GDPR কী? অ্যাপ বিল্ডারদের জন্য সহজ ভাষায় গাইড
GDPR (General Data Protection Regulation) হলো European Union-এর প্রধান ডেটা সুরক্ষা আইন। এটি প্রতিষ্ঠানগুলো ব্যক্তিগত ডেটা — কোনো শনাক্তযোগ্য জীবিত মানুষের যেকোনো তথ্য — কীভাবে সংগ্রহ, ব্যবহার, সংরক্ষণ ও শেয়ার করবে তার নিয়ম ঠিক করে, এবং মানুষদের তাদের নিজেদের ডেটার ওপর অধিকার দেয়, যেমন তা দেখার বা মুছে ফেলার অধিকার। ২৫ মে ২০১৮ থেকে এটি কার্যকর, এবং EU-র মানুষকে সেবা দিলে EU-র বাইরের ব্যবসাতেও এটি প্রযোজ্য হতে পারে।
আইনি পরামর্শ নয়। এই গাইড মৌলিক বিষয়গুলো বুঝতে এবং আরও ভালো প্রশ্ন করতে সাহায্য করার একটি সাধারণ ব্যাখ্যা। আপনার পরিস্থিতি সম্পর্কে পরামর্শের বিকল্প এটি নয়। বিস্তারিত অফিশিয়াল তথ্যের জন্য দেখুন European Commission-এর ডেটা সুরক্ষা পাতা ও European Data Protection Board-এর ছোট ব্যবসার জন্য গাইড।
AI দিয়ে অ্যাপ বানালে এটি কেন গুরুত্বপূর্ণ
AI বিল্ডাররা ডেটা সংগ্রহ সহজ করে দেয়। একটি প্রম্পটে একটি সাইন-আপ ফর্ম, একটি যোগাযোগ ফর্ম, অ্যানালিটিক্স, ফাইল আপলোড এবং প্রতিটি ব্যবহারকারীর তালিকাসহ একটি অ্যাডমিন ড্যাশবোর্ড পাওয়া যায়। এর প্রতিটিই ব্যক্তিগত ডেটা সংগ্রহ করে, এবং GDPR এর সবগুলো নিয়েই উদ্বিগ্ন।
ভালো খবর হলো, GDPR যা চায় তার বেশিরভাগই ভালো প্রোডাক্ট চর্চাও:
- যা সত্যিই দরকার শুধু তা সংগ্রহ করুন।
- মানুষকে জানান আপনি তা দিয়ে কী করেন।
- নিরাপদে রাখুন।
- আর প্রয়োজন না থাকলে মুছে ফেলুন।
- মানুষদের তাদের ডেটা দেখতে, সংশোধন বা সরিয়ে দিতে দিন।
লঞ্চের পরে জোড়াতালি দেওয়ার চেয়ে শুরু থেকেই এগুলো ডিজাইন করা অনেক সহজ। শুরুতেই AI বিল্ডারকে সঠিক প্রশ্ন করলে পরে বড় পুনর্নির্মাণ এড়ানো যায়।
একটি দৈনন্দিন উপমা
ব্যক্তিগত ডেটাকে মানুষ আপনার কাছে রেখে যাওয়া জিনিসপত্রের মতো ভাবুন — তথ্যের জন্য একটি কোট-চেকের মতো। GDPR সেই কোট-চেকের বাড়ির নিয়ম:
- যা মানুষ রেখে যেতে রাজি হয়েছে, এবং যার কারণ তারা বোঝে, শুধু সেটুকুই নিন।
- অন্য কাজে পকেট ঘাঁটবেন না।
- ঘরটি তালাবদ্ধ রাখুন।
- চাইলে বা আর দরকার না হলে জিনিস ফেরত দিন, নয়তো ফেলে দিন।
- কিছু চুরি গেলে সঠিক মানুষদের দ্রুত জানান।
আপনি জিনিসপত্রের দায়িত্বে থাকেন, এমনকি ঘরটি চালানোর জন্য অন্য কাউকে ভাড়া করলেও।
মূল ধারণাগুলো
ব্যক্তিগত ডেটা কী
