AI चैटबॉट GDPR कंप्लायंस चेकलिस्ट (2026): PDPL, LGPD और बाकी

पहले AI चैटबॉट GDPR कंप्लायंस चेकलिस्ट का मतलब बस एक प्राइवेसी लिंक और एक कुकी बैनर होता था। 2026 में उसे EU AI Act की चैटबॉट डिस्क्लोजर जिम्मेदारी भी संभालनी है, जो 2 अगस्त 2026 से लागू है, और साथ में खाड़ी व बाकी MENA, तुर्की, भारत, ब्राजील के डेटा प्रोटेक्शन कानून और अमेरिका की राज्य-दर-राज्य तस्वीर भी। यह गाइड 10 व्यावहारिक कदम देती है, देश के हिसाब से ब्रीच डेडलाइन की एक तालिका देती है, और यह भी साफ करती है कि इराक और कुर्दिस्तान क्षेत्र कहां खड़े हैं।

यह चेकलिस्ट सामान्य जानकारी है, कानूनी सलाह नहीं है; जिस-जिस देश में आप काम करते हैं, वहां किसी योग्य वकील से सलाह लें।

मुख्य बातें

EU AI Act के तहत चैटबॉट को यह बताना जरूरी है कि वह AI है, बशर्ते यह पहले से जाहिर न हो। Article 50(1) 2 अगस्त 2026 से लागू है, और जुलाई 2026 के Digital Omnibus ने उसे टाला नहीं।
ज्यादातर रेगुलेटर 72 घंटे की ब्रीच डेडलाइन पर चलते हैं, लेकिन सभी नहीं। GDPR, सऊदी PDPL के नियम, KVKK Board, मिस्र, बहरीन, ओमान और जॉर्डन 72 घंटे पर चलते हैं, और ADGM "बिना अनुचित देरी और, जहां संभव हो, 72 घंटे से ज्यादा नहीं" पर; कुवैत लाइसेंसधारी providers को 24 घंटे देता है, DIFC सिर्फ "जितनी जल्दी व्यावहारिक हो" मांगता है, और ब्राजील का ANPD 3 कार्यदिवस। अमेरिका में कोई एक समयसीमा है ही नहीं — ब्रीच की सूचना हर राज्य के अपने अलग ब्रीच कानून से तय होती है, और कैलिफोर्निया में यह पता चलने से 30 कैलेंडर दिन के भीतर प्रभावित निवासियों को देनी होती है।
GDPR का Article 28(3) हर processor के साथ एक बाध्यकारी अनुबंध (DPA) जरूरी करता है, जिसमें आमतौर पर आपका इनबॉक्स प्लेटफॉर्म और AI मॉडल provider दोनों आते हैं।
इराक में निजी क्षेत्र के लिए कोई व्यापक डेटा प्रोटेक्शन कानून लागू नहीं है, और कुर्दिस्तान क्षेत्र में भी नहीं, इसलिए GDPR के स्तर का अभ्यास एक समझदारी वाला baseline है।
AI ऑटो-रिप्लाई टूल को जवाब देने के लिए मैसेज पढ़ने ही पड़ते हैं, इसलिए access control, retention की सीमाएं और एन्क्रिप्टेड credentials उतने ही मायने रखते हैं जितना encryption in transit।

2026 में AI चैटबॉट GDPR कंप्लायंस चेकलिस्ट किसे चाहिए

GDPR के मुताबिक चलने वाला चैटबॉट व्यक्तिगत डेटा किसी वैध आधार पर प्रोसेस करता है, लोगों को बताता है कि उनके डेटा के साथ क्या होता है, उसे सुरक्षित रखता है और लोगों को अपने अधिकार इस्तेमाल करने देता है। WhatsApp, Instagram या Telegram पर बेचने वाले बिजनेस को आमतौर पर स्थानीय कानूनों का भी जवाब देना पड़ता है:

