AI চ্যাটবট ও গ্রাহকের ডেটা: মেসেজিং টিমের জন্য GDPR ও KVKK প্রাইভেসি চেকলিস্ট

AI চ্যাটবটকে GDPR ও KVKK কমপ্লায়েন্ট করতে হলে গ্রাহকের মেসেজ যেসব সিস্টেমের মধ্য দিয়ে যায় তার প্রতিটি ম্যাপ করুন, একটি বৈধ ভিত্তি ও স্পষ্ট প্রাইভেসি নোটিশ রাখুন, প্রতিটি প্রোভাইডারের সঙ্গে ডেটা প্রসেসিং এগ্রিমেন্ট সই করুন, ডেটা EU বা তুরস্কের বাইরে গেলে বৈধ ট্রান্সফার ব্যবস্থা ব্যবহার করুন, সম্ভব হলে প্রম্পটে ব্যক্তিগত ডেটা রাখবেন না, রিটেনশন সময় ঠিক করুন এবং মানুষকে জানান যে তাঁরা AI-এর সঙ্গে কথা বলছেন। কমপ্লায়েন্স আসে আপনি চ্যাটবটটি কীভাবে ব্যবহার করছেন তা থেকে, চ্যাটবট নিজে থেকে নয়।

জটিলতা হলো, WhatsApp-এ একটি উত্তরই চার-পাঁচটি কোম্পানির সংস্পর্শে আসতে পারে: Meta, আপনার মেসেজিং প্ল্যাটফর্ম, একটি LLM প্রোভাইডার, একটি ভেক্টর ডেটাবেস এবং যে CRM থেকে এজেন্ট তথ্য খুঁজে নেয়। এই চেকলিস্টে প্রতিটি ধাপ ধরে ধরে দেখানো হয়েছে। এটি মেসেজিং টিমের জন্য ব্যবহারিক নির্দেশিকা, আইনি পরামর্শ নয়; তাই বিস্তারিত বিষয় আপনার ডেটা প্রোটেকশন অফিসার বা আইনি উপদেষ্টার সঙ্গে নিশ্চিত করুন।

AI এজেন্ট উত্তর দিলে গ্রাহকের ডেটা কোথায় যায়

প্রথমে একটি মেসেজের যাত্রাপথ এঁকে ফেলুন। একটি সাধারণ প্রবাহ দেখতে এরকম:

ধাপ	সিস্টেম	সংশ্লিষ্ট ডেটা	আপনার প্রশ্ন
1	মেসেজিং চ্যানেল (WhatsApp, Instagram, Messenger)	ফোন নম্বর বা ইউজারনেম, মেসেজের বিষয়বস্তু, মিডিয়া	কোন শর্ত ও স্টোরেজ নিয়ম প্রযোজ্য?
2	মেসেজিং প্ল্যাটফর্ম	কথোপকথনের ইতিহাস, কন্টাক্ট প্রোফাইল, ট্যাগ, নোট	কে অ্যাক্সেস করতে পারে, কোথায় সংরক্ষিত, কতদিন?
3	নলেজ বেস ও ভেক্টর ডেটাবেস	আপনার কনটেন্ট; ব্যক্তিগত ডেটা শুধু যদি আপনি আপলোড করে থাকেন	ইনডেক্সে কি কোনো ব্যক্তিগত ডেটা আছে?
4	LLM প্রোভাইডার	প্রম্পট: নির্দেশনা, সংগৃহীত টেক্সট, ইতিহাস, সর্বশেষ মেসেজ	ডেটা কি সংরক্ষিত হয়, ট্রেনিংয়ে ব্যবহৃত হয়, কোথায় প্রসেস হয়?
5	সংযুক্ত টুল (CRM, বুকিং, স্টোর)	অর্ডারের তথ্য, অ্যাপয়েন্টমেন্ট, অ্যাকাউন্টের বিবরণ	এজেন্ট কী পড়তে ও লিখতে পারে?
6	মানব এজেন্ট	হস্তান্তরের পর পুরো কথোপকথন	কে কী দেখে, এবং তা কি লগ হয়?

