। অন্য কোথাও রাখা কি (key) দিয়ে এনক্রিপ্ট করা ডেটা ড্রাইভ বাজেয়াপ্তকারী ব্যক্তির কাছে অর্থহীন। একটি চলমান VPS ভিন্ন বিষয়, কারণ গেস্টের কি (key) গেস্টের মেমরিতে থাকে এবং হাইপারভাইজার গেস্টের মেমরি পড়তে পারে। এনক্রিপশন অ্যাট রেস্ট কেবল আর্কাইভকে সুরক্ষা দেয়, লাইভ মেশিনকে নয়। এই সীমাবদ্ধতা এবং অপারেটরের ওপর যে আস্থার প্রয়োজন হয়, তা VPS হোস্টিং নিরাপদ কি না—এই বৃহত্তর প্রশ্নের মূল কারণ।

গ্রাহক হিসেবে VPS-এর অবস্থান যাচাই করার উপায়

রেজিস্ট্রি থেকে শুরু করুন, কারণ এটিই একমাত্র রেকর্ড যার সাথে একটি নাম যুক্ত থাকে।

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

কানাডিয়ান ঠিকানার ক্ষেত্রে রেজিস্ট্রি হলো ARIN। প্রথম কমান্ডটি আপনার whois ক্লায়েন্ট যে রেফারেল পায় তা অনুসরণ করে, এবং দ্বিতীয়টি সরাসরি ARIN-কে জিজ্ঞাসা করে। উভয়ই সেই প্রতিষ্ঠানকে ফেরত দেয় যার কাছে ব্লকটি বরাদ্দ করা হয়েছে, সেই সাথে তাদের নিবন্ধিত দেশ এবং abuse contact-এর তথ্য। সেই abuse ঠিকানাতেই আপনার সার্ভার সম্পর্কিত অভিযোগগুলো পৌঁছায়, যেখান থেকে abuse complaints reach your provider বিষয়টি শুরু হয়। কান্ট্রি ফিল্ড কী প্রমাণ করে সে সম্পর্কে পরিষ্কার ধারণা রাখুন। এটি একটি পাবলিক ডেটাবেসে নামধারী প্রতিষ্ঠানের একটি ঘোষণা মাত্র। এটি দরকারী, তবে এটি কোনো পরিমাপের পরিবর্তে একটি দাবি।

Geofeeds একইভাবে কাজ করে। RFC 8805 একটি CSV ফাইল সংজ্ঞায়িত করে যেখানে একজন অপারেটর প্রিফিক্স থেকে দেশ, অঞ্চল এবং শহরের একটি ম্যাপিং প্রকাশ করে। RFC 9632, যা 2024 সালে RFC 9092-এর স্থলাভিষিক্ত হয়েছে, তা সংজ্ঞায়িত করে যে কীভাবে একজন গ্রাহক whois রেকর্ড থেকে সেই ফাইলটি খুঁজে পাবেন। বাণিজ্যিক IP geolocation ডেটাবেসগুলো মূলত এই স্ব-প্রকাশিত ফিডগুলো থেকে তৈরি হয়, তাই "IP-টি টরন্টোতে জিওলোকেট করে" কথাটি প্রায়শই "অপারেটর টরন্টো প্রকাশ করেছে"-তে রূপান্তরিত হয়। Reverse DNS আরও দুর্বল। yyz বা tor সম্বলিত একটি PTR রেকর্ড হলো একটি নামকরণের রীতি যা কোনো মানুষ টাইপ করেছে, এবং এটি অন্য শহরে স্থানান্তরের পরেও টিকে থাকতে পারে।

তাই প্রদানকারীকে লিখিতভাবে জিজ্ঞাসা করুন এবং উত্তরগুলো সংরক্ষণ করুন।

• কোন আইনি সত্তা সুবিধাটি পরিচালনা করে এবং সেই সত্তাটি কোথায় নিবন্ধিত?
• সুবিধাটির ঠিকানা কী এবং স্থানটি কি মালিকানাধীন, ইজারা নেওয়া, নাকি অন্য কোনো অপারেটর থেকে পুনরায় বিক্রি করা?
• কোন সত্তা আমার চুক্তিতে স্বাক্ষর করে এবং এর মূল কোম্পানি কে?
• ব্যাকআপ এবং সেগুলোর অফ-সাইট কপি কোথায় থাকে?
• কোন দেশগুলো থেকে কর্মীরা হাইপারভাইজার বা আউট-অফ-ব্যান্ড কনসোলে প্রবেশ করতে পারে?
• আপনারা কি সাব-প্রসেসরের তালিকা প্রকাশ করেন এবং আইন অনুমতি দিলে কোনো বিদেশি আইনি দাবির বিষয়ে আমাকে কি অবহিত করবেন?