EU: GDPR (25 मई 2018 से लागू) और AI Act का Article 50। EU से बाहर बैठकर EU के लोगों को सेवा दे रहे हैं? वकील से पूछें कि GDPR आप पर लागू होता है या नहीं।
अमेरिका: कोई एक संघीय प्राइवेसी कानून नहीं है। जिम्मेदारियां ज्यादातर राज्य स्तर पर हैं, जिनमें कैलिफोर्निया का CCPA/CPRA सबसे आगे है, साथ में ऑटोमेटेड मार्केटिंग कॉल और टेक्स्ट के लिए TCPA का consent और मेन जैसे राज्यों के bot-डिस्क्लोजर नियम भी।
सऊदी अरब: सऊदी PDPL, जिसकी छूट अवधि 14 सितंबर 2024 को खत्म हो गई। इसका नियमन SDAIA करता है, और इसमें सऊदी अरब में मौजूद लोगों के डेटा की विदेश में होने वाली प्रोसेसिंग भी शामिल है।
UAE (संघीय): Decree-Law No. 45 of 2021, जनवरी 2022 से लागू, जिसके Executive Regulations अब तक जारी नहीं हुए हैं।
DIFC: Law No. 5 of 2020; हर साल Commissioner को प्रोसेसिंग की सूचना देनी होती है, और Article 10 के autonomous systems वाले नियम चैटबॉट पर भी लागू होते हैं।
ADGM: Data Protection Regulations 2021; प्रोसेसिंग शुरू करने से पहले Office of Data Protection में रजिस्टर करें, और हर साल उसका नवीनीकरण कराएं।
कतर: Law No. 13 of 2016, जिसकी निगरानी NCSA करता है; स्पष्ट consent जरूरी, और विशेष प्रकृति वाले डेटा के लिए अलग अनुमति भी।
बहरीन: Law No. 30 of 2018; विदेश ट्रांसफर के लिए PDPA की मंजूर सूची, उसकी अनुमति, या कोई दूसरा आधार चाहिए।
कुवैत: CITRA का नियमन, जिसे 2024 में सीमित करके सिर्फ लाइसेंसधारी टेलीकॉम और इंटरनेट providers तक कर दिया गया, इसलिए ज्यादातर बिजनेस इसके दायरे से बाहर हैं।
ओमान: Royal Decree No. 6/2022, 5 फरवरी 2026 से प्रवर्तनीय; consent पहले, और legitimate interest का कोई आधार नहीं।
जॉर्डन: Law No. 24 of 2023, मार्च 2025 से लागू; पहले से consent, और विदेश भेजने के लिए दोबारा consent।
मोरक्को: Law No. 09-08; पहले CNDP को प्रोसेसिंग की घोषणा करें, और विदेश ट्रांसफर के लिए CNDP से अनुमति लें।
मिस्र: Law 151/2020; इसके Executive Regulations (Decree No. 816 of 2025) अनुपालन के लिए करीब नवंबर 2026 की शुरुआत तक का समय देते हैं।
तुर्की: KVKK (Law No. 6698), जिसमें 1 जून 2024 से Law 7499 के जरिए संशोधन हुआ।
भारत: DPDP Act 2023 (डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023); Rules नवंबर 2025 में अधिसूचित हुए, और ज्यादातर मूल जिम्मेदारियां करीब मई 2027 से।
ब्राजील: LGPD (Law 13.709/2018), जिसे ANPD लागू कराता है।

अमेरिका में AI चैटबॉट कंप्लायंस: CCPA, TCPA और bot डिस्क्लोजर

सामान्य जानकारी, कानूनी सलाह नहीं। इनमें से कोई कानून आप पर लागू होता है या नहीं, यह आपके राजस्व, रिकॉर्ड की संख्या, सेक्टर और डेटा के प्रकार पर निर्भर करता है — वकील से जांच लें।

अमेरिकी राज्यों के प्राइवेसी कानूनों की प्रकाशित गिनती तरीके के हिसाब से अलग-अलग आती है: सितंबर 2026 तक करीब 20 लागू हैं और 24 पारित हो चुके हैं।

कैलिफोर्निया का CCPA, जैसा CPRA से संशोधित हुआ है, उस मुनाफा कमाने वाले बिजनेस पर लागू होता है जो कैलिफोर्निया में कारोबार करता है, वहां के निवासियों की व्यक्तिगत जानकारी जुटाता है, और तीन में से कोई एक सीमा पार करता है: वैश्विक सालाना सकल राजस्व $26,625,000 से ज्यादा (यह आंकड़ा 1 जनवरी 2025 से प्रभावी है); 100,000 या उससे ज्यादा कैलिफोर्निया उपभोक्ताओं या घरों की व्यक्तिगत जानकारी खरीदना, बेचना या साझा करना; या राजस्व का 50% या उससे ज्यादा हिस्सा व्यक्तिगत जानकारी बेचने या साझा करने से आना। कैलिफोर्निया छह अधिकार देता है: जानने का, मिटाने का, सुधारने का, बिक्री और साझा करने से ऑप्ट आउट करने का, संवेदनशील व्यक्तिगत जानकारी का इस्तेमाल सीमित करने का, और भेदभाव न होने का। बाकी राज्यों में एक साझा कोर है — प्राइवेसी नोटिस, और टारगेटेड विज्ञापन, बिक्री व कुछ profiling से ऑप्ट आउट — और ज्यादातर राज्य संवेदनशील डेटा के लिए ऑप्ट-इन consent भी जोड़ते हैं, जिसे फ्री-टेक्स्ट चैट पहले से वर्गीकृत नहीं कर सकती।

सबसे धारदार पेच अनुबंध हैं: CCPA के नियमों (§7051(c)) के तहत, जिस वेंडर के साथ नियमों पर खरा service-provider अनुबंध नहीं है वह service provider नहीं माना जाता, और उसे व्यक्तिगत जानकारी देना बिक्री या साझा करना माना जा सकता है। करीब एक दर्जन राज्य यह भी मांगते हैं कि universal opt-out सिग्नल का पालन किया जाए — आपके widget वाले होस्ट पेज पर, WhatsApp, Instagram या Telegram पर नहीं; Global Privacy Control को कैलिफोर्निया, कोलोराडो और कनेक्टिकट में मान्यता मिली है, और यह सूची बदलती रहती है, इसलिए इसे जांच लें।

इनके ऊपर सेक्टर के नियम बैठते हैं: HIPAA वहां, जहां आपका ग्राहक covered entity है और चैट में स्वास्थ्य डेटा जाता है — Meta और Telegram सामान्य बिजनेस मैसेजिंग के लिए business associate agreement साइन नहीं करते, इसलिए protected health information इन चैनलों से नहीं भेजी जा सकती — साथ में गैर-बैंक वित्तीय कंपनियों के लिए GLBA Safeguards Rule और 13 साल से कम उम्र वालों के डेटा के लिए COPPA। FTC Act की Section 5 के तहत, प्राइवेसी और सुरक्षा के जो दावे आप प्रकाशित करते हैं, वे सच होने चाहिए।

