گاہکوں سے آپ کی بات چیت اور ذاتی ڈیٹا کے تحفظ کا قانون: اصل میں کیا ضروری ہے

پانچویں حصے میں ہم نے یہ لکیر کھینچی کہ اسسٹنٹ کن باتوں کا جواب دیتا ہے اور ملازم کیا سنبھالتا ہے، اور ایسا ہینڈ آف لازمی قرار دیا جو پوری بات چیت ساتھ لے جائے۔ اب تک ہم نے جو کچھ بنایا ہے وہ ایک ہی چیز پر کھڑا ہے: گاہکوں سے آپ کی بات چیت کا ریکارڈ۔ اور یہ ریکارڈ کوئی آپریشنل فائل نہیں، بلکہ قانون کے دائرے میں آنے والا ذاتی ڈیٹا ہے۔

یہ حصہ نہ ڈرانے کے لیے ہے اور نہ قانونی دفعات پڑھ کر سنانے کے لیے۔ کسی چھوٹے یا درمیانے کاروبار کو جن چیزوں کی ضرورت ہے، ان میں سے زیادہ تر چند سادہ انتظامی فیصلوں پر آ کر رکتی ہیں، جو لانچ سے پہلے ایک بار لیے جاتے ہیں اور جن کی قیمت کسی مشیر کی نہیں بلکہ ایک گھنٹے کی میٹنگ کی ہوتی ہے۔ لانچ کے بعد یہی فیصلے لینا کئی گنا مہنگا پڑتا ہے۔

WhatsApp کی بات چیت ذاتی ڈیٹا ہے، اور اس کی ذمہ داری آپ پر ہے

مملکت کا ذاتی ڈیٹا کے تحفظ کا قانون (PDPL) 14 ستمبر 2023 سے نافذ ہے، تعمیل کی رعایتی مدت 14 ستمبر 2024 کو ختم ہو گئی، اور سعودی ڈیٹا اور مصنوعی ذہانت اتھارٹی (SDAIA) اس کی نگران اتھارٹی ہے۔ اس کا دائرہ بہت سے کاروباری مالکان کے اندازے سے زیادہ وسیع ہے: یہ مملکت کے اندر موجود افراد کے ڈیٹا کی کسی بھی ذریعے سے ہونے والی ہر پروسیسنگ کا احاطہ کرتا ہے، اور ان اداروں تک بھی پھیلتا ہے جو مملکت سے باہر رہ کر مملکت کے اندر کے لوگوں کا ڈیٹا پروسیس کرتے ہیں۔

جب کوئی گاہک انسٹالیشن کا وقت بک کرنے کے لیے اپنا نام، نمبر اور گھر کا پتہ بھیجتی ہے تو قانون کی نظر میں یہ ذاتی ڈیٹا ہے، کوئی سرسری گپ شپ نہیں۔ اور زیادہ تر لوگ یہ نظر انداز کر دیتے ہیں کہ ایک بات چیت میں اصل میں کتنا کچھ ہوتا ہے: نام اور نمبر، شناختی کارڈ یا اقامہ کی تصویریں جو گاہک بغیر مانگے بھیج دیتے ہیں، گھر کے پتے، دستاویزات اور انوائسز کی تصویریں، اور کبھی کبھی کسی شکایت میں ضمناً بتائی گئی صحت یا مالی معلومات۔ AI اسسٹنٹ یہ ڈیٹا پیدا نہیں کرتا، لیکن اسے کسی ملازم کے فون میں گم ہونے کے بجائے محفوظ، انڈیکس شدہ اور قابلِ تلاش بنا دیتا ہے۔ یہ بذاتِ خود ایک آپریشنل بہتری ہے، اور اس سے آپ کی ذمہ داری بھی بڑھتی ہے۔

قانونی بنیاد اور گاہک کو اطلاع

آپ کسی جائز وجہ کے بغیر ذاتی ڈیٹا پروسیس نہیں کرتے۔ زیادہ تر کمپنیوں کے لیے بنیاد سیدھی ہے: گاہک نے خود کوئی سروس مانگتے ہوئے بات چیت شروع کی، اور اس نے جو مانگا وہ فراہم کرنے کے لیے اس کا ڈیٹا پروسیس کرنا ضروری ہے۔ اس کے سوال کا جواب دینے اور اس کا آرڈر تیار کرنے کے لیے یہ مضبوط بنیاد ہے۔ یہ خود بخود کسی ایسی چیز تک نہیں پھیلتی جو اس نے مانگی ہی نہیں۔

عملی فرق پر رک کر سوچنا ضروری ہے۔ گاہک کے سوال کا جواب دینا ایک بات ہے؛ ایک مہینے بعد اس کا نمبر کسی بلک مارکیٹنگ براڈکاسٹ میں شامل کر دینا بالکل دوسری بات ہے۔ پہلا وہ فراہم کرتا ہے جو اس نے مانگا؛ دوسرا ایک نیا مقصد ہے جس کے لیے اس کی واضح رضامندی چاہیے۔ مارکیٹ میں ہمیں سب سے زیادہ یہی خلاف ورزی نظر آتی ہے، بالکل اسی لیے کہ یہ مفت اور بے ضرر لگتی ہے۔

جہاں تک اطلاع کا تعلق ہے، آپ کے خیال سے کم درکار ہے: بات چیت کے شروع میں ایک مختصر سطر، یا آپ کی ویب سائٹ پر ایک پرائیویسی پالیسی جس کا لنک اسسٹنٹ دے، جس میں بتایا گیا ہو کہ آپ کون ہیں، ڈیٹا کیوں جمع کرتے ہیں، کتنی دیر رکھتے ہیں، کس کے ساتھ شیئر کرتے ہیں، اور گاہک اپنے حقوق کیسے استعمال کرے۔ اسے معاہدے کی زبان میں نہیں، اس زبان میں لکھیں جو آپ کا گاہک سمجھتا ہے۔

کم سے کم جمع کریں، اور جس کا مقصد پورا ہو چکا ہو اسے حذف کریں

پورے قانون میں لاگو کرنے کے لحاظ سے سب سے آسان اصول: جو ڈیٹا آپ نے کبھی جمع ہی نہیں کیا، وہ نہ آپ کے پاس سے لیک ہو سکتا ہے اور نہ آپ سے طلب کیا جا سکتا ہے۔ کنٹرول وہیں سے شروع ہوتا ہے، اسسٹنٹ کے اپنے سوالوں کے الفاظ سے۔

• صرف وہی پوچھیں جو سروس کے لیے ضروری ہے۔ اگر بکنگ کے لیے نام، نمبر اور محلہ کافی ہے تو اسسٹنٹ سے شناختی نمبر یا تاریخِ پیدائش صرف اس لیے نہ پوچھوائیں کہ آپ کے پرانے کاغذی فارم میں وہ خانہ موجود ہے۔
• چیٹ میں حساس دستاویزات کو روکیں۔ شناختی کارڈ کی تصویریں اور بینک کارڈ WhatsApp پر نہیں مانگے جاتے۔ انہیں اس انکار کی فہرست میں ڈالیں جو ہم نے چوتھے حصے میں بنائی تھی، اور اگر واقعی ضرورت ہو تو گاہک کو کسی مناسب چینل پر لے جائیں۔
• تحریری طور پر ریٹینشن کی مدت طے کریں۔ ہر قسم کے لیے ایک مدت چنیں: پوچھ گچھ کی وہ بات چیت جو کبھی آرڈر نہیں بنی، اور مکمل ہو چکے وہ آرڈر جن کا ریکارڈ آپ کو حساب کتاب اور ریگولیٹری وجوہات سے رکھنا ہوتا ہے۔ اہم بات یہ ہے کہ مدت لکھی ہوئی ہو اور اس پر عمل ہو، ہمیشہ کے لیے کھلی نہ چھوڑی جائے۔
• حذف کرنے کو ارادہ نہیں، طریقۂ کار بنائیں۔ جس ریٹینشن مدت کے پیچھے کوئی نظام نہ ہو، وہ کسی اور نام سے مستقل آرکائیو ہے۔ اپنے وینڈر سے پوچھیں کہ آپ ایک بات چیت یا پورے گاہک کو کیسے حذف کرتے ہیں، اور وہ ان کے بیک اپ سے اصل میں کب غائب ہوتا ہے۔

آپ کی ٹیم میں کون بات چیت دیکھ سکتا ہے؟

آپ کے گاہکوں کے ڈیٹا کے لیے سب سے بڑا عملی خطرہ کوئی بیرونی نقب نہیں، بلکہ بلا روک ٹوک اندرونی رسائی ہے۔ جب بات چیت کسی ملازم کے ذاتی فون میں رہتی ہے تو جس دن وہ استعفیٰ دیتا ہے، بات چیت بھی اس کے ساتھ کمپنی سے نکل جاتی ہے، اور آپ کے پاس نہ کوئی کاپی رہتی ہے نہ کوئی کنٹرول۔ بات چیت کو ایک مرکزی سسٹم میں منتقل کرنا یہ مسئلہ حل کر دیتا ہے، بشرطیکہ آپ یہ کنٹرول کریں کہ کون کیا دیکھتا ہے۔

تین انتظامی فیصلے کافی ہیں: ہر ملازم سب کچھ نہیں بلکہ وہی بات چیت دیکھے جو اسے سونپی گئی ہو یا اس کے کام سے متعلق ہو؛ ہر صارف کا اپنے نام کا اکاؤنٹ ہو، نہ کہ ٹیم میں ہاتھوں ہاتھ گھومنے والا مشترکہ لاگ اِن، تاکہ آپ کو معلوم ہو کس نے کیا دیکھا؛ اور ملازمت کا تعلق ختم ہونے کے اسی دن رسائی واپس لے لی جائے، ہفتوں بعد نہیں۔ اپنے ملازمت کے معاہدوں اور طریقۂ کار میں ایک شق شامل کریں جو گاہکوں کا ڈیٹا ایکسپورٹ کرنے یا سسٹم سے باہر لے جانے پر پابندی لگائے۔

جب بات چیت مملکت سے باہر جاتی ہے

یہ وہ حصہ ہے جسے کاروباری مالکان مکمل طور پر نظر انداز کر دیتے ہیں، کیونکہ یہ دکھائی نہیں دیتا۔ AI اسسٹنٹ ایک لینگویج ماڈل پر چلتا ہے، اور وہ ماڈل مملکت سے باہر ہوسٹ ہو سکتا ہے، یعنی جواب تیار کرنے کے لیے آپ کے گاہک کی بات چیت کا متن سرحد پار جا سکتا ہے۔

قانون ذاتی ڈیٹا کی مملکت سے باہر منتقلی کو طے شدہ صورتوں اور کنٹرولز تک محدود کرتا ہے، اور اسے وینڈر کی صوابدید پر نہیں چھوڑتا۔ آپ کو قانونی ماہر ہونے کی ضرورت نہیں؛ آپ کو ہر وینڈر سے تین تحریری سوال پوچھنے ہیں اور جواب دستاویزی شکل میں رکھنے ہیں:

• میرے گاہکوں کی بات چیت کہاں محفوظ ہوتی ہے اور کہاں پروسیس ہوتی ہے؟ کیا کسی بھی مرحلے پر ڈیٹا مملکت سے باہر جاتا ہے؟
• اگر باہر جاتا ہے تو منتقلی کے لیے آپ کس بنیاد اور کن کنٹرولز پر انحصار کرتے ہیں؟
• کیا آپ میرے گاہکوں کی بات چیت اپنے ماڈلز کی تربیت کے لیے، یا اپنے کسی مقصد کے لیے استعمال کرتے ہیں؟

تیسرا سوال کاروباری لحاظ سے سب سے اہم ہے اور سب سے کم پوچھا جاتا ہے۔ آپ کے گاہکوں کا ڈیٹا آپ کا ہے، اور کسی وینڈر کے پاس سروس دینے کے لیے اس کا ہونا اسے کسی دوسرے مقصد کے لیے استعمال کرنے کی اجازت نہیں۔ اس پابندی کو سیاق و سباق پر چھوڑنے کے بجائے معاہدے میں صاف لکھوائیں۔

گاہک کے حقوق، اور آپ کی ذمہ داری کہاں ختم ہوتی ہے اور وینڈر کی کہاں سے شروع ہوتی ہے

قانون ڈیٹا کے مالک فرد کو واضح حقوق دیتا ہے: یہ جاننے کا کہ اس کا ڈیٹا جمع کیا جا رہا ہے اور کیوں، اس تک رسائی اور اس کی کاپی حاصل کرنے کا، اس کی درستی کا مطالبہ کرنے کا، اور مقصد باقی نہ رہنے پر اس کی تلفی کا مطالبہ کرنے کا۔ یہ کتابی باتیں نہیں، بلکہ ایسی درخواستیں ہیں جو کسی دن اسی WhatsApp بات چیت میں آ سکتی ہیں۔ اس لیے آپ کی ٹیم کو معلوم ہونا چاہیے کہ ایسی درخواست آنے پر کیا کرنا ہے، اور آپ کے سسٹم میں ایک بٹن ہونا چاہیے جو اسے پورا کرے، نہ کہ کوئی تھکا دینے والا دستی عمل۔

اب وہ نکتہ باقی ہے جو وینڈرز کے ساتھ زیادہ تر بحثیں ختم کر دیتا ہے: آپ کنٹرولر ہیں، کیونکہ پروسیسنگ کا مقصد اور طریقہ آپ طے کرتے ہیں، اور AI اسسٹنٹ کا وینڈر آپ کی طرف سے کام کرنے والا پروسیسر ہے۔ خرابی تکنیکی ہو اور وینڈر کی طرف ہو، تب بھی آپ کے گاہک کے سامنے قانونی ذمہ داری آپ ہی کی رہتی ہے۔ اس لیے ایک تحریری معاہدے پر اصرار کریں جو طے کرے کہ وہ آپ کے ڈیٹا کے ساتھ کیا کر سکتا ہے اور کیا نہیں، اسے کسی بھی خلاف ورزی کی اطلاع آپ کو بلا تاخیر دینے کا پابند کرے، اور یہ طے کرے کہ تعلق ختم ہونے کے دن آپ کے ڈیٹا کا کیا ہوگا: مکمل طور پر واپس، پھر اس کی طرف سے تلف۔