European Commission ব্যক্তিগত ডেটাকে সংজ্ঞায়িত করে যেকোনো তথ্য, যা একজন শনাক্তযোগ্য বা শনাক্তকরণযোগ্য জীবিত মানুষের সাথে সম্পর্কিত। এটি বিস্তৃত: নাম, ইমেইল ঠিকানা, বাড়ির ঠিকানা, IP ঠিকানা, cookie ID ও ছবি। “pseudonymised” ডেটা — যেমন নামের বদলে কোড বসানো — তবুও ব্যক্তিগত ডেটা হতে পারে, যদি তা কোনো মানুষের সাথে আবার যুক্ত করা যায়।
কিছু ধরনের ডেটা বাড়তি সুরক্ষা পায়, যার মধ্যে আছে স্বাস্থ্য ডেটা, বায়োমেট্রিক ডেটা, জাতিগত বা নৃতাত্ত্বিক উৎস এবং রাজনৈতিক মতামত।
কাদের ওপর প্রযোজ্য
Commission-এর মতে, GDPR EU-তে প্রতিষ্ঠিত প্রতিষ্ঠানের ওপর প্রযোজ্য, এবং EU-র বাইরের সেসব প্রতিষ্ঠানের ওপরও যারা EU-র মানুষকে পণ্য বা সেবা দেয় (অর্থ দিয়ে বা বিনামূল্যে) বা তাদের আচরণ পর্যবেক্ষণ করে। ইউরোপীয় গ্রাহকসহ একটি US বা UAE স্টার্টআপ সম্ভবত এর আওতায় পড়তে পারে। যুক্তরাজ্যের নিজস্ব সংস্করণ আছে, UK GDPR, যা এর খুব কাছাকাছি ভিত্তিক।
মূলনীতি
GDPR কয়েকটি মূলনীতির ওপর গড়া। সহজ ভাষায়:
| মূলনীতি | আপনার অ্যাপের জন্য এর অর্থ |
|---|---|
| বৈধতা, ন্যায্যতা, স্বচ্ছতা | প্রক্রিয়াকরণের একটি বৈধ কারণ রাখুন, এবং মানুষদের স্পষ্টভাবে জানান আপনি কী করেন। |
| উদ্দেশ্যের সীমাবদ্ধতা | যে কারণে ডেটা সংগ্রহ করেছেন শুধু সেই কারণে ব্যবহার করুন, চমকে দেওয়া নতুন কারণে নয়। |
| ডেটা ন্যূনতমকরণ | যে ফিল্ড দরকার নেই তা সংগ্রহ করবেন না। |
| যথার্থতা | ডেটা সঠিক রাখুন এবং মানুষদের তা ঠিক করার সুযোগ দিন। |
| সংরক্ষণের সীমাবদ্ধতা | ডেটা চিরকাল রাখবেন না; দরকার না হলে মুছুন। |
| অখণ্ডতা ও গোপনীয়তা | ফাঁস ও অননুমোদিত প্রবেশ থেকে নিরাপদ রাখুন। |
| দায়বদ্ধতা | আপনি কীভাবে মেনে চলছেন তা দেখাতে পারতে হবে। |
বৈধ ভিত্তি
আপনার ব্যক্তিগত ডেটা ব্যবহারের প্রতিটি উপায়ের জন্য একটি আইনি কারণ — একটি “বৈধ ভিত্তি” — লাগে। GDPR ছয়টি তালিকা করে: সম্মতি, চুক্তি পালন, আইনি বাধ্যবাধকতা, জীবনরক্ষামূলক স্বার্থ, জনস্বার্থের কাজ, এবং বৈধ স্বার্থ। সম্মতি শুধু একটি। একটি অর্ডার পৌঁছে দিতে তা প্রক্রিয়া করা সাধারণত সম্মতির নয়, চুক্তির বিষয়। কোন ভিত্তি উপযুক্ত তা অফিশিয়াল নির্দেশিকার সাথে মিলিয়ে দেখা একটি বিচারের বিষয়।
মানুষদের অধিকার
Commission ব্যক্তিদের এই অধিকারগুলো তালিকা করে:
- তাদের ডেটা কীভাবে ব্যবহার হচ্ছে তা জানার অধিকার
- তাদের ডেটা অ্যাক্সেস করার অধিকার
- তা সংশোধন করার অধিকার
- তা মুছে ফেলার অধিকার
- প্রক্রিয়াকরণ সীমিত করার অধিকার
- ডেটা বহনযোগ্যতা (ব্যবহারযোগ্য ফরম্যাটে পাওয়ার অধিকার)
