ذاتی ڈیٹا کا تحفظ

ذاتی ڈیٹا کی پروسیسنگ میں بنیادی اصول:

قانون اور دیانتداری کے اصول کے مطابق کارروائی

ہماری کمپنی ذاتی ڈیٹا کی پروسیسنگ میں قانونی ضوابط کے تحت لائی گئی اصولوں اور عمومی اعتماد و ایمانداری کے قواعد کے مطابق عمل کرتی ہے۔

درست اور ضرورت کے مطابق تازہ ترین ہونا

کمپنی کی طرف سے پروسیس کیے گئے ذاتی ڈیٹا کو درست اور تازہ ترین حالت میں رکھنے کے لیے ضروری اقدامات کیے جاتے ہیں اور پروسیس کیے گئے ڈیٹا کی حقیقت کی عکاسی کرنے کے لیے معلومات فراہم کی جاتی ہیں، نیز ڈیٹا کے مالکان کو ضروری سہولیات فراہم کی جاتی ہیں۔

6.1.3۔ مخصوص، واضح اور جائز مقاصد کے لیے پراسیسنگ

ہماری کمپنی جائز اور قانونی طور پر مناسب ذاتی ڈیٹا پروسیسنگ کے مقصد کو واضح اور قطعی طور پر متعین کرتی ہے۔ ہماری کمپنی ذاتی ڈیٹا کو متعلقہ سروس کے لیے جتنا ضروری ہو، اتنا ہی پروسیس کرتی ہے۔ ہماری کمپنی یہ کہتی ہے کہ ذاتی ڈیٹا کس مقصد کے لیے پروسیس کیا جائے گا، اس سے پہلے کہ ذاتی ڈیٹا پروسیسنگ کی سرگرمی شروع ہو۔

استعمال کیے گئے مقصد سے متعلق، محدود اور متناسب ہونا

کمپنی کی طرف سے ڈیٹا کو، KVKK اور متعلقہ دیگر قوانین کے مطابق، ڈیٹا کی اقسام کے لحاظ سے مقرر شدہ مقاصد کو پورا کرنے کے قابل، مقصد کی تکمیل سے متعلق اور مناسب حد تک پروسیس کیا جاتا ہے، اور غیر ضروری ذاتی ڈیٹا کی پروسیسنگ سے گریز کیا جاتا ہے۔

متعلقہ قانون میں متعین یا جن مقاصد کے لیے استعمال کیے گئے ہیں ان کے لیے ضروری مدت تک محفوظ رکھنے

کمپنی کی طرف سے پروسیس کیے گئے ذاتی ڈیٹا کو صرف متعلقہ قوانین میں متعین یا ان کے پروسیسنگ کے مقصد کے لیے ضروری مدت کے لیے برقرار رکھا جاتا ہے۔ اس تناظر میں، کمپنی، متعلقہ قوانین میں ڈیٹا کے تحفظ کے لیے طے شدہ مدت کی پابندی کرتی ہے؛ اگر ایسی مدت موجود نہ ہو، تو ڈیٹا کو صرف ان کے پروسیسنگ کے مقصد کے لیے ضروری مدت کے لیے برقرار رکھا جاتا ہے۔ کمپنی مستقبل میں استعمال کے امکان کی بنیاد پر ڈیٹا محفوظ نہیں کرتی۔

• عملی حفاظتی اقدامات کے دائرے میں (داخلہ اور خارجی دروازے، دفتر کے کمرے، مصنوعات کی ترسیل کے علاقے، گوداموں کی حفاظت اور عملے کے شناختی کارڈز کا استعمال وغیرہ) مقرر کردہ قواعد کی تمام عملے کے ذریعہ پابندی کی جاتی ہے۔
• وائرس اور حملہ آوروں سے تحفظ انفارمیشن ٹیکنالوجی کے ذمہ دار کی ذمہ داری ہے۔ ذمہ دار، وائرس اور حملہ آوروں سے تحفظ کے لیے ضروری ہارڈویئر اور سافٹ ویئر کی رپورٹنگ اعلیٰ انتظامیہ کو کرتا ہے اور ضروری اقدامات کرتا ہے۔ ان اقدامات میں اینٹی وائرس سافٹ ویئر اور فائر وال جیسی ہارڈویئر اور سافٹ ویئر سے متعلق آلات شامل ہیں جو وزارتِ صحت کی جانب سے مطلوبہ کم از کم شرائط پر مشتمل ہیں۔ ان سافٹ ویئرز کی تازہ کاری انفارمیشن مینجمنٹ سسٹم کے ذمہ دار کی ذمہ داری ہے۔ جب تازہ کاری کا وقت آتا ہے تو وہ اعلیٰ انتظامیہ کو آگاہ کرکے تازہ کاری کرتا ہے۔

ذاتی ڈیٹا پروسیسنگ کی سرگرمیوں کا KVKK کے مطابق انجام دینا

کے وی کے کے کے تحت ذاتی ڈیٹا کی پروسیسنگ کی شرائط متعین کی گئی ہیں اور کمپنی ذاتی ڈیٹا کو درج ذیل بیان کردہ شرائط کے مطابق پروسیس کرتی ہے۔

قانون میں بیان کردہ استثناؤں کو چھوڑ کر، کمپنی صرف اس صورت میں ذاتی ڈیٹا کو عمل میں لاتی ہے جب ڈیٹا کے مالک کی واضح رضامندی حاصل ہو۔ اگر قانون میں بیان شدہ درج ذیل حالات موجود ہوں تو، ڈیٹا کے مالک کی واضح رضامندی نہ ہونے کے باوجود ذاتی ڈیٹا پر کارروائی کی جا سکتی ہے۔

• قوانین میں واضح طور پر پیشگوئی کی گئی ہو،
• عملی طور پر ناممکن ہونے کی وجہ سے اپنی رضامندی ظاہر نہ کر سکنے والے یا جس کی رضامندی کو قانونی حیثیت حاصل نہ ہو اس شخص کے اپنے یا کسی اور کی زندگی یا جسمانی سالمیت کے تحفظ کے لیے ضروری ہونا،
• اس شرط کے ساتھ کہ یہ ایک معاہدے کے قیام یا اس کے نفاذ سے براہِ راست متعلق ہو، معاہدے کے فریقین کے ذاتی ڈیٹا کو پروسیس کرنا ضروری ہونا۔
• ڈیٹا کنٹرولر کے قانونی فرائض کو پورا کرنے کے لیے لازمی ہونا,
• ڈیٹا مالک کے ذریعے خود سے عوامی کیا جانا
• کسی حق کے قیام، استعمال یا حفاظت کے لیے ڈیٹا کی پروسیسنگ کا لازمی ہونا،
• ڈیٹا پروسیسر کے جائز مفاد کے لئے، بشرطیکہ ڈیٹا مالک کے بنیادی حقوق اور آزادیوں کو نقصان نہ پہنچے، ڈیٹا کی پروسیسنگ لازمی ہو۔
• ڈیٹا کے مالکان کے نقطہ نظر سے حفاظت کی مختلف جہتوں میں زیادہ اہمیت رکھنے والے خاص نوعیت کے ذاتی ڈیٹا کی پروسیسنگ میں کمپنی خاص حساسیت کا مظاہرہ کرتی ہے۔ اس سلسلے میں، کوالٹی مینجمنٹ یونٹ کے ذریعے مقرر کیے گئے کافی اقدامات لینے کی شرط کے ساتھ، اس نوع کے ڈیٹا کو ڈیٹا کے مالک کی صاف رضا مندی کے بغیر پروسیس نہیں کیا جاتا۔ تاہم، صحت اور جنسی زندگی سے متعلق ڈیٹا کے علاوہ دیگر خاص نوعیت کے ذاتی ڈیٹا کو قانون میں متعین حالات میں ڈیٹا کے مالک کی صاف رضا مندی کے بغیر بھی پروسیس کیا جا سکتا ہے۔

