Што е GDPR? Водич со едноставни зборови за градители на апликации

GDPR (Општата регулатива за заштита на податоците) е главниот закон на Европската унија за заштита на податоците. Таа поставува правила за тоа како организациите собираат, користат, чуваат и споделуваат лични податоци — секоја информација за идентификувано живо лице — и им дава права на луѓето над нивните сопствени податоци, како да ги видат или да ги избришат. Се применува од 25 мај 2018 година, и може да се применува на бизниси надвор од ЕУ ако служат луѓе во неа.

Не е правен совет. Овој водич е општо објаснување за да ги разберете основите и да поставувате подобри прашања. Не е замена за совет за вашата ситуација. За авторитативни детали, видете ги страниците за заштита на податоците на Европската комисија и водичот на Европскиот одбор за заштита на податоците за мали бизниси.

Зошто е важно кога градите со AI

AI алатките многу лесно собираат податоци. Една порака ви дава форма за регистрација, форма за контакт, аналитика, прикачување датотеки и административен панел што ги наведува сите корисници. Секоја од нив собира лични податоци, а GDPR се грижи за сите.

Добрата вест е дека најголемиот дел од она што го бара GDPR е исто така добра практика за производот:

• Собирајте само она што навистина ви треба.
• Кажете им на луѓето што правите со нив.
• Чувајте ги безбедно.
• Избришете ги кога не ви се потребни.
• Дозволете луѓето да ги видат, поправат или отстранат своите податоци.

Овие работи се многу полесни да се вградат од почеток отколку да се залепат по лансирањето. Ако рано ѝ ги поставите вистинските прашања на AI алатката, ќе си заштедите болна преправка подоцна.

Секојдневна аналогија

Замислете ги личните податоци како работи што луѓето ви ги оставаат — како гардероба, но за информации. GDPR се правилата на куќата за гардеробата:

• Земајте само она што лицето се согласило да го остави, за причина што ја разбира.
• Не ровете по џебовите за други намени.
• Држете ја просторијата заклучена.
• Вратете ги работите, или фрлете ги, кога ќе ве замолат или кога не ви се потребни повеќе.
• Ако нешто се украде, кажете им на вистинските луѓе брзо.

Вие сте одговорни за палтата додека се кај вас, дури и ако сте ангажирале некој друг да ја води просторијата.

Основните идеи

Што се смета за лични податоци

Европската комисија дефинира лични податоци како секоја информација што се однесува на идентификувано или лице што може да се идентификува. Тоа е широко. Вклучува имиња, е-поштенски адреси, домашни адреси, IP адреси, идентификатори на колачиња и фотографии. Податоците што се „псевдонимизирани“ — на пример имињата заменети со шифри — сè уште можат да бидат лични ако можат да се поврзат со некого.

Некои категории добиваат дополнителна заштита, вклучително здравствени податоци, биометриски податоци, расно или етничко потекло и политички ставови.

На кого се применува

Според Комисијата, GDPR се применува на организации основани во ЕУ и на организации надвор од ЕУ што нудат стоки или услуги на луѓе во ЕУ (платени или бесплатни) или ги следат нивните однесувања. Стартап од САД или ОАЕ со европски клиенти може многу веројатно да е опфатен. Велика Британија има своја верзија, UK GDPR, која е тесно базирана на неа.

Принципите

GDPR е изграден врз кратка листа на принципи. Со едноставни зборови:

Правни основи

За секој начин на кој ги користите личните податоци ви треба правна причина — „правна основа“. GDPR наведува шест: согласност, извршување на договор, правна обврска, виталниот интерес, јавна задача и легитимен интерес. Согласноста е само една од нив. Обработката на нарачка за да се испорача, на пример, обично се врзува за договорот, не за согласноста. Која основа одговара е проценка што треба да се провери според официјалните насоки.

Правата на луѓето

Комисијата ги наведува овие права за поединците:

• Да бидат информирани за тоа како се користат нивните податоци
• Да пристапат до своите податоци
• Да се поправат
• Да се избришат
• Да се ограничи обработката
• Преносливост на податоците (да ги добијат во употреблив формат)
• Да приговорат
• Права поврзани со автоматско одлучување и профилирање

Прекршувања на безбедноста на податоците

Ако лични податоци се појават и прекршувањето веројатно ќе ги загрози правата и слободите на луѓето, организацијата генерално мора да го извести својот орган за заштита на податоците без непотребно одлагање и, каде што е изводливо, во рок од 72 часа откако ќе дознае за него. Во некои случаи, и засегнатите луѓе мора да бидат известени.

