নিরাপত্তা ও গোপনীয়তা

গোপনীয়তার নীতি

• শেখা ও account safety-এর জন্য প্রয়োজনীয় তথ্যই সংগ্রহ করুন।
• shared area-তে nickname ব্যবহার করুন; student email, phone, school বা নির্দিষ্ট location প্রকাশ করবেন না।
• শিক্ষার্থী স্পষ্টভাবে share না করলে private annotation guardian ও peer-এর কাছে অদৃশ্য রাখুন।
• স্পষ্ট consent, export, deletion ও account recovery পথ দিন।

Authentication ও session

• ডিফল্টে Supabase Auth email/password; কনফিগার থাকলে persistent write-এর আগে verified email চাইুন।
• v0 redirect proxy দিয়ে confirmation পাঠান এবং /auth/callback code exchange রাখুন।
• Next.js proxy-তে server session client ও refresh cookie ব্যবহার করুন; service-role key প্রকাশ নয়।
• account আছে কি না ফাঁস না করে কার্যকর confirmation/rate-limit বার্তা দিন।

Role ও relationship নিরাপত্তা

• user-editable metadata বা route parameter থেকে role বিশ্বাস করবেন না।
• audit record-সহ trusted server-side workflow দিয়েই staff role দিন।
• যাচাইকৃত ও অনুমোদিত guardian link-এর পরই অভিভাবক নির্দিষ্ট child progress দেখতে পারবেন।
• শিক্ষক কেবল assigned class এবং পড়ানোর জন্য প্রয়োজনীয় ন্যূনতম student data দেখতে পারবেন।
• room insert-এ বিদ্যমান membership যাচাই করুন; user নিজে privileged membership row-তে যোগ দিতে পারবে না।

create policy progress_select_own
on public.learning_progress for select
using (auth.uid() = user_id);

create policy progress_insert_own
on public.learning_progress for insert
with check (auth.uid() = user_id);

শিশু সুরক্ষা ও guardian consent

• shared profile data ন্যূনতম ও nickname-ভিত্তিক রাখুন।
• প্রয়োজন হলেই guardian consent নিন এবং এতে কী চালু হয় তা বুঝিয়ে বলুন।
• peer content-এ report, block, mute ও moderator review দিন।
• guardian-কে default-এ private message দেখাবেন না; safety policy বুঝিয়ে বলুন।
• data-retention schedule, account deletion ও abuse escalation contact দিন।

AI ও payment সুরক্ষা

• ন্যূনতম context ও কঠোর length/rate limit-সহ server-side AI request পাঠান।
• বয়স-উপযোগী system instruction ও answer report flow দিন; নিখুঁত সঠিকতার প্রতিশ্রুতি নয়।
• ডেমো form-এ card, bKash, Nagad বা Rocket credential নেবেন না।
• provider webhook সার্ভারে যাচাই, idempotency ব্যবহার এবং server-owned plan থেকে amount হিসাব করুন।

Operational security

• input schema, output encoding, CSRF/origin check, safe response header ও dependency update ব্যবহার করুন।
• password, auth token, private note বা সম্পূর্ণ student prompt log করবেন না।
• positive ও negative test দিয়ে RLS review করুন; খালি query policy সঠিক হওয়ার প্রমাণ নয়।
• incident response, notification, backup, restoration test ও data retention নির্ধারণ করুন।

• Threat model review হয়েছে
• RLS read/write test পাস
• client build-এ secret নেই
• deletion ও guardian-link revoke পরীক্ষা হয়েছে