ڈیٹا پراسیسنگ معاہدہ

یہ ڈیٹا پراسیسنگ معاہدہ (“DPA”) گاہک (وہ کاروبار جو LetsBot کو سبسکرائب کرتا ہے، “آپ”) اور BOT FOR DIGITAL SOLUTIONS LIMITED کے درمیان طے شدہ شرائط و ضوابط کا حصہ ہے۔ یہ کمپنی انگلینڈ اور ویلز میں نمبر 15477940 کے تحت رجسٹرڈ ہے، اور اس کا پتہ 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom ہے (“LetsBot”، “ہم”، “ہمیں”)۔

شرائط و ضوابط قبول کر کے آپ اس DPA میں بھی شامل ہو جاتے ہیں، بشمول اُن منتقلی کی شقوں کے جو ضمیمہ جات IV تا VI میں حوالے کے ذریعے شامل کی گئی ہیں۔ یہ قبولیت کے وقت سے، گاہک کے ذاتی ڈیٹا کی کسی بھی منتقلی سے پہلے، ہر گاہک پر خودکار طور پر لاگو ہوتی ہیں، اور کسی دستخط کی ضرورت نہیں۔

دستخط شدہ نسخے اور مخصوص دستاویزات۔ support@letsbot.net پر درخواست کرنے پر ہم آپ کو اس DPA کا ایسا نسخہ فراہم کریں گے جس پر ہماری جانب سے جوابی دستخط ہوں، یا کوئی مخصوص معاہدہ یا دستاویز جو آپ کے ادارے کو درکار ہو، جیسے منتقلی کی شقوں کا پُر شدہ سیٹ۔

ترجیحی ترتیب۔ تضاد کی صورت میں ضمیمہ جات IV تا VI کی منتقلی کی شقیں غالب ہوں گی، پھر یہ DPA، اور پھر شرائط و ضوابط۔

زبان۔ اس DPA کا انگریزی نسخہ معتبر ہے؛ عربی نسخہ سہولت کے لیے فراہم کیا گیا ہے۔ برازیلی ANPD کی معیاری شقوں کے لیے سرکاری پرتگالی متن معتبر ہے۔

• گاہک کا ذاتی ڈیٹا: وہ ذاتی ڈیٹا جسے ہم سروس فراہم کرتے ہوئے آپ کی جانب سے پراسیس کرتے ہیں، بشمول آپ کے رابطوں کی تفصیلات، پیغامات، میڈیا اور آرڈرز۔ تفصیلات ضمیمہ I میں ہیں۔
• ذیلی پراسیسر: کوئی بھی فریقِ ثالث جسے ہم گاہک کے ذاتی ڈیٹا کی پراسیسنگ کے لیے مقرر کرتے ہیں۔
• ذاتی ڈیٹا کی خلاف ورزی: سیکیورٹی کی ایسی خلاف ورزی جس کے نتیجے میں گاہک کا ذاتی ڈیٹا حادثاتی یا غیر قانونی طور پر تلف، ضائع یا تبدیل ہو جائے، یا اس کا غیر مجاز انکشاف ہو یا اس تک غیر مجاز رسائی ہو۔
• ڈیٹا تحفظ کے قوانین: وہ قوانین جو پراسیسنگ پر لاگو ہوتے ہیں، بشمول EU GDPR، UK GDPR اور Data Protection Act 2018، سعودی ذاتی ڈیٹا تحفظ کا قانون (Personal Data Protection Law) اور اس کے ضوابط، برازیل کا LGPD، اور مصر کا قانون نمبر 151 بابت 2020 اور اس کے انتظامی ضوابط۔
• “کنٹرولر”، “پراسیسر”، “ڈیٹا سبجیکٹ” اور “پراسیسنگ” کے وہی معنی ہیں جو ڈیٹا تحفظ کے قوانین میں ہیں۔ “پراسیسر” میں LGPD کے تحت “operador” بھی شامل ہے۔

1. آپ گاہک کے ذاتی ڈیٹا کے کنٹرولر ہیں (یا کسی دوسرے کنٹرولر کی جانب سے کام کرنے والے پراسیسر)، اور ہم پراسیسر ہیں۔
2. ہم گاہک کے ذاتی ڈیٹا کو صرف آپ کی دستاویزی ہدایات پر پراسیس کرتے ہیں، بشمول دوسرے ممالک کو منتقلی کے معاملے میں۔ آپ کی ہدایات یہ ہیں: شرائط و ضوابط، یہ DPA، پینل میں آپ کی منتخب کردہ ترتیبات (جیسے چینلز، انٹیگریشنز، AI فیچرز اور ڈیٹا محفوظ رکھنے کی مدت)، اور کوئی بھی دیگر تحریری ہدایات جن پر ہم متفق ہوں۔
3. اگر کوئی قانون ہمیں آپ کی ہدایات کے علاوہ کسی اور طرح گاہک کے ذاتی ڈیٹا کو پراسیس کرنے کا پابند کرے، تو ہم ایسا کرنے سے پہلے آپ کو مطلع کریں گے، الا یہ کہ وہ قانون اس کی ممانعت کرے۔
4. اگر ہمیں لگے کہ کوئی ہدایت ڈیٹا تحفظ کے قوانین کی خلاف ورزی کرتی ہے تو ہم آپ کو فوراً مطلع کریں گے۔
5. ڈیٹا کو قانونی طریقے سے جمع کرنا اور اپنے رابطوں کو پیغام بھیجنے کی قانونی بنیاد رکھنا آپ کی ذمہ داری ہے، بشمول کوئی بھی رضامندی جو Meta یا قانون کو درکار ہو۔
6. ہم گاہک کے ذاتی ڈیٹا کو اپنے مقاصد کے لیے استعمال نہیں کرتے، اسے فروخت نہیں کرتے، اور اسے AI ماڈلز کی تربیت کے لیے استعمال نہیں کرتے۔

گاہک کے ذاتی ڈیٹا تک صرف وہی ملازمین اور کنٹریکٹرز رسائی حاصل کر سکتے ہیں جنہیں سروس فراہم کرنے، اس میں معاونت کرنے یا اسے محفوظ رکھنے کے لیے رسائی درکار ہو، اور وہ سب اسے خفیہ رکھنے کے پابند ہیں۔

جن افراد کو گاہک کے ذاتی ڈیٹا تک رسائی حاصل ہے وہ بنیادی طور پر مصر میں، ہماری ملحقہ کمپنی Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م) کے ذریعے، ہماری ہدایات کے تحت اور ایسی شرائط پر کام کرتے ہیں جو اس DPA سے کم تحفظ فراہم نہیں کرتیں۔

ہم ضمیمہ II میں درج تکنیکی اور تنظیمی اقدامات نافذ کرتے ہیں، ان کا باقاعدگی سے جائزہ لیتے ہیں، اور آپ کی سبسکرپشن کے دوران تحفظ کی مجموعی سطح کم نہیں کریں گے۔

اس کے علاوہ، ہم درج ذیل کا عہد کرتے ہیں:

• ورک اسپیس ڈیٹا بیسز کے انکرپٹڈ بیک اپس: بامعاوضہ، ٹرائل اور اعزازی ورک اسپیسز کے لیے ہر رات، اور دیگر ورک اسپیسز کے لیے 10 دن کی گردش پر، نیز مرکزی اکاؤنٹ ڈیٹا بیس کا روزانہ بیک اپ۔ بیک اپس پروڈکشن سرور سے الگ نجی اسٹوریج میں، ریاستہائے متحدہ میں Google Cloud (us-east1) پر 30 دن تک رکھے جاتے ہیں اور پھر حذف کر دیے جاتے ہیں؛
• گفتگو میں بھیجی اور موصول ہونے والی میڈیا فائلیں ایسی اسٹوریج میں رکھی جاتی ہیں جسے براؤز یا فہرست نہیں کیا جا سکتا، اور یہ لمبے، بے ترتیب لنکس کے ذریعے فراہم کی جاتی ہیں جن کا اندازہ لگانا مشکل ہے (رابطوں کی پروفائل تصاویر کے سوا)۔ جس کسی کے پاس عین لنک ہو وہ فائل کھول سکتا ہے۔ ہم میڈیا کو محدود مدت والے دستخط شدہ لنکس پر منتقل کر رہے ہیں؛
• کسی ورک اسپیس میں سپورٹ ٹیم کے ہر داخلے، اور ہر سائن ان، کا اُس ورک اسپیس کے سیکیورٹی لاگ میں اندراج۔

1. عمومی اجازت۔ آپ ہمیں ہمارے ذیلی پراسیسرز کے صفحے (ضمیمہ III) پر درج ذیلی پراسیسرز کو مقرر کرنے کی اجازت دیتے ہیں۔
2. پیشگی اطلاع۔ کسی ذیلی پراسیسر کو شامل کرنے یا تبدیل کرنے سے پہلے ہم کم از کم 30 دن کی اطلاع دیں گے، ان تمام افراد کو ای میل کے ذریعے جنہوں نے سبسکرائب کیا ہے، اور صفحہ اپڈیٹ کر کے۔ سبسکرائب کرنے کے لیے support@letsbot.net پر “Subprocessor updates” کے عنوان سے ای میل کریں۔
3. اعتراض۔ آپ اطلاع کی مدت کے دوران ڈیٹا تحفظ کی معقول بنیادوں پر تحریری اعتراض کر سکتے ہیں۔ ہم آپ کا اعتراض حل کرنے کی کوشش کریں گے، مثلاً آپ کے ڈیٹا کے لیے اس ذیلی پراسیسر کو استعمال نہ کر کے۔ اگر ہم ایسا نہ کر سکیں تو آپ سروس کا متاثرہ حصہ ختم کر سکتے ہیں اور باقی مدت کے لیے پیشگی ادا شدہ فیس کی واپسی حاصل کر سکتے ہیں۔
4. ہنگامی تبدیلی۔ اگر سروس کی سیکیورٹی یا تسلسل کے تحفظ کے لیے ہمیں کسی ذیلی پراسیسر کو فوری طور پر تبدیل کرنا پڑے، تو ہم جلد از جلد آپ کو مطلع کریں گے، اور آپ کو اعتراض کا وہی حق حاصل رہے گا۔
5. مساوی ذمہ داریاں۔ ہم ہر فریقِ ثالث ذیلی پراسیسر کو ایک تحریری معاہدے کا پابند بناتے ہیں جس میں ڈیٹا تحفظ کی ذمہ داریاں اس DPA سے کم حفاظتی نہ ہوں، اور اس کی کارکردگی کے لیے ہم آپ کے سامنے ذمہ دار رہتے ہیں۔
6. آپ کے منتخب کردہ انٹیگریشنز، جیسے Meta (WhatsApp، Messenger، Instagram)، ای کامرس پلیٹ فارمز اور CRMs، ہمارے ذیلی پراسیسرز نہیں ہیں۔ انہیں آپ منسلک کرتے ہیں، اور وہ آپ کے ساتھ اپنی شرائط کے تحت ڈیٹا پراسیس کرتے ہیں۔

