ڈیٹا پروسیسنگ ضمیمہ

This Data Processing Addendum ("DPA") applies between TEKRAVEL TRAVEL AND TECHNOLOGIES - FZCO ("Tekravel", "we", "us" or "our") and every business that uses Tekravel ("you"), and forms part of the agreement under which you use the platform: the Platform Terms and Conditions you accept in your Admin Panel. It sets out how we process personal data for you when we host your booking website and provide the platform to you, as the UAE Personal Data Protection Law (Federal Decree-Law No. 45 of 2021) requires and, where they apply, Article 28 of the EU and UK GDPR. Words such as "personal data", "processing", "controller", "processor", "data subject" and "personal data breach" have the meaning the applicable data protection law gives them, and a "sub-processor" is a service provider we engage to process personal data for you.

1. 1دائرۂ کار اور کردار

   This DPA applies whenever we process personal data for you in providing Tekravel: on your booking website, in the Admin Panel, through our APIs and in the bookings made through them. For that data, you are the controller and we are your processor. If you act for another business, for example as its sub-agent, you confirm that your instructions to us are authorised by that business. This DPA does not cover the personal data we handle as a controller for our own purposes, such as your account and sign-in records, the verification and sanctions screening of your business, our billing and support, and the security of the platform. Our Privacy Policy describes that. When a booking is made, the travel suppliers concerned (airlines, reservation systems, hotel, package and attraction suppliers) receive the traveller details they need to issue and service it. They handle those details under their own terms and privacy policies and are not our sub-processors.

2. 2موضوع، مدت، نوعیت اور مقصد

   • Subject matter: hosting and running your booking website and providing the Tekravel platform to you. • Duration: as long as we provide the platform to you, and after that for as long as we keep the data (see "Deletion or return at the end" below). • Nature: collecting, recording, storing, organising, retrieving, using, transmitting and erasing personal data by automated means, and passing it to the suppliers and service providers that a booking or a service needs. • Purpose: to run your website and Admin Panel, search for and book travel services, process the payments made on your website, issue tickets and vouchers, send the messages you set up, support you and keep the platform secure, and for no other purpose.

3. 3ذاتی ڈیٹا اور ڈیٹا سبجیکٹس

   ڈیٹا سبجیکٹس یہ ہیں: • آپ کے صارفین اور وہ مسافر جن کے لیے وہ بکنگ کرتے ہیں، بشمول بچے اور شیرخوار جن کی تفصیلات کوئی بالغ ان کے لیے بکنگ کرتے وقت فراہم کرتا ہے؛ • وہ لوگ جو آپ کی ویب سائٹ کے ذریعے آپ سے رابطہ کرتے ہیں، مثلاً کسی استفسار کے ساتھ یا چیٹ میں؛ • آپ کا عملہ، سب ایجنسیاں اور دیگر صارفین، اس ڈیٹا کے لحاظ سے جو آپ ایڈمن پینل میں ان کے بارے میں سنبھالتے ہیں۔ ذاتی ڈیٹا میں یہ شامل ہو سکتا ہے: • نام، ای میل پتے، فون نمبرز اور ڈاک کے پتے؛ • تاریخِ پیدائش، جنس، قومیت، اور پاسپورٹ یا شناختی کارڈ نمبرز مع ان کی میعاد ختم ہونے کی تاریخیں؛ اگر آپ پاسپورٹ اسکیننگ آن کریں تو اسکین شدہ تصویر؛ • بکنگز: سفری پروگرام، ہوٹل قیام، بکنگ ریفرنسز، لائلٹی نمبرز اور خصوصی درخواستیں، جن سے صحت یا مذہب سے متعلق معلومات ظاہر ہو سکتی ہیں، جیسے کھانے کا انتخاب یا معاونت کی درخواست؛ • ادائیگیاں: رقوم، اسٹیٹس اور ریفرنسز، اور محفوظ کارڈز کا برانڈ، آخری چار ہندسے اور میعاد ختم ہونے کی تاریخ؛ مکمل کارڈ نمبرز ادائیگی فراہم کنندہ ہینڈل کرتا ہے، ہم نہیں؛ • صارفین کے اکاؤنٹس: یوزر نیمز، پاس ورڈ ہیشز، سائن اِن ریکارڈز، IP ایڈریسز اور ڈیوائس کی تفصیلات؛ • پیغامات: چیٹس، ای میلز، SMS، WhatsApp اور Telegram پیغامات اور وہ فائلیں جو لوگ بھیجتے ہیں۔

4. 4صرف آپ کی ہدایات پر پروسیسنگ

   We process the personal data only on your documented instructions. Your instructions are this DPA, the agreement under which you use the platform and the platform contract; the settings you choose and what you and your users do in the Admin Panel and through our APIs; and any other written instruction you give us that is consistent with them. We do not use the data for any other purpose of our own, we do not sell it, and we do not use it to train artificial intelligence models. If a law we are subject to requires us to process the data in another way, we tell you before we do, unless that law forbids it. If we believe an instruction breaks the applicable data protection law, we tell you straight away, and we may hold off carrying it out until you confirm or change it.