প্রতিটি সারি এমন একটি জায়গা যেখানে ব্যক্তিগত ডেটা প্রসেস হয় এবং যেখানে আপনার চুক্তি, রিটেনশন নিয়ম ও অ্যাক্সেস নিয়ন্ত্রণ দরকার। কোনো সারি পূরণ করতে না পারলে সেটিই আপনার প্রথম কাজ।

AI চ্যাটবট প্রাইভেসি চেকলিস্ট

1. একটি বৈধ ভিত্তি ঠিক করুন এবং লিখে রাখুন

GDPR-এর (ধারা 6) অধীনে প্রতিটি প্রসেসিং উদ্দেশ্যের একটি আইনগত ভিত্তি লাগে। যে গ্রাহক আপনাকে লিখেছেন তাঁকে উত্তর দেওয়া সাধারণত চুক্তি বা বৈধ স্বার্থের ওপর দাঁড়ায়। মার্কেটিং মেসেজ সাধারণত সম্মতির ওপর দাঁড়ায়। আপনার এজেন্ট উন্নত করতে কথোপকথন ব্যবহার করা আলাদা একটি উদ্দেশ্য; মূল ভিত্তিই এটিকে কভার করে ধরে না নিয়ে একে আলাদাভাবে মূল্যায়ন করুন।

KVKK-র নিজস্ব প্রসেসিং শর্তের তালিকা আছে। আপনি যদি EU ও তুরস্ক দুই জায়গার গ্রাহককেই সেবা দেন, তাহলে প্রতিটি আইনের অধীনে ভিত্তি নথিভুক্ত করুন।

2. AI এবং তাদের ডেটা সম্পর্কে মানুষকে জানান

আপনার প্রাইভেসি নোটিশে বলা উচিত যে কথোপকথন একটি AI সিস্টেম পরিচালনা করতে পারে, কোন প্রোভাইডাররা ডেটা প্রসেস করে, কোথায়, কতদিন, এবং কীভাবে একজন মানুষের সঙ্গে যোগাযোগ করা যায়। কী কী অন্তর্ভুক্ত করতে হবে তা GDPR-এর ধারা 13 ও 14-এ আছে, এবং KVKK-তেও অনুরূপ জানানোর দায়িত্ব রয়েছে।

EU-তে AI Act-এর স্বচ্ছতা-সংক্রান্ত বাধ্যবাধকতা ২ আগস্ট, ২০২৬ থেকে কার্যকর। এতে বলা আছে, কেউ কোনো AI সিস্টেমের সঙ্গে যোগাযোগ করলে তাঁকে জানাতে হবে, তবে প্রসঙ্গ থেকে বিষয়টি স্পষ্ট হলে প্রয়োজন নেই। একটি ছোট প্রথম মেসেজ আইনি বিষয় ও গ্রাহকের প্রত্যাশা দুটোই সামলে নেয়:

নমস্কার, আমি Northwind Home-এর ভার্চুয়াল অ্যাসিস্ট্যান্ট, একটি AI। আমি
অর্ডার, রিটার্ন ও ডেলিভারি নিয়ে সাহায্য করতে পারি। যেকোনো সময় "এজেন্ট"
লিখে আমাদের টিমের সঙ্গে কথা বলুন।
প্রাইভেসি নোটিশ: northwindhome.example/privacy

3. প্রতিটি প্রসেসরের সঙ্গে ডেটা প্রসেসিং এগ্রিমেন্ট সই করুন

আপনার মেসেজিং প্ল্যাটফর্ম, LLM প্রোভাইডার, ভেক্টর ডেটাবেস হোস্ট এবং আপনার পক্ষে ব্যক্তিগত ডেটা পরিচালনাকারী যেকোনো টুল প্রোভাইডার একজন প্রসেসর। GDPR-এর ধারা 28 অনুযায়ী লিখিত চুক্তি থাকতে হবে, যাতে প্রসেসিং আপনার নির্দেশনার মধ্যে সীমাবদ্ধ থাকে, গোপনীয়তা ও নিরাপত্তা বাধ্যতামূলক হয় এবং সাব-প্রসেসর, মুছে ফেলা ও অডিট বিষয়গুলো অন্তর্ভুক্ত থাকে। সাব-প্রসেসরদের একটি তালিকা রাখুন এবং প্রোভাইডার বদলালে তা যাচাই করুন।