صحت اور جنسی زندگی سے متعلق ڈیٹا کو مناسب احتیاطی تدابیر اپنانے کی شرط کے ساتھ اور درج ذیل وجوہات کی موجودگی کی صورت میں بغیر واضح رضامندی کے پروسس کیا جا سکتا ہے:

• عوامی صحت کا تحفظ،
• تحفظاتی طبی عمل,
• طبی تشخیص,
• علاج اور دیکھ بھال کی خدمات کا انتظام کرنا،
• صحت کی خدمات اور اس کے مالی انتظام و منصوبہ بندی.

کمپنی کی طرف سے قانونی طور پر انجام دی جانے والی ذاتی ڈیٹا پروسیسنگ کی سرگرمی اور ذاتی ڈیٹا کے تحفظ کے لیے اختیار کیے جانے والے نظامات کے بارے میں وضاحت فراہم کرنا، اس دائرے میں ہمارے صارفین، ممکنہ صارفین، ہمارے ملازمین، ملازمت کے امیدوار، کمپنی کے اہلکار، زائرین، ہم تعاون کرنے والے اداروں کے ملازمین، اہلکار اور ذاتی ڈیٹا کے حامل تیسرے افراد سمیت وہ سب افراد جن کے ذاتی ڈیٹا کمپنی کے ذریعے پروسیس کیے جاتے ہیں، کو معلومات فراہم کر کے شفافیت یقینی بنانا ہے۔

• طبی مرکز کی انفارمیشن مینجمنٹ سسٹم ادارہ جاتی پالیسی BY.YD.002 کے مطابق ڈومین ڈھانچہ بنایا گیا ہے اور تمام کمپیوٹر ڈومین ڈھانچے میں "لاگ ان" کی حالت میں کام کرتے ہیں۔ جو کمپیوٹر ڈومین سے جڑے نہیں ہیں انہیں مقامی نیٹ ورک سے باہر نکال دیا جاتا ہے، اور مقامی نیٹ ورک میں موجود آلات کے درمیان معلومات کا تبادلہ نہیں کیا جاتا۔
• کمپیوٹرز کے ذریعے سرکاری دستاویزات، پروگرامز اور تعلیمی اسناد کے علاوہ فائلوں کا تبادلہ نہیں کیا جا سکتا
• انٹرنیٹ رسائی اور ای میل کے استعمال کے روابط طبی مرکز میں موجود فائر وال ڈیوائس کے ذریعے کنٹرول کیے جاتے ہیں۔
• طبی مرکز میں کام شروع کرنے والے تمام اہل عملے کے لیے ادارہ جاتی ای میل ایڈریس بنایا جاتا ہے۔
• ای میل اور پاس ورڈ متعلقہ عملے کو تربیت دیتے وقت فراہم کیے جاتے ہیں۔
• صارف تسلیم کرتا ہے کہ وہ ای میل کے دوران بیان کیے گئے تمام خیالات کا مالک ہے۔ ایسے پیغامات بھیجنے کا ذمہ دار صارف ہے جو جرم کے زمرے میں آ سکتے ہیں؛ دھمکی آمیز، غیر قانونی، توہین آمیز، گالی یا توہین پر مبنی، اخلاق کے منافی ہوں۔
• صارف اپنے اکاؤنٹ میں ایسے مواد اور دستاویزات شامل نہیں کر سکتا جو قانونی طور پر جرم کے زمرے میں آئیں، اور نہ ہی ذاتی اکاؤنٹ کے مالکان کو نقصان پہنچانے والے طریقہ کار استعمال کر سکتا ہے۔
• کوئی بھی دوسرا نظام یا دوسرے صارف کا اکاؤنٹ متعلقہ شخص کی اجازت کے بغیر پیغام بھیجنے کے مقصد کے لیے استعمال نہیں کر سکتا۔
• صارف اپنے اکاؤنٹ کو تجارتی اور منافع کے مقصد کے لیے استعمال نہیں کر سکتا۔ وہ بڑے پیمانے پر متعدد صارفین کو اشتہارات، پروموشن، اعلانات وغیرہ (SPAM) کے لیے ای میل نہیں بھیج سکتا۔
• صارف کے اکاؤنٹ میں موجود ہر قسم کی معلومات کے پبلیشنگ حقوق سے پیدا ہونے والی قانونی ذمہ داریاں صارف پر عائد ہوتی ہیں۔

ذاتی ڈیٹا کے مالک کو آگاہی اور اطلاع فراہم کرنا

ہماری کمپنی، KVK قانون کے آرٹیکل 10 کے مطابق، ذاتی معلومات کے حصول کے دوران ذاتی معلومات کے مالکان کو آگاہ کرتی ہے۔ اس تناظر میں کمپنی یہ آگاہ کرتی ہے کہ ذاتی معلومات کس مقصد کے لئے پروسیس کی جائیں گی، پروسیس شدہ ذاتی معلومات کو کس کو اور کس مقصد کے لئے منتقل کیا جا سکتا ہے، ذاتی معلومات جمع کرنے کا طریقہ اور قانونی وجہ کیا ہے، اور ذاتی معلومات کے مالک کے کون سے حقوق ہیں۔

آئین کے آرٹیکل 20 میں واضح کیا گیا ہے کہ ہر شخص کو اپنی ذاتی معلومات کے بارے میں آگاہ رہنے کا حق حاصل ہے۔ اس حوالے سے ڈیٹا پروٹیکشن ایکٹ کے آرٹیکل 11 میں ذاتی ڈیٹا کے مالک کے حقوق میں "معلومات طلب کرنے" کا حق بھی شامل کیا گیا ہے۔ ہماری کمپنی اس دائرہ کار میں آئین کے آرٹیکل 20 اور ڈیٹا پروٹیکشن ایکٹ کے آرٹیکل 11 کے مطابق ذاتی ڈیٹا کے مالک کی معلومات طلب کرنے کی صورت میں ضروری آگاہی فراہم کرتی ہے۔

ذاتی ڈیٹا کے پروسیسنگ کے مقاصد

آپ کے صحت کے ڈیٹا سمیت خصوصی نوعیت کے ذاتی ڈیٹا اور ذاتی ڈیٹا، کمپنی کی طرف سے درج ذیل مقاصد کے ساتھ محدود اور متناسب انداز میں پروسیس کیا جا سکتا ہے، بشمول لیکن محدود نہیں:

• آپ کا نام، خانوادگی نام، T.C شناختی نمبر، عارضی T.C شناختی نمبر، پاسپورٹ نمبر، پیدائش کی جگہ اور تاریخ، ازدواجی حیثیت، جنس، انشورنس یا مریض پروٹوکول نمبر اور آپ کی شناخت کرنے والے دیگر شناختی ڈیٹا۔
• آپ کا پتہ، فون نمبر، ای میل ایڈریس
• آپ کے ٹیسٹ کے نتائج، لیبارٹری اور تصویری تشخیصی نتائج، معائنہ کے ڈیٹا، نسخہ کی معلومات جیسی طبی تشخیص، علاج اور نگہداشت کی خدمات کے دوران حاصل ہونے والے صحت اور جنسی زندگی سے متعلق ڈیٹا اور ان تک محدود نہ رہتے ہوئے دیگر صحت کے ڈیٹا،
• آپ کا آئی بی اے این نمبر، کریڈٹ کارڈ کی معلومات،
• طبی مرکز کے دورے کے دوران آپ کی بند سرکٹ کیمرا سسٹم کی ویڈیو اور آڈیو ریکارڈنگ
• جب آپ مریض داخلہ / مشاورت سے رابطہ کرتے ہیں تو آپ کی ریکارڈ شدہ آڈیو گفتگو،
• صحت کی خدمات کی مالی اعانت اور منصوبہ بندی کے مقصد کے لیے نجی صحت بیمہ سے متعلق آپ کے ڈیٹا

ہماری کمپنی ذاتی ڈیٹا کے تحفظ کے قانون نمبر 6698 کے آرٹیکل 5 کے پیراگراف 2 اور آرٹیکل 6 کے پیراگراف 3 میں بیان کردہ ذاتی ڈیٹا کے پروسیسنگ کے شرائط کے دائرہ کار میں اور مقاصد اور شرائط کے مطابق ذاتی ڈیٹا کو پروسیس کرتی ہے۔

یہ مقاصد اور شرائط;

• ہمارے کمپنی کی جانب سے آپ کی ذاتی معلومات کی پروسیسنگ سے متعلق متعلقہ کارروائی کرنا قوانین میں واضح طور پر متوقع ہونا,
• آپ کے ذاتی ڈیٹا کا ہماری کمپنی کی جانب سے پراسیس کرنا کسی معاہدے کے قیام یا عمل درآمد سے براہ راست تعلق رکھنا اور ضروری ہونا،
• آپ کے ذاتی ڈیٹا کی پراسیسنگ کا ہماری کمپنی کے قانونی ذمہ داری کو پورا کرنے کے لیے لازمی ہونا،
• آپ کے ذاتی ڈیٹا کا آپ کی طرف سے علانیہ کیے جانے کی شرط پر؛ محدود مقصد کے لیے ہماری کمپنی کی جانب سے پراسیس کیا جانا،
• آپ کے ذاتی ڈیٹا کا ہماری کمپنی کی جانب سے پراسیس کرنا ہماری، آپ کی یا تیسرے فریق کے حقوق کے قیام، استعمال یا حفاظت کے لیے لازمی ہونا،
• آپ کے بنیادی حقوق اور آزادیوں کو نقصان پہنچائے بغیر، کمپنی کے جائز مفادات کے لیے ذاتی ڈیٹا پروسیسنگ کی سرگرمی کرنا لازمی ہو۔
• ہماری کمپنی کی طرف سے ذاتی ڈیٹا پروسیسنگ کی سرگرمی اس صورت میں کی جاتی ہے جب یہ ذاتی ڈیٹا کے مالک یا کسی اور کی زندگی یا جسمانی سالمیت کے تحفظ کے لیے ضروری ہو اور ایسی صورت میں ذاتی ڈیٹا کے مالک عملی طور پر یا قانونی طور پر اپنی رضامندی ظاہر کرنے کے قابل نہ ہو۔
• یہ قانون میں پیشگی طور پر متعین ہو کہ ذاتی ڈیٹا کے مالک کی صحت اور جنسی زندگی کے علاوہ دیگر حساس ذاتی ڈیٹا کی پروسیسنگ کی جائے۔
• ذاتی ڈیٹا کے مالک کی صحت اور جنسی زندگی سے متعلق خاص نوعیت کے ذاتی ڈیٹا کی عوامی صحت کے تحفظ، حفاظتی طب، طبی تشخیص، علاج اور دیکھ بھال کی خدمات کے نفاذ، صحت کی خدمات اور مالیات کی منصوبہ بندی اور انتظام کے مقصد کے لیے وہ افراد یا مجاز ادارے اور تنظیموں کے ذریعہ پروسیس کیا جانا جو رازداری کی ذمہ داری کے پابند ہوں۔

مندرجہ بالا شرائط کے تحت؛ ہماری کمپنی ذاتی ڈیٹا کو، مگر صرف انہی تک محدود نہیں، درج ذیل مقاصد کے لیے پروسیس کر سکتی ہے:

• عوامی صحت کا تحفظ، حفاظتی طبیعت، طبی تشخیص، علاج اور دیکھ بھال کی خدمات کو انجام دینا،
• صحت کی خدمات اور اس کے مالی انتظام و منصوبہ بندی کے مقصد کے لیے
• آپ کی شناخت کی تصدیق
• اگر آپ نے ملاقات کی تاریخ لی ہے تو آپ کو ملاقات کے بارے میں آگاہ کیا جا سکتا ہے۔
• طبی مرکز کے معاہدہ شدہ اداروں کے ساتھ آپ کے تعلقات کی تصدیق کرنا
• قانونی اور ریگولیٹری تقاضوں کی تکمیل
• مریض خدمات، مالی امور، مارکیٹنگ شعبے کی جانب سے آپ کی صحت کی خدمات کے مالیات، ٹیسٹ، تشخیص اور علاج کے اخراجات کی تکمیل،
• متعلقہ قوانین کے مطابق وزارت صحت اور دیگر سرکاری اداروں اور تنظیموں کے ساتھ درخواست کی گئی معلومات کا اشتراک،
• صحت کی خدمات کی مالی اعانت کے دائرہ کار میں نجی انشورنس کمپنیوں کی جانب سے طلب کی جانے والی ہر قسم کی معلومات کا اشتراک
• ہماری فراہم کردہ خدمات کی بہتری کے مقصد کے لیے آپ کے صحت کی خدمات کے استعمال کا تجزیہ کرنا
• کمپنی کی طرف سے چلائی جانے والی تجارتی سرگرمیوں کو انجام دینے کے لیے متعلقہ کاروباری یونٹس کی طرف سے ضروری کاموں کی انجام دہی اور اس سے متعلق کام کے عمل کے قیام کے مطابق؛
• کاروباری سرگرمیوں اور کاروبار کی تسلسل کو یقینی بنانے کی سرگرمیوں کی منصوبہ بندی اور نفاذ،
• مالیات اور/یا محاسبے کے امور کی پیروی،
• اختیاری اداروں کو قانونی وجوہات کی بنیاد پر معلومات فراہم کرنا،
• کارپوریٹ کمیونیکیشن سرگرمیوں کی منصوبہ بندی اور عملدرآمد،
• ہماری کمپنی کی انسانی وسائل کی پالیسیوں کے نفاذ کی فراہمی؛
• ہماری کمپنی اور ہماری کمپنی کے ساتھ کاروباری تعلق رکھنے والے افراد کی قانونی اور تجارتی حفاظت کی فراہمی؛
• موجودہ صارفین کے لیے اطمینان کی تشخیص کی سرگرمیوں کا انتظام، تنظیم اور ایونٹ مینجمنٹ،
• کام کی صحت اور حفاظت کی سرگرمیوں کو انجام دینا،
• معلومات اور جسمانی سلامتی کے عمل کی انجام دہی
• کارپوریٹ ویب سائٹ اور موبائل ایپلیکیشنز کے ذریعے لین دین کرنے والے کی معلومات کی تصدیق کرنا،

ذاتی ڈیٹا کا مٹانا، نابود کرنا یا گمنام بنانا

ذاتی معلومات کے حذف کرنے، تباہ کرنے یا گمنام بنانے کے بارے میں دیگر قوانین میں موجود دفعات کا تحفظ رکھتے ہوئے، کمپنی اس قانون اور دیگر قوانین کے احکام کے مطابق عمل کرنے کے باوجود، اگر پروسیسنگ کے لیے ضروری وجوہات ختم ہو جائیں تو ذاتی معلومات کو خود بخود یا ذاتی معلومات کے مالک/متعلقہ شخص کی درخواست پر انفارمیشن سیکیورٹی اور ذاتی ڈیٹا کے تحفظ کے طریقہ کار BY.PR.004 میں موجود اصولوں کے مطابق حذف، تباہ یا گمنام بنا دیتی ہے۔

ذاتی معلومات کا حذف کرنا؛ ذاتی معلومات کو متعلقہ صارفین کے لیے کسی بھی طرح سے ناقابل رسائی اور دوبارہ استعمال کے قابل نہ بنانے کا عمل ہے۔

ڈیٹا کو تباہ کرنا اس عمل کو کہتے ہیں جس میں ذاتی ڈیٹا کسی کے ذریعہ کسی بھی طریقے سے قابل رسائی، واپس نہ لائی جانے والی اور دوبارہ استعمال نہ ہونے والی حالت میں آ جائے۔

ڈیٹا کو گمنام بنانے کے ذریعے، یہ یقینی بنایا جاتا ہے کہ ذاتی ڈیٹا کسی بھی طرح سے کسی قابل شناخت یا شناخت شدہ حقیقی شخص کے ساتھ منسلک نہیں ہو سکے، چاہے اسے دوسرے ڈیٹا کے ساتھ ملا دیا جائے۔

ذاتی ڈیٹا کی منتقلی

بیان کیے گئے مقاصد کے دائرہ کار میں آپ کے ذاتی ڈیٹا کو؛ KVKK میں متعین بنیادی اصولوں کے مطابق اور KVKK کے آرٹیکل 8 اور 9 میں بیان کردہ ذاتی ڈیٹا کی پروسیسنگ کی شرائط اور مقاصد کے تحت،

• صحت کی وزارت اور اس کے ماتحت ذیلی ادارے،
• آپ کے دیے گئے نمائندے,
• خصوصی بیمہ کمپنیاں،
• سماجی تحفظ ادارہ
• جنرل پولیس ہیڈکوارٹرز اور دیگر قانون نافذ کرنے والے ادارے،
• جنرل ڈائریکٹوریٹ برائے آبادی
• ترکی فارماسسٹ ایسوسی ایشن
• عدالتیں اور ہر قسم کے عدالتی ادارے، مرکزی اور دیگر تیسرے فریق,
• وکلاء،
• طبی تشخیص اور علاج کے لیے ہم جس تعاون میں شریک ہیں، لیبارٹریاں، طبی مراکز، ایمبولینس، طبی آلات اور صحت کی خدمات فراہم کرنے والے ادارے،
• خدمات کی فراہمی کے مقصد کے لیے محدود طور پر ہمارے فراہم کنندگان،

کے ساتھ شیئر کیا جا سکے گا۔

ذاتی ڈیٹا کو بیرون ملک منتقل کرنا

ہماری کمپنی قانونی طور پر ذاتی ڈیٹا کے عملدرآمد کے مقاصد کے مطابق ضروری حفاظتی اقدامات کرتے ہوئے ذاتی ڈیٹا کے مالک کے ذاتی ڈیٹا اور خصوصی نوعیت کے ذاتی ڈیٹا کو بیرون ملک تیسرے فریقوں کو منتقل کر سکتی ہے۔ ہماری کمپنی کی طرف سے ذاتی ڈیٹا ان غیر ملکی ممالک میں منتقل کیا جاتا ہے جن کے بارے میں KVK ادارے نے یہ اعلان کیا ہے کہ وہاں مناسب تحفظ موجود ہے ("مناسب تحفظ والے غیر ملکی ممالک") یا اگر مناسب تحفظ موجود نہیں ہے تو ترکی اور متعلقہ غیر ملکی ممالک میں ان ڈیٹا کنٹرولرز کے ذریعے مناسب تحفظ کا تحریری وعدہ کیا گیا ہو اور KVK ادارے کی اجازت موجود ہو ("مناسب تحفظ کا وعدہ کرنے والے ڈیٹا کنٹرولر والے غیر ملکی ممالک")۔ ہماری کمپنی اس سلسلے میں KVK قانون کے آرٹیکل 9 میں پیش کی گئی ہدایات کے مطابق عمل کرتی ہے۔

عمارت، تنصیبات کے داخلے اور ان کے اندر کی جانے والی ذاتی ڈیٹا پروسیسنگ سرگرمیاں اور ویب سائٹ کے زائرین

