ڈیٹا پروسیسنگ معاہدہ

فہرست مضامین

1. 1. دائرہ کار، کردار اور تعریفات
2. 2. پروسیسنگ کی تفصیلات
3. 3. گاہک کی ہدایات
4. 4. مجاز افراد کی رازداری
5. 5. سیکیورٹی کے اقدامات
6. 6. ذیلی پروسیسرز
7. 7. ڈیٹا کا مقام اور بین الاقوامی منتقلی
8. 8. ڈیٹا سبجیکٹ کی درخواستوں میں معاونت
9. 9. ذاتی ڈیٹا کی خلاف ورزی کی اطلاع
10. 10. اثرات کے جائزے اور ریگولیٹرز سے مشاورت
11. 11. معلومات اور آڈٹ
12. 12. ڈیٹا کی واپسی اور حذف
13. 13. سرکاری درخواستیں
14. 14. ذمہ داری
15. 15. مدت اور ترجیح
16. 16. ڈیٹا تحفظ کا رابطہ اور پروسیسنگ کا ریکارڈ
17. ضمیمہ 1: پروسیسنگ کی تفصیلات
18. ضمیمہ 2: تکنیکی اور تنظیمی اقدامات
19. ضمیمہ 3: ذیلی پروسیسرز

ورژن: 1.2 · شائع شدہ: 16 اکتوبر 2026 · نافذ: نئی ورک اسپیسز کے لیے قبولیت پر؛ جن ورک اسپیسز نے کوئی سابقہ ورژن قبول کیا ان کے لیے، اس تاریخ پر جو STAK اپنے نوٹس میں STAK کے گاہکوں کے لیے سروس کی شرائط کی شق 20 کے تحت بتائے · حاکم متن: انگریزی (گاہک کی سروس کی شرائط کی شق 23.9)

جاری کنندہ: STAK Global, LLC، جو ریاست ڈیلاویئر، ریاستہائے متحدہ امریکہ میں قائم ایک محدود ذمہ داری کمپنی ہے (فائل نمبر 10798493) اور STAK (ستاك) اور خدمات کی مالک ہے۔ رابطہ: [email protected]۔

1. دائرہ کار، کردار اور تعریفات

1.1 یہ ڈیٹا پروسیسنگ معاہدہ STAK کے گاہکوں کے لیے سروس کی شرائط (“شرائط”) کی شق 3.1 کے تحت معاہدے کا لازمی حصہ ہے۔ یہ STAK کی جانب سے گاہک کے ذاتی ڈیٹا کی پروسیسنگ کو منظم کرتا ہے۔ شرائط میں متعین اصطلاحات کا اس ڈیٹا پروسیسنگ معاہدے میں وہی مطلب ہے۔

1.2 گاہک گاہک کے ذاتی ڈیٹا کا کنٹرولر ہے، اور STAK ایک پروسیسر ہے جو اسے گاہک کی جانب سے اور اس کی ہدایات پر پروسیس کرتا ہے۔

• کنٹرولر اور پروسیسر کا مطلب قابل اطلاق ڈیٹا تحفظ قانون کے تحت ان کے مساوی ہیں، جیسے مملکت سعودی عرب میں کنٹرول کرنے والا ادارہ اور پروسیس کرنے والا ادارہ۔
• اگر گاہک ڈیٹا کو کسی دوسرے کنٹرولر کی جانب سے پروسیسر کے طور پر پروسیس کرتا ہے تو STAK اسے گاہک کے لیے کام کرنے والے پروسیسر کے طور پر پروسیس کرتا ہے، اور شق 1.3 کے معنوں میں ذیلی پروسیسر نہیں ہے۔ گاہک یقینی بناتا ہے کہ اس کی ہدایات اس کنٹرولر کی ہدایات سے مطابقت رکھتی ہیں۔
• STAK اکاؤنٹ کا ڈیٹا کنٹرولر کے طور پر پروسیس کرتا ہے، جیسا کہ رازداری کی پالیسی میں بیان ہے، اور یہ ڈیٹا پروسیسنگ معاہدہ اس پر لاگو نہیں ہوتا۔ نہ یہ حوالہ اور نہ ضمیمہ 3 کا حوالہ شرائط کی شق 3.2 کے تحت معاہداتی ذمہ داریاں پیدا کرتا ہے۔

1.3 درج ذیل اصطلاحات کے وہ معنی ہیں جو ان میں سے ہر ایک کے ساتھ دیے گئے ہیں:

• گاہک کا ذاتی ڈیٹا: گاہک کے ڈیٹا میں موجود ذاتی ڈیٹا، بشمول گاہک کے حتمی گاہکوں، ملازمین، سپلائرز اور صارفین سے متعلق ڈیٹا، اکاؤنٹ کے ڈیٹا کے علاوہ۔
• حساس ذاتی ڈیٹا: صحت اور طبی ڈیٹا، اور کوئی بھی ڈیٹا جسے قابل اطلاق ڈیٹا تحفظ قانون حساس کے طور پر درجہ بند کرے۔
• پروسیسنگ: ذاتی ڈیٹا پر کی جانے والی کوئی بھی کارروائی، جیسے اسے جمع کرنا، ریکارڈ کرنا، محفوظ کرنا، بازیافت کرنا، استعمال کرنا، افشا کرنا، منتقل کرنا اور حذف کرنا۔
• ذیلی پروسیسر: کوئی بھی فریق جسے STAK خدمات کی فراہمی کے مقصد سے گاہک کا ذاتی ڈیٹا پروسیس کرنے کے لیے مقرر کرے۔
• ڈیٹا سبجیکٹ: وہ قدرتی شخص جس سے ذاتی ڈیٹا متعلق ہو۔
• سیکیورٹی واقعہ: کوئی بھی واقعہ جو خدمات کی رازداری، سالمیت یا دستیابی کے لیے خطرہ ہو، یا جس کے خطرہ ہونے کا شبہ ہو۔
• ذاتی ڈیٹا کی خلاف ورزی: سیکیورٹی کی کوئی بھی خلاف ورزی جو گاہک کے ذاتی ڈیٹا کی حادثاتی یا غیر قانونی تباہی، ضیاع یا تبدیلی، یا غیر مجاز افشا یا رسائی کا باعث بنے۔
• بیک اپ: گاہک کے ڈیٹا کی کوئی بھی کاپی جو شق 12.3 اور ضمیمہ 2 کے تحت بحالی کے مقاصد کے لیے بنائی گئی ہو۔
• پروڈکشن ماحول: وہ سسٹمز اور ڈیٹا بیس جن پر خدمات چلتی ہیں اور جنہیں گاہک استعمال کرتا ہے، بیک اپ کے علاوہ۔
• قابل اطلاق ڈیٹا تحفظ قانون: ذاتی ڈیٹا کے تحفظ کی قانون سازی جو پروسیسنگ پر لاگو ہو، ہر ایک جس حد تک لاگو ہو، بشمول درج ذیل:
  • ریاست کویت میں: برقی لین دین سے متعلق قانون نمبر 20 برائے سال 2014، اور مواصلات اور انفارمیشن ٹیکنالوجی ریگولیٹری اتھارٹی کا جاری کردہ ڈیٹا پرائیویسی تحفظ کا ضابطہ، کلاؤڈ کمپیوٹنگ ریگولیٹری فریم ورک اور ڈیٹا کی درجہ بندی کی پالیسی، ہر ایک اپنے دائرے کے اندر؛
  • مملکت سعودی عرب کا ذاتی ڈیٹا کے تحفظ کا قانون، جو شاہی فرمان نمبر (M/19) مورخہ 9/2/1443 AH کے ذریعے جاری ہوا، بصورت ترمیم، اس کے نفاذی ضوابط اور مملکت سے باہر ذاتی ڈیٹا کی منتقلی کا ضابطہ؛
  • متحدہ عرب امارات میں: ذاتی ڈیٹا کے تحفظ سے متعلق وفاقی فرمان بقانون نمبر (45) برائے سال 2021، صحت کے شعبوں میں انفارمیشن اور مواصلاتی ٹیکنالوجی کے استعمال سے متعلق وفاقی قانون نمبر (2) برائے سال 2019، اور دبئی انٹرنیشنل فنانشل سینٹر اور ابوظہبی گلوبل مارکیٹ کے ڈیٹا تحفظ کے قوانین ان کے لیے جو ان کے تابع ہوں؛
  • قانون نمبر (30) برائے سال 2018 جس کے ذریعے مملکت بحرین کا ذاتی ڈیٹا کے تحفظ کا قانون جاری کیا گیا؛
  • قانون نمبر (13) برائے سال 2016 برائے ذاتی ڈیٹا کی نجی زندگی کا تحفظ، ریاست قطر؛
  • سلطنت عمان کے شاہی فرمان نمبر (6/2022) کے ذریعے جاری کردہ ذاتی ڈیٹا کے تحفظ کا قانون؛
  • یورپی یونین کا جنرل ڈیٹا پروٹیکشن ریگولیشن (ریگولیشن (EU) 2016/679)، جہاں وہ گاہک پر لاگو ہو؛
  • برطانیہ کا جنرل ڈیٹا پروٹیکشن ریگولیشن اور Data Protection Act 2018؛ سوئٹزرلینڈ کا وفاقی قانون برائے تحفظ ڈیٹا؛ California Consumer Privacy Act بصورت ترمیم، اور ریاستہائے متحدہ امریکہ کے دیگر جامع ریاستی پرائیویسی قوانین؛ کینیڈا کا Personal Information Protection and Electronic Documents Act اور صوبائی قوانین؛ برازیل کا Lei Geral de Proteção de Dados (قانون نمبر 13.709/2018)؛ بھارت کا Digital Personal Data Protection Act, 2023؛ ترکی کا ذاتی ڈیٹا کے تحفظ سے متعلق قانون نمبر 6698؛ مصر کا قانون نمبر 151 برائے سال 2020؛ جنوبی افریقہ کا Protection of Personal Information Act, 2013؛ سنگاپور کا Personal Data Protection Act 2012؛ آسٹریلیا کا Privacy Act 1988؛ اور ذاتی ڈیٹا کے تحفظ کا کوئی بھی دوسرا قانون جو پروسیسنگ پر لاگو ہو۔

2. پروسیسنگ کی تفصیلات

ضمیمہ 1 میں پروسیسنگ کا موضوع، مدت، نوعیت اور مقصد، ڈیٹا سبجیکٹس کی اقسام اور ذاتی ڈیٹا کی اقسام بیان کی گئی ہیں۔

3. گاہک کی ہدایات

3.1 STAK گاہک کا ذاتی ڈیٹا صرف گاہک کی دستاویزی ہدایات پر پروسیس کرتا ہے۔ وہ ہدایات یہ ہیں:

• معاہدہ؛
• ورک اسپیس کی ترتیبات؛
• وہ اقدامات جو صارفین خدمات کے اندر کرتے ہیں؛
• کوئی بھی دوسری تحریری ہدایات جن پر فریقین اتفاق کریں۔

3.2 جہاں قابل اطلاق قانون تقاضا کرے وہاں STAK ڈیٹا کو ان ہدایات کے علاوہ بھی پروسیس کر سکتا ہے۔ وہ گاہک کو پیشگی مطلع کرتا ہے، الا یہ کہ قانون نوٹس دینے سے منع کرے۔

3.3 STAK گاہک کو مطلع کرتا ہے اگر وہ سمجھے کہ کوئی ہدایت قابل اطلاق ڈیٹا تحفظ قانون کی خلاف ورزی کرتی ہے۔ وہ اس ہدایت پر عمل کرنے سے انکار کر سکتا ہے جب تک گاہک اسے خلاف ورزی ہٹانے کے لیے تبدیل نہ کرے، یا اپنی قانونی بنیاد کے بیان کے ساتھ تحریری طور پر اس کی تصدیق نہ کرے جسے STAK معقول طور پر قبول کرے۔

3.4 گاہک اپنی ہدایات کی قانونی حیثیت اور گاہک کا ذاتی ڈیٹا جمع کرنے اور پروسیس کرنے کی قانونی بنیاد رکھنے کا ذمہ دار ہے۔ اس میں ڈیٹا سبجیکٹس کو مطلع کرنا اور جہاں ضرورت ہو ان کی رضامندی حاصل کرنا شامل ہے، بشمول شق 7 کے تحت ان کے ڈیٹا کی منتقلی پر رضامندی۔

4. مجاز افراد کی رازداری

STAK گاہک کے ذاتی ڈیٹا تک رسائی ان ملازمین اور ٹھیکیداروں تک محدود رکھتا ہے جنہیں اپنے کام کے لیے اس کی ضرورت ہو، اور انہیں رازداری کا پابند بناتا ہے۔ STAK کے ملازمین اور ٹھیکیدار گاہک کے ڈیٹا تک صرف درج ذیل صورتوں میں رسائی حاصل کرتے ہیں، اور پروڈکشن ماحول تک ایسی ہر رسائی کا آغاز لاگ کیا جاتا ہے:

• (a) گاہک کی طلب کردہ سپورٹ فراہم کرنے کے لیے؛
• (b) خدمات چلانے اور برقرار رکھنے اور انہیں بیک اپ سے بحال کرنے کے لیے؛
• (c) کسی سیکیورٹی واقعے یا قابل قبول استعمال کی پالیسی کی مشتبہ خلاف ورزی کی تحقیقات کے لیے؛
• (d) جہاں قانون اس کا تقاضا کرے۔

5. سیکیورٹی کے اقدامات

5.1 STAK گاہک کے ذاتی ڈیٹا کے تحفظ کے لیے پروسیسنگ کی نوعیت اور خطرات کو مدنظر رکھتے ہوئے مناسب تکنیکی اور تنظیمی اقدامات اختیار کرتا ہے۔ ان میں کم از کم ضمیمہ 2 کے اقدامات شامل ہیں۔

