Flyweight : utiliser un AI Chatbot pour Shopify dans le respect du GDPR et de l’AI Act

Accord de traitement des données, obligation d’étiquetage, politique de confidentialité, RGPD, AI Act - hein ? 🤯🤯

La checklist et le modèle de politique de confidentialité ci-dessous partent du principe que vous gérez une boutique Shopify et que vous voulez ajouter un AI chatbot conforme au RGPD. Vous voulez voir tout ce que notre chatbot Shopify peut faire ? Direction le guide principal. Cet article ne constitue pas un conseil juridique et ne reconnaît aucune obligation légale.

Terminologie

1. Règlement général sur la protection des données (RGPD)
   Le RGPD est la base du droit à la vie privée en Europe. Il fixe les règles sur la manière dont les entreprises traitent les données personnelles, par exemple en ne collectant que ce qui est réellement nécessaire et en stockant ces données de façon sécurisée. Il donne aussi aux personnes des droits sur leurs données, comme l’accès, la rectification et la suppression. Pour les chatbots, cela veut dire : pas de collecte large ou inutile, et une explication claire de l’usage des données.

2. Artificial Intelligence Act (AI Act)
   L’AI Act est un projet de loi européen qui encadre l’intelligence artificielle. L’objectif : un usage plus sûr et plus équitable des systèmes d’IA comme les chatbots. Il classe les systèmes d’IA par niveau de risque, de faible à élevé. Chaque catégorie a ses propres exigences, par exemple indiquer clairement aux utilisateurs qu’ils interagissent avec une IA, ou éviter des résultats discriminatoires. Les chatbots utilisés dans des cas sensibles peuvent relever de catégories à risque plus élevé et être soumis à des exigences plus strictes.

3. Data Processing Agreement (DPA)
   Un Data Processing Agreement est un contrat entre l’entreprise qui utilise le chatbot et le prestataire qui l’exploite. Il précise que le prestataire ne traite les données des utilisateurs que sur instruction de l’entreprise et dans le respect des règles de protection des données. Si vous utilisez un fournisseur de chatbot externe, un DPA est généralement nécessaire pour encadrer le traitement des données de manière conforme au RGPD.

4. Politique de confidentialité
   Une politique de confidentialité explique quelles données sont collectées, pourquoi elles le sont, et combien de temps elles sont conservées. Elle doit aussi présenter les droits des utilisateurs, comme le droit de demander la suppression de leurs données ou d’y accéder. Pour un chatbot, ces informations doivent être simples à comprendre et faciles à trouver.

5. Obligation d’étiquetage
   Selon les principes du RGPD, et plus encore dans le cadre de l’AI Act à venir, les utilisateurs doivent pouvoir comprendre qu’ils échangent avec une IA et non avec un humain. C’est le principe d’étiquetage. Le but : plus de transparence et moins de malentendus.

Rôles et responsabilités

Les rôles sont importants, parce qu’ils définissent qui est responsable de quoi.

Sous-traitant

Le fournisseur du chatbot est généralement le sous-traitant. Cela signifie qu’il traite les données pour le compte du marchand et selon ses instructions. Le fournisseur gère la mise en place technique et le fonctionnement du chatbot, mais ne décide pas pourquoi les données sont traitées. Son rôle est de suivre les exigences du responsable du traitement et de mettre en place des mesures techniques et organisationnelles pour protéger les données personnelles. En bref, le fournisseur du chatbot est contractuellement tenu de traiter les données uniquement selon les instructions reçues, et non pour ses propres finalités.

Responsable du traitement

C’est souvent la partie qui paraît un peu contre-intuitive : c’est l’exploitant de la boutique qui est le responsable du traitement. En tant que responsable du traitement, la boutique décide pourquoi et comment les données sont traitées, par exemple quelles données le chatbot collecte, et s’il sert au support, à la génération de leads, ou à autre chose. Le responsable du traitement doit s’assurer que la collecte et le traitement des données respectent les règles de confidentialité, et que les droits des utilisateurs sont respectés. En pratique, cela veut dire que l’exploitant définit l’usage du chatbot et porte la responsabilité de la conformité liée à cet usage. Dit comme ça, ça paraît plus lourd que ça ne l’est. En général, tout commence par une politique de confidentialité claire.

Exemple concret

Imaginons que la boutique Shopify "GarlicPress24" veuille utiliser un AI chatbot pour générer des leads. Un client pose une question sur les caractéristiques d’un presse-ail, et l’IA lui répond avec des conseils d’expert. Pendant cet échange, le chatbot collecte les coordonnées du client, comme son nom et son e-mail, puis les transmet à l’expert.

C’est à la boutique de décider comment cela doit fonctionner. Faut-il collecter le lead via l’IA ? Ou le chatbot doit-il simplement afficher un message du type : « Contactez nos experts à l’adresse e-mail X » ? La boutique Shopify est le responsable du traitement, car c’est elle qui décide de ce qui se passe et qui veille à ce que les clients soient correctement informés dans la politique de confidentialité. Le fournisseur de l’AI chatbot gère la configuration technique et traite les données selon les instructions de la boutique, ce qui en fait le sous-traitant.

Comment utiliser un AI chatbot dans le respect des règles de protection des données : checklist

Si vous voulez utiliser un chatbot en ligne avec le RGPD et l’AI Act, les rôles décrits plus haut définissent les responsabilités.

1. Ne collecter que les données nécessaires
   Le chatbot ne doit collecter que les données réellement utiles. C’est avant tout une responsabilité du fournisseur. Chez Flyweight, nous cherchons à traiter uniquement le minimum de données personnelles nécessaire. Par exemple, si un client demande le statut de sa commande, nous traitons uniquement le code postal et le numéro de commande, pas les détails complets de l’adresse ni des données de commande plus larges. Les données personnelles sont aussi gérées séparément de l’IA.

2. Être transparent
   Les utilisateurs doivent comprendre quelles données le chatbot collecte et à quoi elles servent. La politique de confidentialité est le bon endroit pour l’expliquer clairement, surtout pour les opérateurs de boutiques Shopify. Puisque la boutique est responsable du traitement, la politique doit être mise à jour pour que les clients soient correctement informés. Un modèle est inclus plus bas pour vous aider.

3. Mettre en place un Data Processing Agreement (DPA)
   Si le chatbot vient d’un fournisseur externe, il doit y avoir un contrat qui encadre le traitement des données conformément au RGPD. Vérifiez si le fournisseur propose un DPA, souvent inclus dans l’accord standard.

4. Revoir régulièrement la sécurité et la protection des données
   L’AI Act va aussi dans le sens de revues régulières des risques liés à l’IA, afin que la configuration du chatbot reste conforme dans le temps. Cette partie est généralement gérée par le fournisseur du chatbot. Nous tenons ce guide à jour et partageons les évolutions importantes.

5. Identifier clairement le chatbot
   Même si un étiquetage explicite n’est pas encore une obligation stricte dans tous les cas, la transparence reste la bonne approche. Les utilisateurs doivent savoir qu’ils parlent à une IA. Notre AI chatbot inclut par défaut un footer qui indique : “AI powered by Flyweight”, et nous vous recommandons de le laisser. Si vous voulez aller plus loin, vous pouvez aussi mentionner l’IA dans le message de bienvenue ou dans le nom du chatbot.

⭐️ Modèle de politique de confidentialité

Comme on l’a vu, les boutiques Shopify qui agissent en tant que responsables du traitement sont principalement chargées d’expliquer clairement comment les données sont traitées.

Et le meilleur endroit pour ça ?

Votre politique de confidentialité.

💡 Si nous étions l’exploitant de la boutique utilisant le Flyweight AI Chatbot, nous ajouterions la section suivante à la politique de confidentialité, sans reconnaître d’obligation légale et sans fournir de conseil juridique :

👇👇👇👇👇👇👇👇👇👇

---

Utilisation du chatbot avec formulaires
Nous mettons à votre disposition sur notre site un chatbot basé sur l’IA fourni par Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Allemagne (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement), afin de répondre à vos questions. Lorsque vous utilisez le chatbot, vos demandes sont traitées à partir de la base de données construite depuis les informations de notre propre site web et d’un grand modèle de langage, afin de vous fournir une réponse à votre demande. Le chatbot est configuré pour ne pas demander de données personnelles. Bon à savoir : si des formulaires séparés s’affichent à la suite de vos demandes et que vous devez alors y renseigner des données personnelles selon votre besoin, les informations saisies dans ces formulaires sont traitées séparément et ne sont donc pas transmises à l’IA.

Catégories de données traitées : Les catégories de données dépendent de vos demandes lorsque vous saisissez des données personnelles dans votre question.

• Par exemple, si vous demandez : « Où en est ma commande ? », un formulaire s’affiche dans lequel vous pouvez saisir votre numéro de commande et votre code postal.

• Si, par exemple, vous souhaitez en savoir plus sur un produit et recevoir un conseil adapté, un formulaire s’affiche dans lequel vous pouvez saisir les informations pertinentes (par exemple : nom, téléphone, e-mail, etc.).

Finalité du traitement : Traitement des informations que vous fournissez afin de générer des réponses à vos demandes via le chatbot.

• Exemple : si vous demandez « Où en est ma commande ? » et que vous saisissez votre numéro de commande et votre code postal dans le formulaire, ces informations sont utilisées pour faire une requête directe dans le système de la boutique (Shopify), afin de récupérer les informations de livraison et de vous informer sur le statut de la commande.

• Exemple : si vous souhaitez obtenir un conseil sur un produit, votre demande, avec les données renseignées dans le formulaire et l’historique complet du chat, sera transmise à l’exploitant de la boutique afin qu’il puisse vous recontacter.

Source des données : Nous collectons ces données directement auprès de vous.

Base légale : Nous traitons les données pour exécuter des obligations contractuelles ou précontractuelles conformément à l’article 6, paragraphe 1, point b) du Règlement général sur la protection des données (RGPD).

Durée de conservation : Les données sont conservées jusqu’au traitement complet de votre demande ou pendant la durée du contrat, puis au-delà jusqu’à l’expiration des délais de conservation légaux (6 à 10 ans).

Localisation des destinataires : UE et hors UE.

Garanties pour les transferts vers des pays tiers : Clauses contractuelles types de l’UE (SCC), décision d’adéquation

---

👆👆👆👆👆👆👆👆👆👆

Installez le chatbot respectueux de la confidentialité pour les boutiques Shopify européennes ✌️