GDPR என்றால் என்ன? ஆப் உருவாக்குபவர்களுக்கான எளிய வழிகாட்டி

GDPR (General Data Protection Regulation) என்பது ஐரோப்பிய ஒன்றியத்தின் முக்கிய தரவுப் பாதுகாப்புச் சட்டம். தனிப்பட்ட தரவு — அடையாளம் காணக்கூடிய உயிருள்ள ஒரு நபரைப் பற்றிய எந்தத் தகவலும் — எவ்வாறு நிறுவனங்களால் சேகரிக்கப்படுகிறது, பயன்படுத்தப்படுகிறது, சேமிக்கப்படுகிறது, பகிரப்படுகிறது என்பதற்கான விதிகளை இது அமைக்கிறது; மேலும் மக்கள் தங்கள் சொந்தத் தரவின் மீது உரிமைகள் பெறுகின்றனர் — அதைப் பார்க்கவும், அழிக்கக் கோரவும். 25 மே 2018 முதல் இது பொருந்துகிறது; EU-வில் உள்ள மக்களுக்குச் சேவை செய்தால் EU-க்கு வெளியே உள்ள வணிகங்களுக்கும் பொருந்தலாம்.

சட்ட ஆலோசனை அல்ல. இது அடிப்படைகளைப் புரிந்துகொள்ளவும், சிறந்த கேள்விகள் கேட்கவும் உதவும் ஒரு பொதுவான விளக்கம். உங்கள் நிலைமை பற்றிய ஆலோசனைக்கு இது மாற்றாகாது. அதிகாரப்பூர்வ விவரங்களுக்கு, ஐரோப்பிய ஆணையத்தின் தரவுப் பாதுகாப்புப் பக்கங்களையும் சிறு வணிகங்களுக்கான ஐரோப்பிய தரவுப் பாதுகாப்பு வாரியத்தின் வழிகாட்டியையும் பாருங்கள்.

AI மூலம் உருவாக்கும்போது இது ஏன் முக்கியம்

AI builders தரவைச் சேகரிப்பதை எளிதாக்குகின்றன. ஒரே prompt உங்களுக்கு ஒரு sign-up படிவம், ஒரு தொடர்புப் படிவம், analytics, கோப்புப் பதிவேற்றங்கள், ஒவ்வொரு பயனரையும் பட்டியலிடும் ஒரு admin dashboard தரும். அவற்றில் ஒவ்வொன்றும் தனிப்பட்ட தரவைச் சேகரிக்கிறது; GDPR அவை அனைத்தையும் கவனிக்கிறது.

நல்ல செய்தி: GDPR கேட்பவற்றில் பெரும்பாலானவை நல்ல தயாரிப்பு நடைமுறையும்தான்:

தேவையானதை மட்டும் சேகரிக்கவும்.
அதை எதற்குப் பயன்படுத்துகிறீர்கள் என்பதை மக்களுக்குத் தெளிவாகச் சொல்லுங்கள்.
பாதுகாப்பாக வையுங்கள்.
தேவையில்லாதபோது நீக்குங்கள்.
மக்கள் தங்கள் தரவைப் பார்க்கவும், திருத்தவும், நீக்கவும் அனுமதியுங்கள்.

வெளியீட்டுக்குப் பின் பின்னால் ஒட்டுவதைவிட, தொடக்கத்திலேயே இவற்றை வடிவமைப்பது மிக எளிது. AI builder-இடம் சரியான கேள்விகளை முன்கூட்டியே கேட்பது பின்னர் ஏற்படும் பெரிய மறுகட்டமைப்பைத் தவிர்க்கும்.

ஒரு அன்றாட உவமை

தனிப்பட்ட தரவை மக்கள் உங்களிடம் விட்டுச்செல்லும் உடைமைகளாக நினையுங்கள் — தகவலுக்கான ஒரு கோட் செக் போல. GDPR அந்த கோட் செக்கின் வீட்டு விதிகள்:

ஒப்புக்கொண்டவற்றை மட்டும், அவர்கள் புரிந்துகொள்ளும் ஒரு காரணத்திற்காக மட்டும் எடுங்கள்.
வேறு பயன்பாடுகளுக்காக பைகளைத் துழாவாதீர்கள்.
அறையைப் பூட்டி வையுங்கள்.
கேட்கும்போதோ, இனி தேவையில்லாதபோதோ பொருட்களைத் திருப்பிக் கொடுங்கள் அல்லது தூக்கி எறியுங்கள்.
எதாவது திருடப்பட்டால், சரியானவர்களுக்கு உடனே தெரிவியுங்கள்.

