سیکیورٹی کا جائزہ

فہرست مضامین

1. 1. مختصر خلاصہ
2. 2. آپ کا ڈیٹا کہاں رکھا جاتا ہے
3. 3. انکرپشن
4. 4. ہر کاروبار کے ڈیٹا کو الگ رکھنا
5. 5. سائن ان کا تحفظ
6. 6. آڈٹ ٹریل اور چھیڑ چھاڑ کی نشاندہی
7. 7. بیک اپ اور بحالی
8. 8. ادائیگیاں اور رقم
9. 9. مصنوعی ذہانت
10. 10. ہماری ٹیم کی رسائی
11. 11. نگرانی اور واقعات پر ردعمل
12. 12. سرٹیفیکیشنز
13. 13. آپ کیا کر سکتے ہیں
14. 14. کمزوری کی اطلاع

ورژن: 1.2 · شائع شدہ: 16 اکتوبر 2026 · نافذ: نئی ورک اسپیسز کے لیے قبولیت پر؛ جن ورک اسپیسز نے کوئی سابقہ ورژن قبول کیا ان کے لیے، اس تاریخ پر جو STAK اپنے نوٹس میں STAK کے گاہکوں کے لیے سروس کی شرائط کی شق 20 کے تحت بتائے · حاکم متن: انگریزی (گاہک کی سروس کی شرائط کی شق 23.9)

جاری کنندہ: STAK Global, LLC، جو ریاست ڈیلاویئر، ریاستہائے متحدہ امریکہ میں قائم ایک محدود ذمہ داری کمپنی ہے (فائل نمبر 10798493) اور STAK (ستاك) اور خدمات کی مالک ہے۔ رابطہ: [email protected]۔

یہ سیکیورٹی کا جائزہ آسان زبان میں بیان کرتا ہے کہ ہم آپ کے کاروبار کے ڈیٹا کی حفاظت کیسے کرتے ہیں اور اس کی کاپیاں کیسے رکھتے ہیں، جیسا کہ اس ورژن کی تاریخ نفاذ پر صورت حال ہے۔ جب وہ بدلتی ہے تو ہم اسے اپ ڈیٹ کرتے ہیں۔ یہ صرف معلومات کے لیے ہے۔ ہماری معاہداتی وابستگیاں ڈیٹا پروسیسنگ معاہدے میں ہیں۔ STAK کے گاہکوں کے لیے سروس کی شرائط میں متعین اصطلاحات کا اس سیکیورٹی کے جائزے میں وہی مطلب ہے۔

1. مختصر خلاصہ

• آپ کا ڈیٹا ترسیل کے دوران اور ہمارے سسٹمز میں ذخیرہ ہونے کے دوران انکرپٹ ہوتا ہے۔
• ہر کاروبار کا ڈیٹا ڈیٹا بیس ہی میں دوسروں سے الگ رکھا جاتا ہے۔
• ہم مسلسل بیک اپ بناتے ہیں، اور روزانہ اور ماہانہ کاپیاں کسی دوسرے ملک میں رکھتے ہیں، جو قبل از وقت حذف سے محفوظ ہیں۔
• ہم کارڈ نمبر محفوظ نہیں کرتے، اور ہم آپ کی رقم کبھی وصول نہیں کرتے نہ اپنے پاس رکھتے ہیں۔
• ہر اہم تبدیلی ایک آڈٹ ٹریل میں درج کی جاتی ہے جسے کوئی صارف تبدیل نہیں کر سکتا۔
• ہمارے پاس فی الحال ISO 27001 سرٹیفیکیشن یا SOC 2 رپورٹ نہیں ہے۔ جب ہم انہیں حاصل کریں گے تو یہاں بتائیں گے۔

2. آپ کا ڈیٹا کہاں رکھا جاتا ہے

2.1 خدمات وفاقی جمہوریہ جرمنی کے فرینکفرٹ ریجن میں Amazon Web Services کلاؤڈ انفراسٹرکچر پر چلتی ہیں۔ بیک اپ جمہوریہ آئرلینڈ میں Amazon Web Services کے ایک علیحدہ ریجن میں کاپی کیے جاتے ہیں۔ اس علیحدگی کا مطلب یہ ہے کہ آپ کے ڈیٹا کی ایک کاپی اس وقت بھی رکھی جا سکتی ہے جب پورا بنیادی ہوسٹنگ ریجن ناکام ہو جائے۔

2.2 ہم مستقبل میں ہوسٹنگ کسی دوسرے ریجن میں منتقل کر سکتے ہیں۔ ہم آپ کو کم از کم 30 دن پہلے مطلع کریں گے۔ بنیادی ہوسٹنگ ریجن کے ضائع ہونے کے بعد جمہوریہ آئرلینڈ میں موجود بیک اپ سے خدمات کو عارضی طور پر چلانا منتقلی نہیں ہے، اور ہم آپ کو اس کے بارے میں بلا تاخیر بتائیں گے۔

2.3 STAK کو STAK Global, LLC فراہم کرتی ہے، جو ریاستہائے متحدہ امریکہ میں قائم ایک کمپنی ہے۔ ہمارا ہوسٹنگ فراہم کنندہ اور ہمارے کچھ سروس فراہم کنندگان بھی ریاستہائے متحدہ امریکہ کے قانون کے تابع ہیں۔ ہم ڈیٹا پروسیسنگ معاہدے کی شق 13 میں بیان کردہ طریقے سے آپ کے ڈیٹا کو کسی بھی حکومت کی غیر قانونی رسائی سے محفوظ رکھتے ہیں: ہم ڈیٹا صرف لازمی درخواست پر افشا کرتے ہیں، آپ کو بتاتے ہیں الا یہ کہ قانون منع کرے، افشا کو کم سے کم تک محدود رکھتے ہیں، اور جن درخواستوں کو ہم معقول طور پر غیر قانونی سمجھیں انہیں چیلنج کرتے ہیں۔ آپ کا ڈیٹا ذخیرہ ہونے کے دوران اور ترسیل کے دوران انکرپٹ ہوتا ہے۔

3. انکرپشن

3.1 خدمات سے ہر کنکشن TLS ورژن 1.2 یا اس کے بعد کے ذریعے انکرپٹ کیا جاتا ہے، اور ایپلیکیشن ہر کنکشن پر ڈیٹا بیس سرور کی شناخت کی تصدیق کرتی ہے۔

3.2 ڈیٹا بیس، ڈسکس، فائلیں، بیک اپ اور سیکریٹس اسٹور AES-256 کے ساتھ محفوظ حالت میں انکرپٹ کیے جاتے ہیں، ان کیز کے ساتھ جو Amazon کی کی مینجمنٹ سروس کے ذریعے یا ہوسٹنگ فراہم کنندہ کے ذریعے منظم کی جاتی ہیں۔

3.3 آپ کے ملازمین کی فائلیں اور طبی ریکارڈ ایپلیکیشن کے اندر علیحدہ کیز کے ساتھ اضافی طور پر انکرپٹ ہوتے ہیں، اور ادائیگی سروس فراہم کنندگان اور دیگر فراہم کنندگان سے منسلک ہونے کی کیز ایک علیحدہ سیکریٹس اسٹور میں رکھی جاتی ہیں جو علیحدہ کی سے انکرپٹ ہے۔

4. ہر کاروبار کے ڈیٹا کو الگ رکھنا

4.1 ڈیٹا بیس میں کسی کاروبار کے ڈیٹا کے ہر ریکارڈ پر اس کاروبار کا شناختی نمبر ہوتا ہے جس سے وہ تعلق رکھتا ہے۔ ڈیٹا بیس خود قطار کی سطح کی سیکیورٹی کے ایسے اصول نافذ کرتا ہے جو ایپلیکیشن کو کسی دوسرے کاروبار کے ریکارڈ پڑھنے یا لکھنے سے روکتے ہیں۔ یہ ایپلیکیشن کی اپنی جانچ کے نیچے تحفظ کی ایک آزاد تہہ ہے۔

4.2 ایپلیکیشن جو ڈیٹا بیس اکاؤنٹ استعمال کرتی ہے اسے ان قواعد کو بائی پاس کرنے کی کوئی اجازت نہیں ہے۔

5. سائن ان کا تحفظ

5.1 آپ ان سے سائن ان کر سکتے ہیں:

• تصدیق شدہ نمبر پر WhatsApp کے ذریعے بھیجا گیا تصدیقی کوڈ؛
• پاس کی، چہرے یا انگلی کے نشان کی شناخت کے ساتھ؛
• Google، Apple یا Microsoft کا اکاؤنٹ۔

سائن ان کے بعد دوسرے مرحلے کے طور پر ایک تصدیقی ایپ استعمال کی جا سکتی ہے۔ ہم پاس ورڈ استعمال نہیں کرتے۔

