ڈیٹا پروسیسنگ معاہدہ

1. موضوع، مدت، نوعیت اور مقصد

موضوع: استعمال کی شرائط کے تحت سروس فراہم کرنا۔ مدت: سبسکرپشن، اور ڈیٹا واپس کرنے اور حذف کرنے کے لیے درکار مدت۔ نوعیت اور مقصد: کسٹمر کے مواد کی ہوسٹنگ، تلاش اور ترسیل تاکہ ارکان ڈیٹا کنٹرولر کے منتخب کردہ AI ماڈل کے ساتھ قانون کی تحقیق کر سکیں۔

ڈیٹا سبجیکٹس (data subjects) کی اقسام: ڈیٹا کنٹرولر کے ارکان، اور وہ ہر فرد جس کا نام ارکان کے ڈالے گئے مواد میں آئے۔ ذاتی ڈیٹا کی اقسام: جو کچھ بھی ارکان ڈالیں؛ سروس خصوصی زمروں (آرٹیکل 9) یا فوجداری جرائم کے ڈیٹا (آرٹیکل 10) کے لیے ڈیزائن نہیں کی گئی، اور ڈیٹا کنٹرولر طے کرتا ہے کہ آیا انہیں ڈالا جائے۔

2. ہدایات

ہم کسٹمر کا ذاتی ڈیٹا صرف ڈیٹا کنٹرولر کی دستاویزی ہدایات پر پروسیس کرتے ہیں — یعنی شرائط، یہ معاہدہ اور وہ ترتیبات جو ڈیٹا کنٹرولر ایپ میں منتخب کرے — جب تک EU یا رکن ریاست کا قانون کچھ اور تقاضا نہ کرے، اور اس صورت میں ہم پہلے ڈیٹا کنٹرولر کو بتاتے ہیں جب تک قانون منع نہ کرے۔ اگر ہم سمجھیں کہ کوئی ہدایت ڈیٹا پروٹیکشن قانون کی خلاف ورزی ہے تو ہم ڈیٹا کنٹرولر کو بتاتے ہیں۔

3. رازداری

کسٹمر کا ذاتی ڈیٹا پروسیس کرنے کے مجاز ہر شخص پر رازداری لازم ہے۔

4. حفاظتی اقدامات

• EU میں ہوسٹنگ (Hetzner، نیورمبرگ، جرمنی)؛ ترسیل کے دوران خفیہ کاری۔ بیک اپس ہمارے سرور پر رکھے جاتے ہیں؛ سائٹ سے باہر کی کاپی، بن جانے کے بعد، خفیہ کردہ ہوتی ہے۔
• سوال یا جواب کے متن کا کوئی ذخیرہ نہیں جب تک ڈیٹا کنٹرولر ٹرانسکرپٹس آن نہ کرے؛ ٹرانسکرپٹس تنظیم کی مخصوص کلید کے تحت خفیہ کیے جاتے ہیں۔
• AI فراہم کنندہ کی کلیدیں محفوظ کرتے وقت سیل کی جاتی ہیں؛ اس کے بعد ایپ صرف ان کے آخری چار حروف دکھاتی ہے۔
• تنظیم کے اندر کردار پر مبنی رسائی؛ پاس کیز اور دوسرے عنصر کی سپورٹ؛ تنظیم کے اپنے شناختی فراہم کنندہ (Microsoft Entra ID، Google، Okta یا کوئی بھی OpenID Connect فراہم کنندہ) کے ذریعے تنظیم کی سطح پر سنگل سائن آن، جب تنظیم اپنے ای میل ڈومین کو ثابت کر دے۔
• صرف اضافے والا آڈٹ لاگ، دستخط شدہ ایکسپورٹ کے ساتھ۔
• ہمارا عملہ اسٹاف کنسول کے ذریعے کام کرتا ہے۔ اس کے لیے دوسرے عنصر والا اسٹاف اکاؤنٹ اور پچھلے 12 گھنٹوں کے اندر کا لاگ اِن درکار ہے۔ عملہ کسی تنظیم میں جو بھی تبدیلی کرے اس کے لیے وجہ ضروری ہے اور وہ اسی تنظیم کے اپنے آڈٹ لاگ میں درج ہوتی ہے۔ عملے کی رسائی دینا یا ہٹانا ہمارے اپنے آڈٹ لاگ میں درج ہوتا ہے۔ سرور کی اپنی کمانڈ لائن سے قیمت بدلنا، انوائس جاری کرنا یا ادا کرنا، VAT نمبر کی جانچ درج کرنا یا محفوظ رکھنے کی مدت بدلنا بھی آپریٹر کا نام اور وجہ مانگتا ہے۔ سپورٹ کسی تنظیم کو رکن کے طور پر، صرف پڑھنے کے لیے، زیادہ سے زیادہ 30 منٹ کے لیے دیکھ سکتی ہے؛ یہ بھی تنظیم کے لاگ میں درج ہوتا ہے۔ ذاتی ڈیٹا کی خلاف ورزیوں کو اسی طرح نمٹایا جاتا ہے جیسا معاونت کے تحت بیان ہے۔

5. ذیلی پروسیسرز

ڈیٹا کنٹرولر ذیلی پروسیسرز کی فہرست میں درج ذیلی پروسیسرز کی عمومی اجازت دیتا ہے۔ ہم کسی اضافے یا تبدیلی کا کم از کم 30 دن کا نوٹس ای میل سے اور اس صفحے پر دیتے ہیں؛ ڈیٹا کنٹرولر ڈیٹا پروٹیکشن کی معقول بنیادوں پر اعتراض کر سکتا ہے اور، اگر ہم اعتراض حل نہ کر سکیں، تو متاثرہ سروس کو متناسب رقم کی واپسی کے ساتھ ختم کر سکتا ہے۔ ہر ذیلی پروسیسر ان کے برابر ڈیٹا پروٹیکشن کی ذمہ داریوں کا پابند ہے، اور ہم اس کے ذمہ دار رہتے ہیں۔

وہ AI فراہم کنندہ جسے ڈیٹا کنٹرولر جوڑتا ہے، ڈیٹا کنٹرولر نے اپنے معاہدے کے تحت مقرر کیا ہوتا ہے اور ہمارا ذیلی پروسیسر نہیں ہے۔

6. معاونت

ہم ڈیٹا کنٹرولر کی ڈیٹا سبجیکٹس کی درخواستوں کا جواب دینے میں مدد کرتے ہیں — ایپ کے ایکسپورٹ اور حذف کے فنکشن زیادہ تر کو پورا کرتے ہیں — اور سیکیورٹی، خلاف ورزی کی اطلاع، اثرات کے جائزوں اور پیشگی مشاورت میں، اس کو مدنظر رکھتے ہوئے جو ہم جان سکتے ہیں۔ ہم ذاتی ڈیٹا کی خلاف ورزی کی اطلاع ڈیٹا کنٹرولر کو بلاوجہ تاخیر کے بغیر دیتے ہیں، اور اس کا علم ہونے کے 48 گھنٹوں کے اندر ایسا کرنے کا ہدف رکھتے ہیں۔

7. واپسی اور حذف

جب تک آپ کی تنظیم کھلی ہے، ڈیٹا کنٹرولر اپنا ڈیٹا کسی بھی وقت ایکسپورٹ کر سکتا ہے۔ جب وہ بند ہو جائے تو ہم اس کے پاس موجود کسٹمر کا ذاتی ڈیٹا 30 دن بعد حذف کر دیتے ہیں، بشمول بیک اپس سے، جیسے جیسے وہ گھومتے ہیں، جب تک قانون ہم سے اسے رکھنے کا تقاضا نہ کرے۔

8. معلومات اور آڈٹس

ہم آرٹیکل 28 کی تعمیل ثابت کرنے کے لیے درکار معلومات فراہم کرتے ہیں اور ڈیٹا کنٹرولر یا اس کے مقرر کردہ آڈیٹر کے آڈٹس کی اجازت دیتے ہیں، معقول نوٹس پر اور سال میں زیادہ سے زیادہ ایک بار، جب تک کوئی خلاف ورزی یا کوئی اتھارٹی کچھ اور تقاضا نہ کرے۔ ہمارے پاس ابھی کوئی سیکیورٹی سرٹیفکیشن اور کوئی آزاد پینیٹریشن ٹیسٹ نہیں ہے؛ جب ہو گا تو یہاں تاریخ کے ساتھ درج کیا جائے گا۔