- আপত্তি জানানোর অধিকার
- স্বয়ংক্রিয় সিদ্ধান্ত ও প্রোফাইলিং-সংক্রান্ত অধিকার
ডেটা ফাঁস
ব্যক্তিগত ডেটা ফাঁস হলে এবং ফাঁসটি মানুষদের অধিকার ও স্বাধীনতাকে ঝুঁকিতে ফেলতে পারে, তবে প্রতিষ্ঠানকে সাধারণত অযথা বিলম্ব না করে তাদের ডেটা সুরক্ষা কর্তৃপক্ষকে জানাতে হয় — সম্ভব হলে জানার ৭২ ঘণ্টার মধ্যে। কিছু ক্ষেত্রে আক্রান্ত মানুষদেরও জানাতে হয়।
একটি বাস্তব উদাহরণ: একটি যোগ সিটুডিওর বুকিং অ্যাপ
ধরুন আপনি জার্মানিতে গ্রাহকদের জন্য একটি যোগ স্টুডিওর বুকিং অ্যাপ বানাচ্ছেন। এভাবে GDPR অ্যাপটিকে গড়ে।
কম সংগ্রহ করুন। সাইন-আপ ফর্ম নাম, ইমেইল ও ঐচ্ছিক ফোন নম্বর চায়। প্রথম খসড়ায় জন্মতারিখ ও বাড়ির ঠিকানাও চাওয়া হয়েছিল — অ্যাপের কিছুই সেগুলো ব্যবহার করে না, তাই সেগুলো সরানো হয়েছে।
স্বাস্থ্য ডেটায় যত্ন লাগে। স্টুডিও আঘাত সম্পর্কে জিজ্ঞেস করতে চায়। সেটি স্বাস্থ্য ডেটা, একটি বিশেষ শ্রেণি, যার কঠোর নিয়ম আছে। স্টুডিও ঠিক করে এটি সরাসরি সামলাবে, তাই অ্যাপে তা সংগ্রহ হয় না।
স্বচ্ছ থাকুন। একটি গোপনীয়তা নীতি ব্যাখ্যা করে কী সংগ্রহ হয়, কেন, কতদিন রাখা হয়, আর কে আরও প্রক্রিয়া করে (হোস্টিং প্রোভাইডার, ইমেইল সার্ভিস, পেমেন্ট প্রোভাইডার), এবং স্টুডিওর সাথে কীভাবে যোগাযোগ করতে হয়।
মার্কেটিং আলাদা। একটি ক্লাস বুক করলে কেউ নিউজলেটারে সাইন আপ হয়ে যায় না। সেখানে একটি আলাদা, না-টিক-দেওয়া চেকবক্স আছে।
অ্যাপের ভেতরেই অধিকার। গ্রাহকরা তাদের প্রোফাইল দেখতে ও সম্পাদনা করতে, বুকিং ইতিহাস ডাউনলোড করতে, এবং তাদের অ্যাকাউন্ট পেজ থেকে মুছে ফেলার অনুরোধ করতে পারেন।
ধারণ। নিষ্ক্রিয় অ্যাকাউন্ট একটি নির্দিষ্ট সময় পর চিহ্নিত হয় এবং গ্রাহক সাড়া না দিলে সরানো হয়। সময়কাল স্টুডিও ঠিক করে।
কুকি। লগইন কুকি প্রয়োজনীয়। অ্যানালিটিক্স শুধু দর্শক গ্রহণ করার পরে লোড হয়। দেখুন কুকি কী।
নিরাপত্তা। পাসওয়ার্ড হ্যাশ করা হয়, অ্যাডমিন এলাকায় দুই-ফ্যাক্টর প্রমাণীকরণ লাগে, এবং শুধু মালিক গ্রাহক তালিকা এক্সপোর্ট করতে পারে।
সাধারণ শব্দের ব্যাখ্যা
| শব্দ | অর্থ |
|---|---|
| ব্যক্তিগত ডেটা | কোনো শনাক্তযোগ্য জীবিত মানুষের যেকোনো তথ্য। |
| Processing (প্রক্রিয়াকরণ) | ব্যক্তিগত ডেটা নিয়ে যেকোনো কাজ: সংগ্রহ, সংরক্ষণ, ব্যবহার, শেয়ার, মোছা। |
| Data subject | যে মানুষের সম্পর্কে ডেটা। |
| Controller | যে প্রতিষ্ঠান ঠিক করে ডেটা কেন ও কীভাবে প্রক্রিয়া হবে — সাধারণত আপনি, অ্যাপের মালিক। |