आउटबाउंड मार्केटिंग अलग मामला है। TCPA के तहत, अमेरिकी वायरलेस नंबरों पर autodialer या पहले से रिकॉर्ड की गई आवाज से भेजी जाने वाली मार्केटिंग कॉल और टेक्स्ट के लिए पहले से स्पष्ट लिखित consent जरूरी है, और वैधानिक हर्जाना हर उल्लंघन करने वाली कॉल या टेक्स्ट पर $500 है, जानबूझकर या जानते-बूझते किए गए उल्लंघन पर $1,500 तक, आम तौर पर प्रति मैसेज। Consent वापस लेने की बात किसी भी उचित तरीके से आ सकती है और उसे 10 कार्यदिवस के भीतर मानना होता है। इंटरनेट से रूट होने वाले WhatsApp मैसेज TCPA के दायरे में आते हैं या नहीं, यह अभी तय नहीं है, इसलिए लिखित ऑप्ट-इन को कोई तय नियम नहीं, बल्कि समझदारी वाला baseline मानें; वैसे भी Meta की WhatsApp Business Messaging Policy ऑप्ट-इन मांगती है।

Bot डिस्क्लोजर भी राज्य स्तर का मामला है। मेन का चैटबॉट कानून (10 M.R.S. §1500-DD), जो 24 सितंबर 2025 से लागू है, सबसे व्यापक है और आम सेल्स व सपोर्ट bot तक पहुंचता है; यूटा में डिस्क्लोजर तब जरूरी है जब उपभोक्ता पूछे, और स्वास्थ्य या वित्तीय डेटा जुटाने जैसी high-risk बातचीत में बिना पूछे भी। कैलिफोर्निया का B.O.T. Act ज्यादा सीमित है: गुमराह करने की मंशा, हर महीने 10 मिलियन (1 करोड़) या उससे ज्यादा यूनीक अमेरिकी विजिटर वाले सार्वजनिक प्लेटफॉर्म, और safe harbour के तौर पर साफ डिस्क्लोजर।

चरण 1: अपने चैटबॉट के जुटाए व्यक्तिगत डेटा का नक्शा बनाएं और देखें वह कहां-कहां जाता है

डेटा मैपिंग का मतलब है — चैटबॉट जिस भी व्यक्तिगत डेटा को छूता है, उसकी पूरी सूची बनाना: वह कहां स्टोर होता है और किसे मिलता है। हर चैनल के लिए यह दर्ज करें:

ग्राहक क्या भेजते हैं: नाम, फोन नंबर, ईमेल, पते, ऑर्डर का ब्योरा, फोटो और वॉइस नोट।
आप क्या स्टोर करते हैं: बातचीत का इतिहास, संपर्क प्रोफाइल और AI prompt के लॉग।
सिस्टम को क्या जोड़ता है: चैनल access token, AI provider की API keys और webhook secrets।
डेटा कहां जाता है: मैसेजिंग प्लेटफॉर्म, आपका इनबॉक्स provider, AI मॉडल provider और कोई भी CRM या पेमेंट टूल।

हर वेंडर का retention भी नोट करें। Meta कहता है कि वह WhatsApp Cloud API के लिए data processor की भूमिका में है और Cloud API के मैसेज ज्यादा से ज्यादा 30 दिन रखता है (Meta डेवलपर डॉक्स)। हमारी Cloud API बनाम Business App तुलना भी देखें।

चरण 2: वैध आधार चुनें और जहां जरूरी हो वहां consent लें

GDPR का Article 6 प्रोसेसिंग के वैध आधार गिनाता है। हर मकसद के लिए एक आधार चुनें, हर टूल के लिए नहीं:

ऑर्डर या सपोर्ट के सवालों का जवाब देना एक मकसद है।
मार्केटिंग ब्रॉडकास्ट और फॉलो-अप अलग मकसद हैं; देखें कि इनके लिए अलग consent चाहिए या नहीं।
अपना AI बेहतर बनाने के लिए चैट दोबारा इस्तेमाल करना एक और मकसद है; इसे चुपचाप बाकी चीजों के साथ न जोड़ें।

अपने डेटा मैप में हर मकसद के आगे आधार लिख दें, और किसी भी consent का सबूत संभालकर रखें।

चरण 3: यूजर्स को बताएं कि वे AI से बात कर रहे हैं (EU AI Act का Article 50)

EU AI Act के Article 50(1) के तहत, लोगों से बातचीत करने वाले AI सिस्टम को साफ-साफ और पहली ही बातचीत से बताना होता है कि वे AI से बात कर रहे हैं, बशर्ते यह पहले से जाहिर न हो। यह जिम्मेदारी 2 अगस्त 2026 से लागू है, और यूरोपीय आयोग के Article 50 FAQ के मुताबिक इसका जुर्माना EUR 15 मिलियन (1.5 करोड़ यूरो) तक या वैश्विक टर्नओवर का 3% तक हो सकता है। 27 जुलाई 2026 से लागू Digital Omnibus on AI ने इसे टाला नहीं। अपने सेटअप पर यह जिम्मेदारी कैसे लागू होती है, यह वकील से पूछें, और जांच लें कि आपका चैटबॉट टूल यह डिस्क्लोजर दिखाता है या नहीं।

