ڈیٹا پروسیسنگ معاہدہ

DPA سرے سے کیوں موجود ہے

ڈیٹا تحفظ کا قانون کنٹرولر کو یہ اجازت نہیں دیتا کہ وہ ذاتی ڈیٹا کسی سپلائر کے حوالے محض بھروسے پر کر دے۔ UK GDPR کا آرٹیکل 28 کہتا ہے کہ یہ انتظام ایسے معاہدے کے تحت ہونا چاہیے جو پروسیسر کو پابند کرے، اور یہ بھی بتاتا ہے کہ اس معاہدے میں کیا کچھ ہونا لازم ہے۔ یہ ذمہ داری دونوں طرف ہے: اگر آپ سروے کے ذریعے ذاتی ڈیٹا جمع کرتے ہیں اور کوئی DPA موجود نہیں، تو خلاف ورزی صرف ہماری نہیں، آپ کی بھی ہے۔ یہی وجہ ہے کہ خریداری کی ٹیمیں یہ جلد مانگتی ہیں، اور یہی وجہ ہے کہ ہم وہی ای میل چالیس بار سنبھالنے کے بجائے یہ صفحہ شائع کرنا بہتر سمجھتے ہیں۔

UK GDPR کا صفحہ کنٹرولر اور پروسیسر کی تقسیم مزید تفصیل سے بیان کرتا ہے، بشمول اُن صورتوں کے جہاں کنٹرولر ہم ہوتے ہیں — اکاؤنٹ کا ڈیٹا اور سپورٹ کی خط و کتابت۔

کب ضرورت ہے اور کب نہیں

اگر آپ کا سروے ذاتی ڈیٹا جمع کرتا ہے تو آپ کو DPA درکار ہے۔ یہ حد اتنی اونچی نہیں جتنی لگتی ہے۔ جس سروے میں نام کا خانہ نہ ہو، وہ بھی ذاتی ڈیٹا جمع کر سکتا ہے: کسی آزاد متن کے خانے سے جہاں کوئی اپنے بارے میں لکھ دے، کسی پتہ یا ای میل کے سوال سے، کسی فائل اپ لوڈ سے، یا کسی چھپے ہوئے فیلڈ سے جو آپ کے اپنے نظام کا کیس ریفرنس ساتھ لاتا ہے۔ اگر ان میں سے کوئی بھی صورت ہو تو سروے کو ذاتی ڈیٹا کی پروسیسنگ سمجھیے اور کاغذی کارروائی مکمل کر لیجیے۔

واقعی گمنام سروے — کوئی شناخت کنندہ نہیں، کوئی چھپا ہوا فیلڈ نہیں، کوئی اپ لوڈ نہیں، اور کوئی ایسا آزاد متن نہیں جو ذاتی تفصیل کی دعوت دے — کو DPA کی ضرورت نہیں، کیونکہ پروسیس کرنے کے لیے کوئی ذاتی ڈیٹا ہی نہیں۔ اپنے آپ سے دیانت داری سے طے کیجیے کہ آپ کون سا سروے چلا رہے ہیں۔ گمنامی سے متعلق حصہ اُن تین فیچرز کا احاطہ کرتا ہے جو غیرارادی طور پر گمنامی سب سے زیادہ توڑتے ہیں۔

ہمارا DPA کیا احاطہ کرتا ہے

معاہدہ مختصر ہے اور آرٹیکل 28(3) کے ڈھانچے کی پیروی کرتا ہے، اسے از سرِ نو ایجاد نہیں کرتا۔ ان میں سے ہر ایک دستاویز میں موجود ہے:

ضمیمہ، سادہ الفاظ میں

ضمیمہ وہ حصہ ہے جسے زیادہ تر لوگ واقعی پڑھتے ہیں، کیونکہ وہ بتاتا ہے کہ ڈیٹا کہاں جاتا ہے۔ سروے کا مواد، جوابات، محفوظ کیے گئے ادھورے جوابات اور اپ لوڈ کی گئی فائلیں Supabase کے پاس لندن میں AWS کے انفراسٹرکچر پر محفوظ ہوتی ہیں (eu-west-2)۔ اُن پر لاگو تکنیکی کنٹرولز — ترسیل میں TLS، محفوظ حالت میں AES-256، رو لیول سیکیورٹی، ادارے کی علیحدگی جو براؤزر سے لینے کے بجائے سرور پر طے ہوتی ہے، اور ایک نجی اپ لوڈ بکٹ جو صرف اُن دستخط شدہ URL سے پڑھی جاتی ہے جو 300 سیکنڈ بعد ختم ہو جاتے ہیں — سیکیورٹی کے صفحے پر بیان کیے گئے ہیں، اور یہی بیان آرٹیکل 32 کا شیڈول بنتا ہے۔

