Dalam bahagian kelima, kami menarik garisan antara apa yang dijawab oleh pembantu dan apa yang dikendalikan oleh pekerja, serta mewajibkan serahan yang membawa keseluruhan perbualan. Semua yang telah kita bina setakat ini bergantung pada satu perkara: rekod perbualan dengan pelanggan anda. Dan rekod itu bukan fail operasi, tetapi data peribadi yang dikawal oleh undang-undang.

Bahagian ini bukan tulisan untuk menakut-nakutkan, dan bukan juga bacaan peruntukan undang-undang. Kebanyakan perkara yang diperlukan oleh perniagaan kecil atau sederhana bermuara kepada keputusan pengurusan yang mudah, dibuat sekali sebelum pelancaran, dengan kos satu jam mesyuarat dan bukannya seorang perunding. Membuatnya selepas pelancaran memakan kos berkali-kali ganda.

Perbualan WhatsApp ialah data peribadi, dan anda bertanggungjawab terhadapnya

Undang-Undang Perlindungan Data Peribadi (PDPL) Kerajaan berkuat kuasa sejak 14 September 2023, tempoh tangguh pematuhan tamat pada 14 September 2024, dan Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA) ialah pihak berkuasa penyeliaannya. Skopnya lebih luas daripada sangkaan ramai pemilik perniagaan: ia meliputi sebarang pemprosesan data individu di dalam Kerajaan melalui apa-apa cara, dan turut terpakai kepada entiti di luar Kerajaan yang memproses data orang di dalamnya.

Apabila seorang pelanggan menghantar nama, nombor dan alamat rumahnya untuk menempah slot pemasangan, itu ialah data peribadi di sisi undang-undang, bukan sembang biasa. Dan apa yang terlepas pandang oleh kebanyakan orang ialah betapa banyak sebenarnya kandungan sesuatu perbualan: nama dan nombor, gambar kad pengenalan atau permit kediaman yang dihantar pelanggan tanpa diminta, alamat rumah, imej dokumen dan invois, dan kadangkala maklumat kesihatan atau kewangan yang disebut sepintas lalu dalam sesuatu aduan. Pembantu AI tidak mencipta data ini, tetapi menjadikannya tersimpan, berindeks dan boleh dicari, bukannya hilang dalam telefon bimbit seorang pekerja. Itu sendiri sudah merupakan penambahbaikan operasi, dan ia juga menambah tanggungjawab anda.

Asas sah dan pemberitahuan kepada pelanggan

Anda tidak memproses data peribadi tanpa sebab yang sah. Bagi kebanyakan syarikat, asasnya mudah: pelanggan sendiri memulakan perbualan untuk meminta perkhidmatan, dan untuk memberikan apa yang diminta, datanya perlu diproses. Itu asas yang kukuh untuk menjawab pertanyaannya dan menyediakan pesanannya. Ia tidak secara automatik meliputi apa-apa yang tidak dimintanya.

Perbezaan praktikal ini wajar diberi perhatian. Membalas pertanyaan pelanggan ialah satu perkara; menambah nombornya sebulan kemudian ke dalam siaran pemasaran pukal ialah perkara yang sama sekali berbeza. Yang pertama memberikan apa yang dimintanya; yang kedua ialah tujuan baharu yang memerlukan persetujuan nyatanya. Inilah pelanggaran paling biasa yang kami lihat di pasaran, justeru kerana ia kelihatan percuma dan tidak memudaratkan.

Bagi notis pula, keperluannya lebih sedikit daripada yang anda sangka: satu baris ringkas pada permulaan perbualan, atau dasar privasi di laman web anda yang dipautkan oleh pembantu, yang menyatakan siapa anda, mengapa anda mengumpul data, berapa lama anda menyimpannya, dengan siapa anda berkongsinya dan bagaimana pelanggan menggunakan hak mereka. Tulislah dalam bahasa yang difahami pelanggan anda, bukan bahasa kontrak.

Kumpul yang minimum, dan padam apa yang telah mencapai tujuannya

Peraturan paling mudah dilaksanakan dalam keseluruhan undang-undang: data yang tidak pernah anda kumpul tidak boleh bocor daripada anda dan tidak boleh dituntut daripada anda. Kawalan bermula di situ, pada susunan kata soalan pembantu itu sendiri.

