ڈیٹا پروسیسنگ کا معاہدہ

ڈیٹا پروسیسنگ کا یہ معاہدہ (" DPA ") ELXAO SASU (" پروسیسر ") اور کلائنٹ (" کنٹرولر ") کے درمیان معاہدے کا ایک لازمی حصہ بناتا ہے اور ضابطہ (EU) 2016/679 (" GDPR ") کے آرٹیکل 28 کو نافذ کرتا ہے اور فرانسیسی ڈیٹا ایکٹ ° Loi78-7 جنوری کو لاگو کرتا ہے۔ 1978 جیسا کہ ترمیم شدہ)۔ جب بھی ELXAO سروسز فراہم کرنے کے دوران کنٹرولر کی جانب سے ذاتی ڈیٹا پر کارروائی کرتا ہے تو اس کا اطلاق ہوتا ہے۔

تعریفیں

اصطلاحات "ذاتی ڈیٹا"، "پروسیسنگ"، "کنٹرولر"، "پروسیسر"، "سب پروسیسر"، "ڈیٹا سبجیکٹ"، "خصوصی زمرہ کا ڈیٹا" اور "ذاتی ڈیٹا کی خلاف ورزی" کے وہ معنی ہیں جو GDPR کے آرٹیکل 4 میں دیئے گئے ہیں۔ معاہدے کی شرائط اس DPA پر لاگو ہوتی ہیں سوائے اس کے کہ جہاں یہ DPA انہیں واضح طور پر اوور رائیڈ کرتا ہو۔

موضوع، دورانیہ اور پروسیسنگ کی نوعیت

کردار اور ہدایات

کنٹرولر پروسیسنگ کے مقاصد اور ذرائع کا تعین کرتا ہے۔ ELXAO ذاتی ڈیٹا پر مکمل طور پر کنٹرولر کی دستاویزی ہدایات پر کارروائی کرتا ہے، جو کہ معاہدے، احکامات، SLAs، کنٹرولر کی رازداری کی پالیسی اور اس کے بعد بھیجی جانے والی کسی بھی مخصوص تحریری ہدایات کے ذریعے رسمی ہوتی ہے۔ ELXAO بغیر کسی تاخیر کے کنٹرولر کو مطلع کرے گا اگر وہ ڈیٹا کے تحفظ کے قانون کی خلاف ورزی کرنے کی ہدایت پر غور کرتا ہے۔

اہلکاروں کی رازداری

ELXAO اس بات کو یقینی بناتا ہے کہ ذاتی ڈیٹا پر کارروائی کرنے کا مجاز ہر فرد قابلِ عمل رازداری کی ذمہ داری (ملازمت کا معاہدہ، فری لانس کنٹریکٹ یا NDA) کا پابند ہے اور اس نے اپنے کردار کے مطابق ذاتی ڈیٹا کے تحفظ کی تربیت حاصل کی ہے۔

حفاظتی اقدامات

ELXAO مناسب تکنیکی اور تنظیمی اقدامات (آرٹیکل 32 GDPR) کو نافذ کرتا ہے، بشمول:

• ٹرانزٹ میں TLS 1.2+ انکرپشن اور پروڈکشن ڈیٹا اسٹورز کے لیے AES-256 انکرپشن باقی ہے۔
• کم از کم استحقاق کے اصول کے ساتھ کردار پر مبنی رسائی کا کنٹرول؛ تمام منتظمین کے لیے لازمی ملٹی فیکٹر تصدیق۔
• سخت، یورپی یونین کے زیر اہتمام بنیادی ڈھانچہ جس میں باقاعدہ کمزوری اسکیننگ اور پیچنگ ہے۔
• کوڈ کا جائزہ، راز کا انتظام، محفوظ SDLC اور پیداوار/اسٹیجنگ ماحول کی علیحدگی۔
• سنٹرلائزڈ، سالمیت سے محفوظ لاگنگ؛ مشکوک تصدیق اور ڈیٹا ایکسپورٹ کے واقعات پر الرٹ کرنا۔
• دستاویزی بحالی ٹیسٹ کے ساتھ خفیہ کردہ، جغرافیائی طور پر الگ کیے گئے بیک اپ۔
• پرسنل آن بورڈنگ/آف بورڈنگ کے طریقہ کار، پاس ورڈ مینیجر، مکمل ڈسک انکرپشن کے ساتھ محفوظ لیپ ٹاپ۔
• کاروباری تسلسل اور واقعے کے جوابی منصوبوں کا کم از کم سالانہ جائزہ لیا جاتا ہے۔

ذیلی پروسیسنگ

کنٹرولر ELXAO کو مخصوص پروسیسنگ سرگرمیوں (میزبانی، ای میل کی ترسیل، تجزیات، اشتہار پلیٹ فارمز، کسٹمر سپورٹ ٹولز، ایونٹ مینجمنٹ پلیٹ فارمز) کی کارکردگی کے لیے ذیلی پروسیسرز کو شامل کرنے کے لیے ایک عمومی اجازت دیتا ہے۔ ELXAO ذیلی پروسیسرز کی موجودہ فہرست کو برقرار رکھتا ہے، جو [email protected] پر درخواست پر دستیاب ہے، اور کسی بھی مطلوبہ اضافے یا تبدیلی کی کم از کم تیس (30) دن کی پیشگی اطلاع دے گا، جس کے دوران کنٹرولر ڈیٹا کے تحفظ کی معقول بنیادوں پر اعتراض کر سکتا ہے۔ ELXAO ہر ذیلی پروسیسر پر ڈیٹا کے تحفظ کی ذمہ داریاں عائد کرتا ہے جو کہ اس DPA میں متعین کردہ سے کم حفاظتی نہیں۔

