पाँचवें भाग में हमने यह रेखा खींची कि असिस्टेंट किन बातों का जवाब देता है और कर्मचारी क्या सँभालता है, और ऐसा हैंडऑफ़ ज़रूरी किया जो पूरी बातचीत साथ ले जाए। अब तक हमने जो कुछ भी बनाया है, वह एक ही चीज़ पर टिका है: ग्राहकों से आपकी बातचीत का रिकॉर्ड। और यह रिकॉर्ड कोई ऑपरेशनल फ़ाइल नहीं है, यह कानून के दायरे में आने वाला व्यक्तिगत डेटा है।

यह भाग न डराने के लिए है और न कानूनी धाराएँ पढ़कर सुनाने के लिए। किसी छोटे या मझोले कारोबार को जिन चीज़ों की ज़रूरत है, उनमें से ज़्यादातर कुछ सरल प्रबंधन फ़ैसलों पर आकर रुकती हैं, जो लॉन्च से पहले एक बार लिए जाते हैं और जिनकी लागत किसी सलाहकार की नहीं, बल्कि एक घंटे की मीटिंग की होती है। लॉन्च के बाद इन्हें लेना कई गुना महँगा पड़ता है।

WhatsApp की बातचीत व्यक्तिगत डेटा है, और इसकी ज़िम्मेदारी आपकी है

किंगडम का व्यक्तिगत डेटा संरक्षण कानून (PDPL) 14 सितंबर 2023 से लागू है, अनुपालन की छूट अवधि 14 सितंबर 2024 को ख़त्म हो गई, और सऊदी डेटा और आर्टिफ़िशियल इंटेलिजेंस प्राधिकरण (SDAIA) इसका निगरानी प्राधिकरण है। इसका दायरा कई कारोबारियों की सोच से ज़्यादा बड़ा है: यह किंगडम के भीतर के लोगों के डेटा की किसी भी तरीक़े से होने वाली हर प्रोसेसिंग को कवर करता है, और उन संस्थाओं पर भी लागू होता है जो किंगडम के बाहर रहकर किंगडम के भीतर के लोगों का डेटा प्रोसेस करती हैं।

जब कोई ग्राहक इंस्टॉलेशन का समय बुक करने के लिए अपना नाम, नंबर और घर का पता भेजती है, तो कानून के हिसाब से यह व्यक्तिगत डेटा है, कोई आती-जाती गपशप नहीं। और ज़्यादातर लोग यह भूल जाते हैं कि एक बातचीत में असल में कितना कुछ होता है: नाम और नंबर, पहचान पत्र या रेज़िडेंसी की तस्वीरें जो ग्राहक बिना माँगे भेज देते हैं, घर के पते, दस्तावेज़ों और इनवॉइस की तस्वीरें, और कभी-कभी किसी शिकायत में चलते-चलते बताई गई सेहत या पैसों से जुड़ी जानकारी। AI असिस्टेंट यह डेटा पैदा नहीं करता, लेकिन उसे किसी कर्मचारी के फ़ोन में खो जाने के बजाय संग्रहीत, इंडेक्स और खोजने योग्य बना देता है। यह अपने आप में एक ऑपरेशनल सुधार है, और इससे आपकी ज़िम्मेदारी भी बढ़ती है।

कानूनी आधार और ग्राहक को सूचना

आप बिना किसी वैध कारण के व्यक्तिगत डेटा प्रोसेस नहीं करते। ज़्यादातर कंपनियों के लिए आधार सीधा है: ग्राहक ने ख़ुद कोई सेवा माँगते हुए बातचीत शुरू की, और उसने जो माँगा उसे देने के लिए उसका डेटा प्रोसेस करना ज़रूरी है। उसके सवाल का जवाब देने और उसका ऑर्डर तैयार करने के लिए यह मज़बूत आधार है। यह अपने आप ऐसी किसी चीज़ तक नहीं जाता जो उसने माँगी ही नहीं।

