UK GDPR

کس چیز کا ذمہ دار کون ہے

UK GDPR (برطانیہ کا ڈیٹا تحفظ قانون) ذمہ داری کو دو کے درمیان تقسیم کرتا ہے: وہ ادارہ جو طے کرتا ہے کہ ذاتی ڈیٹا کیوں پروسیس ہو (کنٹرولر)، اور وہ ادارہ جو اُس کی طرف سے اسے پروسیس کرتا ہے (پروسیسر)۔ اس پلیٹ فارم پر یہ تقسیم اس طرح ہے۔

پروسیسر کا تعلق ہمارے ڈیٹا پروسیسنگ معاہدے (DPA) میں درج ہے، جس میں آرٹیکل 28(3) کی شرائط، ذیلی پروسیسرز سے متعلق عہد اور منتقلی کے طریقے شامل ہیں۔ آپ اسے اکاؤنٹ بنانے سے پہلے پڑھ سکتے ہیں۔

قانونی بنیاد چننا آپ کا کام ہے

ہم آپ کے سروے کے لیے قانونی بنیاد نہیں چن سکتے، کیونکہ ہمیں معلوم نہیں کہ آپ اسے کیوں چلا رہے ہیں۔ عملاً زیادہ تر سروے تین میں سے کسی ایک پر آتے ہیں۔

• عوامی فریضہ — کسی کونسل یا NHS ادارے کے لیے معمول کی بنیاد، جب وہ اپنے قانونی فریضے کے تحت رہائشیوں یا مریضوں سے مشاورت کرتا ہے۔
• جائز مفادات — صارفین یا ارکان سے متعلق تحقیق میں عام، بشرطیکہ آپ نے جائز مفادات کا جائزہ مکمل کر لیا ہو۔
• رضامندی — وہاں مناسب جہاں سروے واقعی اختیاری ہو اور آپ ایسی چیز مانگ رہے ہوں جس سے جواب دہندہ معقول طور پر انکار کر سکتا ہو، اور جہاں رضامندی واپس لینا اسے دینے جتنا ہی آسان ہو۔

اگر آپ کا سروے صحت، نسل، مذہب، جنسی رجحان، ٹریڈ یونین کی رکنیت یا سیاسی رائے کے بارے میں پوچھتا ہے تو آپ خصوصی زمرے کا ڈیٹا پروسیس کر رہے ہیں اور آپ کو قانونی بنیاد کے علاوہ آرٹیکل 9 کی شرط بھی درکار ہے۔ مساوات کی نگرانی سے متعلق سوالات اس کی سب سے عام صورت ہیں۔ سروے کی پہلی اسکرین پر یہ بات لکھیں اور ایسے سوالات اختیاری رکھیں۔

گمنامی: اس بارے میں درست بات کہیں

سروے تبھی گمنام ہے جب آپ اپنے جمع کیے گئے مواد سے کسی کی شناخت دوبارہ نہ کر سکیں۔ اس پلیٹ فارم کی تین خصوصیات خاموشی سے گمنامی توڑ دیتی ہیں اگر آپ ان کا خیال نہ رکھیں: ای میل کا سوال یا پتے کا سوال، آپ کے اپنے نظام کا حوالہ نمبر اٹھانے والا پوشیدہ فیلڈ، اور ایسا فائل اپ لوڈ جس کا مواد یا فائل کا نام شخص کی شناخت کرا دے۔ ان تینوں میں سے کوئی استعمال کرتے ہوئے گمنامی کا وعدہ نہ کریں۔ ”خفیہ“ — یعنی آپ جانتے ہیں کس نے جواب دیا مگر اسے قابلِ شناخت صورت میں رپورٹ نہیں کریں گے — عام طور پر زیادہ دیانت دار لفظ ہے۔

