ڈیٹا پروسیسنگ ایڈنڈم

یہ ڈیٹا پروسیسنگ ایڈنڈم (“DPA”) BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”، “ہم”) اور اس گاہک کے درمیان ہے جس نے LumaKol کی سروس کی شرائط قبول کی ہیں (“گاہک”، “آپ”)۔

یہ DPA ہر گاہک کے لیے سروس کی شرائط کا حصہ ہے اور جب بھی LumaKol گاہک کی جانب سے ذاتی ڈیٹا پروسیس کرے لاگو ہوتا ہے — بھارت کے Digital Personal Data Protection Act، 2023، GDPR، UK GDPR یا کسی اور ڈیٹا پروٹیکشن قانون کے تحت۔ یہ خود بخود لاگو ہوتا ہے؛ آپ کو اس پر دستخط کرنے کی ضرورت نہیں۔

اگر کوئی گاہک اپنے ریکارڈ کے لیے جوابی دستخط شدہ کاپی چاہے، تو وہ [email protected] پر درخواست کر سکتا ہے۔ جہاں ذاتی ڈیٹا کے تحفظ پر یہ DPA اور سروس کی شرائط متصادم ہوں، وہاں یہ DPA فوقیت رکھتا ہے۔

• “ڈیٹا پروٹیکشن قانون” سے مراد پروسیسنگ پر لاگو ہر ڈیٹا پروٹیکشن قانون ہے، بشمول بھارت کا Digital Personal Data Protection Act، 2023 اور اس کے تحت بنائے گئے قواعد (“DPDP Act”)، EU جنرل ڈیٹا پروٹیکشن ریگولیشن 2016/679 (GDPR)، UK GDPR اور UK Data Protection Act 2018، اور ترمیم شدہ California Consumer Privacy Act (“CCPA”)۔
• “گاہک کا ذاتی ڈیٹا” سے مراد وہ ذاتی ڈیٹا ہے جو LumaKol سروس فراہم کرنے کے لیے گاہک کی جانب سے پروسیس کرتا ہے۔
• “کنٹرولر”، “پروسیسر”، “ڈیٹا سبجیکٹ”، “ذاتی ڈیٹا کی خلاف ورزی” اور “پروسیسنگ” کے وہی معنی ہیں جو ڈیٹا پروٹیکشن قانون میں دیے گئے ہیں۔ جہاں DPDP Act لاگو ہو، “کنٹرولر” سے مراد ڈیٹا فڈیوشری، “پروسیسر” سے مراد ڈیٹا پروسیسر اور “ڈیٹا سبجیکٹ” سے مراد ڈیٹا پرنسپل ہے۔
• “ذیلی پروسیسر” سے مراد وہ تیسرا فریق ہے جسے LumaKol گاہک کا ذاتی ڈیٹا پروسیس کرنے کے لیے مقرر کرے۔
• “SCCs” سے مراد یورپی کمیشن کے Implementing Decision (EU) 2021/914 میں منظور شدہ معیاری معاہداتی شقیں ہیں، اور “UK ایڈنڈم” سے مراد UK Information Commissioner کا جاری کردہ International Data Transfer Addendum ہے۔

دیگر بڑے حروف والی اصطلاحات کے وہی معنی ہیں جو سروس کی شرائط میں دیے گئے ہیں۔

گاہک، گاہک کے ذاتی ڈیٹا کا کنٹرولر ہے اور LumaKol اس کا پروسیسر۔ جہاں گاہک خود کسی دوسرے کنٹرولر کے لیے پروسیسر ہو، وہاں LumaKol اس کا ذیلی پروسیسر ہے اور متعلقہ ہدایات آگے پہنچانا گاہک کی ذمہ داری ہے۔

LumaKol اس ذاتی ڈیٹا کا الگ کنٹرولر ہے جو اسے گاہک کا اکاؤنٹ چلانے کے لیے درکار ہے، جیسے صارفین کے نام، سائن ان کی تفصیلات اور بلنگ ریکارڈ۔ اس ڈیٹا کا احاطہ رازداری کی پالیسی کرتی ہے، یہ DPA نہیں۔

جہاں CCPA لاگو ہو، گاہک ایک “business” ہے اور LumaKol اس کا “service provider”۔ LumaKol گاہک کا ذاتی ڈیٹا فروخت یا شیئر نہیں کرے گا، اسے سروس فراہم کرنے کے علاوہ کسی مقصد کے لیے یا گاہک کے ساتھ اپنے براہ راست کاروباری تعلق سے باہر نہیں رکھے گا، استعمال یا ظاہر نہیں کرے گا، اور CCPA کی اجازت کے علاوہ اسے دوسرے ذرائع کے ذاتی ڈیٹا کے ساتھ نہیں ملائے گا۔ اگر LumaKol یہ ذمہ داریاں مزید پوری نہ کر سکے تو گاہک کو بتائے گا۔

گاہک پروسیسنگ کے لیے قانونی بنیاد (DPDP Act کے تحت، رضامندی یا جائز استعمال) رکھنے، گاہک کے ذاتی ڈیٹا کی درستی، جن لوگوں سے وہ رابطہ کرتا ہے انہیں قانون کا مطلوبہ کوئی بھی نوٹس دینے، اور مارکیٹنگ کالوں اور کال ریکارڈنگ کے قوانین کی اپنی تعمیل کا ذمہ دار ہے۔

• موضوع: LumaKol کی فراہمی، ایک کالنگ CRM جس میں گاہک کی ٹیم لیڈز کا انتظام کرتی ہے، اپنے موبائل فونز سے کالیں کرتی ہے اور ہر کال کا نتیجہ درج کرتی ہے۔
• مدت: جب تک گاہک سروس استعمال کرے، اور اس کے بعد جب تک ڈیٹا “حذف اور واپسی” کے تحت حذف نہ ہو جائے۔
• نوعیت: جمع کرنا، محفوظ کرنا، ترتیب دینا، بازیافت، نمائش، گاہک کے صارفین اور ڈیوائسز تک ترسیل، اور حذف کرنا۔
• مقصد: گاہک کے لیے سروس فراہم کرنا، محفوظ رکھنا اور اس کی معاونت کرنا، اور کوئی دوسرا مقصد نہیں۔

LumaKol گاہک کا ذاتی ڈیٹا صرف گاہک کی دستاویزی ہدایات پر پروسیس کرتا ہے۔ سروس کی شرائط، یہ DPA اور سروس کا گاہک کا استعمال اور ترتیب ہی وہ ہدایات ہیں۔ اگر LumaKol سمجھے کہ کوئی ہدایت ڈیٹا پروٹیکشن قانون کی خلاف ورزی ہے تو گاہک کو بتائے گا، جب تک قانون اسے ایسا کرنے سے منع نہ کرے۔

اگر قانون LumaKol سے گاہک کا ذاتی ڈیٹا کسی اور طریقے سے پروسیس کرنے کا تقاضا کرے، تو وہ ایسا کرنے سے پہلے گاہک کو بتائے گا، جب تک قانون اس سے منع نہ کرے۔

LumaKol یقینی بناتا ہے کہ ہر وہ شخص جسے وہ گاہک کا ذاتی ڈیٹا پروسیس کرنے کا اختیار دے رازداری کی ذمہ داری کا پابند ہو۔ گاہک کے ذاتی ڈیٹا تک عملے کی رسائی اتنی ہی محدود ہے جتنی انہیں سروس چلانے اور اس کی معاونت کے لیے درکار ہو، اور درج کی جاتی ہے۔

LumaKol خطرے کے مطابق تکنیکی اور تنظیمی اقدامات برقرار رکھتا ہے، بشمول:

• ترسیل کے دوران ڈیٹا کی انکرپشن (TLS)، محفوظ حالت میں ڈیٹا بیس کی انکرپشن، اور ٹوکنز اور جڑے ہوئے میل باکس پاس ورڈز جیسی خفیہ معلومات کے لیے AES-256 انکرپشن کی دوسری تہہ؛
• ہر گاہک کے ڈیٹا کی ورک اسپیس کے لحاظ سے علیحدگی، ہر کوئری گاہک کے ورک اسپیس سے فلٹر؛
• Argon2id سے ہیش شدہ پاس ورڈز اور صرف ہیش کے طور پر محفوظ سیشن ٹوکنز؛
• سائن ان پر ریٹ لمٹنگ اور لاک آؤٹ؛
• پروڈکٹ میں کردار پر مبنی رسائی، فون نمبر ماسک کرنے، ایکسپورٹس محدود کرنے اور ریکارڈنگز سننے والوں کو محدود کرنے کے آپشنز کے ساتھ؛
• حساس اقدامات کے صرف اضافے والے آڈٹ لاگز؛
• LumaKol کے عملے کے لیے کثیر مرحلہ تصدیق، پروڈکشن ڈیٹا تک درج شدہ رسائی کے ساتھ؛
• خرابی کے بعد بحالی کے لیے بیک اپس، جو تقریباً چار ہفتوں میں ختم ہو جاتے ہیں۔

LumaKol یہ اقدامات اپ ڈیٹ کر سکتا ہے بشرطیکہ تحفظ کی مجموعی سطح کم نہ ہو۔

گاہک LumaKol کو نیچے جدول میں بیان کردہ ذیلی پروسیسرز مقرر کرنے کا اختیار دیتا ہے۔ LumaKol ہر ذیلی پروسیسر کو تحریری معاہدے کے ذریعے ایسی ڈیٹا پروٹیکشن ذمہ داریوں کا پابند کرتا ہے جو اس DPA سے کم تحفظ والی نہ ہوں، اور ہر ذیلی پروسیسر کی کارکردگی کے لیے گاہک کے سامنے ذمہ دار رہتا ہے۔ موجودہ ذیلی پروسیسرز کے نام کسی بھی گاہک کو [email protected] پر درخواست کرنے پر دیے جاتے ہیں، اور اس DPA کا حصہ ہیں۔

کسی نئے ذیلی پروسیسر کے گاہک کا ذاتی ڈیٹا پروسیس کرنا شروع کرنے سے پہلے، LumaKol کم از کم 30 دن پہلے ای میل کے ذریعے ورک اسپیس کے مالک کو اس کا نام بتاتے ہوئے مطلع کرے گا۔ گاہک اس مدت میں معقول ڈیٹا پروٹیکشن بنیادوں پر اعتراض کر سکتا ہے۔ اگر فریقین اعتراض حل نہ کر سکیں، تو گاہک سروس کے متاثرہ حصے کا استعمال بند کر سکتا ہے یا سبسکرپشن ختم کر سکتا ہے۔

جب iPhone ایپ ریلیز ہوگی، iPhone پلیٹ فارم کی اپنی سروس اس کے پش نوٹیفکیشنز پہنچائے گی؛ ایسا ہونے سے پہلے ہم اوپر بیان کردہ نوٹس کے ساتھ اسے اس فہرست میں شامل کریں گے۔ Google Drive، Sheets اور Calendar، Microsoft Outlook کیلنڈر اور Facebook اور Instagram لیڈ اشتہارات ابھی جوڑے نہیں جا سکتے۔

کال ریکارڈنگز LumaKol کے سرورز پر محفوظ ہوتی ہیں۔ وائس نوٹس اور فیلڈ وزٹ کی تصاویر اس ٹیم ممبر کی Google Drive میں محفوظ ہوں گی جو اسے جوڑے، LumaKol کے سرورز پر نہیں۔

جو ای میلز گاہک اپنی لیڈز کو بھیجتا ہے وہ گاہک کے اپنے میل باکس (ترتیبات → ای میل) کے ذریعے جاتی ہیں، LumaKol کے ای میل فراہم کنندہ کے ذریعے نہیں۔ جو سسٹمز گاہک خود جوڑتا ہے، جیسے اس کی اپنی ویب سائٹ، لیڈ ذرائع، API کلائنٹس اور ویب ہک اینڈ پوائنٹس، وہ گاہک کی ہدایات پر ڈیٹا وصول کرتے ہیں اور LumaKol کے ذیلی پروسیسرز نہیں ہیں۔

سروس گاہک کو اپنی لیڈز کا ڈیٹا تلاش، درست، ایکسپورٹ اور حذف کرنے اور کسی لیڈ کو مزید کالیں روکنے دیتی ہے، تاکہ وہ زیادہ تر ڈیٹا سبجیکٹ کی درخواستوں کا خود جواب دے سکے۔ جہاں وہ ایسا نہ کر سکے، LumaKol پروسیسنگ کی نوعیت کو مدنظر رکھتے ہوئے درخواست پر مدد کرے گا۔

اگر LumaKol کو گاہک کے ذاتی ڈیٹا کے بارے میں کسی ڈیٹا سبجیکٹ سے براہ راست درخواست ملے، تو وہ اسے بلا تاخیر گاہک کو بھیجے گا اور گاہک کی ہدایات کے بغیر اس کا جواب نہیں دے گا۔

LumaKol گاہک کے ڈیٹا پروٹیکشن اثرات کے جائزوں اور نگران حکام سے مشاورت میں بھی معقول مدد دے گا، جس حد تک وہ LumaKol کی پروسیسنگ سے متعلق ہوں۔

گاہک کے ذاتی ڈیٹا کو متاثر کرنے والی ذاتی ڈیٹا کی خلاف ورزی کا علم ہونے کے بعد LumaKol بلا تاخیر، اور ہر صورت میں 48 گھنٹوں کے اندر، گاہک کو مطلع کرے گا، تاکہ گاہک ریگولیٹرز اور متاثرہ لوگوں کو رپورٹ کرنے کی اپنی ذمہ داریاں پوری کر سکے — مثلاً GDPR اور DPDP Act کے قواعد کے تحت 72 گھنٹوں کے اندر۔ نوٹس، جتنا اس وقت معلوم ہو، خلاف ورزی کی نوعیت، متاثرہ لوگوں اور ریکارڈز کے زمرے اور تقریبی تعداد، ممکنہ نتائج اور کیے گئے یا تجویز کردہ اقدامات بیان کرے گا، اور مزید معلومات کے لیے ایک رابطے کا نام دے گا۔

مزید معلوم ہونے پر LumaKol گاہک کو اپ ڈیٹ کرے گا اور خلاف ورزی کو روکنے اور اس کے اثرات محدود کرنے کے لیے معقول اقدامات کرے گا۔ خلاف ورزی کی اطلاع دینا غلطی کا اعتراف نہیں۔

سبسکرپشن کے دوران گاہک اپنی لیڈز CSV میں ایکسپورٹ کر سکتا ہے اور عوامی API کے ذریعے اپنا ڈیٹا پڑھ سکتا ہے۔ جب گاہک اپنا ورک اسپیس بند کرے، یا منسوخی یا عدم ادائیگی پر وقفے کے بعد اس کا ڈیٹا ادائیگی کی شرائط میں درج رکھنے کی مدت کے اختتام پر پہنچے، تو LumaKol سروس سے گاہک کا ذاتی ڈیٹا حذف کر دیتا ہے۔

بیک اپس میں موجود کاپیاں گردشی شیڈول پر ختم ہوتی ہیں اور ختم ہونے پر حذف ہو جاتی ہیں۔ LumaKol ڈیٹا صرف وہیں رکھ سکتا ہے جہاں قانون اس کا تقاضا کرے، اور تب صرف وہی ڈیٹا، اس DPA کے تحت محفوظ، اتنی دیر جتنی قانون کا تقاضا ہو۔

معقول درخواست پر، LumaKol وہ معلومات فراہم کرے گا جو یہ دکھانے کے لیے درکار ہوں کہ وہ اس DPA اور GDPR کے آرٹیکل 28 کے تحت اپنی ذمہ داریاں پوری کرتا ہے، جیسے سکیورٹی سوالناموں کے تحریری جوابات۔

جہاں وہ معلومات کافی نہ ہوں، گاہک خود یا رازداری کے پابند کسی آزاد آڈیٹر کے ذریعے LumaKol کی تعمیل کا آڈٹ کر سکتا ہے، کم از کم 30 دن کے تحریری نوٹس پر، کاروباری اوقات میں، سال میں ایک بار سے زیادہ نہیں جب تک کوئی نگران اتھارٹی اس کا تقاضا نہ کرے یا ذاتی ڈیٹا کی خلاف ورزی کے بعد، اور گاہک کے خرچ پر۔ فریقین پیشگی دائرہ کار پر اتفاق کریں گے تاکہ آڈٹ سروس میں خلل نہ ڈالے یا دوسرے گاہکوں کا ڈیٹا ظاہر نہ کرے۔