व्यावहारिक फ़र्क़ पर रुककर सोचना ज़रूरी है। ग्राहक के सवाल का जवाब देना एक बात है; एक महीने बाद उसका नंबर किसी बल्क मार्केटिंग ब्रॉडकास्ट में जोड़ देना बिल्कुल दूसरी बात है। पहला वह देता है जो उसने माँगा; दूसरा एक नया उद्देश्य है जिसके लिए उसकी स्पष्ट सहमति चाहिए। बाज़ार में हमें सबसे ज़्यादा यही उल्लंघन दिखता है, ठीक इसलिए क्योंकि यह मुफ़्त और बेनुक़सान लगता है।

जहाँ तक सूचना की बात है, आपकी सोच से कम चाहिए: बातचीत की शुरुआत में एक छोटी लाइन, या आपकी वेबसाइट पर एक प्राइवेसी पॉलिसी जिसका लिंक असिस्टेंट दे, जिसमें बताया गया हो कि आप कौन हैं, डेटा क्यों लेते हैं, कितने समय तक रखते हैं, किसके साथ साझा करते हैं, और ग्राहक अपने अधिकारों का इस्तेमाल कैसे करे। इसे अनुबंध की भाषा में नहीं, उस भाषा में लिखें जो आपका ग्राहक समझता है।

कम से कम जानकारी लें, और जिसका उद्देश्य पूरा हो चुका है उसे मिटाएँ

पूरे कानून में लागू करने में सबसे आसान नियम: जो डेटा आपने कभी लिया ही नहीं, वह न आपसे लीक हो सकता है और न आपसे माँगा जा सकता है। नियंत्रण वहीं से शुरू होता है, असिस्टेंट के अपने सवालों की शब्दावली से।

  • सिर्फ़ वही पूछें जो सेवा के लिए ज़रूरी है। अगर बुकिंग के लिए नाम, नंबर और मोहल्ला काफ़ी है, तो असिस्टेंट से पहचान संख्या या जन्मतिथि सिर्फ़ इसलिए न पुछवाएँ कि आपके पुराने काग़ज़ी फ़ॉर्म में वह ख़ाना मौजूद है।
  • चैट में संवेदनशील दस्तावेज़ों को रोकें। पहचान पत्र की तस्वीरें और बैंक कार्ड WhatsApp पर नहीं माँगे जाते। इन्हें उस इनकार सूची में डालें जो हमने चौथे भाग में बनाई थी, और अगर सच में ज़रूरी हो तो ग्राहक को किसी उपयुक्त चैनल पर ले जाएँ।
  • लिखित रिटेंशन अवधि तय करें। हर प्रकार के लिए एक चुनें: पूछताछ की वे बातचीत जो कभी ऑर्डर नहीं बनीं, और पूरे हो चुके वे ऑर्डर जिनके रिकॉर्ड आपको लेखा और नियामक कारणों से रखने होते हैं। अहम बात यह है कि अवधि लिखी हुई हो और लागू हो, हमेशा के लिए खुली न छोड़ी जाए।
  • मिटाने को इरादा नहीं, प्रक्रिया बनाएँ। जिस रिटेंशन अवधि के पीछे कोई व्यवस्था नहीं, वह दूसरे नाम से स्थायी आर्काइव है। अपने वेंडर से पूछें कि आप एक बातचीत या पूरे ग्राहक को कैसे मिटाते हैं, और वह उनके बैकअप से असल में कब ग़ायब होता है।

आपकी टीम में कौन बातचीत देख सकता है?

आपके ग्राहक डेटा के लिए सबसे बड़ा व्यावहारिक जोखिम कोई बाहरी सेंध नहीं, बल्कि बिना रोक-टोक की अंदरूनी पहुँच है। जब बातचीत किसी कर्मचारी के निजी फ़ोन में रहती है, तो जिस दिन वह इस्तीफ़ा देता है, बातचीत भी उसके साथ कंपनी से बाहर चली जाती है, और आपके पास न कोई कॉपी रहती है न कोई नियंत्रण। बातचीत को एक केंद्रीय सिस्टम में ले जाना इसे हल कर देता है, बशर्ते आप यह नियंत्रित करें कि कौन क्या देखता है।

तीन प्रबंधन फ़ैसले काफ़ी हैं: हर कर्मचारी सब कुछ नहीं, बल्कि वही बातचीत देखे जो उसे सौंपी गई है या उसके काम से जुड़ी है; हर यूज़र का अपने नाम का अकाउंट हो, न कि टीम में हाथों-हाथ घूमने वाला साझा लॉगिन, ताकि आपको पता रहे किसने क्या देखा; और नौकरी का रिश्ता ख़त्म होने के उसी दिन पहुँच हटा दी जाए, हफ़्तों बाद नहीं। अपने रोज़गार अनुबंधों और प्रक्रियाओं में एक धारा जोड़ें जो ग्राहक डेटा को एक्सपोर्ट करने या सिस्टम से बाहर ले जाने पर रोक लगाए।

जब बातचीत किंगडम से बाहर जाती है

यह वह हिस्सा है जिसे कारोबारी पूरी तरह नज़रअंदाज़ कर देते हैं, क्योंकि यह दिखता नहीं। AI असिस्टेंट एक लैंग्वेज मॉडल पर चलता है, और वह मॉडल किंगडम के बाहर होस्ट हो सकता है, यानी जवाब तैयार करने के लिए आपके ग्राहक की बातचीत का टेक्स्ट सरहद पार जा सकता है।

कानून व्यक्तिगत डेटा को किंगडम से बाहर भेजने को तय मामलों और नियंत्रणों तक सीमित करता है, और इसे वेंडर की मर्ज़ी पर नहीं छोड़ता। आपको कानूनी विशेषज्ञ होने की ज़रूरत नहीं; आपको हर वेंडर से तीन लिखित सवाल पूछने हैं और जवाब दस्तावेज़ के रूप में रखने हैं:

  • मेरे ग्राहकों की बातचीत कहाँ संग्रहीत होती है और कहाँ प्रोसेस होती है? क्या किसी भी चरण में डेटा किंगडम से बाहर जाता है?
  • अगर बाहर जाता है, तो ट्रांसफ़र के लिए आप किस आधार और किन नियंत्रणों पर निर्भर करते हैं?
  • क्या आप मेरे ग्राहकों की बातचीत का इस्तेमाल अपने मॉडल को ट्रेन करने या अपने किसी उद्देश्य के लिए करते हैं?

तीसरा सवाल कारोबारी नज़र से सबसे अहम है और सबसे कम पूछा जाता है। आपके ग्राहकों का डेटा आपका है, और किसी वेंडर के पास सेवा देने के लिए उसका होना, उसे किसी दूसरे उद्देश्य के लिए इस्तेमाल करने की इजाज़त नहीं है। इस रोक को संदर्भ के भरोसे छोड़ने के बजाय अनुबंध में साफ़ लिखवाएँ।

ग्राहक के अधिकार, और आपकी ज़िम्मेदारी कहाँ ख़त्म होती है और वेंडर की कहाँ शुरू होती है

कानून डेटा के मालिक व्यक्ति को साफ़ अधिकार देता है: यह जानने का कि उसका डेटा लिया जा रहा है और क्यों, उस तक पहुँचने और उसकी कॉपी पाने का, उसमें सुधार माँगने का, और उद्देश्य ख़त्म हो जाने पर उसे नष्ट करने की माँग का। ये किताबी बातें नहीं हैं, ये ऐसी माँगें हैं जो किसी दिन उसी WhatsApp बातचीत में आ सकती हैं। इसलिए आपकी टीम को पता होना चाहिए कि ऐसी माँग आने पर क्या करना है, और आपके सिस्टम में एक बटन होना चाहिए जो उसे पूरा करे, न कि कोई थकाऊ मैन्युअल प्रक्रिया।

अब वह बात बचती है जो वेंडरों से होने वाली ज़्यादातर बहसें ख़त्म कर देती है: आप कंट्रोलर हैं, क्योंकि प्रोसेसिंग का उद्देश्य और तरीक़ा आप तय करते हैं, और AI असिस्टेंट वेंडर आपकी ओर से काम करने वाला प्रोसेसर है। गड़बड़ी तकनीकी हो और वेंडर की तरफ़ हो, तब भी आपके ग्राहक के प्रति कानूनी ज़िम्मेदारी आपकी ही रहती है। इसलिए एक लिखित अनुबंध पर ज़ोर दें जो तय करे कि वह आपके डेटा के साथ क्या कर सकता है और क्या नहीं, उसे किसी भी उल्लंघन की सूचना आपको बिना देरी देने के लिए बाध्य करे, और यह तय करे कि रिश्ता ख़त्म होने के दिन आपके डेटा का क्या होगा: पूरा वापस किया जाएगा, फिर उसकी तरफ़ से नष्ट कर दिया जाएगा।

Origami का नज़रिया

Origami के WhatsApp वाले AI असिस्टेंट Mahir में असिस्टेंट आपकी कंपनी के पहले से मौजूद नंबर पर चलता है, न कोई नया नंबर और न कर्मचारी के फ़ोन पर कोई अतिरिक्त ऐप, और जोड़ना बस एक बार का QR स्कैन है। इसलिए आपकी ग्राहक बातचीत कंपनी के सिस्टम में रहती है, न कि उन निजी डिवाइसों में बिखरी हुई जो अपने मालिकों के साथ चले जाते हैं। ट्रेनिंग की शुरुआत इससे होती है कि आप उसे अपनी वेबसाइट का लिंक देते हैं ताकि वह उसे पढ़कर आपकी जानकारी भर दे; फिर आप सेवाएँ, कीमतें और अक्सर पूछे जाने वाले सवाल ऐसे जवाबों के साथ जोड़ते हैं जिन्हें आप मंज़ूर करते हैं। इसके दो स्तर हैं जिनमें से आप चुनते हैं: तेज़, बार-बार आने वाले सीधे सवालों के लिए Malik, और लंबी बातचीत, मिले-जुले अनुरोधों और आपत्तियों के लिए Mahir; आप कभी भी बदल सकते हैं, न दोबारा जोड़ना पड़ता है और न ट्रेनिंग खोती है, और ट्रायल मुफ़्त है। जहाँ तक इस भाग के उन छह सवालों की बात है जो स्टोरेज की जगह, किंगडम से बाहर ट्रांसफ़र और ट्रेनिंग के लिए डेटा के इस्तेमाल के बारे में हैं: इन्हें हर उस वेंडर से लिखित में पूछें जिस पर आप विचार कर रहे हैं, हम भी शामिल हैं, और जवाब अनुबंध में दर्ज करें।

निष्कर्ष

आपसे जो माँगा जाता है वह उससे कम है जिससे आप डरते हैं: एक साफ़ कानूनी आधार, एक छोटी और समझ में आने वाली सूचना, ज़रूरत भर की कम से कम जानकारी लेना, एक लिखित रिटेंशन अवधि और उसके बाद असल में मिटाना, टीम के भीतर नियंत्रित पहुँच, इस बारे में दस्तावेज़ी जवाब कि डेटा कहाँ रहता है, कैसे आता-जाता है और कैसे इस्तेमाल होता है, और अपने वेंडर के साथ एक लिखित अनुबंध जिसमें हर पक्ष अपनी भूमिका जानता हो। ये फ़ैसले लॉन्च से पहले लें; बाद में सुधारने से ये कहीं आसान हैं। अब कारोबारी का आख़िरी सवाल बचता है: इस सबसे क्या हासिल होता है, और इसे एक ही हफ़्ते में कैसे लागू करें? यही सातवाँ भाग है, और सीरीज़ का अंत।

स्रोत

  • सऊदी डेटा और आर्टिफ़िशियल इंटेलिजेंस प्राधिकरण (SDAIA): व्यक्तिगत डेटा संरक्षण कानून और उसका कार्यान्वयन विनियम: दायरा, प्रोसेसिंग का कानूनी आधार, डेटा के मालिक व्यक्ति के अधिकार, और कंट्रोलर व प्रोसेसर के दायित्व।
  • SDAIA: किंगडम से बाहर व्यक्तिगत डेटा ट्रांसफ़र से जुड़ा विनियम और उससे जुड़े नियंत्रण।
  • SDAIA: प्राधिकरण के प्लेटफ़ॉर्म पर कंट्रोलरों के लिए प्रकाशित अनुपालन मार्गदर्शन और टूल।
  • सऊदी विज़न 2030: डिजिटल अर्थव्यवस्था और डिजिटल लेन-देन में उपभोक्ता का भरोसा बनाना।