அறையை வேறொருவர் நடத்தினாலும், அது உங்கள் பொறுப்பிலுள்ள கோட்களுக்கு நீங்களே பொறுப்பு.

முக்கிய கருத்துகள்

தனிப்பட்ட தரவு என்றால் என்ன

ஐரோப்பிய ஆணையம் தனிப்பட்ட தரவை, அடையாளம் காணப்பட்ட அல்லது அடையாளம் காணக்கூடிய உயிருள்ள தனிநபரைப் பற்றிய எந்தத் தகவலும் என வரையறுக்கிறது. அது பரந்தது. பெயர்கள், மின்னஞ்சல் முகவரிகள், வீட்டு முகவரிகள், IP முகவரிகள், cookie IDs, புகைப்படங்கள் அனைத்தும் அடங்கும். “Pseudonymised” செய்யப்பட்ட தரவு — உதாரணமாக பெயர்கள் குறியீடுகளால் மாற்றப்பட்டிருந்தாலும் — ஒருவருடன் மீண்டும் இணைக்க முடிந்தால் அது இன்னும் தனிப்பட்ட தரவே.

சில வகைகளுக்குக் கூடுதல் பாதுகாப்பு உண்டு: உடல்நலத் தரவு, biometric தரவு, இனம் அல்லது இனத்தோற்றம், அரசியல் கருத்துகள்.

யாருக்குப் பொருந்தும்

ஆணையத்தின்படி, GDPR EU-வில் நிறுவப்பட்ட நிறுவனங்களுக்கும், EU-க்கு வெளியே உள்ள, EU-வில் உள்ள மக்களுக்குப் பொருட்களையோ சேவைகளையோ (கட்டணமாகவோ இலவசமாகவோ) வழங்கும் அல்லது அவர்களின் நடத்தையைக் கண்காணிக்கும் நிறுவனங்களுக்கும் பொருந்தும். ஐரோப்பியர்களுடன் வாடிக்கையாளர்கள் உள்ள அமெரிக்க அல்லது UAE தொடக்க நிறுவனம் அதன் கீழ் வரலாம். UK-க்கு UK GDPR என்ற சொந்த பதிப்பு உண்டு; அது இதைப் பெரிதும் ஒட்டியது.

கொள்கைகள்

GDPR ஒரு குறுகிய கொள்கைகளின் பட்டியலின் மேல் கட்டப்பட்டுள்ளது. எளிய சொற்களில்:

கொள்கை	உங்கள் ஆப்புக்கு அதன் பொருள்
சட்டபூர்வம், நேர்மை, வெளிப்படைத்தன்மை	செயலாக்கத்திற்கு ஒரு செல்லுபடியான காரணம் வைத்திருங்கள், நீங்கள் என்ன செய்கிறீர்கள் என்று தெளிவாகச் சொல்லுங்கள்.
நோக்கக் கட்டுப்பாடு	சேகரித்த காரணங்களுக்கு மட்டுமே பயன்படுத்துங்கள்; புதிய ஆச்சரிய பயன்பாடுகள் வேண்டாம்.
தரவுக் குறைப்பு	தேவையில்லாத புலங்களைச் சேகரிக்காதீர்கள்.
துல்லியம்	தரவைச் சரியாக வையுங்கள்; மக்கள் அதைச் சரிசெய்ய அனுமதியுங்கள்.
சேமிப்பு வரம்பு	தரவை என்றென்றும் வைக்காதீர்கள்; தேவையில்லாதபோது நீக்குங்கள்.
ஒருமைப்பாடு மற்றும் இரகசியத்தன்மை	கசிவுகளுக்கும் அங்கீகரிக்கப்படாத அணுகலுக்கும் எதிராக பாதுகாப்பாக வையுங்கள்.
பொறுப்புக்கூறல்	நீங்கள் இணங்குகிறீர்கள் என்பதை காட்டக்கூடியவராக இருங்கள்.