4. EU বা তুরস্কের বাইরে ডেটা পাঠানো যাচাই করুন

অনেক LLM প্রোভাইডার অন্য দেশে ডেটা প্রসেস করে। GDPR-এর অধ্যায় V অনুযায়ী EEA-এর বাইরে ট্রান্সফারের জন্য অ্যাডিকোয়েসি সিদ্ধান্ত বা স্ট্যান্ডার্ড কন্ট্রাক্চুয়াল ক্লজের মতো যথাযথ সুরক্ষা ব্যবস্থা লাগে।

বিদেশে ট্রান্সফার সম্পর্কিত KVKK-র নিয়ম ২০২৪ সালের জুনে বদলেছে। এখন ট্রান্সফার নির্ভর করে অ্যাডিকোয়েসি সিদ্ধান্ত, ব্যক্তিগত ডেটা সুরক্ষা বোর্ড প্রকাশিত স্ট্যান্ডার্ড চুক্তির মতো যথাযথ সুরক্ষা ব্যবস্থা, অথবা সীমিত ব্যতিক্রমের ওপর। স্ট্যান্ডার্ড চুক্তি সই করার পর পাঁচ কার্যদিবসের মধ্যে কর্তৃপক্ষকে জানাতে হয়। প্রতিটি প্রোভাইডার কোথায় ডেটা প্রসেস করে তা যাচাই করুন এবং আপনার বাধ্যবাধকতার সঙ্গে মানানসই অঞ্চল বা প্রোভাইডার বেছে নিন।

WhatsApp-এ Meta-র Cloud API লোকাল স্টোরেজ সুবিধা দেয়: আপনি প্রতিটি বিজনেস ফোন নম্বরের জন্য বেছে নিতে পারেন মেসেজ ডেটা কোথায় সংরক্ষিত থাকবে। ব্যবহারের সময় কনটেন্ট তবুও আন্তর্জাতিকভাবে Meta-র ডেটা সেন্টারে প্রসেস হতে পারে, Cloud API-তে সর্বোচ্চ 60 মিনিট পর্যন্ত, তারপর তা শুধু নির্বাচিত অঞ্চলে সংরক্ষিত থাকে।

5. LLM প্রোভাইডার ভেবেচিন্তে বেছে নিন

প্রম্পটে আপনি যা দেন, মডেল প্রোভাইডার তার সবটাই দেখে। কোনোটি সংযুক্ত করার আগে যাচাই করুন:

• ট্রেনিংয়ে ব্যবহার। প্রোভাইডার কি API ডেটা দিয়ে মডেল ট্রেন করে, এবং আপনি কি তা থেকে বাদ থাকতে পারেন?
• রিটেনশন। অপব্যবহার পর্যবেক্ষণসহ প্রম্পট ও আউটপুট কতদিন রাখা হয়?
• অঞ্চল। ডেটা কোথায় প্রসেস ও সংরক্ষিত হয়, এবং আপনি কি তা বেছে নিতে পারেন?
• চুক্তি। আপনার প্ল্যানের জন্য কি ডেটা প্রসেসিং এগ্রিমেন্ট পাওয়া যায়?
• সেলফ-হোস্টিং। সংবেদনশীল ব্যবহারের ক্ষেত্রে নিজস্ব সার্ভারে চালানো একটি ওপেন-সোর্স মডেল কি উপযুক্ত হবে?

নিজস্ব প্রোভাইডার অ্যাকাউন্ট ব্যবহার করলে (bring your own key) চুক্তি, অঞ্চল সেটিং ও রিটেনশন অপশন আপনার নিজের হয়, কোনো ভেন্ডরের অ্যাকাউন্ট থেকে পাওয়া নয়।

6. প্রম্পট ও টুলে কী যাবে তা কমিয়ে আনুন

ডেটা মিনিমাইজেশন (GDPR ধারা 5) AI এজেন্টের জন্য সবচেয়ে কার্যকর প্রাইভেসি নিয়ন্ত্রণ।

