Dealer, retailer, गवंडी आणि mechanic loyalty programmes: काय काय लागते?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: स्पष्ट notice सह consent; बक्षिसांसाठी लागेल तेवढेच घ्या
Loyalty schemes मध्ये बक्षिसे देण्यासाठी नाव, phone नंबर, photo, ID आणि bank details घेतले जातात. Join व्हायचे की नाही हे त्यांच्या हातात आहे, म्हणून हे स्पष्ट notice सह consent वर चालते. बक्षिसे आणि tax rules साठी लागेल तेवढेच घ्या. Bank details एकाच secure ठिकाणी ठेवा, आणि scheme सोडणे सोपे ठेवा. Loyalty vendor तुमच्या वतीने काम करतो. Dealer appointment साठी KYC हा loyalty पेक्षा वेगळा purpose आहे.
कायदा काय सांगतो
Section 5 नुसार notice हवा. Valid consent म्हणजे काय हे Section 6 सांगतो, आणि consent सहज मागे घेता येणे हे पण त्यात येते. Section 8(1) loyalty vendor ला लागू होतो.
- Section 5 · Rule 3: Notice — consent मागताना द्यायची माहिती. Consent मागताना स्पष्ट आणि स्वतंत्र notice द्या. त्यात सांगा: कोणता data, कोणत्या purpose साठी, consent कसा withdraw करायचा, rights कसे वापरायचे आणि Data Protection Board कडे complaint कशी करायची. Act आधी गोळा केलेल्या data साठी, reasonably practicable होईल तितक्या लवकर notice द्यायची आहे.
- Section 6: Consent — वैध consent कसा असावा. Consent free, specific, informed, unconditional आणि unambiguous असावा. तो clear action ने दिलेला असावा. Purpose साठी आवश्यक तेवढ्याच data पुरता मर्यादित असावा. तो देणे जितके सोपे, तितकेच withdraw करणेही सोपे असावे.
- Section 8(1)–(2): Obligations of Data Fiduciary — vendors ची जबाबदारी. Data का आणि कसा वापरायचा हे ठरवणारी संस्था (Data Fiduciary) जबाबदार राहते, काम vendor (Data Processor) करत असला तरीही. Processor ला फक्त valid contract अंतर्गतच काम देता येते.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
- Section 8(7) · Rule 8: Erasure and retention — data delete करणे आणि ठेवणे. Purpose संपला किंवा consent withdraw झाला की personal data delete करा. एखाद्या कायद्याने तो ठेवणे बंधनकारक असेल, तर तेवढा अपवाद. तुमच्या processors कडूनही तो delete करून घ्या. Rule 8(3) नुसार प्रत्येक Data Fiduciary ने Rules मध्ये दिलेल्या purposes साठी personal data, traffic data आणि logs किमान एक वर्ष ठेवायचे आहेत.
Steps
- App आणि forms कोणते fields घेतात, त्याची यादी करा; बक्षिसांसाठी जे लागत नाही ते काढा.
- Sign-up ला स्थानिक भाषेत छोटा notice दाखवा.
- Bank details फक्त payout system मध्ये ठेवा.
- Loyalty vendor च्या contract मध्ये data schedule जोडा.
- Inactive members ची accounts ठरलेल्या काळानंतर बंद करा आणि data delete करा.
ठेवायचा evidence
- Fields ची यादी, प्रत्येकाचे कारण
- Sign-up notice आणि consent records
- Vendor schedule
- Inactive members चा deletion log
नेहमीच्या चुका
- Bank details spreadsheets मध्ये, email ने फिरणाऱ्या
- Field staff ने गवंड्यांना न सांगता enrol करणे
- Loyalty data दुसऱ्याच offers साठी वापरणे
कोणाची काय जबाबदारी
- DPO / Privacy Lead: Loyalty complaints हे सुरुवातीचे इशारे आहेत. ते दर महिन्याला review करा.
- CISO / Security Head: Payout files आणि loyalty app वर मजबूत access control आणि logs असावेत.
- HR Head: Sales targets मुळे consent शिवाय enrolment होऊ शकते. यावर training द्या.
- Operations Head: Depot आणि sales staff members ना enrol करतात. त्यांनी notice दाखवावा आणि लोकांच्या वतीने form भरू नये.
- Plant Head / Factory Manager: Dealers meets साठी plant वर येत असतील, तर registration list हा personal data आहे.
- Finance विभाग: Bank details फक्त payout portal मधूनच घ्या.
- Marketing विभाग: Consent check शिवाय एकही campaign नाही.
उदाहरण (इंग्रजीत)
A cement company's mason app asked for Aadhaar, PAN, bank details and a family photo. The review keeps only what rewards need, adds a short notice in the local language, and moves bank details to the payout system.
Management कडून चांगले उत्तर कसे असते
“सभासद notice पाहून आणि स्वतःच्या निवडीने join होतात. Bank details फक्त payout system मध्ये आहेत. सभासद app मधूनच scheme सोडू शकतात, आणि inactive accounts schedule प्रमाणे बंद होतात.” मेहनत आणि वेळ: मध्यम · 6 ते 10 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →