پرائیویسی پالیسی

1. تعارف

یہ پرائیویسی پالیسی ("پالیسی") بیان کرتی ہے کہ BEST SOLUTION (THAILAND) CO.,LTD. ("ہم"، "BestsoGroup") ہمارے پلیٹ فارمز کے صارفین ("آپ"، "صارف") کے ذاتی ڈیٹا کو کیسے جمع کرتی، استعمال کرتی، ظاہر کرتی اور محفوظ رکھتی ہے، بشمول BestsoGroup.com، sso.bestsogroup.com، account.bestsogroup.com، ہماری موبائل ایپلیکیشنز اور ایکو سسٹم کے اندر تمام 50 پلیٹ فارمز (مجموعی طور پر، "سروس")۔

ہماری سروس کے لیے سائن اپ کر کے یا اسے استعمال کر کے، آپ اس پالیسی کی شرائط کو قبول اور ان سے اتفاق کرتے ہیں۔

2. ہم کون سی معلومات جمع کرتے ہیں

ہم صرف وہ ذاتی ڈیٹا جمع کرتے ہیں جو سروس چلانے کے لیے ضروری ہو۔ زمروں میں شامل ہیں:

3. ہم آپ کا ڈیٹا کیسے استعمال کرتے ہیں

ہم آپ کا ڈیٹا درج ذیل مقاصد کے لیے استعمال کرتے ہیں:

• آپ کی درخواست کردہ سروس فراہم کرنا — اکاؤنٹ بنانا، آرڈر کی پروسیسنگ، اشیاء/خدمات کی فراہمی۔
• آپ کے اکاؤنٹ کی تصدیق اور حفاظت (2FA، غیر معمولی لاگ اِن کا پتہ لگانا)۔
• سروس سے متعلق پیغامات بھیجنا (پاس ورڈ ری سیٹ، ای میل تصدیق، سیکیورٹی الرٹس)۔
• مارکیٹنگ اور پروموشنل مواد بھیجنا (صرف آپ کی واضح رضامندی کے ساتھ — آپ کسی بھی وقت ان سبسکرائب کر سکتے ہیں)۔
• قانونی ذمہ داریوں کی تعمیل، جیسے تھائی اکاؤنٹنگ قانون کے تحت ٹیکس انوائسز رکھنا، AML/KYC تقاضے۔
• دھوکہ دہی، بدسلوکی اور سروس کے غلط استعمال کو روکنا۔
• سروس کو بہتر بنانے کے لیے استعمال کا تجزیہ کرنا (مجموعی، غیر قابل شناخت ڈیٹا)۔

4. پروسیسنگ کی قانونی بنیاد (PDPA)

ہم PDPA کے سیکشن 24 کے تحت درج ذیل قانونی بنیادوں پر آپ کے ڈیٹا کی پروسیسنگ کرتے ہیں:

• رضامندی — مثلاً مارکیٹنگ مواد بھیجنے کے لیے۔
• معاہدے کی تکمیل — آپ کی سبسکرائب کردہ سروس فراہم کرنا۔
• جائز مفاد — سیکیورٹی اور دھوکہ دہی کی روک تھام۔
• قانونی ذمہ داری — ٹیکس ریکارڈ رکھنا، انسداد منی لانڈرنگ کی تعمیل۔

5. آپ کا ڈیٹا فریق ثالث کے ساتھ شیئر کرنا

ہم آپ کا ڈیٹا نہیں بیچتے، لیکن ہم اسے درج ذیل صورتوں میں فریق ثالث کے ساتھ شیئر کر سکتے ہیں:

• ضروری سروس فراہم کنندگان — Cloudflare (CDN/Hosting)، Railway (سرورز)، Resend (ای میل)، ThaiBulkSMS (SMS)، پیمنٹ گیٹ ویز (مثلاً Omise، PromptPay)۔
• BestsoGroup ایکو سسٹم کے اندر پارٹنر پلیٹ فارمز — جب آپ SSO کے ذریعے سائن ان کرتے ہیں، تو بنیادی پروفائل ڈیٹا (نام، ای میل، تصویر) اس چائلڈ پلیٹ فارم کے ساتھ شیئر کیا جاتا ہے جس میں آپ لاگ اِن کرتے ہیں۔
• سرکاری ادارے — عدالتی حکم، تلاشی وارنٹ، یا محکمہ ریونیو، DSI، یا قانون نافذ کرنے والے اداروں کی جائز درخواست کے مطابق۔
• کاروباری منتقلی — اگر کمپنی فروخت یا ضم ہو جائے، تو آپ کا ڈیٹا حاصل کرنے والے فریق کو منتقل کیا جا سکتا ہے (آپ کو پیشگی اطلاع کے ساتھ)۔

6. بین الاقوامی ڈیٹا منتقلی

آپ کا زیادہ تر ڈیٹا تھائی لینڈ میں سرورز (Railway ڈیٹا سینٹر) پر محفوظ ہوتا ہے۔ تاہم، کچھ سروسز جو ہم استعمال کرتے ہیں (مثلاً Resend، Cloudflare) سنگاپور یا امریکہ میں ڈیٹا محفوظ کر سکتی ہیں۔ ہم صرف ایسے فراہم کنندگان کا انتخاب کرتے ہیں جن کے ڈیٹا تحفظ کے معیارات PDPA کے برابر یا اس سے سخت ہوں۔