5.2 STAK ان اقدامات کو اپ ڈیٹ کر سکتا ہے، بشرطیکہ تحفظ کی مجموعی سطح کم نہ ہو۔

5.3 گاہک ان سیکیورٹی اقدامات کا ذمہ دار ہے جو اس کے اپنے کنٹرول میں ہیں، جیسے صارفین اور اجازتوں کا انتظام، دو مرحلوں میں سائن ان آن کرنا، اپنی ڈیوائسز اور آلات کو محفوظ بنانا اور اپنے برآمد کردہ ڈیٹا کو محفوظ رکھنا۔

6. ذیلی پروسیسرز

6.1 گاہک STAK کو ضمیمہ 3 میں درج ذیلی پروسیسرز کو مقرر کرنے کی اجازت دیتا ہے۔

6.2 STAK کو ہر ذیلی پروسیسر کے ساتھ تحریری معاہدہ کرنا ہوگا۔ معاہدے میں ڈیٹا تحفظ کی ایسی ذمہ داریاں عائد ہونی چاہئیں جو پروسیسنگ کے لیے مناسب اور اس ڈیٹا پروسیسنگ معاہدے کے بنیادی طور پر مساوی تحفظ کی سطح فراہم کریں۔ STAK اپنے ذیلی پروسیسرز کی ذمہ داریوں کی ادائیگی کے لیے گاہک کے سامنے ذمہ دار رہتا ہے۔

6.3 STAK گاہک کو کسی بھی نئے ذیلی پروسیسر کی اطلاع، اس کے گاہک کا ذاتی ڈیٹا پروسیس کرنا شروع کرنے سے کم از کم 30 دن پہلے، خدمات کے اندر یا ای میل کے ذریعے دیتا ہے۔

6.4 نوٹس کی مدت کے دوران، گاہک معقول ڈیٹا تحفظ کی بنیادوں پر نئے ذیلی پروسیسر پر تحریری اعتراض کر سکتا ہے۔ اگر فریقین کسی حل پر متفق نہ ہو سکیں تو گاہک پروسیسنگ شروع ہونے سے پہلے متاثرہ سبسکرپشن، یا معاہدہ، ختم کر سکتا ہے اور باقی مدت کے لیے پیشگی ادا کی گئی فیس کی واپسی حاصل کر سکتا ہے۔

6.5 وہ منسلک فراہم کنندگان جنہیں گاہک اپنے اکاؤنٹس کے ذریعے منسلک کرتا ہے STAK کے ذیلی پروسیسرز نہیں ہیں۔ ان میں ادائیگی سروس فراہم کنندگان، گاہک کے اپنے WhatsApp Business اکاؤنٹ کے سلسلے میں Meta، اور ڈیلیوری پلیٹ فارمز شامل ہیں۔ گاہک کی ہدایات پر انہیں ڈیٹا بھیجنا گاہک کی ہدایت پر اور اس کی طرف سے کی گئی منتقلی ہے۔

6.6 ڈیٹا AI خصوصیات کے فراہم کنندہ کو صرف اس وقت بھیجا جاتا ہے جب کوئی صارف ان میں سے کسی خصوصیت کی درخواست کرے، جب کوئی صارف ان میں سے کسی کے پڑھنے کے لیے کوئی دستاویز اپ لوڈ کرے، جیسے رسید، یا جب کسی صارف کی ترتیب دی ہوئی آٹومیشن ایسا مرحلہ چلائے جس میں AI استعمال ہو، اور صرف وہی ڈیٹا بھیجا جاتا ہے جو اس درخواست یا مرحلے کو انجام دینے کے لیے ضروری ہو۔ فراہم کنندہ اسے اپنے ماڈلز کی تربیت کے لیے استعمال نہیں کر سکتا۔ حساس ذاتی ڈیٹا اسے صرف اس صورت میں بھیجا جاتا ہے جب درخواست یا مرحلے میں خود وہ موجود ہو۔

7. ڈیٹا کا مقام اور بین الاقوامی منتقلی

7.1 خدمات وفاقی جمہوریہ جرمنی کے فرینکفرٹ ریجن میں Amazon Web Services کے پروڈکشن ماحول میں ہوسٹ کی جاتی ہیں، اور گاہک کا ذاتی ڈیٹا بنیادی طور پر وہیں محفوظ ہوتا ہے۔ بیک اپ اسی ریجن میں رکھے جاتے ہیں، اور ان کی کاپیاں جمہوریہ آئرلینڈ میں Amazon Web Services کے ایک علیحدہ ریجن میں بنائی جاتی ہیں۔

7.2 گاہک درج ذیل کو تسلیم کرتا ہے، اور اس کے نتیجے میں ہونے والی منتقلیوں کی صراحتاً اجازت دیتا ہے:

• (a) ہوسٹنگ یورپی یونین میں ہوتی ہے، جو اس ملک سے باہر ہو سکتی ہے جہاں گاہک قائم ہے یا کاروبار کرتا ہے؛
• (b) Cloudflare ہر وقت اپنے عالمی نیٹ ورک کے ذریعے نیٹ ورک ٹریفک کو پروسیس کرتا ہے؛
• (c) ضمیمہ 3 میں درج دیگر ذیلی پروسیسرز دوسرے ممالک میں، بشمول ریاستہائے متحدہ امریکہ، ڈیٹا صرف اس وقت پروسیس کرتے ہیں جب متعلقہ سروس استعمال کی جائے؛
• (d) STAK کے ملازمین ریاست کویت سے ڈیٹا تک رسائی حاصل کر سکتے ہیں، صرف ان صورتوں میں جو شق 4 میں بیان کی گئی ہیں۔

7.3 گاہک کے ذاتی ڈیٹا کی اس ملک سے باہر منتقلی کے لیے جہاں وہ جمع کیا گیا تھا، STAK درج ذیل تحفظات لاگو کرتا ہے:

• (a) شق 6.2 میں مذکور معاہدے، بشمول وہ معیاری معاہداتی شقیں جو STAK نے یورپی یونین سے باہر ذیلی پروسیسرز کے ساتھ طے کر رکھی ہیں؛
• (b) ترسیل کے دوران اور اسٹوریج میں انکرپشن؛
• (c) منتقلی کے وہ طریقہ کار جنہیں قابل اطلاق ڈیٹا تحفظ قانون تسلیم کرتا ہے جہاں وہ ان کا تقاضا کرے، بشمول شق 7.6 میں دیے گئے طریقہ کار۔

7.4 گاہک کو وہ ہر رضامندی یا اجازت حاصل کرنی ہوگی جس کا اس کے ملک کا قانون گاہک کے ذاتی ڈیٹا کو اس ملک سے باہر منتقل کرنے کے لیے تقاضا کرتا ہو، خواہ ریگولیٹر سے ہو یا ڈیٹا سبجیکٹس سے۔ STAK درخواست پر اس کے لیے درکار معلومات فراہم کرتا ہے۔

