AI चैटबॉट और ग्राहक डेटा: मैसेजिंग टीमों के लिए GDPR और KVKK प्राइवेसी चेकलिस्ट

AI चैटबॉट को GDPR और KVKK के अनुरूप बनाने के लिए, उन सभी सिस्टम का नक्शा बनाएँ जिनसे ग्राहकों के मैसेज गुज़रते हैं, प्रोसेसिंग का वैध आधार और स्पष्ट प्राइवेसी नोटिस रखें, हर प्रोवाइडर के साथ डेटा प्रोसेसिंग एग्रीमेंट साइन करें, डेटा EU या तुर्किये से बाहर जाए तो मान्य ट्रांसफ़र व्यवस्था अपनाएँ, जहाँ संभव हो व्यक्तिगत डेटा को प्रॉम्प्ट से बाहर रखें, रिटेंशन अवधि तय करें, और लोगों को बताएँ कि वे AI से बात कर रहे हैं। कंप्लायंस इस बात से आता है कि आप चैटबॉट को कैसे तैनात करते हैं, चैटबॉट से अपने आप नहीं आता।

मुश्किल यह है कि WhatsApp का एक जवाब चार-पाँच कंपनियों को छू सकता है: Meta, आपका मैसेजिंग प्लेटफ़ॉर्म, एक LLM प्रोवाइडर, एक वेक्टर डेटाबेस और वह CRM जिसमें एजेंट जानकारी देखता है। यह चेकलिस्ट इनमें से हर एक को क्रम से देखती है। यह मैसेजिंग टीमों के लिए व्यावहारिक मार्गदर्शन है, कानूनी सलाह नहीं, इसलिए ब्योरे अपने डेटा प्रोटेक्शन ऑफ़िसर या कानूनी सलाहकार से पक्के कर लें।

AI एजेंट के जवाब देते समय ग्राहक डेटा कहाँ जाता है

शुरुआत एक मैसेज का रास्ता बनाकर करें। एक सामान्य फ़्लो कुछ ऐसा दिखता है:

चरण	सिस्टम	शामिल डेटा	आपका सवाल
1	मैसेजिंग चैनल (WhatsApp, Instagram, Messenger)	फ़ोन नंबर या यूज़रनेम, मैसेज की सामग्री, मीडिया	कौन-सी शर्तें और स्टोरेज नियम लागू होते हैं?
2	मैसेजिंग प्लेटफ़ॉर्म	बातचीत का इतिहास, कॉन्टैक्ट प्रोफ़ाइल, टैग, नोट्स	इसे कौन एक्सेस कर सकता है, यह कहाँ स्टोर होता है, कितने समय तक?
3	नॉलेज बेस और वेक्टर डेटाबेस	आपका कंटेंट; व्यक्तिगत डेटा सिर्फ़ तब जब आपने अपलोड किया हो	क्या इंडेक्स में कोई व्यक्तिगत डेटा रखा है?
4	LLM प्रोवाइडर	प्रॉम्प्ट: निर्देश, निकाला गया टेक्स्ट, इतिहास, ताज़ा मैसेज	क्या डेटा रखा जाता है, ट्रेनिंग में इस्तेमाल होता है, कहाँ प्रोसेस होता है?
5	जुड़े हुए टूल (CRM, बुकिंग, स्टोर)	ऑर्डर डेटा, अपॉइंटमेंट, अकाउंट की जानकारी	एजेंट क्या पढ़ और लिख सकता है?
6	इंसानी एजेंट	सौंपे जाने के बाद पूरी बातचीत	कौन क्या देखता है, और क्या यह लॉग होता है?

