Захист даних у чат-ботах — що мають враховувати компанії

Чат-боти збирають персональні дані: імена, адреси електронної пошти, номери телефонів, звернення, IP-адреси. Щойно такі дані збираються, обробляються чи передаються, застосовується Загальний регламент про захист даних (GDPR).

Це стосується й інструментів живого чату та автоматизованих чат-віджетів на вебсайтах. Незалежно від того, чи відповідає людина, чи ШІ, обробка даних підлягає тим самим вимогам: правова підстава, прозорість, обмеження метою, мінімізація даних і технічні заходи захисту.

Особа, яка експлуатує чат-бота на своєму вебсайті, повинна забезпечити, щоб провайдер розміщував його відповідно до вимог ЄС, був укладений договір про обробку даних на замовлення, а запит на згоду був технічно реалізованим.

Zentor App розроблено для обробки даних відповідно до вимог ЄС. Найважливіші аспекти захисту даних коротко:

• Хостинг в ЄС: дані розмов обробляються на серверах у Європейському Союзі.
• Згоду можна налаштувати: чат-віджет можна налаштувати так, щоб користувачі надавали згоду на обробку даних перед початком чату.
• AVV можливий: за запитом можна укласти договір про обробку даних за дорученням.
• Дані розмов у власному акаунті: усі діалоги залишаються у вашому акаунті Zentor App і доступні лише авторизованим членам команди.
• Права доступу на основі ролей: Ви визначаєте, які користувачі мають доступ до даних розмов.

Технічні деталі щодо місця хостингу, строків видалення та умов AVV, будь ласка, уточніть під час першої розмови.

Захист даних починається з розуміння того, які дані під час чату фактично куди передаються. У чат-боті на вебсайті повідомлення зазвичай проходить чотири етапи — кожен зі своїм значенням з погляду захисту даних:

1. 1. Браузер користувача: На вашому сайті завантажується чат-віджет. Уже тут конфігурація визначає, чи буде отримано згоду перед першим контактом і які технічні дані (наприклад, IP-адреса) передаються.
2. 2. Передача на сервер: Повідомлення передаються на сервер обробки в зашифрованому вигляді. Місце хостингу визначає, чи обробка залишається в межах ЄС, чи виникає передача до третьої країни.
3. 3. Обробка ШІ: Відповідь генерується моделлю штучного інтелекту — або через локальну модель ШІ у власній інфраструктурі, або через зовнішнього провайдера ШІ. При локальному виконанні зміст розмови не залишає власного середовища; при зовнішній обробці договір про обробку даних на замовлення має бути укладено.
4. 4. Зберігання та скринька вхідних: Розмова зберігається в акаунті й доступна авторизованим членам команди через скриньку вхідних. Тут діють права доступу, строки зберігання та концепція видалення.

GDPR вимагає, щоб персональні дані зберігалися не довше, ніж це необхідно для досягнення мети (обмеження зберігання). У практичному плані це означає для розмов із чат-ботом ступінчасту концепцію видалення замість необмеженого зберігання:

• Визначити мету: для чого зберігаються розмови — відстеження підтримки, обробка лідів, забезпечення якості? Мета визначає термін.
• Визначити строк зберігання: конкретний строк (наприклад, після завершення звернення) має бути закріплений технічно, а не лише організаційно.
• Автоматичне видалення: рутини, які регулярно видаляють застарілі розмови, зменшують ризик того, що дані залишаться неконтрольованими.
• Права суб'єктів даних: має бути змога реагувати на запити про надання інформації та видалення — окремі розмови повинні бути цілеспрямовано доступні для пошуку й видалення.
• Документація: концепція видалення має входити до реєстру обробки та узгоджуватися з уповноваженим з питань захисту даних.

Конкретні строки та технічну реалізацію процедур видалення, будь ласка, уточніть під час першої розмови та з уповноваженою особою з питань захисту даних.