Jakie dane trafiają do dostawcy chatbota
Najwięcej jest w samej treści rozmów, bo klient wpisuje tam, co chce: numer zamówienia albo adres, a czasem rzeczy, o które nikt go nie pytał. Do tego dochodzi zostawiony kontakt i techniczne identyfikatory sesji.
Te dane lądują w narzędziu dostawcy, a stamtąd mogą iść dalej, na przykład do firmy, która dostarcza model językowy. Dlatego odpowiedź na pytanie, czy chatbot jest bezpieczny, zaczyna się od listy firm, które widzą rozmowy.
Zakres danych powinien wynikać z zadania. Do pytania o wymiary regału nie potrzebujesz telefonu klienta. Przy sprawdzaniu zamówienia potrzebujesz za to danych, które potwierdzą, że pyta jego właściciel, i dlatego w CartBocie status zamówienia sprawdza się po numerze i adresie e-mail z tego zamówienia.
Chatbot a RODO, czyli ile danych zbierać i jak długo je trzymać
RODO każe ograniczać dane do tych, które są potrzebne do określonego celu, i trzymać je tylko tak długo, jak to konieczne. Nie zakazuje przy tym każdego formularza na początku rozmowy. Kłopot zaczyna się wtedy, gdy nie umiesz uzasadnić, po co Ci telefon przy pytaniu o kolor, albo gdy zbierasz dane „na później”, bez konkretnego celu.
Okres przechowywania określ osobno dla historii rozmów i dla innych zapisów w narzędziu. „Bezterminowo, bo się przyda” nie jest okresem retencji. Zapytaj też o eksporty i kopie zapasowe, bo rozmowa usunięta z widoku panelu nie musi znikać ze wszystkich kopii.
Na jakiej podstawie przetwarzasz rozmowy
Odpowiedź na pytanie o produkt nie wymaga automatycznie zgody klienta. Zależnie od celu podstawą może być podjęcie działań na jego żądanie przed zawarciem umowy albo prawnie uzasadniony interes sklepu, po ocenie jego warunków. Zapisz, którą podstawę przyjąłeś, razem z krótkim uzasadnieniem.
Marketing to osobna sprawa. Artykuł 398 Prawa komunikacji elektronicznej wymaga uprzedniej zgody odbiorcy na wysyłkę informacji handlowych, a adres podany do obsługi zamówienia sam w sobie taką zgodą nie jest. Jeśli chcesz zapraszać klientów z czatu na newsletter, pytaj o tę zgodę osobno i wprost.
Zostaje jeszcze sprawa cookies. Artykuł 399 PKE, który dotyczy zapisu informacji na urządzeniu klienta, w tym cookies i localStorage, przewiduje wyjątki od zgody dla tego, co jest niezbędne do działania usługi, której klient sam chce. Sama obecność czatu nie uzasadnia jednak odpalania śledzenia reklamowego bez zgody. Zgoda kliknięta w banerze cookies nie załatwia też podstawy do przetwarzania treści rozmów, bo to osobne przepisy.
Rola dostawcy i umowa powierzenia
Jeśli dostawca przetwarza dane wyłącznie w Twoim imieniu, jest podmiotem przetwarzającym i potrzebujesz z nim umowy powierzenia zgodnej z artykułem 28 RODO. Umowa może mieć formę elektroniczną. Jeżeli jednak ten sam dostawca chce używać rozmów do własnych celów, których nie wyznacza Twój sklep, jego rolę przy tej operacji trzeba ocenić osobno.
„Serwer w UE” brzmi uspokajająco, ale nie mówi, kto ma dostęp do danych z innych krajów, a przy przekazywaniu danych poza EOG potrzebny jest właściwy mechanizm transferu i zabezpieczenia. Prawo do usunięcia danych też ma warunki i wyjątki, więc nie obiecuj klientom, że na każde żądanie skasujesz wszystko od ręki.
Poniższe pytania zadaj dostawcy na piśmie. Odpowiedzi trzymaj razem z umową, bo po roku nikt już nie pamięta, co padło przez telefon.
- Gdzie leżą rozmowy i jak długo je trzymacie, łącznie z kopiami zapasowymi?
- Czy zawrzemy umowę powierzenia zgodną z artykułem 28 RODO i co dokładnie obejmie?
- Kto jeszcze widzi treść rozmów, w tym który dostawca modelu AI, i czy dostanę na piśmie listę dalszych podmiotów przetwarzających?
- Czy rozmowy moich klientów trenują jakiś model i czy da się to wyłączyć?
- Jak pomożecie, gdy klient zechce swoje dane zobaczyć albo usunąć?
- Czy dane wychodzą poza EOG, a jeśli tak, to na jakiej podstawie?
Polityka prywatności i informacja, że odpowiada AI
Informację z art. 13 RODO dajesz w chwili zbierania danych, a link do polityki prywatności najlepiej umieścić prosto w oknie czatu, tak żeby dało się go otworzyć także na telefonie. Klient ma się z niej dowiedzieć, kto jest administratorem i jak się z nim skontaktować, w jakich celach i na jakiej podstawie przetwarzasz dane, kto je dostaje i jak długo je trzymasz. Do tego dochodzą jego prawa, w tym skarga do Prezesa UODO, i informacja o transferach poza EOG, jeśli są.
Od 2 sierpnia 2026 roku stosuje się też obowiązki przejrzystości z artykułu 50 AI Act. Dostawca systemu przeznaczonego do bezpośredniej rozmowy z ludźmi ma zadbać, żeby człowiek wiedział, że rozmawia z AI, najpóźniej przy pierwszej interakcji, chyba że w danych okolicznościach jest to oczywiste. Przy wdrożeniu sprawdź z dostawcą, jak bot się przedstawia, bo zdanie „Rozmawiasz z asystentem AI sklepu” na początku rozmowy usuwa wątpliwości.
Czy chatbot jest bezpieczny? Sprawdź go na danych testowych
Jest tak bezpieczny, jak go skonfigurujesz i jak umówisz się z dostawcą, więc sprawdź go sam. Otwórz czat jako nowy odwiedzający i zapytaj o produkt, a jeśli bot żąda danych, których to pytanie nie wymaga, masz pierwszą rzecz do poprawy. Potem prześledź, gdzie zapisała się rozmowa i jak ją usunąć, i zobacz, jak narzędzie zachowuje się po odmowie opcjonalnych zgód.
Jeśli czat ma profilować klientów albo zbierać dane o zdrowiu, na przykład w gabinecie, potrzebujesz osobnej oceny tych operacji, najlepiej z kimś, kto zna prawo ochrony danych. Ten tekst takiej porady nie zastąpi. Te same sześć pytań możesz zadać nam, zanim zdecydujesz się na CartBota.