PDF ٹولز کے لیے GDPR کی تعمیل: کیا دیکھنا ہے

غیر قانونی ماہرین کے لیے GDPR کی بنیادی باتیں

کمپلائنس کے تناظر میں PDF ٹولز کا جائزہ لینے سے پہلے، آپ کو چار بنیادی تصورات کو سمجھنے کی ضرورت ہے۔ یہ سیکشن قانونی اصطلاحات کو چھوڑ کر ہر تصور کے عملی معنی پر توجہ مرکوز کرتا ہے

ذاتی ڈیٹا

کوئی بھی معلومات جو کسی شخص کی شناخت کر سکے، براہ راست یا بالواسطہ۔ معاہدے پر نام ذاتی ڈیٹا ہے۔ بیان پر بینک اکاؤنٹ نمبر ذاتی ڈیٹا ہے۔ PDF فارم میں ای میل ایڈریس ذاتی ڈیٹا ہے۔ یہاں تک کہ وہ ڈیٹا جو صرف دوسری معلومات کے ساتھ مل کر کسی کی شناخت کرتا ہے، وہ بھی شمار ہوتا ہے — مثال کے طور پر، پوسٹل کوڈ کے ساتھ تاریخ پیدائش۔

اگر آپ جس PDF پر کارروائی کر رہے ہیں اس میں کسی بھی قابل شناخت شخص کے بارے میں معلومات شامل ہے، تو آپ ذاتی ڈیٹا کو سنبھال رہے ہیں۔

ڈیٹا کنٹرولر بمقابلہ ڈیٹا پروسیسر

ڈیٹا کنٹرولر فیصلہ کرتا ہے کہ ذاتی ڈیٹا کیوں اور کیسے پروسیس کیا جائے۔ اگر آپ ایک کاروبار ہیں جو اپنے کلائنٹ کے بینک اسٹیٹمنٹس کو تبدیل کرنے کے لیے PDF ٹول استعمال کرنے کا انتخاب کرتے ہیں، تو آپ کنٹرولر ہیں۔

ڈیٹا پروسیسر کنٹرولر کی جانب سے ڈیٹا پروسیس کرتا ہے۔ PDF ٹول فراہم کنندہ پروسیسر ہے — وہ آپ کی ہدایات کے مطابق ڈیٹا کو سنبھالتا ہے (اس فائل کو تبدیل کریں، ان دستاویزات کو ضم کریں، اس ٹیبل کو نکالیں)

یہ فرق اہم ہے کیونکہ GDPR دونوں کرداروں پر ذمہ داریاں عائد کرتا ہے۔ کنٹرولرز کو ایسے پروسیسرز کا انتخاب کرنا چاہیے جو کمپلائنس کی "کافی گارنٹی" پیش کرتے ہیں (آرٹیکل 28)۔ پروسیسرز کو کنٹرولر کی ہدایات پر عمل کرنا چاہیے اور مناسب حفاظتی اقدامات نافذ کرنے چاہئیں۔ اگر آپ کا PDF ٹول فراہم کنندہ ذاتی ڈیٹا کی حفاظت میں ناکام رہتا ہے، تو آپ دونوں ذمہ دار ہو سکتے ہیں۔

پروسیسنگ کے لیے قانونی بنیاد

آرٹیکل 6 کے لیے ذاتی ڈیٹا پروسیس کرنے کی قانونی بنیاد کی ضرورت ہوتی ہے۔ زیادہ تر کاروباری استعمال کے لیے PDF ٹولز، متعلقہ بنیادیں مفاد کے جائز مفادات (ایک حقیقی کاروباری وجہ، جیسے اکاؤنٹنگ کے لیے بینک اسٹیٹمنٹس کو تبدیل کرنا)، معاہدے کی کارکردگی (کسی معاہدے کی ذمہ داری پوری کرنے کے لیے ضروری پروسیسنگ)، یا رضامندی (B2B ورک فلو میں کم عام) ہیں۔ قانونی بنیاد پروسیسنگ شروع ہونے سے پہلے موجود ہونی چاہیے۔

