GDPR ni Nini? Mwongozo Rahisi kwa Wajenzi wa Apps

GDPR (General Data Protection Regulation) ni sheria kuu ya ulinzi wa data ya Umoja wa Ulaya. Inaweka kanuni za jinsi mashirika yanavyokusanya, kutumia, kuhifadhi na kushiriki data binafsi — taarifa yoyote kuhusu mtu hai anayetambulika — na inawapa watu haki juu ya data yao wenyewe, kama kuiona au kuiondoa. Imeanza kutumika tangu 25 Mei 2018, na inaweza kutumika kwa biashara nje ya EU zikihudumia watu walioko humo.

Si ushauri wa kisheria. Mwongozo huu ni maelezo ya jumla ya kukusaidia kuelewa misingi na kuuliza maswali bora. Si mbadala wa ushauri kuhusu hali yako. Kwa maelezo yenye mamlaka zaidi, angalia kurasa za ulinzi wa data za Tume ya Ulaya na mwongozo wa Bodi ya Ulaya ya Ulinzi wa Data kwa biashara ndogo.

Kwa nini ni muhimu unapojenga na AI

AI builders hurahisisha sana kukusanya data. Prompt moja inakupa fomu ya kujisajili, fomu ya mawasiliano, analytics, upakiaji wa mafaili na paneli ya admin inayoorodhesha kila mtumiaji. Kila moja kati ya hizo inakusanya data binafsi, na GDPR inajali yote.

Habari njema ni kwamba mengi ambayo GDPR inayataka pia ni mazoea mazuri ya bidhaa:

• Kukusanya tu kile unachohitaji kweli.
• Kuwaambia watu unachofanya nacho.
• Kukilinda kwa usalama.
• Kukifuta pale hukihitaji tena.
• Kuwaruhusu watu kuona, kurekebisha au kuondoa data yao.

Haya ni rahisi zaidi kubuni tangu mwanzo kuliko kuyaongeza baada ya uzinduzi. Kuuliza AI builder yako maswali sahihi mapema kunaokoa ujenzi upya mchungu baadaye.

Mfano wa kila siku

Fikiria data binafsi kama mali ambayo watu huiacha nawe — kama chumba cha kuhifadhia makoti, lakini kwa taarifa. GDPR ni kanuni za nyumba za chumba hicho:

• Chukua tu kile mtu alichokubali kuacha, kwa sababu anayoielewa.
• Usipekue mifuko kwa matumizi mengine.
• Weka chumba kimefungwa.
• Rudisha vitu, au vitupe, mtu akiomba au pale hauhitaji tena.
• Mtu akiibiwa, waambie watu sahihi haraka.

Unawajibika kwa makoti wakati yako mikononi mwako, hata kama umemwajiri mtu mwingine kuendesha chumba.

Dhana kuu

Data binafsi ni nini

Tume ya Ulaya inafafanua data binafsi kama taarifa yoyote inayohusiana na mtu hai aliyetambulika au anayeweza kutambulika. Ni pana. Inajumuisha majina, anwani za email, anwani za nyumbani, anwani za IP, cookie IDs na picha. Data iliyo “pseudonymised” — kwa mfano majina yakibadilishwa kuwa namba — bado inaweza kuwa data binafsi ikiwa inaweza kuunganishwa tena na mtu.

Aina fulani za data zinapata ulinzi zaidi, ikiwemo data ya afya, data ya kibaiometriki, asili ya kikabila au kirangi, na maoni ya kisiasa.

Inamhusu nani

Kulingana na Tume, GDPR inatumika kwa mashirika yaliyoanzishwa EU, na kwa mashirika nje ya EU yanayotoa bidhaa au huduma kwa watu walioko EU (kwa malipo au bure) au yanayofuatilia tabia zao. Startup ya Marekani au UAE yenye wateja wa Ulaya inaweza kufunikwa kabisa. Uingereza ina toleo lake, UK GDPR, lililojengwa kwa karibu juu ya hili.

Kanuni

GDPR imejengwa juu ya orodha fupi ya kanuni. Kwa lugha rahisi:

Misingi halali

Unahitaji sababu ya kisheria — “lawful basis” — kwa kila njia unayotumia data binafsi. GDPR inaorodhesha sita: idhini (consent), utekelezaji wa mkataba, wajibu wa kisheria, maslahi muhimu (vital interests), kazi ya umma (public task), na maslahi halali (legitimate interests). Idhini ni moja tu kati yake. Kuchakata oda ili kuipeleka, kwa mfano, mara nyingi kunahusu mkataba, si idhini. Ni msingi upi unafaa ni uamuzi wa kuukagua dhidi ya mwongozo rasmi.

Haki za watu

Tume inaorodhesha haki hizi kwa watu binafsi:

• Kujulishwa jinsi data yao inavyotumika
• Kupata data yao
• Kurekebishwa kwa data yao
• Kufutwa kwa data yao
• Kuzuiwa kwa uchakataji
• Uhamishaji wa data (kuipata katika muundo unaoweza kutumika)
• Kupinga
• Haki zinazohusu maamuzi ya kiotomatiki na profiling

Uvujaji wa data

Ikiwa data binafsi itavuja na uvujaji huo unaweza kuweka haki na uhuru wa watu hatarini, shirika kwa kawaida linapaswa kuijulisha mamlaka yake ya ulinzi wa data bila kuchelewa lisilo la lazima na, inapowezekana, ndani ya saa 72 tangu lipate taarifa. Katika baadhi ya kesi, watu walioathirika nao wanapaswa kuambiwa.

