Dealer, retailer, मिस्त्री और mechanic loyalty programmes: क्या-क्या चाहिए?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: साफ़ notice के साथ consent; उतना ही लें जितना rewards के लिए चाहिए
Loyalty schemes में rewards देने के लिए नाम, phone number, photo, ID और bank details लिए जाते हैं। Join करना अपनी मर्ज़ी है, इसलिए यह साफ़ notice के साथ consent पर चलता है। उतना ही लें जितना rewards और tax rules के लिए ज़रूरी है। Bank details एक ही secure जगह पर रखें, और scheme छोड़ना आसान रखें। Loyalty vendor आपकी तरफ़ से काम करता है। Dealer appointment के लिए KYC एक अलग purpose है, loyalty से उसका लेना-देना नहीं।
कानून क्या कहता है
Section 5 के तहत notice चाहिए। Section 6 बताता है कि सही consent क्या है, और उसमें consent आसानी से वापस लेना भी शामिल है। Section 8(1) loyalty vendor पर लागू होता है।
- Section 5 · Rule 3: Notice — consent माँगने से पहले साफ़ जानकारी. Consent माँगते समय एक साफ़ notice दें, जो अपने आप में पूरा हो। उसमें बताएँ: कौन-सा data, किस purpose के लिए, consent कैसे withdraw करें, rights कैसे इस्तेमाल करें, और Data Protection Board को complaint कैसे करें। Act से पहले लिए गए data के लिए भी notice देना है, जितनी जल्दी reasonably practicable हो।
- Section 6: Consent — साफ़ और अपनी मर्ज़ी से दी गई हाँ. Consent free, specific, informed, unconditional और unambiguous होना चाहिए। यह किसी clear action से दिया जाए और purpose के लिए ज़रूरी data तक ही सीमित रहे। Consent withdraw करना उतना ही आसान हो, जितना देना था।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
Steps
- App और forms कौन-से fields लेते हैं, सूची बनाएँ; जो rewards के लिए ज़रूरी नहीं, हटा दें।
- Sign-up पर local भाषा में छोटा notice दिखाएँ।
- Bank details सिर्फ़ payout system में रखें।
- Loyalty vendor के contract में data schedule जोड़ें।
- Inactive members के accounts तय समय के बाद बंद करें और data delete करें।
कौन-सा evidence रखना है
- Fields की सूची, हर field का कारण
- Sign-up notice और consent records
- Vendor schedule
- Inactive members का deletion log
आम गलतियाँ
- Bank details spreadsheets में, जो email से घूमती हैं
- Field staff का मिस्त्रियों को बताए बिना enrol करना
- Loyalty data का किसी और offer के लिए इस्तेमाल
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: Loyalty complaints शुरुआती चेतावनी हैं। इन्हें हर महीने review करें।
- CISO / Security Head: Payout files और loyalty app पर मज़बूत access control और logs हों।
- HR Head: Sales targets के दबाव में बिना consent enrolment हो सकता है। इस पर training दें।
- Operations Head: Depot और sales staff members को enrol करते हैं। वे notice दिखाएँ और लोगों की जगह form न भरें।
- Plant Head / Factory Manager: अगर dealers meets के लिए plant आते हैं, तो registration list personal data है।
- Finance department: Bank details सिर्फ़ payout portal से ही लें।
- Marketing department: Consent check के बिना कोई campaign नहीं।
उदाहरण (अंग्रेज़ी में)
A cement company's mason app asked for Aadhaar, PAN, bank details and a family photo. The review keeps only what rewards need, adds a short notice in the local language, and moves bank details to the payout system.
Management का अच्छा जवाब कैसा होता है
“Members notice देखकर और अपनी मर्ज़ी से join करते हैं। Bank details सिर्फ़ payout system में हैं। Members app में ही scheme छोड़ सकते हैं, और inactive accounts schedule पर बंद होते हैं।” Effort और समय: मध्यम · 6 से 10 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →