Ochrana osobných údajov pri chatbotoch — na čo musia firmy dbať

Chatboty zbierajú osobné údaje: mená, e-mailové adresy, telefónne čísla, požiadavky, IP-adresy. Hneď ako sa takéto údaje zaznamenajú, spracujú alebo odovzdajú, platí nariadenie o všeobecnej ochrane údajov (GDPR).

To platí aj pre nástroje živého chatu a automatizované chatové widgety na webových stránkach. Bez ohľadu na to, či odpovedá človek alebo umelá inteligencia, spracovanie údajov podlieha rovnakým požiadavkám: právny základ, transparentnosť, účelová viazanosť, minimalizácia údajov a technické ochranné opatrenia.

Kto prevádzkuje chatbota na svojej webovej stránke, mal by zabezpečiť, aby poskytovateľ hostoval v súlade s predpismi EÚ, aby bolo možné uzavrieť zmluvu so sprostredkovateľom a aby sa dopyt na súhlas dal technicky zrealizovať.

Zentor App je navrhnutá na súlad s európskymi predpismi o spracovaní údajov. Najdôležitejšie aspekty ochrany osobných údajov v prehľade:

• EU-hosting: Dáta z konverzácií sa spracovávajú na serveroch v Európskej únii.
• Súhlas nastaviteľný: Chatové widget sa dá nakonfigurovať tak, aby používatelia pred začatím chatu udelili súhlas so spracovaním údajov.
• Možnosť AVV: Na požiadanie možno uzavrieť zmluvu o spracovávaní údajov.
• Dáta konverzácií vo vlastnom účte: všetky konverzácie zostávajú vo vašom účte Zentor App a vidia ich len oprávnení členovia tímu.
• Práva prístupu založené na rolách: Vy určíte, ktorí používatelia majú prístup k dátam z konverzácií.

Technické detaily týkajúce sa miesta hostingu, lehôt na mazanie a podmienok AVV si prosím overte v prvom rozhovore.

Ochrana osobných údajov začína pochopením toho, ktoré údaje sa pri chate skutočne presúvajú kam. Pri chatbotoch na webových stránkach správa typicky prejde štyrmi stanicami – každou so svojím významom z hľadiska ochrany osobných údajov:

1. 1. Prehliadač používateľa: Chatový widget sa načíta na vašej webovej stránke. Už tu konfigurácia rozhoduje, či sa pred prvým kontaktom získa súhlas a ktoré technické údaje (napr. IP adresa) sa prenášajú.
2. 2. Prenos na server: Správy sa šifrovane odosielajú na spracovateľský server. Miesto hostingu rozhoduje o tom, či spracúvanie zostane v rámci EÚ, alebo vznikne prenos do tretej krajiny.
3. 3. Spracovanie umelou inteligenciou: Odpoveď generuje AI model — podľa voľby cez lokálny AI model vo vlastnej infraštruktúre alebo cez externého AI poskytovateľa. Pri lokálnom behu obsah konverzácie neopustí vlastné prostredie; pri externom spracúvaní treba sprostredkovateľské spracúvanie zmluvne zabezpečiť.
4. 4. Ukladanie a schránka: Rozhovor sa uloží do účtu a oprávnení členovia tímu ho vidia cez schránku. Tu sa uplatňujú prístupové práva, lehoty uchovávania a koncept mazania.

Nariadenie GDPR vyžaduje, aby sa osobné údaje uchovávali len tak dlho, ako to vyžaduje účel (obmedzenie uchovávania). Pre rozhovory s chatbotom to v praxi znamená stupňovaný koncept mazania namiesto neobmedzeného uchovávania:

• Stanovenie účelu: Na čo sa rozhovory ukladajú – sledovanie podpory, spracovanie potenciálnych klientov, kontrola kvality? Účel určuje lehotu.
• Definícia lehoty uchovávania: konkrétna lehota (napr. po vybavení požiadavky) by mala byť nastavená technicky, nielen organizačne.
• Automatizované mazanie: rutiny, ktoré pravidelne odstraňujú rozhovory po uplynutí lehoty, znižujú riziko, že údaje nekontrolovane „zostanú ležať“.
• Práva dotknutých osôb: musí byť možné reagovať na žiadosti o prístup k údajom a o vymazanie — jednotlivé rozhovory musí byť možné cielene vyhľadať a vymazať.
• Dokumentácia: koncept mazania patrí do záznamov o spracovateľských činnostiach a mal by byť zosúladený so zodpovednou osobou pre ochranu osobných údajov.

Konkrétne lehoty a technickú realizáciu rutín na mazanie si prosím objasnite v úvodnom rozhovore a so svojou zodpovednou osobou pre ochranu osobných údajov.