Mfano wa vitendo: app ya booking ya studio ya yoga

Tuseme unajenga app ya booking ya studio ya yoga yenye wateja nchini Ujerumani. Hivi ndivyo GDPR inavyounda app.

Kukusanya kidogo. Fomu ya kujisajili inauliza jina, email na namba ya simu ya hiari. Rasimu ya kwanza pia iliuliza tarehe ya kuzaliwa na anwani ya nyumbani — hakuna kitu kwenye app kinazitumia, hivyo zimeondolewa.

Data ya afya inahitaji umakini. Studio inataka kuuliza kuhusu majeraha. Hiyo ni data ya afya, aina maalum yenye sheria kali zaidi. Studio inaamua kuishughulikia ana kwa ana, hivyo app haikusanyi.

Kuwa wazi. Sera ya faragha inaeleza nini kinakusanywa, kwa nini, kinahifadhiwa kwa muda gani, nani mwingine anachakata (mtoa huduma wa hosting, huduma ya email, mtoa huduma wa malipo) na jinsi ya kuwasiliana na studio.

Matangazo ni tofauti. Kuweka booking ya darasa hakumsajili mtu kwenye jarida. Kuna kisanduku tofauti, kisichotiwa alama, kwa hilo.

Haki ndani ya bidhaa. Wateja wanaweza kuona na kuhariri wasifu wao, kupakua historia ya booking zao, na kuomba kufutwa kutoka ukurasa wa akaunti yao.

Uhifadhi. Akaunti zisizotumika zinaalamishwa baada ya kipindi kilichowekwa na kuondolewa mteja asipojibu. Studio ndiyo inachagua kipindi hicho.

Vidakuzi (cookies). Cookie ya login ni ya lazima. Analytics inapakia tu baada ya mgeni kukubali. Angalia vidakuzi ni nini.

Usalama. Passwords zinahashiwa, eneo la admin linahitaji uthibitishaji wa hatua mbili, na mmiliki pekee ndiye anayeweza kuhamisha orodha za wateja.

Maneno ya kawaida yaliyofafanuliwa

Makosa ya kawaida na dhana potofu

• “Hatuko EU, kwa hiyo haitutumiki.” Inaweza kutumika kulingana na mahali watumiaji wako walipo.
• “GDPR maana yake idhini kwa kila kitu.” Idhini ni mojawapo ya misingi sita halali, na mara nyingi si sahihi.
• “Bango la vidakuzi linatufanya tufuate sheria.” Vidakuzi ni sehemu ndogo tu. Ukusanyaji wa data, usalama, haki na uhifadhi ni muhimu zaidi.
• “Host wetu anafuata GDPR, kwa hiyo sisi tunafuata.” Watoa huduma wanasaidia, lakini wewe ndiye unayeamua app yako inakusanya nini na inafanya nini nacho.
• Kukusanya “ikitokea tu”. Kila sehemu ya ziada ni kitu zaidi cha kulinda, kueleza na kufuta.
• Kunakili sera ya faragha ya tovuti nyingine. Lazima ieleze kile app yako inachofanya kweli.
• Kufanya kufuta kuwa haiwezekani. Ikiwa hakuna anayeweza kumwondoa mtumiaji bila msanidi, maombi ya haki yanakuwa dharura.

Uulize nini AI builder yako

• “Orodhesha kila kipande cha data binafsi ambacho app hii inakusanya, kinahifadhiwa wapi, na kwa nini kinahitajika.”
• “Ondoa sehemu zozote za fomu ambazo hatuzitumii.”
• “Ongeza ukurasa wa akaunti ambapo watumiaji wanaweza kuona, kuhariri na kupakua data yao, na kuomba kufutwa.”
• “Jenga kitendo cha admin kinachofuta kabisa mtumiaji na rekodi zake zinazohusiana, au kuzifanya zisizotambulika kwa rekodi tunazopaswa kuhifadhi.”
• “Weka usajili wa matangazo kama kisanduku tofauti kisichotiwa alama.”
• “Usipakie analytics au scripts za matangazo kabla ya idhini.”
• “Orodhesha kila huduma ya watu wa tatu inayopokea data ya watumiaji, ili niiongeze kwenye sera ya faragha.”
• “Zuia exports za admin kwa role ya mmiliki pekee, na urekodi nani alisafirisha nini.”

Kisha soma jinsi ya kuandika masharti ya huduma na sera ya faragha na jinsi ya kuongeza idhini ya vidakuzi.

GDPR na Mythex

Mythex inakupa vipengele vya msingi, si cheti cha kufuata sheria. Data ya app yako iko kwenye database ya project yake na hifadhi ya mafaili pale unapoziwasha, unamiliki code, na kwenye Pro unaweza kusafirisha project ukihitaji kuihamisha. App yako inakusanya nini, inahifadhi kwa muda gani na watu wanatumiaje haki zao ni maamuzi unayofanya — na unamwomba agent ayajenge. Ukurasa wa nyaraka kuhusu umiliki wa data unaeleza kile Mythex inachohifadhi, na usalama kwa apps unazojenga unaonya dhidi ya kudai kufuata sheria ambako huna. Ukihitaji maelezo mahususi kama mahali data inapohostiwa au makubaliano ya uchakataji wa data (DPA), uliza msaada wa Mythex kabla ya uzinduzi.

Maswali