• کمپنی کی طرف سے عمارت اور سہولیات کے داخلے پر اور سہولیات کے اندر کی جانے والی ذاتی ڈیٹا پروسیسنگ کی سرگرمیاں، آئین، KVK قانون اور متعلقہ دیگر قوانین کے مطابق انجام دی جاتی ہیں۔
• ہماری کمپنی کی جانب سے حفاظت کو یقینی بنانے کے مقصد کے تحت، ہماری کمپنی کی عمارتوں اور سہولیات میں سیکیورٹی کیمروں کے ذریعے نگرانی کی جاتی ہے اور مہمانوں کے داخلے اور نکلنے کی ٹریکنگ کے لیے ذاتی ڈیٹا کی پروسیسنگ کی جاتی ہے۔
• سیکیورٹی کیمروں کے استعمال اور مہمانوں کے آمدورفت کو ریکارڈ میں رکھنے کے ذریعے ہماری کمپنی کی جانب سے ذاتی ڈیٹا پراسیسنگ کی سرگرمی انجام دی جاتی ہے۔
• کمپنی کی طرف سے سیکیورٹی کیمرے کے ذریعے نگرانی کی سرگرمی، کمپنی اور دیگر افراد کی سلامتی کو یقینی بنانے کے مفادات کے تحفظ کا مقصد رکھتی ہے اور اس سلسلے میں ہماری کمپنی آئین، KVK قانون اور دیگر متعلقہ قوانین کے مطابق عمل کرتی ہے۔
• ہماری کمپنی کی عمارتوں، سہولیات کے داخلی مقامات اور سہولیات کے اندر کیمروں کے ذریعے مانیٹرنگ سسٹم میں ہمارے وزیٹرز کی تصاویر ریکارڈ کی جاتی ہیں۔
• ہماری کمپنی، سیکیورٹی کیمرے کے ذریعے نگرانی کی سرگرمی کے دائرہ کار میں؛ فراہم کی جانے والی خدمت کے معیار کو بڑھانے، اس کی اعتمادیت کو یقینی بنانے، کمپنی، صارفین اور دیگر افراد کی حفاظت کرنے اور صارفین کی حاصل کردہ خدمت سے متعلق مفادات کا تحفظ کرنے جیسے مقاصد رکھتی ہے۔
• ہماری کمپنی کی طرف سے سیکیورٹی کے مقصد کے لیے کیمروں کے ذریعے نگرانی کی سرگرمیوں کے دوران KVK قانون میں موجود ضوابط پر عمل کیا جاتا ہے۔ ہماری کمپنی کی طرف سے انجام دی جانے والی کیمرے کے ذریعے نگرانی کی سرگرمی، نجی سیکیورٹی خدمات سے متعلق قانون اور متعلقہ قوانین کے مطابق جاری رکھی جاتی ہے۔
• ڈیجیٹل فارمیٹ میں محفوظ کیے گئے اور رکھے گئے ریکارڈز تک صرف محدود تعداد میں کمپنی کے ملازمین کی رسائی ہے۔ محدود تعداد میں افراد جو ریکارڈز تک رسائی رکھتے ہیں، رازداری کے معاہدے کے ساتھ اعلان کرتے ہیں کہ وہ رسائی حاصل کردہ ڈیٹا کی رازداری کو برقرار رکھیں گے۔
• ہماری کمپنی کی طرف سے KVK قانون کے آرٹیکل 12 کے مطابق، کیمرے کے ذریعے نگرانی کے نتیجے میں حاصل ہونے والے ذاتی ڈیٹا کی حفاظت کو یقینی بنانے کے لیے ضروری تکنیکی اور انتظامی اقدامات کیے جاتے ہیں۔

اوپر بیان کردہ کیمروں کے ریکارڈ کے علاوہ ہماری کمپنی کی طرف سے؛ حفاظت کے قیام اور اس پالیسی میں بیان کیے گئے مقاصد کے لیے، ہماری کمپنی کی عمارات اور سہولیات میں مہمانوں کی آمد و رفت کی نگرانی کے لیے ذاتی ڈیٹا پراسیسنگ کی جاتی ہے۔

• جب لوگ ہمارے کمپنی کے عمارتوں میں مہمان کے طور پر آتے ہیں، تو ان کے نام اور خاندانی نام حاصل کیے جاتے ہیں یا کمپنی میں لگائے گئے یا دیگر طریقوں سے مہمانوں کی رسائی کے لیے فراہم کردہ متون کے ذریعے متعلقہ ذاتی ڈیٹا کے مالکوں کو اس سلسلے میں آگاہ کیا جاتا ہے۔ مہمان کی آمد و رفت کی نگرانی کے مقصد کے لیے حاصل کیے گئے ڈیٹا کو صرف اسی مقصد کے لیے پروسس کیا جاتا ہے یا متعلقہ ذاتی ڈیٹا کو فزیکل ماحول میں ڈیٹا ریکارڈ سسٹم میں درج کیا جاتا ہے۔
• ہماری کمپنی کی جانب سے حفاظت کو یقینی بنانے اور اس پروسیجر میں بیان کیے گئے مقاصد کے لیے؛ ہماری کمپنی کی عمارتوں اور سہولیات میں قیام کے دوران طلب کرنے والے زائرین کو انٹرنیٹ تک رسائی فراہم کی جا سکتی ہے۔ اس صورت میں، آپ کی انٹرنیٹ رسائی کے لاگ ریکارڈز 5651 نمبر کے قانون اور اس قانون کے مطابق تیار کردہ قوانین کے احکامات کے مطابق محفوظ کیے جاتے ہیں؛ یہ ریکارڈز صرف مجاز سرکاری اداروں اور تنظیموں کی درخواست پر یا کمپنی میں انجام دی جانے والی نگرانی کے عمل کے دوران ہمارے متعلقہ قانونی فرائض کو پورا کرنے کے لیے استعمال کیے جاتے ہیں۔
• اس دائرہ کار میں حاصل شدہ لاگ ریکارڈز تک صرف محدود تعداد میں کمپنی کے ملازمین کی رسائی ہے۔ مذکورہ ریکارڈز تک رسائی رکھنے والے کمپنی کے ملازمین ان ریکارڈز تک صرف مجاز سرکاری ادارے یا تنظیم کی درخواست یا نگرانی کے عمل کے دوران رسائی حاصل کرتے ہیں اور انہیں قانونی طور پر مجاز افراد کے ساتھ شیئر کرتے ہیں۔ ریکارڈز تک رسائی رکھنے والے محدود تعداد میں افراد رازداری کے عہد نامے کے ساتھ یہ ظاہر کرتے ہیں کہ وہ رسائی حاصل کردہ ڈیٹا کی رازداری کا تحفظ کریں گے۔
• ویب سائٹ کے وزیٹرز کے لیے کوکی پالیسی کے ذریعے وضاحت فراہم کی جاتی ہے۔

