یہ معاہدہ (“DPA”) ہر کاروباری گاہک کے لیے ہماری سروس کی شرائط کا حصہ ہے۔ جب آپ ورک اسپیس بناتے یا استعمال کرتے ہیں تو یہ خود بخود لاگو ہو جاتا ہے، اس لیے آپ کو کسی چیز پر دستخط کرنے کی ضرورت نہیں۔ اگر آپ اپنے ریکارڈ کے لیے دستخط شدہ کاپی چاہتے ہیں تو privacy@companyflowhq.com پر ای میل کریں۔
1۔ کون کیا ہے
آپ وہ کاروبار یا ادارہ ہیں جس کے پاس CompanyFlowHQ ورک اسپیس ہے (“گاہک”)۔ آپ طے کرتے ہیں کہ آپ کے ورک اسپیس میں کون سا ذاتی ڈیٹا جاتا ہے اور کیوں، اس لیے آپ کنٹرولر ہیں۔
ہم: CompanyFlowHQ، Any Media Boost Ltd کا تجارتی نام ہے، جو انگلینڈ اور ویلز میں رجسٹرڈ کمپنی ہے، کمپنی نمبر 17492797۔ رجسٹرڈ دفتر: 117 St Paul’s Avenue, Harrow, HA3 9PT, United Kingdom۔ ہم وہ ڈیٹا صرف آپ کو سروس فراہم کرنے کے لیے پروسیس کرتے ہیں، اس لیے ہم آپ کے پروسیسر ہیں۔ اگر آپ خود کسی اور کے پروسیسر ہیں (مثلاً آپ اپنے کلائنٹس کا ڈیٹا سنبھالتے ہیں)، تو ہم آپ کے ذیلی پروسیسر کے طور پر کام کرتے ہیں اور یہ DPA اسی طرح لاگو ہوتا ہے۔
آپ اور آپ کی ٹیم کے بارے میں ہمارے اپنے اکاؤنٹ، بلنگ، سپورٹ اور ویب سائٹ کے ڈیٹا کے لیے ہم پروسیسر نہیں بلکہ کنٹرولر ہیں۔ یہ اس DPA کے بجائے ہمارے رازداری کے نوٹس میں آتا ہے۔
2۔ اس DPA میں استعمال ہونے والے الفاظ
“UK GDPR”، “ذاتی ڈیٹا”، “پروسیسنگ”، “کنٹرولر”، “پروسیسر”، “ڈیٹا سبجیکٹ” (وہ فرد جس کا ڈیٹا ہو) اور “ذاتی ڈیٹا کی خلاف ورزی” کے وہی معنی ہیں جو UK GDPR میں دیے گئے ہیں۔ “ڈیٹا تحفظ کا قانون” سے مراد UK GDPR، ڈیٹا تحفظ ایکٹ 2018 (Data Protection Act 2018)، رازداری اور الیکٹرانک مواصلات کے ضوابط 2003 (Privacy and Electronic Communications Regulations 2003) اور ان کی جگہ لینے والا کوئی بھی قانون ہے۔ “گاہک کا ذاتی ڈیٹا” سے مراد وہ ذاتی ڈیٹا ہے جو ہم آپ کے ورک اسپیس کے ذریعے آپ کے لیے پروسیس کرتے ہیں۔
3۔ پروسیسنگ کی تفصیلات
موضوع اور مقصد
آپ کی منتخب کردہ CompanyFlowHQ سروس فراہم کرنا: CRM اور لیڈ مینجمنٹ، بکنگز، ای میل، SMS، WhatsApp اور سوشل پیغام رسانی، مارکیٹنگ مہمات، کوٹیشنز، انوائسز اور ای دستخط، کلائنٹ پورٹلز، ٹیم چیٹ اور بورڈز، HR اور عملے کا انتظام، رپورٹس، AI معاونین، انٹیگریشنز، بیک اپ، سیکیورٹی اور سپورٹ۔
اگر آپ سوشل میڈیا اکاؤنٹس جوڑتے ہیں اور مواد کی بصیرت چالو کرتے ہیں تو ہم آپ کی پوسٹس پر تبصرے اور آپ کا ذکر کرنے والی پوسٹس بھی جمع کرتے ہیں، تاکہ آپ انہیں دیکھ کر جواب دے سکیں۔ یہ تبصرے اور تذکرے 90 دن کے بعد خود بخود حذف کر دیے جاتے ہیں۔
پروسیسنگ کی نوعیت
ایپ کے ذریعے آپ کی ہدایت کے مطابق ڈیٹا جمع کرنا، محفوظ کرنا، منظم کرنا، دکھانا، تلاش کرنا، بھیجنا، وصول کرنا، تجزیہ کرنا (مثلاً لیڈ اسکورز اور رپورٹس)، بیک اپ لینا، بحال کرنا، ایکسپورٹ کرنا اور حذف کرنا۔
مدت
جب تک آپ سروس استعمال کرتے ہیں، اور اس کے بعد صرف حصہ 11 میں دی گئی مدتوں کے لیے۔
ڈیٹا سبجیکٹس کی اقسام
- آپ کی لیڈز، انکوائری کرنے والے، کلائنٹس، گاہک، طلبہ، مریض اور ان کے رابطے۔