ڈیٹا سبجیکٹ کے حقوق

ان PDFs میں موجود افراد کے GDPR کے تحت حقوق ہیں۔ PDF ٹول کے استعمال کے لیے سب سے زیادہ متعلقہ رسائی کا حق (آرٹیکل 15 — ذاتی ڈیٹا کی کاپی کی درخواست)، مٹانے کا حق (آرٹیکل 17 — جب ڈیٹا کی ضرورت نہ ہو یا رضامندی واپس لے لی جائے تو حذف کرنے کی درخواست)، اور ڈیٹا پورٹیبلٹی کا حق (آرٹیکل 20 — مشین کے قابل فارمیٹ میں ڈیٹا کی درخواست) ہیں۔

کنٹرولرز کو ایک مہینے کے اندر جواب دینا ہوگا۔ اگر آپ کے PDF ٹول فراہم کنندہ نے اس شخص کے ڈیٹا پر مشتمل دستاویزات کی کاپیاں رکھی ہیں، تو آپ کو یہ یقینی بنانے کے قابل ہونا چاہیے کہ وہ کاپیاں بھی حذف کر دی گئی ہیں۔

---

جب PDF ٹول استعمال کرنے سے GDPR کے تقاضے لاگو ہوتے ہیں

PDF ٹول کا ہر استعمال GDPR کی ذمہ داریاں پیدا نہیں کرتا۔ فرق سادہ لیکن انتہائی اہم ہے۔

منظر 1: براؤزر پر مبنی پروسیسنگ (کوئی منتقلی نہیں)

آپ اپنے براؤزر میں ایک PDF ٹول کھولتے ہیں، ایک فائل منتخب کرتے ہیں، اور یہ مکمل طور پر کلائنٹ سائیڈ کوڈ کا استعمال کرتے ہوئے پروسیس ہوتی ہے۔ فائل آپ کے ڈیوائس سے کبھی باہر نہیں جاتی۔

اس منظر میں، PDF ٹول فراہم کنندہ GDPR کے تحت ڈیٹا پروسیسر نہیں ہے۔ کوئی ذاتی ڈیٹا منتقل نہیں ہوا۔ DPA کی ضرورت نہیں ہے۔ کمپلائنس کے نقطہ نظر سے یہ سب سے صاف ممکنہ طریقہ ہے۔

منظر 2: کلاؤڈ پر مبنی پروسیسنگ (پروسیسر کو منتقلی)

آپ ایک PDF کو آن لائن ٹول کے سرور پر اپ لوڈ کرتے ہیں۔ سرور فائل کو پروسیس کرتا ہے — تبدیل کرنا، ضم کرنا، نکالنا، یا جو بھی آپریشن آپ نے منتخب کیا ہے — اور نتیجہ واپس کرتا ہے۔ اس دوران، فائل فراہم کنندہ کے انفراسٹرکچر پر موجود تھی۔

اس منظر میں، PDF ٹول فراہم کنندہ GDPR کے تحت ڈیٹا پروسیسر ہے۔ آپ، کنٹرولر کے طور پر، ایک پروسیسر کو ذاتی ڈیٹا منتقل کر چکے ہیں۔ یہ قانونی تقاضوں کا ایک سلسلہ شروع کرتا ہے:

• منتقلی سے پہلے ڈیٹا پروسیسنگ معاہدہ (DPA) ہونا ضروری ہے
• پروسیسر کو ڈیٹا کی حفاظت کے لیے مناسب تکنیکی اور تنظیمی اقدامات نافذ کرنے چاہئیں
• اگر پروسیسر EU/EEA سے باہر ہے، تو منتقلی اضافی حفاظتی تدابیر کے تحت ایک بین الاقوامی ڈیٹا منتقلی ہے

منظر 3: AI سے چلنے والی پروسیسنگ (اضافی غور)

کچھ PDF ٹولز دستاویزات کو پروسیس کرنے کے لیے AI یا مشین لرننگ کا استعمال کرتے ہیں — OCR، ڈیٹا نکالنے، خلاصہ کرنے، یا ترجمہ کے لیے۔ اگر اس میں آپ کی فائل کو تھرڈ پارٹی AI سروس (Google's Gemini, OpenAI's GPT, etc.) کو بھیجنا شامل ہے، تو AI فراہم کنندہ ایک سب پروسیسر ہے۔ ذمہ داریوں کی زنجیر مزید پھیلتی ہے:

• PDF ٹول فراہم کنندہ کو سب پروسیسرز استعمال کرنے کے لیے آپ کی اجازت درکار ہے

• سب پروسیسر کو اسی طرح کے ڈیٹا تحفظ کے فرائض کے تحت پابند ہونا ضروری ہے

• آپ کو معلوم ہونا چاہیے کہ کون سی AI سروسز استعمال کی جا رہی ہیں اور وہ ڈیٹا کہاں پروسیس کرتی ہیں

• یہ یقینی بنایا جانا چاہیے کہ آپ کی فائلوں کو AI ماڈل ٹریننگ کے لیے استعمال نہیں کیا جائے گا

---

PDF ٹول فراہم کنندگان کے لیے کلیدی GDPR تقاضے

اگر کوئی PDF ٹول اپنے سرورز پر فائلوں کو پروسیس کرتا ہے — اسے ڈیٹا پروسیسر بناتا ہے — تو GDPR مخصوص تقاضے عائد کرتا ہے۔ یہاں وہ چیزیں ہیں جنہیں دیکھنا چاہیے۔

ڈیٹا پروسیسنگ معاہدہ (DPA)

GDPR کا آرٹیکل 28 اسے غیر قابل سمجھوتہ بناتا ہے۔ کسی بھی ڈیٹا پروسیسر کے پاس ہر کنٹرولر کے ساتھ تحریری DPA ہونا ضروری ہے۔ DPA میں پروسیسنگ کی نوعیت اور مقصد، ذاتی ڈیٹا کی اقسام، ڈیٹا سبجیکٹس کی کیٹیگریز، سیکیورٹی اور رازداری پر پروسیسر کے فرائض، سب پروسیسر کے قواعد، ختم ہونے پر ڈیٹا حذف کرنے کی ضروریات، اور کنٹرولر کے آڈٹ کے حقوق کی وضاحت ہونی چاہیے۔

ایک PDF ٹول فراہم کنندہ جو DPA پیش نہیں کرتا وہ کمپلائنس کا خطرہ ہے۔ کسی بھی جائز کلاؤڈ پر مبنی پروسیسر کے پاس ایک معیاری DPA دستیاب ہونا چاہیے۔

مقصد کا تعین

GDPR کا آرٹیکل 5(1)(b) کہتا ہے کہ ذاتی ڈیٹا "مخصوص، واضح اور جائز مقاصد کے لیے جمع کیا جانا چاہیے اور ان مقاصد کے ساتھ عدم مطابقت رکھنے والے طریقے سے مزید پروسیس نہیں کیا جانا چاہیے"۔

ایک PDF ٹول کے لیے، مقصد واضح ہے: آپ نے تبدیل کرنے، ضم کرنے، تقسیم کرنے، یا بصورت دیگر تبدیل کرنے کے لیے ایک فائل اپ لوڈ کی ہے۔ فراہم کنندہ آپ کی فائل کو صرف اس بیان کردہ مقصد کے لیے پروسیس کر سکتا ہے۔ وہ اشتہاری بصیرت کے لیے آپ کے دستاویزات کا تجزیہ نہیں کر سکتے۔ وہ AI ماڈلز کو ٹرین کرنے کے لیے آپ کی فائل کے مواد کا استعمال نہیں کر سکتے۔ وہ مارکیٹنگ کے مقاصد کے لیے آپ کا ڈیٹا شراکت داروں کے ساتھ شیئر نہیں کر سکتے۔

اگر کسی ٹول کی پرائیویسی پالیسی میں اپ لوڈ شدہ فائلوں کو "ہماری خدمات کو بہتر بنانے" یا "تحقیق کے مقاصد کے لیے" استعمال کرنے کے بارے میں زبان شامل ہے، تو یہ مقصد کی خلاف ورزی کا باعث بن سکتا ہے۔

ڈیٹا کی کم سے کم مقدار

آرٹیکل 5(1)(c) کا تقاضا ہے کہ ذاتی ڈیٹا "کافی، متعلقہ اور ان مقاصد کے لیے ضروری حد تک محدود ہو جن کے لیے وہ پروسیس کیے جا رہے ہیں"۔

عملی طور پر، اس کا مطلب ہے کہ ایک PDF ٹول کو آپ کی فائل کے صرف ان حصوں تک رسائی حاصل کرنی چاہیے جن کی درخواست کردہ آپریشن کے لیے ضرورت ہے۔ اسے میٹا ڈیٹا نکالنا، دستاویز کے مواد کو لاگ کرنا، یا کام مکمل کرنے کے لیے ضروری سے زیادہ معلومات کو برقرار نہیں رکھنا چاہیے۔