ذاتی ڈیٹا کی اقسام

• شناخت (نام و фамилия، والدین کے نام، والدہ کا لڑکپن کا نام، تاریخ پیدائش، جائے پیدائش، ازدواجی حیثیت، شناختی کارڈ سیریل نمبر، ترک شناختی نمبر وغیرہ)
• رابطہ (پتہ نمبر، ای میل پتہ، رابطہ پتہ، رجسٹرڈ الیکٹرانک میل پتہ (KEP)، فون نمبر وغیرہ)
• مقام (موجودہ جگہ کی لوکیشن معلومات)
• ذاتی (پے رول کی معلومات، تادیبی تحقیق، شمولیت-اخراج کے دستاویزی ریکارڈ، جائیداد کے اعلان کی معلومات، تعلیمی اور پیشہ ورانہ معلومات، کارکردگی کی تشخیصی رپورٹیں وغیرہ)
• قانونی کارروائی (عدالتی اداروں کے ساتھ مراسلت میں موجود معلومات، مقدمہ فائل کی معلومات وغیرہ)
• کسٹمر ٹرانزیکشن (کال سینٹر کے ریکارڈز، بل، نوٹ، چیک کی معلومات، کیش کاؤنٹر رسیدوں کی معلومات، آرڈر کی معلومات، درخواست کی معلومات وغیرہ)
• جسمانی جگہ کی حفاظت (ملازمین اور زائرین کے داخلے اور خارجی ریکارڈ کی معلومات، کیمرے کے ریکارڈ وغیرہ)
• عملیات کی حفاظت (IP ایڈریس کی معلومات، ویب سائٹ کے داخلے اور اخراج کی معلومات، پاس ورڈ اور کلمات عبور کی معلومات وغیرہ)
• خطرات کا انتظام (تجارتی، تکنیکی، انتظامی خطرات کے انتظام کے لیے استعمال کی جانے والی معلومات وغیرہ)
• مالیات (بیلنس شیٹ کی معلومات، مالی کارکردگی کی معلومات، قرض اور خطرے کی معلومات، مالی اثاثوں کی معلومات وغیرہ)
• پیشہ ورانہ تجربہ (ڈپلومہ کی معلومات، شرکت کیے گئے کورسز، پیشہ ورانہ تربیت کی معلومات، سرٹیفیکیٹس، ٹرانسکرپٹ کی معلومات وغیرہ)
• مارکیٹنگ (خریداری کی تاریخ کی معلومات، سروے، کوکی ریکارڈ، مہم کی تحقیقات سے حاصل شدہ معلومات)
• بصری اور صوتی ریکارڈنگز (بصری اور صوتی ریکارڈنگز وغیرہ)
• نسل اور نسلی پس منظر (جیسے نسل اور نسلی پس منظر کی معلومات)
• سیاسی خیالات کی معلومات (جیسے سیاسی رائے کے متعلق معلومات، سیاسی جماعت کی رکنیت کے بارے میں معلومات)
• فلسفی عقائد، مذہب، فرقہ اور دیگر عقائد (مذہبی وابستگی سے متعلق معلومات، فلسفی عقائد سے متعلق معلومات، فرقہ کی وابستگی سے متعلق معلومات، دیگر عقائد سے متعلق معلومات وغیرہ)
• لباس اور پوشاک (لباس اور پوشاک سے متعلق معلومات)
• تنظیم کی رکنیت (جیسے تنظیم کی رکنیت کی معلومات)
• فاؤنڈیشن ممبرشپ (فاؤنڈیشن ممبرشپ کی معلومات جیسے)
• یونین کی رکنیت (جیساکہ یونین کی رکنیت کے ڈیٹا)
• صحت کی معلومات (معذوری کی حالت کے متعلق معلومات، خون کے گروپ کی معلومات، ذاتی صحت کی معلومات، استعمال کیے گئے آلات اور پروتھیسز کی معلومات وغیرہ)
• جنسی زندگی (جنسی زندگی سے متعلق معلومات وغیرہ)
• سزا اور حفاظتی اقدامات (سزا سے متعلق معلومات، حفاظتی اقدامات سے متعلق معلومات وغیرہ)
• حیاتیاتی ڈیٹا (ہاتھ کی ہتھیلی کی معلومات، فنگر پرنٹ کی معلومات، ریٹینا اسکین کی معلومات، چہرے کی شناخت کی معلومات وغیرہ)
• جینیاتی ڈیٹا (جینیاتی ڈیٹا وغیرہ)
• دیگر معلومات (جیسے صارف کی جانب سے متعین کردہ ڈیٹا کی اقسام)

ڈیٹا سے متعلقہ افراد کے گروہ

• ملازمت کے امیدوار
• ملازم
• مضمون
• خبریں موضوع شخص
• حصہ دار/شریک
• ممکنہ مصنوعات یا خدمات کے خریدار
• امتحان کے امیدوار
• انٹرن
• سپلائر کا ملازم
• سپلائر کا اہلکار
• مصنوعات یا خدمات لینے والا شخص
• سرپرست / سرپرستکار / نمائندہ
• وزیٹر
• دیگر

ذاتی ڈیٹا کی پروسیسنگ اور اس کے تحفظ کے لیے اپنائی گئی تکنیکی اور انتظامی اقدامات

کمپنی ذاتی معلومات کے تحفظ کے لیے ضروری مناسب حفاظتی سطح کو یقینی بنانے کے لیے تمام ضروری تکنیکی اور انتظامی اقدامات کرتی ہے۔ کے وی کے کے کے کی دفعہ 12 میں متوقع اقدامات درج ذیل ہیں:

• ذاتی ڈیٹا کے غیر قانونی پروسیسنگ کو روکنا،
• ذاتی ڈیٹا تک غیر قانونی رسائی کو روکنا،
• ذاتی معلومات کا تحفظ یقینی بنانا

ڈیٹا کنٹرولر کے طور پر کمپنی نے KVKK تعمیل کے عمل کی بہتری کے لیے درج ذیل تکنیکی اور انتظامی اقدامات کو نافذ کرنے کے لیے ضروری عمل شروع کر دیا ہے۔

• اختیارات کا میٹرکس
• اختیار کی جانچ
• رسائی کے لاگز
• صارف اکاؤنٹ مینجمنٹ
• نیٹ ورک سیکیورٹی کا اطلاق
• سیکیورٹی انکرپشن پینیٹریشن
• لاگ ریکارڈز ڈیٹا ماسکنگ
• ڈیٹا نقصان سے بچاؤ کے سافٹ ویر
• بیک اپ فائر والز
• جدید اینٹی وائرس سسٹمز
• حذف کرنا، ختم کرنا یا گمنام بنانا اور کلید کے انتظام
• ذاتی ڈیٹا پروسیسنگ انوینٹری کی تیاری
• کارپوریٹ پالیسیاں (رسائی، معلومات کی حفاظت، استعمال، ذخیرہ اور تباہی وغیرہ) معاہدے (ڈیٹا کنٹرولر - ڈیٹا کنٹرولر، ڈیٹا کنٹرولر - ڈیٹا پراسیسر کے درمیان)،
• رازداری کے معاہدے
• ادارے کے اندر باقاعدہ اور/یا عارضی معائنہ
• خطرے کا تجزیہ
• کمپنی کا معاہدہ، نظم و ضبط کے قواعد و ضوابط (قانون کے مطابق شقوں کا اضافہ)، ادارہ جاتی مواصلات (بحران کا انتظام، کمیٹی اور متعلقہ شخص کو آگاہ کرنے کے عمل، شہرت کا انتظام وغیرہ)
• تربیت اور آگاہی کی سرگرمیاں (انفارمیشن سیکیورٹی اور قانون) ڈیٹا ذمہ داران کے رجسٹریشن معلوماتی نظام (VERBİS) میں اطلاع

ذاتی ڈیٹا کے حامل کی KVK قانون کے آرٹیکل 11 میں دیے گئے حقوق

ذاتی ڈیٹا کے مالک ہونے کے ناطے، اگر آپ اپنے حقوق سے متعلق درخواستیں اس ذاتی ڈیٹا کے تحفظ کے قانون کی وضاحتی متن میں درج طریقوں کے مطابق ہماری کمپنی کو بھیجیں تو ہماری کمپنی درخواست کی نوعیت کے مطابق اسے زیادہ سے زیادہ 30 (تیس) دن کے اندر بلا معاوضہ نمٹائے گی۔ تاہم، اگر ذاتی ڈیٹا کے تحفظ کے بورڈ کی طرف سے کوئی فیس مقرر کی گئی ہو تو، ہماری کمپنی مقررہ فیس وصول کرے گی۔

