قانونی امور اور تعمیل
متحدہ عرب امارات اور سعودی عرب میں ڈیٹا کا تحفظ
متحدہ عرب امارات اور سعودی عرب کے ذاتی ڈیٹا کے قوانین Telonic استعمال کرنے والے ادارے سے کیا توقع کرتے ہیں، کون کس چیز کا ذمہ دار ہے، اور پروڈکٹ آپ کی مدد کے لیے کیا کرتا ہے۔
اس صفحے پر
اے آئی ایجنٹ کی ہر گفتگو میں ذاتی ڈیٹا شامل ہوتا ہے: نام، فون نمبر، یونٹ، بکنگ، کلیم۔ متحدہ عرب امارات اور سعودی عرب دونوں میں ذاتی ڈیٹا کے تحفظ کے قوانین موجود ہیں جو طے کرتے ہیں کہ یہ ڈیٹا کیسے جمع، استعمال، محفوظ اور منتقل کیا جا سکتا ہے۔ آپ کا ادارہ طے کرتا ہے کہ آپ کے کسٹمرز کا ڈیٹا کیوں اور کیسے استعمال ہو، اور Telonic آپ کی ہدایت پر اس کی پروسیسنگ کرتی ہے۔ یہ صفحہ سادہ الفاظ میں بتاتا ہے کہ یہ قوانین کیا توقع کرتے ہیں، ذمہ داری کیسے تقسیم ہوتی ہے، اور آپ کے ادارے کو اپنی ذمہ داریاں پوری کرنے میں مدد دینے کے لیے پروڈکٹ کیا کرتا ہے۔
یہ صفحہ قانون کے بارے میں عمومی معلومات پر مشتمل ہے، قانونی مشورہ نہیں۔ دونوں ممالک میں قوانین اور ضوابط بدستور ارتقا پذیر ہیں، اور ان کا اطلاق کیسے ہوتا ہے، اس کا انحصار آپ کے ادارے، آپ کی صنعت اور آپ کے کسٹمرز پر ہے۔ آپ کا ادارہ اپنی تعمیل کا خود ذمہ دار ہے، اور اسے چاہیے کہ اپنا قانونی مشورہ خود حاصل کرے۔ ہم آپ کی قانونی ٹیم کو ٹھیک ٹھیک سمجھائیں گے کہ پروڈکٹ ہر نکتے کے حوالے سے کیسے کام کرتا ہے۔
کون کس چیز کا ذمہ دار ہے
ڈیٹا کے تحفظ کا قانون ذمہ داری کو دو کرداروں میں تقسیم کرتا ہے۔ کنٹرولر (controller) طے کرتا ہے کہ ذاتی ڈیٹا کی پروسیسنگ کیوں اور کیسے ہو۔ پروسیسر (processor) کنٹرولر کی جانب سے اور اس کی ہدایات پر ڈیٹا کو سنبھالتا ہے۔
جب آپ Telonic کو تعینات کرتے ہیں، تو آپ کا ادارہ آپ کے کسٹمرز کے ڈیٹا کا کنٹرولر ہوتا ہے، اور Telonic آپ کے پروسیسر کے طور پر کام کرتی ہے۔ آپ طے کرتے ہیں کہ اے آئی ایجنٹ کون سی گفتگو کرے، وہ کون سی معلومات حاصل کر سکتا ہے، کیا ذخیرہ کیا جائے اور کتنی مدت تک۔ Telonic ڈیٹا کی پروسیسنگ صرف سروس فراہم کرنے کے لیے، آپ کی دستاویزی ہدایات پر، ان ڈیٹا پروسیسنگ کی شرائط کے تحت کرتی ہے جو آپ کے معاہدے کا حصہ ہیں۔ معاہدے اور ڈیٹا پروسیسنگ کی شرائط دیکھیں۔
متحدہ عرب امارات کا قانون کیا توقع کرتا ہے
متحدہ عرب امارات کا ذاتی ڈیٹا کے تحفظ سے متعلق وفاقی فرمان قانون (Federal Decree-Law on the Protection of Personal Data) متحدہ عرب امارات میں موجود افراد کے ذاتی ڈیٹا کی پروسیسنگ پر لاگو ہوتا ہے، اور متحدہ عرب امارات میں قائم ان اداروں پر بھی جو ذاتی ڈیٹا کی پروسیسنگ کرتے ہیں۔ سادہ الفاظ میں، یہ قانون کسی ادارے سے توقع کرتا ہے کہ وہ:
- پروسیسنگ کی قانونی بنیاد رکھے۔ رضامندی بنیادی قانونی بنیاد ہے، کچھ مخصوص استثناؤں کے ساتھ، جیسے وہ پروسیسنگ جو متعلقہ فرد کے ساتھ کسی معاہدے پر عمل کے لیے یا کسی دوسری قانونی ذمہ داری کو پورا کرنے کے لیے ضروری ہو۔
- ڈیٹا صرف اس کے بیان کردہ مقصد کے لیے استعمال کرے، صرف اتنا ڈیٹا جمع کرے جتنا اس مقصد کے لیے ضروری ہو، اور اسے درست رکھے اور ضرورت سے زیادہ مدت تک نہ رکھے۔
- ان افراد کے حقوق کا احترام کرے جن کے بارے میں ڈیٹا ہے، جن میں ان افراد کے یہ حقوق شامل ہیں کہ وہ اپنے ڈیٹا تک رسائی حاصل کریں، اسے درست کروائیں، اسے حذف کروائیں، پروسیسنگ کو محدود یا بند کروائیں، اور صرف خودکار ذرائع سے کیے گئے فیصلوں پر اعتراض کریں۔
- ڈیٹا کو محفوظ رکھے، خطرے کے مطابق تکنیکی اور تنظیمی اقدامات کے ذریعے۔
- ذاتی ڈیٹا کی سیکیورٹی کی خلاف ورزیوں کی اطلاع دے، ریگولیٹر کو، اور بعض صورتوں میں متاثرہ افراد کو بھی۔
- ڈیٹا کو متحدہ عرب امارات سے باہر صرف قانون کی طے کردہ شرائط کے تحت منتقل کرے، مثال کے طور پر ان ممالک کو جنہیں مناسب تحفظ فراہم کرنے والا تسلیم کیا گیا ہو، یا ان حفاظتی تدابیر کے ساتھ جن کی قانون اجازت دیتا ہے۔
- پروسیسنگ کا ریکارڈ رکھے، اور بعض صورتوں میں ڈیٹا پروٹیکشن آفیسر مقرر کرے۔
- کسی بھی پروسیسر کے ساتھ معاہدہ کرے، جس کے تحت پروسیسر پر لازم ہو کہ وہ صرف ہدایات پر عمل کرے اور ڈیٹا کا تحفظ کرے۔
اس قانون کی معاونت انتظامی ضوابط کرتے ہیں، اور تفصیلی قواعد بدستور جاری کیے جا رہے ہیں۔ بعض صنعتوں، جیسے صحت اور مالیاتی خدمات، کے اپنے اضافی قواعد ہیں، جن میں یہ قواعد بھی شامل ہیں کہ بعض ڈیٹا کہاں رکھا جا سکتا ہے۔
مالیاتی فری زونز کے اپنے قوانین ہیں۔ Dubai International Financial Centre (DIFC) اور Abu Dhabi Global Market (ADGM) میں سے ہر ایک کا اپنا ڈیٹا کے تحفظ کا قانون اور اپنا ریگولیٹر ہے۔ اگر آپ کا ادارہ ان میں سے کسی ایک میں قائم ہے، تو آپ کے ادارے پر وہ قانون لاگو ہوتا ہے، اور آپ کی قانونی ٹیم آپ کو بتائے گی کہ آپ کے کاروبار کے لیے اس قانون کا وفاقی قانون سے کیا تعلق ہے۔