ڈیٹا کی کم سے کم مقدار کا سب سے مضبوط طریقہ ڈیٹا کو بالکل بھی جمع نہ کرنا ہے — جو کہ براؤزر پر مبنی پروسیسنگ حاصل کرتی ہے۔

حفاظتی اقدامات

آرٹیکل 32 کے لیے خطرے کے متناسب "مناسب تکنیکی اور تنظیمی اقدامات" کی ضرورت ہوتی ہے۔ ایک PDF ٹول کے لیے، اس کا مطلب ہے ٹرانزٹ میں انکرپشن (TLS/HTTPS)، ریسٹ میں انکرپشن، مناسب رسائی کنٹرولز، محفوظ ہوسٹنگ ماحول، اور باقاعدہ سیکیورٹی ٹیسٹنگ۔ ایک فراہم کنندہ جو اپنے سیکیورٹی آرکیٹیکچر کو بیان نہیں کر سکتا اسے آپ کی فائلوں کو سنبھالنا نہیں چاہیے۔

فائل کی مدت اور حذف کرنا

یہ وہ جگہ ہے جہاں بہت سے PDF ٹولز ناکام ہوتے ہیں۔ GDPR کے اسٹوریج کی حد بندی کا اصول (آرٹیکل 5(1)(e)) کا تقاضا ہے کہ ذاتی ڈیٹا "ایسے فارم میں رکھا جائے جو ڈیٹا سبجیکٹس کی شناخت کی اجازت دیتا ہے، اس سے زیادہ عرصے تک نہیں جب تک کہ ضروری ہو"۔

ایک PDF ٹول کے لیے، ضروری مدت وہ وقت ہے جو پروسیسنگ آپریشن مکمل کرنے اور نتیجہ فراہم کرنے میں لگتا ہے۔ ایک بار جب آپ اپنی تبدیل شدہ فائل ڈاؤن لوڈ کر لیتے ہیں، تو فراہم کنندہ کے پاس اصل یا آؤٹ پٹ کی کاپیاں رکھنے کی کوئی وجہ نہیں ہونی چاہیے۔

کچھ ٹولز 24 گھنٹے، 7 دن، یا یہاں تک کہ 30 دن تک فائلیں رکھتے ہیں۔ خود سے پوچھیں: کیوں؟ صارف کے لیے سہولت ذاتی ڈیٹا کو برقرار رکھنے کی قانونی بنیاد نہیں ہے۔ طویل مدت برقرار رکھنے سے فائدہ کے بغیر خطرہ بڑھ جاتا ہے۔

بہترین طریقہ یہ ہے کہ پروسیسنگ مکمل ہونے کے بعد فوری طور پر حذف کر دیا جائے۔

بین الاقوامی ڈیٹا کی منتقلی

اگر PDF ٹول فراہم کنندہ یا اس کے سب پروسیسرز EU/EEA سے باہر ہیں، تو GDPR کے چیپٹر V کے لیے اضافی حفاظتی تدابیر کی ضرورت ہوتی ہے: ایک مناسبت کا فیصلہ (کمیشن نے یہ طے کیا ہے کہ منزل کا ملک مناسب تحفظ فراہم کرتا ہے — 2026 کے اوائل تک، اس میں برطانیہ، جاپان، جنوبی کوریا، کینیڈا، اور امریکہ EU-US ڈیٹا پرائیویسی فریم ورک کے تحت شامل ہیں)، معیاری معاہدہ کی دفعات (SCCs)، یا بائنڈنگ کارپوریٹ رولز (BCRs)۔

EU-US ڈیٹا پرائیویسی فریم ورک ستمبر 2025 میں ایک قانونی چیلنج سے بچ گیا، لیکن مبصرین نوٹ کرتے ہیں کہ 2026 میں نئی جانچ پڑتال آ سکتی ہے۔ اس فریم ورک پر انحصار کرنے والی تنظیموں کو ترقیات کی نگرانی کرنی چاہیے۔

