کمپنیوں کے لیے گروپ کارڈ GDPR اور سیکیورٹی: IT کو کیا چیک کرنا چاہیے

مختصر جواب: SignThisCard برطانیہ کی ایک کمپنی چلاتی ہے اور ایک پرائیویسی نوٹس شائع کرتی ہے جس میں بتایا گیا ہے کہ کیا ڈیٹا جمع ہوتا ہے، قانونی بنیادیں، ڈیٹا کتنی دیر رکھا جاتا ہے، اور وہ تیسرے فریق (Google Fonts، reCAPTCHA، Stripe) جو برطانیہ سے باہر ڈیٹا پراسیس کر سکتے ہیں۔ کوئی شائع شدہ DPA نہیں اور نہ SSO؛ سائن اِن ای میل اور پاس ورڈ سے یا ای میل پر بھیجے گئے لنک اور کوڈ سے ہوتا ہے۔ سوالناموں کے لیے ہم سے رابطہ کریں۔

آپ کی HR ٹیم ایک گروپ کارڈ ٹول شروع کرنا چاہتی ہے، اور درخواست IT کی میز پر ایک سوال کے ساتھ پہنچی ہے: "کیا یہ GDPR کے مطابق ہے؟" یہ گائیڈ کمپنیوں کے لیے گروپ کارڈ GDPR اور سیکیورٹی کے بارے میں وہ سوالات جو جائزہ کار واقعی پوچھتے ہیں، دیانت داری اور سادہ زبان میں جواب دیتی ہے، اور آخر میں ایک چیک لسٹ دیتی ہے جو آپ SignThisCard یا کسی بھی دوسری کمپنی کے لیے استعمال کر سکتے ہیں۔

نشستوں، کرداروں اور بلنگ کے لیے پہلے ہماری کمپنی گروپ کارڈ اکاؤنٹس کی گائیڈ پڑھیں۔

کیا SignThisCard، GDPR کے مطابق ہے؟

ہم "GDPR compliant" یا "certified" کا بیج استعمال نہیں کرتے۔ اس کے بجائے ہم اپنے طریقہ کار اپنے پرائیویسی نوٹس میں بیان کرتے ہیں تاکہ آپ خود ان کا جائزہ لے سکیں۔ ہماری رائے میں بیج جائزہ کار کو حقائق کے مقابلے میں کم بتاتا ہے۔

ہم آپ کو یہ بتا سکتے ہیں:

• اسے کون چلاتا ہے: SignThisCard کو Williation Technologies Ltd چلاتی ہے، جو انگلینڈ اور ویلز میں رجسٹرڈ ایک پرائیویٹ لمیٹڈ کمپنی ہے (کمپنی نمبر 17289183)۔
• پرائیویسی نوٹس: ہمارا پرائیویسی نوٹس بتاتا ہے کہ کون سا ذاتی ڈیٹا جمع ہوتا ہے، ہم کن قانونی بنیادوں پر انحصار کرتے ہیں، ڈیٹا کتنی دیر رکھا جاتا ہے اور کون سے تیسرے فریق اسے پراسیس کر سکتے ہیں۔
• ڈیٹا رکھنے کی مدت: کارڈز تب تک رکھے جاتے ہیں جب تک وہ دستیاب رہیں۔ کوئی مقررہ عوامی میعاد نہیں؛ درخواست پر ڈیلیٹ کیے جا سکتے ہیں۔
• ادائیگیاں: کارڈ کی تفصیلات Stripe سنبھالتا ہے، SignThisCard انہیں محفوظ نہیں کرتا۔
• ٹرانسپورٹ سیکیورٹی: سائٹ HTTPS استعمال کرتی ہے۔
• غلط استعمال سے تحفظ: منتظمین کے لیے reCAPTCHA v3 اور ای میل کی تصدیق۔