சட்டபூர்வ அடிப்படைகள்

தரவைப் பயன்படுத்தும் ஒவ்வொரு வழிக்கும் உங்களுக்கு ஒரு சட்டக் காரணம் — “சட்டபூர்வ அடிப்படை” — தேவை. GDPR ஆறு அடிப்படைகளைப் பட்டியலிடுகிறது: ஒப்புதல், ஒப்பந்தச் செயலாக்கம், சட்டக் கடமை, உயிர்சார் நலன்கள், பொதுப் பணி, முறையான நலன்கள். ஒப்புதல் அவற்றில் ஒன்று மட்டுமே. ஒரு ஆர்டரை வழங்குவதற்காக அதைச் செயலாக்குவது பொதுவாக ஒப்பந்தம் சம்பந்தப்பட்டது, ஒப்புதல் அல்ல. எது பொருந்தும் என்பது அதிகாரப்பூர்வ வழிகாட்டுதலுடன் சரிபார்க்க வேண்டிய ஒரு தீர்மானம்.

மக்களின் உரிமைகள்

ஆணையம் தனிநபர்களுக்கான இந்த உரிமைகளைப் பட்டியலிடுகிறது:

தங்கள் தரவு எவ்வாறு பயன்படுத்தப்படுகிறது என்பது குறித்துத் தெரிவிக்கப்படும் உரிமை
தங்கள் தரவை அணுகும் உரிமை
அதைச் சரிசெய்யும் உரிமை
அதை அழிக்கும் உரிமை
செயலாக்கத்தைக் கட்டுப்படுத்தும் உரிமை
தரவைப் பெயர்வுத்திறன் (பயன்படுத்தக்கூடிய வடிவத்தில் பெறுதல்)
எதிர்ப்புத் தெரிவிக்கும் உரிமை
தானியங்கி முடிவெடுத்தல் மற்றும் விவரக்குறிப்பு தொடர்பான உரிமைகள்

தரவு மீறல்கள்

தனிப்பட்ட தரவு கசிந்து, அந்த மீறல் மக்களின் உரிமைகளுக்கும் சுதந்திரங்களுக்கும் ஆபத்தை ஏற்படுத்தக்கூடியதாக இருந்தால், நிறுவனம் பொதுவாக தன் தரவுப் பாதுகாப்பு ஆணையத்துக்கு தேவையற்ற தாமதமின்றி, முடிந்தால் அதை அறிந்த 72 மணி நேரத்துக்குள் தெரிவிக்க வேண்டும். சில சூழ்நிலைகளில் பாதிக்கப்பட்ட மக்களுக்கும் தெரிவிக்க வேண்டும்.

ஒரு செயல்முறை எடுத்துக்காட்டு: ஒரு யோகா ஸ்டூடியோ booking ஆப்

ஜெர்மனியில் வாடிக்கையாளர்கள் உள்ள ஒரு யோகா ஸ்டூடியோவுக்கான booking ஆப்பை உருவாக்குகிறீர்கள் என்று வைத்துக்கொள்ளுங்கள். GDPR அதை எவ்வாறு வடிவமைக்கிறது என்று பார்ப்போம்.

குறைவாகச் சேகரியுங்கள். Sign-up படிவம் பெயர், மின்னஞ்சல், விருப்பத்தேர்வான தொலைபேசி எண் கேட்கிறது. முதல் வரைவு பிறந்த தேதி, வீட்டு முகவரியையும் கேட்டது — ஆப்பில் அவற்றை எதுவும் பயன்படுத்தவில்லை என்பதால் அவை நீக்கப்பட்டன.

உடல்நலத் தரவுக்கு கவனம் தேவை. ஸ்டூடியோ காயங்கள் பற்றிக் கேட்க விரும்புகிறது. அது கடுமையான விதிகள் உள்ள சிறப்புப் பிரிவு உடல்நலத் தரவு. ஸ்டூடியோ அதை நேரில் கையாள முடிவு செய்கிறது, அதனால் ஆப் அதைச் சேகரிப்பதில்லை.

வெளிப்படையாக இருங்கள். தனியுரிமைக் கொள்கை என்ன சேகரிக்கப்படுகிறது, ஏன், எவ்வளவு காலம் வைக்கப்படுகிறது, வேறு யார் தரவைச் செயலாக்குகின்றனர் (hosting வழங்குநர், மின்னஞ்சல் சேவை, கட்டண வழங்குநர்), ஸ்டூடியோவைத் எப்படித் தொடர்புகொள்வது என்பதை விளக்குகிறது.

சந்தைப்படுத்தல் தனியாக. வகுப்பு பதிவு செய்வது யாரையும் செய்திமடலுக்குப் பதிவு செய்வதில்லை. அதற்கென தனி, tick செய்யப்படாத ஒரு checkbox உண்டு.

தயாரிப்புக்குள் உரிமைகள். வாடிக்கையாளர்கள் தங்கள் சுயவிவரத்தைப் பார்க்கலாம், திருத்தலாம், booking வரலாற்றைப் பதிவிறக்கலாம், தங்கள் கணக்குப் பக்கத்திலிருந்து அழிக்கக் கோரலாம்.

தக்கவைப்பு. செயலற்ற கணக்குகள் ஒரு குறிப்பிட்ட காலத்திற்குப் பிறகு குறிக்கப்பட்டு, வாடிக்கையாளர் பதில் அளிக்காவிட்டால் நீக்கப்படும். அந்தக் காலத்தை ஸ்டூடியோ தேர்ந்தெடுக்கிறது.

Cookies. உள்நுழைவு cookie அவசியமானது. Analytics பார்வையாளர் ஏற்ற பின்னரே ஏற்றப்படும். cookies என்றால் என்ன பார்க்கவும்.

பாதுகாப்பு. கடவுச்சொற்கள் hash செய்யப்படுகின்றன, admin பகுதிக்கு இரு-காரணி அங்கீகாரம் தேவை, வாடிக்கையாளர் பட்டியல்களை உரிமையாளர் மட்டுமே ஏற்றுமதி செய்ய முடியும்.

பொதுவான சொற்களின் விளக்கம்

சொல்	பொருள்
தனிப்பட்ட தரவு	அடையாளம் காணப்பட்ட அல்லது அடையாளம் காணக்கூடிய உயிருள்ள நபரைப் பற்றிய எந்தத் தகவலும்.
செயலாக்கம் (Processing)	தனிப்பட்ட தரவுடன் செய்யப்படும் எதுவும்: சேகரித்தல், சேமித்தல், பயன்படுத்துதல், பகிர்தல், நீக்குதல்.
Data subject	தரவு யாரைப் பற்றியதோ அந்த நபர்.
Controller	தரவு ஏன், எப்படி செயலாக்கப்படுகிறது என்று தீர்மானிக்கும் நிறுவனம் — பெரும்பாலும் நீங்கள், ஆப்பின் உரிமையாளர்.
Processor	Controller சார்பாகத் தரவைச் செயலாக்கும் நிறுவனம், எடுத்துக்காட்டாக hosting அல்லது மின்னஞ்சல் வழங்குநர்.
Data Processing Agreement (DPA)	Controller மற்றும் processor இடையிலான, தரவு எப்படிக் கையாளப்படும் என்பதை வரையறுக்கும் ஒப்பந்தம்.
சட்டபூர்வ அடிப்படை (Lawful basis)	ஒப்புதல் அல்லது ஒப்பந்தம் போன்ற, செயலாக்கத்திற்கான சட்டக் காரணம்.
ஒப்புதல் (Consent)	சுதந்திரமாக, குறிப்பாக, தகவலறிந்து, தெளிவாக அளிக்கப்படும் “ஆம்”; முன்கூட்டியே tick செய்யப்பட்ட checkbox-கள் ஏற்கப்படாது.
சிறப்புப் பிரிவுத் தரவு	உடல்நலம் அல்லது biometrics போன்ற, கடுமையான விதிகள் உள்ள உணர்வுப்பூர்வ தரவு.
மேற்பார்வை அதிகாரம் (Supervisory authority)	ஒரு நாட்டின் தரவுப் பாதுகாப்பு ஒழுங்குமுறை அமைப்பு.

பொதுவான தவறுகள் மற்றும் தவறான புரிதல்கள்

“நாங்கள் EU-வில் இல்லை, எனவே இது பொருந்தாது.” உங்கள் பயனர்கள் எங்கே உள்ளனர் என்பதன் அடிப்படையில் இது பொருந்தலாம்.
“GDPR என்றால் எல்லாவற்றுக்கும் ஒப்புதல்.” ஒப்புதல் ஆறு சட்டபூர்வ அடிப்படைகளில் ஒன்று; பெரும்பாலும் அதுவே சரியானதும் அல்ல.
“ஒரு cookie banner நம்மை இணக்கமாக்கும்.” Cookies ஒரு சிறிய பகுதி மட்டுமே. தரவுச் சேகரிப்பு, பாதுகாப்பு, உரிமைகள், தக்கவைப்பு ஆகியவை அதைவிட முக்கியம்.
“எங்கள் host GDPR-க்கு இணக்கமானது, எனவே நாமும் இணக்கம்.” வழங்குநர்கள் உதவலாம், ஆனால் உங்கள் ஆப் எதைச் சேகரிக்கிறது, என்ன செய்கிறது என்பதை நீங்கள்தான் தீர்மானிக்கிறீர்கள்.
“ஒருவேளைக்கென சேகரிப்பது.” ஒவ்வொரு கூடுதல் புலமும் பாதுகாக்க, விளக்க, அழிக்க வேண்டிய இன்னொரு பொருள்.
வேறொரு தளத்தின் தனியுரிமைக் கொள்கையை நகலெடுப்பது. அது உங்கள் ஆப்பில் உண்மையில் என்ன நடக்கிறது என்பதை விவரிக்க வேண்டும்.
அழிப்பதை சாத்தியமற்றதாக்குவது. டெவலப்பர் இல்லாமல் யாராலும் ஒரு பயனரை நீக்க முடியாவிட்டால், உரிமைக் கோரிக்கைகள் அவசர நிலையாகிவிடும்.

உங்கள் AI builder-இடம் கேட்க வேண்டியவை

“இந்த ஆப் சேகரிக்கும் ஒவ்வொரு தனிப்பட்ட தரவையும், அது எங்கே சேமிக்கப்படுகிறது, ஏன் தேவை என்று பட்டியலிடு.”
“நாங்கள் பயன்படுத்தாத படிவப் புலங்களை நீக்கு.”
“பயனர்கள் தங்கள் தரவைப் பார்க்கவும், திருத்தவும், பதிவிறக்கவும், அழிக்கக் கோரவும் முடியும் ஒரு கணக்குப் பக்கத்தைச் சேர்.”
“பயனரை முழுமையாக நீக்கும், அவரது தொடர்புடைய பதிவுகளை அழிக்கும் admin செயலை உருவாக்கு; நாம் வைத்திருக்க வேண்டிய பதிவுகளை அநாமதேயமாக்கு.”
“சந்தைப்படுத்தல் பதிவை ஒரு தனி, tick செய்யப்படாத checkbox-ஆக வைத்திரு.”
“ஒப்புதலுக்கு முன் analytics அல்லது சந்தைப்படுத்தல் scripts-ஐ ஏற்றாதே.”
“பயனர் தரவைப் பெறும் ஒவ்வொரு மூன்றாம் தரப்புச் சேவையையும் பட்டியலிடு; அவற்றைத் தனியுரிமைக் கொள்கையில் சேர்க்க.”
“Admin ஏற்றுமதிகளை உரிமையாளர் பங்குக்கு மட்டும் கட்டுப்படுத்து; யார் எதை ஏற்றுமதி செய்தார் என்று பதிவு செய்.”

பிறகு சேவை விதிமுறைகள் மற்றும் தனியுரிமைக் கொள்கை எழுதுவது எப்படி மற்றும் cookie ஒப்புதல் சேர்ப்பது எப்படி ஆகியவற்றைப் படியுங்கள்.