- آپ کا عملہ، ٹھیکیدار، ملازمت کے درخواست دہندگان اور سابق ملازمین۔
- وہ لوگ جو آپ کو پیغام بھیجتے ہیں، آپ کے پاس بکنگ کرتے ہیں، آپ کے فارمز بھرتے ہیں یا آپ کے صفحات دیکھتے ہیں۔
- آپ کے سپلائرز، شراکت دار اور دیگر کاروباری رابطے۔
ذاتی ڈیٹا کی اقسام
- رابطے اور شناخت کی تفصیلات: نام، ای میل پتے، فون نمبر، ڈاک کے پتے، کمپنی، عہدہ، سوشل میڈیا ہینڈلز۔
- CRM ریکارڈ: انکوائریز، نوٹس، کام، پائپ لائن کے مراحل، ڈیلز، بکنگز، کوٹیشنز، انوائسز، ادائیگیاں، دستخط شدہ دستاویزات، رضامندی اور مارکیٹنگ کی ترجیحات۔
- پیغامات: ای میلز، SMS، WhatsApp اور سوشل پیغامات، لائیو چیٹ اور ٹیم چیٹ، کال کی تفصیلات اور آپ کی منتخب کردہ کوئی بھی ریکارڈنگ۔
- عملے اور HR کا ڈیٹا: ملازمت کی تفصیلات، معاہدے، تنخواہ اور بینک کی تفصیلات، چھٹی اور بیماری کے ریکارڈ، کام کے حق اور شناخت کی دستاویزات، شناختی نمبر (جیسے پاسپورٹ، نیشنل انشورنس، NHS نمبر یا UTR)، ہنگامی رابطے، کارکردگی کے نوٹس اور، اگر عملہ شیئر کرنا چاہے، تو تخمینی مقام۔
- آپ کی اپ لوڈ کی گئی فائلیں: دستاویزات، تصاویر، منسلکات اور دستخط۔
- تکنیکی ڈیٹا: IP پتے، ڈیوائس اور براؤزر کی تفصیلات، سائن اِن ریکارڈ اور سرگرمی کے لاگز۔
خصوصی زمرے اور مجرمانہ جرائم کا ڈیٹا
آپ خصوصی زمرے کا ڈیٹا (مثلاً HR ریکارڈ میں صحت یا بیماری کی معلومات) یا مجرمانہ جرائم کا ڈیٹا (مثلاً DBS جانچ کے نتائج) محفوظ کرنے کا انتخاب کر سکتے ہیں۔ ڈیٹا تحفظ ایکٹ 2018 (Data Protection Act 2018) کے تحت اس کے لیے جائز بنیاد اور مناسب پالیسی دستاویز رکھنے کی ذمہ داری آپ کی ہے۔ حصہ 6 کے سیکیورٹی اقدامات اس پر لاگو ہوتے ہیں۔
سیکیورٹی سرگرمی کا ریکارڈ
اگر آپ سرگرمی اور خطرات کی سہولت استعمال کرتے ہیں تو ہم آپ کے صارفین کی ایپ میں سرگرمی کا ریکارڈ بھی پروسیس کرتے ہیں (سائن اِن، کھولے گئے صفحات اور ریکارڈ، ایکسپورٹ، تبدیلیاں اور حذف، ساتھ میں وقت، IP ایڈریس، اندازاً مقام اور ڈیوائس) تاکہ غیر معمولی سرگرمی پکڑی جا سکے اور، اگر آپ اجازت دیں، تو آپ کے جائزے تک اکاؤنٹ روکا جا سکے۔ اسے صرف آپ کے ورک اسپیس کے مالکان دیکھ سکتے ہیں، اور یہ آپ کی منتخب کردہ مدت (30 سے 365 دن؛ بطورِ طے شدہ 180) کے بعد حذف ہو جاتا ہے۔ اپنے عملے کو اس کے بارے میں بتانا اور اس کے لیے قانونی بنیاد رکھنا آپ کی ذمہ داری ہے۔
4۔ آپ کی ہدایات
ہم گاہک کا ذاتی ڈیٹا صرف آپ کی دستاویزی ہدایات پر پروسیس کرتے ہیں۔ آپ کی ہدایات یہ شرائط اور یہ DPA ہیں، اور ایپ میں آپ کے کیے گئے انتخاب (جیسے مہم بھیجنا، اکاؤنٹ جوڑنا یا ریکارڈ حذف کرنا)۔ ہم گاہک کا ذاتی ڈیٹا اپنے مقاصد کے لیے استعمال نہیں کریں گے، اسے فروخت نہیں کریں گے، اور اسے AI ماڈلز کی تربیت کے لیے استعمال نہیں کریں گے۔
اگر قانون ہم سے گاہک کا ذاتی ڈیٹا کسی اور طریقے سے پروسیس کرنے کا تقاضا کرے تو ہم پہلے آپ کو بتائیں گے، جب تک کہ قانون اس سے منع نہ کرے۔ اگر ہمیں لگے کہ کوئی ہدایت ڈیٹا تحفظ کے قانون کی خلاف ورزی کرتی ہے تو ہم آپ کو فوراً بتائیں گے اور اس کے حل ہونے تک وہ پروسیسنگ روک سکتے ہیں۔