• গ্রাহকের রেকর্ড, আইডি ডকুমেন্ট বা অভ্যন্তরীণ নোট নলেজ বেসে আপলোড করবেন না।
• মডেলকে শুধু প্রয়োজনীয় ইতিহাস পাঠান, পুরো কন্টাক্ট প্রোফাইল নয়।
• টুলকে যতটা সম্ভব সংকীর্ণ অ্যাক্সেস দিন: অর্ডার-স্ট্যাটাস টুলের দরকার একটি অর্ডার নম্বর, পুরো গ্রাহক ডেটাবেস নয়।
• জাতীয় পরিচয়পত্র নম্বর, কার্ড নম্বর ও পাসওয়ার্ডের মতো ফিল্ড মাস্ক করুন বা এড়িয়ে চলুন।
• এজেন্টকে নির্দেশ দিন, যে সংবেদনশীল ডেটা তার দরকার নেই তা যেন কখনো না চায়।

এজেন্ট নিয়ম: চ্যাটে কখনো কার্ড নম্বর, পাসওয়ার্ড বা আইডি নম্বর চাইবেন না।
কোনো গ্রাহক এগুলোর কোনোটি শেয়ার করলে তা পুনরাবৃত্তি করবেন না; তার বদলে
নিরাপদ পেমেন্ট লিংক বা আমাদের টিমের সঙ্গে একটি কলের প্রস্তাব দিন।

আপনার এজেন্ট যদি MCP-র মতো প্রোটোকলের মাধ্যমে ব্যবসায়িক সিস্টেমের সঙ্গে যুক্ত হয়, তাহলে একই নিয়ম প্রতিটি সংযুক্ত সিস্টেমের জন্য প্রযোজ্য। ঝুঁকিগুলো জানতে দেখুন গ্রাহক মেসেজিংয়ের জন্য MCP।

7. স্বাস্থ্য ও অন্যান্য বিশেষ ডেটায় বাড়তি সতর্কতা নিন

স্বাস্থ্য, ধর্ম, বায়োমেট্রিক ডেটা এবং অনুরূপ শ্রেণি GDPR ধারা 9 ও KVKK-র অধীনে বাড়তি সুরক্ষা পায়। ক্লিনিক, ফার্মেসি ও বিমা কোম্পানির উচিত AI কী পরিচালনা করবে তা সীমিত রাখা, AI দিয়ে চিকিৎসা-পরামর্শ এড়িয়ে চলা এবং ক্লিনিক্যাল প্রশ্ন যোগ্য কর্মীদের কাছে পাঠানো। বড় পরিসরে এ ধরনের ডেটা প্রসেস করে এমন AI এজেন্ট চালুর আগে একটি ডেটা প্রোটেকশন ইমপ্যাক্ট অ্যাসেসমেন্ট (GDPR ধারা 35) বিবেচনা করুন।

8. প্রতিটি স্টোরের জন্য রিটেনশন ঠিক করুন

স্টোরেজ সীমাবদ্ধতা (GDPR ধারা 5) মানে হলো, ব্যক্তিগত ডেটা শুধু যতদিন দরকার ততদিনই রাখা। নিচের প্রতিটির জন্য একটি সময়কাল ঠিক করে নথিভুক্ত করুন:

• আপনার মেসেজিং প্ল্যাটফর্মে কথোপকথনের ইতিহাস,
• LLM প্রোভাইডারের কাছে থাকা লগ,
• এক্সপোর্ট করা ট্রান্সক্রিপ্ট ও অ্যানালিটিক্স,
• ভেক্টর ডেটাবেস বা নলেজ বেসে থাকা যেকোনো ব্যক্তিগত ডেটা।

এরপর নিশ্চিত করুন, মুছে ফেলা সত্যিই ঘটছে, সম্ভব হলে ব্যাকআপেও।

9. অ্যাক্সেস ও মুছে ফেলার অনুরোধের জন্য প্রস্তুত থাকুন

গ্রাহকরা জানতে চাইতে পারেন আপনার কাছে তাঁদের কী আছে এবং তা মুছে ফেলতে বলতে পারেন (GDPR ধারা 15 ও 17, KVKK-তেও অনুরূপ অধিকার)। আপনার ডেটা ম্যাপের প্রতিটি সিস্টেমে একজন ব্যক্তির কথোপকথন কীভাবে খুঁজে পাবেন এবং প্রতিটিতে কীভাবে মুছবেন তা জেনে রাখুন।

10. শুধু AI-এর নেওয়া সিদ্ধান্ত এড়িয়ে চলুন

GDPR ধারা 22 এমন সিদ্ধান্ত সীমিত করে যা শুধুমাত্র স্বয়ংক্রিয় প্রসেসিংয়ের ওপর ভিত্তি করে এবং মানুষকে উল্লেখযোগ্যভাবে প্রভাবিত করে। AI-কে উত্তর দিতে, তথ্য সংগ্রহ করতে ও রাউট করতে দিন, আর অনুমোদন, প্রত্যাখ্যান, ক্রেডিট সিদ্ধান্ত ও ব্যতিক্রম মানুষের হাতে রাখুন। নির্ভরযোগ্য AI থেকে মানব এজেন্টের কাছে হস্তান্তর একই সঙ্গে একটি সেবা এবং কমপ্লায়েন্সের বৈশিষ্ট্য।

11. অ্যাক্সেস সুরক্ষিত রাখুন এবং লগ রাখুন

কথোপকথন কারা পড়তে পারবে তা সীমিত করুন, রোল-ভিত্তিক অ্যাক্সেস ব্যবহার করুন, মাল্টি-ফ্যাক্টর অথেনটিকেশন বাধ্যতামূলক করুন এবং কে কী করেছে তার অডিট লগ রাখুন। GDPR ধারা 32 ঝুঁকির উপযোগী নিরাপত্তা দাবি করে, এবং ধারা 33 ব্যক্তিগত ডেটা ভঙ্গ মানুষের জন্য ঝুঁকি তৈরি করলে তত্ত্বাবধায়ক কর্তৃপক্ষকে জানানোর জন্য 72 ঘণ্টার সময়সীমা নির্ধারণ করেছে।

12. চ্যানেলের নিজস্ব নিয়ম মেনে চলুন

Meta-র WhatsApp Business Messaging Policy-তে অপ্ট-ইন, ডেটা ব্যবহার ও AI নিয়ে নিজস্ব শর্ত আছে। Meta কী অনুমতি দেয় তা আমাদের ২০২৬ সালের WhatsApp AI চ্যাটবট পলিসি গাইডে আছে, আর সক্রিয় মেসেজের সম্মতি নিয়ে জানতে দেখুন WhatsApp অপ্ট-ইন।

সংক্ষিপ্ত রেফারেন্স: GDPR ও KVKK পাশাপাশি

বিষয়	GDPR	KVKK (আইন নং 6698)
ব্যবহারকারীদের জানানো	ধারা 13 ও 14	জানানোর দায়িত্ব
প্রসেসর চুক্তি	ধারা 28	প্রসেসরের নিরাপত্তায় কন্ট্রোলার যৌথভাবে দায়ী (ধারা 12)
বিদেশে ট্রান্সফার	অধ্যায় V: অ্যাডিকোয়েসি, স্ট্যান্ডার্ড কন্ট্রাক্চুয়াল ক্লজ	অ্যাডিকোয়েসি, কর্তৃপক্ষকে জানানো স্ট্যান্ডার্ড চুক্তি, সীমিত ব্যতিক্রম
বিশেষ শ্রেণি	ধারা 9	ব্যক্তিগত ডেটার বিশেষ শ্রেণি
রিটেনশন	স্টোরেজ সীমাবদ্ধতা, ধারা 5	উদ্দেশ্য শেষ হলে মুছে ফেলা, ধ্বংস বা অ্যানোনিমাইজ করা
ডেটা বিষয়ীর অধিকার	অ্যাক্সেস, মুছে ফেলা ও অন্যান্য	অনুরূপ অধিকার, অ্যাক্সেস ও মুছে ফেলাসহ

