Di bagian kelima kami menarik garis antara apa yang dijawab asisten dan apa yang ditangani karyawan, serta mewajibkan serah terima yang membawa seluruh percakapan. Semua yang telah kita bangun sejauh ini bertumpu pada satu hal: catatan percakapan dengan pelanggan Anda. Dan catatan itu bukan berkas operasional, melainkan data pribadi yang diatur oleh hukum.

Bagian ini bukan tulisan untuk menakut-nakuti, bukan pula pembacaan pasal-pasal hukum. Sebagian besar yang dibutuhkan usaha kecil atau menengah bermuara pada keputusan manajemen sederhana yang diambil sekali, sebelum peluncuran, dengan biaya satu jam rapat, bukan seorang konsultan. Mengambilnya setelah peluncuran jauh berlipat-lipat lebih mahal.

Percakapan WhatsApp adalah data pribadi, dan Anda bertanggung jawab atasnya

Undang-Undang Pelindungan Data Pribadi (PDPL) Kerajaan berlaku sejak 14 September 2023, masa tenggang kepatuhan berakhir pada 14 September 2024, dan Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA) adalah otoritas pengawasnya. Cakupannya lebih luas daripada yang dikira banyak pemilik usaha: mencakup setiap pemrosesan data orang-orang di dalam Kerajaan dengan cara apa pun, dan meluas ke entitas di luar Kerajaan yang memproses data orang-orang di dalamnya.

Ketika seorang pelanggan mengirimkan namanya, nomornya, dan alamat rumahnya untuk memesan jadwal pemasangan, itu adalah data pribadi menurut hukum, bukan obrolan sambil lalu. Dan yang sering luput dari perhatian kebanyakan orang adalah seberapa banyak isi sebuah percakapan sebenarnya: nama dan nomor, foto kartu identitas atau izin tinggal yang dikirim pelanggan tanpa diminta, alamat rumah, gambar dokumen dan faktur, dan kadang informasi kesehatan atau keuangan yang disebut sepintas dalam sebuah keluhan. Asisten AI tidak menciptakan data ini, tetapi membuatnya tersimpan, terindeks, dan bisa dicari, alih-alih hilang di ponsel seorang karyawan. Itu sendiri sudah merupakan perbaikan operasional, dan sekaligus menambah tanggung jawab Anda.

Dasar hukum dan pemberitahuan kepada pelanggan

Anda tidak memproses data pribadi tanpa alasan yang sah. Bagi kebanyakan perusahaan dasarnya sederhana: pelanggan sendiri yang memulai percakapan untuk meminta layanan, dan memberikan apa yang ia minta mengharuskan pemrosesan datanya. Itu dasar yang kuat untuk menjawab pertanyaannya dan menyiapkan pesanannya. Dasar itu tidak otomatis meluas ke hal apa pun yang tidak ia minta.

Perbedaan praktisnya layak untuk direnungkan. Membalas pertanyaan pelanggan adalah satu hal; menambahkan nomornya sebulan kemudian ke siaran pemasaran massal adalah hal yang sama sekali lain. Yang pertama memberikan apa yang ia minta; yang kedua adalah tujuan baru yang memerlukan persetujuan eksplisitnya. Ini pelanggaran paling umum yang kami lihat di pasar, justru karena terasa gratis dan tidak berbahaya.

Soal pemberitahuan, yang diwajibkan lebih sedikit dari yang Anda bayangkan: satu baris singkat di awal percakapan, atau kebijakan privasi di situs Anda yang ditautkan oleh asisten, yang menyebutkan siapa Anda, mengapa Anda mengumpulkan data, berapa lama Anda menyimpannya, dengan siapa Anda membagikannya, dan bagaimana pelanggan menggunakan haknya. Tulis dengan bahasa yang dipahami pelanggan Anda, bukan bahasa kontrak.

Kumpulkan seminimal mungkin, dan hapus yang sudah memenuhi tujuannya

Aturan paling mudah diterapkan dalam seluruh undang-undang: data yang tidak pernah Anda kumpulkan tidak bisa bocor dari Anda dan tidak bisa dituntut dari Anda. Kendali dimulai di sana, pada rumusan pertanyaan asisten itu sendiri.