اس دائرہ کار میں ذاتی ڈیٹا کے مالکان؛

• یہ جاننا کہ ذاتی ڈیٹا پروسیس ہوا ہے یا نہیں،
• اگر ذاتی ڈیٹا پر کارروائی کی گئی ہو تو اس کے متعلق معلومات طلب کرنا،
• ذاتی ڈیٹا کے پروسیسنگ کے مقصد کو جاننا اور یہ دیکھنا کہ کیا وہ اپنے مقصد کے مطابق استعمال ہو رہے ہیں یا نہیں،
• ملک کے اندر یا ملک کے باہر ذاتی ڈیٹا کی منتقلی کرنے والی تیسری پارٹیوں کے بارے میں جاننا,
• اگر ذاتی ڈیٹا نامکمل یا غلط پروسیس کیا گیا ہو تو اس کی اصلاح کرنے کی درخواست کرنا اور اس سلسلے میں کی گئی کارروائی کا اطلاع ایسے تیسرے فریقوں کو دینا جنہیں ذاتی ڈیٹا منتقل کیا گیا ہو،
• اگرچہ ذاتی ڈیٹا پروسیسنگ کو کے وی کے کے قانون اور متعلقہ دیگر قانونی شقوں کے مطابق عمل میں لایا گیا ہو، لیکن اگر پروسیسنگ کی ضرورت کے اسباب ختم ہو جائیں تو ذاتی ڈیٹا کو حذف یا تلف کرنے کی درخواست کرنے اور اس ضمن میں کی گئی کارروائی کی اطلاع ذاتی ڈیٹا کے منتقل کیے جانے والے تیسرے فریق کو دینے کی درخواست کرنے کا حق رکھنا،
• عمل کیے گئے ڈیٹا کا خاص طور پر خودکار نظاموں کے ذریعے تجزیہ کیا جانا تاکہ شخص کے خلاف نتیجہ نکلے اور اس پر اعتراض کرنے کا حق،
• اگر ذاتی ڈیٹا کی غیر قانونی پروسیسنگ کے سبب نقصان ہو تو نقصان کی تلافی طلب کرنے کا حق رکھتا ہے۔

متعلقہ شخص کے طور پر آپ کو اپنے حقوق کے دعوے کمپنی کو تحریری شکل میں پہنچانے ضروری ہیں۔ اس سلسلے میں، کمپنی کو KVKK قانون کے 11 ویں مضمون کے دائرہ کار میں کی جانے والی درخواستوں کے صحت مند اور تیز انتظام کے لیے، ہم یہ تجویز کرتے ہیں کہ آپ ہماری ویب سائٹ پر 'ذاتی ڈیٹا کی حفاظت' کے عنوان کے تحت موجود 'متعلقہ شخص معلومات کی درخواست فارم' دستاویز استعمال کریں، اپنی درخواست کے مطابق درکار دستاویزات/معلومات اور شناخت کی تصدیق کرنے والی ضروری دستاویزات فراہم کرتے ہوئے، اسے ذاتی طور پر یا واپسی کے لئے یقینی خط کے ذریعے جمع کرائیں۔ اس کے علاوہ، متعلقہ شخص معلومات کی درخواست فارم کو آپ بطور آن لائن صارف (پہلے کمپنی کو فراہم کردہ اور کمپنی کے سسٹم میں درج ای میل ایڈریس کے ساتھ) .............................com.tr کے ذریعے بھی ہمیں اپنی درخواست پہنچا سکتے ہیں۔

تعیین

ادارے کا عملہ، غیر ارادی طور پر گم ہونے یا ظاہر ہونے والی فائلیں، اینٹی وائرس ایجنٹ کے کام میں آنے والے مسائل، غیر ارادی طور پر چلنے والے پروگرام یا کھلنے والی ونڈوز، غیر مجاز عملہ کا حساس معلوماتی عمل درآمد کے مقامات پر موجود ہونا، خفیہ فائلوں کا بیرونی مداخلت کے لیے قابل ہونا، لکھے گئے طریقہ کار کے مطابق عمل نہ کرنا وغیرہ جیسے مشکوک حالات میں واقعہ کی اطلاع دیتا ہے۔

تشخیص اور رپورٹنگ

جب ڈیٹا سیکیورٹی کی خلاف ورزی کے واقعات کو غیر مطلوبہ واقعہ اطلاع فارم İO.FR.001 کے ذریعے کوالٹی مینجمنٹ یونٹ کو اطلاع دی جاتی ہے تو کوالٹی مینجمنٹ یونٹ خلاف ورزی کے واقعہ کا جائزہ لیتا ہے اور اگر یہ فیصلہ کرے کہ خلاف ورزی ہوئی ہے تو رپورٹ کے ذریعے اعلیٰ انتظامیہ کو آگاہ کرتا ہے.

رپورٹ میں کم از کم درج ذیل عنوانات شامل ہوں؛

• جمع شدہ ثبوت
• ثبوت کی قسم۔
• ثبوت رکھنے کی جگہ۔
• ثبوت کی تاریخ اور وقت۔
• اگر واقعے سے متعلق اصلاحی کارروائی شروع کی گئی ہے تو اصلاحی کارروائی کا فارم
• خلاف ورزی کے واقعے کی شناخت کی تاریخ اور وقت۔

ڈیٹا سیکیورٹی کے واقعات کی رپورٹنگ کے لیے غور کیے جانے والے نکات درج ذیل ہیں:

• جسمانی تحفظ کے انتظامات اور ماحول میں داخلے کی معلومات۔
• غیر مؤثر حفاظتی کنٹرول۔
• علم کی رازداری، سالمیت، رسائی کی حالت کی خلاف ورزی۔
• انسانی غلطیاں۔
• بغیر کنٹرول والے سافٹ ویئر یا ہارڈ ویئر سسٹم میں تبدیلیاں۔
• خرابیاں۔
• رسائی کنٹرول۔
• پالیسی اور طریقہ کار کی غیر مطابقت۔
• سسٹم سیکیورٹی سافٹ ویئر کے ذریعے معلوم شدہ خامیاں

اوپر بیان کردہ عنوانات کے لیے بنائے گئے ریکارڈز کو معیار کی مینجمنٹ تشخیصاتی اجلاسوں میں جانچا جائے گا۔ خلاف ورزی کی صورتحال کو خطرے کی تشخیص کے دائرے میں ناپا جائے گا۔

تشخیص کا میکانزم درج ذیل ہے:

• خلاف ورزی کے واقعات کے جائزہ میں واقعے کی تعداد اور واقعے کا اثر مدِنظر رکھا جاتا ہے۔
• خلاف ورزی کے واقعات سے حاصل شدہ ڈیٹا کو خطرے کی تشخیص میں پیمائش کے طور پر استعمال کیا جاتا ہے۔
• اثر کی قدر معلوماتی تحفظ کی میٹنگز میں زیرِ غور لائی جاتی ہے، اور ریکارڈ کی تعداد اور ریکارڈز کے اثر کی بنیاد پر خطرے کے امکانات کی اقدار پر ظاہر کی جاتی ہے۔
• سال کے آخر میں بننے والے ریکارڈ کی تعداد میں %7 سے %10 کے درمیان اضافہ ہونے کی صورت میں صارفین کو اضافی طور پر آگاہی کی تربیت دی جائے گی۔
• سال کے آخر میں ریکارڈ کی تعداد میں 11 فیصد سے 30 فیصد تک اضافے کی صورت میں طریقہ کار کا دوبارہ جائزہ لینے کے لیے اضافی اجلاس منعقد کیا جائے گا۔
• سال کے آخر میں بننے والے ریکارڈ کی تعداد میں %31 یا اس سے زیادہ اضافہ ہونے کی صورت میں آگاہی کی تربیت، طریقہ کار کی تازہ کاری، سرمایہ کاری اور ساختی تبدیلی کے فیصلے کیے جائیں گے۔

مداخلت

• کسی بھی ایسی کمزوری کے لیے بند کرنے کا عمل نہیں کیا جاتا جو ثبوت کو تباہ یا خراب کرے گا۔
• کنٹرولز یا رپورٹ کردہ حالات کے ذریعے معلوم شدہ اور ثبوت اکٹھا ہونے والے تمام واقعات کے لیے دیگر کارروائیوں سے پہلے اس واقعہ کی وجہ بننے والی کمزوری کو درست کیا جاتا ہے۔
• جب مداخلت کی ضرورت محسوس کی جائے تو کاروباری تسلسل کی پروسیجر BY.PR.001 لاگو کی جاتی ہے۔

احتیاط کرنا اور تجربہ حاصل کرنا

معلوم شدہ اور شواہد جمع کیے گئے معلومات کی سلامتی کے نقض کے واقعات کے بعد دوبارہ وقوع سے بچنے کے لیے ضروری اقدامات کیے جاتے ہیں۔ تمام پیش آنے والے معلومات کی سلامتی کے نقض کے واقعات کو تجربہ حاصل کرنے کے مقصد سے جائزہ لیا جاتا ہے اور حاصل شدہ معلومات کو ریکارڈ کیا جاتا ہے۔ تجربہ حاصل کرنے کا مقصد یہ ہے کہ کسی بھی نقض کے واقعہ کی دوبارہ وقوع نہ ہو یا اگر دوبارہ ہو تو مسئلہ کو کم وقت میں حل کیا جا سکے۔

ایک سیکیورٹی کے خلاف واقعہ سے بچاؤ کے لیے درج ذیل میں سے کوئی بھی کارروائی اپنائی جا سکتی ہے:

• بنائی گئی ریکارڈز کا جائزہ لیا جاتا ہے اور حل کے طریقوں کے لیے ضروری معلومات ریکارڈ کی جاتی ہیں۔
• غلط استعمالات کے نتیجے میں ہونے والے واقعات کے لیے لازمی طور پر تحریری طریقہ کار بنایا جاتا ہے۔
• طریقہ کار سے پیدا ہونے والے واقعات کے لیے طریقہ کار دوبارہ جانچا اور درست کیا جاتا ہے۔
• پیش آنے والے معلومات کی سیکیورٹی واقعہ کے خطرے کے ریکارڈ کی موجودگی کی جانچ کی جاتی ہے، اگر موجود ہو تو خطرے کا دوبارہ جائزہ لیا جاتا ہے، اگر نہ ہو تو جائزے کے لیے خطرے کا ریکارڈ بنایا جاتا ہے۔
• رسائی سے متعلق مسائل کے لیے رسائی دوبارہ جانچی جاتی ہے، دیگر اسی طرح کی رسائی کی اجازتیں بھی کنٹرول کی جاتی ہیں۔
• سافٹ ویئر اور ایپلیکیشنز کی وجہ سے ہونے والے واقعات میں اپ ڈیٹس کی جانچ کی جاتی ہے، ان واقعات کو بند کرنے کے لیے خامیوں کو دور کرنا، اپ ڈیٹ کرنا، پیچ تیار کرنا وغیرہ کے طریقے استعمال کیے جاتے ہیں۔
• جسمانی آلات سے پیدا ہونے والے مسائل کے لیے اٹھائے گئے اقدامات دیگر مشابہ آلات پر بھی لاگو ہوتے ہیں۔
• نقصان دہ کوڈز کی وجہ سے ہونے والے واقعات کے لیے مسئلے کا ماخذ معلوم کیا جاتا ہے اور سکیورٹی سافٹ ویئر کی کفایت کا جائزہ لیا جاتا ہے۔ جو اقدامات دریافت کیے جاتے ہیں وہ لازمی طور پر تمام سسٹمز پر نافذ کیے جاتے ہیں.

ریکارڈ اور شواہد جمع کرنا

• ریکارڈ اور شواہد جمع کرنے کے مرحلے میں، سب سے پہلے یہ چیک کیا جاتا ہے کہ واقعہ اور ذمہ دار کے تعین کے ریکارڈ کی سالمیت متاثر نہ ہوئی ہو۔
• صرف محفوظ شدہ ریکارڈز بطور ثبوت استعمال ہوتے ہیں۔
• ڈیٹا سیکیورٹی کی خلاف ورزی کے واقعات کے لیے جمع کیے گئے شواہد 3 سال تک محفوظ کیے جاتے ہیں.
• ڈیٹا سیکیورٹی کی خلاف ورزی کے واقعات کے تعین کے معاملات میں، اگر موجود ہوں تو لازمی طور پر کیمروں کے ریکارڈز، رسائی کے ریکارڈز، کنٹرول ریکارڈز، سسٹم سیکیورٹی سافٹ ویئرز کے ریکارڈز، مسائل کے حل کے لیے ضروری مالیاتی ریکارڈز، ڈیٹا سیکیورٹی کی خلاف ورزی کے واقعات کا جائزہ لینے کے لیے درکار اور مستقبل کے واقعات کی تعدد، نقصان اور لاگت کی حدوں کا تعیّن کرنے والے ریکارڈز محفوظ کیے جاتے ہیں.

بہتری

• ملازمین کو معلومات کی سلامتی اور ذاتی معلومات کے تحفظ کے بارے میں آگاہی کی تربیت دی جاتی ہے۔
• معلومات کے نظام میں استعمال ہونے والے پاس ورڈز وزارت کی پاس ورڈ کی پالیسیوں کے مطابق ہوتے ہیں۔
• معلومات کے نظام کے ذمہ داران اور صارفین سے رازداری کے معاہدے پر دستخط کروائے جاتے ہیں۔
• معلومات کے نظام سے متعلق جسمانی خطرات، سافٹ ویئر اور ہارڈ ویئر کے مسائل، معلومات کی سلامتی، معلومات کی رازداری، ذاتی معلومات کے تحفظ، اور صارف کی غلطیوں جیسے امور پر خطرہ کا تجزیہ کیا جاتا ہے۔
• معلومات کی سلامتی کی خلاف ورزیوں میں اصلاحی اقدامات کے ذریعے صورتحال کا تجزیہ کیا جاتا ہے، بہتری کی جاتی ہے اور بہتری کے بعد اعلیٰ انتظامیہ اور ملازمین کو مطلع کیا جاتا ہے۔