رازداری کی پالیسی

ورژن 1 — نظرِ ثانی کے لیے مسودہ (‎2026-10-12) · نفاذ کی تاریخ: زیرِ تکمیل: نفاذ کی تاریخ

1. ہم کون ہیں اور اس پالیسی کا دائرہ

غُرَماء ایک تکنیکی پلیٹ فارم ہے جس پر سعودی عرب میں دیوالیہ کی کارروائیاں چلائی جاتی ہیں: دیوالیہ کے ٹرسٹی اور ان کے دفاتر اس پر اپنے کیس چلاتے ہیں، قرض خواہ اس پر اپنے دعوے جمع کراتے ہیں، اور مقروض اس پر اپنی کارروائی سے متعلق معلومات دیکھتے ہیں۔ اسے زیرِ تکمیل: کمپنی کا قانونی نام چلاتی ہے، کمرشل رجسٹریشن نمبر زیرِ تکمیل: رجسٹریشن نمبر، قومی پتہ زیرِ تکمیل: قومی پتہ («کمپنی» یا «ہم»)۔

یہ پالیسی ان پر لاگو ہوتی ہے:

• دفاتر کے صارفین: دفتر کا مالک، ٹرسٹی اور معاونین۔
• قرض خواہ، ان کے نمائندے اور ان کی طرف سے کام کرنے والے۔
• مقروض اور ان کے نمائندے۔
• عوامی صفحات دیکھنے والے: دفاتر کے صفحات اور کارروائیوں کے اعلانات۔
• ہر وہ شخص جس کا ڈیٹا کسی کارروائی کی کیس فائل میں آئے، چاہے وہ صارف نہ ہو: جیسے رجسٹر ہونے سے پہلے معلوم قرض خواہ، مقروض سے تعلق رکھنے والے، مالکان، خریدار اور ماہرین۔

یہ پالیسی ذاتی ڈیٹا کے تحفظ کے قانون کے مطابق تیار کی گئی ہے، جو شاہی فرمان نمبر (م/19) مؤرخہ 9/2/1443ھ سے جاری ہوا اور اس کی ترامیم، اور اس کے نفاذی ضوابط (قانون کی دفعہ 12، اور ضوابط کی دفعہ 4)۔

2. آپ کے ڈیٹا کی پروسیسنگ میں ہماری حیثیت

قانون «کنٹرولر» اور «پروسیسر» میں فرق کرتا ہے: کنٹرولر پروسیسنگ کا مقصد اور طریقہ طے کرتا ہے، اور پروسیسر اس کے لیے اور اس کی طرف سے پروسیسنگ کرتا ہے (دفعہ 1، پیراگراف 18 اور 19)۔ پلیٹ فارم پر ہماری دو حیثیتیں ہیں:

اس لیے کارروائی کی کیس فائل کے ڈیٹا کے بارے میں ہر درخواست یا سوال اسی دفتر کے پاس جاتا ہے جو کارروائی چلاتا ہے، اور اگر وہ ہمیں ملے تو ہم اسے اس دفتر کو بھیج دیتے ہیں (شق 9)۔

3. ہم کون سا ڈیٹا پروسیس کرتے ہیں اور وہ کہاں سے آتا ہے

الف۔ دفاتر کے صارفین

نام، ای میل، موبائل نمبر، دفتر میں کردار، ٹرسٹی کا لائسنس نمبر اور اس کی تاریخیں، لاگ اِن اور دو مرحلہ تصدیق کا ڈیٹا، لاگ اِن کے اوقات، اور صارف پلیٹ فارم پر جو کچھ کرتا ہے (سرگرمی کا ریکارڈ)۔ یہ ڈیٹا خود صارف سے آتا ہے، یا دفتر کے مالک سے جب وہ اسے مدعو کرے۔

ب۔ قرض خواہ اور ان کے نمائندے

• شناخت اور رابطہ: نام؛ قومی شناختی نمبر، اقامہ نمبر یا کمرشل رجسٹریشن؛ قومی پتہ؛ ای میل اور موبائل نمبر۔
• دعویٰ: اس کی رقم، کرنسی، وجہ، ثبوت، ضمانت اور دستاویزات۔
• نمائندے کے لیے: مختار نامے کی تفصیل، اس کا نمبر اور خود دستاویز۔
• کیس فائل میں: قرض خواہ کے جمع کرائے گئے جوابات اور اعتراضات، اس کے لاگ اِن کا ریکارڈ، اور اس کی ای میل پر بھیجے گئے تصدیقی کوڈ۔

ذرائع: قرض خواہ یا اس کا نمائندہ؛ یا دفتر، مقروض کی جمع کرائی گئی قرض خواہوں کی فہرست اور کارروائی شروع کرنے کی درخواست کی دستاویزات سے، یا عوام کے لیے دستیاب ذرائع جیسے دیوالیہ کمیشن کے اعلانات سے۔

ج۔ مقروض اور ان کے نمائندے

مقروض کا نام، شناخت یا کمرشل رجسٹریشن، قانونی شکل، پتہ اور رابطے کے ذرائع، اس کی دستاویزات، رپورٹیں اور دعووں پر اس کا جواب، اور اس کے نمائندوں اور اس کے پورٹل کے صارفین کا ڈیٹا۔ یہ ڈیٹا مقروض سے آتا ہے، یا دفتر سے، کارروائی شروع کرنے کے عدالتی حکم اور کارروائی کی دستاویزات سے۔

د۔ دوسرے لوگ جن کا ڈیٹا کیس فائل میں آئے

جیسے مقروض سے تعلق رکھنے والے، مشترکہ ذمہ دار مالکان، خریدار، ماہرین اور قرض خواہوں کی کمیٹی کے ارکان — اتنا ہی جتنا کارروائی کو ضرورت ہو۔ یہ ڈیٹا دفتر سے، کارروائی کی دستاویزات سے آتا ہے۔

ہ۔ عوامی صفحات دیکھنے والے

ہم ان سے کوئی ڈیٹا نہیں مانگتے۔ کارروائی کے اعلان میں جو کچھ دکھایا جاتا ہے وہ دفتر دیوالیہ قانون اور اس کے ضوابط کے مطابق شائع کرتا ہے۔

و۔ تکنیکی ڈیٹا

سیکیورٹی ریکارڈ میں IP ایڈریس، براؤزر کی قسم اور درخواست کا وقت، اور ضروری کوکیز میں سیشن کی شناخت (شق 11)۔

لازمی اور اختیاری:

• دعویٰ جمع کرانے، دعوت قبول کرنے یا اکاؤنٹ چلانے کے لیے جو ضروری ہو وہ فارم میں لازمی کے طور پر نشان زد ہوتا ہے، اور اس کے بغیر قدم مکمل نہیں ہوتا؛ باقی سب اختیاری ہے۔
• ہم حساس ڈیٹا نہیں مانگتے، اور دعوے میں صرف وہی مانگا جاتا ہے جو اسے ثابت کرنے کے لیے ضروری ہو۔

4. مقاصد اور قانونی بنیاد

ہم آپ کا ڈیٹا اس مقصد کے علاوہ کسی اور مقصد کے لیے پروسیس نہیں کرتے جس کے لیے وہ جمع کیا گیا تھا، سوائے ان صورتوں کے جن کی قانون اجازت دے (دفعہ 10)، اور ایسا کرنے سے پہلے ہم آپ کو بتاتے ہیں (ضوابط کی دفعہ 4، پیراگراف 6)۔

5. افشا اور شراکت

ہم ڈیٹا نہ بیچتے ہیں نہ کرائے پر دیتے ہیں۔

پلیٹ فارم کے اندر آپ کا ڈیٹا یہ دیکھتے ہیں:

• کارروائی کا دفتر: ٹرسٹی اور دفتر کے صارفین، صرف اپنے کیس کا — کوئی دفتر کسی دوسرے دفتر کے کیس نہیں دیکھ سکتا۔
• کارروائی کے فریقین، اتنا ہی جتنا دیوالیہ قانون طے کرے:
  • مقروض اپنی کیس فائل میں جمع کرائے گئے دعوے دیکھتا ہے، سوائے اس کے کہ ٹرسٹی دیوالیہ قانون کے نفاذی ضوابط کی دفعہ 10 کے تحت وجوہات کے ساتھ رازداری کا فیصلہ کر کے ان میں سے کچھ چھپا دے۔
  • ہر قرض خواہ منظور شدہ فہرست دیکھتا ہے، دوسرے قرض خواہوں کے شناختی نمبروں اور رابطے کی تفصیل کے بغیر۔
• عام لوگ: جو کچھ دفتر کارروائی کے اعلان میں شائع کرے۔

پلیٹ فارم کے باہر یہ ڈیٹا ان کو دیا جاتا ہے:

• عدالت، دیوالیہ کمیشن اور دیوالیہ رجسٹر: دفتر انہیں وہ جمع کراتا ہے جو دیوالیہ قانون لازم کرے۔ یہ افشا دفتر کی طرف سے ہے، اور پلیٹ فارم اس کا ذریعہ ہے۔
• سروس فراہم کرنے والے جن سے ہم پلیٹ فارم چلانے میں مدد لیتے ہیں — ہوسٹنگ، ای میل بھیجنا اور ایس ایم ایس — ذیلی پروسیسرز کی حیثیت سے، ایسے معاہدوں کے تحت جو انہیں قانون کے مطابق ڈیٹا کے تحفظ کا پابند کرتے ہیں (دفعہ 8؛ اور ضوابط کی دفعہ 17)۔ ان کی فہرست: زیرِ تکمیل: فراہم کنندگان کے نام اور پروسیسنگ کے مقامات۔
• سرکاری ادارے جب وہ سیکیورٹی کے مقاصد، کسی قانون پر عمل یا عدالتی تقاضے پورے کرنے کے لیے طلب کریں (دفعہ 15، پیراگراف 3)۔
• جو کچھ دفتر یا صارف خود جوڑے: API، فوری اطلاعات (Webhooks)، مصنوعی ذہانت کا فراہم کنندہ، اور MCP کنکشن سے جوڑا گیا اسسٹنٹ۔ ان میں ڈیٹا وہاں جاتا ہے جہاں دفتر یا صارف چاہے، اور اس کی ذمہ داری انہی پر ہے (شق 6 اور 7)۔

6. پروسیسنگ کی جگہ اور سعودی عرب سے باہر منتقلی

پلیٹ فارم سعودی عرب کے اندر ڈیٹا سینٹرز میں ہوسٹ کیا جاتا ہے اور اس کا ڈیٹا وہیں محفوظ ہوتا ہے۔ ہم ذاتی ڈیٹا سعودی عرب سے باہر منتقل نہیں کرتے، اور نہ ملک سے باہر کسی کو دیتے ہیں، سوائے قانون کی دفعہ 29 اور ذاتی ڈیٹا کی سعودی عرب سے باہر منتقلی کے ضوابط کے مطابق۔

دفتر یا صارف اگر خود سعودی عرب سے باہر کسی سروس سے کنکشن کا فیصلہ کرے — جیسے مصنوعی ذہانت کا فراہم کنندہ جو باہر پروسیسنگ کرتا ہو، MCP کنکشن سے جوڑا گیا اسسٹنٹ، یا فوری اطلاعات کا پتہ — تو اس منتقلی کی ذمہ داری فیصلہ کرنے والے پر ہے (شق 7)۔

7. مصنوعی ذہانت اور MCP کنکشن

مصنوعی ذہانت سے دعووں کا تجزیہ ایک اختیاری سہولت ہے:

• دفتر اسے اپنے اس اکاؤنٹ سے فعال کرتا ہے جو اس کے منتخب کردہ فراہم کنندہ کے پاس ہو، اور اسے براہِ راست ادائیگی کرتا ہے۔
• تجزیے کی درخواست پر پلیٹ فارم اس فراہم کنندہ کو دعوے کا ڈیٹا اور دستاویزات، مقروض کا جواب اور اعتراضات بھیجتا ہے، اور جو بھیجا گیا اور اس کا نتیجہ کیس فائل میں محفوظ کیا جاتا ہے۔
• فراہم کنندہ ڈیٹا سعودی عرب سے باہر پروسیس کر سکتا ہے۔ اسے فعال کرنے کا فیصلہ دفتر کنٹرولر کی حیثیت سے کرتا ہے، اور اس کی قانونی بنیاد اور منتقلی کا ذمہ دار وہی ہے۔
• تجزیے سے جو نکلے وہ ایک مسودہ ہے جسے ٹرسٹی دیکھتا ہے، اور اس کی بنیاد پر کوئی خودکار فیصلہ نہیں کیا جاتا۔

MCP کنکشن:

• یہ دفتر کے صارف کو اپنا AI اسسٹنٹ پلیٹ فارم سے جوڑنے دیتا ہے، تاکہ وہ وہی پڑھ سکے جو خود صارف پڑھ سکتا ہے۔
• اسسٹنٹ جو پڑھتا ہے اسے اس کا فراہم کنندہ پروسیس کرتا ہے — جو سعودی عرب سے باہر ہو سکتا ہے — اور اس کی ذمہ داری جوڑنے والے پر ہے۔
• اسسٹنٹ کوئی لازم کام مکمل نہیں کرتا، جیسے سفارش جاری کرنا یا فہرست جمع کرانا، بلکہ متعلقہ شخص خود پلیٹ فارم کے اندر اس کی تصدیق کرتا ہے۔

