Chatbotprivacy — waar bedrijven op moeten letten

Chatbots verzamelen persoonsgegevens: namen, e-mailadressen, telefoonnummers, verzoeken, IP-adressen. Zodra zulke gegevens worden vastgelegd, verwerkt of doorgegeven, is de Algemene Verordening Gegevensbescherming (AVG) van toepassing.

Dat geldt ook voor livechattools en geautomatiseerde chatwidgets op websites. Ongeacht of een mens of een AI antwoordt — de gegevensverwerking is onderworpen aan dezelfde eisen: rechtsgrondslag, transparantie, doelbinding, dataminimalisatie en technische beveiligingsmaatregelen.

Wie een chatbot op zijn website beheert, moet ervoor zorgen dat de aanbieder EU-conform hostt, een verwerkersovereenkomst kan worden gesloten en de toestemmingsvraag technisch uitvoerbaar is.

De Zentor App is ontworpen voor EU-conforme gegevensverwerking. De belangrijkste aspecten van de gegevensbescherming op een rij:

• EU-hosting: Gespreksgegevens worden verwerkt op servers in de Europese Unie.
• Toestemming configureerbaar: de chatwidget kan zo worden ingesteld dat gebruikers vóór de start van de chat toestemming geven voor de gegevensverwerking.
• Verwerkersovereenkomst mogelijk: op aanvraag kan een verwerkersovereenkomst worden gesloten.
• Gespreksgegevens in uw eigen account: Alle conversaties blijven in uw Zentor App-account en zijn alleen zichtbaar voor geautoriseerde teamleden.
• Rolgebaseerde toegangsrechten: u bepaalt welke gebruikers toegang hebben tot gespreksgegevens.

Vraag technische details over de hostinglocatie, verwijdertermijnen en de voorwaarden van de verwerkersovereenkomst op in het eerste gesprek.

Gegevensbescherming begint met het begrijpen welke gegevens tijdens de chat daadwerkelijk waarheen stromen. Bij een website-chatbot doorloopt een bericht typisch vier stations — elk met zijn eigen betekenis voor de gegevensbeschermingswetgeving:

1. 1. Browser van de gebruiker: De chatwidget wordt op uw website geladen. Hier bepaalt de configuratie al of er vóór het eerste contact toestemming wordt gevraagd en welke technische gegevens (bijv. IP-adres) worden overgedragen.
2. 2. Overdracht naar de server: Berichten worden versleuteld naar de verwerkingsserver verzonden. De hostinglocatie bepaalt of de verwerking binnen de EU blijft of een overdracht naar een derde land ontstaat.
3. 3. AI-verwerking: Het antwoord wordt gegenereerd door een AI-model — naar keuze via een lokaal AI-model in eigen infrastructuur of via een externe AI-provider. Bij lokale uitvoering verlaat de gespreksinhoud de eigen omgeving niet; bij externe verwerking moet de verwerking in opdracht contractueel worden vastgelegd.
4. 4. Opslag & Inbox: Het gesprek wordt in het account opgeslagen en is via de inbox in te zien voor geautoriseerde teamleden. Hier gelden toegangsrechten, bewaartermijnen en het verwijderingsconcept.

De AVG vereist dat persoonsgegevens niet langer worden bewaard dan voor het doel nodig is (opslagbeperking). Voor chatbotgesprekken betekent dat in de praktijk een gefaseerd verwijderingsconcept in plaats van onbeperkte bewaring:

• Doel bepalen: Voor welke doeleinden worden gesprekken bewaard — support-opvolging, leadverwerking, kwaliteitszorg? Het doel bepaalt de termijn.
• Bewaartermijn definiëren: Een concrete termijn (bijv. na afloop van de zaak) moet technisch vastgelegd zijn, niet alleen organisatorisch.
• Geautomatiseerde verwijdering: routines die verlopen gesprekken regelmatig verwijderen, verkleinen het risico dat gegevens ongecontroleerd „blijven liggen".
• Rechten van betrokkene: Er moet op verzoeken om inlichtingen en verwijdering kunnen worden gereageerd — individuele gesprekken moeten doelgericht vindbaar en verwijderbaar zijn.
• Documentatie: het verwijderingsconcept hoort in het verwerkingsregister en moet zijn afgestemd met de functionaris gegevensbescherming.

Bespreek concrete termijnen en de technische uitvoering van de verwijderroutines in het eerste gesprek en met uw functionaris voor gegevensbescherming.