1. گاہک کے ذاتی ڈیٹا کو متاثر کرنے والی کسی بھی ذاتی ڈیٹا کی خلاف ورزی کی اطلاع ہم آپ کو کسی غیر ضروری تاخیر کے بغیر، اور ہر صورت میں اس کا علم ہونے کے 24 گھنٹوں کے اندر دیں گے۔ یہ ہر ملک میں ہمارا معیار ہے۔
2. ہم یہ اطلاع اکاؤنٹ کے مالک کے ای میل پتے پر بھیجتے ہیں، اور جہاں ممکن ہو پینل میں بھی۔ جس حد تک معلومات دستیاب ہوں، اس میں یہ بیان کیا جاتا ہے: خلاف ورزی کی نوعیت اور وجہ؛ ڈیٹا سبجیکٹس اور ریکارڈز کی اقسام اور تخمینی تعداد؛ ممکنہ نتائج؛ اس پر قابو پانے کے لیے کیے گئے یا مجوزہ اقدامات؛ اور ہمارا رابطہ کار۔
3. اگر تمام معلومات ایک ساتھ ہمارے پاس نہ ہوں، تو ہم انہیں کسی غیر ضروری تاخیر کے بغیر مرحلہ وار فراہم کریں گے، اور واقعہ بند ہونے تک آپ کو باقاعدگی سے آگاہ رکھیں گے۔
4. ہم حکام اور ڈیٹا سبجیکٹس کو مطلع کرنے کی آپ کی اپنی ذمہ داریوں کی تکمیل میں آپ کی مدد کریں گے، بشمول EU، UK اور سعودی عرب میں 72 گھنٹوں کی ڈیڈ لائنز، اور برازیل میں تین کاروباری دنوں کی ڈیڈ لائن۔
5. اطلاع دینا غلطی یا ذمہ داری کا اعتراف نہیں ہے۔

1. اگر ہمیں گاہک کے ذاتی ڈیٹا کے بارے میں کسی ڈیٹا سبجیکٹ کی جانب سے کوئی درخواست موصول ہو، تو ہم اسے 48 گھنٹوں کے اندر آپ کو بھیج دیں گے اور آپ کی اجازت کے بغیر اس کا جواب نہیں دیں گے، سوائے یہ بتانے کے کہ ہم نے اسے آگے بھیج دیا ہے۔
2. پینل کے ذریعے آپ رابطوں، گفتگوؤں اور پیغامات کو ایکسپورٹ، درست اور حذف کر سکتے ہیں۔ جہاں یہ ٹولز کافی نہ ہوں، ہم آپ کو معقول مدد فراہم کریں گے۔
3. ہماری مدد میں آپ کی قانونی ڈیڈ لائنز کو مدِنظر رکھا جاتا ہے، بشمول مصر میں چھ کاروباری دن۔

ہم آپ کو وہ معلومات فراہم کریں گے جو آپ کو ڈیٹا تحفظ کے اثرات کے جائزے، منتقلی کے خطرات کے جائزے، یا کسی اتھارٹی سے پیشگی مشاورت کے لیے معقول طور پر درکار ہوں۔ جہاں قانون آپ سے متعلقہ اثرات کا جائزہ ہمارے ساتھ شیئر کرنے کا تقاضا کرے، ہم اسے وصول کریں گے۔

1. آپ کی سبسکرپشن کے دوران آپ کسی بھی وقت اپنا ڈیٹا ایکسپورٹ کر سکتے ہیں، کوئی بھی انفرادی گفتگو حذف کر سکتے ہیں (جس سے اس کے پیغامات اور میڈیا مٹ جاتے ہیں)، یا پینل سے اپنی پوری ورک اسپیس حذف کر سکتے ہیں۔ وجہ بتانا اختیاری ہے۔
2. سروس ختم ہونے پر، آپ کا ڈیٹا 30 دن تک ایکسپورٹ کے لیے دستیاب رہتا ہے۔ جب کوئی ورک اسپیس حذف کی جاتی ہے، تو ہم 30 دن کے اندر اپنے لائیو سسٹمز سے گاہک کا ذاتی ڈیٹا حذف کر دیتے ہیں، بشمول میڈیا، آرکائیو شدہ نقل، ہمارے AI فراہم کنندہ کے پاس محفوظ فائلیں اور جوابات، اور ہماری QR کوڈ کنکشن سروس کے پاس محفوظ پیغامات۔ بیک اپس میں موجود نقول مزید 30 دن کے اندر ختم ہو جاتی ہیں۔
3. ہم صرف وہی رکھتے ہیں جو قانون ہمیں رکھنے کا پابند کرتا ہے، اور حذف ہونے تک اسے اس DPA کے تحت محفوظ رکھتے ہیں۔
4. درخواست پر، ہم حذف کیے جانے کی تحریری تصدیق کریں گے۔

1. ہم اس DPA کی تعمیل ثابت کرنے کے لیے درکار معلومات فراہم کریں گے، اور سیکیورٹی سے متعلق معقول سوالناموں کے جوابات دیں گے۔
2. اگر یہ معلومات کافی نہ ہوں، تو آپ یا رازداری کا پابند کوئی آزاد آڈیٹر ہر 12 ماہ میں ایک بار، 30 دن کی اطلاع کے ساتھ، کاروباری اوقات میں، اور دیگر گاہکوں کے ڈیٹا کو خطرے میں ڈالے بغیر ہمارا آڈٹ کر سکتے ہیں۔ یہ حد ذاتی ڈیٹا کی خلاف ورزی کے بعد یا اس وقت لاگو نہیں ہوتی جب کوئی اتھارٹی آڈٹ کا تقاضا کرے۔
3. ہر فریق اپنے اخراجات خود برداشت کرے گا، الا یہ کہ آڈٹ سے ہماری جانب سے کوئی اہم خلاف ورزی سامنے آئے۔
4. ہم مجاز نگران اداروں کے ساتھ، بشمول Saudi Data and AI Authority (SDAIA)، ان کی درخواست پر تعاون کریں گے۔

1. ڈیٹا کہاں پراسیس ہوتا ہے۔ گاہک کا ذاتی ڈیٹا ریاستہائے متحدہ میں Google Cloud (ریجن us-east1) پر ہوسٹ کیا جاتا ہے؛ ہمارا عملہ، جو بنیادی طور پر ہماری ملحقہ کمپنی کے ذریعے مصر میں کام کرتا ہے، اس تک دور سے رسائی حاصل کرتا ہے؛ اور ذیلی پراسیسرز اسے ان کے صفحے پر دکھائے گئے مقامات پر پراسیس کرتے ہیں۔ ہمارے تمام سرورز اور بیک اپس ریاستہائے متحدہ میں ہیں؛ ہم کسی دوسرے ریجن میں ہوسٹنگ پیش نہیں کرتے۔
2. منتقلی کے طریقۂ کار۔ ضمیمہ IV (EU اور UK)، ضمیمہ V (برازیل) اور ضمیمہ VI (سعودی عرب) کی شقیں ہر گاہک کے لیے اس DPA کا حصہ ہیں، اور ہر اُس منتقلی پر نافذ ہوتی ہیں جس پر متعلقہ قانون لاگو ہوتا ہے۔
3. غیر ملکی قوانین جن کے ہم تابع ہیں۔ ہم ایک UK کمپنی ہیں اور UK قانون کے تابع ہیں۔ ڈیٹا ایک امریکی فراہم کنندہ کے پاس ہوسٹ کیا جاتا ہے، اور امریکی حکام امریکی قانون کے تحت، بشمول CLOUD Act اور Foreign Intelligence Surveillance Act کے سیکشن 702، امریکی فراہم کنندگان سے ڈیٹا ظاہر کرنے کا تقاضا کر سکتے ہیں۔ مصر میں ہماری ملحقہ کمپنی مصری قانون کے تابع ہے۔ ہمارے علم میں ان میں سے کوئی قانون ہمیں اس DPA پر عمل کرنے سے نہیں روکتا، اور اگر یہ صورتحال بدلی تو ہم آپ کو فوراً مطلع کریں گے۔
4. سرکاری حکام کی درخواستیں۔ اگر ہمیں کسی سرکاری اتھارٹی کی جانب سے گاہک کا ذاتی ڈیٹا ظاہر کرنے کی پابند درخواست موصول ہو، تو ہم آپ کو مطلع کریں گے الا یہ کہ قانون اس کی ممانعت کرے، اتھارٹی سے کہیں گے کہ وہ آپ سے رجوع کرے، غیر قانونی یا حد سے زیادہ درخواستوں کو چیلنج کریں گے، اور صرف کم سے کم مطلوبہ ڈیٹا ظاہر کریں گے۔

1. جب آپ AI جوابات، AI ایجنٹس، وائس نوٹ ٹرانسکرپشن یا AI ٹولز فعال کرتے ہیں، تو ہم فیچر کے لیے درکار ڈیٹا اپنے کسی AI سروس فراہم کنندہ کو بھیجتے ہیں، جو ریاستہائے متحدہ میں ذیلی پراسیسرز ہیں: پیغامات، گفتگو کی ہسٹری، وائس نوٹس، نالج فائلیں اور پروڈکٹ کیٹلاگ، اور جہاں فیچر انہیں استعمال کرے وہاں رابطے کا نام اور نمبر۔
2. ہمارے AI سروس فراہم کنندگان یہ ہیں: OpenAI، جو ڈیفالٹ فراہم کنندہ ہے اور ہمیشہ وائس نوٹ ٹرانسکرپشن اور نالج فائلوں کی اسٹوریج اور تلاش سنبھالتا ہے؛ اور Anthropic (Claude) اور Google (Gemini API)، جن کی طرف ہم OpenAI کے بجائے یا بیک اپ کے طور پر AI کام بھیج سکتے ہیں، یا جوابات کے معیار کا موازنہ کرنے کے لیے درخواستوں کا ایک محدود نمونہ بھیج سکتے ہیں۔ موازنے کے جوابات کبھی آپ کے گاہکوں کو نہیں بھیجے جاتے۔ فہرست اور منتقلی کے طریقۂ کار ہمارے ذیلی پراسیسرز کے صفحے پر موجود ہیں۔
3. اپنی کاروباری شرائط کے تحت، ان میں سے کوئی بھی فراہم کنندہ اپنے API کے ذریعے بھیجے گئے ڈیٹا کو اپنے ماڈلز کی تربیت کے لیے استعمال نہیں کرتا (دیکھیں OpenAI کی کاروباری شرائط، Anthropic کی Commercial Terms اور Gemini API Additional Terms)، اور ہم نے تربیت کے کسی بھی استعمال کی اجازت نہیں دی۔ ہر فراہم کنندہ اپنی شرائط کے تحت غلط استعمال کی نگرانی کے لیے ایک عارضی نقل رکھتا ہے، اور OpenAI اپنی API ڈیٹا پالیسی کے تحت اپنے تیار کردہ جوابات محفوظ رکھتا ہے۔
4. ہم گاہک کے ذاتی ڈیٹا کو کسی ماڈل کی تربیت کے لیے استعمال نہیں کرتے۔ “ہسٹری سے سیکھیں” فیچر جو کچھ سیکھتا ہے وہ آپ کی ورک اسپیس کے اندر ہی رہتا ہے۔
5. یہ فیچرز اختیاری ہیں اور آپ انہیں کسی بھی وقت بند کر سکتے ہیں۔ جب آپ اپنی ورک اسپیس حذف کرتے ہیں، تو ہم OpenAI پر اس کے لیے محفوظ فائلیں حذف کر دیتے ہیں۔
6. جہاں قانون تقاضا کرے، وہاں اپنے گاہکوں کو یہ بتانا آپ کی ذمہ داری ہے کہ جوابات AI کے ذریعے تیار کیے جا سکتے ہیں۔

1. ہمارا سپورٹ عملہ صرف سپورٹ فراہم کرنے کے لیے آپ کی ورک اسپیس میں داخل ہوتا ہے۔
2. ہر داخلہ آپ کی ورک اسپیس کے سیکیورٹی لاگ میں ریکارڈ ہوتا ہے، جس کا آپ جائزہ لے سکتے ہیں۔
3. اگر آپ اپنی ورک اسپیس کے لیے دو مرحلہ تصدیق (two-factor authentication) فعال کرتے ہیں، تو ہمارا عملہ صرف آپ کی واضح منظوری سے اس میں داخل ہو سکتا ہے۔

اس DPA کے تحت ہر فریق کی ذمہ داری شرائط و ضوابط میں درج حدود کے تابع ہے، سوائے اس ذمہ داری کے جسے قانوناً محدود نہیں کیا جا سکتا، اور ضمیمہ جات IV تا VI کی منتقلی کی شقوں کے تحت ڈیٹا سبجیکٹس کے حقوق کو متاثر کیے بغیر، جنہیں اس DPA یا شرائط و ضوابط کی کوئی بات محدود نہیں کرتی۔

1. یہ DPA اس وقت تک لاگو رہتا ہے جب تک ہم گاہک کا ذاتی ڈیٹا پراسیس کرتے ہیں۔
2. ہم قانون یا سروس سے ہم آہنگ رہنے کے لیے اس DPA کو اپڈیٹ کر سکتے ہیں۔ کسی بھی اہم تبدیلی کی ہم 30 دن پہلے اطلاع دیں گے، اور کوئی تبدیلی آپ کی بامعاوضہ سبسکرپشن کی مدت کے دوران تحفظ کی سطح کم نہیں کرے گی۔
3. یہ DPA انگلینڈ اور ویلز کے قوانین کے تابع ہے، اور وہاں کی عدالتوں کو دائرۂ اختیار حاصل ہے، سوائے اس کے کہ ضمیمہ جات IV تا VI میں منتقلی کی شقوں کا ہر سیٹ اُس قانون اور اُن عدالتوں کے تابع ہے جن کی وہ صراحت کرتا ہے۔

ذاتی ڈیٹا تحفظ کے قانون (Personal Data Protection Law) اور اس کے نفاذی ضوابط (آرٹیکل 17) کے لیے:

• پراسیسنگ کا مقصد، ڈیٹا کی اقسام اور مدت ضمیمہ I میں ہیں۔
• ہم کسی خلاف ورزی کی اطلاع آپ کو کسی غیر ضروری تاخیر کے بغیر اور 24 گھنٹوں کے اندر دیتے ہیں (سیکشن 7)۔
• جن غیر ملکی قوانین کے ہم تابع ہیں، اور ان کے اثرات، سیکشن 12 میں بیان کیے گئے ہیں۔
• اگر سعودی قانون ہمیں کوئی انکشاف کرنے کا پابند کرے، تو ہم آپ کو اس کی اطلاع دیں گے۔
• ذیلی پراسیسرز اور دیگر وصول کنندگان کی نشاندہی ضمیمہ III میں کی گئی ہے، اور ہم کسی بھی تبدیلی سے پہلے آپ کو مطلع کرتے ہیں، اعتراض کے حق کے ساتھ (سیکشن 6)۔
• ہم ڈیٹا سبجیکٹس کی درخواستیں 48 گھنٹوں کے اندر آگے بھیجتے ہیں (سیکشن 8)، اور جائزے اور آڈٹس قبول کرتے ہیں (سیکشن 11)۔
• منتقلی کی شقیں: ضمیمہ VI۔

LGPD کے لیے ہم “operador” کے طور پر کام کرتے ہیں:

• ہم آپ کی ہدایات پر ڈیٹا پراسیس کرتے ہیں (آرٹیکل 39) اور پراسیسنگ کی کارروائیوں کا ریکارڈ رکھتے ہیں (آرٹیکل 37)۔
• ہم ضمیمہ II میں درج سیکیورٹی اقدامات نافذ کرتے ہیں، اور پراسیسنگ ختم ہونے کے بعد بھی ہماری سیکیورٹی کی ذمہ داری جاری رہتی ہے (آرٹیکلز 46 اور 47)۔
• ہم 24 گھنٹوں کے اندر آپ کو خلاف ورزی کی اطلاع دیتے ہیں تاکہ آپ تین کاروباری دنوں کے اندر ANPD اور ڈیٹا سبجیکٹس کو مطلع کر سکیں (آرٹیکل 48)۔
• پراسیسنگ ختم ہونے پر ہم سیکشن 10 کے تحت ڈیٹا حذف کر دیتے ہیں (آرٹیکل 16)۔
• اس DPA کی کوئی بات ڈیٹا سبجیکٹس کے سامنے ہماری اُس ذمہ داری کو محدود نہیں کرتی جو LGPD عائد کرتا ہے۔
• منتقلی کی شقیں: ضمیمہ V۔ درخواست پر ہم بین الاقوامی منتقلی کا پرتگالی خلاصہ فراہم کرتے ہیں جسے آپ اپنے گاہکوں کے لیے شائع کر سکتے ہیں۔

2020 کے قانون نمبر 151 اور اس کے انتظامی ضوابط کے لیے:

• مصر میں ہماری ملحقہ کمپنی Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م) ہے، کمرشل رجسٹر نمبر 223572 (Cairo Investment رجسٹری آفس)، ٹاور 22، فلور 3، مساکن سیدی عبد الرحیم، سیجر، طنطا 1، غربیہ، مصر۔
• ہم اپنی پروسیسنگ اور سرحد پار منتقلیوں کے لیے قانون کے تحت درکار کوئی بھی لائسنس یا اجازت نامہ ان پر انحصار کرنے سے پہلے حاصل کرتے ہیں، اور Personal Data Protection Center کے ساتھ رجسٹرڈ ایک ڈیٹا پروٹیکشن آفیسر مقرر کرتے ہیں۔
• آپ کو 24 گھنٹوں کے اندر مطلع کرنے کے علاوہ، جہاں قانون ہم سے بطور پروسیسر اس کا تقاضا کرتا ہے، ہم آپ کے ساتھ رابطے میں رہتے ہوئے کسی خلاف ورزی کی اطلاع 72 گھنٹوں کے اندر Personal Data Protection Center کو دیتے ہیں۔
• ہم ڈیٹا سبجیکٹس کی درخواستوں کا جواب چھ کاروباری دنوں کے اندر دینے کے لیے آپ کے ساتھ مل کر کام کرتے ہیں۔
• جہاں قانون تقاضا کرے، ڈیٹا سبجیکٹس کی رضامندی حاصل کرنا آپ کی ذمہ داری ہے، بشمول مصر سے باہر منتقلی کے لیے رضامندی۔

اس DPA میں وہ شرائط شامل ہیں جو EU GDPR اور UK GDPR کے آرٹیکل 28(3) کے تحت درکار ہیں: ہدایات (سیکشن 3)، رازداری (سیکشن 4)، سیکیورٹی (سیکشن 5 اور ضمیمہ II)، ذیلی پروسیسرز (سیکشن 6)، ڈیٹا سبجیکٹس کی درخواستوں میں معاونت (سیکشن 8) اور سیکیورٹی، خلاف ورزیوں اور جائزوں میں معاونت (سیکشنز 5، 7 اور 9)، حذف کرنا اور واپسی (سیکشن 10)، اور معلومات اور آڈٹ (سیکشن 11)۔