برطانیہ میں UK GDPR اور Data Protection Act 2018 اس پر بھی لاگو ہوتے ہیں کہ آپ کی تنظیم عملے کا ڈیٹا کیسے استعمال کرتی ہے۔ GOV.UK پر برطانیہ کے ڈیٹا پروٹیکشن قوانین کا سادہ انگریزی میں خلاصہ موجود ہے۔

کیا آپ ڈیٹا پراسیسنگ ایگریمنٹ (DPA) پر دستخط کرتے ہیں؟

کوئی شائع شدہ DPA نہیں ہے۔ اگر آپ کی تنظیم کو ڈیٹا پراسیسنگ ایگریمنٹ چاہیے یا سیکیورٹی سوالنامے کے جواب چاہئیں تو ہم سے رابطہ کریں اور ہم اس پر بات کریں گے۔

پوچھنے سے پہلے یہ طے کر لینا مفید ہے کہ آپ کی تنظیم اس تعلق کو کیسے دیکھتی ہے۔ برطانیہ کا ICO ایک کنٹرولر (جو طے کرتا ہے کہ ذاتی ڈیٹا کیوں اور کیسے استعمال ہو) اور ایک پراسیسر (جو کنٹرولر کی ہدایات پر عمل کرتا ہے) کا فرق سمجھاتا ہے، اور بتاتا ہے کہ UK GDPR کے آرٹیکل 28 کے تحت کنٹرولر اور پراسیسر کے معاہدے میں کیا ہونا چاہیے۔ آپ کے استعمال کے لیے یہ فیصلہ کرنے کا صحیح شخص آپ کا ڈیٹا پروٹیکشن آفیسر ہے۔

ہمارے ملازمین کا ڈیٹا کہاں محفوظ ہوتا ہے؟

ہوسٹنگ فراہم کنندہ کی تفصیلات درخواست پر دستیاب ہیں۔ پرائیویسی نوٹس میں درج کچھ تیسرے فریق (Google Fonts، reCAPTCHA اور Stripe) برطانیہ سے باہر ڈیٹا پراسیس کر سکتے ہیں۔ اگر آپ کو ٹرانسفر اسیسمنٹ کے لیے ہوسٹنگ کی تفصیلات چاہئیں تو رابطے کے صفحے کے ذریعے ہم سے پوچھیں۔

بین الاقوامی ٹرانسفرز پر ICO کی رہنمائی بتاتی ہے کہ برطانیہ سے باہر ذاتی ڈیٹا بھیجنا کب محدود ٹرانسفر شمار ہوتا ہے اور کون سے حفاظتی اقدامات لاگو ہوتے ہیں۔ آپ کا جائزہ کار ہمارے جوابات کو اس سے ملا کر دیکھ سکتا ہے۔

گروپ کارڈ میں کیا ڈیٹا ہوتا ہے؟

ایک گروپ کارڈ میں عموماً یہ ہوتا ہے:

• منتظم کے اکاؤنٹ کی تفصیلات (نام اور ای میل)
• کور تصویر، کور پیغام اور منتظم کی شامل کی ہوئی کوئی موسیقی یا ویڈیو
• ہر دستخط کرنے والے کا پیغام اور اس کا لکھا ہوا نام، اور اگر وہ چاہے تو تصویر یا ہاتھ سے بنے دستخط
• وصول کنندہ کا ای میل پتہ، اگر منتظم ای میل سے بھیجنے کا بٹن استعمال کرے

کیا SignThisCard، Microsoft یا Google کے ساتھ SSO سپورٹ کرتا ہے؟

نہیں۔ SignThisCard سنگل سائن آن (SAML، Microsoft یا Google سائن اِن) سپورٹ نہیں کرتا۔ منتظمین ای میل اور پاس ورڈ سے، یا ای میل پر بھیجے گئے سائن اِن لنک اور کوڈ سے سائن اِن کرتے ہیں۔ دستخط کرنے والے سائن اِن کرتے ہی نہیں۔

عملی طور پر اس کا مطلب:

• اکاؤنٹس کس کو چاہئیں: صرف منتظمین کو، یعنی کارڈ بنانے والوں کو۔ ٹیم اکاؤنٹ پر یہ نشست والے لوگ ہیں۔
• شمولیت: ٹیم کا مالک یا ایڈمن لوگوں کو ای میل سے مدعو کرتے ہیں (دعوتی لنکس 14 دن کے لیے ایک بار کام کرتے ہیں)، یا مالک کمپنی کی اپنی ڈومین پر تصدیق شدہ ای میل والے کسی بھی شخص کو، نشستیں خالی ہونے تک، شامل ہونے دے سکتا ہے۔ اس کے لیے ذاتی ای میل ڈومینز استعمال نہیں ہو سکتیں۔ کوئی SCIM یا دوسری خودکار پروویژننگ نہیں ہے۔
• کردار: مالک، ٹیم ایڈمن اور رکن۔ اراکین کی فہرست صرف مالک اور ایڈمن دیکھتے ہیں؛ بلنگ صرف مالک سنبھالتا ہے۔
• جانے والے ملازمین: مالک اور ایڈمن اراکین کو ٹیم سے ہٹا سکتے ہیں۔ کارڈز اپنے بنانے والے کی ملکیت ہیں اور اس کے اپنے اکاؤنٹ میں رہتے ہیں؛ ہٹانے سے وہ شخص اپنے پلان پر واپس چلا جاتا ہے۔ اسے اپنی آف بورڈنگ چیک لسٹ میں شامل کریں۔

برطانیہ کا National Cyber Security Centre (NCSC) کلاؤڈ سروسز کے لیے اپنے مختصر سوالات میں سنگل سائن آن کو شامل کرتا ہے۔ اگر آپ کی پالیسی میں SSO لازمی شرط ہے تو SignThisCard فی الحال آپ کے لیے موزوں نہیں؛ ہماری گائیڈ کمپنیوں کے لیے بہترین گروپ کارڈ پلیٹ فارم آپشنز کا منصفانہ موازنہ کرتی ہے۔

کارڈ کون دیکھ سکتا ہے؟

کارڈ کا دستخطی لنک یا مکمل کارڈ کا لنک رکھنے والا کوئی بھی شخص اسے کھول سکتا ہے۔ لنک ہی رسائی کا کنٹرول ہے، بالکل کسی شیئر کی گئی دستاویز کے لنک کی طرح۔

اپنے منتظمین کی رہنمائی میں شامل کرنے کے اچھے طریقے:

1. دستخطی لنکس صرف مطلوبہ دستخط کرنے والوں کے ساتھ، پرائیویٹ چینلز یا ڈائریکٹ میسجز میں شیئر کریں۔
2. کارڈ کا مینجمنٹ لنک پرائیویٹ رکھیں؛ یہ صرف منتظم کے لیے ہے۔
3. مکمل کارڈ کا لنک صرف وصول کنندہ اور ان لوگوں کو بھیجیں جنہیں وہ خود چنیں۔
4. یادگار کے طور پر PDF ڈاؤن لوڈ کریں، پھر اگر آپ کارڈ کو آن لائن نہیں رکھنا چاہتے تو سپورٹ سے اسے ڈیلیٹ کرنے کو کہیں۔

ہماری عمومی گائیڈ کہ کیا گروپ کارڈ ویب سائٹس استعمال کرنا محفوظ ہے اسی موضوع کو دستخط کرنے والے کے نقطۂ نظر سے دیکھتی ہے۔

IT ٹیموں کے لیے سیکیورٹی جائزے کی چیک لسٹ

یہ چیک لسٹ کسی بھی گروپ کارڈ کمپنی کے لیے استعمال کریں۔ یہ کلاؤڈ سیکیورٹی کے بارے میں NCSC کے مختصر طریقے کے موضوعات پر مبنی ہے۔ دائیں کالم میں نومبر 2026 تک SignThisCard کے جوابات ہیں۔

جو کچھ یہاں جواب نہیں دیا گیا، جیسے محفوظ شدہ ڈیٹا کی انکرپشن یا سیکیورٹی واقعات پر ردِعمل، وہ براہ راست ہم سے پوچھیں۔ ہم مضمون میں اندازہ لگانے کے بجائے اس کا صحیح جواب دینا بہتر سمجھتے ہیں۔

SignThisCard کب موزوں ہے، اور کب نہیں؟

یہ ان تنظیموں کے لیے موزوں ہے جو سادہ اور کم قیمت کارڈ ٹول چاہتی ہیں، جہاں صرف چند منتظمین کے اکاؤنٹس ہوں اور دستخط کرنے والے سسٹم میں گمنام رہیں۔ جب پالیسی SSO، کسی بھی استعمال سے پہلے دستخط شدہ DPA، SCIM پروویژننگ یا مرکزی آڈٹ لاگز کا تقاضا کرے تو یہ کم موزوں ہے۔

بہت بڑی تنظیموں کے لیے ہماری گائیڈ بڑی کمپنیوں کے لیے گروپ کارڈ پلیٹ فارمز نشستوں کی تعداد، خصوصی انتظامات اور 500 سے زیادہ نشستوں کے لیے ہم سے رابطے کا احاطہ کرتی ہے۔

اہم نکات

• SignThisCard کو Williation Technologies Ltd چلاتی ہے، جو انگلینڈ اور ویلز میں رجسٹرڈ ہے (کمپنی نمبر 17289183)۔
• پرائیویسی نوٹس جمع شدہ ڈیٹا، قانونی بنیادیں، ڈیٹا رکھنے کی مدت اور برطانیہ سے باہر ڈیٹا پراسیس کرنے والے تیسرے فریق بیان کرتا ہے۔
• کوئی شائع شدہ DPA نہیں ہے؛ جن تنظیموں کو DPA یا سیکیورٹی سوالنامہ چاہیے وہ ہم سے رابطہ کریں۔
• ہوسٹنگ فراہم کنندہ کی تفصیلات درخواست پر دستیاب ہیں۔
• SSO (SAML، Microsoft، Google) سپورٹ نہیں ہے؛ سائن اِن ای میل اور پاس ورڈ سے یا ای میل پر بھیجے گئے لنک اور کوڈ سے ہوتا ہے۔
• دستخط کرنے والوں کو اکاؤنٹ نہیں چاہیے؛ دستخطی لنک رکھنے والا کوئی بھی شخص کارڈ کھول سکتا ہے، اس لیے لنکس احتیاط سے شیئر کریں۔

اکثر پوچھے جانے والے سوالات

کیا SignThisCard، GDPR سے سرٹیفائیڈ ہے؟

نہیں، اور ہم سرٹیفکیشن کے کسی بیج کا دعویٰ نہیں کرتے۔ ہم اپنے طریقہ کار پرائیویسی نوٹس میں بیان کرتے ہیں، جو ہمارے جمع کردہ ڈیٹا، قانونی بنیادوں، ڈیٹا رکھنے کی مدت اور تیسرے فریقوں کا احاطہ کرتا ہے۔ آپ کا ڈیٹا پروٹیکشن آفیسر اس کا جائزہ لے کر مزید سوالات یا سیکیورٹی سوالنامے کے ساتھ ہم سے رابطہ کر سکتا ہے۔

کیا آپ ہمارے DPA پر دستخط کریں گے؟

کوئی شائع شدہ DPA نہیں ہے۔ اگر آپ کی تنظیم کو ڈیٹا پراسیسنگ ایگریمنٹ چاہیے تو رابطے کے صفحے کے ذریعے اپنی ضروریات کے ساتھ ہم سے رابطہ کریں اور ہم بات کریں گے کہ کیا ممکن ہے۔ ہم مخصوص شرائط کا پیشگی وعدہ نہیں کر سکتے، اس لیے یہ معاملہ اپنے جائزے کے شروع میں ہی اٹھائیں۔