5. 5بطور کنٹرولر آپ کی ذمہ داریاں

   آپ ان امور کے ذمہ دار ہیں: • اس ذاتی ڈیٹا کے لیے قانونی بنیاد رکھنا جو آپ اپنی ویب سائٹ پر جمع کرتے ہیں اور ہم سے پروسیس کرواتے ہیں، اور اپنے صارفین کو بتانا کہ آپ اسے کیسے استعمال کرتے ہیں، عموماً اپنی ویب سائٹ کی اپنی پرائیویسی پالیسی میں؛ • صرف وہی ڈیٹا جمع کرنا جو آپ کی بکنگز اور خدمات کو درکار ہو، اور حساس ڈیٹا صرف وہاں جہاں کسی بکنگ کو اس کی ضرورت ہو، اور انہی خانوں میں جو پلیٹ فارم اس کے لیے فراہم کرتا ہے؛ • یہ یقینی بنانا کہ بچوں یا دیگر مسافروں کے لیے بکنگ کرنے والا شخص ان کی تفصیلات دینے کا مجاز ہو؛ • اپنی ہدایات کا قانونی ہونا اور اپنے درج کردہ ڈیٹا کا درست ہونا؛ • اپنے کاروبار کے مطابق سیٹنگز اور یوزر رولز کا انتخاب کرنا، اور اپنے صارفین کی سائن اِن تفصیلات کو محفوظ رکھنا۔

6. 6رازداری

   صرف وہی ملازمین اور کنٹریکٹرز ذاتی ڈیٹا تک رسائی حاصل کر سکتے ہیں جنہیں پلیٹ فارم فراہم کرنے، اس کی معاونت کرنے یا اسے محفوظ رکھنے کے لیے اس کی ضرورت ہو، اور صرف اسی حد تک جتنی ان کے کام کے لیے ضروری ہو۔ ان میں سے ہر ایک تحریری یا قانونی رازداری کے فرض کا پابند ہے جو ہمارے لیے اس کا کام ختم ہونے کے بعد بھی جاری رہتا ہے، اور اسے ڈیٹا کے تحفظ اور سکیورٹی کی تربیت دی گئی ہے۔

7. 7سکیورٹی اقدامات

   ہم ذاتی ڈیٹا کو حادثاتی یا غیر قانونی تباہی، ضیاع، تبدیلی، افشا یا رسائی سے ایسے تکنیکی اور تنظیمی اقدامات کے ذریعے محفوظ رکھتے ہیں جو خطرے کے مطابق ہوں، اور اس میں جدید ترین ٹیکنالوجی، لاگت اور پروسیسنگ کی نوعیت کو مدِنظر رکھتے ہیں۔ ان میں شامل ہیں: • منتقلی کے دوران (HTTPS) اور محفوظ حالت میں انکرپشن؛ • انفرادی یوزر اکاؤنٹس، کردار پر مبنی رسائی کنٹرول اور کم سے کم ضروری اجازتیں، ہمارے عملے اور آپ کے صارفین دونوں کے لیے؛ • ہر پارٹنر کے ڈیٹا کو دوسرے پارٹنرز کے ڈیٹا سے منطقی طور پر الگ رکھنا؛ • پاس ورڈز کو صرف ناقابلِ واپسی ہیشز کی صورت میں محفوظ کرنا، اور پیمنٹ گیٹ وے کے کریڈنشلز جو محفوظ کرنے کے بعد دوبارہ کبھی ظاہر نہیں کیے جاتے؛ • سائن اِنز، ایڈمن پینل میں کی گئی تبدیلیوں اور API درخواستوں کے لاگز؛ • عوامی فارموں پر بوٹ پروٹیکشن؛ • ہمارے ڈیٹا بیسز کے باقاعدہ بیک اپس، تاکہ کسی واقعے کے بعد ڈیٹا بحال کیا جا سکے؛ • اپنے سافٹ ویئر کو اپ ٹو ڈیٹ رکھنا، اور اپنے کوڈ اور جس سافٹ ویئر پر وہ انحصار کرتا ہے اس کی سکیورٹی مسائل کے لیے جانچ کرنا؛ • ہمارے عملے کے لیے ڈیٹا تحفظ اور سکیورٹی کی تربیت؛ • سکیورٹی واقعات کا پتہ لگانے، ان کی تحقیقات کرنے اور ان پر ردِعمل کے لیے ایک دستاویزی طریقۂ کار۔ ہم ٹیکنالوجی اور خطرات میں تبدیلی کے ساتھ ان اقدامات کو بدل سکتے ہیں، لیکن کبھی اس طرح نہیں کہ تحفظ کی مجموعی سطح کم ہو۔

8. 8سب پروسیسرز

   You give us a general authorisation to engage sub-processors. Our current sub-processors are named in our sub-processor list, published on our website at /subprocessors, with what each one does, the personal data it receives, where it is based and how transfers are protected. Your Master, and any top-level master above it, may access your Admin Panel to support you, handle cases and supervise its part of the network. When it accesses personal data that we process for you, it acts as our sub-processor: we bind it by written contract as we bind our other sub-processors. Your Admin Panel shows your Master's name and contact details, and we tell you on request where it is based and which top-level master is above it. Moving you to a different Master, or placing a new top-level master above it, is a change of sub-processor for your data: we tell you, and you can object, as the next paragraph describes. A Master that stops acting for us is a case in which we must act sooner to keep the service running. Before a new sub-processor starts processing your data, we update that list and tell you by email or in the Admin Panel at least 30 days in advance, unless we must act sooner for security reasons or to keep the service running, in which case we tell you as soon as we can. You can object on reasonable data protection grounds by writing to [email protected] within that period. We will discuss your concerns in good faith and look for a solution; if we cannot find one, you may stop using the service concerned or close your account without any penalty, and we refund, pro rata, any fee you paid in advance for that service or for a period after your account closes. We bind every sub-processor, by written contract, to data protection obligations that protect the personal data at least as well as this DPA, in particular on security, confidentiality and using the data only to provide its services to us. We remain liable to you for our sub-processors' work as for our own.

9. 9بین الاقوامی منتقلی

   We and our sub-processors may process the personal data outside the country where it was collected, including outside the United Arab Emirates, as our sub-processor list shows for each sub-processor. We transfer it only as the UAE Personal Data Protection Law allows: to countries with an adequate level of protection, or with appropriate safeguards such as contractual commitments. Where the EU or UK GDPR applies, we transfer the data only to a country covered by an adequacy decision or under the standard contractual clauses approved by the European Commission (with the UK addendum for UK data), which we sign with the sub-processor concerned. Where the transfer from you to us itself needs such safeguards, those clauses (module two, or module three if you are a processor yourself) and the UK addendum apply between you and us and form part of this DPA, with this DPA providing the details they require.

10. 10آپ کی ذمہ داریاں پوری کرنے میں مدد

    پروسیسنگ کی نوعیت اور ہمارے پاس دستیاب معلومات کو مدِنظر رکھتے ہوئے، ہم آپ کی مدد کرتے ہیں کہ آپ: • اپنے صارفین اور دیگر ڈیٹا سبجیکٹس کی ان درخواستوں کا جواب دیں جو اپنے حقوق استعمال کرتے ہیں۔ ان کے اکاؤنٹس اور بکنگز آپ ایڈمن پینل میں تلاش کر سکتے ہیں؛ جہاں کسی درخواست کے لیے ایسی کارروائی درکار ہو جو ایڈمن پینل میں دستیاب نہیں، جیسے کسی اکاؤنٹ کو مٹانا یا اس کا ڈیٹا ایکسپورٹ کرنا، وہاں آپ ہم سے مدد مانگ سکتے ہیں۔ اگر کوئی درخواست براہِ راست ہم تک پہنچے تو ہم اسے بلاوجہ تاخیر کے بغیر آپ کو بھیج دیتے ہیں اور خود اس کا جواب نہیں دیتے، سوائے اس کے کہ آپ ہم سے کہیں؛ • ڈیٹا تحفظ کے اثرات کے جائزے کریں، اور جہاں قانون تقاضا کرے وہاں ڈیٹا تحفظ اتھارٹی سے مشاورت کریں، اس طرح کہ ہم آپ کو اپنی پروسیسنگ اور سکیورٹی اقدامات کے بارے میں وہ معلومات دیں جن کی آپ کو معقول طور پر ضرورت ہو؛ • سکیورٹی اور ذاتی ڈیٹا کی خلاف ورزیوں سے متعلق اپنی ذمہ داریاں پوری کریں، جیسا کہ یہ ضمیمہ بیان کرتا ہے۔ اگر آپ کو پلیٹ فارم اور اس ضمیمے کی فراہم کردہ مدد سے زیادہ مدد درکار ہو تو ہم ایک معقول فیس لے سکتے ہیں، جو ہم پیشگی آپ کے ساتھ طے کرتے ہیں۔

11. 11ذاتی ڈیٹا کی خلاف ورزیاں

    If we become aware of a personal data breach affecting the personal data we process for you, we tell you as soon as we become aware of it, and in any case within forty-eight (48) hours, by email to the address on your account. We tell you, as far as we know it at the time and in stages if we cannot tell you everything at once: • what happened and when; • the categories and approximate number of data subjects and records concerned; • the likely consequences; • what we have done or propose to do to deal with the breach and reduce its possible harm; • who you can contact for more information. We take reasonable steps to contain and investigate the breach, keep you informed, and help you notify the authorities and the people affected where the law requires. Telling you about a breach is not an admission of fault or liability.

