Flyweight: Bruk av en AI-chatbot for Shopify i samsvar med GDPR og AI Act

Databehandleravtale, merkingsplikt, personvernerklæring, GDPR, AI Act, hva? 🤯🤯

Sjekklisten og malen for personvernerklæring nedenfor forutsetter at dere driver en Shopify-butikk og ønsker å legge til en GDPR-kompatibel AI-chatbot. Siden Flyweight nå også utarbeider svar på e-poster og supporthenvendelser (Flyweight Copilot) og lar dere eller teamet deres ta over livechatter, dekker denne guiden også disse brukstilfellene. Vil dere ha hele bildet av hva vår Shopify-chatbot kan gjøre? Gå til hovedguiden. Denne artikkelen utgjør ikke juridisk rådgivning eller en erkjennelse av en rettslig forpliktelse.

Terminologi

1. General Data Protection Regulation (GDPR)
   GDPR er den sentrale personvernloven i Europa. Den fastsetter reglene for hvordan selskaper håndterer personopplysninger, som å bare samle inn det som faktisk er nødvendig og lagre det sikkert. Den gir også enkeltpersoner rettigheter knyttet til sine opplysninger, inkludert innsyn, retting og sletting. For chatboter betyr det ingen bred eller unødvendig datainnsamling, og tydelig kommunikasjon om hvordan data brukes.

2. Artificial Intelligence Act (AI Act)
   AI Act er en EU-forordning som fastsetter regler for kunstig intelligens. Kravene gjelder trinnvis; åpenhetsforpliktelsene i artikkel 50 gjelder fra 2. august 2026. Målet er tryggere og mer rettferdig bruk av AI-systemer som chatboter. Den grupperer AI-systemer etter risikonivå, fra lavt til høyt. Hver kategori har sine egne krav, som å gjøre det klart at brukere samhandler med AI og å forhindre diskriminerende utfall. Chatboter som håndterer sensitive brukstilfeller kan falle inn under kategorier med høyere risiko og møte strengere krav.

3. Data Processing Agreement (DPA)
   En databehandleravtale er en kontrakt mellom selskapet som bruker chatboten og leverandøren som driver den. Den definerer at leverandøren bare behandler brukerdata etter selskapets instruksjoner og i samsvar med personvernreglene. Hvis dere bruker en ekstern chatbotleverandør, er en DPA vanligvis nødvendig for å dokumentere behandling i samsvar med GDPR.

4. Privacy Policy
   En personvernerklæring forklarer hvilke data som samles inn, hvorfor de samles inn, og hvor lenge de lagres. Den bør også forklare brukerrettigheter, som retten til å be om sletting eller innsyn i lagrede data. For bruk av chatbot bør denne informasjonen være lett å forstå og lett å finne.

5. Labeling Obligation
   Etter artikkel 50 i AI Act skal personer som samhandler direkte med et AI-system som hovedregel informeres om at de samhandler med AI, med mindre dette er åpenbart ut fra omstendighetene. Det er merkingsplikten. Målet er åpenhet og færre misforståelser.

Roller og ansvar

Roller er viktige fordi de definerer hvem som er ansvarlig for hva.

Databehandler

Chatbotleverandøren er vanligvis databehandleren. Det betyr at leverandøren behandler data på vegne av butikkinnehaveren og basert på dennes instruksjoner. Leverandøren håndterer det tekniske oppsettet og driften av chatboten, men bestemmer ikke hvorfor dataene behandles. Oppgaven deres er å følge den behandlingsansvarliges krav og gjennomføre tekniske og organisatoriske tiltak for å beskytte personopplysninger. Kort sagt er chatbotleverandøren kontraktsmessig bundet til å behandle data bare etter instruksjon, ikke for egne uavhengige formål.

Behandlingsansvarlig

Dette er den delen som ofte kan føles litt kontraintuitiv: butikkinnehaveren er behandlingsansvarlig. Som behandlingsansvarlig bestemmer butikken hvorfor og hvordan data behandles, for eksempel hva chatboten samler inn og om den brukes til support, leadgenerering eller noe annet. Den behandlingsansvarlige er ansvarlig for å sikre at datainnsamling og behandling oppfyller personvernkravene og at brukerrettigheter respekteres. I praksis betyr det at butikkinnehaveren definerer hvordan chatboten brukes og er ansvarlig for personvernet rundt denne bruken. Det høres større ut enn det er. Vanligvis starter det med å være tydelig i personvernerklæringen.