7.5 STAK گاہک کو کم از کم 30 دن پہلے مطلع کرنے کے بعد بنیادی ہوسٹنگ یا بیک اپ کو دوسرے ریجن میں منتقل کر سکتا ہے، اور گاہک شق 6.4 کے تحت اعتراض کر سکتا ہے، اور اس شق کے تحت کوئی بھی خاتمہ منتقلی کی تاریخ سے پہلے نافذ ہوتا ہے۔ بنیادی ہوسٹنگ ریجن کے ضائع ہونے کے بعد جمہوریہ آئرلینڈ میں موجود بیک اپ سے خدمات کو عارضی طور پر چلانا اس شق کے تحت منتقلی نہیں ہے، اور STAK گاہک کو اس کی اطلاع بلا تاخیر دیتا ہے۔

7.6 قانون کے تحت درکار منتقلی کے طریقہ کار: شق 7.4 پر اثر ڈالے بغیر:

• (a) جہاں یورپی یونین کا جنرل ڈیٹا پروٹیکشن ریگولیشن گاہک پر لاگو ہوتا ہے، وہاں یورپی کمیشن کے نفاذی فیصلے (EU) 2021/914 کے تحت منظور کردہ معیاری معاہداتی شقیں (“EU SCCs”) حوالے کے ذریعے اس ڈیٹا پروسیسنگ معاہدے میں شامل کی جاتی ہیں: ماڈیول دو (کنٹرولر سے پروسیسر) جہاں گاہک کنٹرولر ہو، اور ماڈیول تین (پروسیسر سے پروسیسر) جہاں وہ کسی دوسرے کنٹرولر کے لیے ڈیٹا پروسیس کرتا ہو۔ گاہک ڈیٹا برآمد کنندہ ہے اور STAK ڈیٹا درآمد کنندہ۔ شق 7 (الحاق کی شق) لاگو ہوتی ہے۔ شق 9(a) کے تحت، آپشن 2 (عمومی تحریری اجازت) لاگو ہوتا ہے، جس کے ساتھ شق 6.3 میں دی گئی نوٹس کی مدت ہے۔ شق 11(a) میں اختیاری الفاظ لاگو نہیں ہوتے۔ شقوں 17 اور 18 کے تحت جمہوریہ آئرلینڈ کا قانون اور عدالتیں لاگو ہوتی ہیں۔ مجاز نگران اتھارٹی کا تعین شق 13 کے تحت کیا جاتا ہے۔ ان کے ضمیمے ضمیمہ جات 1، 2 اور 3 سے مکمل کیے جاتے ہیں۔ اگر ان میں اور معاہدے میں تضاد ہو تو یہ معاہدے پر غالب آتی ہیں۔
• (b) جہاں مملکت سعودی عرب کا ذاتی ڈیٹا کے تحفظ کا قانون گاہک پر لاگو ہو، وہاں Saudi Data and Artificial Intelligence Authority کی جاری کردہ ذاتی ڈیٹا کی منتقلی کے لیے معیاری معاہداتی شقیں، دوسرا نمونہ (کنٹرولر سے پروسیسر)، حوالے کے ذریعے اس ڈیٹا پروسیسنگ معاہدے میں شامل کی جاتی ہیں۔ گاہک ڈیٹا برآمد کنندہ ہے اور STAK ڈیٹا درآمد کنندہ، اور ان کے ضمیمے ضمیمہ جات 1، 2 اور 3 سے مکمل کیے جاتے ہیں۔ STAK گاہک کو وہ معلومات فراہم کرتا ہے جو منتقلی کے خطرے کے اس جائزے کے لیے درکار ہوں جو گاہک کو مملکت سے باہر ذاتی ڈیٹا کی منتقلی کے ضابطے کے تحت کرنا ہوتا ہے۔ اگر ان میں اور معاہدے میں تضاد ہو تو یہ معاہدے پر غالب آتی ہیں۔
• (c) جہاں متحدہ عرب امارات کا وفاقی فرمان بقانون نمبر (45) برائے سال 2021 گاہک پر لاگو ہو، وہاں STAK منتقل شدہ ڈیٹا پر اس قانون کی وہ دفعات، اقدامات اور کنٹرولز لاگو کرتا ہے جو پروسیسر پر لاگو ہوتے ہیں۔
• (d) جہاں برطانیہ کا جنرل ڈیٹا پروٹیکشن ریگولیشن گاہک پر لاگو ہو، وہاں برطانیہ کے Information Commissioner کا جاری کردہ International Data Transfer Addendum to the EU SCCs (ورژن B1.0، جو 21 مارچ 2022 سے نافذ ہے، بعد کی ترامیم کے ساتھ) حوالے کے ذریعے شامل کیا جاتا ہے۔ جدول 1 تا 3 فریقین کی تفصیلات سے، جو معاہدے اور ضمیمہ جات 1 تا 3 میں ہیں، مکمل کیے جاتے ہیں۔ جدول 4 کے لیے، کوئی بھی فریق Addendum کو اس طرح ختم کر سکتا ہے جیسا اس کا سیکشن 19 اجازت دیتا ہے۔
• (e) جہاں سوئٹزرلینڈ کا وفاقی قانون برائے تحفظ ڈیٹا گاہک پر لاگو ہو، وہاں EU SCCs ان تبدیلیوں کے ساتھ لاگو ہوتی ہیں: سوئٹزرلینڈ کا وفاقی کمشنر برائے تحفظ ڈیٹا و معلومات اس قانون کے تحت آنے والی منتقلیوں کے لیے مجاز نگران اتھارٹی ہے؛ GDPR کے حوالوں میں وہ قانون شامل ہے؛ اور “رکن ملک” کو اس طرح پڑھا جاتا ہے کہ سوئٹزرلینڈ میں موجود ڈیٹا سبجیکٹس سوئٹزرلینڈ میں دعوے دائر کر سکیں۔
• (f) جہاں کوئی اور قابل اطلاق ڈیٹا تحفظ قانون کسی مخصوص منتقلی کی دستاویز کا تقاضا کرے، جیسے برازیل کی قومی ڈیٹا تحفظ اتھارٹی کی معیاری معاہداتی شقیں یا ترکی کے قانون نمبر 6698 کے تحت معیاری معاہدہ، تو STAK گاہک کی درخواست پر وہ دستاویز پر دستخط کرتا ہے یا اسے شامل کرتا ہے، جس کی تفصیلات ضمیمہ جات 1 تا 3 سے مکمل کی جاتی ہیں۔
• (g) جہاں California Consumer Privacy Act یا ریاستہائے متحدہ امریکہ کا اسی طرح کا کوئی ریاستی پرائیویسی قانون لاگو ہو، وہاں STAK گاہک کے سروس پرووائیڈر، ٹھیکیدار یا پروسیسر کے طور پر کام کرتا ہے۔ STAK گاہک کا ذاتی ڈیٹا فروخت یا شیئر نہیں کرتا۔ وہ اسے معاہدے کے تحت خدمات فراہم کرنے کے علاوہ کسی مقصد کے لیے، یا گاہک کے ساتھ براہ راست کاروباری تعلق سے باہر، نہ رکھتا ہے، نہ استعمال کرتا ہے اور نہ افشا کرتا ہے۔ وہ اسے دوسرے ذرائع سے حاصل شدہ ذاتی معلومات کے ساتھ نہیں ملاتا، سوائے اس کے جس کی وہ قوانین اجازت دیں۔ وہ ان قوانین کی پابندی کرتا ہے اور پرائیویسی کے تحفظ کی وہی سطح فراہم کرتا ہے جس کا وہ تقاضا کرتے ہیں۔ اگر وہ ان ذمہ داریوں کو مزید پورا نہ کر سکے تو گاہک کو بتاتا ہے۔ گاہک کسی بھی غیر مجاز استعمال کو روکنے اور اس کا ازالہ کرنے کے لیے معقول اقدامات کر سکتا ہے۔ STAK تصدیق کرتا ہے کہ وہ ان پابندیوں کو سمجھتا ہے۔