| Processor | যে কোম্পানি controller-এর পক্ষে ডেটা প্রক্রিয়া করে, যেমন হোস্টিং বা ইমেইল প্রোভাইডার। |
| Data Processing Agreement (DPA) | controller ও processor-এর মধ্যে একটি চুক্তি, যাতে ডেটা কীভাবে সামলানো হবে তা লেখা থাকে। |
| Lawful basis (বৈধ ভিত্তি) | প্রক্রিয়াকরণের আইনি কারণ, যেমন সম্মতি বা চুক্তি। |
| Consent (সম্মতি) | একটি স্বেচ্ছায় দেওয়া, নির্দিষ্ট, অবহিত ও স্পষ্ট “হ্যাঁ”; আগে থেকে টিক দেওয়া বাক্স গণ্য হয় না। |
| Special category data | স্বাস্থ্য বা বায়োমেট্রিকের মতো সংবেদনশীল ডেটা, কঠোর নিয়মসহ। |
| Supervisory authority | একটি দেশের ডেটা সুরক্ষা নিয়ন্ত্রক। |
সাধারণ ভুল ও ভুল ধারণা
- “আমরা EU-তে নই, তাই এটি প্রযোজ্য নয়।” এটি আপনার ব্যবহারকারীরা কোথায় তার ভিত্তিতে প্রযোজ্য হতে পারে।
- “GDPR মানে সবকিছুর জন্য সম্মতি।” সম্মতি ছয়টি বৈধ ভিত্তির একটি, এবং প্রায়ই সেটিই সঠিক নয়।
- “কুকি ব্যানার থাকলেই আমরা সম্মত।” কুকি এর একটি ছোট অংশ মাত্র। ডেটা সংগ্রহ, নিরাপত্তা, অধিকার ও ধারণ আরও গুরুত্বপূর্ণ।
- “আমাদের হোস্ট GDPR-সম্মত, তাই আমরাও।” প্রদানকারীরা সাহায্য করে, কিন্তু আপনার অ্যাপ কী সংগ্রহ ও কী করে তা আপনি ঠিক করেন।
- “হয়তো কাজে লাগবে” ভেবে সংগ্রহ। প্রতিটি অতিরিক্ত ফিল্ড মানে আরও কিছু রক্ষা, ব্যাখ্যা ও মোছার দায়।
- অন্য সাইটের গোপনীয়তা নীতি কপি করা। এটি আপনার অ্যাপ আসলে কী করে তা বর্ণনা করতে হবে।
- মুছে ফেলা অসম্ভব করে রাখা। ডেভেলপার ছাড়া কেউ ব্যবহারকারীকে মুছতে না পারলে অধিকারের অনুরোধ জরুরি অবস্থায় পরিণত হয়।
আপনার AI বিল্ডারের কাছে কী চাইবেন
- “এই অ্যাপ যে ব্যক্তিগত ডেটা সংগ্রহ করে, কোথায় রাখে ও কেন দরকার, তার সম্পূর্ণ তালিকা দাও।”
- “আমরা ব্যবহার করি না এমন ফর্ম ফিল্ড সরাও।”
- “একটি অ্যাকাউন্ট পেজ যোগ করো, যেখানে ব্যবহারকারীরা তাদের ডেটা দেখতে, সম্পাদনা ও ডাউনলোড করতে এবং মুছতে অনুরোধ করতে পারে।”
- “একটি অ্যাডমিন কাজ যোগ করো, যা একজন ব্যবহারকারী ও তার সংশ্লিষ্ট রেকর্ড সম্পূর্ণ মুছে দেয়, অথবা যে রেকর্ড রাখতেই হবে সেগুলো নামহীন করে দেয়।”
- “মার্কেটিং সাইন-আপ আলাদা, না-টিক-দেওয়া চেকবক্স হিসেবে রাখো।”
- “সম্মতির আগে অ্যানালিটিক্স বা মার্কেটিং স্ক্রিপ্ট লোড করো না।”
- “এই অ্যাপে ব্যবহারকারীর ডেটা পায় এমন প্রতিটি তৃতীয় পক্ষের সার্ভিসের তালিকা দাও, যাতে গোপনীয়তা নীতিতে যোগ করতে পারি।”