سعودی قانون کیا توقع کرتا ہے
سعودی عرب کے ذاتی ڈیٹا کے تحفظ کے قانون (Personal Data Protection Law) کی نگرانی سعودی ڈیٹا اور مصنوعی ذہانت اتھارٹی (Saudi Data and Artificial Intelligence Authority, SDAIA) کرتی ہے، اور اس کی معاونت نفاذی ضوابط اور مملکت سے باہر ذاتی ڈیٹا کی منتقلی کے ضوابط کرتے ہیں۔ اس کا اطلاق سعودی عرب میں موجود افراد کے ذاتی ڈیٹا کی پروسیسنگ پر ہوتا ہے، بشمول اس پروسیسنگ کے جو مملکت سے باہر کے ادارے کریں۔ اگر آپ کے پاس سعودی عرب کے رہائشیوں کا ڈیٹا ہے، تو اس ڈیٹا پر اس قانون کا اطلاق ہوتا ہے، چاہے اس کی پروسیسنگ کہیں بھی ہو۔
اس کی توقعات کا خاکہ متحدہ عرب امارات کے قانون جیسا ہی ہے: قانونی بنیاد، جس میں رضامندی بنیادی حیثیت رکھتی ہے؛ استعمال کا بیان کردہ مقصد تک محدود ہونا؛ ان افراد کے حقوق جن کے بارے میں ڈیٹا ہے، جن میں آگاہ کیے جانے، رسائی، درستی اور اپنے ڈیٹا کو تلف کروانے کے حقوق شامل ہیں؛ مناسب سیکیورٹی؛ پروسیسنگ کا ریکارڈ؛ اور بعض صورتوں میں ڈیٹا پروٹیکشن آفیسر۔ سیکیورٹی کی خلاف ورزیوں کی اطلاع SDAIA کو ضوابط میں طے شدہ ایک مختصر اور مقررہ مدت کے اندر دینا لازمی ہے، اور جہاں متاثرہ افراد کو خطرہ ہو وہاں انہیں بھی۔ مملکت سے باہر منتقلی کی اجازت صرف ان شرائط کے تحت ہے جو منتقلی کے ضوابط میں طے ہیں۔ SDAIA بدستور رہنمائی جاری کر رہی ہے، اور آپ کی قانونی ٹیم کو چاہیے کہ موجودہ صورتحال کی جانچ کرے۔
قانون کیا توقع کرتا ہے، اور پروڈکٹ آپ کی مدد کے لیے کیا کرتا ہے
| قانون کیا توقع کرتا ہے | پروڈکٹ آپ کی مدد کے لیے کیا کرتا ہے |
|---|---|
| یہ معلوم ہو کہ ڈیٹا کی پروسیسنگ کہاں ہوتی ہے، اور بیرون ملک منتقلی پر کنٹرول ہو | آپ طے کرتے ہیں کہ آپ کی تعیناتی کہاں چلے: متحدہ عرب امارات کا خطہ، سعودی عرب کا خطہ، آپ کا اپنا کلاؤڈ اکاؤنٹ یا آپ کا اپنا احاطہ۔ آپ کی تعیناتی کی تمام پروسیسنگ آپ کے منتخب کردہ خطے میں ہوتی ہے، سوائے اس کے کہ آپ واضح طور پر اس خطے سے باہر کا کوئی لسانی ماڈل فراہم کنندہ منتخب کریں۔ ہوسٹنگ اور ڈیٹا کا مقام دیکھیں |
| جو کچھ آپ کے کنٹرول سے باہر جائے اسے محدود رکھا جائے | جب ڈیٹا آپ کی تعیناتی سے آپ کے اپنے سسٹمز اور آپ کے اپنے کسٹمرز کے علاوہ کہیں اور جاتا ہے، بشمول آپ کے خطے سے باہر کسی فراہم کنندہ اور رپورٹس اور ایکسپورٹس کے، تو اس سے پہلے ذاتی معلومات پوشیدہ کر دی جاتی ہیں۔ ذاتی معلومات کو پوشیدہ کرنا دیکھیں |
| ڈیٹا صرف اتنی مدت تک رکھا جائے جتنی ضرورت ہو | آپ کی اجازت کے بغیر کچھ بھی ذخیرہ نہیں کیا جاتا، اور ہر قسم کا مواد کتنی دیر تک رکھا جائے، یہ آپ طے کرتے ہیں۔ مواد کا ذخیرہ بند ہونے کی صورت میں صرف ایک ایسا آڈٹ ریکارڈ رکھا جاتا ہے جس میں گفتگو کا مواد شامل نہیں ہوتا، اور وہ بھی آپ کی طے کردہ مدت تک |
| ڈیٹا محفوظ رکھا جائے | ترسیل کے دوران TLS (Transport Layer Security) کے ورژن 1.2 یا اس سے اوپر کے ذریعے، اور ذخیرہ شدہ حالت میں AES-256 (Advanced Encryption Standard، 256 بٹ کلیدوں کے ساتھ) کے ذریعے انکرپشن۔ ہر کلائنٹ کا ڈیٹا باقی تمام کلائنٹس کے ڈیٹا سے الگ رکھا جاتا ہے۔ انکرپشن دیکھیں |
| ڈیٹا دیکھنے والوں کو محدود رکھا جائے | آپ کے شناخت فراہم کنندہ (identity provider) کے ذریعے سنگل سائن آن (کئی ایپلیکیشنز کے لیے کمپنی کا ایک ہی لاگ ان)، ملٹی فیکٹر تصدیق (multi-factor authentication، یعنی پاس ورڈ کے علاوہ ایک دوسری جانچ) کے ساتھ۔ ہر فرد صرف وہی دیکھتا ہے جو اس کے کردار کے لیے ضروری ہو۔ رسائی کا کنٹرول اور سنگل سائن آن دیکھیں |
| یہ دکھانا ممکن ہو کہ کیا ہوا | رسائی اور تبدیلیاں لاگ کی جاتی ہیں، اور ہر گفتگو کے ساتھ اس بات کا ریکارڈ ہوتا ہے کہ اے آئی ایجنٹ نے کون سی معلومات حاصل کیں، کیا کیا اور کیوں۔ آڈٹ ٹریل اور فیصلوں کا ریکارڈ دیکھیں |
| جن افراد کے بارے میں ڈیٹا ہے ان کی درخواستوں کا جواب دیا جائے | آپ کی ٹیم تلاش کی سہولت اور کسٹمر ریکارڈ کے ذریعے کسی فرد سے متعلق موجود گفتگو ڈھونڈ سکتی ہے۔ رسائی، درستی اور حذف کرنے کی درخواستوں میں Telonic آپ کی مدد کرتی ہے، جیسا کہ آپ کی ڈیٹا پروسیسنگ کی شرائط میں درج ہے |
| جب ڈیٹا کی ضرورت نہ رہے تو اسے حذف کیا جائے | ڈیٹا آپ کی طے کردہ محفوظ رکھنے کی مدت کے اختتام پر حذف کر دیا جاتا ہے۔ آپ کے معاہدے کے اختتام پر آپ کا ڈیٹا ایک معیاری فارمیٹ میں واپس کیا جاتا ہے، پھر لائیو سسٹمز سے حذف کر دیا جاتا ہے، اور بیک اپس سے اس وقت جب ان کی مدت ختم ہو، اور اس کی تحریری تصدیق کی جاتی ہے |
