ڈیٹا تحفظ پالیسی

1. تعارف

یہ ڈیٹا تحفظ پالیسی بتاتی ہے کہ Karnival Pvt کارنیول ایپ کے لیے ذاتی ڈیٹا کیسے بچاتا ہے۔ بنیادی قانونی حوالہ پریونشن آف الیکٹرانک کرائمز ایکٹ (PECA) 2016 ہے۔ پاکستان کے مسودہ پرسنل ڈیٹا پروٹیکشن بل (PDPB) کا ذکر متوقع قومی معیارات کی رہنمائی کے طور پر ہے؛ یہ دعویٰ نہیں کہ حتمی PDPB قانون یہاں بیان کردہ شکل میں مکمل نافذ ہے۔ ہم GDPR، UK GDPR یا CCPA کی تعمیل کا دعویٰ نہیں کرتے۔

2. اہم اصول

• قانونیت، انصاف اور شفافیت: ڈیٹا قانونی، منصفانہ اور شفاف طریقے سے پروسیس ہوتا ہے۔

• مقصد کی حد: ڈیٹا صرف متعین، جائز مقاصد کے لیے جمع ہوتا ہے۔

• کم سے کم ڈیٹا: صرف ضروری کم از کم ڈیٹا جمع اور پروسیس ہوتا ہے۔

• درستگی: ذاتی ڈیٹا درست اور باقاعدہ اپ ڈیٹ رکھا جاتا ہے۔

• ذخیرہ کی حد: ڈیٹا صرف ضرورت تک رکھا جاتا ہے، انکم ٹیکس آرڈیننس 2001 سے ہم آہنگ جہاں لاگو ہو۔

• سلامت اور رازداری: ڈیٹا بچانے کے لیے سیکیورٹی پروٹوکول موجود ہیں۔

3. ڈیٹا کی درجہ بندی

• ذاتی قابلِ شناخت معلومات (PII): نام، رابطہ، CNIC/پاسپورٹ نمبر وغیرہ۔

• حساس ذاتی ڈیٹا: جہاں جمع ہو، مثلاً اختیاری تصدیق کے لیے شناخت۔ کارنیول ایپ میں ادائیگیاں پروسیس نہیں کرتا، اس لیے ان ایپ کارڈ یا والیٹ ادائیگی ڈیٹا جمع نہیں کرتا۔

4. ڈیٹا پروسیسنگ اور رضامندی

4.1 رضامندی: جہاں مناسب ہو، ڈیٹا واضح، باخبر رضامندی سے پروسیس ہوتا ہے۔ PDPB دفعہ 7 کا ذکر مسودہ رہنمائی کے طور پر ہے، نافذ حتمی قانون کے دعوے کے طور پر نہیں۔

4.2 قانونی بنیادیں: پروسیسنگ معاہدے کی ضرورت، قانونی ذمہ داریوں (مثلاً PECA 2016)، اور جائز مفادات پر مبنی ہے، جب تک صارف کے حقوق غالب نہ آئیں۔

5. ڈیٹا سبجیکٹ کے حقوق

مسودہ PDPB 2020 کی رہنمائی کے تحت ہم درج ذیل درخواستوں کا 30 دنوں میں جواب دینے کی کوشش کرتے ہیں (یہ GDPR حقوق کا دعویٰ نہیں):

• رسائی کا حق

• تصحیح کا حق

• مٹانے کا حق

• ڈیٹا پورٹیبلٹی کا حق

• اعتراض کا حق

• پروسیسنگ محدود کرنے کا حق

6. ڈیٹا سیکیورٹی اور بریچ کا انتظام

6.1 سیکیورٹی اقدامات: ہم انکرپشن، رسائی کنٹرول، اور صنعت کے عام تحفظات والی ہوسٹڈ انفراسٹرکچر استعمال کرتے ہیں۔ اس صفحے پر ISO/IEC 27001 سرٹیفیکیشن کا دعویٰ نہیں۔

6.2 بریچ کی اطلاع: متاثرہ صارفین اور پاکستان ٹیلی کمیونیکیشن اتھارٹی (PTA) کو PECA دفعہ 29 کے مطابق 72 گھنٹوں میں مطلع کرنے کی کوشش کی جائے گی۔

7. ڈیٹا رکھنا اور حذف کرنا

7.1 رکھنے کی مدتیں:

• اکاؤنٹ اور ایپ سرگرمی سے متعلق ریکارڈ: قانونی تقاضوں کے مطابق، بشمول جہاں لاگو ہو انکم ٹیکس آرڈیننس دفعہ 174 کے تحت 7 سال