- “অ্যাডমিন এক্সপোর্ট শুধু মালিক ভূমিকায় সীমিত করো, এবং কে কী এক্সপোর্ট করেছে তা লগ করো।”
তারপর পড়ুন টার্মস অফ সার্ভিস ও গোপনীয়তা নীতি কীভাবে লিখবেন এবং কুকি সম্মতি কীভাবে যোগ করবেন।
Mythex ও GDPR
Mythex আপনাকে বিল্ডিং ব্লক দেয়, কোনো সম্মতি সার্টিফিকেট নয়। আপনি সক্রিয় করলে আপনার অ্যাপের ডেটা নিজস্ব প্রজেক্ট ডেটাবেস ও ফাইল স্টোরেজে থাকে; আপনি কোড মালিক, এবং যদি স্থানান্তর দরকার হয় Pro-তে প্রজেক্ট এক্সপোর্ট করতে পারেন। আপনার অ্যাপ কী সংগ্রহ করে, কতদিন রাখে, এবং মানুষ কীভাবে তাদের অধিকার প্রয়োগ করে — এগুলো আপনার সিদ্ধান্ত, এবং এজেন্টকে বানাতে বলেন। Mythex কী হোস্ট করে তা ব্যাখ্যা করে ডেটার মালিকানা পাতাটি, এবং আপনার বানানো অ্যাপের নিরাপত্তা সেই সম্মতির দাবি করা থেকে সতর্ক করে যা আপনার নেই। ডেটা কোথায় হোস্ট হয় বা একটি ডেটা প্রসেসিং চুক্তির মতো নির্দিষ্ট বিষয়ে প্রয়োজন হলে, লঞ্চের আগে Mythex সাপোর্টকে জিজ্ঞেস করুন।
প্রশ্নোত্তর
সহজ ভাষায় GDPR কী?
General Data Protection Regulation (GDPR) হলো European Union-এর প্রধান ডেটা সুরক্ষা আইন। এটি প্রতিষ্ঠানগুলো মানুষের তথ্য কীভাবে সংগ্রহ, ব্যবহার, সংরক্ষণ ও শেয়ার করবে তার নিয়ম ঠিক করে এবং সেই মানুষদের তাদের ডেটার ওপর অধিকার দেয়। ২৫ মে ২০১৮ থেকে এটি কার্যকর।
GDPR কি EU-র বাইরের ব্যবসার ওপরও প্রযোজ্য?
হতে পারে। European Commission-এর মতে, এটি EU-র বাইরের সেসব প্রতিষ্ঠানের ওপর প্রযোজ্য যারা EU-র মানুষকে পণ্য বা সেবা দেয় — এমনকি বিনামূল্যে হলেও — বা তাদের আচরণ পর্যবেক্ষণ করে। আপনার অবস্থান একমাত্র প্রশ্ন নয়; আপনার ব্যবহারকারী কারা, সেটিও গুরুত্বপূর্ণ।
একটি ইমেইল ঠিকানা কি ব্যক্তিগত ডেটা?
হ্যাঁ। ব্যক্তিগত ডেটা হলো যেকোনো তথ্য, যা একজন শনাক্তযোগ্য বা শনাক্তকরণযোগ্য জীবিত মানুষের সাথে সম্পর্কিত। নাম, ইমেইল ঠিকানা, IP ঠিকানা ও cookie ID — এসবই গণ্য হতে পারে।
GDPR-সম্মত একটি হোস্ট ব্যবহার করলেই কি আমার অ্যাপ সম্মত হয়ে যায়?
না। একটি হোস্ট সম্মতিতে সাহায্য করতে পারে, কিন্তু আপনার অ্যাপ কোন ডেটা সংগ্রহ করে, কেন, কতদিন রাখে এবং কে দেখে তা আপনিই ঠিক করেন। সেই সিদ্ধান্তগুলো সঠিকভাবে নেওয়া আপনার দায়িত্ব।
এই গাইড কি আইনি পরামর্শ?
না। এটি আপনাকে ভালো প্রশ্ন করতে সাহায্য করার একটি সাধারণ ব্যাখ্যা। আপনার নির্দিষ্ট পরিস্থিতির জন্য EU বা আপনার জাতীয় ডেটা সুরক্ষা কর্তৃপক্ষের অফিশিয়াল নির্দেশিকা দেখুন, অথবা একজন যোগ্য উপদেষ্টার সাথে কথা বলুন।