Flyweight: AI Chatbot pro Shopify v souladu s GDPR a AI-Act

Smlouva o zpracování osobních údajů, povinnost označení, zásady ochrany osobních údajů, GDPR, AI Act - cože? 🤯🤯

Checklist a vzor textu do zásad ochrany osobních údajů níže počítají s tím, že provozujete Shopify obchod a chcete nasadit AI chatbot v souladu s GDPR. Chcete vidět celý obrázek a zjistit, co všechno náš Shopify chatbot umí? Mrkněte na hlavního průvodce. Tento článek nepředstavuje právní poradenství ani potvrzení právní povinnosti.

Terminologie

1. General Data Protection Regulation (GDPR)
   GDPR je hlavní evropská legislativa pro ochranu soukromí. Určuje pravidla pro práci s osobními údaji, například že firmy mají sbírat jen to, co skutečně potřebují, a data bezpečně ukládat. Zároveň dává lidem práva k jejich údajům, včetně přístupu, opravy a výmazu. U chatbotů to v praxi znamená nevyžadovat zbytečně široká data a jasně vysvětlit, jak se s nimi pracuje.

2. Artificial Intelligence Act (AI Act)
   AI Act je navrhovaná legislativa EU, která nastavuje pravidla pro umělou inteligenci. Cílem je bezpečnější a férovější používání AI systémů, jako jsou chatboti. Rozděluje AI systémy podle úrovně rizika, od nízkého po vysoké. Každá kategorie má vlastní požadavky, třeba jasně uvést, že uživatel komunikuje s AI, nebo předcházet diskriminačním výsledkům. Chatboti v citlivějších scénářích mohou spadat do vyšší rizikové kategorie a mít přísnější požadavky.

3. Data Processing Agreement (DPA)
   Data Processing Agreement je smlouva mezi firmou, která chatbot používá, a poskytovatelem, který ho provozuje. Určuje, že poskytovatel zpracovává uživatelská data jen podle pokynů firmy a v souladu s pravidly ochrany osobních údajů. Pokud používáte externího dodavatele chatbotu, DPA bývá obvykle potřeba jako podklad pro zpracování v souladu s GDPR.

4. Privacy Policy
   Zásady ochrany osobních údajů vysvětlují, jaká data se sbírají, proč se sbírají a jak dlouho se uchovávají. Měly by také popsat práva uživatelů, například právo požádat o výmaz nebo přístup k uloženým údajům. U chatbotu by tyto informace měly být srozumitelné a snadno dohledatelné.

5. Labeling Obligation
   Podle principů GDPR a zejména podle plánovaného AI Act by uživatelé měli poznat, že komunikují s AI, ne s člověkem. To je povinnost označení. Cílem je větší transparentnost a méně nedorozumění.

Role a odpovědnosti

Role jsou důležité, protože určují, kdo za co odpovídá.

Processor

Poskytovatel chatbotu bývá obvykle v roli processor. To znamená, že zpracovává data jménem provozovatele obchodu a podle jeho pokynů. Poskytovatel řeší technické nasazení a provoz chatbotu, ale nerozhoduje o tom, proč se data zpracovávají. Jeho úkolem je řídit se požadavky controlleru a zavést technická a organizační opatření na ochranu osobních údajů. Stručně řečeno, poskytovatel chatbotu je smluvně vázán zpracovávat data jen podle zadání, ne pro své vlastní nezávislé účely.

Controller

A tady to bývá trochu matoucí: provozovatel obchodu je controller. Jako controller rozhodujete, proč a jak se data zpracovávají, například co chatbot sbírá a jestli slouží pro podporu, lead generation nebo něco jiného. Controller odpovídá za to, že sběr a zpracování dat odpovídají pravidlům ochrany soukromí a že jsou respektována práva uživatelů. V praxi to znamená, že provozovatel obchodu určuje způsob použití chatbotu a nese odpovědnost za soulad s ochranou osobních údajů kolem tohoto použití. Zní to větší, než to ve skutečnosti je. Obvykle to začíná tím, že to jasně popíšete v zásadách ochrany osobních údajů.

Praktický příklad

Řekněme, že Shopify obchod „GarlicPress24“ chce používat AI chatbot pro lead generation. Zákazník se zeptá na parametry lisu na česnek a AI mu poradí jako expert. Během tohoto flow chatbot získá kontaktní údaje zákazníka, třeba jméno a e-mail, a předá je specialistovi.

Obchod musí rozhodnout, jak to má fungovat. Má lead sbírat AI? Nebo má chatbot jen zobrazit zprávu typu: „Kontaktujte naše specialisty na e-mailu X“? Shopify obchod je controller, protože rozhoduje, co se stane, a zajišťuje, aby byli zákazníci správně informováni v zásadách ochrany osobních údajů. Poskytovatel AI chatbotu řeší technické nastavení a zpracovává data podle pokynů obchodu, takže je v roli processor.

Jak používat AI chatbot v souladu s požadavky na ochranu osobních údajů: checklist

Pokud chcete provozovat chatbot v souladu s GDPR a AI Act, výše popsané role určují odpovědnosti.

1. Sbírejte jen nezbytná data
   Chatbot by měl sbírat jen data, která jsou opravdu potřeba. To je hlavně odpovědnost poskytovatele. Ve Flyweight se snažíme zpracovávat jen minimální množství osobních údajů, které je pro daný úkol nutné. Například když se zákazník ptá na stav objednávky, pracujeme jen s PSČ a číslem objednávky, ne s dalšími adresními údaji nebo širšími daty o objednávce. Osobní údaje se navíc zpracovávají odděleně od AI.

2. Buďte transparentní
   Uživatelé by měli rozumět tomu, jaká data chatbot sbírá a k čemu se používají. Nejvhodnější místo pro jasné vysvětlení jsou zásady ochrany osobních údajů, zejména pro provozovatele Shopify obchodů. Protože obchod je controller, měly by se zásady aktualizovat tak, aby byli zákazníci správně informováni. Níže najdete vzor, který s tím pomůže.

3. Mějte uzavřenou Data Processing Agreement (DPA)
   Pokud chatbot dodává externí poskytovatel, měla by existovat smlouva, která pokrývá zpracování dat v souladu s GDPR. Ověřte si, jestli poskytovatel nabízí DPA, často bývá součástí standardní smluvní dokumentace.

4. Pravidelně kontrolujte bezpečnost a ochranu dat
   AI Act směřuje i k pravidelnému vyhodnocování rizik spojených s AI, aby nasazení chatbotu zůstalo dlouhodobě v souladu s pravidly. To obvykle řeší poskytovatel chatbotu. Tento průvodce průběžně aktualizujeme a sdílíme důležité změny.

5. Chatbot jasně označte
   I když výslovné označení zatím nemusí být v každém případě striktním právním požadavkem, transparentnost je stále správný krok. Uživatelé by měli vědět, že mluví s AI. Náš AI chatbot má ve výchozím nastavení footer s textem: „AI powered by Flyweight“ a doporučujeme ho ponechat. Pokud chcete být ještě opatrnější, můžete AI zmínit také v uvítací zprávě nebo přímo v názvu chatbotu.

⭐️ Vzor textu do zásad ochrany osobních údajů

Jak už jsme si ukázali, Shopify obchody v roli controlleru nesou hlavní odpovědnost za to, že jasně vysvětlí, jak dochází ke zpracování dat.

A nejlepší místo? Vaše zásady ochrany osobních údajů.

💡 Kdybychom byli provozovatel obchodu a používali Flyweight AI Chatbot, přidali bychom do zásad ochrany osobních údajů následující část (aniž bychom tím potvrzovali právní povinnost nebo poskytovali právní radu):

👇👇👇👇👇👇👇👇👇👇

---

Použití chatbotu s formuláři
Na našem webu vám nabízíme AI chatbot od Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Německo (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement), který odpovídá na vaše dotazy. Při používání chatbotu se vaše dotazy propojují s databází vytvořenou z informací načtených z našeho vlastního webu a s velkým jazykovým modelem, aby vám mohl poskytnout odpověď na váš dotaz. Chatbot je nastaven tak, aby se neptal na osobní údaje. Dobré vědět: Pokud se v návaznosti na váš dotaz zobrazí samostatné formuláře, ve kterých může být podle povahy dotazu potřeba vyplnit osobní údaje, informace zadané do těchto formulářů se zpracovávají odděleně a neodesílají se do AI.

Kategorie zpracovávaných údajů: Kategorie údajů vyplývají z vašich dotazů, pokud v rámci otázky zadáte osobní údaje.

• Například pokud se zeptáte: „Kde je moje objednávka?“, zobrazí se formulář, do kterého můžete zadat číslo objednávky a PSČ.

• Pokud se například chcete dozvědět více o produktu a získat odpovídající poradenství, zobrazí se formulář, do kterého můžete vyplnit relevantní údaje (např. jméno, telefon, e-mail atd.).

Účel zpracování: Zpracování vámi poskytnutých informací za účelem vytváření odpovědí na vaše požadavky prostřednictvím chatbotu.

• Příklad: Pokud se zeptáte: „Kde je moje objednávka?“ a do formuláře zadáte číslo objednávky a PSČ, tyto informace se použijí pro přímý dotaz do systému obchodu (Shopify), aby bylo možné získat informace o doručení a informovat vás o stavu objednávky.

• Příklad: Pokud chcete poradit s produktem, váš požadavek (včetně údajů z formuláře a celé historie chatu) bude předán provozovateli obchodu, aby vás mohl kontaktovat.

Zdroj údajů: Tyto údaje získáváme přímo od vás.

Právní základ: Údaje zpracováváme za účelem plnění smluvních nebo předsmluvních povinností podle čl. 6 odst. 1 písm. b) General Data Protection Regulation (GDPR).

Doba uchování údajů: Údaje uchováváme do vyřízení vašeho požadavku nebo po dobu trvání smlouvy a následně po dobu stanovenou zákonnými lhůtami pro uchování dokumentace (6 až 10 let).

Umístění příjemců: EU i země mimo EU.

Záruky pro předání do třetích zemí: Standardní smluvní doložky EU (SCC), rozhodnutí o odpovídající ochraně

---

👆👆👆👆👆👆👆👆👆👆

Nainstalujte si chatbot pro evropské Shopify obchody navržený s ohledem na ochranu soukromí ✌️