• صارف اکاؤنٹ ڈیٹا: غیر فعالیت کے 2 سال تک

• ادائیگی ڈیٹا: ہم ایپ میں ادائیگیاں پروسیس نہیں کرتے، اس لیے ان ایپ کارڈ/والیٹ ادائیگی ڈیٹا نہیں رکھتے۔

• سپورٹ ڈیٹا: 24 ماہ تک

7.2 حذف کرنے کے طریقے: مستقل حذف صنعت کے عام طریقوں کے مطابق۔ قانوناً رکھے گئے ڈیٹا کو گمنام کیا جا سکتا ہے۔

8. ڈیٹا شیئرنگ اور تیسری پارٹی رسائی

8.1 تیسری پارٹی فراہم کنندگان: جہاں لاگو ہو، ڈیٹا پروسیسنگ معاہدوں کے پابند۔

8.2 اداروں کو افشا: صرف PECA 2016 کی حد تک۔ صارفین کو مطلع کیا جائے گا جب تک قانوناً منع نہ ہو۔

9. بین الاقوامی منتقلی

پاکستان سے باہر منتقلی معتبر فراہم کنندگان اور خطرے کے مطابق معاہدہ جاتی/تکنیکی حفاظتی تدابیر کے تحت کی جاتی ہے۔ یہ GDPR کی تعمیل کا دعویٰ نہیں۔

10. پروسیسنگ کی سیکیورٹی

• انکرپشن: ترسیل اور ذخیرے پر AES-256

• نیٹ ورک سیکیورٹی: IDS، فائر والز، اور کمزوری ٹیسٹنگ

• رسائی کنٹرول: کردار پر مبنی، نگرانی اور لاگنگ کے ساتھ

• محفوظ ترقی: OWASP معیارات کی پیروی

• جسمانی سیکیورٹی: ڈیٹا سینٹرز پر میزبان فراہم کنندہ کے حفاظتی کنٹرول

11. ڈیٹا بریچ کا جواب

• شناخت اور روک تھام: فوری علیحدگی اور تحقیق

• خطرے کا جائزہ: بریچ شدہ ڈیٹا کی قسم اور شدت

• صارف اور اتھارٹی کو اطلاع: 72 گھنٹوں میں (PECA دفعہ 29)

• اصلاحی اقدامات: کمزوریاں درست کرنا اور پروٹوکول بہتر بنانا

12. ڈیٹا پروٹیکشن امپیکٹ اسیسمنٹس (DPIA)

زیادہ خطرے والی سرگرمیوں (نئی ٹیکنالوجی، پروفائلنگ) کے لیے جائزے کیے جا سکتے ہیں۔ PDPB دفعہ 30 کا ذکر مسودہ رہنمائی کے طور پر ہے۔

13. آڈٹ اور تعمیل کی نگرانی

13.1 جائزے: ہم سیکیورٹی اور ڈیٹا طریقوں کا وقتاً فوقتاً جائزہ PECA 2016 اور صنعت کی اچھی مشق کے خلاف لیتے ہیں۔

13.2 نگرانی: قانونی تعمیل، سیکیورٹی اقدامات، اور صارف حقوق کی درخواستوں کا احاطہ۔

14. ایپ کی اجازتیں اور ڈیوائس تک رسائی

اسٹوریج: کارنیول اسٹوریج صرف تب مانگتا ہے جب آپ اشتہار کے لیے تصویر یا ویڈیو اپ لوڈ کریں۔ صرف منتخب فائلیں، باقی مواد نہیں۔

کیمرہ: کیمرہ صرف اشتہار کی تصاویر/ویڈیوز کے لیے۔ میڈیا تب اپ لوڈ ہوتا ہے جب آپ اشتہار شائع کریں۔

مقام: مقام کی بنیاد پر سہولتیں، بشمول:

• اشتہار کا مقام زیادہ درست رکھنا۔

• قریب اور متعلقہ اشتہارات دکھانا۔

• تلاش اور مقامی تجاویز بہتر بنانا۔

مقام کی اجازت اختیاری ہے۔ آپ صوبہ اور شہر خود منتخب کر کے استعمال جاری رکھ سکتے ہیں۔ اجازتیں ڈیوائس سیٹنگز سے بدل سکتے ہیں۔

15. ترامیم

یہ پالیسی قانونی، تکنیکی یا آپریشنل تبدیلیوں کے مطابق اپ ڈیٹ ہو سکتی ہے۔ تبدیلیوں سے کم از کم 30 دن پہلے ای میل یا پلیٹ فارم نوٹیفیکیشن سے مطلع کیا جائے گا۔