Flyweight: Tekoälychatbotin käyttö Shopifyssa GDPR:n ja AI Actin mukaisesti

Tietojenkäsittelysopimus, merkintävelvollisuus, tietosuojaseloste, GDPR, AI Act - mitä? 🤯🤯

Alla oleva tarkistuslista ja tietosuojaselostepohja perustuvat siihen oletukseen, että ylläpidätte Shopify-kauppaa ja haluatte lisätä GDPR-yhteensopivan tekoälychatbotin. Koska Flyweight laatii nyt myös vastauksia sähköposteihin ja tukitiketteihin (Flyweight Copilot) ja antaa teidän tai tiiminne ottaa live-chatit haltuun, tämä opas kattaa myös nämä käyttötapaukset. Haluatteko kokonaiskuvan siitä, mitä Shopify-chatbottimme voi tehdä? Siirtykää pääoppaaseen. Tämä artikkeli ei ole oikeudellista neuvontaa eikä oikeudellisen velvoitteen tunnustamista.

Terminologia

1. Yleinen tietosuoja-asetus (GDPR)
   GDPR on Euroopan keskeinen tietosuojalaki. Se asettaa säännöt sille, miten yritykset käsittelevät henkilötietoja, kuten keräävät vain sen, mitä todella tarvitaan, ja säilyttävät tiedot turvallisesti. Se antaa ihmisille myös oikeuksia omiin tietoihinsa, mukaan lukien oikeuden saada pääsy tietoihin, oikaista niitä ja poistaa ne. Chatbottien osalta tämä tarkoittaa, ettei tietoja saa kerätä laajasti tai tarpeettomasti ja että on viestittävä selkeästi siitä, miten tietoja käytetään.

2. Tekoälyasetus (AI Act)
   AI Act on EU-asetus, joka asettaa säännöt tekoälylle. Sen vaatimuksia sovelletaan vaiheittain, ja 50 artiklan läpinäkyvyysvelvoitteita sovelletaan 2. elokuuta 2026 alkaen. Tavoitteena on tekoälyjärjestelmien, kuten chatbottien, turvallisempi ja oikeudenmukaisempi käyttö. Se ryhmittelee tekoälyjärjestelmät riskitason mukaan matalasta korkeaan. Jokaiseen luokkaan liittyy omat vaatimuksensa, kuten sen selväksi tekeminen, että käyttäjät ovat vuorovaikutuksessa tekoälyn kanssa, sekä syrjivien lopputulosten estäminen. Arkaluonteisia käyttötapauksia käsittelevät chatbotit voivat kuulua korkeamman riskin luokkiin ja niihin voidaan soveltaa tiukempia vaatimuksia.

3. Tietojenkäsittelysopimus (DPA)
   Tietojenkäsittelysopimus on chatbotia käyttävän yrityksen ja sitä operoivan palveluntarjoajan välinen sopimus. Siinä määritellään, että palveluntarjoaja käsittelee käyttäjätietoja vain yrityksen ohjeiden mukaisesti ja tietosuojasääntöjen mukaisesti. Jos käytätte ulkoista chatbot-palveluntarjoajaa, DPA on yleensä tarpeen GDPR:n mukaisen käsittelyn dokumentoimiseksi.

4. Tietosuojaseloste
   Tietosuojaseloste selittää, mitä tietoja kerätään, miksi niitä kerätään ja kuinka kauan niitä säilytetään. Sen tulisi myös selittää käyttäjän oikeudet, kuten oikeus pyytää tietojen poistamista tai pääsyä tallennettuihin tietoihin. Chatbotin käytössä näiden tietojen tulisi olla helposti ymmärrettäviä ja helposti löydettävissä.

5. Merkintävelvollisuus
   AI Actin 50 artiklan mukaan henkilöille, jotka ovat suorassa vuorovaikutuksessa tekoälyjärjestelmän kanssa, on yleensä ilmoitettava, että he ovat vuorovaikutuksessa tekoälyn kanssa, ellei tämä ole olosuhteissa ilmeistä. Tämä on merkintävelvollisuus. Tavoitteena on läpinäkyvyys ja väärinkäsitysten vähentäminen.

Roolit ja vastuut

Roolit ovat tärkeitä, koska ne määrittävät, kuka on vastuussa mistäkin.

Käsittelijä

Chatbot-palveluntarjoaja on yleensä käsittelijä. Tämä tarkoittaa, että palveluntarjoaja käsittelee tietoja kaupan ylläpitäjän puolesta ja tämän ohjeiden perusteella. Palveluntarjoaja huolehtii chatbotin teknisestä käyttöönotosta ja toiminnasta, mutta ei päätä, miksi tietoja käsitellään. Sen tehtävänä on noudattaa rekisterinpitäjän vaatimuksia ja toteuttaa tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi. Lyhyesti sanottuna chatbot-palveluntarjoaja on sopimuksellisesti sidottu käsittelemään tietoja vain ohjeiden mukaisesti, ei omiin itsenäisiin tarkoituksiinsa.

Rekisterinpitäjä

Tämä on se kohta, joka tuntuu usein hieman epäintuitiiviselta: kaupan ylläpitäjä on rekisterinpitäjä. Rekisterinpitäjänä kauppa päättää, miksi ja miten tietoja käsitellään, esimerkiksi mitä chatbot kerää ja käytetäänkö sitä tukeen, liidien hankintaan vai johonkin muuhun. Rekisterinpitäjä vastaa siitä, että tietojen keruu ja käsittely täyttävät tietosuojavaatimukset ja että käyttäjien oikeuksia kunnioitetaan. Käytännössä tämä tarkoittaa, että kaupan ylläpitäjä määrittelee, miten chatbotia käytetään, ja vastaa kyseisen käytön tietosuojan vaatimustenmukaisuudesta. Se kuulostaa suuremmalta asialta kuin onkaan. Yleensä kaikki alkaa siitä, että asiasta kerrotaan selkeästi tietosuojaselosteessa.

Käytännön esimerkki

Oletetaan, että Shopify-kauppa "GarlicPress24" haluaa käyttää tekoälychatbotia liidien hankintaan. Asiakas kysyy valkosipulipuristimen teknisistä tiedoista, ja tekoäly antaa asiantuntevaa opastusta. Tämän prosessin aikana chatbot kerää asiakkaan yhteystiedot, kuten nimen ja sähköpostiosoitteen, ja välittää ne asiantuntijalle.

Kaupan on päätettävä, miten tämän tulisi toimia. Pitäisikö liidi kerätä tekoälyn kautta? Vai pitäisikö chatbotin vain näyttää viesti kuten: ”Ota yhteyttä asiantuntijoihimme osoitteessa sähköposti X”? Shopify-kauppa on rekisterinpitäjä, koska se päättää, mitä tapahtuu, ja varmistaa, että asiakkaille kerrotaan asiasta asianmukaisesti tietosuojaselosteessa. Tekoälychatbotin palveluntarjoaja hoitaa teknisen toteutuksen ja käsittelee tietoja kaupan ohjeiden mukaisesti, mikä tekee palveluntarjoajasta käsittelijän.

Tekoälychatbotin käyttäminen tietosuojavaatimusten mukaisesti: tarkistuslista

Jos haluatte käyttää chatbotia GDPR:n ja AI Actin mukaisesti, yllä kuvatut roolit määrittävät vastuut.

1. Kerätkää vain välttämättömät tiedot
   Chatbotin tulisi kerätä vain tiedot, joita todella tarvitaan. Tämä on pääasiassa palveluntarjoajan vastuulla. Flyweightilla pyrimme käsittelemään vain sen vähimmäismäärän henkilötietoja, joka on tarpeen. Jos asiakas esimerkiksi kysyy tilauksen tilasta, käsittelemme vain postinumeron ja tilausnumeron, emme ylimääräisiä osoitetietoja tai laajempia tilaustietoja. Chatbotin erillisiin lomakkeisiin syötetyt tiedot käsitellään erillään tekoälymallista. Vapaatekstiviestit voivat silti sisältää henkilötietoja, ja Copilot käsittelee avointa tukikeskustelua vastauksen luonnostelemiseksi.

2. Olkaa läpinäkyviä
   Käyttäjien tulisi ymmärtää, mitä tietoja chatbot kerää ja mihin niitä käytetään. Tietosuojaseloste on oikea paikka selittää tämä selkeästi, erityisesti Shopify-kauppojen ylläpitäjille. Koska kauppa on rekisterinpitäjä, seloste tulisi päivittää, jotta asiakkaille annetaan asianmukaiset tiedot. Avuksi on alla mukana pohja.

3. Ottakaa käyttöön tietojenkäsittelysopimus (DPA)
   Jos chatbot tulee ulkoiselta palveluntarjoajalta, käytössä tulisi olla sopimus, joka kattaa GDPR:n mukaisen tietojenkäsittelyn. Tarkistakaa, tarjoaako palveluntarjoaja DPA:n, usein osana vakiosopimusta.