7. ڈیٹا کی برقراری

ہم آپ کا ڈیٹا صرف اتنی دیر رکھتے ہیں جتنی ضرورت ہو:

• فعال اکاؤنٹس — جب تک اکاؤنٹ کھلا رہے۔
• بند اکاؤنٹس — بحالی کی اجازت دینے کے لیے 90 دن تک رکھے جاتے ہیں، پھر مستقل طور پر حذف کر دیے جاتے ہیں۔
• لین دین کے ریکارڈز — تھائی اکاؤنٹنگ اور ٹیکس قانون کے مطابق 10 سال تک رکھے جاتے ہیں۔
• آڈٹ لاگز — 7 سال تک رکھے جاتے ہیں (دھوکہ دہی کی روک تھام اور قانونی تحقیقات کے لیے)۔

8. ڈیٹا سبجیکٹ کے طور پر آپ کے حقوق (PDPA سیکشن 30–37)

PDPA کے تحت، آپ کے درج ذیل حقوق ہیں:

• رسائی کا حق — اپنے بارے میں رکھے گئے ڈیٹا کی نقل کی درخواست کریں۔
• درستگی کا حق — غلط ڈیٹا کو درست کریں۔
• حذف کا حق — حذف کرنے کی درخواست کریں (قانونی حدود کے تابع، مثلاً اکاؤنٹنگ ریکارڈز)۔
• پروسیسنگ محدود کرنے کا حق — ہم آپ کا ڈیٹا کیسے استعمال کریں اسے محدود کریں۔
• اعتراض کا حق — بعض صورتوں میں پروسیسنگ پر اعتراض کریں۔
• ڈیٹا پورٹیبلٹی کا حق — اپنا ڈیٹا مشین کے قابل پڑھنے والے فارمیٹ میں حاصل کریں۔
• رضامندی واپس لینے کا حق — پہلے دی گئی رضامندی منسوخ کریں۔
• ذاتی ڈیٹا تحفظ کمیٹی (PDPC) کے پاس شکایت درج کرانے کا حق۔

اپنے حقوق account.bestsogroup.com → Security → Data Controls پر استعمال کریں، یا ہمارے DPO کو privacy@BestSoGroup.com پر ای میل کریں۔

9. سیکیورٹی اقدامات

ہم آپ کے ڈیٹا کی حفاظت کے لیے تکنیکی اور انتظامی کنٹرولز استعمال کرتے ہیں:

• پاس ورڈز bcrypt (rounds=12) سے hash کیے جاتے ہیں — آپ کا plaintext پاس ورڈ کبھی محفوظ نہیں کیا جاتا۔
• ٹرانزٹ میں تمام ڈیٹا HTTPS/TLS 1.3 سے انکرپٹ کیا جاتا ہے۔
• ملٹی فیکٹر تصدیق (2FA) — TOTP اور SMS OTP کی حمایت ہے۔
• JWT ٹوکن روٹیشن + لاگ آؤٹ پر refresh-token denylist۔
• آڈٹ لاگز حساس ڈیٹا تک ہر رسائی کو ریکارڈ کرتے ہیں۔
• باقاعدہ اندرونی سیکیورٹی آڈٹس۔

10. کوکیز اور ٹریکنگ ٹیکنالوجیز

ہم لاگ اِن سیشنز کا انتظام کرنے کے لیے کوکیز استعمال کرتے ہیں (ضروری کوکیز — سروس کے لیے درکار) اور منتخب پارٹنرز کے ذریعے استعمال کو سمجھنے کے لیے اینالٹکس کوکیز استعمال کر سکتے ہیں (اختیاری — آپ انکار کر سکتے ہیں)۔ آپ اپنے براؤزر کی ترتیبات کے ذریعے کوکیز کا انتظام کر سکتے ہیں۔

11. بچوں کا ڈیٹا

ہماری سروس 18 سال یا اس سے زائد عمر کے صارفین، یا والدین کی رضامندی والے افراد کے لیے ڈیزائن کی گئی ہے۔ اگر آپ والدین ہیں اور سمجھتے ہیں کہ آپ کے بچے نے رضامندی کے بغیر ہمیں ڈیٹا فراہم کیا ہے، تو براہ کرم ڈیٹا فوری طور پر حذف کرنے کے لیے ہم سے رابطہ کریں۔

12. اس پالیسی میں تبدیلیاں

ہم وقتاً فوقتاً اس پالیسی کو اپ ڈیٹ کر سکتے ہیں۔ اہم تبدیلیاں کم از کم 30 دن پہلے ای میل یا ایپ کے اندر نوٹس کے ذریعے بتائی جائیں گی۔ اس صفحے کے اوپر "آخری بار اپ ڈیٹ" کی تاریخ تازہ ترین ورژن کی عکاسی کرتی ہے۔