خلاف ورزی کی اطلاع

آرٹیکل 33 کے تحت کنٹرولرز کو خلاف ورزی سے آگاہ ہونے کے 72 گھنٹے کے اندر سپروائزری اتھارٹی کو مطلع کرنے کی ضرورت ہوتی ہے۔ PDF ٹول فراہم کنندگان کے لیے، اس کا مطلب ہے کہ انہیں آپ کو (کنٹرولر) بغیر کسی تاخیر کے مطلع کرنا ہوگا تاکہ آپ اپنی ذمہ داریاں پوری کر سکیں۔ DPA میں واضح خلاف ورزی کی اطلاع کے وعدے اور ٹائم لائن شامل ہونی چاہیے۔

---

PDF ٹول پرائیویسی پالیسیوں میں سرخ جھنڈیاں

پرائیویسی پالیسیاں اکثر لمبی اور جان بوجھ کر مبہم ہوتی ہیں۔ یہاں مخصوص فقرے اور طریقے ہیں جنہیں تشویش کا باعث بننا چاہیے۔

"ہم کاروباری مقاصد کے لیے ڈیٹا تیسرے فریق کے ساتھ شیئر کر سکتے ہیں"

مبہم شیئرنگ کی شرائط شفافیت کے اصول کی خلاف ورزی کرتی ہیں۔ آپ کو بالکل معلوم ہونا چاہیے کہ کون سے تیسرے فریق ڈیٹا وصول کرتے ہیں، کس مقصد کے لیے، اور کس قانونی بنیاد پر۔ "کاروباری مقاصد" کوئی قانونی بنیاد نہیں ہے — یہ ایک بچاؤ ہے۔

"فائلیں 30 دن تک محفوظ کی جاتی ہیں"

بغیر کسی جواز کے ضرورت سے زیادہ مدت برقرار رکھنا۔ اگر ٹول کا مقصد PDF کو تبدیل کرنا ہے، تو اسے آپ کے بینک اسٹیٹمنٹ کی ایک مہینے تک ضرورت کیوں ہے؟ طویل مدت برقرار رکھنے سے خلاف ورزی کا خطرہ بڑھ جاتا ہے اور اسٹوریج کی حد بندی کے اصول کے ساتھ مطابقت پیدا کرنا مشکل ہوتا ہے۔

"ہم اپنی خدمات کو بہتر بنانے کے لیے اپلوڈ شدہ فائلوں کا استعمال کرتے ہیں"

یہ سب سے بڑی سرخ جھنڈی ہے۔ اگر کوئی ٹول فراہم کنندہ آپ کے دستاویزات — جن میں آپ کے کلائنٹس کا ذاتی ڈیٹا شامل ہے — کو AI ماڈلز کو ٹرین کرنے یا اپنے الگورتھم کو بہتر بنانے کے لیے استعمال کرتا ہے، تو وہ آپ کی طرف سے غیر مجاز مقصد کے لیے ذاتی ڈیٹا پروسیس کر رہا ہے۔ یہ مقصد کی حد بندی کی خلاف ورزی کرتا ہے، ممکنہ طور پر قانونی بنیاد کا فقدان ہے، اور ثانوی پروسیسنگ کی سرگرمی ہو سکتی ہے جس کے لیے علیحدہ رضامندی کی ضرورت ہوتی ہے۔

DPA دستیاب نہیں

اگر کوئی کلاؤڈ پر مبنی PDF ٹول ڈیٹا پروسیسنگ معاہدہ فراہم نہیں کر سکتا، تو یہ GDPR کے مطابق نہیں ہے۔ مکمل طور پر۔ آرٹیکل 28 اس معاملے پر غیر مبہم ہے۔ کوئی DPA نہیں کا مطلب ہے کہ ان کے لیے آپ کی طرف سے ذاتی ڈیٹا پروسیس کرنے کی کوئی قانونی بنیاد نہیں ہے۔

سرور کا مقام ظاہر نہیں کیا گیا

اگر فراہم کنندہ آپ کو یہ نہیں بتاتا کہ آپ کی فائلیں کہاں پروسیس کی جاتی ہیں، تو آپ یہ اندازہ نہیں لگا سکتے کہ منتقلی کے لیے چیپٹر V کے تحت اضافی حفاظتی تدابیر کی ضرورت ہے یا نہیں۔ انفراسٹرکچر کے بارے میں شفافیت ایک بنیادی ضرورت ہے۔

سب پروسیسر کی فہرست نہیں

GDPR کے تحت پروسیسرز کو کنٹرولرز کو سب پروسیسرز کے بارے میں مطلع کرنے کی ضرورت ہوتی ہے۔ اگر ٹول آپ کی فائلوں کو پروسیس کرنے کے لیے تھرڈ پارٹی سروسز (کلاؤڈ ہوسٹنگ، AI APIs، CDNs) استعمال کرتا ہے اور انہیں ظاہر نہیں کرتا، تو آپ مناسب جانچ پڑتال نہیں کر سکتے۔

---

سبز جھنڈیاں: کمپلائنٹ PDF ٹولز کیسے نظر آتے ہیں

اوپر دی گئی ہر سرخ جھنڈی کا الٹ ایک سبز جھنڈی ہے۔ لیکن چند پر زور دینے کے قابل ہیں:

• براؤزر پر مبنی پروسیسنگ ایک PDF ٹول کی سب سے مضبوط پرائیویسی خصوصیت ہے۔ جب کوئی فائل آپ کے ڈیوائس سے کبھی باہر نہیں جاتی، تو فراہم کنندہ کبھی ڈیٹا پروسیسر نہیں بنتا۔ ذاتی ڈیٹا کی کوئی منتقلی نہیں، اس آپریشن کے لیے DPA کی ضرورت نہیں، سرور سائیڈ پر برقرار رکھنے کا کوئی خطرہ نہیں۔ یہ کوئی نظریاتی فرق نہیں ہے — کلائنٹ سائیڈ پروسیسنگ واقعی کمپلائنس کے خطرے کی ایک پوری قسم کو ختم کر دیتی ہے۔
• پروسیسنگ مکمل ہونے کے بعد فائلوں کا فوری حذف ہونا۔ اس سے زیادہ کسی بھی مدت کو جواز کی ضرورت ہے۔
• DPA عوامی طور پر دستیاب یا انٹرپرائز سیلز کال کے بغیر حاصل کیا جا سکتا ہے۔
• EU میں مقیم سرورز یا EU/EEA سے باہر کے سرورز کے لیے واضح طور پر دستاویزی منتقلی کے طریقہ کار (مناسبت کا فیصلہ، SCCs، BCRs)۔
• فائل کے مواد کا کوئی ثانوی استعمال نہیں — تحریری طور پر، پرائیویسی پالیسی اور DPA دونوں میں عہد کیا گیا۔
• شفاف سب پروسیسر کی فہرست جس میں سب پروسیسرز کے تبدیل ہونے پر اطلاع کا طریقہ کار شامل ہو (آرٹیکل 28(2))۔

---

PDFSub GDPR کی تعمیل کیسے کرتا ہے

PDFSub کو ایک پرائیویسی-فرسٹ آرکیٹیکچر کے ساتھ بنایا گیا تھا جو ڈیزائن کے لحاظ سے GDPR کی ضروریات کو پورا کرتا ہے، بعد میں سوچ کے طور پر نہیں۔ PDFSub GDPR اور CCPA کے مطابق ہے، اور SOC 2 کے لیے تیار ہے۔

ڈیفالٹ کے طور پر براؤزر پر مبنی پروسیسنگ

ایڈیٹنگ آپریشنز — مرج، اسپلٹ، کمپریس، روٹیٹ — کے لیے PDFSub آپ کے براؤزر میں فائلوں کو پراسیس کرتا ہے۔ کنورژن اور ایڈوانسڈ پروسیسنگ PDFSub Engine کے ذریعے چلائی جاتی ہے — ایک الگ تھلگ سروس جس تک انٹرنیٹ رسائی نہیں ہے۔ فائلوں کو ایک الگ تھلگ ماحول میں پراسیس کیا جاتا ہے اور پراسیسنگ کے بعد خود بخود ڈیلیٹ کر دیا جاتا ہے۔

یہ کوئی مارکیٹنگ کا دعویٰ نہیں ہے — یہ ایک آرکیٹیکچرل فیصلہ ہے۔ کلائنٹ سائیڈ پروسیسنگ ان آپریشنز کے لیے ڈیٹا پروسیسر کے تعلق کو مکمل طور پر ختم کر دیتی ہے۔ کسی DPA کی ضرورت نہیں ہے۔ بین الاقوامی منتقلی کا کوئی خطرہ نہیں۔ سرور سائیڈ پر کوئی ریٹینشن نہیں۔

