Ochrana soukromí chatbotů — Co musí podniky zohlednit

Chatboti shromažďují osobní údaje: jména, e-mailové adresy, telefonní čísla, dotazy, IP adresy. Jakmile jsou takové údaje shromážděny, zpracovávány nebo předávány, vztahuje se na ně obecné nařízení o ochraně osobních údajů (GDPR).

To platí také pro nástroje živého chatu a automatizované chatovací widgety na webových stránkách. Bez ohledu na to, zda odpovídá člověk nebo umělá inteligence — zpracování údajů podléhá stejným požadavkům: právní základ, transparentnost, účelové omezení, minimalizace údajů a technická ochranná opatření.

Kdo provozuje chatbota na svých webových stránkách, měl by zajistit, že poskytovatel hostuje v souladu s EU, že lze uzavřít smlouvu o zpracování údajů a že je technicky proveditelné vyžádání souhlasu.

Zentor App je navržen pro EU-konformní zpracování dat.

• EU-Hosting: Data hovorů jsou zpracovávána na serverech v Evropské unii.
• Konfigurovatelný souhlas: Chat widget lze nastavit tak, aby uživatelé před zahájením chatu udělili souhlas se zpracováním údajů.
• AVV možné: Na požádání lze uzavřít smlouvu o zpracování osobních údajů.
• Údaje o konverzaci v vlastním účtu: Všechny konverzace zůstávají v účtu Zentor App a jsou přístupné pouze autorizovaným členům týmu.
• Přístupová práva založená na rolích: Určují, kteří uživatelé mají přístup k datům konverzací.

Technické podrobnosti o umístění hostingu, lhůtách pro výmaz a podmínkách AVV se prosím informujte při úvodní konzultaci.

Ochrana údajů začíná pochopením toho, které údaje při chatu skutečně kam proudí. U webového chatbota prochází zpráva typicky čtyřmi stanicemi — každá s vlastním významem z hlediska ochrany údajů:

1. 1. Prohlížeč uživatele: Chat widget se načítá na vašem webu. Už zde konfigurace rozhoduje, zda se před prvním kontaktem vyžádá souhlas a jaké technické údaje (např. IP adresa) se přenášejí.
2. 2. Přenos na server: Zprávy jsou šifrovány a předávány zpracovatelskému serveru. Umístění hostingu rozhoduje, zda zpracování zůstane v rámci EU, nebo dojde k přenosu do třetí země.
3. 3. zpracování AI: Odpověď je generována modelem AI — volitelně prostřednictvím lokálního modelu AI ve vlastní infrastruktuře, nebo prostřednictvím externího poskytovatele AI. Při lokálním provozu obsah konverzace neopouští vlastní prostředí; při externím zpracování je nutné smluvně zajistit zpracování údajů.
4. 4. Uložiště & Inbox: Konverzace je uložena v účtu a je zobrazitelná prostřednictvím inboxu pro autorizované členy týmu. Zde platí přístupová práva, doby uchování a koncept mazání.

GDPR vyžaduje, aby osobní údaje nebyly uchovávány déle, než vyžaduje účel (omezení uložení). Pro konverzace s chatboty to v praxi znamená stupňovitý koncept mazání namísto neomezeného uchovávání:

• Stanovit účel: K čemu se konverzace uchovávají — sledování podpory, zpracování leadů, zajištění kvality? Účel určuje lhůtu.
• Definovat dobu uchování: Konkrétní lhůta (např. po vyřízení záležitosti) by měla být technicky uložena, nejen organizačně.
• Automatizované mazání: rutiny, které pravidelně odstraňují prošlé konverzace, snižují riziko, že data nekontrolovaně „zůstanou ležet".
• Práva subjektů údajů: Na žádosti o informace a výmaz musí být možné reagovat — jednotlivé konverzace musí být cíleně dohledatelné a smazatelné.
• Dokumentace: Koncepce výmazu patří do záznamů o zpracování a měla by být odsouhlasena s pověřencem pro ochranu osobních údajů.

Konkrétní lhůty a technickou realizaci výmazových rutin vyjasněte prosím v úvodním rozhovoru a se svým pověřencem pro ochranu osobních údajů.