GDPR म्हणजे काय? ॲप बिल्डर्ससाठी सोपे मार्गदर्शक

GDPR (General Data Protection Regulation) हा युरोपियन युनियनचा मुख्य डेटा संरक्षण कायदा आहे. वैयक्तिक डेटा — ओळखल्या जाणाऱ्या जिवंत व्यक्तीविषयीची कोणतीही माहिती — संस्थांनी कशी गोळा, वापरावी, साठवावी आणि शेअर करावी यासाठी तो नियम घालतो, आणि लोकांना त्यांच्या स्वतःच्या डेटावर हक्क देतो, जसे तो पाहणे किंवा हटवणे. 25 मे 2018 पासून तो लागू आहे, आणि EU मधील लोकांना सेवा देत असल्यास EU बाहेरील व्यवसायांनाही तो लागू होऊ शकतो.

कायदेशीर सल्ला नाही. हे मार्गदर्शक मूलभूत गोष्टी समजून घेण्यास आणि चांगले प्रश्न विचारण्यास मदत करण्यासाठी सामान्य स्पष्टीकरण आहे. तुमच्या परिस्थितीबद्दलच्या सल्ल्याला पर्याय नाही. अधिकृत तपशिलांसाठी युरोपियन आयोगाची डेटा संरक्षण पाने आणि युरोपियन डेटा संरक्षण मंडळाचे लहान व्यवसायांसाठी मार्गदर्शक पहा.

AI सह बनवताना हे का महत्त्वाचे आहे

AI बिल्डर्समुळे डेटा गोळा करणे सोपे झाले आहे. एका prompt मधून तुम्हाला sign-up फॉर्म, contact फॉर्म, analytics, फाइल uploads आणि प्रत्येक वापरकर्ता दाखवणारा admin dashboard मिळू शकतो. त्यातील प्रत्येक वैयक्तिक डेटा गोळा करतो, आणि GDPR त्या सर्वांची काळजी घेते.

चांगली बातमी अशी की GDPR जे मागते त्यातील बहुतेक गोष्टी चांगल्या उत्पादन पद्धतींच्याही आहेत:

गरजेचाच डेटा गोळा करा.
लोकांना तुम्ही त्याचे काय करता ते सांगा.
तो सुरक्षित ठेवा.
ज्या क्षणी गरज नाही तो हटवा.
लोकांना त्यांचा डेटा पाहू, दुरुस्त करू किंवा काढू द्या.

ही गोष्ट सुरुवातीपासूनच डिझाइनमध्ये आणणे लॉन्चनंतर वरून चिकटवण्यापेक्षा खूप सोपे आहे. सुरुवातीलाच AI बिल्डरला योग्य प्रश्न विचारल्यास नंतर वेदनादायक पुनर्बांधणी टळते.

दैनंदिन उदाहरण

वैयक्तिक डेटाकडे लोकांनी तुमच्याकडे सोडलेल्या वस्तू म्हणून पहा — जसे कोट चेक, पण माहितीसाठी. GDPR म्हणजे त्या कोट चेकचे घरचे नियम:

लोकांनी सोडण्यास मान्य केलेलेच घ्या, एका समजण्याजोग्या कारणासाठी.
इतर कामांसाठी खिसे चाळू नका.
खोली बंद ठेवा.
विनंती केल्यावर किंवा गरज संपल्यावर वस्तू परत करा किंवा फेकून द्या.
काही चोरीला गेल्यास योग्य लोकांना त्वरित कळवा.

तुम्ही तिथे ठेवलेल्या कोट्यांसाठी जबाबदार आहात, खोली चालवायला तुम्ही दुसरा माणूस नेमला असला तरीही.

मुख्य संकल्पना

वैयक्तिक डेटा म्हणजे काय

युरोपियन आयोग वैयक्तिक डेटाची व्याख्या करते: ओळखल्या गेलेल्या किंवा ओळखता येणाऱ्या जिवंत व्यक्तीशी संबंधित कोणतीही माहिती. ती विस्तृत आहे. त्यात नावे, email पत्ते, घरचे पत्ते, IP पत्ते, cookie IDs आणि फोटो येतात. "Pseudonymised" केलेला डेटा — उदाहरणार्थ नावांच्या जागी कोड — तरीही वैयक्तिक डेटा असू शकतो, जर तो कोणा व्यक्तीशी जोडता येत असेल.

काही प्रकारांना अतिरिक्त संरक्षण मिळते, ज्यात आरोग्य डेटा, biometric डेटा, वांशिक किंवा वांशिक मूळ, आणि राजकीय मते यांचा समावेश होतो.

तो कोणाला लागू होतो

आयोगाच्या म्हणण्यानुसार, GDPR EU मध्ये स्थापित संस्थांना लागू होतो, आणि EU बाहेरील त्या संस्थांनाही जे EU मधील लोकांना वस्तू किंवा सेवा देतात (पैसे देऊन किंवा मोफत) किंवा त्यांच्या वर्तनावर लक्ष ठेवतात. युरोपियन ग्राहक असलेल्या US किंवा UAE स्टार्टअपला तो लागू होऊ शकतो. UK ची स्वतःची आवृत्ती, UK GDPR आहे, जी त्यावर जवळून आधारित आहे.

तत्त्वे

GDPR एका लहान तत्त्वांच्या यादीवर उभा आहे. साध्या शब्दांत:

तत्त्व	तुमच्या ॲपसाठी त्याचा अर्थ
कायदेशीरपणा, न्याय्यता, पारदर्शकता	प्रक्रियेसाठी वैध कारण ठेवा, आणि लोकांना स्पष्टपणे सांगा तुम्ही काय करता.
उद्देश मर्यादा	डेटा ज्या कारणांसाठी गोळा केला त्यासाठीच वापरा, नवीन आश्चर्यकारक कारणांसाठी नाही.
डेटा कमीत कमी ठेवणे	ज्या फील्ड्सची गरज नाही ती गोळा करू नका.
अचूकता	डेटा बरोबर ठेवा आणि लोकांना तो दुरुस्त करू द्या.
साठवणुकीची मर्यादा	डेटा कायमचा ठेवू नका; गरज संपल्यावर हटवा.
अखंडता आणि गोपनीयता	गळती आणि अनधिकृत प्रवेशापासून सुरक्षित ठेवा.
उत्तरदायित्व	तुम्ही अनुपालन कसे करता ते दाखवता आले पाहिजे.

वैध आधार (Lawful bases)

डेटा वापरण्याच्या प्रत्येक मार्गासाठी तुम्हाला कायदेशीर कारण — "lawful basis" — लागते. GDPR सहा यादी करते: संमती, कराराची अंमलबजावणी, कायदेशीर बंधन, महत्त्वाचे हित, सार्वजनिक कार्य, आणि कायदेशीर हितसंबंध. संमती हा त्यातील फक्त एक आहे. उदाहरणार्थ ऑर्डर पोहोचवण्यासाठी तिची प्रक्रिया सहसा संमतीवर नव्हे, तर करारावर आधारित असते. कोणता आधार बसतो हा अधिकृत मार्गदर्शनाशी तपासायचा निर्णय आहे.

लोकांचे हक्क

आयोग व्यक्तींसाठी हे हक्क यादी करते:

त्यांचा डेटा कसा वापरला जातो याची माहिती मिळण्याचा हक्क
त्यांचा डेटा पाहण्याचा हक्क
तो दुरुस्त करून घेण्याचा हक्क
तो हटवून घेण्याचा हक्क
प्रक्रिया मर्यादित करण्याचा हक्क
डेटा पोर्टेबिलिटीचा हक्क (वापरता येईल अशा स्वरूपात मिळवणे)
आक्षेप घेण्याचा हक्क
स्वयंचलित निर्णय आणि profiling संबंधित हक्क

डेटा उल्लंघन

वैयक्तिक डेटा गळला आणि त्या उल्लंघनामुळे लोकांच्या हक्कांना आणि स्वातंत्र्याला धोका असण्याची शक्यता असल्यास, संस्थेला सहसा त्यांच्या डेटा संरक्षण प्राधिकरणाला अवाजवी विलंब न करता आणि शक्य असल्यास, त्यांना त्याची जाणीव झाल्यापासून 72 तासांत सूचित करावे लागते. काही प्रकरणांत प्रभावित लोकांनाही सांगावे लागते.

एक उदाहरण: योगा स्टुडिओ booking ॲप

समजा तुम्ही जर्मनीमध्ये ग्राहक असलेल्या योगा स्टुडिओसाठी booking ॲप बनवत आहात. GDPR त्याला कसे आकार देते ते पाहू.

कमी गोळा करा. Sign-up फॉर्म नाव, email आणि ऐच्छिक फोन नंबर विचारतो. पहिल्या मसुद्यात जन्मतारीख आणि घराचा पत्ताही होता — ॲपमध्ये त्यांचा काहीच उपयोग नसल्याने ते काढले.

आरोग्य डेटाला काळजी लागते. स्टुडिओला दुखापतींबद्दल विचारायचे आहे. तो आरोग्य डेटा आहे, कडक नियम असलेली विशेष श्रेणी. स्टुडिओ ते प्रत्यक्ष भेटीत हाताळायचे ठरवते, त्यामुळे ॲप ते गोळा करत नाही.