7.7 وہ ڈیٹا جو کسی مخصوص ملک میں رہنا لازمی ہو: گاہک خدمات میں ایسا ڈیٹا نہیں رکھ سکتا جسے قابل اطلاق قانون کسی مخصوص ملک کے اندر ذخیرہ یا پروسیس کرنے کا تقاضا کرتا ہو، الا یہ کہ خدمات شرائط کی شق 9.5 کے تحت ظاہر کریں کہ متعلقہ ایپ کے لیے اس ملک میں ہوسٹنگ دستیاب ہے۔ یہ شرائط کی شق 13.4 اور قابل قبول استعمال کی پالیسی کی شق 5.4 کے مطابق ہے۔

8. ڈیٹا سبجیکٹ کی درخواستوں میں معاونت

8.1 خدمات گاہک کو اپنے حتمی گاہکوں کا ذاتی ڈیٹا دیکھنے، برآمد کرنے اور درست کرنے کے ٹولز دیتی ہیں، اسے ان کی شناخت کو ایک عرف سے بدل کر مٹانے کا ٹول دیتی ہیں جبکہ وہ ریکارڈ برقرار رہتے ہیں جنہیں قانون رکھنے کا تقاضا کرتا ہے، اور اپنے ملازمین کا ڈیٹا دیکھنے اور درست کرنے کے ٹولز دیتی ہیں۔ گاہک یہ ٹولز ڈیٹا سبجیکٹ کی درخواستوں کا جواب دینے کے لیے استعمال کرتا ہے، اور STAK شق 8.3 کے تحت ان تمام باتوں میں معاونت کرتا ہے جنہیں یہ ٹولز پورا نہیں کرتے، بشمول ملازمین کا ڈیٹا برآمد اور حذف کرنا۔

8.2 اگر STAK کو گاہک کے ذاتی ڈیٹا سے متعلق کسی ڈیٹا سبجیکٹ سے براہ راست درخواست موصول ہو تو وہ اسے بلا تاخیر گاہک کو بھیج دیتا ہے اور صرف گاہک کی ہدایات پر جواب دیتا ہے۔

8.3 STAK گاہک کو ان تمام معاملات میں معقول معاونت فراہم کرتا ہے جنہیں دستیاب ٹولز پورا نہیں کرتے۔

9. ذاتی ڈیٹا کی خلاف ورزی کی اطلاع

9.1 گاہک کے ذاتی ڈیٹا کو متاثر کرنے والی ذاتی ڈیٹا کی کسی بھی خلاف ورزی کا علم ہونے کے بعد STAK گاہک کو بلا غیر ضروری تاخیر مطلع کرتا ہے۔ وہ جہاں ممکن ہو علم ہونے کے 24 گھنٹے کے اندر، اور بہرصورت 48 گھنٹے کے اندر ایسا کرتا ہے۔

9.2 نوٹس میں، جہاں تک معلومات دستیاب ہوں، شامل ہوتا ہے:

• (a) خلاف ورزی کی نوعیت؛
• (b) ڈیٹا سبجیکٹس کی اقسام اور ان کی تخمینی تعداد؛
• (c) ممکنہ نتائج؛
• (d) خلاف ورزی سے نمٹنے کے لیے اٹھائے گئے اور تجویز کردہ اقدامات؛
• (e) STAK میں رابطے کا ایک مرکز۔

STAK مزید معلومات جیسے ہی دستیاب ہوں فراہم کرتا ہے۔

9.3 STAK خلاف ورزی کو قابو میں لانے اور اس کے اثرات محدود کرنے کے لیے فوراً معقول اقدامات کرتا ہے۔ جہاں گاہک کو ریگولیٹرز اور ڈیٹا سبجیکٹس کو مطلع کرنا ہو وہاں وہ اس میں گاہک کے ساتھ تعاون کرتا ہے، ان مدتوں کو مدنظر رکھتے ہوئے جو قانون گاہک کے لیے مقرر کرتا ہے۔ جہاں قابل اطلاق قانون STAK سے خود خلاف ورزی کی اطلاع ریگولیٹر کو دینے کا تقاضا کرے، وہاں STAK مطلوبہ مدت کے اندر ایسا کرتا ہے اور گاہک کو بتاتا ہے۔

9.4 STAK کی جانب سے خلاف ورزی کی اطلاع، یا اس سے نمٹنے میں اس کا تعاون، غلطی یا ذمہ داری کا اعتراف نہیں ہے۔

10. اثرات کے جائزے اور ریگولیٹرز سے مشاورت

گاہک کی درخواست پر، STAK ڈیٹا تحفظ کے اثرات کا جائزہ لینے یا کسی ریگولیٹر سے مشاورت کے لیے درکار معقول معلومات فراہم کرتا ہے، اس حد تک جہاں تک وہ خدمات سے متعلق ہوں۔

11. معلومات اور آڈٹ

11.1 گاہک کی درخواست پر، STAK وہ معلومات فراہم کرتا ہے جو اس ڈیٹا پروسیسنگ معاہدے کی تعمیل ثابت کرنے کے لیے معقول طور پر درکار ہوں۔ اس میں سیکیورٹی کی دستاویزات اور سال میں ایک سیکیورٹی سوالنامے کے جوابات شامل ہیں۔

11.2 گاہک اپنے خرچ پر آڈٹ کر سکتا ہے، یا رازداری کے پابند کسی آزاد آڈیٹر سے کروا سکتا ہے، درج ذیل صورتوں میں:

• (a) جہاں کوئی ریگولیٹر اس کا تقاضا کرے؛
• (b) اپنے ڈیٹا کو متاثر کرنے والی ذاتی ڈیٹا کی خلاف ورزی کے بعد؛
• (c) جہاں شق 11.1 کے تحت فراہم کردہ معلومات کافی نہ ہوں۔

آڈٹ ان شرائط کے تابع ہے:

• گاہک آڈٹ کی اطلاع STAK کو کم از کم 30 دن پہلے دیتا ہے۔
• یہ کاروباری دنوں میں کام کے اوقات کے دوران ہوتی ہے۔
• پیراگراف (c) کے تحت آڈٹ سال میں ایک بار سے زیادہ نہیں ہو سکتا۔
• کوئی آڈٹ ذیلی پروسیسرز کی سہولیات تک وسیع نہیں ہوتا۔ اس کی بجائے ان کی سرٹیفیکیشنز اور آزاد رپورٹس کافی ہیں۔
• کسی آڈٹ میں دوسرے گاہکوں کے ڈیٹا تک رسائی یا کوئی ایسی چیز شامل نہیں جو ان کی سیکیورٹی پر اثر ڈالے۔

12. ڈیٹا کی واپسی اور حذف

12.1 گاہک شرائط کی شق 19.5 کے تحت کسی بھی وقت، اور معاہدہ ختم ہونے کے بعد 30 دن تک، گاہک کا ذاتی ڈیٹا برآمد کر سکتا ہے۔

12.2 برآمد کی مدت کے بعد، STAK گاہک کا ذاتی ڈیٹا پروڈکشن ماحول سے 30 دنوں کے اندر حذف کر دیتا ہے، الا یہ کہ قابل اطلاق قانون اسے رکھنے کا تقاضا کرے، اور شرائط کی شق 19.5 میں دیے گئے روک کے تابع، جب تک STAK کو کسی عدالتی تنازع، تحقیقات یا مجاز اتھارٹی کی درخواست کی اطلاع دی گئی ہو۔

12.3 بیک اپ درج ذیل برقرار رکھنے کی مدتوں تک رکھے جاتے ہیں:

• (a) مخصوص وقت پر بحالی اور روزانہ بیک اپ: ہر بیک اپ بنانے کی تاریخ سے 35 دن؛
• (b) ڈیٹا بیس کے روزانہ رات کو بننے والے منطقی بیک اپ (ڈیٹا بیس ڈمپس): 35 دن؛
• (c) ماہانہ بیک اپ: ہر بیک اپ بنانے کی تاریخ سے 12 مہینے؛
• (d) اپ لوڈ شدہ فائلوں کے پرانے ورژنز: ان کے تبدیل یا حذف کیے جانے کی تاریخ سے 90 دن۔

وہ قواعد جو ان بیک اپ پر لاگو ہوتے ہیں:

• روزانہ اور ماہانہ بیک اپ اور ان کی کاپیاں بیک اپ والٹس میں رکھی جاتی ہیں جن کی پالیسی کسی کو بھی، بشمول STAK کے اپنے عملے کو، برقرار رکھنے کی مدت ختم ہونے سے پہلے کوئی بیک اپ حذف کرنے یا اس مدت کو تبدیل کرنے سے روکتی ہے، اور جن کا ہوسٹنگ فراہم کنندہ کے کمپلائنس موڈ میں لاک کم از کم پہلے 35 دنوں کے دوران کسی بھی بیک اپ کے حذف ہونے کو روکتا ہے۔
• رات کے وقت بننے والے منطقی بیک اپ برقرار رکھنے کی مدت ختم ہونے تک تبدیلی اور حذف سے محفوظ رکھے جاتے ہیں۔
• STAK برقرار رکھنے کی مدت ختم ہونے سے پہلے کوئی بیک اپ حذف نہیں کرتا، حتیٰ کہ گاہک کی درخواست پر بھی نہیں۔
• تمام بیک اپ استعمال سے باہر کر دیے جاتے ہیں اور صرف تکنیکی بحالی کے لیے استعمال ہوتے ہیں، شق 12.4 کے تابع، یا جہاں قانون اس کا تقاضا کرے۔
• حذف شدہ ڈیٹا پر مشتمل تمام بیک اپ ان مدتوں کے ختم ہونے پر، یعنی زیادہ سے زیادہ 12 مہینوں کے اندر، ختم ہو جاتے ہیں، اور حذف شدہ ڈیٹا پھر مستقل طور پر تلف کر دیا جاتا ہے۔
• درخواست پر، STAK گاہک کو وہ تاریخ بتاتا ہے جس پر حذف شدہ ڈیٹا پر مشتمل آخری بیک اپ ختم ہوتا ہے، تاکہ گاہک ڈیٹا سبجیکٹ کو بتا سکے۔

12.4 اگر STAK ان مدتوں کے دوران کوئی بیک اپ بحال کرے تو وہ ڈیٹا دستیاب کرنے سے پہلے، اس بیک اپ کی تاریخ کے بعد شق 8.1 کے تحت کیے گئے مٹانے کے عمل اور شق 12.2 کے تحت کیے گئے حذف کو، ان کارروائیوں کے اپنے ریکارڈ کے ذریعے، دوبارہ لاگو کرتا ہے۔

13. سرکاری درخواستیں

اگر STAK کو کسی سرکاری یا عدالتی اتھارٹی سے گاہک کا ذاتی ڈیٹا افشا کرنے کی لازمی درخواست موصول ہو تو وہ گاہک کو مطلع کرتا ہے، الا یہ کہ قانون نوٹس دینے سے منع کرے۔ STAK افشا کو اس کم از کم حد تک محدود رکھتا ہے جو درخواست کا تقاضا ہو۔ جن درخواستوں کو وہ معقول طور پر غیر قانونی سمجھے، ان کو دستیاب قانونی ذرائع سے چیلنج کرتا ہے۔

14. ذمہ داری

اس ڈیٹا پروسیسنگ معاہدے کے تحت ہر فریق کی ذمہ داری، بشمول شق 7.6 میں معیاری معاہداتی شقوں کے تحت دوسرے فریق کے سامنے اس کی ذمہ داری، شرائط کی شق 16 میں ذمہ داری کی حد بندی کی دفعات کے تابع ہے، اس حد تک جس کی وہ شقیں اجازت دیں اور ان کے تحت ڈیٹا سبجیکٹس کے حقوق پر اثر ڈالے بغیر۔

15. مدت اور ترجیح

15.1 یہ ڈیٹا پروسیسنگ معاہدہ اس وقت تک لاگو رہتا ہے جب تک STAK گاہک کا ذاتی ڈیٹا پروسیس کرتا ہے۔

15.2 جہاں یہ ڈیٹا پروسیسنگ معاہدہ شرائط سے متصادم ہو، وہاں گاہک کے ذاتی ڈیٹا سے متعلق معاملات میں یہ غالب رہتا ہے۔

15.3 جہاں قابل اطلاق ڈیٹا تحفظ قانون اس ڈیٹا پروسیسنگ معاہدے سے زیادہ سخت کوئی لازمی ذمہ داری عائد کرے، وہاں وہ ذمہ داری اپنے دائرے کے اندر لاگو ہوتی ہے۔

16. ڈیٹا تحفظ کا رابطہ اور پروسیسنگ کا ریکارڈ

STAK نے ڈیٹا تحفظ کے لیے ایک رابطہ کار مقرر کیا ہے، جس سے [email protected] پر ای میل کے ذریعے رابطہ کیا جا سکتا ہے۔ STAK گاہکوں کی جانب سے کی جانے والی پروسیسنگ سرگرمیوں کا ریکارڈ رکھتا ہے، اور جہاں قانون تقاضا کرے وہ مجاز ریگولیٹر کو فراہم کرتا ہے۔

ضمیمہ 1: پروسیسنگ کی تفصیلات

• موضوع: شرائط کے تحت گاہک کو خدمات فراہم کرنا۔
• مدت: معاہدے کی مدت، اس کے بعد شق 12 کے تحت برآمد اور حذف کی مدت، شق 12.3 میں بیک اپ برقرار رکھنے کی مدتیں، اور ضمیمہ 3 میں درج ذیلی پروسیسرز کی برقرار رکھنے کی مدتیں۔
• نوعیت اور مقصد:
  • گاہک کا ڈیٹا ذخیرہ کرنا اور ہوسٹ کرنا؛
  • فروخت، آرڈرز، بکنگز اور انوائسز کی پروسیسنگ؛
  • انوینٹری، اکاؤنٹنگ، انسانی وسائل اور تنخواہ کا انتظام؛
  • وہ پیغامات بھیجنا جن کی گاہک منسلک فراہم کنندگان کے ساتھ اپنے اکاؤنٹس کے ذریعے، یا ان میسجنگ فراہم کنندگان کے ذریعے جنہیں STAK استعمال کرتا ہے جب وہ ضمیمہ 3 میں درج ہوں، درخواست کرے؛
  • AI خصوصیات فراہم کرنا جب وہ استعمال کی جائیں؛
  • بیک اپ، سیکیورٹی اور سپورٹ۔
• ڈیٹا سبجیکٹس کی اقسام:
  • گاہک کے حتمی گاہک، مہمان اور مریض؛
  • اس کے ملازمین اور ملازمت کے امیدوار؛
  • صارفین؛
  • اس کے سپلائرز اور ان کے رابطہ افراد؛
  • ڈرائیور اور کوریئرز۔
• ذاتی ڈیٹا کی اقسام:
  • شناخت اور رابطے کا ڈیٹا، جیسے نام، فون، ای میل، پتہ اور ڈیلیوری کا مقام؛
  • لین دین، آرڈرز، بکنگز اور انوائسز کے ریکارڈ؛
  • ادائیگیوں سے منسلک حوالہ جات، مکمل کارڈ نمبروں کے بغیر؛
  • لائلٹی کا ڈیٹا، ترجیحات اور رضامندیاں؛
  • گاہک کے ملازمین سے متعلق ڈیٹا، جیسے سول آئی ڈی نمبر، رہائش کی تفصیلات، تنخواہ، بین الاقوامی بینک اکاؤنٹ نمبر (IBAN)، حاضری اور چھٹی؛
  • گاہک کی اپ لوڈ کی ہوئی تصاویر اور دستاویزات؛
  • پیغامات کے لاگز اور آڈٹ ٹریل۔
• حساس ذاتی ڈیٹا: صحت اور طبی ڈیٹا جب کلینک ایپس استعمال کی جائیں، شق 7.7 اور شرائط کی شق 13.4 کے تابع، جس کے تحت مریضوں کے ریکارڈ کی خصوصیات ریاست کویت یا متحدہ عرب امارات میں صحت کی خدمات حاصل کرنے والے مریضوں کے لیے استعمال نہیں کی جانی چاہئیں؛ اور انسانی وسائل کی فائلوں میں صحت کا ڈیٹا، جیسے بیماری کے نوٹ۔ طبی ریکارڈ اور انسانی وسائل کی فائلیں علیحدہ کیز کے ساتھ انکرپٹ کی جاتی ہیں، اور یہ ڈیٹا صرف ان صارفین کو نظر آتا ہے جن کے کردار اسے دیکھنے کے مجاز ہوں۔ انشورنس کلیمز اور پیشگی اجازتوں میں تشخیص اور طریقہ کار کے کوڈز، اور انشورنس کارڈز کی تصاویر، ضمیمہ 2 میں دی گئی ڈیٹا بیس اور اسٹوریج انکرپشن سے محفوظ ہیں۔