8. ڈیٹا رکھنے کی مدت اور مٹانا

• کارروائی کی کیس فائل کا ڈیٹا:
  • دفتر اسے کارروائی جاری رہنے تک رکھتا ہے، پھر اس کے ختم ہونے کے بعد کم از کم پانچ سال تک۔ ٹرسٹی پر لازم ہے کہ اس مدت تک کارروائی کے ریکارڈ، خط و کتابت اور دستاویزات کی نقل رکھے (دیوالیہ ٹرسٹیوں کے کام کو منظم کرنے والے قواعد کی دفعہ 37)۔
  • پھر اسے مٹا دیا جاتا ہے یا اس سے مالکان کی شناخت ہٹا دی جاتی ہے، سوائے اس کے جسے کسی زیرِ سماعت مقدمے کے لیے رکھنا لازم ہو (دفعہ 18)۔
• اکاؤنٹ کا ڈیٹا: جب تک اکاؤنٹ موجود ہو، پھر بند ہونے کے بعد زیرِ تکمیل: مدت تک — سوائے اس کے کہ وہ کسی ایسی کیس فائل سے جڑا ہو جسے رکھنا لازم ہو۔
• سیکیورٹی اور سرگرمی کا ریکارڈ: زیرِ تکمیل: مدت۔
• بیک اپ: وقتاً فوقتاً نئے ہوتے رہتے ہیں، اور مٹانا ان پر بھی لاگو ہوتا ہے (ضوابط کی دفعہ 8، پیراگراف 2/ج)۔
• دفتر کی رکنیت ختم ہونے پر: اسے اس کے کیس حوالگی پیکج میں ملتے ہیں، پھر ہمارے ساتھ اس کے معاہدے اور قانونی مدتوں کے مطابق پلیٹ فارم سے مٹا دیے جاتے ہیں۔

9. آپ کے حقوق اور انہیں استعمال کرنے کا طریقہ

قانون کی دفعہ 4 کے مطابق آپ کو یہ حقوق حاصل ہیں:

1. جاننا کہ آپ کا ڈیٹا کس قانونی بنیاد پر اور کس مقصد سے جمع کیا گیا — اور یہ پالیسی اسی کا حصہ ہے۔
2. رسائی اپنے اس ڈیٹا تک جو ہمارے پاس ہے۔
3. حاصل کرنا اس کی ایک نقل، پڑھنے کے قابل اور واضح شکل میں۔
4. درخواست کرنا کہ اسے درست، مکمل یا تازہ کیا جائے۔
5. درخواست کرنا کہ جس ڈیٹا کی ضرورت ختم ہو گئی ہو اسے مٹا دیا جائے۔

اور جو پروسیسنگ صرف آپ کی رضامندی پر مبنی ہو، جیسے تشہیری پیغامات، اس سے آپ اپنی رضامندی واپس لے سکتے ہیں (دفعہ 5، پیراگراف 2)۔

ان حقوق کی حدود، جیسا قانون طے کرتا ہے:

• جو ڈیٹا قانوناً یا کسی زیرِ سماعت مقدمے کے لیے رکھنا لازم ہو وہ نہیں مٹایا جاتا (دفعہ 18)۔
• کسی دوسرے شخص کا ڈیٹا ظاہر نہیں کیا جاتا، اور نہ وہ جو قانون میں طے کسی پیشہ ورانہ ذمہ داری یا کسی عدالتی کارروائی یا فیصلے کو نقصان پہنچائے (دفعہ 16؛ اور ضوابط کی دفعہ 5، پیراگراف 2)۔
• کیس فائل میں موجود چیزوں کی درستی — جیسے دعوے کی رقم یا ٹرسٹی کی سفارش — دیوالیہ قانون کے طریقۂ کار سے ہوتی ہے، ڈیٹا درستی کی درخواست سے نہیں۔

درخواست کا طریقہ:

• درخواست ای میل زیرِ تکمیل: ڈیٹا کے تحفظ کی ای میل پر بھیجیں، یا کمپنی کے قومی پتے پر، یا جہاں سہولت ہو وہاں اپنے اکاؤنٹ کے صفحے سے۔
• عمل کرنے سے پہلے ہم آپ کی شناخت کی تصدیق کرتے ہیں۔
• ہم تیس دن کے اندر جواب دیتے ہیں۔ اگر درخواست پر غیر معمولی محنت درکار ہو تو یہ مدت مزید تیس دن بڑھ سکتی ہے، اور ہم آپ کو توسیع اور اس کی وجہ پہلے بتاتے ہیں (ضوابط کی دفعہ 3، پیراگراف 1/الف)۔
• اگر درخواست کسی کیس فائل کے ڈیٹا کے بارے میں ہو تو ہم اسے اس دفتر کو بھیجتے ہیں جو کنٹرولر کی حیثیت سے وہ کیس چلاتا ہے، اور آپ کو اس کی اطلاع دیتے ہیں۔

شکایت: آپ متعلقہ ادارے — سعودی ڈیٹا اور مصنوعی ذہانت اتھارٹی (SDAIA) — کو واقعے سے یا اس کا علم ہونے سے نوے دن کے اندر شکایت کر سکتے ہیں (قانون کی دفعہ 34؛ اور ضوابط کی دفعہ 37، پیراگراف 1)۔

10. ڈیٹا کی حفاظت اور ڈیٹا کے افشا کے واقعات

حفاظتی اقدامات:

• سعودی عرب کے اندر ہوسٹنگ۔
• پلیٹ فارم سے رابطہ خفیہ کاری (انکرپشن) کے ساتھ، اور محفوظ کی گئی کلیدیں اور راز بھی خفیہ کاری کے ساتھ۔
• دفاتر کے صارفین کے لیے دو مرحلہ تصدیق، اور قرض خواہوں کے لاگ اِن کے لیے ای میل پر بھیجا جانے والا کوڈ۔
• کردار کے مطابق اجازتیں، اور ہر دفتر کے ڈیٹا اور کیس کے فریقین کے درمیان علیحدگی۔
• سرگرمی کا ایسا ریکارڈ جس میں ترمیم نہیں ہو سکتی۔
• نیشنل سائبر سیکیورٹی اتھارٹی کے ضوابط سے رہنمائی (ضوابط کی دفعہ 23)۔

اگر ڈیٹا افشا ہو جائے:

• جہاں ہم کنٹرولر ہیں: اگر اس سے ڈیٹا یا اس کے مالکان کو نقصان پہنچ سکتا ہو تو ہم علم ہونے سے بہتر گھنٹوں کے اندر متعلقہ ادارے کو اطلاع دیتے ہیں، اور متاثرہ افراد کو بلا جواز تاخیر کے بغیر اطلاع دیتے ہیں (قانون کی دفعہ 20؛ اور ضوابط کی دفعہ 24)۔
• جہاں ہم کسی دفتر کے لیے پروسیسنگ کرتے ہیں: ہم دفتر کو بلا تاخیر اطلاع دیتے ہیں، تاکہ وہ کنٹرولر کی حیثیت سے ضروری اقدامات کرے (ضوابط کی دفعہ 17، پیراگراف 1/د)۔

11. کوکیز

ہم صرف وہ کوکیز استعمال کرتے ہیں جو پلیٹ فارم چلانے کے لیے ضروری ہیں: لاگ اِن کے بعد سیشن برقرار رکھنے، جعلی درخواستوں سے حفاظت، اور اگر آپ چاہیں تو لاگ اِن یاد رکھنے کے لیے۔ ہم ٹریکنگ، اشتہارات یا دوسروں کے تجزیاتی (analytics) کوکیز استعمال نہیں کرتے۔

12. قانونی اہلیت سے محروم یا ناقص اہلیت والے افراد

پلیٹ فارم ان افراد کے لیے نہیں جن کی قانونی اہلیت ناقص ہو یا بالکل نہ ہو۔ اگر مقروض یا کوئی قرض خواہ ایسا ہو تو اس کا سرپرست اس کی طرف سے اس کے حقوق استعمال کرتا ہے (ضوابط کی دفعہ 3، پیراگراف 3)۔

13. اس پالیسی میں تبدیلی

ہم ہر ورژن اس کی نفاذ کی تاریخ کے ساتھ شائع کرتے ہیں۔ کسی بنیادی تبدیلی کی اطلاع ہم صارفین کو اس کے نفاذ سے پہلے ای میل یا پلیٹ فارم کے اندر دیتے ہیں۔

14. رابطہ

• کمپنی: زیرِ تکمیل: قانونی نام اور قومی پتہ
• ڈیٹا کے تحفظ کی ای میل: زیرِ تکمیل: ای میل
• ذاتی ڈیٹا کے تحفظ کا افسر، اگر مقرر ہو: زیرِ تکمیل: نام اور رابطے کا ذریعہ