| سیکیورٹی کی خلاف ورزیوں کی بروقت اطلاع دی جائے | ذاتی ڈیٹا کی سیکیورٹی کی خلاف ورزیوں کی اطلاع آپ کے نامزد رابطہ افراد کو کسی غیر ضروری تاخیر کے بغیر، اور آپ کے ڈیٹا کو متاثر کرنے والی خلاف ورزی کا علم ہونے کے 24 گھنٹوں کے اندر دی جاتی ہے، اور اس کے بعد بھی اپ ڈیٹس دی جاتی رہتی ہیں۔ سیکیورٹی واقعات پر ردعمل دیکھیں |
| اس پر کنٹرول ہو کہ اور کون ڈیٹا کی پروسیسنگ کرتا ہے | ذیلی پروسیسرز (وہ دوسری کمپنیاں جنہیں Telonic سروس فراہم کرنے کے لیے استعمال کرتی ہے) کی فہرست ڈیٹا پروسیسنگ کی شرائط کا حصہ ہے اور درخواست پر دستیاب ہے۔ کسی بھی تبدیلی کی آپ کو 30 دن پہلے اطلاع دی جاتی ہے، اور آپ کو اس پر اعتراض کا حق حاصل ہے۔ ذیلی پروسیسرز دیکھیں |
| پروسیسر کے ساتھ معاہدہ موجود ہو | ڈیٹا پروسیسنگ کی شرائط ہر معاہدے کا حصہ ہیں۔ معاہدے اور ڈیٹا پروسیسنگ کی شرائط دیکھیں |
ذاتی ڈیٹا کی سیکیورٹی کی خلاف ورزیوں کی اطلاع آپ کے نامزد رابطہ افراد کو کسی غیر ضروری تاخیر کے بغیر، اور آپ کے ڈیٹا کو متاثر کرنے والی خلاف ورزی کا علم ہونے کے 24 گھنٹوں کے اندر دی جاتی ہے۔ جہاں آپ کا ریگولیٹر اپنی ایک مختصر ڈیڈ لائن طے کرتا ہے، جیسا کہ سعودی قواعد میں ہے، وہاں آپ کی قانونی ٹیم کو چاہیے کہ منصوبہ بنائے کہ یہ دونوں مدتیں آپس میں کیسے ہم آہنگ ہوں گی۔ ہمیں بتائیں کہ آپ کے نامزد رابطہ افراد کون ہیں اور دفتری اوقات کے علاوہ ان سے کیسے رابطہ کیا جائے، تاکہ کوئی وقت ضائع نہ ہو۔
وہ نیٹ ورکس جو آپ کے کسٹمرز استعمال کرتے ہیں
آپ کے کسٹمرز ایسے نیٹ ورکس کے ذریعے آپ تک پہنچتے ہیں جو گفتگو کو آپ کی تعیناتی تک لے جاتے ہیں۔ کالز آپ کا ٹیلی کام آپریٹر لے جاتا ہے، اور WhatsApp پیغامات Meta کا WhatsApp پلیٹ فارم۔ WhatsApp پیغامات آپ کی تعیناتی تک پہنچنے سے پہلے Meta انہیں اپنی شرائط کے تحت، اپنے انفراسٹرکچر پر وصول کرتی ہے، ان کی پروسیسنگ کرتی ہے اور مختصر مدت کے لیے ذخیرہ کرتی ہے، جیسا کہ وہ WhatsApp استعمال کرنے والے ہر کاروبار کے لیے کرتی ہے۔
WhatsApp چینل کا جائزہ لیتے وقت آپ کی قانونی ٹیم کو اس بات کو مدنظر رکھنا چاہیے۔ WhatsApp: جائزہ دیکھیں۔
گفتگو کے دوران رضامندی
جہاں رضامندی آپ کی قانونی بنیاد ہو، وہاں اے آئی ایجنٹ گفتگو کے دوران رضامندی حاصل کر کے اسے کسٹمر کے ریکارڈ میں درج کر سکتا ہے۔ کالز صرف اسی وقت ریکارڈ کی جاتی ہیں جب کال کرنے والا رضامندی دے چکا ہو، اور آؤٹ باؤنڈ WhatsApp پیغامات صرف ان کسٹمرز کو بھیجے جاتے ہیں جن کی شمولیت (opt-in) ریکارڈ پر موجود ہو۔ کال ریکارڈنگ اور رضامندی اور آؤٹ باؤنڈ پیغامات اور کالز کے لیے رابطے کے قواعد دیکھیں۔
