Flyweight: AI chatbot Shopifylle GDPR:n ja AI Actin mukaisesti

Tilaustenkäsittelysopimus, merkintävelvollisuus, tietosuojaseloste, GDPR, AI Act - mitä ihmettä? 🤯🤯

Alla oleva tarkistuslista ja tietosuojaselosteen malliteksti on tehty teille, jos pyöritätte Shopify-kauppaa ja haluatte lisätä GDPR-yhteensopivan AI chatbotin. Jos haluatte nähdä koko kuvan siitä, mitä meidän Shopify chatbot pystyy tekemään, menkää pääoppaaseen. Tämä artikkeli ei ole oikeudellista neuvontaa eikä kannanotto mahdollisiin lakisääteisiin velvoitteisiin.

Terminologia

1. General Data Protection Regulation (GDPR)
   GDPR on Euroopan keskeinen tietosuojalaki. Se määrittää, miten yritykset saavat käsitellä henkilötietoja, esimerkiksi että dataa kerätään vain tarpeeseen ja säilytetään turvallisesti. Samalla se antaa ihmisille oikeuksia omiin tietoihinsa, kuten oikeuden saada pääsy tietoihin, korjata niitä ja pyytää niiden poistamista. Chatbotien kohdalla tämä tarkoittaa käytännössä sitä, ettei dataa pidä kerätä varmuuden vuoksi liikaa ja että käyttäjille pitää kertoa selkeästi, mihin tietoja käytetään.

2. Artificial Intelligence Act (AI Act)
   AI Act on EU:n valmisteilla oleva tekoälyä koskeva sääntely. Tavoite on tehdä AI-järjestelmien, kuten chatbotien, käytöstä turvallisempaa ja reilumpaa. Laki jakaa AI-järjestelmät riskitasoihin matalasta korkeaan. Jokaisella tasolla on omat vaatimuksensa, kuten se, että käyttäjän pitää ymmärtää olevansa tekemisissä AI:n kanssa ja että syrjiviä lopputuloksia pyritään ehkäisemään. Jos chatbotia käytetään herkemmissä käyttötapauksissa, se voi kuulua korkeamman riskin luokkaan ja siihen voi liittyä tiukempia vaatimuksia.

3. Data Processing Agreement (DPA)
   Data Processing Agreement eli henkilötietojen käsittelysopimus on sopimus chatbotia käyttävän yrityksen ja sitä tarjoavan palveluntarjoajan välillä. Siinä määritellään, että palveluntarjoaja käsittelee käyttäjätietoja vain yrityksen ohjeiden mukaan ja tietosuojasääntöjen mukaisesti. Jos käytätte ulkoista chatbot-palvelua, DPA tarvitaan yleensä dokumentoimaan GDPR:n mukainen käsittely.

4. Privacy Policy
   Tietosuojaseloste kertoo, mitä tietoja kerätään, miksi niitä kerätään ja kuinka kauan niitä säilytetään. Sen pitäisi myös avata käyttäjän oikeudet, kuten oikeus pyytää tietojen poistamista tai saada pääsy tallennettuihin tietoihin. Chatbotin tapauksessa näiden tietojen pitää olla helposti ymmärrettäviä ja helposti löydettävissä.

5. Labeling Obligation
   GDPR:n periaatteiden ja erityisesti suunnitteilla olevan AI Actin mukaan käyttäjän pitäisi pystyä tunnistamaan, että hän keskustelee AI:n eikä ihmisen kanssa. Tätä tarkoittaa merkintävelvollisuus. Tavoite on läpinäkyvyys ja vähemmän väärinkäsityksiä.

Roolit ja vastuut

Roolit ovat tärkeitä, koska ne määrittävät, kuka vastaa mistäkin.

Processor

Chatbot-palveluntarjoaja on yleensä processor. Se tarkoittaa, että palveluntarjoaja käsittelee tietoja kauppiaan puolesta ja tämän ohjeiden mukaan. Palveluntarjoaja hoitaa chatbotin teknisen käyttöönoton ja operoinnin, mutta ei päätä itse, miksi tietoja käsitellään. Sen tehtävä on noudattaa controllerin vaatimuksia ja toteuttaa tekniset ja organisatoriset toimet henkilötietojen suojaamiseksi. Käytännössä chatbot-palveluntarjoaja on siis sopimuksella sidottu käsittelemään tietoja vain annettujen ohjeiden mukaan, ei omiin itsenäisiin tarkoituksiinsa.