ڈیٹا کم سے کم رکھنا، اور جوابات کتنی مدت رکھے جائیں

مشروط منطق جتنی استعمال کی سہولت کا معاملہ ہے اتنی ہی ڈیٹا کے تحفظ کا کنٹرول بھی: جو سوال چھپا ہوا ہے وہ کچھ جمع ہی نہیں کرتا۔ اسے اس لیے استعمال کریں کہ جو لوگ کسی پوری شاخ میں آتے ہیں اُن سے ایسی معلومات نہ مانگی جائیں جن پر آپ نے کبھی عمل نہیں کرنا۔

آپ جوابات کتنی مدت رکھتے ہیں، یہ آپ کا فیصلہ ہے۔ جوابات ڈیٹابیس میں اُس وقت تک رہتے ہیں جب تک سروے کا مالک انہیں حذف نہ کرے؛ کوئی خودکار میعاد نہیں، اس لیے حذف کرنے کو اپنے شیڈول کا حصہ بنائیں۔ آزمائشی جوابات صاف کرنے سے جوابات، اُن سے منسلک اپ لوڈ اور کوئی بھی محفوظ ادھورے جوابات ہٹ جاتے ہیں، اور یہی وہ کام ہے جو سروے کی آزمائش کے بعد اور لائیو ہونے سے پہلے کرنا چاہیے۔

بین الاقوامی منتقلی

سروے کا مواد اور جوابات برطانیہ میں رکھے جاتے ہیں۔ برطانیہ سے باہر کے دو فراہم کنندگان ذیلی پروسیسرز کے صفحے پر درج ہیں: Resend، جو اطلاعی ای میلیں بھیجتا ہے جو صرف یہ بتاتی ہیں کہ کوئی جواب آیا ہے اور اُن میں جوابات شامل نہیں ہوتے، اور Anthropic، جو اُس تحریر کو پروسیس کرتا ہے جو سروے لکھنے والا AI سے مسودہ بناتے یا ترجمہ کراتے وقت ٹائپ کرتا ہے۔ جواب دہندگان کے جوابات ان میں سے کسی کو نہیں بھیجے جاتے؛ جوابات کا خودکار خلاصہ اب بھی نہیں بنایا گیا۔ یہ منتقلیاں برطانیہ کے International Data Transfer Addendum یا یورپی Standard Contractual Clauses پر مبنی ہیں۔ مقاصد اور مقامات کے ساتھ مکمل فہرست اُسی صفحے پر ہے۔

تحریری جوابات کا خودکار تجزیہ

یہ خصوصیت بنی نہیں۔ سروے کا کوئی مواد خودکار تجزیے کے لیے نہیں بھیجا جاتا، اور پلیٹ فارم پر کوئی چیز جواب دہندگان کی پروفائلنگ نہیں کرتی اور نہ افراد کے بارے میں خودکار فیصلے کرتی ہے۔ اس کا ذکر یہاں صرف اس لیے ہے کہ خریداری کے عمل میں یہ پوچھا جاتا ہے، اور اس کے لیے ایک فراہم کنندہ ذیلی پروسیسرز کے صفحے پر پہلے ہی درج ہے۔

کیا بھیجا جائے گا، بھیجنے سے پہلے کیا نکال دیا جائے گا، کیا سروے کے مالک کو اسے خود آن کرنا ہو گا، کیا وہ مواد کسی فراہم کنندہ کے ماڈل کی تربیت کے لیے استعمال ہو سکتا ہے، اور کیا آرٹیکل 22 لاگو ہوتا ہے — ان سب سوالات کا جواب ہم خصوصیت دستیاب ہونے سے پہلے اسی صفحے پر دیں گے، نہ کہ ابھی قیاس کی بنیاد پر۔ اگر آپ آج پلیٹ فارم کا جائزہ لے رہے ہیں تو اسے اس خصوصیت کے بغیر جانچیں۔

