A Digital Personal Data Protection Act da Índia muda a forma como toda empresa que lida com usuários indianos trata dados pessoais. Se você coleta nomes, e-mails, telefones ou identificadores de dispositivo de pessoas na Índia, a DPDPA se aplica a você. Aqui está um checklist claro para percorrer, escrito para times que querem acertar sem se afogar em linguagem jurídica.
Comece pelo aviso e pelo consentimento
A DPDPA é construída em torno do consentimento informado. Antes de coletar dados pessoais, você precisa dizer às pessoas o que está coletando e por quê, em termos simples.
- Publique um aviso de privacidade claro que liste os dados coletados e a finalidade de cada uso.
- Ofereça o aviso em inglês e, onde isso importar para os seus usuários, no idioma indiano de preferência deles.
- Torne o consentimento específico. Agrupar finalidades sem relação em um único Eu concordo não é válido.
- Torne a retirada tão fácil quanto dar consentimento. Um pedido por e-mail escondido não conta.
O princípio a lembrar é que o consentimento precisa ser livre, específico, informado e inequívoco. Se uma pessoa razoável não entenderia com o que concordou, você não tem consentimento válido.
Mapeie seus dados e seus operadores
Você não consegue proteger dados que não mapeou. Antes de tudo, anote o que você coleta, onde isso fica e quem mais tem acesso.
- Liste cada formulário, rastreador e integração que reúne dados pessoais.
- Identifique cada terceiro com quem você compartilha dados e confirme que ele está vinculado por contrato.
- Anote onde os dados são armazenados e por quanto tempo você os mantém.
- Defina um prazo de retenção para cada categoria e exclua os dados assim que a finalidade for cumprida.
Respeite os direitos do titular
Sob a DPDPA, a pessoa cujos dados você guarda é o data principal, e ela tem direitos reais. O seu site precisa de uma forma funcional de atendê-los.
- Ofereça um caminho para solicitar acesso aos dados dela.
- Permita a correção e a atualização de dados imprecisos.
- Apoie a eliminação assim que os dados não forem mais necessários.
- Ofereça um canal de reclamações e responda em prazo razoável.
Construa isso como um fluxo de trabalho, não como um favor pontual. Quando as solicitações chegarem, você quer um processo rastreado com prazos, não uma correria na caixa de entrada.
Trate dados de crianças com cuidado
A DPDPA estabelece uma régua mais alta para qualquer pessoa com menos de dezoito anos. Se crianças podem usar o seu serviço, você não pode ignorar isso.
- Obtenha consentimento parental verificável antes de tratar os dados de uma criança.
- Não execute rastreamento ou publicidade comportamental direcionada a crianças.
- Adicione um sinal ou uma verificação de idade para que contas de crianças recebam o tratamento mais rigoroso por padrão.
A postura mais segura é presumir que alguns dos seus usuários são menores e desenhar o seu fluxo de consentimento de modo que os dados deles nunca sejam tratados para publicidade sem a autorização clara de um responsável.
Guarde evidências que você possa mostrar
Um consentimento que você não consegue provar é um consentimento que você não tem. Reguladores e auditores vão perguntar como você sabe que uma pessoa concordou.
- Registre cada consentimento com data e hora e a versão do aviso exibido.
- Mantenha um log à prova de adulteração para que o registro não possa ser editado silenciosamente depois.
- Torne a evidência exportável para que você consiga responder rapidamente a uma consulta.
Juntando tudo
Aviso, consentimento específico, retirada fácil, dados mapeados, direitos funcionais, cuidado com dados de crianças e evidências comprováveis. Essa é a espinha dorsal do preparo para a DPDPA. Nada disso é exótico, mas precisa ser deliberado e construído dentro do seu produto, em vez de acoplado por fora.
Se você quer uma camada de consentimento que já cubra aviso, retirada, fluxos de DSAR e evidências à prova de adulteração, comece gratuitamente com a ConsentX e mapeie a sua exposição em uma tarde.