  • Minta hanya apa yang diperlukan oleh perkhidmatan. Jika tempahan memerlukan nama, nombor dan kawasan kejiranan, jangan suruh pembantu bertanya nombor kad pengenalan atau tarikh lahir semata-mata kerana ruangan itu wujud dalam borang kertas lama anda.
  • Sekat dokumen sensitif dalam sembang. Gambar kad pengenalan dan kad bank tidak diminta melalui WhatsApp. Masukkannya ke dalam senarai penolakan yang kita bina dalam bahagian keempat, dan alihkan pelanggan ke saluran yang sesuai jika benar-benar perlu.
  • Tetapkan tempoh penyimpanan secara bertulis. Pilih satu bagi setiap jenis: perbualan pertanyaan yang tidak pernah menjadi pesanan, dan pesanan selesai yang rekodnya mesti anda simpan untuk tujuan perakaunan dan kawal selia. Yang penting ialah tempoh itu ditulis dan dilaksanakan, bukan dibiarkan terbuka selama-lamanya.
  • Jadikan pemadaman satu prosedur, bukan niat. Tempoh penyimpanan tanpa mekanisme di sebaliknya ialah arkib kekal dengan nama lain. Tanya pembekal anda bagaimana anda memadam satu perbualan atau seorang pelanggan sepenuhnya, dan bila ia benar-benar hilang daripada sandaran mereka.

Siapa dalam pasukan anda yang boleh melihat perbualan?

Risiko praktikal terbesar kepada data pelanggan anda bukanlah pencerobohan dari luar, tetapi akses dalaman tanpa had. Apabila perbualan disimpan dalam telefon bimbit peribadi pekerja, ia keluar dari syarikat bersamanya pada hari dia meletakkan jawatan, dan anda tidak memegang salinan mahupun sebarang kawalan. Memindahkan perbualan ke sistem berpusat menyelesaikan masalah itu, dengan syarat anda mengawal siapa melihat apa.

Tiga keputusan pengurusan sudah memadai: setiap pekerja melihat perbualan yang ditugaskan kepadanya atau berkaitan dengan kerjanya, bukan semuanya; setiap pengguna mempunyai akaun atas namanya sendiri, bukan log masuk bersama yang diedarkan dalam pasukan, supaya anda tahu siapa melihat apa; dan akses ditarik balik pada hari yang sama hubungan pekerjaan tamat, bukan berminggu-minggu kemudian. Tambahkan klausa dalam kontrak pekerjaan dan prosedur anda yang melarang pengeksportan data pelanggan atau mengeluarkannya daripada sistem.

Apabila perbualan keluar dari Kerajaan

Inilah bahagian yang langsung terlepas pandang oleh pemilik perniagaan, kerana ia tidak kelihatan. Pembantu AI berjalan di atas model bahasa, dan model itu mungkin dihoskan di luar Kerajaan, yang bermakna teks perbualan pelanggan anda mungkin merentasi sempadan untuk menjana balasan.

Undang-undang mengehadkan pemindahan data peribadi ke luar Kerajaan kepada kes dan kawalan yang ditetapkan, dan tidak menyerahkannya kepada budi bicara pembekal. Anda tidak perlu menjadi pakar undang-undang; anda perlu mengemukakan tiga soalan bertulis kepada mana-mana pembekal dan menyimpan jawapannya sebagai dokumentasi:

  • Di manakah perbualan pelanggan saya disimpan dan di manakah ia diproses? Adakah data keluar dari Kerajaan pada mana-mana peringkat?
  • Jika ia keluar, apakah asas dan kawalan yang anda gunakan untuk pemindahan itu?
  • Adakah anda menggunakan perbualan pelanggan saya untuk melatih model anda, atau untuk apa-apa tujuan anda sendiri?

Soalan ketiga ialah yang paling penting dari segi komersial dan paling jarang ditanya. Data pelanggan anda ialah milik anda, dan pembekal yang memegangnya untuk menyampaikan perkhidmatan tidak bermakna mendapat kebenaran untuk menggunakannya bagi tujuan lain. Nyatakan larangan itu dengan jelas dalam kontrak, bukannya dibiarkan tersirat mengikut konteks.