Работен пример: апликација за резервации во студио за јога

Замислете дека градите апликација за резервации за студио за јога со клиенти во Германија. Еве како GDPR ја обликува.

Собирајте помалку. Формата за регистрација бара име, е-пошта и изборен телефонски број. Првичниот нацрт бараше и датум на раѓање и домашна адреса — ништо во апликацијата не ги користи, па се отстрануваат.

Здравствените податоци бараат внимание. Студиото сака да прашува за повреди. Тоа се здравствени податоци, посебна категорија со построги правила. Студиото одлучува да го решава лично, така што апликацијата не го собира тоа.

Бидете транспарентни. Политиката за приватност објаснува што се собира, зошто, колку долго се чува, кој уште ги обработува (провајдерот за хостинг, услугата за е-пошта, провајдерот за плаќања) и како да се контактира студиото.

Маркетингот е одвоен. Резервирањето час не пријавува никого за билтенот. Има посебно, неозначено поле за тоа.

Права во производот. Клиентите можат да го видат и уредат својот профил, да ја преземат историјата на резервации и да побараат бришење од страницата со сметката.

Чување. Неактивните сметки се означуваат по одреден период и се отстрануваат ако клиентот не одговори. Студиото го избира периодот.

Колачиња. Колачето за најава е неопходно. Аналитиката се вчитува само откако посетителот ќе се согласи. Видете што се колачиња.

Безбедност. Лозинките се хешираат, административната област бара двофакторска автентикација, а само сопственикот може да извезува листи на клиенти.

Објаснети поими

Чести грешки и заблуди

• „Ние не сме во ЕУ, па не се применува.“ Може да се применува врз основа на тоа каде се вашите корисници.
• „GDPR значи согласност за сè.“ Согласноста е една од шест правни основи, а често не е вистинската.
• „Банерот за колачиња нè прави усогласени.“ Колачињата се мал дел. Собирањето податоци, безбедноста, правата и чувањето се поважни.
• „Нашиот хост е усогласен со GDPR, значи и ние сме.“ Провајдерите помагаат, но вие одлучувате што собира апликацијата и што прави со тоа.
• Собирање „за секој случај“. Секое дополнително поле е нешто повеќе за заштита, објаснување и бришење.
• Копирање на туѓа политика за приватност. Таа мора да опишува што вашата апликација навистина прави.
• Бришењето да е невозможно. Ако никој не може да избрише корисник без програмер, барањата за права стануваат итни случаи.

Што да побарате од вашата AI алатка

• „Наведи ги сите лични податоци што ги собира апликацијата, каде се чуваат и зошто се потребни.“
• „Отстрани ги полињата од формите што не ги користиме.“
• „Додај страница со сметка каде корисниците можат да ги видат, уредат и преземат своите податоци и да побараат бришење.“
• „Изгради административна акција што целосно го брише корисник и неговите поврзани записи, или ги анонимизира записите што мора да ги чуваме.“
• „Задржи ја маркетинг-регистрацијата како посебно, неозначено поле.“
• „Не вчитувај аналитички или маркетинг скрипти пред согласност.“
• „Наведи ги сите надворешни услуги што добиваат кориснички податоци, за да ги додадам во политиката за приватност.“
• „Ограничи ги административните извози на улогата сопственик и евидентирај кој што извезол.“

Потоа прочитајте како да напишете услови за користење и политика за приватност и како да додадете согласност за колачиња.

GDPR и Mythex

Mythex ви дава градбени блокови, а не сертификат за усогласеност. Податоците на вашата апликација живеат во сопствената проектна база и складиште за датотеки кога ќе ги овозможите, вие ја поседувате кодот, а на Pro можете да го извезете проектот ако треба да го префрлите. Што собира вашата апликација, колку долго го чува и како луѓето ги остваруваат своите права се одлуки што вие ги донесувате — и ги бараете од агентот да ги изгради. Страницата во документацијата за сопственост на податоците објаснува што хостира Mythex, а безбедноста за апликациите што ги градите предупредува против тврдење дека имате усогласеност што ја немате. Ако ви требаат конкретни работи, како каде се хостираат податоците или договор за обработка на податоци, прашајте ја поддршката на Mythex пред да лансирате.

Прашања