ہر وہ تیسرا فریق جس پر ہم انحصار کرتے ہیں، وہ کیا کرتا ہے، اسے کیا نظر آتا ہے اور کہاں، یہ سب ذیلی پروسیسر کے صفحے پر ہے۔ DPA اُس فہرست کے لیے عمومی تحریری اجازت دیتا ہے اور ہمیں پابند کرتا ہے کہ نیا فراہم کنندہ پروسیسنگ شروع کرنے سے پہلے اضافہ شائع کریں، اور آپ کو ڈیٹا تحفظ کی معقول بنیادوں پر اعتراض کا حق حاصل ہو۔ اُس صفحے پر دو اندراجات ”ابھی تصدیق ہونا باقی ہے“ کے نشان کے ساتھ ہیں کیونکہ ہم نے فراہم کنندہ سے ریجن کی تصدیق نہیں کرائی؛ اگر دستخط سے پہلے آپ کو ان میں سے کسی کی تصدیق چاہیے تو بتا دیجیے، ہم اندازہ لگانے کے بجائے فراہم کنندہ سے پوچھ کر تصدیق کریں گے۔

نقل کیسے طلب کریں

رابطہ کے صفحے سے پوچھیے۔ ہمیں معاہدہ کرنے والے ادارے کا قانونی نام اور دستخط کرنے والے کا نام بتائیے، اور یہ بھی کہ آپ کو یہ اکاؤنٹ بننے سے پہلے چاہیے یا بعد میں — دونوں ٹھیک ہیں، اور ہم چاہیں گے کہ آپ کا ڈیٹا پروٹیکشن افسر اسے جانچ کے مرحلے پر پڑھ لے، نہ کہ تیسرے مہینے میں کوئی مسئلہ دریافت کرے۔

اگر آپ کے ادارے کا اپنا لازمی DPA ہے تو وہ بھیج دیجیے۔ کونسلوں، NHS کے اداروں اور یونیورسٹیوں کے پاس عموماً اپنا DPA ہوتا ہے، اور اس بحث سے کہ کس کا کاغذ چلے گا، آپ کا مسودہ پڑھ لینا تیز تر ہے۔ ہم اسے ٹھیک سے پڑھتے ہیں اور اُن مخصوص نکات کے ساتھ واپس آتے ہیں جہاں کوئی شق پلیٹ فارم کے اصل طرزِ عمل سے میل نہیں کھاتی — مثلاً ایسی آڈٹ شق جو ایسے ڈیٹا سینٹر کے موقع پر معائنے کا تقاضا کرے جو ہماری ملکیت نہیں، یا ڈیٹا رکھنے کی مدت سے متعلق ایسی پابندی جو یہ فرض کر لے کہ مدت پوری ہوتے ہی ڈیٹا خود بخود ختم ہو جاتا ہے — ہمارے ہاں ایسا کوئی خودکار نظام نہیں۔ ایسی شق پر دستخط کر دینے کے بجائے جو ہم پوری نہیں کر سکتے، ہم اس کی نشاندہی کرنا بہتر سمجھتے ہیں۔

DPA کیا نہیں کرتا

یہ آپ کی قانونی بنیاد نہیں چنتا، آپ کا پرائیویسی نوٹس نہیں لکھتا اور آپ کا ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ (DPIA) مکمل نہیں کرتا۔ یہ کنٹرولر کی ذمہ داریاں ہیں، اور کوئی سپلائر معاہدہ انہیں منتقل نہیں کرتا۔ ہم DPIA کے سپلائر والے حصے مکمل کریں گے اور سیکیورٹی سوالنامے کا جواب دیں گے — ہم کیا احاطہ کرتے ہیں، یہ UK GDPR کے صفحے پر ہے — لیکن جائزہ آپ کا اپنا ہے۔

یہ ایسی سند بھی نہیں دیتا جو ہمارے پاس نہیں۔ ہم ISO 27001 سے تصدیق شدہ نہیں ہیں، ہم نے SOC 2 آڈٹ مکمل نہیں کیا اور ہمارے پاس Cyber Essentials نہیں ہے۔ اگر آپ کے طریقۂ کار میں ان میں سے کوئی لازمی شرط ہے تو DPA آپ کو وہاں سے نہیں گزارے گا، اور یہ بات آپ کو جانچ پر وقت لگانے سے پہلے معلوم ہونی چاہیے۔

متعلقہ صفحات

سیکیورٹی اُن کنٹرولز کو بیان کرتا ہے جن کا DPA ہمیں پابند کرتا ہے۔ UK GDPR کردار، قانونی بنیادیں، ڈیٹا رکھنے کی مدت اور جواب دہندگان کے حقوق کا احاطہ کرتا ہے۔ ذیلی پروسیسرز وہی ضمیمہ فہرست ہے، زندہ صورت میں۔ رسائی کا بیان وہ دوسری دستاویز ہے جو خریداری کی ٹیمیں عموماً اسی ای میل میں مانگتی ہیں۔

یہ صفحہ معاہدے کو بیان کرتا ہے۔ یہ قانونی مشورہ نہیں ہے اور آپ کے اپنے جائزے کا متبادل نہیں۔