हर पंक्ति वह जगह है जहाँ व्यक्तिगत डेटा प्रोसेस होता है और जहाँ आपको कॉन्ट्रैक्ट, रिटेंशन नियम और एक्सेस कंट्रोल चाहिए। अगर आप किसी पंक्ति को भर नहीं पाते, तो वही आपका पहला काम है।

AI चैटबॉट प्राइवेसी चेकलिस्ट

1. वैध आधार चुनें और उसे लिखकर रखें

GDPR (अनुच्छेद 6) के तहत हर प्रोसेसिंग उद्देश्य के लिए एक कानूनी आधार चाहिए। जिस ग्राहक ने आपको लिखा है उसे जवाब देना आम तौर पर कॉन्ट्रैक्ट या वैध हित पर टिका होता है। मार्केटिंग मैसेज आम तौर पर सहमति पर टिकते हैं। अपने एजेंट को बेहतर बनाने के लिए बातचीत का इस्तेमाल एक अलग उद्देश्य है, और उसे यह मानकर नहीं चलना चाहिए कि मूल आधार उसे कवर करता है; उसका अलग से आकलन करें।

KVKK की प्रोसेसिंग शर्तों की अपनी सूची है। अगर आप EU और तुर्किये, दोनों के ग्राहकों को सेवा देते हैं, तो हर कानून के तहत आधार दर्ज करें।

2. लोगों को AI और उनके डेटा के बारे में बताएँ

आपके प्राइवेसी नोटिस में लिखा होना चाहिए कि बातचीत AI सिस्टम द्वारा संभाली जा सकती है, कौन-से प्रोवाइडर डेटा प्रोसेस करते हैं, कहाँ, कितने समय तक, और किसी इंसान तक कैसे पहुँचें। क्या शामिल करना है, यह GDPR के अनुच्छेद 13 और 14 में तय है, और KVKK में भी जानकारी देने का इसी तरह का दायित्व है।

EU में AI Act की पारदर्शिता संबंधी बाध्यताएँ 2 अगस्त 2026 से लागू होती हैं। इनके तहत लोगों को बताया जाना चाहिए कि वे किसी AI सिस्टम से बातचीत कर रहे हैं, जब तक कि संदर्भ से यह साफ़ न हो। एक छोटा पहला मैसेज कानूनी बात और ग्राहक की अपेक्षाएँ, दोनों संभाल लेता है:

नमस्ते, मैं Northwind Home का वर्चुअल असिस्टेंट हूँ, एक AI। मैं ऑर्डर,
रिटर्न और डिलीवरी में मदद कर सकता हूँ। हमारी टीम से बात करने के लिए
कभी भी "एजेंट" लिखें।
प्राइवेसी नोटिस: northwindhome.example/privacy

3. हर प्रोसेसर के साथ डेटा प्रोसेसिंग एग्रीमेंट साइन करें

आपका मैसेजिंग प्लेटफ़ॉर्म, LLM प्रोवाइडर, वेक्टर डेटाबेस होस्ट और आपकी ओर से व्यक्तिगत डेटा संभालने वाला हर टूल प्रोवाइडर एक प्रोसेसर है। GDPR का अनुच्छेद 28 ऐसा लिखित कॉन्ट्रैक्ट माँगता है जो प्रोसेसिंग को आपके निर्देशों तक सीमित रखे, गोपनीयता और सुरक्षा अनिवार्य करे, और सब-प्रोसेसर, डिलीशन तथा ऑडिट को कवर करे। सब-प्रोसेसर की सूची रखें और प्रोवाइडर बदलने पर उसे जाँचें।

4. EU या तुर्किये के बाहर ट्रांसफ़र जाँचें

कई LLM प्रोवाइडर दूसरे देशों में डेटा प्रोसेस करते हैं। GDPR के अध्याय V के तहत EEA के बाहर ट्रांसफ़र के लिए एडिक्वेसी निर्णय या स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़ जैसे उपयुक्त सुरक्षा उपाय चाहिए।

विदेश ट्रांसफ़र पर KVKK के नियम जून 2024 में बदले। अब ट्रांसफ़र एडिक्वेसी निर्णय, उपयुक्त सुरक्षा उपायों (जैसे Personal Data Protection Board के प्रकाशित स्टैंडर्ड कॉन्ट्रैक्ट) या सीमित अपवादों पर आधारित होते हैं। स्टैंडर्ड कॉन्ट्रैक्ट साइन होने के पाँच कार्य-दिवस के भीतर Authority को सूचित करने होते हैं। जाँचें कि हर प्रोवाइडर डेटा कहाँ प्रोसेस करता है, और ऐसे रीजन या प्रोवाइडर चुनें जो आपकी बाध्यताओं से मेल खाते हों।

WhatsApp पर Meta की Cloud API लोकल स्टोरेज देती है: आप हर बिज़नेस फ़ोन नंबर के लिए चुन सकते हैं कि मैसेज डेटा स्टोरेज में कहाँ रखा जाए। इस्तेमाल के दौरान कंटेंट अब भी अंतरराष्ट्रीय स्तर पर Meta के डेटा सेंटर में प्रोसेस हो सकता है, Cloud API पर 60 मिनट तक, उसके बाद वह सिर्फ़ चुने हुए रीजन में रखा जाता है।

5. LLM प्रोवाइडर सोच-समझकर चुनें

मॉडल प्रोवाइडर वह सब देखता है जो आप प्रॉम्प्ट में डालते हैं। किसी को जोड़ने से पहले जाँचें:

• ट्रेनिंग में इस्तेमाल। क्या प्रोवाइडर API डेटा से मॉडल ट्रेन करता है, और क्या आप इससे ऑप्ट-आउट कर सकते हैं?
• रिटेंशन। प्रॉम्प्ट और आउटपुट कितने समय तक रखे जाते हैं, दुरुपयोग की निगरानी के लिए भी?
• रीजन। डेटा कहाँ प्रोसेस और स्टोर होता है, और क्या आप चुन सकते हैं?
• कॉन्ट्रैक्ट। क्या आपके प्लान के लिए डेटा प्रोसेसिंग एग्रीमेंट उपलब्ध है?
• सेल्फ़-होस्टिंग। क्या संवेदनशील उपयोग के लिए आपके अपने सर्वर पर ओपन-सोर्स मॉडल ठीक रहेगा?

अपना खुद का प्रोवाइडर अकाउंट (अपनी key) इस्तेमाल करने का मतलब है कि कॉन्ट्रैक्ट, रीजन सेटिंग और रिटेंशन विकल्प आपके होते हैं, किसी वेंडर के अकाउंट से विरासत में नहीं मिलते।

6. प्रॉम्प्ट और टूल में जाने वाला डेटा कम से कम रखें

डेटा मिनिमाइज़ेशन (GDPR अनुच्छेद 5) AI एजेंट के लिए सबसे असरदार प्राइवेसी कंट्रोल है।

• ग्राहकों के रिकॉर्ड, ID दस्तावेज़ या आंतरिक नोट्स नॉलेज बेस में अपलोड न करें।
• मॉडल को सिर्फ़ उतना इतिहास भेजें जितना उसे चाहिए, पूरी कॉन्टैक्ट प्रोफ़ाइल नहीं।
• टूल्स को कम से कम संभव एक्सेस दें: ऑर्डर-स्टेटस टूल को ऑर्डर नंबर चाहिए, पूरा ग्राहक डेटाबेस नहीं।
• राष्ट्रीय ID नंबर, कार्ड नंबर और पासवर्ड जैसे फ़ील्ड को मास्क करें या इस्तेमाल ही न करें।
• एजेंट को निर्देश दें कि वह ऐसा संवेदनशील डेटा कभी न माँगे जिसकी उसे ज़रूरत नहीं।

एजेंट नियम: चैट में कभी कार्ड नंबर, पासवर्ड या ID नंबर न माँगें।
अगर कोई ग्राहक ऐसी जानकारी भेज दे, तो उसे दोहराएँ नहीं, और इसके
बजाय सुरक्षित पेमेंट लिंक या हमारी टीम के साथ कॉल का विकल्प दें।

अगर आपका एजेंट MCP जैसे प्रोटोकॉल के ज़रिए बिज़नेस सिस्टम से जुड़ता है, तो यही नियम हर जुड़े सिस्टम पर लागू होता है। जोखिमों के लिए ग्राहक मैसेजिंग के लिए MCP देखें।

7. स्वास्थ्य और अन्य विशेष डेटा में अतिरिक्त सावधानी बरतें

स्वास्थ्य, धर्म, बायोमेट्रिक डेटा और ऐसी ही श्रेणियों को GDPR के अनुच्छेद 9 और KVKK के तहत अतिरिक्त सुरक्षा मिलती है। क्लिनिक, फ़ार्मेसी और बीमा कंपनियों को AI जो संभालता है उसे सीमित रखना चाहिए, AI से चिकित्सा सलाह देने से बचना चाहिए, और क्लिनिकल सवाल योग्य स्टाफ़ को भेजने चाहिए। ऐसे डेटा को बड़े स्तर पर प्रोसेस करने वाला AI एजेंट लॉन्च करने से पहले डेटा प्रोटेक्शन इम्पैक्ट असेसमेंट (GDPR अनुच्छेद 35) पर विचार करें।

8. हर स्टोर के लिए रिटेंशन तय करें

स्टोरेज लिमिटेशन (GDPR अनुच्छेद 5) का मतलब है कि आप व्यक्तिगत डेटा सिर्फ़ उतने समय तक रखें जितनी ज़रूरत हो। इनके लिए अवधि तय करें और दर्ज करें:

• आपके मैसेजिंग प्लेटफ़ॉर्म में बातचीत का इतिहास,
• LLM प्रोवाइडर के लॉग,
• एक्सपोर्ट किए गए ट्रांसक्रिप्ट और एनालिटिक्स,
• वेक्टर डेटाबेस या नॉलेज बेस में मौजूद कोई भी व्यक्तिगत डेटा।

फिर पक्का करें कि डिलीशन सच में हो, जहाँ संभव हो बैकअप में भी।

9. एक्सेस और डिलीशन अनुरोधों के लिए तैयार रहें

ग्राहक पूछ सकते हैं कि आपके पास उनके बारे में क्या है और उसे डिलीट करने को कह सकते हैं (GDPR अनुच्छेद 15 और 17, KVKK में भी ऐसे ही अधिकार)। जानें कि अपने डेटा मैप के हर सिस्टम में किसी व्यक्ति की बातचीत कैसे ढूँढें, और हर एक में उसे कैसे डिलीट करें।

10. सिर्फ़ AI द्वारा लिए गए फ़ैसलों से बचें

GDPR का अनुच्छेद 22 उन फ़ैसलों को सीमित करता है जो सिर्फ़ ऑटोमेटेड प्रोसेसिंग पर आधारित हों और लोगों को काफ़ी प्रभावित करें। AI को जवाब देने, जानकारी इकट्ठा करने और रूट करने दें, और मंज़ूरी, इनकार, क्रेडिट फ़ैसले और अपवाद इंसानों के पास रखें। भरोसेमंद AI से इंसान को हैंडऑफ़ सेवा की भी खूबी है और कंप्लायंस की भी।

11. एक्सेस सुरक्षित रखें और लॉग रखें

तय करें कि बातचीत कौन पढ़ सकता है, रोल-बेस्ड एक्सेस इस्तेमाल करें, मल्टी-फ़ैक्टर ऑथेंटिकेशन अनिवार्य करें, और ऑडिट लॉग रखें कि किसने क्या किया। GDPR का अनुच्छेद 32 जोखिम के अनुरूप सुरक्षा माँगता है, और अनुच्छेद 33 व्यक्तिगत डेटा उल्लंघन की सूचना सुपरवाइज़री अथॉरिटी को देने के लिए 72 घंटे की समय-सीमा तय करता है, जहाँ उल्लंघन से लोगों के लिए जोखिम हो।

12. चैनल के अपने नियम मानें

Meta की WhatsApp Business Messaging Policy में ऑप्ट-इन, डेटा इस्तेमाल और AI पर अपनी शर्तें हैं। हमारी गाइड 2026 के लिए WhatsApp AI चैटबॉट पॉलिसी बताती है कि Meta क्या अनुमति देता है, और WhatsApp ऑप्ट-इन प्रोएक्टिव मैसेज के लिए सहमति को कवर करती है।

त्वरित संदर्भ: GDPR और KVKK आमने-सामने

विषय	GDPR	KVKK (कानून संख्या 6698)
यूज़र्स को जानकारी देना	अनुच्छेद 13 और 14	जानकारी देने का दायित्व
प्रोसेसर कॉन्ट्रैक्ट	अनुच्छेद 28	प्रोसेसर की सुरक्षा के लिए कंट्रोलर संयुक्त रूप से ज़िम्मेदार (अनुच्छेद 12)
विदेश ट्रांसफ़र	अध्याय V: एडिक्वेसी, स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़	एडिक्वेसी, Authority को सूचित स्टैंडर्ड कॉन्ट्रैक्ट, सीमित अपवाद
विशेष श्रेणियाँ	अनुच्छेद 9	व्यक्तिगत डेटा की विशेष श्रेणियाँ
रिटेंशन	स्टोरेज लिमिटेशन, अनुच्छेद 5	उद्देश्य समाप्त होने पर डिलीशन, विनाश या एनोनिमाइज़ेशन
डेटा विषय के अधिकार	एक्सेस, इरेज़र और अन्य	एक्सेस और डिलीशन सहित इसी तरह के अधिकार

MonoChat AI और डेटा पर आपका नियंत्रण कैसे बनाए रखता है

MonoChat इस तरह बनाया गया है कि स्टैक के संवेदनशील हिस्से आपके नियंत्रण में रह सकें। हमारे सुरक्षा और कंप्लायंस पेज पर बताए अनुसार, प्रोडक्ट ये देता है:

• आपकी अपनी LLM key। कस्टम LLM के साथ आप अपना OpenAI, Anthropic, Google, Azure, AWS या दूसरा प्रोवाइडर अकाउंट जोड़ते हैं, ताकि आपकी अपनी प्राइसिंग और डेटा एग्रीमेंट बने रहें, और आप तय करें कि कौन-सा असिस्टेंट कौन-सा मॉडल इस्तेमाल करे।
• सेल्फ़-होस्टेड मॉडल। जब प्रॉम्प्ट आपके अपने इंफ्रास्ट्रक्चर पर ही रहने चाहिए, तब आप Ollama के ज़रिए या अपनी मॉडल API से अपने सर्वर पर चल रहे मॉडल जोड़ सकते हैं।
• आपका अपना वेक्टर डेटाबेस। VectorDB इंटीग्रेशन नॉलेज-बेस वेक्टर आपके चुने हुए वेक्टर डेटाबेस में रखता है, आपकी अपनी स्टोरेज और रिटेंशन पॉलिसी के साथ, आपके चुने हुए रीजन या क्लाउड में।
• स्कोप्ड नॉलेज। AI नॉलेज बेस कंटेंट को अपने-अपने एक्सेस कंट्रोल वाले स्कोप में बाँटता है, ताकि हर एजेंट सिर्फ़ वही निकाले जो उसे निकालना चाहिए।
• नियंत्रित AI एक्शन। AI फ़ंक्शन टूल वैलिडेशन, अनुमतियों, allowlist किए गए एंडपॉइंट और लॉग के साथ चलते हैं, इसलिए असिस्टेंट सिर्फ़ वही कर सकता है जो आप अनुमति दें।
• एक्सेस कंट्रोल और लॉग। रोल-बेस्ड एक्सेस, वर्कस्पेस आइसोलेशन, ऑडिट लॉग, और एन्क्रिप्टेड, वर्कस्पेस-स्कोप्ड प्रोवाइडर क्रेडेंशियल।
• आधिकारिक चैनल API। WhatsApp आधिकारिक WhatsApp Business Platform (Cloud API) से जुड़ता है, और MonoChat एक आधिकारिक Meta Business Partner है।
• सर्टिफ़िकेशन और पॉलिसी। MonoChat के पास ISO 27001 और ISO 9001 सर्टिफ़िकेशन हैं, और इसकी प्राइवेसी पॉलिसी KVKK (कानून संख्या 6698) के तहत तैयार की गई है। व्यक्तिगत डेटा को एक्सेस, सही या डिलीट करने के अनुरोधों का जवाब 30 दिनों के भीतर दिया जाता है।
• ऑन-प्रेमिस विकल्प। Enterprise प्लान सख्त ज़रूरतों के लिए ऑन-प्रेम डिप्लॉयमेंट देता है।

आप मुफ़्त Basic प्लान (एक एजेंट, एक चैनल) पर app.monochat.ai में प्रोडक्ट को परख सकते हैं, और अपनी समीक्षा से पहले पूरी प्राइवेसी पॉलिसी पढ़ सकते हैं।

स्रोत

• Regulation (EU) 2016/679 (GDPR), EUR-Lex
• Regulation (EU) 2024/1689 (AI Act), EUR-Lex
• KVKK: Personal Data Protection Law No. 6698
• Meta for Developers: Cloud API local storage
• WhatsApp Business Messaging Policy