برطانیہ، جہاں ہم قائم ہیں، یورپی کمیشن کے کفایت (adequacy) کے فیصلے کے تحت آتا ہے۔ اس کے باوجود ضمیمہ IV (EU معیاری معاہداتی شقیں اور UK ضمیمہ) ہر گاہک کے لیے شامل کیا گیا ہے اور یہ گاہک کے ذاتی ڈیٹا کی ہر اس منتقلی پر لاگو ہوتا ہے جس کی EU GDPR یا UK GDPR دوسری صورت میں اجازت نہیں دیتے، بشمول ریاستہائے متحدہ کو ہماری آگے کی منتقلیاں۔

یہ اقدامات آج نافذ ہیں:

• منتقلی کے دوران انکرپشن: Cloudflare ایج پر HSTS کے ساتھ TLS 1.3، اور اوریجن سرور پر TLS سرٹیفکیٹس۔
• محفوظ شدہ ڈیٹا کی انکرپشن: ڈسکس اور اسٹوریج بکٹس کے لیے Google کے زیر انتظام کلیدوں کے ساتھ Google Cloud کی ڈیفالٹ انکرپشن، نیز چینل ایکسیس ٹوکنز، انٹیگریشن اور ویب ہک سیکرٹس، ٹو فیکٹر سیکرٹس، سروے کے جوابات اور رضامندی کے ریکارڈز کی ایپلیکیشن سطح پر انکرپشن۔
• پاس ورڈز اور ٹوکنز: پاس ورڈز bcrypt کے ساتھ ہیش کیے جاتے ہیں؛ API ٹوکنز ہیش کی صورت میں محفوظ کیے جاتے ہیں۔
• علیحدگی: ہر ورک اسپیس کے لیے الگ ڈیٹا بیس۔
• نیٹ ورک: ڈیٹا بیسز اور کیشز انٹرنیٹ سے قابل رسائی نہیں؛ Cloudflare DDoS تحفظ اور ویب ایپلیکیشن فائر وال؛ عوامی فارمز پر Turnstile بوٹ تحفظ۔
• سرور کی مضبوطی: CageFS اکاؤنٹ علیحدگی، Imunify360 فائر وال اور میلویئر اسکیننگ، اور لائیو کرنل سیکیورٹی پیچنگ (KernelCare)۔
• رسائی کا کنٹرول: ہر صارف کے لیے رولز اور اجازتیں، اندرونی انتظامی ٹولز کے لیے الگ سائن اِن گارڈ، ہر ورک اسپیس کے لیے دستیاب ٹو فیکٹر توثیق، اور سائن اِن IP پابندیاں۔
• لاگنگ: ہر ورک اسپیس کے لیے ایک سیکیورٹی لاگ جس میں سائن اِنز اور ناکام کوششیں، ٹو فیکٹر اور رول کی تبدیلیاں، سپورٹ رسائی اور API کلید کی تبدیلی شامل ہیں۔
• انٹیگریشنز: Meta، Salla اور Zid سے آنے والے ڈیٹا پر دستخط کی تصدیق، اور ہر نئے آؤٹ گوئنگ ویب ہک کے لیے الگ سائننگ سیکرٹ۔
• نجی اسٹوریج: دستاویزات، ای میل اٹیچمنٹس، کال ریکارڈنگز، بیک اپس اور آرکائیو شدہ ورک اسپیسز نجی اسٹوریج بکٹس میں رکھے جاتے ہیں جن تک عوامی رسائی روکی گئی ہے۔
• گفتگو کا میڈیا: ایسے اسٹوریج میں رکھا جاتا ہے جسے براؤز یا لسٹ نہیں کیا جا سکتا، اور طویل، بے ترتیب لنکس کے ذریعے پیش کیا جاتا ہے جن کا اندازہ لگانا مشکل ہے (سوائے رابطوں کی پروفائل تصاویر کے)؛ محدود وقت کے دستخط شدہ لنکس پر منتقلی جاری ہے۔
• بیک اپس: ادائیگی کرنے والی، ٹرائل اور اعزازی ورک اسپیسز کے ڈیٹا بیسز کے رات کے بیک اپس، دیگر ورک اسپیسز کے لیے 10 دن کی گردش، اور مرکزی اکاؤنٹ ڈیٹا بیس کا روزانہ بیک اپ؛ یہ ریاستہائے متحدہ (us-east1) میں نجی اسٹوریج میں 30 دن تک رکھے جاتے ہیں۔
• حذف کرنا: ہر گاہک پینل سے پوری ورک اسپیس حذف کر سکتا ہے، بشمول اس کا میڈیا، آرکائیو شدہ کاپی اور OpenAI پر موجود AI فائلیں؛ کسی گفتگو کو حذف کرنے سے اس کے پیغامات اور میڈیا مٹ جاتے ہیں۔
• ڈیٹا کو کم سے کم رکھنا: پلیٹ فارمز سے آنے والے پے لوڈز 14 دن بعد، سرور لاگز 14 دن بعد، اور کال ریکارڈنگز بطور ڈیفالٹ 90 دن بعد حذف کر دی جاتی ہیں۔
• نگرانی: بیرونی اپ ٹائم مانیٹرنگ، اور میموری، ڈیٹا بیسز، سیشنز اور قطاروں کی اندرونی نگرانی ریئل ٹائم الرٹس کے ساتھ، جن میں فون نمبرز اور ای میل ایڈریسز چھپائے جاتے ہیں۔