Controller

Tämä kohta tuntuu usein vähän nurinkuriselta: kaupan ylläpitäjä on controller. Controllerina kauppa päättää, miksi ja miten tietoja käsitellään, esimerkiksi mitä chatbot kerää ja käytetäänkö sitä asiakastukeen, liidien keräämiseen vai johonkin muuhun. Controller vastaa siitä, että tietojen keruu ja käsittely täyttävät tietosuojavaatimukset ja että käyttäjien oikeuksia kunnioitetaan. Käytännössä tämä tarkoittaa, että kauppias määrittelee, miten chatbotia käytetään, ja vastaa siihen käyttöön liittyvästä tietosuojan yhteensopivuudesta. Se kuulostaa isommalta asialta kuin yleensä onkaan. Useimmiten alkuun pääsee jo sillä, että tietosuojaseloste on selkeä.

Käytännön esimerkki

Otetaan esimerkki. Shopify-kauppa "GarlicPress24" haluaa käyttää AI chatbotia liidien keräämiseen. Asiakas kysyy valkosipulipuristimen spekseistä, ja AI antaa asiantuntevan vastauksen. Tämän keskustelun aikana chatbot kerää asiakkaan yhteystiedot, kuten nimen ja sähköpostiosoitteen, ja välittää ne asiantuntijalle.

Kaupan pitää päättää, miten tämä toteutetaan. Kerätäänkö liidi AI:n kautta? Vai näyttääkö chatbot vain viestin tyyliin: "Ota yhteyttä asiantuntijoihimme osoitteessa Sähköposti X"? Shopify-kauppa on controller, koska se päättää mitä tapahtuu ja varmistaa, että asiakkaille kerrotaan tästä asianmukaisesti tietosuojaselosteessa. AI chatbot -palveluntarjoaja hoitaa teknisen toteutuksen ja käsittelee tiedot kaupan ohjeiden mukaan, joten palveluntarjoaja on processor.

Näin käytätte AI chatbotia tietosuojavaatimusten mukaisesti: tarkistuslista

Jos haluatte käyttää chatbotia GDPR:n ja AI Actin linjassa, yllä olevat roolit määrittävät vastuut.

1. Kerätkää vain tarpeellinen data
   Chatbotin pitäisi kerätä vain tiedot, joita oikeasti tarvitaan. Tämä on ennen kaikkea palveluntarjoajan vastuulla. Flyweightilla tavoitteena on käsitellä vain se vähimmäismäärä henkilötietoja, joka on tarpeen. Jos asiakas esimerkiksi kysyy tilauksensa tilaa, käsittelemme vain postinumeron ja tilausnumeron, emme ylimääräisiä osoitetietoja tai laajempia tilaustietoja. Henkilötietoja käsitellään myös erillään AI:sta.

2. Olkaa läpinäkyviä
   Käyttäjien pitäisi ymmärtää, mitä tietoja chatbot kerää ja mihin niitä käytetään. Tietosuojaseloste on oikea paikka kertoa tämä selkeästi, etenkin Shopify-kaupan näkökulmasta. Koska kauppa on controller, seloste kannattaa päivittää niin, että asiakkaat saavat riittävät tiedot. Alla on mukana malliteksti, joka helpottaa tätä.

3. Laittakaa Data Processing Agreement (DPA) kuntoon
   Jos chatbot tulee ulkoiselta palveluntarjoajalta, käytössä pitäisi olla sopimus, joka kattaa GDPR:n mukaisen tietojenkäsittelyn. Tarkistakaa, tarjoaako palveluntarjoaja DPA:n, usein osana vakiosopimusta.

4. Käykää turvallisuus ja tietosuoja säännöllisesti läpi
   AI Act ohjaa myös siihen, että AI:hin liittyviä riskejä arvioidaan säännöllisesti, jotta chatbotin toteutus pysyy ajan mittaan vaatimusten mukaisena. Tästä vastaa yleensä chatbot-palveluntarjoaja. Me pidämme tämän oppaan ajan tasalla ja jaamme olennaiset muutokset.

5. Merkitkää chatbot selkeästi
   Vaikka nimenomainen merkintä ei vielä ole joka tilanteessa kova lakivaatimus, läpinäkyvyys on silti fiksu tapa toimia. Käyttäjän pitäisi tietää puhuvansa AI:lle. Meidän AI chatbotissa on oletuksena footer-teksti: “AI powered by Flyweight”, ja suosittelemme pitämään sen näkyvissä. Jos haluatte pelata erityisen varman päälle, voitte mainita AI:n myös tervetuloviestissä tai chatbotin nimessä.

⭐️ Tietosuojaselosteen malliteksti

Kuten huomattiin, controllerina toimiva Shopify-kauppa vastaa ennen kaikkea siitä, että tietojen käsittely kerrotaan selkeästi.

Ja paras paikka siihen? Teidän tietosuojaseloste.

💡 Jos olisimme itse kaupan ylläpitäjä ja käyttäisimme Flyweight AI Chatbotia, lisäisimme tietosuojaselosteeseen seuraavan osion (ilman että otamme kantaa mahdolliseen lakisääteiseen velvoitteeseen tai annamme oikeudellista neuvontaa):

👇👇👇👇👇👇👇👇👇👇

---

Chatbotin käyttö lomakkeiden kanssa
Tarjoamme verkkosivustollamme AI-pohjaisen chatbotin, jonka toimittaa Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Germany (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) vastaamaan kysymyksiinne. Kun käytätte chatbotia, kyselyt yhdistetään omaa verkkosivustoamme varten luotuun tietokantaan, joka on rakennettu sivustoltamme luetun tiedon pohjalta, sekä suureen kielimalliin, jotta voimme tarjota vastauksia kysymyksiinne. Chatbot on ohjeistettu olemaan pyytämättä henkilötietoja. Hyvä tietää: jos kyselyidenne seurauksena näkyviin tulee erillisiä lomakkeita, joissa voitte joutua antamaan henkilötietoja, nämä tiedot käsitellään erikseen eikä niitä siksi lähetetä AI:lle.

Käsiteltävät tietoryhmät: Tietoryhmät määräytyvät kyselyidenne perusteella silloin, kun syötätte henkilötietoja osaksi kysymystänne.

• Jos esimerkiksi kysytte: “Missä tilaukseni on?”, näkyviin tulee lomake, johon voitte syöttää tilausnumeronne ja postinumeronne.

• Jos taas haluatte esimerkiksi lisätietoa tuotteesta ja saada siihen sopivaa neuvontaa, näkyviin tulee lomake, johon voitte syöttää tarvittavat tiedot (esim. nimi, puhelin, sähköposti jne.).

Käsittelyn tarkoitus: Antamienne tietojen käsittely, jotta chatbot voi muodostaa vastauksia pyyntöihinne.

• Esimerkki: Jos kysytte: “Missä tilaukseni on?” ja syötätte lomakkeeseen tilausnumeronne ja postinumeronne, näitä tietoja käytetään suoraan kyselyn tekemiseen kaupan järjestelmään (Shopify), jotta toimitustiedot voidaan hakea ja voitte saada tiedon tilauksen tilasta.

• Esimerkki: Jos haluatte neuvontaa tuotteesta, pyyntönne välitetään kaupan ylläpitäjälle koko chat-historian sekä lomakkeella antamienne tietojen kanssa, jotta hän voi ottaa teihin yhteyttä.

Tietojen lähde: Keräämme nämä tiedot suoraan teiltä.

Oikeusperuste: Käsittelemme tietoja sopimuksen täyttämiseksi tai sopimusta edeltävien toimenpiteiden toteuttamiseksi EU:n yleisen tietosuoja-asetuksen (GDPR) 6 artiklan 1 kohdan b alakohdan mukaisesti.

Tietojen säilytys: Tietoja säilytetään, kunnes pyyntönne on ratkaistu, tai sopimuksen voimassaolon ajan ja sen jälkeen niin kauan, että lakisääteiset säilytysajat (6 - 10 vuotta) ovat kuluneet.

Vastaanottajien sijainti: EU ja EU:n ulkopuoliset maat.

Suojatoimet siirroissa kolmansiin maihin: EU:n vakiosopimuslausekkeet (SCC), tietosuojan riittävyyspäätös

---

👆👆👆👆👆👆👆👆👆👆

Asentakaa tietosuojan huomioiva chatbot eurooppalaisille Shopify-kaupoille ✌️