Chatbot GDPR zbieranie údajov: čo musíte mať vybavené, kým ho pustíte na web

Tím BOTrento19. 10. 20266 min čítania

Aké údaje chatbot na webe vlastne zbiera

Než začnete riešiť právne texty, urobte si inventúru. Chatbot zvyčajne zachytí tieto skupiny údajov:

• To, čo návštevník napíše sám: meno, e-mail, telefón, názov firmy, ale aj ľubovoľný text v správe.
• Technické údaje: IP adresa, identifikátor relácie, cookies alebo podobné technológie, čas a stránka, z ktorej chat začal.
• Obsah konverzácie: celý prepis otázok a odpovedí, ktorý sa často ukladá u poskytovateľa chatbota.
• Údaje „navyše“: ľudia do chatu radi napíšu zdravotné informácie, čísla objednávok či detaily o rodine, hoci ste sa na ne nepýtali.

Práve posledný bod je najväčšie riziko. Preto je dobré mať v úvodnej správe chatu jednu vetu, ktorá návštevníkovi povie, aby nepísal citlivé údaje.

Štyri povinnosti, ktoré treba mať vybavené

1. Právny dôvod a účel

Pre každý údaj si určte, prečo ho spracúvate. Odpoveď na dopyt návštevníka je zvyčajne spracúvanie na prípravu zmluvy alebo oprávnený záujem. Marketingové využitie e-mailu z chatu je už iná vec a vyžaduje samostatné posúdenie, často súhlas. Ak si nie ste istí, overte to s právnikom.

2. Informovanie návštevníka

Zásady ochrany osobných údajov musia pokrývať aj chat: kto je prevádzkovateľ, aké údaje a načo, komu ich odovzdávate (poskytovateľ chatbota, poskytovateľ jazykového modelu), ako dlho ich držíte a aké práva má človek. Odkaz na ne patrí priamo do okna chatu.

3. Zmluva s poskytovateľom

Ak chatbot beží u externého dodávateľa, je to spravidla sprostredkovateľ. S ním potrebujete zmluvu o spracúvaní osobných údajov. Pýtajte sa aj na jeho podsprostredkovateľov, napríklad poskytovateľa jazykového modelu.

4. Doba uchovávania a mazanie

GDPR nepozná jednu lehotu pre všetky chaty. Chce, aby ste mali dôvod, dobu a pravidlo mazania. Ako to nastaviť pri dopytoch a ponukách, rozoberáme v článku Ako dlho uchovávať dopyty a cenové ponuky.

Kde sa dáta z chatbota ukladajú a prečo to nestačí vedieť

Odpoveď „máme server v EÚ“ je len polovica pravdy. Treba rozlišovať dve miesta: kde sa konverzácie ukladajú a kde sa text spracúva jazykovým modelom. Ak chatbot volá externé AI API, text nutný na odpoveď ide k poskytovateľovi modelu, aj keď úložisko je v EÚ. Server v EÚ s volaním externého AI API teda nie je uzavretý výpočet a tvrdenie „dáta neopúšťajú EÚ“ by som bez overenia nepoužil.

Od dodávateľa si vypýtajte písomne: región úložiska, zoznam podsprostredkovateľov, informáciu, či sa dáta používajú na tréning modelov, a spôsob, ako vymazať konkrétnu konverzáciu. Podrobnejšie sme to rozpísali v článku Kde sú dáta, keď používate AI.

Postup krok za krokom: chatbot nasadený za jedno popoludnie

1. Spíšte, čo chatbot zbiera. Jedna tabuľka: údaj, účel, kde sa ukladá, kto k nemu má prístup, ako dlho.
2. Obmedzte formulár. Ak na odpoveď stačí e-mail, nepýtajte telefón ani názov firmy.
3. Povedzte, že ide o chatbot. Návštevník má vedieť, že nepíše s človekom. Je to aj otázka transparentnosti pri používaní AI, ktorú sme rozobrali v článku AI Act pre malé firmy.
4. Doplňte zásady ochrany osobných údajov o samostatnú časť o chate.
5. Skontrolujte cookies. Ak chat nastavuje nepovinné cookies, patrí do nastavenia súhlasu.
6. Podpíšte zmluvu so sprostredkovateľom a uložte ju.
7. Určte človeka, ktorý chaty číta. Aj to, kto rieši žiadosti o výmaz alebo prístup.
8. Raz za štvrťrok prečítajte vzorku konverzácií a overte, či sa tam neobjavujú údaje, ktoré tam byť nemajú.

Čo povedať zákazníkovi: vzor textu do okna chatu

Informácia má byť krátka a pri chate viditeľná, podrobnosti patria do zásad. Môže vyzerať takto:

Dobrý deň, som automatický asistent. Odpovedám na základné otázky a zbieram údaje potrebné na prípravu cenovej ponuky. Prosíme, nepíšte do chatu citlivé osobné údaje. Vaše správy použijeme len na vybavenie vášho dopytu a uložíme ich na dobu uvedenú v našich zásadách ochrany osobných údajov. Ak chcete hovoriť s človekom, napíšte „obchodník“. Viac informácií nájdete v zásadách ochrany osobných údajov.

Tri veci sú tu podstatné: návštevník vie, že komunikuje s automatom, vie, načo sa údaje použijú, a má pripravenú cestu k človeku.

Čo nastane po chate: dopyt končí v schránke

Z chatu zvyčajne vznikne dopyt, ktorý sa presunie do e-mailu, CRM (napríklad Pipedrive) alebo tabuľky. A tam sa GDPR veľmi ľahko stratí: dopyt leží v Gmaile alebo Outlooku, ponuku ste pripravili v SuperFaktúre a nikto nevie, kde všade sú osobné údaje a kedy ich zmazať.

BOTrento Chief of Staff nie je webový chatbot a s chatom na webe sa priamo nespája. Rieši to, čo prichádza potom: hlídá dopyty a ponuky v pošte a v nahraných dátach (prepisy chatov môžete doň dostať napríklad e-mailom alebo ako CSV či XLSX), každý pracovný deň ráno ukáže prehľad Dnes 1+3 a pripraví koncepty odpovedí, ponúk a follow-upov. Nič sa neodošle bez schválenia človekom a BOTrento nič neposiela samo. Vidíte tak, v ktorom kroku každý dopyt je, a ľahšie dodržíte vlastné pravidlá uchovávania. AI je v cene tarifu s mesačným limitom spotreby; prehľad tarifov nájdete v cenníku.

K súkromiu: dáta ukladáme na serveroch v EÚ (Nemecko, databáza aplikácie v Írsku). Jazykový model spracúva len texty nutné na úlohu cez API komerčného poskytovateľa, štandardne cez náš účet, voliteľne cez váš vlastný kľúč; komerční poskytovatelia API dáta nepoužívajú na tréning. Ide však o volanie externého AI API, nie o uzavretý výpočet. Voliteľný vlastný kľúč je dnes možný len pre Anthropic (Claude), viac v nápovede k vlastným API kľúčom. Kontrolný zoznam pre vašu firmu nájdete na stránke AI asistent pre obchod a GDPR, ukážku procesu na stránke Ukážka procesu Chief of Staff.

Celé si to môžete vyskúšať 14 dní zadarmo na vlastných dátach – bez platobnej karty a bez vlastného API kľúča. Skúšobná doba sa začína až prvým úspešným nahratím dát a do 24 hodín v pracovné dni sa vám ozve náš človek a pomôže s napojením pošty.

Rýchly checklist pred spustením

• Viem vymenovať všetky údaje, ktoré chat zbiera.
• Pre každý údaj mám účel a dobu uchovávania.
• Zásady ochrany osobných údajov obsahujú časť o chate.
• Mám zmluvu so sprostredkovateľom a zoznam jeho podsprostredkovateľov.
• Viem, kde sa dáta ukladajú a kam sa posiela text na spracovanie modelom.
• Návštevník vie, že komunikuje s chatbotom, a môže si vyžiadať človeka.
• Je určený človek, ktorý rieši žiadosti o prístup a výmaz.

Pri špecifických situáciách, napríklad ak chat zbiera údaje detí alebo zdravotné údaje, sa poraďte s právnikom.