5.2 آپ مخصوص کرداروں کے لیے دو مرحلوں میں سائن ان لازمی قرار دے سکتے ہیں، اور جب کوئی اپنے تصدیقی طریقے تبدیل کرتا ہے تو مالکان اور ایڈمنز کو الرٹ کیا جاتا ہے۔ ہر شخص کو الرٹ کیا جاتا ہے جب اس کا اپنا اکاؤنٹ کسی نئی ڈیوائس سے استعمال ہو۔ جن پلانز میں یہ شامل ہیں ان پر آپ سیشن کے غیر فعال رہنے کا ٹائم آؤٹ بھی مقرر کر سکتے ہیں، اور جب کوئی نئی ڈیوائس سے سائن ان کرتا ہے تو مالکان کو الرٹ کیا جاتا ہے۔

5.3 ہر عملے کے رکن کو ایک متعین کردار اور اجازتیں ملتی ہیں، اور اس کی رسائی مخصوص برانچوں تک محدود کی جا سکتی ہے۔ مشترکہ ڈیوائسز پر عملہ چھ ہندسوں کا ذاتی شناختی نمبر (PIN) استعمال کرتا ہے، اور اس کے ساتھ سائن ان پانچ غلط کوششوں کے بعد لاک ہو جاتا ہے۔

6. آڈٹ ٹریل اور چھیڑ چھاڑ کی نشاندہی

6.1 ہر اہم تبدیلی ایک آڈٹ ٹریل میں درج کی جاتی ہے، جس میں یہ ہوتا ہے کہ کس نے کی، کب کی، کہاں سے کی اور کس IP ایڈریس سے کی۔ کوئی صارف اس ٹریل کو تبدیل یا حذف نہیں کر سکتا، سوائے اس کے کہ کسی حتمی گاہک کا ڈیٹا مٹانے کی درخواست پر عمل کرنے سے اس شخص کی شناخت اس کے اندراجات سے ہٹ جاتی ہے جبکہ یہ برقرار رہتا ہے کہ کیا کیا گیا، کس نے کیا اور کب کیا۔ ٹریل شرائط کے تحت خاتمے پر گاہک کے ڈیٹا کے ساتھ حذف کر دی جاتی ہے۔

6.2 اکاؤنٹنگ اندراجات ایک ایسی زنجیر میں جڑے ہوتے ہیں جو ان میں بعد کی کسی بھی تبدیلی کو ظاہر کر دیتی ہے، اور آپ ان کی سالمیت کو سیکیورٹی کے صفحے سے جانچ سکتے ہیں۔

7. بیک اپ اور بحالی

7.1 ہم ڈیٹا بیس کے مسلسل بیک اپ بناتے ہیں، جو انہیں پچھلے 35 دنوں کے اندر کسی بھی لمحے تک بحال کرنے کی اجازت دیتے ہیں۔ ہم یہ بھی بناتے ہیں:

• روزانہ بیک اپ، 35 دن رکھے جاتے ہیں؛
• ماہانہ بیک اپ، 12 مہینے رکھے جاتے ہیں؛
• ہر رات ڈیٹا بیس کا ایک منطقی بیک اپ (ڈیٹا بیس ڈمپ)، جو 35 دن مقفل اسٹوریج میں رکھا جاتا ہے۔

7.2 روزانہ اور ماہانہ بیک اپ آئرلینڈ میں کاپی کیے جاتے ہیں۔ فرینکفرٹ اور آئرلینڈ میں بیک اپ والٹس کی پالیسی کسی کو بھی، بشمول ہماری اپنی ٹیم کو، برقرار رکھنے کی مدت ختم ہونے سے پہلے کوئی بیک اپ حذف کرنے یا اس مدت کو تبدیل کرنے سے روکتی ہے۔ والٹس ہوسٹنگ فراہم کنندہ کے کمپلائنس موڈ میں بھی لاک ہیں، جسے اس طرح ڈیزائن کیا گیا ہے کہ کوئی بھی، بشمول وہ جو ہوسٹنگ فراہم کنندہ کے ساتھ ہمارے کسی اکاؤنٹ پر قبضہ کر لے، پہلے 35 دنوں میں کوئی بیک اپ حذف نہ کر سکے۔