جب سرور پروسیسنگ کی ضرورت ہو

کچھ آپریشنز کو سرور سائیڈ پروسیسنگ کی ضرورت ہوتی ہے: اسکین شدہ دستاویزات کے لیے OCR، پیچیدہ مالی دستاویزات کے لیے AI سے چلنے والی ایکسٹریکشن، اور کچھ ایڈوانسڈ کنورژن۔ جب ایسا ہوتا ہے، تو PDFSub سخت پروٹوکول کی پیروی کرتا ہے:

• ٹرانزٹ میں انکرپشن — تمام فائل ٹرانسفر TLS انکرپشن کا استعمال کرتے ہیں
• الگ تھلگ پروسیسنگ — فائلوں کو ایک الگ تھلگ ماحول میں پراسیس کیا جاتا ہے جس تک انٹرنیٹ رسائی نہیں ہوتی
• فوری ڈیلیشن — پراسیسنگ مکمل ہوتے ہی فائلوں کو ڈیلیٹ کر دیا جاتا ہے
• صارف کی فائلوں پر کوئی ٹریننگ نہیں — اپ لوڈ شدہ دستاویزات کو کبھی بھی AI ماڈلز کو ٹرین کرنے یا الگورتھم کو بہتر بنانے کے لیے استعمال نہیں کیا جاتا
• مقصد کی حد — فائلوں کو صرف درخواست کردہ آپریشن کے لیے پراسیس کیا جاتا ہے

انٹرپرائز صارفین کے لیے DPA دستیاب ہے

PDFSub ان انٹرپرائز صارفین کے لیے ڈیٹا پروسیسنگ ایگریمنٹ فراہم کرتا ہے جنہیں پروسیسر کے تعلق کی رسمی دستاویزات کی ضرورت ہوتی ہے۔ یہ سرور سائیڈ پروسیسنگ کے منظرناموں کا احاطہ کرتا ہے اور اس میں آرٹیکل 28 کی تمام لازمی دفعات شامل ہیں۔

کیا ہوتا ہے اس کے بارے میں شفاف

PDFSub کا پرائیویسی اپروچ سیدھا ہے: جب بھی ممکن ہو مقامی طور پر پراسیس کریں، اور جب سرور پروسیسنگ ضروری ہو، تو انکرپشن اور فوری ڈیلیشن کے ذریعے ڈیٹا کے ایکسپوژر کو کم کریں۔ کوئی مبہم "کاروباری مقاصد" کے شق نہیں ہیں۔ آپ کے ڈیٹا کا کوئی ثانوی استعمال نہیں۔

آپ PDFSub کے 77+ ٹولز براؤز کر سکتے ہیں اور 7 دن کا مفت ٹرائل

آزما سکتے ہیں تاکہ آپ خود براؤزر پر مبنی پروسیسنگ ماڈل کی تصدیق کر سکیں اس سے پہلے کہ آپ عہد کریں۔

---

PDF ٹول کا انتخاب کرتے وقت GDPR تعمیل کا چیک لسٹ

GDPR تعمیل کے لیے کسی بھی PDF ٹول کا جائزہ لیتے وقت اس چیک لسٹ کا استعمال کریں۔ براؤزر پر مبنی ٹولز کئی کیٹیگریز کو مکمل طور پر نظر انداز کر دیتے ہیں، لیکن کسی بھی کلاؤڈ پر مبنی ٹول کے لیے، ہر آئٹم اہم ہے۔