12. 12اختتام پر حذف یا واپسی

    When we stop providing the platform to you, you can ask us for a copy of your customers' personal data that we still hold, in a common machine-readable format. We decide, at our discretion, whether we keep, delete or anonymise the personal data we process for you, and for how long. We make no commitment to keep it for any period or to delete it by any date, so export what you need while you use the platform. We keep bookings, invoices, payments and accounting records, including the traveller and customer details on them (such as names, itineraries, ticket numbers and amounts), for at least seven (7) years after the end of the tax period they belong to. We keep them protected and use them only for the reason we keep them.

13. 13معلومات اور آڈٹ

    ہم آپ کو وہ معلومات فراہم کرتے ہیں جو یہ ظاہر کرنے کے لیے معقول طور پر درکار ہوں کہ ہم اس ضمیمے کے تحت اپنی ذمہ داریاں پوری کرتے ہیں، جیسے اپنے سکیورٹی اقدامات کی تفصیل، اپنے سب پروسیسرز کی فہرست اور معقول سکیورٹی سوالناموں کے جوابات۔ اگر یہ معلومات کافی نہ ہوں، یا کوئی ڈیٹا تحفظ اتھارٹی اس کا تقاضا کرے، تو آپ خود یا کسی ایسے آزاد آڈیٹر کے ذریعے ہماری تعمیل کا آڈٹ کر سکتے ہیں جو رازداری کا پابند ہو اور ہمارا حریف نہ ہو۔ آپ کو کم از کم 30 دن پہلے ہمیں تحریری نوٹس دینا ہوگا اور آڈٹ کا دائرہ، وقت اور دورانیہ پیشگی ہمارے ساتھ طے کرنا ہوگا۔ آڈٹ معمول کے کاروباری اوقات میں ہونا چاہیے، اس سے ہماری خدمات میں خلل نہیں پڑنا چاہیے اور نہ ہی دوسرے پارٹنرز کے ڈیٹا تک رسائی ملنی چاہیے، اور اس کا خرچ آپ کے ذمے ہے۔ آپ کسی بھی بارہ ماہ میں ایک بار ہمارا آڈٹ کر سکتے ہیں، سوائے اس کے کہ ذاتی ڈیٹا کی کسی خلاف ورزی نے آپ کے ڈیٹا کو متاثر کیا ہو یا کوئی ڈیٹا تحفظ اتھارٹی آڈٹ کا تقاضا کرے۔

14. 14ذمہ داری اور ترجیحی ترتیب

    Our liability under this DPA is limited in the same way as our liability for the platform as a whole. We are not liable for indirect, incidental, special or consequential loss, or for loss of profit, revenue, business, goodwill or data. Our total liability to you for all claims together, under this DPA and otherwise in connection with the platform, is limited to the greater of (a) the fees you paid us in the twelve months before the event that gave rise to the claim and (b) USD 500. These limits do not apply to fraud, wilful misconduct or gross fault, or where the law does not allow liability to be limited. Nothing in this DPA limits the rights that data subjects have under the law. On the processing of personal data, this DPA prevails over any other terms between you and us where they differ, including the Platform Terms and Conditions. The platform contract may add further data protection commitments, and where it protects the personal data more, it prevails. This DPA applies for as long as we process personal data for you; the obligations that by their nature continue, such as confidentiality, survive its end. This DPA is governed by the laws of the Emirate of Dubai and the federal laws of the United Arab Emirates applicable in Dubai, except where the standard contractual clauses or the UK addendum require another law. A dispute under it is resolved in the same way as other disputes about the platform: it is subject to the exclusive jurisdiction of the onshore courts of the Emirate of Dubai (the Dubai Courts), and not of the courts of the Dubai International Financial Centre. This does not apply to a dispute arising from the standard contractual clauses or the UK addendum, which is resolved by the courts those clauses require (for the standard contractual clauses, the courts of an EU Member State; for the UK addendum, the courts of England and Wales), and it does not limit a data subject's right to bring proceedings before the courts those clauses allow.