Flyweight: een AI Chatbot voor Shopify gebruiken volgens GDPR en AI Act
Complete gids voor het gebruik van Flyweight AI Chatbot voor Shopify volgens GDPR en AI Act. Inclusief template voor uw privacybeleid en een checklist voor compliance.
ByVerwerkersovereenkomst, labelplicht, privacyverklaring, GDPR, AI-Act - wat? 🤯🤯
De checklist en template voor de privacyverklaring hieronder gaan ervan uit dat u een Shopify store runt en een GDPR-conforme AI chatbot wilt toevoegen. Benieuwd naar het complete plaatje van wat onze Shopify chatbot kan? Bekijk dan de hoofdgids. Dit artikel is geen juridisch advies en geldt ook niet als erkenning van een wettelijke verplichting.
Terminologie
-
General Data Protection Regulation (GDPR)
De GDPR is de belangrijkste privacywet in Europa. Deze wet bepaalt hoe bedrijven met persoonsgegevens omgaan, bijvoorbeeld door alleen gegevens te verzamelen die echt nodig zijn en die goed te beveiligen. Ook geeft de GDPR mensen rechten over hun data, zoals inzage, correctie en verwijdering. Voor chatbots betekent dat: geen brede of onnodige dataverzameling, en helder uitleggen hoe data wordt gebruikt. -
Artificial Intelligence Act (AI Act)
De AI Act is een voorgestelde EU-wet die regels opstelt voor kunstmatige intelligentie. Het doel is om AI-systemen zoals chatbots veiliger en eerlijker te gebruiken. De wet deelt AI-systemen in op risiconiveau, van laag tot hoog. Elke categorie heeft eigen eisen, zoals duidelijk maken dat gebruikers met AI praten en het beperken van discriminerende uitkomsten. Chatbots in gevoelige toepassingen kunnen in een hogere risicocategorie vallen en daardoor aan strengere eisen moeten voldoen. -
Data Processing Agreement (DPA)
Een Data Processing Agreement is een overeenkomst tussen het bedrijf dat de chatbot gebruikt en de partij die deze beheert. Daarin staat dat de aanbieder gebruikersdata alleen verwerkt in opdracht van het bedrijf en volgens de privacyregels. Gebruikt u een externe chatbotprovider, dan is een DPA meestal nodig om GDPR-conforme verwerking vast te leggen. -
Privacy Policy
Een privacyverklaring legt uit welke data wordt verzameld, waarom dat gebeurt en hoe lang die data wordt bewaard. Ook moet erin staan welke rechten gebruikers hebben, zoals het recht op verwijdering of inzage. Bij chatbotgebruik moet deze informatie makkelijk te begrijpen en makkelijk te vinden zijn. -
Labeling Obligation
Op basis van de principes van de GDPR, en zeker onder de geplande AI Act, moeten gebruikers kunnen zien dat ze met AI praten en niet met een mens. Dat is de labelplicht. Het doel is transparantie en minder misverstanden.
Rollen en verantwoordelijkheden
Die rollen zijn belangrijk, omdat ze bepalen wie waarvoor verantwoordelijk is.
Processor
De chatbotprovider is meestal de processor. Dat betekent dat de provider data verwerkt namens de store-eigenaar en op basis van diens instructies. De provider regelt de technische Setup en werking van de chatbot, maar bepaalt niet waarom de data wordt verwerkt. De taak van de provider is om de eisen van de controller te volgen en technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen. Kort gezegd: de chatbotprovider is contractueel gebonden om data alleen volgens instructie te verwerken, niet voor eigen onafhankelijke doeleinden.
Controller
Dit voelt vaak wat tegenintuïtief: de store-eigenaar is de controller. Als controller bepaalt de store waarom en hoe data wordt verwerkt, bijvoorbeeld welke gegevens de chatbot verzamelt en of die wordt gebruikt voor support, leadgeneratie of iets anders. De controller is verantwoordelijk om te zorgen dat dataverzameling en verwerking voldoen aan de privacyregels en dat de rechten van gebruikers worden gerespecteerd. In de praktijk betekent dat: de store-eigenaar bepaalt hoe de chatbot wordt ingezet en is verantwoordelijk voor de privacycompliance daaromheen. Het klinkt groter dan het is. Meestal begint het gewoon met duidelijke uitleg in de privacyverklaring.
Praktisch voorbeeld
Stel: de Shopify store "GarlicPress24" wil een AI chatbot gebruiken voor leadgeneratie. Een klant vraagt naar de specificaties van een knoflookpers en de AI geeft deskundig advies. Tijdens die flow verzamelt de chatbot contactgegevens van de klant, zoals naam en e-mailadres, en stuurt die door naar de expert.
De store moet beslissen hoe dit werkt. Wilt u de lead via AI verzamelen? Of laat de chatbot alleen een bericht zien zoals: "Neem contact op met onze experts via e-mailadres X"? De Shopify store is de controller, omdat die bepaalt wat er gebeurt en ervoor zorgt dat klanten hierover goed worden geïnformeerd in de privacyverklaring. De AI chatbotprovider regelt de technische Setup en verwerkt de data volgens instructies van de store. Daarmee is de provider de processor.
Een AI Chatbot gebruiken in lijn met privacyregels: een checklist
Wilt u een chatbot inzetten in lijn met de GDPR en de AI Act, dan bepalen de rollen hierboven wie waarvoor verantwoordelijk is.
