Bảo mật dữ liệu Chatbot — Những điều doanh nghiệp cần lưu ý

Chatbot thu thập dữ liệu cá nhân: tên, địa chỉ email, số điện thoại, yêu cầu, địa chỉ IP. Ngay khi các dữ liệu này được thu thập, xử lý hoặc chuyển giao, thì Quy định chung về bảo vệ dữ liệu (GDPR) sẽ có hiệu lực.

Điều này cũng áp dụng cho các công cụ trò chuyện trực tiếp và các widget trò chuyện tự động trên trang web. Bất kể người trả lời là con người hay AI, việc xử lý dữ liệu đều phải tuân theo cùng các yêu cầu: cơ sở pháp lý, tính minh bạch, ràng buộc mục đích, tối thiểu hóa dữ liệu và các biện pháp bảo vệ kỹ thuật.

Người vận hành chatbot trên trang web của mình nên đảm bảo nhà cung cấp lưu trữ tuân thủ quy định EU, có thể ký kết hợp đồng xử lý dữ liệu và cơ chế xin phép có thể triển khai về mặt kỹ thuật.

Zentor App được thiết kế để xử lý dữ liệu tuân thủ EU. Các khía cạnh bảo mật dữ liệu chính được tóm tắt như sau:

• Lưu trữ tại EU: Dữ liệu cuộc trò chuyện được xử lý trên các máy chủ nằm trong Liên minh Châu Âu.
• Có thể cấu hình sự đồng ý: Widget trò chuyện có thể được thiết lập để người dùng phải cấp quyền đồng ý về xử lý dữ liệu trước khi bắt đầu trò chuyện.
• Có thể ký hợp đồng xử lý dữ liệu (AVV): Theo yêu cầu, có thể ký kết hợp đồng xử lý dữ liệu.
• Dữ liệu cuộc trò chuyện trong tài khoản của riêng bạn: Tất cả các cuộc hội thoại đều nằm trong tài khoản Zentor App của bạn và chỉ có thể được xem bởi các thành viên nhóm được ủy quyền.
• Quyền truy cập dựa trên vai trò: Bạn xác định người dùng nào được quyền truy cập vào dữ liệu cuộc trò chuyện.

Vui lòng hỏi chi tiết kỹ thuật về vị trí lưu trữ, thời hạn xóa và điều khoản hợp đồng xử lý dữ liệu trong buổi tư vấn đầu tiên.

Bảo vệ dữ liệu bắt đầu từ việc hiểu rõ dữ liệu nào thực sự chảy đi đâu trong quá trình trò chuyện. Với chatbot trên trang web, một tin nhắn thường trải qua bốn giai đoạn — mỗi giai đoạn đều có ý nghĩa pháp lý về bảo vệ dữ liệu riêng:

1. 1. Trình duyệt của người dùng: Widget trò chuyện được tải lên trang web của bạn. Ngay tại đây, cấu hình quyết định liệu có xin được sự đồng ý trước khi có liên hệ đầu tiên hay không và những dữ liệu kỹ thuật nào (ví dụ: địa chỉ IP) sẽ được truyền đi.
2. 2. Truyền tải đến máy chủ: Tin nhắn được mã hóa và chuyển đến máy chủ xử lý. Địa điểm lưu trữ quyết định liệu việc xử lý có diễn ra trong nội bộ EU hay dẫn đến việc chuyển dữ liệu sang quốc gia thứ ba.
3. 3. Xử lý AI: Câu trả lời được tạo ra bởi mô hình AI — có thể thông qua mô hình AI cục bộ trong cơ sở hạ tầng riêng hoặc qua nhà cung cấp AI bên ngoài. Khi chạy cục bộ, nội dung cuộc trò chuyện không rời khỏi môi trường riêng; còn khi xử lý bên ngoài, việc xử lý theo ủy thác cần được bảo đảm bằng hợp đồng.
4. 4. Lưu trữ & Hộp thư đến: Cuộc trò chuyện được lưu trữ trong tài khoản và có thể xem qua Hộp thư đến dành cho các thành viên nhóm được ủy quyền. Tại đây, các quy định về quyền truy cập, thời hạn lưu trữ và chính sách xóa sẽ được áp dụng.

GDPR yêu cầu dữ liệu cá nhân không được lưu trữ lâu hơn mức cần thiết cho mục đích (giới hạn lưu trữ). Đối với các cuộc trò chuyện với Chatbot, điều này trên thực tế có nghĩa là áp dụng chính sách xóa theo từng giai đoạn thay vì lưu trữ vô hạn:

• Xác định mục đích: Dữ liệu cuộc trò chuyện được lưu trữ để làm gì — theo dõi hỗ trợ, xử lý khách hàng tiềm năng, đảm bảo chất lượng? Mục đích quyết định thời hạn.
• Định nghĩa thời hạn lưu trữ: Một thời hạn cụ thể (ví dụ: sau khi hoàn thành yêu cầu) nên được tích hợp kỹ thuật, không chỉ ở mức tổ chức.
• Xóa tự động: Các quy trình tự động thường xuyên xóa các cuộc trò chuyện đã hết hạn sẽ giảm thiểu rủi ro dữ liệu bị để lại ngoài tầm kiểm soát.
• Quyền của cá nhân liên quan: Phải có khả năng phản hồi với các yêu cầu cung cấp thông tin và xóa — các cuộc trò chuyện riêng lẻ phải có thể tìm thấy và xóa một cách có mục tiêu.
• Tài liệu hóa: Chính sách xóa cần được đưa vào hồ sơ hoạt động xử lý dữ liệu và nên được thống nhất với cán bộ bảo vệ dữ liệu.

Vui lòng làm rõ các thời hạn cụ thể và việc triển khai kỹ thuật các quy trình xóa trong buổi trao đổi đầu tiên và với cán bộ bảo vệ dữ liệu của bạn.