#	سوال	کیا دیکھنا ہے
1	کیا یہ مقامی طور پر فائلوں کو پراسیس کرتا ہے؟	براؤزر پر مبنی پروسیسنگ = کوئی ڈیٹا ٹرانسفر نہیں = کوئی پروسیسر تعلق نہیں۔ براؤزر ڈیولپمنٹ ٹولز میں نیٹ ورک ٹریفک کی جانچ کرکے تصدیق کریں۔
2	کیا DPA دستیاب ہے؟	انٹرپرائز سیلز کال کے بغیر حاصل کیا جانا چاہیے۔ اس میں آرٹیکل 28 کی تمام لازمی دفعات شامل ہونی چاہئیں۔
3	سرور کہاں واقع ہیں؟	EU/EEA پروسیسنگ منتقلی کی پیچیدگیوں سے بچتی ہے۔ اگر EU سے باہر ہے، تو مناسبت کے فیصلے، SCCs، یا BCRs کی جانچ کریں۔
4	فائل ریٹینشن پالیسی کیا ہے؟	فوری ڈیلیشن بہترین عمل ہے۔ پراسیسنگ مکمل ہونے کے بعد کسی بھی ریٹینشن کو جواز کی ضرورت ہے۔
5	کیا ڈیٹا کسی ثانوی مقصد کے لیے استعمال ہوتا ہے؟	پرائیویسی پالیسی میں واضح طور پر AI ٹریننگ، تجزیات، اور فائل مواد کے اشتہاری استعمال کو خارج کیا جانا چاہیے۔
6	ڈیٹا سبجیکٹ کی درخواستوں کو کیسے ہینڈل کیا جاتا ہے؟	جب کوئی ڈیٹا سبجیکٹ حقِ مٹانے کا استعمال کرتا ہے تو ریٹین شدہ کاپیوں کی ڈیلیشن کی تصدیق کرنے کے قابل ہونا چاہیے۔
7	کون سے سب پروسیسرز شامل ہیں؟	وضاحتوں، مقامات، اور سب پروسیسرز کے تبدیل ہونے پر نوٹیفکیشن میکانزم کے ساتھ شائع شدہ فہرست۔
8	کیا حفاظتی اقدامات موجود ہیں؟	ٹرانزٹ اور ریسٹ میں انکرپشن، رسائی کنٹرولز، متعلقہ سرٹیفیکیشنز (ISO 27001, SOC 2)۔
9	کیا بریچ نوٹیفکیشن کے عہد ہیں؟	72 گھنٹے کے اندر (یا اس سے پہلے) نوٹیفکیشن، سیکیورٹی کے واقعات کے لیے ایک مخصوص رابطہ پوائنٹ کے ساتھ۔
10	کیا آپ تعمیل کا آڈٹ کر سکتے ہیں؟	DPA میں آڈٹ کے حقوق شامل ہونے چاہئیں۔ فراہم کنندہ کو تعمیل کی دستاویزات شیئر کرنی چاہئیں اور DPO کو نامزد کرنا چاہیے۔

---

غلطی کی قیمت: GDPR جرمانے کے تناظر میں

GDPR جرمانے کو روکنے کے لیے ڈیزائن کیا گیا ہے۔ نچلا ٹائر (آرٹیکل 83(4)) پروسیسر اور سیکیورٹی کی خلاف ورزیوں کے لیے EUR 10 ملین یا سالانہ عالمی ٹرن اوور کے 2% تک جرمانے کی اجازت دیتا ہے۔ اوپری ٹائر (آرٹیکل 83(5)) ڈیٹا پروسیسنگ کے اصولوں اور ڈیٹا سبجیکٹ کے حقوق کی خلاف ورزیوں کے لیے EUR 20 ملین یا سالانہ عالمی ٹرن اوور کے 4% تک جرمانے کی اجازت دیتا ہے۔

نفاذ کا رجحان واضح ہے۔ 2025 میں، ڈیٹا پروسیسنگ کے لیے ناکافی قانونی بنیاد کل جرمانے کی قدر کا 90% تھی (تقریباً EUR 1.03 بلین)۔ TikTok کو مئی 2025 میں ناکافی تحفظات کے بغیر یورپی یونین کے صارف ڈیٹا کو چین منتقل کرنے پر EUR 530 ملین کا جرمانہ ہوا۔ چھوٹی تنظیمیں محفوظ نہیں ہیں — سپروائزری اتھارٹیز نے ناکافی DPAs، ناکافی سیکیورٹی، اور ضرورت سے زیادہ ریٹینشن کے لیے SMEs پر جرمانہ عائد کیا ہے۔

بدنامی کی قیمت مالی جرمانے سے زیادہ ہو سکتی ہے۔ کلائنٹ کے بینک اسٹیٹمنٹس یا میڈیکل ریکارڈز سے متعلق ڈیٹا بریچ ایسے طریقے سے اعتماد کو نقصان پہنچاتا ہے جسے کوئی جرمانہ ادا نہیں کر سکتا۔

---