-
Verzamel alleen noodzakelijke data
De chatbot moet alleen data verzamelen die echt nodig is. Dit ligt vooral bij de provider. Bij Flyweight proberen we alleen de minimale hoeveelheid persoonsgegevens te verwerken die nodig is. Vraagt een klant bijvoorbeeld naar de status van een bestelling, dan verwerken we alleen postcode en ordernummer, niet extra adresgegevens of bredere orderdata. Persoonsgegevens worden daarnaast apart van de AI verwerkt. -
Wees transparant
Gebruikers moeten begrijpen welke data de chatbot verzamelt en waarvoor die wordt gebruikt. De privacyverklaring is de juiste plek om dit helder uit te leggen, zeker voor Shopify store-eigenaren. Omdat de store de controller is, moet de verklaring worden bijgewerkt zodat klanten goed geïnformeerd zijn. Hieronder vindt u een template die daarbij helpt. -
Zorg voor een Data Processing Agreement (DPA)
Komt de chatbot van een externe provider, dan moet er een overeenkomst zijn die GDPR-conforme verwerking afdekt. Controleer of de provider een DPA aanbiedt, vaak als onderdeel van de standaardovereenkomst. -
Evalueer beveiliging en privacy regelmatig
De AI Act wijst ook op het belang van regelmatige controles van AI-gerelateerde risico's, zodat de chatbotopzet ook op termijn compliant blijft. Dit wordt meestal opgepakt door de chatbotprovider. Wij houden deze gids actueel en delen relevante wijzigingen. -
Label de chatbot duidelijk
Ook als expliciete labeling nog niet in elk geval een harde wettelijke eis is, blijft transparantie de juiste keuze. Gebruikers moeten weten dat ze met AI praten. Onze AI chatbot heeft standaard een footer met de tekst: “AI powered by Flyweight”, en we raden aan die te laten staan. Wilt u extra voorzichtig zijn, noem AI dan ook in het welkomstbericht of in de naam van de chatbot.
⭐️ Template voor de privacyverklaring
Zoals hierboven duidelijk werd, zijn Shopify stores die optreden als controller vooral verantwoordelijk voor heldere uitleg over hoe data wordt verwerkt.
En waar doet u dat het best? In uw privacyverklaring.
💡 Als wij de shopbeheerder waren die de Flyweight AI Chatbot gebruikt, zouden we het volgende onderdeel toevoegen aan de privacyverklaring (zonder daarmee een wettelijke verplichting te erkennen of juridisch advies te geven):
👇👇👇👇👇👇👇👇👇👇
Gebruik van de chatbot met formulieren
Wij bieden op onze website een AI-gebaseerde chatbot aan van Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Duitsland (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) om uw vragen te beantwoorden. Bij gebruik van de chatbot worden uw vragen gecombineerd met de database die is opgebouwd uit website-informatie die van onze eigen website is ingelezen, samen met een large language model, om antwoorden op uw vraag te geven. De chatbot is geïnstrueerd om niet naar persoonsgegevens te vragen. Goed om te weten: als naar aanleiding van uw vraag aparte formulieren verschijnen waarin u mogelijk persoonsgegevens moet invullen, dan wordt die informatie apart verwerkt en dus niet naar AI gestuurd.
Verwerkte gegevenscategorieën: Welke gegevens worden verwerkt, hangt af van uw vraag als u persoonsgegevens invoert in uw bericht.
-
Als u bijvoorbeeld vraagt: “Waar is mijn bestelling?”, verschijnt er een formulier waarin u uw ordernummer en postcode kunt invullen.
-
Wilt u bijvoorbeeld meer weten over een product en passend advies krijgen, dan verschijnt er een formulier waarin u de relevante gegevens kunt invullen, zoals naam, telefoonnummer, e-mailadres, enzovoort.
Doel van de verwerking: Verwerking van de informatie die u verstrekt om met behulp van de chatbot antwoorden op uw verzoeken te genereren.
-
Voorbeeld: als u vraagt: “Waar is mijn bestelling?” en u vult uw ordernummer en postcode in het formulier in, dan wordt deze informatie gebruikt om direct een verzoek te doen aan het storesysteem (Shopify), zodat de leveringsinformatie kan worden opgehaald en u over de bestelstatus kunt worden geïnformeerd.
-
Voorbeeld: wilt u advies over een product, dan wordt uw aanvraag, inclusief de gegevens die u in het formulier invult en de volledige chatgeschiedenis, doorgestuurd naar de store-eigenaar zodat die contact met u kan opnemen.
Bron van de gegevens: Wij verzamelen deze gegevens rechtstreeks van u.
Rechtsgrond: Wij verwerken gegevens om contractuele of precontractuele verplichtingen uit te voeren in overeenstemming met artikel 6, lid 1, onder b van de General Data Protection Regulation (GDPR).
Bewaartermijn: Gegevens worden bewaard totdat uw vraag is afgehandeld of voor de duur van de overeenkomst, en daarna zolang wettelijke bewaartermijnen gelden, doorgaans 6 tot 10 jaar.
Locatie van ontvangers: EU en niet-EU.
Waarborgen voor doorgifte naar derde landen: EU Standard Contractual Clauses (SCC), adequaatheidsbesluit
👆👆👆👆👆👆👆👆👆👆
Installeer de privacyvriendelijke chatbot voor Europese Shopify stores ✌️