Hak pelanggan, dan di mana tanggungjawab anda berakhir dan tanggungjawab pembekal bermula

Undang-undang memberikan hak yang jelas kepada subjek data: dimaklumkan bahawa datanya sedang dikumpul dan mengapa, mengakses datanya dan memperoleh salinan, meminta pembetulan, dan meminta pemusnahannya apabila tujuannya tidak lagi terpakai. Ini bukan teks teori, tetapi permintaan yang suatu hari mungkin tiba dalam perbualan WhatsApp yang sama. Jadi pasukan anda perlu tahu apa yang perlu dilakukan apabila permintaan itu tiba, dan sistem anda memerlukan butang yang melaksanakannya, bukan proses manual yang memenatkan.

Tinggal satu perkara yang menyelesaikan kebanyakan pertikaian dengan pembekal: anda ialah pengawal, kerana anda yang menentukan tujuan dan cara pemprosesan, manakala pembekal pembantu AI ialah pemproses yang bertindak bagi pihak anda. Tanggungjawab undang-undang terhadap pelanggan anda kekal pada anda, walaupun kegagalan itu bersifat teknikal dan berpunca daripada pembekal anda. Oleh itu, tegaslah meminta kontrak bertulis yang menetapkan apa yang boleh dan tidak boleh mereka lakukan dengan data anda, mewajibkan mereka memaklumkan anda tanpa berlengah tentang sebarang pelanggaran, dan menentukan apa yang berlaku kepada data anda pada hari hubungan itu tamat: dipulangkan sepenuhnya, kemudian dimusnahkan di pihak mereka.

Pandangan Origami

Dalam Mahir, pembantu AI Origami untuk WhatsApp, pembantu berjalan pada nombor sedia ada syarikat anda, tanpa nombor baharu dan tanpa aplikasi tambahan dalam telefon bimbit pekerja, dan pemautan hanyalah imbasan QR sekali sahaja. Dengan itu perbualan pelanggan anda kekal dalam sistem syarikat, bukannya bertaburan di peranti peribadi yang pergi bersama pemiliknya. Latihan bermula dengan memberikannya pautan laman web anda untuk dibaca dan mengisi butiran anda, kemudian anda menambah perkhidmatan, harga dan soalan lazim dengan jawapan yang anda luluskan. Ia mempunyai dua peringkat untuk anda pilih: Malik untuk soalan langsung yang pantas dan berulang, dan Mahir untuk perbualan panjang, permintaan majmuk dan bantahan; anda boleh bertukar pada bila-bila masa tanpa memaut semula dan tanpa kehilangan latihan, dan percubaannya percuma. Bagi enam soalan dalam bahagian ini tentang lokasi penyimpanan, pemindahan ke luar Kerajaan dan penggunaan data untuk latihan: kemukakannya secara bertulis kepada mana-mana pembekal yang anda pertimbangkan, termasuk kami, dan masukkan jawapannya dalam kontrak.

Kesimpulan

Apa yang diperlukan daripada anda adalah lebih sedikit daripada apa yang menakutkan anda: asas sah yang jelas, notis yang ringkas dan mudah difahami, mengumpul minimum yang anda perlukan, tempoh penyimpanan bertulis diikuti pemadaman sebenar, akses terkawal dalam pasukan anda, jawapan berdokumen tentang di mana data berada, bagaimana ia bergerak dan bagaimana ia digunakan, serta kontrak bertulis dengan pembekal anda di mana setiap pihak tahu peranannya. Buatlah keputusan ini sebelum pelancaran; ia jauh lebih mudah daripada membetulkannya kemudian. Tinggal soalan terakhir pemilik perniagaan: apakah pulangan daripada semua ini, dan bagaimana melaksanakannya dalam satu minggu sahaja? Itulah bahagian ketujuh, dan penamat siri ini.

Sumber

  • Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA): Undang-Undang Perlindungan Data Peribadi dan Peraturan Pelaksanaannya: skop, asas sah pemprosesan, hak subjek data, dan kewajipan pengawal serta pemproses.
  • SDAIA: Peraturan Pemindahan Data Peribadi ke Luar Kerajaan dan kawalan berkaitan.
  • SDAIA: panduan dan alat pematuhan yang diterbitkan untuk pengawal di platform Pihak Berkuasa.
  • Wawasan Saudi 2030: ekonomi digital dan membina kepercayaan pengguna dalam transaksi digital.