हर DM थ्रेड में bot के पहले जवाब में एक लाइन का डिस्क्लोजर रखें, जैसे "नमस्ते, मैं [ब्रांड] का AI असिस्टेंट हूं।"
एक प्राइवेसी नोटिस लिंक करें जिसमें वह जानकारी हो जो लोगों से डेटा लेते समय GDPR का Article 13 मांगता है।
कुछ अमेरिकी राज्य भी यही मांगते हैं: मेन 24 सितंबर 2025 से, और यूटा तब जब उपभोक्ता पूछे या बातचीत high-risk हो।

चरण 4: bot जो डेटा जुटाता, स्टोर करता और AI मॉडल को भेजता है, उसे कम से कम रखें

डेटा मिनिमाइजेशन का मतलब है सिर्फ उतना ही जुटाना जितना काम के लिए चाहिए। कम डेटा यानी सुरक्षित करने, डिलीट करने और रिपोर्ट करने के लिए कम।

डिलीवरी या खुलने के समय जैसे सवालों के जवाब देने के लिए ID नंबर या जन्मतिथि न मांगें।
ग्राहकों से कहें कि चैट में कार्ड नंबर या पासवर्ड कभी न भेजें, और bot को ऐसा करने से मना करने के लिए सेट करें।
AI मॉडल को सिर्फ उतना संदर्भ भेजें जितना उसे चाहिए, पूरा ग्राहक रिकॉर्ड नहीं।
अपने AI provider की शर्तें पढ़ें कि API का डेटा ट्रेनिंग में इस्तेमाल होता है या नहीं।
शिकायत, रिफंड या ग्राहक पर असल असर डालने वाले किसी भी फैसले के लिए इंसान को बातचीत सौंपने का रास्ता रखें।

चरण 5: credentials, token और ग्राहक की PII को in transit और at rest एन्क्रिप्ट करें

GDPR का Article 32(1)(a) pseudonymisation और encryption को सुरक्षा उपायों के रूप में गिनाता है। GDPR के Article 34(3)(a) के तहत, अगर एन्क्रिप्शन के कारण ब्रीच हुआ डेटा पढ़ने लायक ही नहीं बचा, तो व्यक्तियों को सूचना देना जरूरी नहीं। फिर भी Article 33 के तहत रेगुलेटर को सूचना देनी पड़ सकती है।

हर API कॉल और webhook के लिए HTTPS/TLS इस्तेमाल करें।
चैनल access token, AI API keys और webhook secrets को ऐप्लिकेशन स्तर पर एन्क्रिप्ट करें, key डेटाबेस से अलग रखते हुए, ताकि लीक हुआ डेटाबेस dump आपका WhatsApp या Instagram अकाउंट किसी के हाथ में न दे दे।
ज्यादा जोखिम वाली संपर्क fields, जैसे फोन नंबर और पते, एन्क्रिप्ट करें।

सीमा भी समझ लें: जो सर्वर AI के जवाब लिखता है उसे मैसेज का टेक्स्ट पढ़ना ही पड़ता है, इसलिए चरण 6 और 7 एन्क्रिप्शन जितने ही मायने रखते हैं।

चरण 6: भूमिका आधारित एक्सेस लागू करें और audit log रखें

Role-based access control (RBAC) हर व्यक्ति को सिर्फ उतनी permissions देता है जितनी उसके काम के लिए चाहिए:

फ्रंटलाइन स्टाफ को बातचीत और संपर्क मिलें, बिलिंग, AI सेटिंग्स या API keys नहीं।
सिर्फ पढ़ने वाले यूजर्स को उतना ही दिखे जितना उन्हें चाहिए, और वे उसे बदल न सकें।
किसी के कंपनी छोड़ने वाले दिन ही उसका एक्सेस हटा दें, और जो keys वह देख सकता था उन्हें rotate करें।
संवेदनशील सेटिंग्स किसने बदलीं, इसका लॉग रखें।

भारत के DPDP के Rule 6 में सुरक्षा उपायों के तहत एक साल तक लॉग रखना भी शामिल है। अपने stack के हर वेंडर से पूछें कि वह स्टाफ के एक्सेस पर कौन-से नियंत्रण चलाता है और उस एक्सेस का रिकॉर्ड कैसे रखा जाता है, और ये जवाब अपने डेटा मैप के साथ संभालकर रखें।

चरण 7: retention की अवधि तय करें और deletion व access की रिक्वेस्ट संभालें

GDPR का Article 17 लोगों को मिटाए जाने का अधिकार देता है, इसलिए आपके पास एक तरीका होना चाहिए कि किसी एक व्यक्ति का डेटा सभी सिस्टम में ढूंढ़कर हटाया जा सके।

हर डेटा प्रकार के लिए retention अवधि तय करें — जैसे खुली बातचीत, बंद बातचीत और मार्केटिंग संपर्क।
अवधि खत्म होने पर डेटा डिलीट या anonymize करें; इसे ऑटोमेट करना अच्छा अभ्यास है।
रिक्वेस्ट का एक वर्कफ्लो बनाएं: पहचान verify करें, इनबॉक्स, CRM, AI लॉग और एक्सपोर्ट में खोजें, फिर कार्रवाई करें और उसका रिकॉर्ड रखें।
जिस-जिस कानून के दायरे में आप हैं, उसकी जवाब देने की समयसीमा ट्रैक करें। भारत में, DPDP के मूल Rules लागू होने के बाद (करीब मई 2027) Data Fiduciaries को अधिकार संबंधी रिक्वेस्ट का जवाब 90 दिन के भीतर देना होगा। कैलिफोर्निया में, verify की गई रिक्वेस्ट के लिए 45 दिन मिलते हैं, जिन्हें एक बार बढ़ाया जा सकता है।

