Ochrona danych w chatbotach — na co firmy muszą zwrócić uwagę

Chatboty zbierają dane osobowe: imiona i nazwiska, adresy e-mail, numery telefonów, zgłaszane sprawy, adresy IP. Gdy tylko takie dane są zbierane, przetwarzane lub przekazywane, zastosowanie ma ogólne rozporządzenie o ochronie danych (RODO).

Dotyczy to również narzędzi czatu na żywo oraz automatycznych widgetów czatu na stronach internetowych. Niezależnie od tego, czy odpowiada człowiek, czy sztuczna inteligencja — przetwarzanie danych podlega tym samym wymaganiom: podstawy prawnej, przejrzystości, ograniczenia celu przetwarzania, minimalizacji danych oraz środków technicznych ochrony.

Kto prowadzi chatbota na swojej stronie internetowej, powinien upewnić się, że dostawca hostuje dane zgodnie z przepisami UE, że można zawrzeć umowę powierzenia przetwarzania danych i że pytanie o zgodę da się technicznie wdrożyć.

Zentor App została zaprojektowana z myślą o przetwarzaniu danych zgodnym z przepisami UE. Najważniejsze aspekty ochrony danych w skrócie:

• Hostowanie w UE: Dane rozmów przetwarzane są na serwerach w Unii Europejskiej.
• Możliwość konfiguracji zgody: Widget czatu można skonfigurować tak, aby użytkownicy przed rozpoczęciem czatu udzielali zgody na przetwarzanie danych.
• Umowa powierzenia (AVV) możliwa: na życzenie można zawrzeć umowę powierzenia przetwarzania danych.
• Dane rozmów na własnym koncie: wszystkie konwersacje pozostają na Twoim koncie Zentor App i są widoczne wyłącznie dla upoważnionych członków zespołu.
• Uprawnienia dostępu oparte na rolach: to Ty określasz, którzy użytkownicy mają dostęp do danych rozmów.

O szczegóły techniczne dotyczące lokalizacji hostingu, terminów usuwania i warunków umowy powierzenia (AVV) zapytaj podczas pierwszej rozmowy.

Ochrona danych zaczyna się od zrozumienia, które dane faktycznie trafiają podczas czatu i dokąd. W chatbocie na stronie internetowej wiadomość przechodzi zwykle przez cztery etapy — każdy z własnym znaczeniem dla ochrony danych:

1. 1. Przeglądarka użytkownika: Widget czatu ładuje się na Twojej stronie internetowej. Już tutaj konfiguracja decyduje, czy przed pierwszym kontaktem zostanie uzyskana zgoda i jakie dane techniczne (np. adres IP) są przesyłane.
2. 2. Przekazywanie do serwera: Wiadomości są szyfrowane i przesyłane do serwera przetwarzania. Lokalizacja hostingu decyduje, czy przetwarzanie odbywa się wewnątrz UE, czy też powstaje transfer do państwa trzeciego.
3. 3. Przetwarzanie przez AI: Odpowiedź generuje model AI — do wyboru przez lokalny model AI we własnej infrastrukturze lub przez zewnętrznego dostawcę AI. Przy wykonywaniu lokalnym treść rozmowy nie opuszcza własnego środowiska; przy przetwarzaniu zewnętrznym powierzenie przetwarzania należy zabezpieczyć umową.
4. 4. Przechowywanie i skrzynka odbiorcza: Rozmowa jest zapisywana na koncie i dostępna dla upoważnionych członków zespołu przez skrzynkę odbiorczą. Tu obowiązują uprawnienia dostępu, okresy przechowywania i koncepcja usuwania danych.

RODO wymaga, aby dane osobowe nie były przechowywane dłużej niż jest to konieczne do osiągnięcia celu (ograniczenie przechowywania). W praktyce oznacza to dla rozmów z chatbotem stopniową koncepcję usuwania zamiast nieograniczonego przechowywania:

• Określ cel: w jakim celu przechowywane są rozmowy — dalsza obsługa zgłoszeń, obsługa leadów, zapewnienie jakości? Cel wyznacza termin.
• Zdefiniuj okres przechowywania: konkretny termin (np. po zamknięciu sprawy) powinien być zapisany technicznie, a nie tylko ustalony organizacyjnie.
• Automatyczne usuwanie: procedury regularnie usuwające rozmowy po upływie terminu zmniejszają ryzyko, że dane będą niekontrolowanie „zalegać“.
• Prawa osób, których dane dotyczą: trzeba móc reagować na żądania dostępu do danych i ich usunięcia — pojedyncze rozmowy muszą dać się precyzyjnie odnaleźć i usunąć.
• Dokumentacja: koncepcja usuwania powinna znaleźć się w rejestrze czynności przetwarzania i zostać uzgodniona z inspektorem ochrony danych.

Konkretne terminy i techniczne wdrożenie procedur usuwania ustal podczas pierwszej rozmowy oraz ze swoim inspektorem ochrony danych.