LumaKol گاہک کا ذاتی ڈیٹا بھارت میں، سنگاپور اور جاپان میں جہاں سروس ہوسٹ ہے، اور ان ممالک میں پروسیس کرتا ہے جہاں اس کے ذیلی پروسیسرز کام کرتے ہیں۔ جہاں اس میں ذاتی ڈیٹا کی EEA سے، یا UK سے باہر، کسی ایسے ملک کو منتقلی شامل ہو جس کے لیے مناسبیت کا فیصلہ یا ضوابط نہ ہوں، فریقین اتفاق کرتے ہیں کہ:

• EEA ڈیٹا کے لیے، SCCs لاگو ہوتی ہیں اور حوالے سے اس DPA میں شامل ہیں: ماڈیول دو (کنٹرولر سے پروسیسر) جہاں گاہک کنٹرولر ہو، اور ماڈیول تین (پروسیسر سے پروسیسر) جہاں گاہک پروسیسر ہو، اختیاری ڈاکنگ شق، شق 9 میں آپشن 2 (عمومی اجازت)، اور شقوں 17 اور 18 میں آئرلینڈ کے حاکم قانون اور عدالتوں کے ساتھ؛
• UK ڈیٹا کے لیے، UK ایڈنڈم لاگو ہوتا ہے اور حوالے سے شامل ہے، اس کے جداول اس DPA کی معلومات سے مکمل کیے گئے ہیں؛
• SCCs اپنے ضمیموں میں جو معلومات مانگتی ہیں وہ اوپر “فریقین”، “موضوع، مدت، نوعیت اور مقصد”، “ڈیٹا سبجیکٹس اور ذاتی ڈیٹا”، “سکیورٹی اقدامات” اور “ذیلی پروسیسرز کی فہرست” کی معلومات ہیں۔

جہاں DPDP Act لاگو ہو، LumaKol گاہک کا ذاتی ڈیٹا کسی ایسے ملک یا علاقے کو منتقل نہیں کرے گا جس پر حکومت ہند نے پابندی لگائی ہو۔

اگر SCCs یا UK ایڈنڈم اس DPA سے متصادم ہوں، تو وہ فوقیت رکھتے ہیں۔ LumaKol اپنے ذیلی پروسیسرز سے مناسب تحفظات کے ساتھ آگے کی منتقلیوں کی حفاظت کا تقاضا کرتا ہے۔

اس DPA کے تحت ہر فریق کی ذمہ داری سروس کی شرائط کی حدود کے تابع ہے، سوائے اس کے جہاں ڈیٹا پروٹیکشن قانون یا SCCs ذمہ داری کو محدود کرنے کی اجازت نہ دیں۔

یہ DPA تب تک برقرار رہتا ہے جب تک LumaKol گاہک کا ذاتی ڈیٹا پروسیس کرے۔ جو ذمہ داریاں اپنی نوعیت کے لحاظ سے برقرار رہنی چاہئیں، جیسے رازداری اور حذف، وہ اس کے اختتام کے بعد بھی برقرار رہتی ہیں۔ LumaKol قانون یا سروس میں تبدیلیوں کی عکاسی کے لیے اس DPA کو اپ ڈیٹ کر سکتا ہے؛ یہ گاہک کے ذاتی ڈیٹا کو دیا گیا تحفظ کم نہیں کرے گا، اور اوپر “آخری اپ ڈیٹ” کی تاریخ موجودہ ورژن دکھاتی ہے۔

اس DPA کے بارے میں سوالات، اس کے تحت نوٹسز اور جوابی دستخط شدہ کاپی کی درخواستیں [email protected] پر بھیجیں۔

دستخط شدہ کاپی کی درخواست: اپنی تنظیم کے قانونی نام اور پتے کے ساتھ [email protected] پر لکھیں، اور ہم یہ DPA جوابی دستخط کے ساتھ واپس بھیجیں گے۔