अगर आप Facebook या Instagram जोड़ते हैं, तो देख लें कि आपका इनबॉक्स provider Meta की डेटा डिलीशन रिक्वेस्ट कैसे संभालता है।

चरण 8: हर processor के साथ DPA साइन करें और सीमा पार ट्रांसफर पर नियंत्रण रखें

Data processing agreement (DPA) वह बाध्यकारी अनुबंध है जिसे GDPR का Article 28(3) आपके और हर उस processor के बीच जरूरी करता है जो आपके लिए व्यक्तिगत डेटा संभालता है। AI चैटबॉट के मामले में इसका मतलब आमतौर पर इनबॉक्स प्लेटफॉर्म, AI मॉडल provider और मैसेजिंग API provider होता है। Sub-processors, AI ट्रेनिंग में इस्तेमाल, अनुबंध खत्म होने पर deletion, और वेंडर को आपको ब्रीच की खबर कितनी जल्दी देनी है — ये सब जांचें। अमेरिका इसी विचार को एक शर्त में बदल देता है — ऊपर दिया CCPA §7051(c) का service-provider नियम देखें।

ट्रांसफर पर भी ध्यान चाहिए। तुर्की में Law 7499 के बाद विदेश भेजे जाने वाले डेटा के लिए adequacy decision, Board के standard contract जैसे उपयुक्त सुरक्षा उपाय, या कोई सीमित अपवाद चाहिए। Board ने अब तक कोई adequacy सूची जारी नहीं की है, और अपवाद सिर्फ इक्का-दुक्का, बार-बार न होने वाले ट्रांसफर तक सीमित हैं, इसलिए वे चैटबॉट की लगातार चलने वाली pipeline नहीं संभाल सकते: Board के standard contract की ही योजना बनाएं, और उसके लिए जरूरी सूचना के कदम जांच लें। सऊदी अरब के बाहर होस्टिंग आपको सऊदी PDPL के दायरे से बाहर नहीं कर देती, अगर आप वहां मौजूद लोगों का डेटा प्रोसेस करते हैं, और सऊदी से होने वाले ट्रांसफर के लिए एक अनुमत मकसद के साथ adequacy या दर्ज किए गए जोखिम आकलन वाला सुरक्षा उपाय चाहिए। ब्राजील ANPD के clause का टेक्स्ट बिना किसी बदलाव के मांगता है। अपने मॉडल provider से पूछें कि वह ट्रांसफर के लिए किस सुरक्षा उपाय पर भरोसा करता है, और वकील से पक्का करें कि वह हर उस कानून पर खरा उतरता है जिसके दायरे में आप हैं।

चरण 9: हर देश की समयसीमा के हिसाब से ब्रीच रिस्पॉन्स प्लान तैयार रखें

ब्रीच प्लान एक छोटा runbook है जो बताता है कि पहले 72 घंटों में कौन क्या करेगा, क्योंकि ज्यादातर कानूनों में यह समयसीमा तभी से शुरू होती है जब आपको ब्रीच का पता चलता है।

एक incident owner और एक बैकअप व्यक्ति तय करें।
हर उस रेगुलेटर और समयसीमा की सूची बनाएं जिसके दायरे में आप हैं (नीचे तालिका देखें)।
जिन-जिन भाषाओं में आप सेवा देते हैं, उन सबमें ग्राहक नोटिस के टेम्पलेट पहले से तैयार रखें — अरबी और कुर्दी समेत।
चैनल token, AI API keys और webhook secrets को जल्दी से revoke और rotate करने का तरीका लिखकर रखें।

चरण 10: अपनी AI चैटबॉट GDPR कंप्लायंस चेकलिस्ट को तय समय पर रिव्यू करें

अभी: पक्का करें कि आप मिस्र की करीब नवंबर 2026 की शुरुआत वाली अनुपालन समयसीमा के लिए तैयार हैं।
हर तिमाही: टीम का एक्सेस, जुड़े हुए चैनल और सक्रिय API keys रिव्यू करें।
हर छह महीने: एक टेस्ट डिलीशन रिक्वेस्ट और एक ब्रीच ड्रिल चलाएं।
हर बदलाव पर: नया चैनल, AI मॉडल या वेंडर जोड़ते ही अपना डेटा मैप और वेंडर लिस्ट अपडेट करें, और हर नए AI इस्तेमाल के लिए प्राइवेसी जोखिम की जांच करें।
हर साल: हर देश की स्थिति दोबारा जांचें — खासकर UAE के Executive Regulations, भारत का करीब मई 2027 वाला चरण और इराक का प्रस्तावित कानून।

देश के हिसाब से त्वरित संदर्भ: स्थिति और ब्रीच डेडलाइन (सितंबर 2026)

क्षेत्राधिकार	मुख्य कानून	स्थिति (सितंबर 2026)	रेगुलेटर को ब्रीच की सूचना
EU/EEA	GDPR + AI Act Art. 50	लागू	72 घंटे (GDPR Art. 33)
अमेरिका (संघीय)	कोई सामान्य प्राइवेसी कानून नहीं; FTC Act s.5, TCPA, सेक्टर के नियम	कोई सामान्य कानून नहीं; सेक्टर के नियम लागू	कोई सामान्य संघीय जिम्मेदारी नहीं; सिर्फ सेक्टर के नियम (HIPAA: व्यक्तियों को पता चलने से 60 दिन के भीतर, HHS को 500+ व्यक्तियों वाले ब्रीच पर 60 दिन के भीतर और बाकी मामलों में कैलेंडर वर्ष खत्म होने से 60 दिन के भीतर; GLBA Safeguards Rule: 500 या उससे ज्यादा उपभोक्ताओं की बिना एन्क्रिप्शन वाली ग्राहक जानकारी से जुड़ी घटना का पता चलने से 30 दिन के भीतर FTC को)
कैलिफोर्निया (CCPA/CPRA)	Cal. Civ. Code §1798.100 et seq.	लागू; CPPA के नियम 1 जनवरी 2026 से प्रभावी	CCPA इसे तय नहीं करता; अलग कानून §1798.82 (SB 446 से संशोधित, 1 जनवरी 2026 से प्रभावी) प्रभावित निवासियों को सूचना देने के लिए पता चलने से 30 कैलेंडर दिन देता है, और जब 500 से ज्यादा कैलिफोर्निया निवासी प्रभावित हों तो उपभोक्ताओं को सूचना देने के 15 दिन के भीतर कैलिफोर्निया AG को भी सूचना। समयसीमाएं राज्य-दर-राज्य अलग हैं
सऊदी अरब	PDPL (M/19, M/148 से संशोधित)	14 सितंबर 2024 से प्रवर्तनीय	SDAIA को 72 घंटे (Regulations Art. 24)
UAE (संघीय)	Decree-Law No. 45 of 2021	लागू; Executive Regulations जारी नहीं	"तुरंत"; घंटों की कोई गिनती नहीं
DIFC	DIFC Law No. 5 of 2020	लागू; 2022 और 2025 में संशोधित	जितनी जल्दी व्यावहारिक हो (Art. 41); 72 घंटे का कोई नियम नहीं
ADGM	Data Protection Regulations 2021	लागू और प्रवर्तित	बिना अनुचित देरी, जहां संभव हो 72 घंटे
कतर	Law No. 13 of 2016 (PDPPL)	लागू; NCSA दिशानिर्देश जारी	कानून में कोई समयसीमा नहीं; NCSA मार्गदर्शन 72 घंटे की उम्मीद रखता है
बहरीन	Law No. 30 of 2018	लागू; PDPA 2022 से सक्रिय	पता चलने से 72 घंटे में PDPA को
कुवैत	CITRA नियमन, 2024 में संशोधित	सिर्फ CITRA-लाइसेंसधारी providers पर लागू	24 घंटे, सिर्फ लाइसेंसधारियों के लिए
ओमान	Royal Decree No. 6/2022	5 फरवरी 2026 से पूरी तरह प्रवर्तनीय	MTCIT को 72 घंटे
जॉर्डन	Law No. 24 of 2023	छूट अवधि 17 मार्च 2025 को खत्म	72 घंटे; data subjects को 24 घंटे के भीतर
मिस्र	Law 151/2020	अनुपालन अवधि करीब नवंबर 2026 की शुरुआत में खत्म	PDPC को 72 घंटे
मोरक्को	Law No. 09-08	लागू; declaration की व्यवस्था	कोई नहीं: Law No. 09-08 ब्रीच सूचना की कोई सामान्य जिम्मेदारी तय नहीं करता
तुर्की	KVKK (Law No. 6698)	लागू, जून 2024 में संशोधित	KVKK Board को 72 घंटे
भारत	DPDP Act 2023	ज्यादातर जिम्मेदारियां करीब मई 2027 से	72 घंटे के भीतर विस्तृत रिपोर्ट (Rule 7)
ब्राजील	LGPD	लागू, अगस्त 2021 से दंड	ANPD को 3 कार्यदिवस, छोटे agents के लिए दोगुना
इराक	निजी क्षेत्र के लिए कोई व्यापक कानून नहीं	प्रस्तावित कानून मौजूद है	कोई वैधानिक जिम्मेदारी नहीं; स्थानीय वकील से पुष्टि करें
कुर्दिस्तान क्षेत्र	कोई व्यापक कानून नहीं; Law No. 6 of 2008	—	कोई वैधानिक जिम्मेदारी नहीं; स्थानीय वकील से पुष्टि करें

इराक और कुर्दिस्तान क्षेत्र: DataGuidance के मुताबिक इराक में निजता किसी अलग कानून पर नहीं, बल्कि 2005 के संविधान पर टिकी है। कुर्दिस्तान क्षेत्र का सबसे नजदीकी कानून दूरसंचार उपकरणों के दुरुपयोग पर Law No. 6 of 2008 है।

सऊदी अरब, खाड़ी और उससे आगे आपके कंप्लायंस काम में Raabt कैसे मदद करता है

यह फीचर का नक्शा है, कंप्लायंस सर्टिफिकेशन नहीं। कोई भी टूल अपने आप आपको कानून के मुताबिक नहीं बना देता: आपका वैध आधार, आपके नोटिस, आपकी retention अवधि और आपके अनुबंध ही यह तय करते हैं। प्लेटफॉर्म इतना कर सकता है कि जो नियंत्रण हर कानून आपसे रखने की उम्मीद करता है, वे आपको दे दे।