AI ও ডেটার নিয়ন্ত্রণ ধরে রাখতে MonoChat কীভাবে সাহায্য করে

MonoChat এমনভাবে তৈরি, যাতে স্ট্যাকের সংবেদনশীল অংশগুলো আপনার নিয়ন্ত্রণে থাকতে পারে। আমাদের নিরাপত্তা ও কমপ্লায়েন্স পেজে বর্ণনা অনুযায়ী প্রোডাক্ট যা দেয়:

• আপনার নিজস্ব LLM কী। কাস্টম LLM-এর মাধ্যমে আপনি নিজের OpenAI, Anthropic, Google, Azure, AWS বা অন্য প্রোভাইডার অ্যাকাউন্ট সংযুক্ত করেন, ফলে মূল্য ও ডেটা চুক্তি আপনার নিজের থাকে, এবং কোন অ্যাসিস্ট্যান্ট কোন মডেল ব্যবহার করবে তা আপনিই ঠিক করেন।
• সেলফ-হোস্টেড মডেল। প্রম্পট আপনার নিজস্ব অবকাঠামোতে রাখতে চাইলে Ollama বা নিজস্ব মডেল API-র মাধ্যমে আপনার সার্ভারে চলা মডেল সংযুক্ত করতে পারেন।
• আপনার নিজস্ব ভেক্টর ডেটাবেস। VectorDB ইন্টিগ্রেশন নলেজ-বেসের ভেক্টর আপনার বেছে নেওয়া ভেক্টর ডেটাবেসে রাখে, আপনার নিজস্ব স্টোরেজ ও রিটেনশন নীতিতে, আপনার নির্বাচিত অঞ্চল বা ক্লাউডে।
• স্কোপড নলেজ। AI নলেজ বেস কনটেন্টকে আলাদা অ্যাক্সেস নিয়ন্ত্রণসহ স্কোপে ভাগ করে, ফলে প্রতিটি এজেন্ট শুধু তার প্রাপ্য তথ্যই সংগ্রহ করে।
• নিয়ন্ত্রিত AI অ্যাকশন। AI ফাংশন টুল ভ্যালিডেশন, পারমিশন, অ্যালাউলিস্ট করা এন্ডপয়েন্ট ও লগসহ চলে, ফলে অ্যাসিস্ট্যান্ট শুধু সেটুকুই করতে পারে যা আপনি অনুমোদন করেছেন।
• অ্যাক্সেস নিয়ন্ত্রণ ও লগ। রোল-ভিত্তিক অ্যাক্সেস, ওয়ার্কস্পেস আইসোলেশন, অডিট লগ এবং এনক্রিপ্টেড, ওয়ার্কস্পেস-স্কোপড প্রোভাইডার ক্রেডেনশিয়াল।
• অফিশিয়াল চ্যানেল API। WhatsApp সংযুক্ত হয় অফিশিয়াল WhatsApp Business Platform (Cloud API)-এর মাধ্যমে, এবং MonoChat একটি অফিশিয়াল Meta Business Partner।
• সার্টিফিকেশন ও নীতি। MonoChat-এর ISO 27001 ও ISO 9001 সার্টিফিকেশন আছে, এবং এর প্রাইভেসি পলিসি KVKK (আইন নং 6698) অনুযায়ী তৈরি। ব্যক্তিগত ডেটা অ্যাক্সেস, সংশোধন বা মুছে ফেলার অনুরোধের উত্তর 30 দিনের মধ্যে দেওয়া হয়।
• অন-প্রেমিস অপশন। কঠোরতর প্রয়োজনের জন্য Enterprise প্ল্যানে অন-প্রেম ডেপ্লয়মেন্ট পাওয়া যায়।

আপনি বিনামূল্যের Basic প্ল্যানে (একটি এজেন্ট, একটি চ্যানেল) app.monochat.ai-এ প্রোডাক্টটি যাচাই করে দেখতে পারেন, এবং রিভিউয়ের আগে পুরো প্রাইভেসি পলিসি পড়ে নিতে পারেন।

সূত্র

• Regulation (EU) 2016/679 (GDPR), EUR-Lex
• Regulation (EU) 2024/1689 (AI Act), EUR-Lex
• KVKK: Personal Data Protection Law No. 6698
• Meta for Developers: Cloud API local storage
• WhatsApp Business Messaging Policy