Praktisk eksempel

La oss si at Shopify-butikken "GarlicPress24" ønsker å bruke en AI-chatbot til leadgenerering. En kunde spør om spesifikasjonene til en hvitløkspresse, og AI-en gir ekspertveiledning. I løpet av denne flyten samler chatboten inn kundens kontaktopplysninger, som navn og e-post, og videresender dem til eksperten.

Butikken må bestemme hvordan dette skal fungere. Skal leadet samles inn gjennom AI? Eller skal chatboten bare vise en melding som: «Kontakt våre eksperter på e-post X»? Shopify-butikken er behandlingsansvarlig fordi den bestemmer hva som skjer og sørger for at kundene blir riktig informert i personvernerklæringen. AI-chatbotleverandøren håndterer det tekniske oppsettet og behandler dataene i henhold til butikkens instruksjoner, noe som gjør leverandøren til databehandleren.

Hvordan bruke en AI-chatbot i samsvar med personvernkravene: En sjekkliste

Hvis dere vil bruke en chatbot i tråd med GDPR og AI Act, definerer rollene ovenfor ansvarsforholdene.

1. Samle bare inn nødvendige data
   Chatboten bør bare samle inn data som faktisk er nødvendige. Dette er hovedsakelig et leverandøransvar. Hos Flyweight har vi som mål å behandle bare det minimum av personopplysninger som kreves. Hvis en kunde for eksempel spør om ordrestatus, behandler vi bare postnumre og ordrenumre, ikke ekstra adressedetaljer eller bredere ordredata. Data som legges inn i chatbotens dedikerte skjemaer håndteres separat fra AI-modellen. Fritekstsamtaler kan fortsatt inneholde personopplysninger, og Copilot behandler den åpne supportsamtalen for å utarbeide et svar.

2. Vær transparent
   Brukere bør forstå hvilke data chatboten samler inn og hva de brukes til. Personvernerklæringen er riktig sted å forklare dette tydelig, særlig for Shopify-butikkinnehavere. Siden butikken er behandlingsansvarlig, bør erklæringen oppdateres slik at kundene blir riktig informert. En mal er inkludert nedenfor for å hjelpe med dette.

3. Ha en databehandleravtale (DPA) på plass
   Hvis chatboten kommer fra en ekstern leverandør, bør det finnes en kontrakt som dekker behandling i samsvar med GDPR. Sjekk om leverandøren tilbyr en DPA, ofte som del av standardavtalen.

4. Gjennomgå sikkerhet og personvern regelmessig
   AI Act peker også mot regelmessige gjennomganger av AI-relaterte risikoer, slik at chatbotoppsettet forblir i samsvar over tid. Dette håndteres vanligvis av chatbotleverandøren. Vi holder denne guiden oppdatert og deler relevante endringer.

5. Merk chatboten tydelig
   Brukerne bør vite at de snakker med AI. Åpenhetsforpliktelsene i artikkel 50 gjelder fra 2. august 2026; se veiledningen fra Europakommisjonen. Vår AI-chatbot inkluderer som standard en bunntekst som sier: «AI powered by Flyweight», og vi anbefaler å beholde den. Hvis dere vil være ekstra forsiktige, kan dere også nevne AI i velkomstmeldingen eller chatbotnavnet.

6. E-post- og ticketstøtte med AI (Flyweight Copilot)

   Hvis dere eller teamet deres bruker Flyweight Copilot til å utarbeide svar på e-poster eller tickets, gjelder de samme rollene: dere er behandlingsansvarlig, Flyweight er deres databehandler under DPA-en. Hvert utkast gjennomgås og sendes av dere eller en person i teamet deres, så det tas ingen automatisert beslutning om kundens forespørsel. Det dere må gjøre: legg til delen fra malen nedenfor i personvernerklæringen deres, sørg for at bare dere og personene dere autoriserer har tilgang, og be aldri kunder om helseopplysninger eller andre sensitive opplysninger som ikke er nødvendige for å løse forespørselen.

7. Ta over livechatter

   Når dere eller et medlem av teamet deres tar over en chat fra AI-en, bør kunden se at en person har blitt med. Dette er den andre siden av AI-merkingsplikten: hvis dere forteller kundene når de snakker med AI, så fortell dem når de snakker med et menneske. Flyweight viser overtakelsen i chatwidgeten som standard. Bruk fornavn eller teamaliaser; dere bestemmer hva som vises.

Trenger jeg samtykke fra kunder som sender oss e-post?