कानून क्या मांगता है	Raabt आज क्या देता है	क्या आपके जिम्मे रहता है
सुरक्षा उपाय (GDPR Art. 32, सऊदी PDPL, बहरीन, ओमान, जॉर्डन, KVKK)	चैनल access token, AI provider की keys, webhook secrets और ग्राहकों के फोन नंबर, ईमेल व ऑर्डर के पते AES-256-GCM से एन्क्रिप्टेड; पासवर्ड Argon2id से hash; one-time code सिर्फ HMAC-SHA256 hash के रूप में स्टोर	retention की अवधि, डिवाइस एन्क्रिप्शन, और जो कुछ आप एक्सपोर्ट करते हैं उसकी सुरक्षा
एक्सेस नियंत्रण और least privilege	चार roles (owner, admin, agent, viewer), हर सेक्शन के लिए अलग permissions, बिलिंग सिर्फ owner तक सीमित, पासवर्ड से लॉगिन पर ईमेल का one-time code, और लॉगआउट पर session रद्द	कौन-कौन के पास एक्सेस है यह रिव्यू करना, और कंपनी छोड़ने वालों का एक्सेस उसी दिन हटाना
लोगों को बताना कि वे AI से बात कर रहे हैं (EU AI Act Art. 50, मेन, यूटा)	AI सेटिंग्स एक permission वाला सेक्शन है, यानी bot कैसे जवाब देता है इसे सिर्फ वही roles बदल सकते हैं जो आप चुनें	डिस्क्लोजर की लाइन लिखना, उसे bot के पहले मैसेज में रखना, और जांचना कि वह हर चैनल पर दिख रही है
हर ग्राहक का डेटा अलग रखना	बिजनेस endpoints कुछ भी लौटाने से पहले पक्का करते हैं कि request भेजने वाला उस बिजनेस का सक्रिय सदस्य है	वर्कस्पेस में किसे बुलाना है, यह तय करना
डिलीशन रिक्वेस्ट (GDPR Art. 17 और उसके समकक्ष)	Meta का data deletion callback, confirmation code के साथ, और स्टेटस लिंक डेटा डिलीशन पेज पर; अकाउंट डिलीशन के लिए पासवर्ड के साथ ईमेल पर भेजा कोड जरूरी, फिर अकाउंट निष्क्रिय और उसका ईमेल anonymize	अलग-अलग ग्राहकों की erasure रिक्वेस्ट, और आपकी अपनी retention व deletion पॉलिसी
सत्यापित, छेड़छाड़-जांचे गए इंटीग्रेशन	बिना वैध X-Hub-Signature-256 signature वाले Meta webhook खारिज, Telegram webhook के लिए secret token जरूरी, और अटैचमेंट सिर्फ समय-सीमा वाले HMAC-signed लिंक से ही मिलते हैं	स्टाफ के जाने पर चैनल token और API keys rotate करना
ब्रीच रिस्पॉन्स (EU, सऊदी अरब, बहरीन, ओमान, जॉर्डन और तुर्की में 72 घंटे; कुवैती लाइसेंसधारियों के लिए 24 घंटे; अमेरिका में राज्य-दर-राज्य नियम)	Raabt के अपने प्लेटफॉर्म स्टाफ की कार्रवाइयां append-only लॉग में लिखी जाती हैं (किसने, क्या, कब, IP), और secrets छिपाकर	आपका incident runbook, रेगुलेटर को सूचना और ग्राहकों को सूचना
डेटा विदेश भेजना	AI provider की API keys और service-account JSON ऐप्लिकेशन स्तर पर एन्क्रिप्टेड (AES-256-GCM)	आपका टेक्स्ट कौन-सा AI provider प्रोसेस करे यह चुनना, आपका ट्रांसफर आकलन, standard contracts और कोई भी स्थानीय फाइलिंग

Raabt आज बिजनेस डेटा की सुरक्षा के लिए क्या करता है

कोई भी टूल आपको अपने आप कानून के मुताबिक नहीं बना देता; नतीजा इस पर निर्भर करता है कि आप उसे कैसे कॉन्फ़िगर करते और इस्तेमाल करते हैं। अगर आप अपना AI चैटबॉट Raabt पर चलाते हैं, तो ये नियंत्रण आज लागू हैं:

एन्क्रिप्टेड credentials और चुनी हुई संपर्क जानकारी: चैनल access token (Facebook, Instagram, WhatsApp, Telegram), AI provider की API keys, webhook secrets और ग्राहकों के फोन नंबर, ईमेल व ऑर्डर के पते ऐप्लिकेशन स्तर पर AES-256-GCM से एन्क्रिप्ट होते हैं।
पासवर्ड और sign-in कोड: पासवर्ड Argon2id से hash होते हैं। ईमेल-और-पासवर्ड वाले लॉगिन में session शुरू होने से पहले ईमेल पर भेजा गया one-time code जरूरी है; Google sign-in में यह कोड नहीं लगता।
भूमिका आधारित टीम एक्सेस: चार roles (owner, admin, agent, viewer), हर सेक्शन के लिए अलग permissions; बिलिंग का एक्सेस owner के अलावा किसी को नहीं सौंपा जा सकता।
बिजनेस के बीच isolation: बिजनेस endpoints पक्का करते हैं कि request भेजने वाला उस बिजनेस का सक्रिय सदस्य है, वरना "not found" लौटाते हैं।
सत्यापित webhook: बिना वैध X-Hub-Signature-256 signature वाले Meta webhook खारिज कर दिए जाते हैं, और Telegram के webhook के लिए secret token जरूरी है।
Session रद्द करना: लॉगआउट करते ही sessions एक blocklist के जरिए रद्द हो जाते हैं, जिसे हर authenticated request पर जांचा जाता है।
Meta की डिलीशन रिक्वेस्ट: Raabt Meta के data deletion callback को सपोर्ट करता है, और स्टेटस लिंक डेटा डिलीशन पेज पर है।
अकाउंट डिलीशन: इसके लिए पासवर्ड और ईमेल पर भेजा गया one-time code दोनों चाहिए। अकाउंट तुरंत निष्क्रिय कर दिया जाता है और उसका ईमेल anonymize कर दिया जाता है, लेकिन इससे बातचीत या संपर्क का डेटा नहीं मिटता।