7.3 ہر مہینے ہم بیک اپ سے ڈیٹا بیس کی بحالی کا ٹیسٹ کرتے ہیں۔ ہمارا ہدف ہے کہ اگر ڈیٹا بیس ناکام ہو تو 15 منٹ سے زیادہ کا ڈیٹا ضائع نہ ہو، اور اگر پوری ہوسٹنگ ریجن ضائع ہو جائے تو 24 گھنٹے سے زیادہ کا نہیں، سروس لیول معاہدے میں دیے گئے بحالی کے اہداف کے مطابق۔

7.4 ہم بیک اپ سروس کی بحالی کے لیے رکھتے ہیں، آپ کے لیے آرکائیو کے طور پر نہیں۔ اس لیے براہ کرم اپنا ڈیٹا پلان اور بلنگ کے صفحے سے یا ہر ایپ سے باقاعدگی سے برآمد کریں۔

8. ادائیگیاں اور رقم

8.1 خدمات اس طرح ڈیزائن کی گئی ہیں کہ کارڈ نمبر ہمارے سسٹمز سے نہ گزریں اور نہ ان میں محفوظ ہوں: ادائیگی ادائیگی سروس فراہم کنندگان کے اپنے صفحات پر یا ان کے تصدیق شدہ کارڈ قبول کرنے والے ٹرمینلز اور ایپس پر ہوتی ہے۔ خدمات کی اسکرینوں میں کارڈ نمبروں یا ان کے سیکیورٹی کوڈز کے لیے کوئی فیلڈ نہیں ہے، اور آپ سیکیورٹی کے صفحے سے کہہ سکتے ہیں کہ ٹیکسٹ فیلڈز میں غلطی سے درج کیے گئے کارڈ نمبروں کی اسکیننگ کی جائے۔

8.2 آپ کی رقم ادائیگی سروس فراہم کنندہ سے براہ راست آپ کے بینک اکاؤنٹ میں طے ہوتی ہے۔ ہم اسے کبھی وصول نہیں کرتے اور نہ اپنے پاس رکھتے ہیں۔

8.3 STAK میں تصفیے وصول کرنے کے لیے رجسٹرڈ بینک اکاؤنٹ تبدیل کرنے کے لیے ایک اضافی تصدیقی مرحلہ درکار ہے اور یہ صرف 48 گھنٹے کے بعد نافذ ہوتا ہے۔ مالکان کو فوری طور پر الرٹ کیا جاتا ہے تاکہ وہ اسے منسوخ کر سکیں۔

9. مصنوعی ذہانت

9.1 ڈیٹا AI فراہم کنندہ کو صرف اس وقت بھیجا جاتا ہے جب کوئی صارف AI خصوصیت کی درخواست کرے، پڑھنے کے لیے کوئی دستاویز اپ لوڈ کرے، جیسے رسید، یا جب کسی صارف کی ترتیب دی ہوئی آٹومیشن کوئی AI مرحلہ چلائے، اور صرف وہی ڈیٹا بھیجا جاتا ہے جو اس درخواست یا مرحلے کے لیے ضروری ہو۔

9.2 آپ کا ڈیٹا مصنوعی ذہانت کے ماڈلز کی تربیت کے لیے استعمال نہیں ہوتا۔ AI خصوصیات کوئی ریکارڈ صرف آپ کی واضح تصدیق کے بعد، یا کسی ایسی آٹومیشن کے تحت تبدیل کرتی ہیں جو کسی مجاز صارف نے ترتیب دے کر آن کی ہو۔

10. ہماری ٹیم کی رسائی

پروڈکشن ماحول تک رسائی محدود تعداد میں نامزد عملے تک محدود ہے اور اس کے لیے ملٹی فیکٹر تصدیق درکار ہے، اور رسائی کے ہر سیشن کا آغاز لاگ کیا جاتا ہے۔ سرورز تک انتظامی رسائی صرف Amazon کی سسٹمز مینجمنٹ سروس کے ذریعے ہوتی ہے، سرورز میں براہ راست لاگ ان نہیں ہوتا۔

ہم آپ کا ڈیٹا صرف ان صورتوں میں دیکھتے ہیں:

• آپ کی طلب کردہ سپورٹ فراہم کرنے کے لیے؛
• خدمات چلانے، برقرار رکھنے اور بحال کرنے کے لیے؛
• کسی سیکیورٹی واقعے یا قابل قبول استعمال کی پالیسی کی مشتبہ خلاف ورزی کی تحقیقات کے لیے؛
• جہاں قانون اس کا تقاضا کرے۔

11. نگرانی اور واقعات پر ردعمل

11.1 ہم کلاؤڈ انفراسٹرکچر کی خودکار طور پر چوبیس گھنٹے نگرانی کرتے ہیں، ہماری ٹیم کو فوری الرٹس کے ساتھ۔ کلاؤڈ انفراسٹرکچر پر ہر انتظامی کارروائی لاگ کی جاتی ہے، اور خطرات اور زائد اجازتیں خودکار طور پر پکڑی جاتی ہیں۔

11.2 اگر ذاتی ڈیٹا کی کوئی خلاف ورزی آپ کے ڈیٹا کو متاثر کرے تو ہم آپ کو بلا غیر ضروری تاخیر مطلع کرتے ہیں: جہاں ممکن ہو اس کا علم ہونے کے 24 گھنٹے کے اندر، اور بہرصورت 48 گھنٹے کے اندر۔ ہم آپ کو بتاتے ہیں کہ کیا ہوا اور ہم نے اس بارے میں کیا کیا ہے۔

12. سرٹیفیکیشنز

ہمارے پاس فی الحال ISO 27001 سرٹیفیکیشن یا SOC 2 رپورٹ نہیں ہے۔ ہمارے پاس PCI DSS سرٹیفیکیشن بھی نہیں ہے، کیونکہ خدمات اس طرح ڈیزائن کی گئی ہیں کہ کارڈ کا ڈیٹا ہمارے سسٹمز سے نہیں گزرتا: وہ ادائیگی سروس فراہم کنندگان کے اپنے صفحات پر یا ان کے تصدیق شدہ ٹرمینلز اور ایپس پر پروسیس ہوتا ہے۔ جن ادائیگی سروس فراہم کنندگان کو آپ خدمات سے منسلک کرتے ہیں ان کے پاس اپنی سرٹیفیکیشنز ہیں۔ ہم مستقبل میں حاصل کی جانے والی کوئی بھی سرٹیفیکیشن یہاں درج کریں گے۔

اگر آپ اپنے STAK صفحات کے ذریعے کارڈ ادائیگیاں لیتے ہیں تو خریدار کو آپ کے ادائیگی سروس فراہم کنندہ کے اپنے صفحے پر بھیجا جاتا ہے، یا آپ اس کے تصدیق شدہ ٹرمینلز اور ایپس استعمال کرتے ہیں، اس لیے STAK کے صفحات کبھی کارڈ ڈیٹا جمع نہیں کرتے۔ اپنے PCI DSS فرائض اپنے ادائیگی سروس فراہم کنندہ کے ساتھ جانچ لیں؛ ایسی ری ڈائریکٹ استعمال کرنے والا کاروبار عموماً سب سے مختصر خود جائزہ سوالنامہ (SAQ A) مکمل کرتا ہے۔ STAK PCI DSS سرٹیفیکیشن کا دعویٰ نہیں کرتا۔

13. آپ کیا کر سکتے ہیں

• مالکان اور ایڈمنز کے لیے دو مرحلوں میں سائن ان آن کریں۔
• ہر عملے کے رکن کو صرف وہ اجازتیں دیں جو اس کے کام کے لیے درکار ہوں، اور جو شخص چھوڑ جائے اس کی رسائی فوراً ہٹا دیں۔
• اپنا ڈیٹا باقاعدگی سے، کم از کم مہینے میں ایک بار، برآمد کریں۔
• پوائنٹ آف سیل ڈیوائسز کو اس وقت تک منسلک رکھیں جب تک آف لائن ریکارڈ کی گئی فروخت کی ہم آہنگی مکمل نہ ہو جائے، کسی بھی ڈیوائس کو صاف کرنے یا اس سے سائن آؤٹ کرنے سے پہلے۔
• اپنی ڈیوائسز کے سسٹمز اور براؤزرز کو اپ ٹو ڈیٹ رکھیں۔
• کسی بھی مشکوک سرگرمی کے بارے میں ہمیں فوراً بتائیں۔

14. کمزوری کی اطلاع

اگر آپ کو کوئی سیکیورٹی کمزوری ملے تو ہمیں [email protected] پر ای میل کریں۔ ہم اطلاعات کو رازداری سے نمٹاتے ہیں۔ ہم قابل قبول استعمال کی پالیسی کی شق 10 کی حدود کے اندر نیک نیتی سے سیکیورٹی ٹیسٹنگ کی اجازت دیتے ہیں، اور ہم کسی ایسے شخص کے خلاف کوئی شکایت یا دعویٰ نہیں کرتے جو ان حدود کے اندر رہے اور کمزوری کی اطلاع ہمیں بلا تاخیر دے۔