آپ اپنی ہدایات اور CompanyFlowHQ میں ڈالے گئے ڈیٹا کی قانونی حیثیت کے ذمہ دار ہیں، بشمول جائز بنیاد رکھنا، لوگوں کو وہ معلومات دینا جن کے وہ حق دار ہیں، اور جہاں ضرورت ہو مارکیٹنگ کے لیے رضامندی حاصل کرنا اور درج کرنا۔
5۔ رازداری کی پابندی
جس کسی کو بھی ہم گاہک کا ذاتی ڈیٹا پروسیس کرنے کی اجازت دیتے ہیں، وہ رازداری کی ذمہ داری کا پابند ہے۔ رسائی صرف انہی لوگوں تک محدود ہے جنہیں اس کی ضرورت ہے۔ ہماری پلیٹ فارم ٹیم ورک اسپیسز کی تعداد اور بلنگ کی تفصیلات دیکھتی ہے، آپ کی لیڈز، کلائنٹس، عملہ یا پیغامات نہیں۔ ہم ورک اسپیس کا مواد صرف اسی وقت دیکھتے ہیں جب آپ اس میں مدد مانگیں، کسی سیکیورٹی واقعے کی تحقیقات کے لیے، یا جب قانون اس کا تقاضا کرے۔
6۔ سیکیورٹی
ہم UK GDPR آرٹیکل 32 کے تحت مناسب تکنیکی اور تنظیمی اقدامات کرتے ہیں۔ خاص طور پر:
- منتقلی اور ذخیرے میں انکرپشن۔ تمام ٹریفک HTTPS (TLS) استعمال کرتی ہے۔ ڈیٹا بیس اور فائل اسٹوریج Cloudflare کی طرف سے ذخیرے میں انکرپٹ کیے جاتے ہیں۔
- رازوں کے لیے اضافی انکرپشن۔ فراہم کنندگان کی کلیدیں، رسائی کے ٹوکن، میل باکس کے پاس ورڈز اور شناختی نمبر ہم بھی AES-256-GCM سے انکرپٹ کرتے ہیں، ہر شے کے لیے نئی بے ترتیب قدر اور کلیدوں کی تبدیلی کی سہولت کے ساتھ۔ یہ کبھی براؤزر کو واپس نہیں بھیجے جاتے۔
- انکرپٹڈ بیک اپ۔ پورے ڈیٹا بیس کا ہر رات بیک اپ لیا جاتا ہے، اور اپ لوڈ کی گئی فائلیں چند گھنٹوں میں الگ بیک اپ میں کاپی کی جاتی ہیں، سب AES-256-GCM سے انکرپٹڈ اور SHA-256 چیک سمز سے جانچی گئی۔
- سب کے لیے دو مرحلہ سائن اِن۔ عملے کے ہر صارف کو دو مرحلہ سائن اِن (آتھنٹیکیٹر ایپ، ای میل سے آیا کوڈ یا پاس کی) استعمال کرنا ہوگا، ریکوری کوڈز، نئی ڈیوائس کے الرٹس اور دوسری ڈیوائسز سے ایک کلک میں سائن آؤٹ کے ساتھ۔ پاس ورڈز صرف سالٹڈ یک طرفہ ہیش کی صورت میں محفوظ کیے جاتے ہیں۔
- ورک اسپیسز الگ رکھے جاتے ہیں۔ ہر درخواست کچھ بھی پڑھنے یا بدلنے سے پہلے جانچتی ہے کہ وہ کس ورک اسپیس کی ہے، اور اس کی خودکار جانچ ہوتی ہے۔
- کردار کی اجازتیں۔ آپ طے کرتے ہیں کہ ہر کردار کیا دیکھ اور کر سکتا ہے، اور عملے کے ریکارڈ ٹیموں کے درمیان نجی رکھ سکتے ہیں۔
- آڈٹ لاگ۔ اہم کارروائیاں، سائن اِن اور ہر بار جب کوئی محفوظ شناختی نمبر ظاہر کرتا ہے، وقت، فرد اور IP پتے کے ساتھ درج کیے جاتے ہیں، اور ایک سال تک رکھے جاتے ہیں۔
- غلط استعمال سے حفاظت۔ سائن اِن اور عوامی اینڈ پوائنٹس پر شرح کی حدیں، Cloudflare Turnstile بوٹ کی جانچ، چھپے ہوئے جال والے خانے، اپ لوڈز پر فائل کی قسم کی جانچ اور آنے والی ای میل کی محفوظ نمائش۔
سروس اور خطرات بدلنے کے ساتھ ہم ان اقدامات کا جائزہ لیتے ہیں، اور تحفظ کی مجموعی سطح کم نہیں کریں گے۔
7۔ ذیلی پروسیسرز
آپ ہمیں نیچے دی گئی ذیلی پروسیسرز کی فہرست میں شامل ذیلی پروسیسرز استعمال کرنے کی عمومی تحریری اجازت دیتے ہیں۔ کسی ذیلی پروسیسر کو شامل کرنے یا بدلنے سے پہلے ہم یہ صفحہ اپ ڈیٹ کریں گے اور ورک اسپیس کے مالک کو کم از کم 30 دن پہلے ای میل کریں گے۔
آپ اس 30 دن کی مدت کے اندر privacy@companyflowhq.com پر ای میل کر کے ڈیٹا تحفظ کی معقول بنیادوں پر اعتراض کر سکتے ہیں۔ ہم حل تلاش کرنے کی کوشش کریں گے، جیسے آپ کے ڈیٹا کے لیے نیا ذیلی پروسیسر استعمال نہ کرنا۔ اگر ایسا ممکن نہ ہو تو آپ تبدیلی نافذ ہونے سے پہلے متاثرہ سروس ختم کر سکتے ہیں اور ہم اختتام کے بعد کی مدت کے لیے آپ کی پیشگی ادا کردہ فیسیں واپس کریں گے۔
ہم ہر ذیلی پروسیسر کے ساتھ ایک تحریری معاہدہ کرتے ہیں جو گاہک کے ذاتی ڈیٹا کو اس DPA جتنا ہی تحفظ دیتا ہے، اور ان کے کام کے لیے ہم آپ کے سامنے ذمہ دار رہتے ہیں۔
جو سروسز آپ خود جوڑتے ہیں (جیسے آپ کا اپنا Google، Microsoft، Meta، Twilio یا Stripe اکاؤنٹ، کوئی میل باکس، کوئی سوشل نیٹ ورک یا کوئی آٹومیشن ٹول) وہ آپ کی منتخب کردہ ہیں اور اس فراہم کنندہ کے ساتھ آپ کے اپنے معاہدے کے تحت کام کرتی ہیں۔ ہم انہیں ڈیٹا صرف اسی وقت بھیجتے ہیں جب آپ کہیں۔ وہ نیچے درج ہیں تاکہ آپ دیکھ سکیں کہ ڈیٹا کہاں جاتا ہے۔
8۔ لوگوں کے حقوق میں آپ کی مدد
ڈیٹا تحفظ کے قانون کے تحت اپنے حقوق (رسائی، درستی، مٹانا، پابندی، منتقلی اور اعتراض) استعمال کرنے والے لوگوں کو جواب دینے میں ہم آپ کی مدد کرتے ہیں۔ CompanyFlowHQ میں ایسے ٹولز ہیں جن سے آپ ان میں سے زیادہ تر کام خود کر سکتے ہیں:
- کسی ایک فرد کا ڈیٹا اس کے ریکارڈ سے فائل کے طور پر ایکسپورٹ کریں (رازداری (GDPR) حصہ)۔
- کسی ایک فرد کو پورے ورک اسپیس سے مٹائیں (اس کے ریکارڈ پر، یا سیٹنگز ← ایک فرد کو مٹائیں)۔
- کسی بھی ریکارڈ کو براہِ راست درست کریں، اور رضامندی اور ان سبسکرائب کی سیٹنگز سے مارکیٹنگ روکیں۔
- اپنا سارا ورک اسپیس ڈیٹا کسی بھی وقت ڈاؤن لوڈ کریں (سیٹنگز ← آپ کا ڈیٹا)۔
اگر ہمیں آپ کے کسی ڈیٹا سبجیکٹ سے براہِ راست درخواست ملتی ہے تو ہم اسے بلا وجہ تاخیر کے آپ کو بھیج دیں گے اور جب تک آپ نہ کہیں، خود اس کا جواب نہیں دیں گے۔
9۔ ہماری دیگر مدد
ہمارے پاس دستیاب معلومات کو مدِ نظر رکھتے ہوئے، ہم سیکیورٹی، خلاف ورزی کی اطلاع، ڈیٹا تحفظ کے اثرات کے جائزوں اور انفارمیشن کمشنر سے پیشگی مشاورت (UK GDPR آرٹیکلز 32 تا 36) سے متعلق آپ کی ذمہ داریوں میں معقول مدد فراہم کریں گے۔
10۔ ذاتی ڈیٹا کی خلاف ورزیاں
اگر ہمیں گاہک کے ذاتی ڈیٹا کو متاثر کرنے والی کسی ذاتی ڈیٹا کی خلاف ورزی کا علم ہو تو ہم بلا وجہ تاخیر کے، اور ہر صورت میں علم ہونے کے 48 گھنٹے کے اندر، ورک اسپیس کے مالک کو مطلع کریں گے۔ اس وقت تک ہمیں جتنا معلوم ہو، ہم آپ کو بتائیں گے کہ کیا ہوا، متاثرہ افراد اور ریکارڈز کی اقسام اور تخمینی تعداد، ممکنہ نتائج، اور ہم نے کیا کیا ہے یا کیا کرنے کی تجویز ہے۔ مزید تفصیلات دستیاب ہونے پر ہم انہیں شامل کریں گے، خلاف ورزی کو روکنے کے لیے معقول اقدامات کریں گے، اور جہاں ضروری ہو 72 گھنٹے کے اندر انفارمیشن کمشنر کو اطلاع دینے کی آپ کی اپنی ذمہ داری میں مدد کریں گے۔ آپ کو کسی خلاف ورزی کے بارے میں بتانا غلطی کا اعتراف نہیں ہے۔
11۔ ڈیٹا حذف کرنا یا واپس کرنا
- جب تک آپ گاہک ہیں، آپ سیٹنگز ← آپ کا ڈیٹا سے کسی بھی وقت اپنا سارا ڈیٹا ڈاؤن لوڈ کر سکتے ہیں، اور جب چاہیں انفرادی ریکارڈ حذف کر سکتے ہیں۔
- اگر آپ کی سبسکرپشن ختم ہو جائے (مثلاً ٹرائل ادا شدہ پلان میں نہ بدلے، ادائیگی ناکام ہو یا آپ منسوخ کریں)، تو ورک اسپیس 90 دن کے لیے صرف پڑھنے کے قابل ہو جاتا ہے تاکہ آپ پھر بھی سائن اِن کر کے سب کچھ ڈاؤن لوڈ کر سکیں۔ ہم اس مدت کے ختم ہونے سے 7 دن پہلے مالک کو ای میل کرتے ہیں۔ اس کے ختم ہونے کے بعد ہماری ٹیم ورک اسپیس کا جائزہ لیتی ہے اور 30 دن کے اندر اسے حذف کر دیتی ہے۔
- اگر آپ ہم سے ورک اسپیس حذف کرنے کو کہیں (سیٹنگز ← آپ کا ڈیٹا ← میرا ورک اسپیس حذف کریں)، تو صرف مالک ہی ورک اسپیس کا نام ٹائپ کر کے یہ مانگ سکتا ہے۔ 14 دن تک کچھ بھی حذف نہیں ہوتا، اور تب تک آپ منسوخ کر سکتے ہیں۔ پھر ہماری ٹیم درخواست کا جائزہ لیتی ہے اور آپ کی درخواست کے 30 دن کے اندر ورک اسپیس حذف کر دیتی ہے۔
- ہمارے اپنے بلنگ ریکارڈ۔ جب کوئی ورک اسپیس حذف ہوتا ہے تو ہم صرف اپنے وہ ریکارڈ رکھتے ہیں جو بتاتے ہیں کہ آپ نے ہمیں کیا ادا کیا (سبسکرپشن، کریڈٹ اور ایڈ آنز کی ادائیگیاں)، UK ٹیکس قانون کے تقاضے کے مطابق 6 سال تک۔ یہ گاہک کا ذاتی ڈیٹا نہیں ہیں اور اس کے بعد حذف کر دیے جاتے ہیں۔
- بیک اپ۔ حذف شدہ ڈیٹا موجودہ بیک اپس سے فوراً نہیں ہٹایا جاتا۔ بیک اپ 30 روزانہ، 12 ماہانہ اور 5 سالانہ کاپیوں کے گردشی شیڈول پر رکھے جاتے ہیں، اس لیے حذف شدہ ڈیٹا آخری بیک اپ سے اس وقت نکلتا ہے جب وہ کاپی ختم ہوتی ہے (زیادہ سے زیادہ پانچ سال بعد)۔ ہم سالانہ کاپیاں اتنی دیر اس لیے رکھتے ہیں تاکہ کسی سنگین واقعے سے بحالی ہو سکے، جیسے ڈیٹا خراب ہو جانا یا کسی کے نوٹس کیے بغیر کچھ عرصے کے لیے حذف ہو جانا۔ بیک اپ انکرپٹڈ رہتے ہیں، صرف چند مجاز افراد ان تک رسائی رکھتے ہیں، انہیں صرف کسی واقعے سے بحالی کے لیے استعمال کیا جاتا ہے، اور اگر ہم کبھی کوئی بیک اپ بحال کریں تو وہ ڈیٹا دوبارہ حذف کر دیں گے جسے حذف کرنے کو آپ پہلے کہہ چکے تھے۔ اپ لوڈ کی گئی فائلوں کا الگ بیک اپ لیا جاتا ہے اور صرف ان کی تازہ ترین کاپی رکھی جاتی ہے: حذف شدہ فائلیں (بشمول حذف شدہ ورک اسپیس کی فائلیں) 35 دن کے اندر اس فائل بیک اپ سے ہٹا دی جاتی ہیں۔
- آڈٹ لاگ کے اندراجات ایک سال تک رکھے جاتے ہیں اور اس طرح لکھے جاتے ہیں کہ ان میں آپ کے رابطوں کے نام نہ ہوں۔
- مواد کی بصیرت کے لیے جمع کیے گئے سوشل تبصرے اور تذکرے 90 دن کے بعد حذف کر دیے جاتے ہیں۔
ہم ڈیٹا زیادہ دیر صرف وہیں رکھیں گے جہاں قانون ہم سے اس کا تقاضا کرے، اور صرف اسی مقصد کے لیے۔
12۔ معلومات اور آڈٹس
ہم وہ معلومات فراہم کریں گے جو یہ دکھانے کے لیے معقول طور پر ضروری ہیں کہ ہم اس DPA اور UK GDPR آرٹیکل 28 کی پابندی کرتے ہیں، اور معقول سیکیورٹی سوالناموں کا جواب دیں گے۔ آپ (یا آپ کا مقرر کردہ کوئی آزاد آڈیٹر جو رازداری کا پابند ہو) کسی بھی 12 ماہ کی مدت میں ایک بار، کم از کم 30 دن کی تحریری اطلاع پر، کاروباری اوقات میں اور اپنے خرچ پر ہماری تعمیل کا آڈٹ کر سکتے ہیں۔ جہاں موجودہ رپورٹس یا سرٹیفیکیشنز (بشمول ہمارے ذیلی پروسیسرز، جیسے Cloudflare، کی) آپ کے سوالات کا جواب دیں، ہم آپ سے ان پر انحصار کرنے کو کہہ سکتے ہیں۔ یہ حدیں وہاں لاگو نہیں ہوتیں جہاں انفارمیشن کمشنر آڈٹ کا تقاضا کرے یا آپ کے ڈیٹا کو متاثر کرنے والی ذاتی ڈیٹا کی خلاف ورزی کے بعد۔
13۔ بین الاقوامی منتقلیاں
CompanyFlowHQ، Cloudflare کے عالمی نیٹ ورک پر چلتا ہے، اور کچھ ذیلی پروسیسرز USA میں واقع ہیں، اس لیے گاہک کا ذاتی ڈیٹا UK سے باہر پروسیس ہو سکتا ہے۔ ہم اسے صرف وہیں منتقل کرتے ہیں جہاں UK نے منزل کو مناسب تسلیم کیا ہو (بشمول تصدیق شدہ US کمپنیوں کے لیے EU–US ڈیٹا پرائیویسی فریم ورک کی UK توسیع (UK Extension to the EU–US Data Privacy Framework))، یا UK بین الاقوامی ڈیٹا منتقلی معاہدے (UK International Data Transfer Agreement) یا EU کی معیاری معاہداتی شقوں کے UK ضمیمے (UK Addendum to the EU Standard Contractual Clauses) کے تحت، ضرورت پڑنے پر منتقلی کے خطرے کے جائزے اور اضافی اقدامات کے ساتھ۔ آپ ان منتقلیوں کی اجازت دیتے ہیں۔
14۔ ذمہ داری
اس DPA کے تحت ہر فریق کی ذمہ داری سروس کی شرائط میں دی گئی حدود اور استثنیٰ کے تابع ہے۔ اس DPA میں کوئی بھی چیز کسی بھی فریق کی ایسی ذمہ داری کو محدود نہیں کرتی جسے قانون کے ذریعے محدود نہیں کیا جا سکتا، اور نہ ہی ڈیٹا تحفظ کے قانون کے تحت ڈیٹا سبجیکٹس کے حقوق کو۔
15۔ مدت، فوقیت اور قانون
یہ DPA اس وقت تک نافذ رہتا ہے جب تک ہم آپ کے لیے گاہک کا ذاتی ڈیٹا پروسیس کرتے ہیں۔ جو حصے اپنی نوعیت کے لحاظ سے جاری رہنے چاہییں (جیسے رازداری کی پابندی، حذف کرنا اور ذمہ داری) وہ اس کے ختم ہونے کے بعد بھی جاری رہتے ہیں۔ اگر ڈیٹا تحفظ کے معاملے میں یہ DPA شرائط سے متصادم ہو تو اس DPA کو فوقیت ہوگی۔ یہ انگلینڈ اور ویلز کے قوانین کے تحت ہے، اور انگلینڈ اور ویلز کی عدالتوں کو خصوصی دائرۂ اختیار حاصل ہے۔
قانون میں، ہمارے ذیلی پروسیسرز میں (حصہ 7 کے مطابق) یا سروس میں تبدیلیوں کی عکاسی کے لیے ہم اس DPA کو اپ ڈیٹ کر سکتے ہیں۔ آپ کے ڈیٹا کے تحفظ کو نمایاں طور پر کم کرنے والی کسی بھی تبدیلی کی ہم آپ کو کم از کم 30 دن پہلے اطلاع دیں گے۔
16۔ ذیلی پروسیسرز کی فہرست
ہمیشہ استعمال ہوتے ہیں
| فراہم کنندہ | یہ ہمارے لیے کیا کرتا ہے | اسے ملنے والا ذاتی ڈیٹا | کہاں |
|---|---|---|---|
| Cloudflare, Inc. | ایپ کی ہوسٹنگ اور اسے چلانا (Workers)، ڈیٹا بیس (D1)، فائل اور میڈیا اسٹوریج اور انکرپٹڈ بیک اپ (R2)، لائیو چیٹ اور میل باکس کی ہم آہنگی (Durable Objects)، AI معاونین (Workers AI؛ ماڈلز Cloudflare کے اپنے نیٹ ورک پر چلتے ہیں)، بوٹ کی جانچ (Turnstile)، آنے والی ای میل آگے بھیجنا (Email Routing) اور حسبِ ضرورت ڈومینز۔ | تمام ورک اسپیس ڈیٹا: لیڈز اور کلائنٹس، عملے اور HR کے ریکارڈ، پیغامات، فائلیں، اور ایپ یا آپ کے عوامی صفحات استعمال کرنے والوں کا IP پتہ اور براؤزر کی تفصیلات۔ | UK، EU اور USA سمیت Cloudflare کا عالمی نیٹ ورک۔ محفوظ شدہ ڈیٹا UK سے باہر رکھا جا سکتا ہے۔ |
| Resend (Plus Five Five, Inc.) | ای میل بھیجنا: سائن اِن کوڈز اور انتباہات، اطلاعات، جب آپ نے اپنا میل باکس نہ جوڑا ہو تو آپ کے کلائنٹس کو ای میلز (انوائسز، بکنگز، ای دستخط اور پورٹل لنکس)، اور CompanyFlowHQ کے بھیجنے والے اکاؤنٹ سے بھیجی گئی ای میل مہمات۔ | وصول کنندہ کا نام اور ای میل پتہ، موضوع، پیغام کا مواد، اور ترسیل، کھولنے، کلک، واپسی اور ان سبسکرائب کے واقعات۔ | USA۔ |
| Stripe (Stripe Payments UK Ltd / Stripe, Inc.) | آپ کی CompanyFlowHQ سبسکرپشن کی ادائیگی لینا۔ | آپ کے بلنگ رابطے کا نام اور ای میل، آپ کے ورک اسپیس کی شناخت اور پلان، اور ادائیگی کارڈ کی تفصیلات (براہِ راست Stripe میں درج کی جاتی ہیں؛ ہم کبھی مکمل کارڈ نمبر نہیں دیکھتے)۔ لیڈز، کلائنٹس یا عملے کا کوئی ڈیٹا نہیں۔ | UK، EU اور USA۔ |
| Google (Google Fonts) | ایپ میں استعمال ہونے والا ٹائپ فیس فراہم کرنا۔ | ایپ استعمال کرنے والوں کا IP پتہ اور براؤزر کی تفصیلات۔ کوئی ورک اسپیس ڈیٹا نہیں۔ | USA، EU اور دیگر مقامات۔ |
صرف اس صورت میں جب آپ سہولت چالو کریں یا اکاؤنٹ جوڑیں
| فراہم کنندہ | یہ ہمارے لیے کیا کرتا ہے | اسے ملنے والا ذاتی ڈیٹا | کہاں |
|---|---|---|---|
| Google (Google LLC / Google Ireland Ltd) | Google سے سائن اِن؛ Google Calendar کی ہم آہنگی؛ بکنگز اور میٹنگز کے لیے Google Meet لنکس؛ Google Analytics، Search Console، Business Profile اور Google Ads رپورٹس اور کارروائیاں۔ | جڑے ہوئے فرد کا نام اور ای میل؛ آپ کے ہم آہنگ کیے گئے کیلنڈر واقعات اور بکنگ کی تفصیلات؛ ویب سائٹ، ریویوز اور اشتہارات کا وہ ڈیٹا جسے پڑھنے یا پوسٹ کرنے کو آپ ہم سے کہتے ہیں۔ | USA، EU اور دیگر مقامات۔ |
| Microsoft (Microsoft Corporation / Microsoft Ireland Operations Ltd) | Microsoft سے سائن اِن؛ Outlook / Microsoft 365 میل باکس (میل پڑھنا اور بھیجنا)؛ Outlook کیلنڈر کی ہم آہنگی؛ Microsoft Teams میٹنگ لنکس (آپ کے Outlook کیلنڈر کنکشن کے ذریعے)۔ | جڑے ہوئے فرد کا نام اور ای میل؛ جڑے ہوئے میل باکس سے آپ کی بھیجی اور موصول کی گئی ای میلز؛ آپ کے ہم آہنگ کیے گئے کیلنڈر واقعات۔ | USA، EU اور دیگر مقامات۔ |
| Meta (Meta Platforms Ireland Ltd / Meta Platforms, Inc.) | Facebook اور Instagram پیجز اور اشتہارات، Messenger اور Instagram پیغامات، WhatsApp Business پیغامات، Threads پوسٹس، اور Facebook لیڈ فارمز۔ | آپ کے رابطوں کو اور ان کی طرف سے پیغامات، ان کے نام اور فون نمبر یا پروفائل کی شناخت، لیڈ فارم کے جوابات، اور آپ کی شائع کردہ پوسٹس اور اشتہارات کی تفصیلات۔ | USA، EU اور دیگر مقامات۔ |