एक सीमा जिसकी योजना पहले से बनाएं: बातचीत एंड-टू-एंड एन्क्रिप्टेड नहीं होती, क्योंकि AI जवाब बनाने के लिए Raabt के सर्वर को मैसेज पढ़ने पड़ते हैं। जो सर्वर जवाब तैयार करता है उसे पहले मैसेज पढ़ना ही पड़ता है।

Retention, एक्सेस और ग्राहकों को दी जाने वाली सूचनाओं की योजना यह बात ध्यान में रखकर बनाएं, और हमारी प्राइवेसी पॉलिसी देखें।

अक्सर पूछे जाने वाले सवाल

सामान्य जानकारी, कानूनी सलाह नहीं।

क्या मेरा AI चैटबॉट GDPR के मुताबिक है?

इसका जवाब सिर्फ आपके अपने सेटअप की समीक्षा से मिलेगा। जांचें कि हर मकसद के लिए वैध आधार है, प्राइवेसी नोटिस साफ है, हर processor के साथ DPA है, एन्क्रिप्शन जैसी उपयुक्त सुरक्षा है, और मिटाने की रिक्वेस्ट सही से काम करती हैं।

क्या मुझे ग्राहकों को बताना होगा कि वे AI चैटबॉट से बात कर रहे हैं?

EU में, आम तौर पर हां। 2 अगस्त 2026 से AI Act का Article 50(1) यह जरूरी करता है कि लोगों से बातचीत करने वाले AI सिस्टम पहली ही बातचीत से यह साफ करें, बशर्ते यह पहले से जाहिर न हो। अमेरिका में, मेन वहां सूचना जरूरी करता है जहां कोई व्यावसायिक चैटबॉट उपभोक्ता को यह सोचने में गुमराह कर सकता है कि वह किसी इंसान से बात कर रहा है; यूटा में डिस्क्लोजर तब जरूरी है जब उपभोक्ता पूछे, और स्वास्थ्य या वित्तीय डेटा जुटाने जैसी high-risk बातचीत में बिना पूछे भी।

क्या EU AI Act कस्टमर सर्विस चैटबॉट पर लागू होता है?

हां, Article 50 की उन पारदर्शिता जिम्मेदारियों के जरिए जो लोगों से बातचीत करने वाले AI सिस्टम पर लागू होती हैं। Digital Omnibus ने स्टैंड-अलोन high-risk (Annex III) की समयसीमा 2 दिसंबर 2027 और Annex I की समयसीमा 2 अगस्त 2028 कर दी। आपका इस्तेमाल high-risk है या नहीं, यह वकील से जांचें।

क्या अमेरिकी प्राइवेसी कानून मेरे WhatsApp या Instagram चैटबॉट पर लागू होते हैं?

अक्सर, हां — किसी एक संघीय कानून के जरिए नहीं, बल्कि राज्य-दर-राज्य। किसी फोन नंबर या Instagram handle से जुड़ी चैट का रिकॉर्ड इन कानूनों के तहत व्यक्तिगत जानकारी है, और इनके ऊपर bot-डिस्क्लोजर की जिम्मेदारियां व आउटबाउंड मार्केटिंग के लिए TCPA का consent भी बैठते हैं। सीमाओं और TCPA के खुले सवाल के लिए ऊपर का अमेरिका वाला सेक्शन देखें।

क्या मुझे अपने चैटबॉट provider के साथ DPA चाहिए?

GDPR के तहत, हां — अगर provider आपकी तरफ से व्यक्तिगत डेटा प्रोसेस करता है, क्योंकि Article 28(3) हर processor के साथ बाध्यकारी अनुबंध जरूरी करता है। Sub-processors, AI ट्रेनिंग की शर्तें और अनुबंध खत्म होने पर deletion जरूर जांचें।

GDPR के तहत चैटबॉट की बातचीत कितने समय तक स्टोर की जा सकती है?

कोई एक तय संख्या नहीं है जिसे कॉपी कर लिया जाए। आम तरीका यह है कि बातचीत उतने ही समय तक रखी जाए जितना आपका बताया हुआ मकसद मांगता है, वह अवधि ग्राहकों को अपने प्राइवेसी नोटिस में बताई जाए, और उसके बाद डेटा डिलीट या anonymize कर दिया जाए। अवधि वकील से पक्की करें।

क्या इराक में डेटा प्रोटेक्शन कानून है?

निजी क्षेत्र के लिए कोई व्यापक कानून नहीं, हालांकि एक प्रस्तावित कानून मौजूद है। 2005 के संविधान का Article 17 व्यक्तिगत निजता की रक्षा करता है और Article 40 संचार की। कुर्दिस्तान क्षेत्र में भी कोई व्यापक कानून नहीं है, इसलिए फिलहाल GDPR के स्तर का अभ्यास एक समझदारी वाला baseline है।

एन्क्रिप्टेड चैनल credentials और भूमिका आधारित टीम एक्सेस के साथ AI ऑटो-रिप्लाई चलाने के लिए तैयार हैं? मुफ्त शुरू करें।