  • Minta hanya yang dibutuhkan layanan. Jika pemesanan membutuhkan nama, nomor, dan kawasan, jangan biarkan asisten menanyakan nomor identitas atau tanggal lahir hanya karena kolomnya ada di formulir kertas lama Anda.
  • Blokir dokumen sensitif di chat. Foto kartu identitas dan kartu bank tidak diminta lewat WhatsApp. Masukkan ke daftar penolakan yang kita susun di bagian keempat, dan arahkan pelanggan ke saluran yang sesuai jika memang benar-benar diperlukan.
  • Tetapkan masa retensi secara tertulis. Pilih satu untuk tiap jenis: percakapan pertanyaan yang tidak pernah menjadi pesanan, dan pesanan selesai yang catatannya harus Anda simpan untuk keperluan akuntansi dan regulasi. Yang penting, masanya tertulis dan diterapkan, bukan dibiarkan terbuka selamanya.
  • Jadikan penghapusan sebagai prosedur, bukan niat. Masa retensi tanpa mekanisme di baliknya adalah arsip permanen dengan nama lain. Tanyakan kepada vendor Anda bagaimana cara menghapus satu percakapan atau seorang pelanggan seluruhnya, dan kapan data itu benar-benar hilang dari cadangan mereka.

Siapa di tim Anda yang bisa melihat percakapan?

Risiko praktis terbesar bagi data pelanggan Anda bukan pembobolan dari luar, melainkan akses internal tanpa batas. Ketika percakapan tersimpan di ponsel pribadi karyawan, percakapan itu ikut keluar dari perusahaan bersamanya pada hari ia mengundurkan diri, dan Anda tidak memegang salinan maupun kendali apa pun. Memindahkan percakapan ke sistem terpusat menyelesaikan masalah itu, asalkan Anda mengendalikan siapa melihat apa.

Tiga keputusan manajemen sudah cukup: setiap karyawan hanya melihat percakapan yang ditugaskan kepadanya atau relevan dengan pekerjaannya, bukan semuanya; setiap pengguna memiliki akun atas namanya sendiri, bukan login bersama yang diedarkan di tim, sehingga Anda tahu siapa melihat apa; dan akses dicabut pada hari yang sama saat hubungan kerja berakhir, bukan berminggu-minggu kemudian. Tambahkan klausul dalam kontrak kerja dan prosedur Anda yang melarang mengekspor data pelanggan atau mengeluarkannya dari sistem.

Ketika percakapan keluar dari Kerajaan

Inilah bagian yang sama sekali terlewat oleh pemilik usaha, karena tidak terlihat. Asisten AI berjalan di atas model bahasa, dan model itu bisa saja di-hosting di luar Kerajaan, yang berarti teks percakapan pelanggan Anda bisa melintasi perbatasan untuk menghasilkan balasan.

Hukum membatasi transfer data pribadi ke luar Kerajaan pada kasus dan kontrol yang telah ditetapkan, dan tidak menyerahkannya pada kebijakan vendor. Anda tidak perlu menjadi ahli hukum; Anda cukup mengajukan tiga pertanyaan tertulis kepada vendor mana pun dan menyimpan jawabannya sebagai dokumentasi:

  • Di mana percakapan pelanggan saya disimpan dan di mana diproses? Apakah data keluar dari Kerajaan pada tahap mana pun?
  • Jika keluar, dasar dan kontrol apa yang Anda andalkan untuk transfer tersebut?
  • Apakah Anda menggunakan percakapan pelanggan saya untuk melatih model Anda, atau untuk tujuan Anda sendiri?

Pertanyaan ketiga adalah yang paling penting secara komersial dan paling jarang ditanyakan. Data pelanggan Anda adalah milik Anda, dan vendor yang menyimpannya untuk memberikan layanan tidak berarti mendapat izin untuk menggunakannya bagi tujuan lain. Cantumkan larangan itu secara eksplisit di kontrak, jangan dibiarkan tersirat dari konteks.