पारदर्शक राहा. Privacy policy सांगते की काय गोळा होते, का, किती काळ ठेवले जाते, इतर कोण प्रक्रिया करते (होस्टिंग प्रदाता, email सेवा, payment प्रदाता) आणि स्टुडिओशी कसा संपर्क साधायचा.

मार्केटिंग वेगळे आहे. वर्गासाठी booking केल्याने कोणी newsletter साठी नोंदणी करत नाही. त्यासाठी वेगळा, न तपासलेला checkbox आहे.

उत्पादनात हक्क. ग्राहक त्यांचा profile पाहू आणि संपादित करू शकतात, booking इतिहास डाउनलोड करू शकतात, आणि त्यांच्या खाते पेजवरून हटवण्याची विनंती करू शकतात.

धारणा (Retention). निष्क्रिय खात्यांना ठराविक काळानंतर चिन्हांकित केले जाते, आणि ग्राहक प्रतिसाद न दिल्यास ती काढली जातात. तो काळ स्टुडिओ ठरवते.

Cookies. Login cookie आवश्यक आहे. Analytics फक्त अभ्यागताने मान्य केल्यावरच लोड होते. cookies म्हणजे काय पहा.

सुरक्षितता. पासवर्ड hash केलेले आहेत, admin भागाला two-factor authentication लागते, आणि ग्राहक यादी फक्त मालक निर्यात करू शकतो.

सामान्य संज्ञा स्पष्ट

संज्ञा	अर्थ
वैयक्तिक डेटा	ओळखल्या गेलेल्या किंवा ओळखता येणाऱ्या जिवंत व्यक्तीविषयीची कोणतीही माहिती.
प्रक्रिया (Processing)	वैयक्तिक डेटासोबत केलेली कोणतीही कृती: गोळा करणे, साठवणे, वापरणे, शेअर करणे, हटवणे.
Data subject	ज्या व्यक्तीविषयी डेटा आहे ती व्यक्ती.
Controller	डेटा का आणि कसा प्रक्रिया होतो ते ठरवणारी संस्था — सहसा तुम्ही, ॲपचे मालक.
Processor	Controller च्या वतीने डेटा प्रक्रिया करणारी कंपनी, जसे होस्टिंग किंवा email प्रदाता.
Data Processing Agreement (DPA)	Controller आणि processor यांच्यातील करार, ज्यात डेटा कसा हाताळला जाईल हे ठरवलेले असते.
Lawful basis	प्रक्रियेसाठी कायदेशीर कारण, जसे संमती किंवा करार.
संमती (Consent)	मुक्तपणे दिलेले, विशिष्ट, माहितीपूर्ण आणि स्पष्ट "हो"; पूर्व-टिक केलेले बॉक्स ग्राह्य धरले जात नाहीत.
Special category data	आरोग्य किंवा biometrics सारखा संवेदनशील डेटा, कडक नियमांसह.
Supervisory authority	देशाचा डेटा संरक्षण नियामक.

सामान्य चुका आणि गैरसमज

"आम्ही EU मध्ये नाही, त्यामुळे तो लागू होत नाही." तुमच्या वापरकर्त्यांच्या ठिकाणावर आधारित तो लागू होऊ शकतो.
"GDPR म्हणजे प्रत्येक गोष्टीसाठी संमती." संमती हा सहापैकी एक कायदेशीर आधार आहे, आणि अनेकदा तो योग्य नसतो.
"Cookie बॅनर लावला म्हणजे अनुपालन झाले." Cookies हा एक छोटा भाग आहे. डेटा संकलन, सुरक्षा, हक्क आणि धारणा अधिक महत्त्वाचे आहेत.
"आमचा होस्ट GDPR-अनुरूप आहे, म्हणजे आम्हीही आहोत." प्रदाते मदत करतात, पण तुमचे ॲप काय गोळा करते आणि काय करते हे तुम्ही ठरवता.
"कदाचित उपयोगी पडेल" म्हणून गोळा करणे. प्रत्येक अतिरिक्त फील्ड म्हणजे संरक्षित, स्पष्ट करायचे आणि हटवायचे आणखी काहीतरी.
दुसऱ्या साइटची privacy policy कॉपी करणे. ती तुमचे ॲप खरोखर काय करते ते वर्णन करावी लागते.
हटवणे अशक्य करणे. डेव्हलपरशिवाय कोणी वापरकर्ता हटवू शकत नसेल, तर हक्कांच्या विनंत्या आणीबाणी बनतात.