4. Tarkistakaa turvallisuus ja tietosuoja säännöllisesti
   AI Act viittaa myös tekoälyyn liittyvien riskien säännöllisiin tarkasteluihin, jotta chatbotin käyttöönotto pysyy ajan mittaan vaatimustenmukaisena. Tämä on yleensä chatbot-palveluntarjoajan hoidettavana. Pidämme tämän oppaan ajan tasalla ja jaamme olennaiset muutokset.

5. Merkitkää chatbot selkeästi
   Käyttäjien tulisi tietää puhuvansa tekoälyn kanssa. 50 artiklan läpinäkyvyysvelvoitteita sovelletaan 2. elokuuta 2026 alkaen, ks. Euroopan komission ohjeistus. Tekoälychatbotissamme on oletusarvoinen alatunniste, jossa lukee: ”AI powered by Flyweight”, ja suosittelemme pitämään sen. Jos haluatte olla erityisen varovaisia, voitte mainita tekoälyn myös tervetuloviestissä tai chatbotin nimessä.

6. Sähköposti- ja tikettituki tekoälyllä (Flyweight Copilot)

   Jos te tai tiiminne käytätte Flyweight Copilotia vastausten luonnosteluun sähköposteihin tai tiketteihin, samat roolit pätevät: te olette rekisterinpitäjä, Flyweight on käsittelijänne DPA:n nojalla. Te tai tiiminne jäsen tarkistaa ja lähettää jokaisen luonnoksen, joten asiakkaan pyyntöä koskevaa automaattista päätöstä ei tehdä. Mitä teidän tulee tehdä: lisätkää alla olevasta pohjasta osio tietosuojaselosteeseenne, varmistakaa, että vain teillä ja valtuuttamillanne henkilöillä on pääsy, älkääkä koskaan pyytäkö asiakkailta terveystietoja tai muita arkaluonteisia tietoja, joita ei tarvita pyynnön ratkaisemiseen.

7. Live-chatien haltuunotto

   Kun te tai tiiminne jäsen otatte keskustelun haltuun tekoälyltä, asiakkaan tulisi nähdä, että ihminen on liittynyt keskusteluun. Tämä on tekoälyä koskevan merkintävelvollisuuden kääntöpuoli: jos kerrotte asiakkaille, milloin he puhuvat tekoälyn kanssa, kertokaa myös, milloin he puhuvat ihmisen kanssa. Flyweight näyttää siirron chat-widgetissä oletusarvoisesti. Käyttäkää etunimiä tai tiimialiasnimiä, te päätätte mitä näytetään.

Tarvitsenko suostumuksen asiakkailta, jotka lähettävät meille sähköpostia?

Yleensä erillistä suostumusta ei tarvita pelkästään rutiininomaiseen tukisähköpostiin vastaamiseen. Pyynnöstä riippuen käsittely voi olla tarpeen asiakkaan kanssa tehdyn sopimuksen toteuttamiseksi (GDPR 6 artiklan 1 kohdan b alakohta) tai perustua dokumentoituun oikeutetun edun arviointiin asiakastukea varten (GDPR 6 artiklan 1 kohdan f alakohta). Kauppiaan on valittava asianmukainen käsittelyperuste tosiasialliseen käsittelyyn, mukaan lukien tekoälyavustus, ja varmistettava, että käytetään vain tarpeellisia tietoja. Suostumus ei korvaa tätä arviointia, eikä tuen saamisen tulisi riippua suostumuksesta käsittelyyn, joka ei liity asiaan.

Tarvitsette kuitenkin läpinäkyvyyttä: mainitkaa Flyweight käsittelijänä tietosuojaselosteessanne (malli alla) ja halutessanne linkittäkää siihen sähköpostiallekirjoituksestanne tai automaattisesta vastauksesta.

Erityisiin henkilötietoryhmiin kuuluvat tiedot vaativat lisähuolellisuutta: terveystiedot ja muut erityiset henkilötietoryhmät edellyttävät soveltuvaa ehtoa GDPR 9 artiklan 2 kohdan nojalla sekä 6 artiklan mukaista oikeusperustaa. Tukisopimus tai oikeutettu etu ei yksin riitä. Ette voi estää asiakasta kirjoittamasta "Minun täytyy palauttaa tämä allergiani vuoksi", mutta voitte (1) varmistaa, etteivät te, tiiminne ja tekoälyasetelmanne koskaan aktiivisesti pyydä tällaisia tietoja, (2) lisätä tietosuojaselosteeseenne tai automaattiseen vastaukseenne lyhyen huomautuksen, jossa asiakkaita pyydetään olemaan jakamatta terveystietoja, ellei se ole tarpeen heidän pyyntönsä vuoksi, ja (3) jos kauppanne myy terveyteen liittyviä tuotteita (ravintolisät, lääkinnälliset laitteet, apteekkituotteet), keskustella tietosuojavastaavanne kanssa tietosuojaa koskevasta vaikutustenarvioinnista ennen tekoälyavusteisen tuen käyttöönottoa. Flyweightin DPA kattaa tällaisten tietojen satunnaisen käsittelyn ja sulkee pois erillisen arvioinnin tai mallin kouluttamisen, mutta DPA ei itsessään tarjoa kauppiaalle 9 artiklan mukaista ehtoa. Arvioikaa, aiheuttaako suunniteltu käsittely todennäköisesti korkean riskin ja edellyttääkö se siksi tietosuojaa koskevaa vaikutustenarviointia ennen käyttöönottoa.

Ks. EDPB:n ohjeistus oikeusperusteista ja erityisistä henkilötietoryhmistä.

⭐️ Tietosuojaselostepohja

Kuten olemme nähneet, rekisterinpitäjinä toimivat Shopify-kaupat ovat pääasiassa vastuussa siitä, että ne selittävät selkeästi, miten tietoja käsitellään.

Ja paras paikka sille? Tietosuojaselosteenne.

💡 Jos olisimme Flyweight AI Chatbotia käyttävä kaupan ylläpitäjä, lisäisimme tietosuojaselosteeseen seuraavan osion (ilman oikeudellisen velvoitteen tunnustamista tai oikeudellista neuvontaa):

Mukauttakaa pohja niihin ominaisuuksiin, joita todella käytätte, oikeusperusteisiinne ja säilytyskäytäntöönne.

---

Chatbotin käyttö lomakkeiden kanssa
Tarjoamme verkkosivustollamme teille tekoälypohjaisen chatbotin, jonka toimittaa Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Saksa (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement), vastataksemme kysymyksiinne. Chatbotia käytettäessä kyselynne yhdistetään omaa verkkosivustoamme koskevista tiedoista luotuun tietokantaan sekä suureen kielimalliin, jotta voimme antaa vastauksia kyselyynne. Chatbotia on ohjeistettu olemaan pyytämättä henkilötietoja. Hyvä tietää: Jos kyselyjenne seurauksena näkyviin tulee erillisiä lomakkeita, joissa teidän voi olla tarpeen antaa henkilötietoja kyselynne perusteella, niissä antamanne tiedot käsitellään erikseen eikä niitä sen vuoksi lähetetä tekoälylle.

Käsiteltävät tietoryhmät: Tietoryhmät määräytyvät kyselyjenne perusteella, kun syötätte henkilötietoja kysymykseenne.

• Jos esimerkiksi kysytte: ”Missä tilaukseni on?”, näkyviin tulee lomake, johon voitte syöttää tilausnumeronne ja postinumeronne.

• Jos esimerkiksi haluatte saada lisätietoja tuotteesta ja saada asianmukaista neuvontaa, näkyviin tulee lomake, johon voitte syöttää olennaiset tiedot (esim. nimi, puhelin, sähköposti jne.).

Käsittelyn tarkoitus: Antamienne tietojen käsittely vastausten laatimiseksi pyyntöihinne chatbotia käyttäen.

• Esimerkki: Jos esimerkiksi kysytte: ”Missä tilaukseni on?” ja syötätte lomakkeeseen tilausnumeronne ja postinumeronne, näitä tietoja käytetään suoran pyynnön tekemiseen kauppajärjestelmään (Shopify), jotta toimitustiedot voidaan lähettää ja teille voidaan ilmoittaa tilauksen tila.

• Esimerkki: Jos haluatte neuvontaa tuotteesta, pyyntönne (lomakkeessa antamienne tietojen ja koko chat-historian kanssa) välitetään kaupan ylläpitäjälle, jotta hän voi ottaa teihin yhteyttä.

Tietolähde: Keräämme nämä tiedot suoraan teiltä.

Oikeusperuste: Käsittelemme tietoja sopimukseen liittyvien tai sopimusta edeltävien velvoitteiden täyttämiseksi yleisen tietosuoja-asetuksen (GDPR) 6 artiklan 1 kohdan b alakohdan mukaisesti.

Tietojen säilytys: Säilytämme tukitietoja niin kauan kuin se on tarpeen kyselyynne vastaamiseksi sekä mahdollisten sovellettavien oikeudellisten vaateiden tai kirjanpitovelvoitteiden vuoksi. Lakisääteisiä 6-10 vuoden säilytysaikoja sovelletaan vain asiakirjoihin, joihin nämä vaatimukset kohdistuvat. Flyweight säilyttää keskusteluja puolestamme sopimuksemme voimassaoloajan ja poistaa ne 30 päivän kuluessa sen päättymisestä tietojenkäsittelysopimuksemme mukaisesti.

Vastaanottajien sijainti: EU ja EU:n ulkopuoliset maat.

Kolmansiin maihin tehtävien siirtojen suojatoimet: EU:n mallisopimuslausekkeet (SCC), vastaavuuspäätös

Tekoälyavusteinen asiakastuki (sähköposti ja tiketit)

Kun otatte yhteyttä asiakastukeemme sähköpostitse tai helpdeskin kautta, käytämme asiakastuen apuna Flyweight Copilotia, joka on Flyweight GmbH:n, Jungbuschstraße 28, 68159 Mannheim, Saksa, tarjoama työkalu (legal notice / privacy statement). Työkalu lukee viestinne ja, jos saatavilla, siihen liittyvät tilaustiedot kauppajärjestelmästämme ja laatii ehdotuksen vastaukseksi. Jokaisen vastauksen tarkistaa ja lähettää tiimimme jäsen. Pyyntöänne koskevaa päätöstä ei tehdä automaattisesti. Älkää sisällyttäkö viestiinne terveystietoja tai muita arkaluonteisia tietoja, ellei se ole tarpeen pyyntönne vuoksi.

Käsiteltävät tietoryhmät: Viestinne sisältö (aihe ja teksti), nimenne ja sähköpostiosoitteenne sekä pyyntöönne liittyvät tilaustiedot (kuten tilausnumero, tilauksen tila ja tilaushistoria).

Käsittelyn tarkoitus: Vastata tukipyyntöönne nopeammin ja tarkemmin.

Tietolähde: Saamme nämä tiedot suoraan teiltä ja kauppajärjestelmästämme.

Oikeusperuste: GDPR 6 artiklan 1 kohdan b alakohta (sopimuksen täytäntöönpano tai sopimusta edeltävät toimenpiteet) ja GDPR 6 artiklan 1 kohdan f alakohta (oikeutettu etumme tehokkaan asiakastuen tarjoamiseen). Flyweight GmbH käsittelee tietojanne puolestamme käsittelijänä tietojenkäsittelysopimuksen nojalla.

Tietojen säilytys: Säilytämme tukitietoja niin kauan kuin se on tarpeen pyyntönne ratkaisemiseksi sekä mahdollisten sovellettavien oikeudellisten vaateiden tai kirjanpitovelvoitteiden vuoksi. Lakisääteisiä 6-10 vuoden säilytysaikoja sovelletaan vain asiakirjoihin, joihin nämä vaatimukset kohdistuvat, ei automaattisesti jokaiseen tukiviestiin. Flyweight säilyttää keskusteluja puolestamme sopimuksemme voimassaoloajan ja poistaa ne 30 päivän kuluessa sen päättymisestä tietojenkäsittelysopimuksemme mukaisesti.

Vastaanottajien sijainti: EU ja EU:n ulkopuoliset maat.

Kolmansiin maihin tehtävien siirtojen suojatoimet: EU:n mallisopimuslausekkeet (SCC), vastaavuuspäätös.

Live-chat tiimimme kanssa

Tiimimme jäsen voi liittyä chatbot-keskusteluun ja jatkaa sitä henkilökohtaisesti. Näette chatissa, kun näin tapahtuu. Keskustelu, mukaan lukien kaikki chatissa antamanne tiedot, on tämän jälkeen tiimimme saatavilla, jotta voimme auttaa teitä pyynnössänne.

Oikeusperuste: GDPR 6 artiklan 1 kohdan b alakohta (sopimuksen täytäntöönpano tai sopimusta edeltävät toimenpiteet). Flyweight GmbH tarjoaa chat-infrastruktuurin käsittelijänämme.

Tietojen säilytys: Kuten edellä chatbotin osalta on todettu.

---

Asentakaa tietosuojan mukainen chatbot eurooppalaisille Shopify-kaupoille ✌️