جواب دہندگان کے حقوق، اور انہیں کیسے پورا کیا جائے

جواب دہندگان کی درخواستیں کنٹرولر کی حیثیت سے آپ کے پاس آتی ہیں۔ انہیں پورا کرنے کے لیے پلیٹ فارم آپ کو یہ دیتا ہے:

• رسائی — انفرادی جوابات ایک ایک کر کے دیکھے جا سکتے ہیں، CSV میں ایکسپورٹ کیے جا سکتے ہیں یا براؤزر سے PDF میں چھاپے جا سکتے ہیں۔
• درستی اور حذف — سروے کا مالک جوابات حذف کر سکتا ہے؛ حذف کرنے سے متعلقہ اپ لوڈ اور ادھورے جوابات بھی ہٹ جاتے ہیں۔
• منتقلی — CSV ایکسپورٹ، جس میں میٹرکس کی ہر قطار کے لیے الگ کالم اور ”دیگر“ کے کھلے متن کے لیے علیحدہ کالم ہوتا ہے۔ دیکھیں ایکسپورٹ اور PDF۔
• اعتراض اور رضامندی کی واپسی — یہ آپ اپنی پالیسی کے تحت نمٹاتے ہیں؛ پلیٹ فارم آپ کی طرف سے جواب دہندگان کو ای میل نہیں کرتا۔

ایک عملی وضاحت: اگر آپ کا سروے واقعی گمنام ہے تو ممکن ہے آپ درخواست کرنے والے کا جواب شناخت نہ کر سکیں، اور UK GDPR آپ سے یہ تقاضا نہیں کرتا کہ شناخت ممکن بنانے کے لیے آپ اضافی ڈیٹا جمع کریں۔ اندازے سے کسی جواب کو ملانے کے بجائے اپنی یہ دلیل ریکارڈ کر لیں۔

ذاتی ڈیٹا کی خلاف ورزیاں

جہاں ہمیں ایسی خلاف ورزی کا علم ہو جو آپ کے لیے پروسیس کیے جانے والے ڈیٹا کو متاثر کرتی ہو، ہم آپ کو بلا تاخیر وہ معلومات دے کر مطلع کرتے ہیں جو آپ کو اپنے آرٹیکل 33 کے جائزے کے لیے درکار ہوں۔ 72 گھنٹوں کے اندر Information Commissioner's Office (ICO)، برطانیہ کے ڈیٹا تحفظ ریگولیٹر، کو اطلاع دینی ہے یا نہیں، یہ فیصلہ کنٹرولر کا ہے — یعنی آپ کا — اور ہم آپ کو تسلی دینے کے بجائے وہ سب بتائیں گے جو ہمیں معلوم ہے۔

DPIA اور خریداری کا عمل

وہ مشاورتیں جو کسی علاقے کی پوری آبادی تک پہنچتی ہیں، یا جو صحت یا کمزور حالت سے تعلق رکھتی ہیں، اکثر DPIA کی متقاضی ہوتی ہیں۔ ہم DPIA کے سپلائر والے حصے مکمل کریں گے، سیکیورٹی سوالنامے کا جواب دیں گے اور معاہدے سے پہلے DPA شیئر کریں گے۔ جن تکنیکی کنٹرولز کے بارے میں یہ دستاویزات پوچھتی ہیں وہ سیکیورٹی کے صفحے پر بیان کیے گئے ہیں؛ دیانت دار خلاصہ یہ ہے کہ ہمارے پاس نہ ISO 27001 ہے اور نہ SOC 2 کی سند، اور ہم یہ بات شروع ہی میں کہہ دیتے ہیں۔ رابطے کے صفحے سے پوچھیے۔

یہ صفحہ بتاتا ہے کہ پلیٹ فارم کیسے کام کرتا ہے۔ یہ قانونی مشورہ نہیں، اور یہ آپ کے اپنے جائزے یا آپ کے ادارے کے ڈیٹا پروٹیکشن افسر (DPO) کا متبادل نہیں۔