ذیلی پروسیسرز کی موجودہ فہرست، ان کے پروسیس کردہ ڈیٹا، ان کے مقامات اور منتقلی کے تحفظات کے ساتھ، ہمارے ذیلی پروسیسرز کے صفحے پر شائع کی گئی ہے اور اس DPA کا حصہ ہے۔

کمیشن کے نفاذی فیصلے (EU) 2021/914 کے ذریعے منظور شدہ معیاری معاہداتی شقیں حوالے کے ذریعے شامل کی گئی ہیں:

• ماڈیول دو (کنٹرولر سے پروسیسر) جہاں آپ کنٹرولر ہیں، اور ماڈیول تین (پروسیسر سے پروسیسر) جہاں آپ کسی اور کے لیے پروسیسر کے طور پر کام کرتے ہیں۔
• شق 7 (ڈاکنگ شق): شامل ہے۔
• شق 9(a): آپشن 2 (عمومی تحریری اجازت)، 30 دن کے پیشگی نوٹس کے ساتھ۔
• شق 11(a): اختیاری عبارت لاگو نہیں ہوتی۔
• شق 13: مجاز نگران اتھارٹی کا تعین آپ کی صورتحال کے مطابق شق 13(a) کے تحت کیا جاتا ہے۔
• شق 17: آپشن 1، آئرلینڈ کے قانون کے تحت۔ شق 18: آئرلینڈ کی عدالتیں۔
• ضمیمہ I.A: سیکشن 1 میں مذکور فریقین (آپ بطور ڈیٹا ایکسپورٹر، ہم بطور ڈیٹا امپورٹر)۔ ضمیمہ I.B: اس DPA کا ضمیمہ I۔ ضمیمہ I.C: جیسا کہ شق 13 کے تحت طے ہو۔ ضمیمہ II: اس DPA کا ضمیمہ II۔ ضمیمہ III: اس DPA کا ضمیمہ III۔

برطانوی قانون کے تحت آنے والی منتقلیوں کے لیے، ICO کا EU معیاری معاہداتی شقوں کا بین الاقوامی ڈیٹا ٹرانسفر ضمیمہ حوالے کے ذریعے شامل کیا گیا ہے: جدول 1، اوپر مذکور فریقین؛ جدول 2، اوپر منتخب کردہ شقیں؛ جدول 3، ضمیمہ جات I تا III؛ جدول 4، کوئی بھی فریق اس ضمیمے کو اس کے سیکشن 19 میں بیان کردہ طریقے سے ختم کر سکتا ہے۔

LGPD کے تحت آنے والی ڈیٹا کی بین الاقوامی منتقلیوں کے لیے، شرائط و ضوابط قبول کر کے فریقین قرارداد CD/ANPD نمبر 19/2024 کے ضمیمہ II میں موجود معیاری معاہداتی شقیں مکمل طور پر اور بغیر کسی تبدیلی کے اختیار کرتے ہیں۔ سرکاری پرتگالی متن نافذ العمل ہوگا۔

• سیکشن I: آپ ایکسپورٹر (کنٹرولر) ہیں اور ہم امپورٹر (آپریٹر) ہیں؛ منتقلی کی تفصیل ضمیمہ I میں ہے۔
• سیکشن III (سیکیورٹی اقدامات): ضمیمہ II۔
• سیکشن IV: کوئی اضافی شقیں نہیں۔

اس DPA یا شرائط و ضوابط کی کوئی دوسری شرط ان شقوں کو خارج، تبدیل یا ان سے متصادم نہیں کر سکتی۔

مملکت سے باہر ذاتی ڈیٹا کی منتقلیوں کے لیے، شرائط و ضوابط قبول کر کے فریقین سعودی ڈیٹا اینڈ AI اتھارٹی (SDAIA) کی جاری کردہ ذاتی ڈیٹا کی منتقلی کے لیے معیاری معاہداتی شقیں، ٹیمپلیٹ 2 (کنٹرولر سے پروسیسر)، بغیر کسی ترمیم کے اختیار کرتے ہیں۔

• فریقین: آپ ایکسپورٹر ہیں اور ہم امپورٹر ہیں۔
• ٹیمپلیٹ کے ضمیمہ جات 1 تا 3: اس DPA کا سیکشن 1، ضمیمہ I اور ضمیمہ II۔
• یہ شقیں مملکت سعودی عرب کے قوانین کے تحت ہیں اور اس کی عدالتوں کو دائرہ اختیار حاصل ہے، جیسا کہ شقوں میں درج ہے۔
• ہم کسی خلاف ورزی کی اطلاع آپ کو 24 گھنٹوں کے اندر دیتے ہیں، ڈیٹا سبجیکٹس کی درخواستیں 48 گھنٹوں کے اندر آگے بھیجتے ہیں، اور کسی بھی آڈٹ میں SDAIA کے ساتھ تعاون کرتے ہیں۔
• ہم آپ کو بتاتے ہیں کہ مملکت سے باہر کون سے ذیلی پروسیسرز نے ان شقوں کو قبول کیا ہے، اور کون سے نہیں کیا، اس سے پہلے کہ ہم آپ کے ڈیٹا کے لیے ان پر انحصار کریں۔