بین الاقوامی منتقلی

ذاتی ڈیٹا پر بنیادی طور پر یورپی اکنامک ایریا (EEA) کے اندر کارروائی کی جاتی ہے۔ جہاں پروسیسنگ میں EEA سے باہر کسی ملک میں مناسب فیصلے کے بغیر منتقلی شامل ہوتی ہے، ELXAO آرٹیکل 46 GDPR کے تحت مناسب حفاظتی اقدامات پر انحصار کرتا ہے، بنیادی طور پر 4 جون 2021 کی یورپی کمیشن کی معیاری معاہدہ کی شقیں (SCCs)، منتقلی کے اثرات کی تشخیص کے لیے درکار کسی بھی اضافی اقدامات کے ذریعے ضمیمہ۔

کنٹرولر کی مدد

ELXAO کنٹرولر کی مدد کرتا ہے، مناسب تکنیکی اور تنظیمی اقدامات کے ذریعے، ڈیٹا سبجیکٹ کی درخواستوں (آرٹیکلز 12-22 GDPR) کا جواب دینے اور آرٹیکل 32-36 GDPR (سیکیورٹی، خلاف ورزی کی اطلاع، DPIA، پیشگی مشاورت) کی تعمیل کو یقینی بنانے میں، کنٹرولر کی مدد کرتا ہے۔ معیاری امداد خدمات میں شامل ہے۔ ایک (1) سے زیادہ کام کے کام کا فی درخواست ELXAO کے اس وقت کے موجودہ پیشہ ورانہ نرخوں پر تحریری نوٹس کے بعد بل کیا جا سکتا ہے۔

ذاتی ڈیٹا کی خلاف ورزی

ELXAO بغیر کسی تاخیر کے اور کسی بھی صورت میں کنٹرولر کے ڈیٹا کو متاثر کرنے والے ذاتی ڈیٹا کی خلاف ورزی سے آگاہ ہونے کے بعد 72 (72) گھنٹے کے اندر کنٹرولر کو مطلع کرتا ہے۔ نوٹیفکیشن میں خلاف ورزی کی نوعیت، زمرہ جات اور متاثرہ حجم، ممکنہ نتائج اور اس سے نمٹنے کے لیے اٹھائے گئے یا تجویز کردہ اقدامات شامل ہیں۔

آڈٹ

ELXAO کنٹرولر کو، معقول درخواست پر اور سال میں ایک بار سے زیادہ دستیاب نہیں کرتا ہے (سوائے خلاف ورزی کے بعد)، اس DPA کی تعمیل کو ظاہر کرنے کے لیے ضروری معلومات، بشمول دستیاب ہونے پر سب پروسیسرز سے ISO 27001 / SOC 2 قسم کی رپورٹس۔ آن سائٹ آڈٹ کنٹرولر یا باہمی طور پر منظور شدہ فریق ثالث آڈیٹر کے ذریعے رازداری کے پابند، کنٹرولر کے خرچے پر، معقول پیشگی اطلاع کے ساتھ اور کاروباری اوقات کے دوران، ایسے طریقے سے کیے جا سکتے ہیں جو ELXAO کے کاموں میں غیر معقول طور پر خلل نہ ڈالے۔

ڈیٹا کی واپسی یا حذف کرنا

معاہدہ ختم ہونے پر، ELXAO، تیس (30) دنوں کے اندر کنٹرولر کی پسند پر ظاہر کرے گا، یا تو تمام ذاتی ڈیٹا کو ایک منظم، عام طور پر استعمال شدہ اور مشین سے پڑھنے کے قابل فارمیٹ میں واپس کر دے گا، یا اسے تمام پروڈکشن اور آپریشنل سسٹمز سے حذف کر دے گا۔ بیک اپ کاپیاں معیاری گردشی دور (نوے (90) دنوں تک) پر حذف کر دی جاتی ہیں اور اس مدت کے بعد صرف اس صورت میں برقرار رکھی جا سکتی ہیں جہاں قابل اطلاق قانون کی ضرورت ہو، اس صورت میں وہ اس DPA کی حفاظت اور رازداری کی ذمہ داریوں کے تابع رہیں گی۔

ذمہ داری

MSA کی ذمہ داری کی دفعات اس DPA کے تحت پیدا ہونے والے دعووں پر لاگو ہوتی ہیں۔ آرٹیکل 82 GDPR کے مطابق ہر فریق ڈیٹا کے مضامین اور نگران حکام کے لیے ذمہ دار ہے۔

رابطہ کریں

اس DPA کے تحت ڈیٹا کے تحفظ سے متعلق کسی بھی سوال، درخواست یا نوٹس کے لیے، ELXAO سے [email protected] پر رابطہ کریں۔