উত্তরগুলোকে চুক্তিতে নোটিশ বাধ্যবাধকতাসহ প্রতিশ্রুতি হিসেবে অন্তর্ভুক্ত করুন। একজন অডিটর নথিপত্র চান, traceroute নয়। যদি টরন্টোই আপনার গন্তব্য হয়, তবে choosing a VPS in Toronto একই সিদ্ধান্তের বাজার-সম্পর্কিত দিকগুলো কভার করে।

কেন traceroute একটি রুটের প্রমাণ, কিন্তু আইনি এখতিয়ারের (jurisdiction) প্রমাণ নয়

একটি লো রাউন্ড ট্রিপ টাইম (RTT) দূরত্বের সীমা নির্ধারণ করে। এটি মূলত এটুকুই করে। ফাইবার কোরের ভেতর দিয়ে আলো প্রতি সেকেন্ডে প্রায় 204,000 কিমি বেগে চলে, তাই কোনো সুইচিং বা কিউয়িং যোগ করার আগে প্রতি 100 কিমি পথের জন্য রাউন্ড ট্রিপে প্রায় 1 ms সময় লাগে। এটিকে উল্টোভাবে দেখলে, টরন্টোর কেন্দ্র থেকে 10 ms রাউন্ড ট্রিপ আপনাকে জানায় যে মেশিনটি ফাইবারের পথ ধরে আপনার থেকে প্রায় 1,000 কিমি দূরত্বের মধ্যে রয়েছে। এই বৃত্তের ভেতরে যা যা পড়ে তা নিচে দেওয়া হলো।

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

প্রতিটি ফ্লোর হলো সরলরেখায় দূরত্বের দ্বিগুণ এবং তাকে 204,000 কিমি প্রতি সেকেন্ড দিয়ে ভাগফল। প্রকৃত ফাইবার পথ সরলরেখার চেয়ে দীর্ঘ হয়, তাই বাস্তব পরিমাপ সবসময় বেশি হয়। র‍্যাঙ্কিংটিই এখানে মূল বিষয়। তালিকার সবচেয়ে দূরের শহর, Chicago, Illinois, টরন্টো থেকে সরলরেখায় 700 কিমি দূরে, যা মাত্র 6.9 ms-এর একটি ফ্লোর নির্ধারণ করে। তালিকাভুক্ত 6 টি শহরের মধ্যে একটি কানাডায় অবস্থিত। টরন্টো থেকে সিঙ্গেল ডিজিট পিং মিশিগান, ইলিনয়, নিউ ইয়র্ক বা ভার্জিনিয়ার কোনো সার্ভারের সাথে সামঞ্জস্যপূর্ণ।

Traceroute হপ (hop) নাম যোগ করে, আর হপ নামগুলো হলো PTR রেকর্ড যা একজন নেটওয়ার্ক ইঞ্জিনিয়ার লিখে রেখেছেন। এগুলোর মধ্যে থাকা এয়ারপোর্ট কোডগুলো একটি প্রচলিত রীতি, যা পড়ে দেখা এবং যাচাই করা প্রয়োজন। কিছু ক্যারিয়ার MPLS (multiprotocol label switching)-এর ভেতরে অভ্যন্তরীণ হপগুলোকে লুকিয়ে রাখে, তাই আপনি যে পথটি দেখছেন তা প্যাকেটটি যে পথ দিয়ে যাচ্ছে তার চেয়ে ছোট হতে পারে। Anycast গন্তব্যস্থলটিকে অস্পষ্ট করে তোলে, কারণ একটি অ্যাড্রেস আপনার সবচেয়ে কাছের নোড থেকে সাড়া দেয়। পরিমাপকৃত ল্যাটেন্সি একটি নির্দিষ্ট সময়ে রুটের বিষয়ে ভালো প্রমাণ দেয়। আইনি এখতিয়ার হলো কোম্পানি এবং আদালতের বিষয়, কোনো প্যাকেট এটি রিপোর্ট করে না।

সঠিক সারসংক্ষেপ হলো, নেটওয়ার্ক পরিমাপ কোনো দাবিকে ভুল প্রমাণ করতে পারে: টরন্টো থেকে 90 ms রাউন্ড ট্রিপ থাকলে তা টরন্টোর কোনো ফ্যাসিলিটির সম্ভাবনা নাকচ করে দেয়। এটি কোনো কিছু নিশ্চিত করতে পারে না। নিশ্চিতকরণ আসে নামধারী সত্তা এবং চুক্তিতে লিখিত প্রতিশ্রুতি থেকে।

FAQ

কানাডার আইন কি আমার ডেটা কানাডায় রাখা বাধ্যতামূলক করে?