عملی طور پر
دبئی کا ایک رئیل اسٹیٹ ڈویلپر متحدہ عرب امارات اور سعودی عرب کے خریداروں کو یونٹس فروخت کرتا ہے۔
- اس کی قانونی ٹیم تصدیق کرتی ہے کہ متحدہ عرب امارات کے خریداروں کے ڈیٹا پر متحدہ عرب امارات کا قانون لاگو ہوتا ہے، اور مملکت میں مقیم خریداروں کے ڈیٹا پر سعودی قانون لاگو ہوتا ہے، چاہے اس کی پروسیسنگ کہیں بھی ہو۔
- مشورہ لینے کے بعد ڈویلپر اپنی تعیناتی کے لیے متحدہ عرب امارات کا خطہ منتخب کرتا ہے، اور ڈیٹا کی منتقلی کے اپنے جائزے میں درج کرتا ہے کہ سعودی خریداروں کا ڈیٹا کیسے سنبھالا جاتا ہے۔ وہ خطے سے باہر کوئی فراہم کنندہ منتخب نہیں کرتا۔
- وہ محفوظ رکھنے کی مدت طے کرتا ہے: تحریری نقول فروخت کے پورے دورانیے اور اس کے بعد اتنی مدت تک جتنی اس کی پالیسی میں درج ہے، اور کال ریکارڈنگز اس سے کم مدت تک۔
- ریاض میں مقیم ایک خریدار، Khalid، درخواست کرتا ہے کہ ڈویلپر کے پاس اس کے بارے میں جو کچھ موجود ہے اس کی ایک نقل اسے دی جائے۔ ڈیٹا پروٹیکشن آفیسر تلاش کی سہولت اور Khalid کے کسٹمر ریکارڈ کے ذریعے Khalid کی گفتگو ڈھونڈتا ہے، اور اسے ایک نقل فراہم کرتا ہے۔
- سیکیورٹی کی خلاف ورزی کی اطلاعات کے لیے ڈویلپر کے نامزد رابطہ افراد میں دفتری اوقات کے علاوہ رابطے کا ایک نمبر بھی شامل ہے، جو اس کی ڈیٹا پروسیسنگ کی شرائط میں درج ہے۔
آپ کی ٹیم کے اختیار میں کیا ہے
- ہوسٹنگ آپشن اور خطہ، اور یہ کہ اس خطے سے باہر کوئی فراہم کنندہ استعمال کیا جا سکتا ہے یا نہیں۔
- کیا ذخیرہ کیا جائے، اور کتنی مدت تک۔
- آپ کے ادارے میں کون ذاتی ڈیٹا دیکھ سکتا ہے۔
- آپ کی قانونی بنیاد اور رضامندی کے الفاظ۔
- سیکیورٹی کی خلاف ورزی کی اطلاعات کے لیے آپ کے نامزد رابطہ افراد۔
متعلقہ
- معاہدے اور ڈیٹا پروسیسنگ کی شرائطقانونی امور اور تعمیل
- ہوسٹنگ اور ڈیٹا کا مقامسیکیورٹی اور ڈیٹا کا تحفظ
- ذاتی معلومات کو پوشیدہ کرناسیکیورٹی اور ڈیٹا کا تحفظ
- ذخیرہ کرنا، محفوظ رکھنا اور حذف کرناسیکیورٹی اور ڈیٹا کا تحفظ
- قانونی امور اور تعمیل سے متعلق سوالاتعمومی سوالات
مصنوعات کے نام اور لوگو اپنے اپنے مالکان کے ٹریڈ مارک ہیں۔ ان کا ذکر ان سسٹمز کی نشاندہی کرتا ہے جن سے Telonic منسلک ہوتی ہے، اور اس سے کسی شراکت داری یا تائید کا مفہوم نہیں نکلتا۔