کیا ہمارا ڈیٹا برطانیہ میں محفوظ ہوتا ہے؟

ہوسٹنگ فراہم کنندہ کی تفصیلات درخواست پر دستیاب ہیں۔ پرائیویسی نوٹس بتاتا ہے کہ Google Fonts، reCAPTCHA اور Stripe برطانیہ سے باہر ڈیٹا پراسیس کر سکتے ہیں۔ اگر آپ کو ٹرانسفر رسک اسیسمنٹ کے لیے ہوسٹنگ کی تفصیلات چاہئیں تو ٹول شروع کرنے سے پہلے رابطے کے صفحے کے ذریعے ہم سے پوچھیں۔

کیا عملہ Microsoft یا Google اکاؤنٹس سے سائن اِن کر سکتا ہے؟

نہیں۔ SignThisCard، SAML، Microsoft یا Google کے ذریعے SSO سپورٹ نہیں کرتا۔ منتظمین ای میل اور پاس ورڈ سے یا ای میل پر بھیجے گئے لنک اور کوڈ سے سائن اِن کرتے ہیں۔ دستخط کرنے والے کبھی سائن اِن نہیں کرتے۔ اگر آپ کی سیکیورٹی پالیسی ہر SaaS ٹول کے لیے SSO لازمی قرار دیتی ہے تو SignThisCard فی الحال آپ کے لیے موزوں نہیں۔

ملازم کے جانے پر اس کے کارڈز کا کیا ہوتا ہے؟

مالک اور ایڈمن انہیں ٹیم سے ہٹا سکتے ہیں، جس سے وہ اپنے پلان پر واپس چلے جاتے ہیں۔ ان کے کارڈز ان کے اپنے اکاؤنٹ میں رہتے ہیں، کیونکہ کارڈز اپنے بنانے والے کی ملکیت ہوتے ہیں۔ اگر کوئی کارڈ ڈیلیٹ ہونا چاہیے تو بنانے والا سپورٹ سے کہہ سکتا ہے، یا آپ ہم سے رابطہ کر سکتے ہیں۔

کیا دستخط کرنے والوں کو ہمیں ذاتی ڈیٹا دینا پڑتا ہے؟

دستخط کرنے والوں کو اکاؤنٹ نہیں چاہیے۔ وہ پیغام اور نام لکھتے ہیں، اور چاہیں تو تصویر یا ہاتھ سے بنے دستخط شامل کر سکتے ہیں۔ لوگوں کی حوصلہ افزائی کریں کہ پیغامات عمومی رکھیں اور صحت سے متعلق معلومات جیسی حساس تفصیلات سے گریز کریں، خاص طور پر جلد صحت یابی اور تعزیت کے کارڈز پر۔

نتیجہ

کمپنیوں کے لیے گروپ کارڈ GDPR اور سیکیورٹی کا معاملہ واضح جوابات پر منحصر ہے: سروس کون چلاتا ہے، اس میں کیا ڈیٹا ہے، وہ کہاں جاتا ہے، اور لوگ سائن اِن کیسے کرتے ہیں۔ SignThisCard پرائیویسی نوٹس شائع کرتا ہے، درخواست پر ہوسٹنگ کی تفصیلات دیتا ہے اور صاف بتاتا ہے کہ اس میں کیا نہیں ہے: نہ شائع شدہ DPA اور نہ SSO۔

اگر آپ اپنی تنظیم کے لیے ہمارا جائزہ لے رہے ہیں تو پرائیویسی نوٹس پڑھیں، اوپر دی گئی چیک لسٹ استعمال کریں اور اپنے سیکیورٹی سوالات ہماری ٹیم کو بھیجیں۔