সাধারণ নিয়মে নয়। ফেডারেল প্রাইভেট সেক্টর আইন PIPEDA, ব্যক্তিগত তথ্য প্রক্রিয়াকরণের জন্য অন্য দেশে পাঠানোর ওপর কোনো নিষেধাজ্ঞা আরোপ করে না। OPC তাদের 'Guidelines for processing personal data across borders'-এ এটি স্পষ্ট করেছে। PIPEDA যা দাবি করে তা হলো, ডেটার দায়বদ্ধতা আপনাকে বহন করতে হবে, তুলনামূলক সুরক্ষা নিশ্চিত করতে চুক্তিভিত্তিক বা অন্য কোনো উপায় অবলম্বন করতে হবে এবং ব্যবহারকারীদের স্পষ্টভাবে জানাতে হবে যে তাদের তথ্য বিদেশে প্রক্রিয়াজাত হতে পারে এবং বিদেশি কর্তৃপক্ষের কাছে তা অ্যাক্সেসযোগ্য হতে পারে। কিছু নির্দিষ্ট ক্ষেত্রে ডেটা লোকালইজেশন বা স্থানীয়করণের নিয়ম রয়েছে: পাবলিক বডির জন্য নোভা স্কোশিয়ার PIIDPA, Protected B এবং তার ওপরের স্তরের জন্য ট্রেজারি বোর্ডের 'Direction for Electronic Data Residency', প্রাদেশিক স্বাস্থ্য আইন এবং আপনার নিজস্ব গ্রাহক চুক্তি। এটি কেবল সাধারণ তথ্য, কোনো আইনি পরামর্শ নয়।

টরন্টোতে ডেটাসেন্টার থাকা মানেই কি আমার ডেটা মার্কিন আইনের আওতার বাইরে?

শুধুমাত্র ভৌগোলিক অবস্থানের কারণে তা হয় না। 2018 সালের মার্কিন CLOUD Act অনুযায়ী, কোনো কভারড প্রোভাইডার তাদের দখলে থাকা, হেফাজতে থাকা বা নিয়ন্ত্রণে থাকা ডেটা মার্কিন আইনি প্রক্রিয়ার মাধ্যমে চাইলে তা প্রদান করতে বাধ্য, ডেটা যেখানেই সংরক্ষিত থাকুক না কেন। মূল বিষয়টি হলো, আপনার ডেটা ধারণকারী কোম্পানির ওপর মার্কিন আদালতের ব্যক্তিগত এখতিয়ার (personal jurisdiction) আছে কি না। তাই মার্কিন সাবসিডিয়ারি বা মার্কিন কন্ট্রাক্টিং এন্টিটি দ্বারা পরিচালিত কানাডিয়ান ফ্যাসিলিটি কেবল ভৌগোলিক অবস্থানের ওপর ভিত্তি করে সুরক্ষা নিশ্চিত করে না। আপনার চুক্তিতে কোন আইনি সত্তা স্বাক্ষর করছে এবং তার মূল কোম্পানি কোনটি, তা যাচাই করুন।

একটি VPS সত্যিই কানাডায় আছে কি না তা কীভাবে যাচাই করব?

পাবলিক রেকর্ড এবং লিখিত প্রশ্নের সমন্বয় করুন। আইপি ঠিকানার ওপর একটি whois বা RDAP কুয়েরি করলে সেই ব্লকটি কোন প্রতিষ্ঠানের নামে বরাদ্দ এবং তাদের নিবন্ধিত দেশ কোনটি তা জানা যায়। এছাড়া RFC 8805 অনুযায়ী প্রকাশিত geofeed থেকে অপারেটরের নিজস্ব প্রিফিক্স থেকে শহরের ম্যাপিং পাওয়া যায়। উভয়ই সংশ্লিষ্ট পক্ষের স্ব-ঘোষিত তথ্য, যা প্রমাণের জন্য কার্যকর কিন্তু সরাসরি পরিমাপ নয়। এরপর প্রোভাইডারকে লিখিতভাবে জিজ্ঞাসা করুন তাদের অপারেটিং এন্টিটি, ফ্যাসিলিটির ঠিকানা, ব্যাকআপের অবস্থান এবং কোন কোন দেশ থেকে সাপোর্ট স্টাফ কনসোল অ্যাক্সেস করতে পারে। এই উত্তরগুলো চুক্তিতে অন্তর্ভুক্ত করুন।

আমার VPS কানাডায় থাকলেও কোন কোন তথ্য বাইরে চলে যেতে পারে?

ব্যাকআপ এবং সেগুলোর অফ-সাইট কপি, হোস্ট করা লগ এবং এরর ট্র্যাকিং সার্ভিস, CDN ক্যাশ, আউটবাউন্ড মেইল রিলে এবং ইনবাউন্ড ফিল্টারিং, অথরিটেটিভ DNS কুয়েরি লগ এবং বিদেশে অবস্থানরত সাপোর্ট স্টাফদের রিমোট অ্যাডমিনিস্ট্রেটিভ অ্যাক্সেস। প্রতিটি ক্ষেত্রেই আলাদা সিদ্ধান্ত নিতে হয় এবং সেগুলোর ডিফল্ট অঞ্চল সাধারণত কানাডার বাইরে থাকে। গ্রাহককে ডেটা কানাডায় থাকার প্রতিশ্রুতি দেওয়ার আগে VPS-এর সাথে সংযুক্ত প্রতিটি সিস্টেমের ম্যাপিং তৈরি করুন।