Hak pelanggan, serta di mana tanggung jawab Anda berakhir dan tanggung jawab vendor dimulai

Hukum memberikan hak yang jelas kepada subjek data: diberi tahu bahwa datanya dikumpulkan dan untuk apa, mengakses datanya dan memperoleh salinannya, meminta perbaikannya, dan meminta pemusnahannya setelah tujuannya tidak lagi berlaku. Ini bukan teks teoretis, melainkan permintaan yang suatu hari bisa datang di percakapan WhatsApp yang sama. Jadi tim Anda perlu tahu apa yang harus dilakukan saat permintaan itu masuk, dan sistem Anda memerlukan tombol yang menjalankannya, bukan proses manual yang melelahkan.

Tinggal satu poin yang menyelesaikan sebagian besar perdebatan dengan vendor: Anda adalah pengendali, karena Anda yang menentukan tujuan dan cara pemrosesan, sedangkan vendor asisten AI adalah prosesor yang bertindak atas nama Anda. Tanggung jawab hukum terhadap pelanggan Anda tetap ada pada Anda, meskipun kegagalannya bersifat teknis dan ada di pihak vendor. Maka bersikeraslah pada kontrak tertulis yang menetapkan apa yang boleh dan tidak boleh mereka lakukan dengan data Anda, mewajibkan mereka memberi tahu Anda tanpa penundaan tentang setiap kebocoran, dan mengatur apa yang terjadi pada data Anda pada hari hubungan berakhir: dikembalikan seluruhnya, lalu dimusnahkan di pihak mereka.

Pandangan Origami

Di Mahir, asisten AI Origami untuk WhatsApp, asisten berjalan di nomor perusahaan Anda yang sudah ada, tanpa nomor baru dan tanpa aplikasi tambahan di ponsel karyawan, dan penautannya cukup dengan sekali pindai QR, sehingga percakapan pelanggan Anda tetap berada di sistem perusahaan, bukan tersebar di perangkat pribadi yang ikut pergi bersama pemiliknya. Pelatihan dimulai dengan memberinya tautan situs Anda untuk dibaca dan mengisi detail Anda, lalu Anda menambahkan layanan, harga, dan pertanyaan umum dengan jawaban yang Anda setujui. Ada dua tingkatan yang bisa Anda pilih: Malik untuk pertanyaan langsung yang cepat dan berulang, dan Mahir untuk percakapan panjang, permintaan majemuk, dan keberatan; Anda bisa beralih kapan saja tanpa menautkan ulang dan tanpa kehilangan pelatihan, dan uji cobanya gratis. Adapun enam pertanyaan di bagian ini tentang lokasi penyimpanan, transfer ke luar Kerajaan, dan penggunaan data untuk pelatihan: ajukan secara tertulis kepada vendor mana pun yang sedang Anda pertimbangkan, termasuk kami, dan cantumkan jawabannya di kontrak.

Kesimpulan

Yang diwajibkan kepada Anda lebih sedikit daripada yang menakutkan Anda: dasar hukum yang jelas, pemberitahuan yang singkat dan mudah dipahami, pengumpulan seminimal yang Anda perlukan, masa retensi tertulis yang diikuti penghapusan nyata, akses terkendali di dalam tim Anda, jawaban terdokumentasi tentang di mana data berada, bagaimana data berpindah, dan bagaimana data digunakan, serta kontrak tertulis dengan vendor Anda di mana setiap pihak memahami perannya. Ambil keputusan-keputusan ini sebelum peluncuran; jauh lebih mudah daripada memperbaikinya sesudahnya. Tinggal pertanyaan terakhir pemilik usaha: apa hasil dari semua ini, dan bagaimana menerapkannya dalam satu minggu saja? Itulah bagian ketujuh, sekaligus akhir seri ini.

Sumber

  • Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA): Undang-Undang Pelindungan Data Pribadi dan Peraturan Pelaksanaannya: cakupan, dasar hukum pemrosesan, hak subjek data, serta kewajiban pengendali dan prosesor.
  • SDAIA: Peraturan tentang Transfer Data Pribadi ke Luar Kerajaan beserta kontrol terkaitnya.
  • SDAIA: panduan dan alat kepatuhan yang diterbitkan untuk pengendali di platform Otoritas.
  • Visi Saudi 2030: ekonomi digital dan membangun kepercayaan konsumen dalam transaksi digital.