ضمیمہ 2: تکنیکی اور تنظیمی اقدامات

1. انکرپشن:
   • ترسیل کے دوران ڈیٹا TLS ورژن 1.2 یا اس کے بعد کے ذریعے انکرپٹ کیا جاتا ہے، اور ہر کنکشن پر ڈیٹا بیس سرور کی شناخت کی تصدیق کی جاتی ہے۔
   • ڈیٹا بیس، ڈسکس، فائلوں، بیک اپ اور سیکریٹس اسٹور میں محفوظ ڈیٹا AES-256 سے انکرپٹ کیا جاتا ہے، ان کیز کے ساتھ جو AWS Key Management Service (AWS KMS) کے ذریعے یا ہوسٹنگ فراہم کنندہ کے ذریعے منظم کی جاتی ہیں۔
   • انسانی وسائل کی فائلیں اور طبی ریکارڈ ایپلیکیشن کے اندر علیحدہ کیز کے ساتھ اضافی طور پر انکرپٹ کیے جاتے ہیں، اور منسلک فراہم کنندگان کے کنکشن کی تفصیلات ایک علیحدہ سیکریٹس اسٹور میں رکھی جاتی ہیں جو علیحدہ کی سے انکرپٹ ہوتا ہے۔
2. ہر گاہک کے ڈیٹا کی علیحدگی: گاہک کے ڈیٹا کے ہر ریکارڈ پر اس کاروبار کا شناختی نمبر ہوتا ہے جس سے وہ تعلق رکھتا ہے۔ ڈیٹا بیس میں قطار کی سطح کی سیکیورٹی کی پالیسیاں ایپلیکیشن کے رول پر لاگو ہوتی ہیں، اور ایپلیکیشن کے رول کو انہیں بائی پاس کرنے کی کوئی اجازت نہیں ہے۔ مرکب کلید کی پابندیاں ایک کاروبار کے ریکارڈ کو دوسرے کے ریکارڈ سے جڑنے سے روکتی ہیں۔
3. رسائی پر کنٹرول:
   • رسائی کم سے کم استحقاق کے اصول پر دی جاتی ہے۔
   • پروڈکشن ماحول تک رسائی نامزد STAK ملازمین تک محدود ہے، اس کے لیے ملٹی فیکٹر تصدیق درکار ہے، اور ہر رسائی کا آغاز لاگ کیا جاتا ہے۔
   • سرورز تک انتظامی رسائی صرف AWS Systems Manager کے ذریعے ہوتی ہے، براہ راست (SSH) لاگ ان نہیں ہوتا۔
4. صارف کے سائن ان کی سیکیورٹی:
   • صارفین کے لیے، خدمات پاس کیز، تصدیقی ایپس اور تصدیق شدہ فون پر بھیجے گئے تصدیقی کوڈ فراہم کرتی ہیں۔
   • گاہک کے لیے، خدمات حسب ضرورت کردار اور اجازتیں، برانچ کے لحاظ سے محدود رسائی اور، ان پلانز پر جن میں وہ شامل ہوں، سیشن کے غیر فعال رہنے کے قواعد اور نئی ڈیوائسز سے سائن ان پر مالکان کو الرٹس فراہم کرتی ہیں۔
5. آڈٹ ٹریل: تبدیلیوں کی ایک آڈٹ ٹریل رکھی جاتی ہے جسے کوئی صارف تبدیل یا حذف نہیں کر سکتا۔ اس میں کرنے والا، وقت، ماخذ اور IP ایڈریس درج ہوتے ہیں۔ جب گاہک شق 8.1 کے تحت کسی حتمی گاہک کا ذاتی ڈیٹا مٹاتا ہے تو اندراجات سے اس شخص کی شناختی تفصیلات ہٹ جاتی ہیں مگر یہ برقرار رہتا ہے کہ کیا کیا گیا، کس نے کیا اور کب۔ آڈٹ ٹریل شق 12 کے تحت گاہک کے ڈیٹا کے ساتھ حذف کر دی جاتی ہے۔ اکاؤنٹنگ اندراجات ایک ایسی زنجیر میں جڑے ہوتے ہیں جو کسی بھی چھیڑ چھاڑ کو ظاہر کر دیتی ہے۔
6. بیک اپ اور بحالی:
   • خودکار، مسلسل بیک اپ 35 دنوں کے اندر مخصوص وقت پر بحالی کی اجازت دیتے ہیں؛
   • روزانہ بیک اپ 35 دن اور ماہانہ بیک اپ 12 مہینے رکھے جاتے ہیں، اور وہ جمہوریہ آئرلینڈ میں ایک علیحدہ جغرافیائی ریجن میں کاپی کیے جاتے ہیں۔ بیک اپ والٹس کی پالیسی ان کے برقرار رکھنے کی مدت ختم ہونے سے پہلے ان کے حذف یا اس مدت میں کسی تبدیلی کو روکتی ہے، اور کمپلائنس موڈ کا لاک کم از کم پہلے 35 دنوں کے دوران کسی بھی بیک اپ کے حذف کو روکتا ہے؛
   • ہر رات ڈیٹا بیس کا ایک منطقی بیک اپ بنایا جاتا ہے اور 35 دن تبدیلی اور حذف سے محفوظ اسٹوریج میں رکھا جاتا ہے؛
   • بیک اپ سے ڈیٹا بیس کی بحالی کا ہر مہینے ٹیسٹ کیا جاتا ہے۔
7. ادائیگی کا ڈیٹا: خدمات اس طرح ڈیزائن کی گئی ہیں کہ STAK مکمل کارڈ نمبر محفوظ نہیں کرتا۔ ادائیگیاں ادائیگی سروس فراہم کنندگان کے ہوسٹ کیے گئے صفحات پر یا ان کے تصدیق شدہ کارڈ قبول کرنے والے ٹرمینلز اور ایپس پر کی جاتی ہیں۔ خدمات کی اسکرینوں میں کارڈ ڈیٹا درج کرنے کے لیے کوئی فیلڈ نہیں ہے، اور خدمات گاہک کو آزاد متن کے فیلڈز میں غلطی سے درج کیے گئے کارڈ نمبروں کی اسکیننگ کرنے دیتی ہیں تاکہ انہیں ہٹایا جا سکے۔
8. نیٹ ورک اور انفراسٹرکچر: ڈیٹا بیس نجی نیٹ ورکس میں چلتے ہیں جو عوامی طور پر قابل رسائی نہیں ہیں، فائر والز کے پیچھے۔ ایک ویب ایپلیکیشن فائر وال اور ڈینائل آف سروس حملوں سے تحفظ Cloudflare کے ذریعے فراہم کیا جاتا ہے۔
9. کمزوریوں کا انتظام اور محفوظ ڈیولپمنٹ: کوڈ کا جائزہ لیا جاتا ہے اور ہر ریلیز سے پہلے خودکار ٹیسٹ چلائے جاتے ہیں۔ سافٹ ویئر لائبریریوں کی جانچ کی جاتی ہے، اور سیکیورٹی اپ ڈیٹس بلا تاخیر لاگو کیے جاتے ہیں۔
10. نگرانی اور واقعات پر ردعمل:
    • کلاؤڈ انفراسٹرکچر کی خودکار طور پر چوبیس گھنٹے نگرانی کی جاتی ہے، فوری الرٹس کے ساتھ؛
    • کلاؤڈ انفراسٹرکچر پر ہر انتظامی کارروائی لاگ کی جاتی ہے، اور خطرات اور زائد اجازتیں Amazon کی مخصوص خدمات (AWS CloudTrail، GuardDuty اور IAM Access Analyzer) کے ذریعے خودکار طور پر پکڑی جاتی ہیں؛
    • سیکیورٹی واقعات کا جواب دینے اور شق 9 کے تحت اطلاع دینے کے لیے دستاویزی طریقہ کار لاگو ہوتے ہیں۔
11. کاروباری تسلسل: تسلسل اور بحالی کے منصوبے لاگو ہوتے ہیں، سروس لیول معاہدے میں بحالی کے اہداف کے مطابق۔
12. عملہ: STAK کے ملازمین اور ٹھیکیدار رازداری کے پابند ہیں اور سیکیورٹی آگاہی کی تربیت حاصل کرتے ہیں۔
13. محفوظ حذف: ڈیٹا شق 12 کے تحت حذف کیا جاتا ہے، اور ہوسٹنگ فراہم کنندہ میڈیا کو اپنے معیارات کے مطابق تلف کرتا ہے۔

ضمیمہ 3: ذیلی پروسیسرز

فراہم کنندگان صرف اس وقت استعمال ہوتے ہیں جب آن کیے جائیں۔ STAK نے درج ذیل فراہم کنندگان ترتیب دے رکھے ہیں لیکن آج وہ گاہک کا ذاتی ڈیٹا پروسیس کرنے کے لیے انہیں استعمال نہیں کرتا۔ وہ ان میں سے کسی کا استعمال صرف شق 6.3 کے تحت کم از کم 30 دن پہلے نوٹس دینے کے بعد شروع کرتا ہے، اور نوٹس میں بتایا جاتا ہے کہ فراہم کنندہ ڈیٹا کہاں پروسیس کرتا ہے اور اسے کتنی دیر رکھتا ہے۔

جب STAK اپنا WhatsApp نمبر آن کر دے گا تو Meta اس سے صارفین کو سائن ان کوڈز اور عوامی صفحات پر اپنے فون نمبر کی تصدیق کرنے والے حتمی گاہکوں کو تصدیقی کوڈز بھیجے گا۔ ایسا کرتے ہوئے وہ وہ ڈیٹا پروسیس کرتا ہے جسے STAK رازداری کی پالیسی کے تحت کنٹرولر کے طور پر پروسیس کرتا ہے، گاہک کا ذاتی ڈیٹا نہیں۔

اوپر دیے گئے فراہم کنندگان کے علاوہ، STAK گاہک کا ذاتی ڈیٹا پروسیس کرنے کے لیے ٹیکسٹ میسج، پش نوٹیفکیشن، ڈیجیٹل والٹ، یا ایڈریس تلاش، تصدیق اور نقشہ سازی کے فراہم کنندگان استعمال نہیں کرتا۔