तुमच्या AI बिल्डरला काय मागावे

"हे ॲप कोणता वैयक्तिक डेटा गोळा करते, तो कुठे साठवला जातो आणि त्याची गरज का आहे ते यादी करा."
"आम्ही न वापरणारे कोणतेही फॉर्म फील्ड काढा."
"वापरकर्ते त्यांचा डेटा पाहू, संपादित करू, डाउनलोड करू आणि हटवण्याची विनंती करू शकतील असे खाते पेज जोडा."
"प्रशासक कृती जोडा जी वापरकर्ता आणि त्याचे संबंधित रेकॉर्ड पूर्णपणे हटवेल, किंवा जे ठेवावे लागतात त्यांना अनामित करेल."
"Marketing sign-up वेगळा, न तपासलेला checkbox म्हणून ठेवा."
"संमतीपूर्वी analytics किंवा marketing scripts लोड करू नका."
"वापरकर्त्यांचा डेटा मिळवणाऱ्या प्रत्येक तृतीय-पक्ष सेवेची यादी द्या, म्हणजे ती privacy policy मध्ये टाकता येईल."
"प्रशासक exports फक्त owner भूमिकेपुरते मर्यादित करा, आणि कोणी काय निर्यात केले ते नोंदवा."

मग कायदे आणि privacy policy कसे लिहावेत आणि cookie संमती कशी जोडावी वाचा.

Mythex तुम्हाला बिल्डिंग ब्लॉक्स देते, अनुपालन प्रमाणपत्र नाही. सक्षम केल्यावर तुमच्या ॲपचा डेटा त्याच्या स्वतःच्या प्रोजेक्ट डेटाबेस आणि file storage मध्ये राहतो, तुम्ही कोड मालक आहात, आणि Pro वर गरज पडल्यास प्रोजेक्ट हलवण्यासाठी निर्यात करू शकता. तुमचे ॲप काय गोळा करते, किती काळ ठेवते आणि लोक त्यांचे हक्क कसे वापरतात हे निर्णय तुमचे आहेत — आणि ते एजंटला बनवायला सांगता. डेटा मालकी वरील docs पान Mythex काय होस्ट करते ते समजावते, आणि तुम्ही बनवलेल्या ॲप्ससाठी सुरक्षा हे तुम्ही नसलेले अनुपालन दावा करण्याविरुद्ध सावध करते. डेटा कुठे होस्ट होतो किंवा data processing agreement यासारख्या विशिष्ट गोष्टींची गरज असल्यास, लॉन्च करण्यापूर्वी Mythex सपोर्टला विचारा.

प्रश्न

GDPR म्हणजे सोप्या भाषेत काय?

General Data Protection Regulation (GDPR) हा युरोपियन युनियनचा मुख्य डेटा संरक्षण कायदा आहे. लोकांबद्दलची माहिती संस्था कशी गोळा करतात, वापरतात, साठवतात आणि शेअर करतात यावर तो नियम घालतो, आणि त्या लोकांना त्यांच्या डेटावर हक्क देतो. 25 मे 2018 पासून तो लागू आहे.

GDPR EU बाहेरील व्यवसायांनाही लागू होतो का?

होऊ शकतो. युरोपियन आयोगाच्या म्हणण्यानुसार, तो EU बाहेरील त्या संस्थांनाही लागू होतो ज्या EU मधील लोकांना वस्तू किंवा सेवा देतात — अगदी मोफत असल्या तरीही — किंवा ज्या त्यांच्या वर्तनावर लक्ष ठेवतात. तुमचा पत्ता कुठे आहे हा एकमेव प्रश्न नाही; तुमचे वापरकर्ते कोण आहेत हेही महत्त्वाचे आहे.

Email पत्ता हा वैयक्तिक डेटा आहे का?

हो. वैयक्तिक डेटा म्हणजे ओळखल्या गेलेल्या किंवा ओळखता येणाऱ्या जिवंत व्यक्तीशी संबंधित कोणतीही माहिती. नावे, email पत्ते, IP पत्ते आणि cookie IDs हे सर्व वैयक्तिक डेटा ठरू शकतात.

GDPR-अनुरूप होस्ट वापरल्याने माझे ॲप अनुरूप होते का?

नाही. होस्ट अनुपालनास मदत करू शकतो, पण तुमचे ॲप कोणता डेटा गोळा करते, का करते, किती काळ ठेवते आणि कोण पाहते हे तुम्ही ठरवता. त्या निर्णयांची जबाबदारी तुमची आहे.

हे मार्गदर्शक कायदेशीर सल्ला आहे का?

नाही. हे चांगले प्रश्न विचारण्यास मदत करण्यासाठी केलेले सामान्य स्पष्टीकरण आहे. तुमच्या परिस्थितीसाठी EU किंवा तुमच्या देशाच्या डेटा संरक्षण प्राधिकरणाचे अधिकृत मार्गदर्शन तपासा, किंवा पात्र सल्लागाराशी बोला.