Mythex உங்களுக்குக் கட்டிடத் தொகுதிகளைத் தருகிறது, இணக்கச் சான்றிதழை அல்ல. நீங்கள் இயக்கும்போது, உங்கள் ஆப்பின் தரவு அதன் சொந்த project database-இலும் கோப்பு சேமிப்பிலும் வாழ்கிறது; நீங்கள் code-இன் உரிமையாளர்; தேவைப்பட்டால் Pro-வில் project-ஐ ஏற்றுமதி செய்து நகர்த்தலாம். உங்கள் ஆப் என்ன சேகரிக்கிறது, எவ்வளவு காலம் வைக்கிறது, மக்கள் தங்கள் உரிமைகளை எப்படிப் பயன்படுத்துகின்றனர் என்பவை நீங்கள் எடுக்கும் முடிவுகள் — அவற்றை agent-இடம் உருவாக்கச் சொல்லுங்கள். தரவு உரிமை பற்றிய docs பக்கம் Mythex எதை hosting செய்கிறது என்பதை விளக்குகிறது; நீங்கள் உருவாக்கும் ஆப்களுக்கான பாதுகாப்பு இல்லாத இணக்கத்தை உரிமை கோருவதற்கு எதிராக எச்சரிக்கிறது. தரவு எங்கே hosting செய்யப்படுகிறது அல்லது தரவுச் செயலாக்க ஒப்பந்தம் போன்ற குறிப்பிட்ட விவரங்கள் தேவைப்பட்டால், வெளியிடுவதற்கு முன் Mythex ஆதரவைக் கேளுங்கள்.

கேள்விகள்

எளிய சொற்களில் GDPR என்றால் என்ன?

General Data Protection Regulation (GDPR) என்பது ஐரோப்பிய ஒன்றியத்தின் முக்கிய தரவுப் பாதுகாப்புச் சட்டம். மக்களைப் பற்றிய தகவல்களை நிறுவனங்கள் சேகரிப்பது, பயன்படுத்துவது, சேமிப்பது, பகிர்வது குறித்த விதிகளை அது அமைக்கிறது; அந்த மக்களுக்குத் தங்கள் தரவின் மீது உரிமைகளையும் வழங்குகிறது. இது 25 மே 2018 முதல் பொருந்தி வருகிறது.

EU-க்கு வெளியே உள்ள வணிகங்களுக்கும் GDPR பொருந்துமா?

பொருந்தலாம். ஐரோப்பிய ஆணையத்தின்படி, EU-வில் உள்ள மக்களுக்கு இலவசமாக இருந்தாலும் பொருட்களையோ சேவைகளையோ வழங்கும் அல்லது அவர்களின் நடத்தையைக் கண்காணிக்கும் EU-க்கு வெளியே உள்ள நிறுவனங்களுக்கும் இது பொருந்தும். நீங்கள் எங்கே அமைந்துள்ளீர்கள் என்பது மட்டுமே கேள்வி அல்ல; உங்கள் பயனர்கள் யார் என்பதும் முக்கியம்.

மின்னஞ்சல் முகவரி தனிப்பட்ட தரவா?

ஆம். தனிப்பட்ட தரவு என்பது அடையாளம் காணப்பட்ட அல்லது அடையாளம் காணக்கூடிய உயிருள்ள ஒரு நபரைப் பற்றிய எந்தத் தகவலும். பெயர்கள், மின்னஞ்சல் முகவரிகள், IP முகவரிகள், cookie IDs அனைத்தும் இதில் அடங்கலாம்.

GDPR-க்கு இணக்கமான hosting பயன்படுத்தினால் என் ஆப் இணக்கமாகிவிடுமா?

இல்லை. ஒரு host இணக்கத்தை ஆதரிக்கலாம், ஆனால் உங்கள் ஆப் எந்தத் தரவைச் சேகரிக்கிறது, ஏன், எவ்வளவு காலம் வைக்கிறது, யார் பார்க்கிறார்கள் என்பதை நீங்கள்தான் முடிவு செய்கிறீர்கள். அந்தத் தேர்வுகளைச் சரியாகச் செய்வது உங்கள் பொறுப்பு.

இந்த வழிகாட்டி சட்ட ஆலோசனையா?

இல்லை. இது சிறந்த கேள்விகளைக் கேட்க உதவும் ஒரு பொதுவான விளக்கம். உங்கள் குறிப்பிட்ட நிலைமைக்கு, EU அல்லது உங்கள் தேசிய தரவுப் பாதுகாப்பு ஆணையத்தின் அதிகாரப்பூர்வ வழிகாட்டுதலைப் பாருங்கள், அல்லது தகுதியான ஆலோசகரிடம் பேசுங்கள்.