| Twilio Inc. | SMS پیغامات اور فون کالز۔ عام طور پر آپ کا اپنا Twilio اکاؤنٹ۔ | وصول کنندگان کے فون نمبر، پیغام کا مواد، کال کی تفصیلات اور، اگر آپ ریکارڈنگ چالو کریں، تو ریکارڈنگز۔ | USA اور دیگر مقامات۔ |
| Zadarma | آپ کے اپنے Zadarma اکاؤنٹ کے ذریعے فون کالز (کلک ٹو کال، مسڈ کالز اور کال ریکارڈنگز)۔ | فون نمبر، کال کی تفصیلات، اور اگر آپ Zadarma میں ریکارڈنگ چالو کریں تو ریکارڈنگز۔ | EU۔ |
| Zoom Video Communications, Inc. | آپ کے اپنے Zoom اکاؤنٹ کے ذریعے بکنگز اور میٹنگز کے لیے Zoom میٹنگ لنکس بنانا۔ | جڑے ہوئے فرد کی Zoom ای میل اور اکاؤنٹ کی شناخت، اور میٹنگ کا عنوان اور وقت (جس میں آپ کے کلائنٹ کا نام ہو سکتا ہے)۔ | USA۔ منتقلیاں UK بین الاقوامی ڈیٹا منتقلی معاہدے (UK International Data Transfer Agreement) یا EU کی معیاری معاہداتی شقوں کے UK ضمیمے (UK Addendum to the EU Standard Contractual Clauses) پر مبنی ہیں۔ |
| Cloudflare, Inc. (Realtime TURN) | جب براؤزرز براہِ راست نہ جڑ سکیں تو براہِ راست اسکرین شیئر کو آگے پہنچانا۔ صرف اسی وقت استعمال ہوتا ہے جب سروس کے لیے اسے چالو کیا گیا ہو۔ | شیئر میں شامل لوگوں کے IP پتے اور انکرپٹڈ اسکرین شیئر اسٹریم، جو صرف گزرتی ہے اور محفوظ نہیں کی جاتی۔ | UK، EU اور USA سمیت Cloudflare کا عالمی نیٹ ورک۔ |
| Stripe (آپ کا اپنا اکاؤنٹ) | آپ کی انوائسز، تجاویز اور بکنگ ڈپازٹس کے لیے کارڈ ادائیگیاں، جو آپ کے اپنے Stripe اکاؤنٹ میں جمع ہوتی ہیں۔ | آپ کے کلائنٹ کا نام، ای میل، رقم اور یہ کس لیے ہے۔ | UK، EU اور USA۔ |
| آپ کی جوڑی ہوئی دیگر سروسز | آپ کا اپنا ای میل فراہم کنندہ (IMAP/SMTP میل باکس) یا Resend اکاؤنٹ؛ سوشل پوسٹنگ کے لیے LinkedIn، X، Pinterest، Telegram، Bluesky، Mastodon، WordPress اور Ceylon Chat؛ آپ کے ترتیب دیے گئے Zapier، Make اور ویب ہکس؛ Companies House میں کمپنی کی تلاش۔ | صرف وہی جو کنکشن کو چاہیے: آپ کی بھیجنے کے لیے منتخب کردہ پوسٹس، پیغامات یا ریکارڈز، اور Companies House کے لیے صرف وہ کمپنی نمبر جو آپ تلاش کرتے ہیں۔ | آپ کے منتخب کردہ فراہم کنندہ پر منحصر۔ |
کچھ کام اس طرح ہوتے ہیں کہ کوئی ذاتی ڈیٹا CompanyFlowHQ سے باہر نہیں جاتا: موسم کی پیش گوئیاں صرف گول کیے گئے نقاط استعمال کرتی ہیں (MET Norway)، اور سرکاری تعطیلات کی تاریخیں صرف ملک کا کوڈ استعمال کرتی ہیں (Nager.Date)۔ فونز اور براؤزرز پر پُش اطلاعات ڈیوائس میں موجود پُش سروس (Apple، Google، Mozilla یا Microsoft) سے گزرتی ہیں اور شروع سے آخر تک انکرپٹڈ ہوتی ہیں، اس لیے وہ سروس انہیں پڑھ نہیں سکتی۔
17۔ رابطہ
اس DPA کے بارے میں یا ہم آپ کا ڈیٹا کیسے سنبھالتے ہیں اس کے بارے میں سوالات: privacy@companyflowhq.com پر ای میل کریں یا Any Media Boost Ltd, 117 St Paul’s Avenue, Harrow, HA3 9PT, United Kingdom پر لکھیں۔ سیکیورٹی کا کوئی مسئلہ رپورٹ کرنے کے لیے security@companyflowhq.com پر ای میل کریں۔