Origami کا نقطۂ نظر

Origami کے WhatsApp کے لیے AI اسسٹنٹ Mahir میں اسسٹنٹ آپ کی کمپنی کے پہلے سے موجود نمبر پر چلتا ہے، نہ کوئی نیا نمبر اور نہ ملازم کے فون پر کوئی اضافی ایپ، اور جوڑنا صرف ایک بار کا QR اسکین ہے۔ اس طرح آپ کے گاہکوں کی بات چیت کمپنی کے سسٹم میں رہتی ہے، نہ کہ ان ذاتی آلات میں بکھری ہوئی جو اپنے مالکوں کے ساتھ چلے جاتے ہیں۔ تربیت اس سے شروع ہوتی ہے کہ آپ اسے اپنی ویب سائٹ کا لنک دیتے ہیں تاکہ وہ اسے پڑھ کر آپ کی تفصیلات بھر دے؛ پھر آپ سروسز، قیمتیں اور اکثر پوچھے جانے والے سوال ایسے جوابات کے ساتھ شامل کرتے ہیں جن کی آپ منظوری دیتے ہیں۔ اس کے دو درجے ہیں جن میں سے آپ انتخاب کرتے ہیں: تیز، بار بار آنے والے سیدھے سوالوں کے لیے Malik، اور لمبی بات چیت، ملی جلی درخواستوں اور اعتراضات کے لیے Mahir؛ آپ کسی بھی وقت بدل سکتے ہیں، نہ دوبارہ جوڑنا پڑتا ہے نہ تربیت ضائع ہوتی ہے، اور ٹرائل مفت ہے۔ جہاں تک اس حصے کے ان چھ سوالوں کا تعلق ہے جو ذخیرہ کرنے کی جگہ، مملکت سے باہر منتقلی اور تربیت کے لیے ڈیٹا کے استعمال کے بارے میں ہیں: انہیں ہر اس وینڈر سے تحریری طور پر پوچھیں جس پر آپ غور کر رہے ہیں، ہم بھی شامل ہیں، اور جواب معاہدے میں درج کریں۔

خلاصہ

آپ سے جو تقاضا ہے وہ اس سے کم ہے جس سے آپ ڈرتے ہیں: ایک واضح قانونی بنیاد، ایک مختصر اور سمجھ میں آنے والی اطلاع، ضرورت کے مطابق کم سے کم جمع کرنا، ایک تحریری ریٹینشن مدت اور اس کے بعد حقیقی حذف، ٹیم کے اندر کنٹرول شدہ رسائی، اس بارے میں دستاویزی جوابات کہ ڈیٹا کہاں رہتا ہے، کیسے منتقل ہوتا ہے اور کیسے استعمال ہوتا ہے، اور اپنے وینڈر کے ساتھ ایک تحریری معاہدہ جس میں ہر فریق اپنا کردار جانتا ہو۔ یہ فیصلے لانچ سے پہلے لیں؛ بعد میں درست کرنے سے یہ کہیں آسان ہیں۔ اب کاروباری مالک کا آخری سوال باقی ہے: اس سب سے کیا حاصل ہوتا ہے، اور اسے ایک ہی ہفتے میں کیسے نافذ کیا جائے؟ یہی ساتواں حصہ ہے، اور سیریز کا اختتام۔

ذرائع

• سعودی ڈیٹا اور مصنوعی ذہانت اتھارٹی (SDAIA): ذاتی ڈیٹا کے تحفظ کا قانون اور اس کے نفاذ کے ضوابط: دائرہ کار، پروسیسنگ کی قانونی بنیاد، ڈیٹا کے مالک فرد کے حقوق، اور کنٹرولرز اور پروسیسرز کی ذمہ داریاں۔
• SDAIA: ذاتی ڈیٹا کی مملکت سے باہر منتقلی کے ضوابط اور ان سے متعلق کنٹرولز۔
• SDAIA: اتھارٹی کے پلیٹ فارمز پر کنٹرولرز کے لیے شائع کی گئی تعمیل کی رہنمائی اور ٹولز۔
• سعودی ویژن 2030: ڈیجیٹل معیشت اور ڈیجیٹل لین دین میں صارفین کا اعتماد قائم کرنا۔