Vanligvis kreves det ikke separat samtykke bare for å besvare en rutinemessig support-e-post. Avhengig av forespørselen kan behandlingen være nødvendig for å oppfylle en kontrakt med kunden (artikkel 6 nr. 1 bokstav b GDPR) eller være berettiget av en dokumentert interesseavveining for kundestøtte (artikkel 6 nr. 1 bokstav f GDPR). Den næringsdrivende må velge riktig grunnlag for den faktiske behandlingen, inkludert AI-assistanse, og sikre at bare nødvendige data brukes. Samtykke er ikke en erstatning for denne vurderingen, og support bør ikke være avhengig av samtykke til behandling som ikke er relatert.

Det dere trenger, er åpenhet: oppgi Flyweight som databehandler i personvernerklæringen deres (mal nedenfor) og, hvis dere vil, lenk til den fra e-postsignaturen eller autosvaret deres.

Særlige kategorier krever ekstra aktsomhet: helseopplysninger og andre særlige kategorier krever et relevant vilkår etter artikkel 9 nr. 2 GDPR, i tillegg til et behandlingsgrunnlag etter artikkel 6. En supportkontrakt eller berettiget interesse alene er ikke nok. Dere kan ikke hindre en kunde i å skrive «Jeg må returnere dette på grunn av allergien min», men dere kan (1) sørge for at dere, teamet deres og AI-oppsettet deres aldri aktivt ber om slike data, (2) legge til en kort merknad i personvernerklæringen eller autosvaret deres der kundene bes om å ikke dele helseopplysninger med mindre det er nødvendig for forespørselen deres, og (3) hvis butikken deres selger helserelaterte produkter (kosttilskudd, medisinsk utstyr, apotekvarer), snakke med personvernombudet deres om en vurdering av personvernkonsekvenser før dere ruller ut AI-assistert support. Flyweights DPA dekker tilfeldig behandling av slike data og utelukker separat evaluering eller modelltrening; DPA-en gir ikke i seg selv den næringsdrivendes vilkår etter artikkel 9. Vurder om den planlagte behandlingen sannsynligvis vil medføre høy risiko og derfor krever en vurdering av personvernkonsekvenser før utrulling.

Se EDPBs veiledning om behandlingsgrunnlag og særlige kategorier av personopplysninger.

⭐️ Mal for personvernerklæring

Som vi har sett, er Shopify-butikker som opptrer som behandlingsansvarlige, hovedsakelig ansvarlige for å forklare tydelig hvordan data behandles.

Og det beste stedet for det? Personvernerklæringen deres.

💡 Hvis vi var butikkinnehaveren som brukte Flyweight AI Chatbot, ville vi lagt til følgende avsnitt i personvernerklæringen (uten å erkjenne en rettslig forpliktelse eller gi juridisk rådgivning):

Tilpass malen til funksjonene dere faktisk bruker, behandlingsgrunnlagene deres og lagringspolicyen deres.

---

Bruk av chatboten med skjemaer
Vi tilbyr dere en AI-basert chatbot fra Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Tyskland (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) på nettstedet vårt for å besvare spørsmålene deres. Ved bruk av chatboten kombineres forespørslene deres ved hjelp av databasen opprettet fra nettsideinformasjonen som er lest fra vårt eget nettsted og en stor språkmodell for å gi dere svar på forespørselen deres. Chatboten er instruert til ikke å be om personopplysninger. Godt å vite: Hvis det vises separate skjemaer som følge av henvendelsene deres, der dere deretter kan måtte oppgi personopplysninger basert på henvendelsen deres, vil opplysningene dere oppgir der behandles separat og vil følgelig ikke bli sendt til AI.

Behandlede datakategorier: Datakategoriene følger av henvendelsene deres når dere oppgir personopplysninger i spørsmålet deres.

• Hvis dere for eksempel spør: «Hvor er ordren min?», vil det vises et skjema der dere kan angi ordrenummeret og postnummeret deres.

• Hvis dere for eksempel ønsker å finne ut mer om et produkt og få passende rådgivning, vil det vises et skjema der dere kan oppgi relevant informasjon (f.eks. navn, telefon, e-post osv.).

Formål med behandlingen: Behandling av opplysningene dere oppgir for å utarbeide svar på forespørslene deres ved hjelp av chatboten.

• Eksempel: Hvis dere for eksempel spør: «Hvor er ordren min?» og oppgir ordrenummeret og postnummeret deres i skjemaet, brukes denne informasjonen til å sende en direkte forespørsel til butikksystemet (Shopify) slik at leveringsinformasjonen kan sendes og dere kan informeres om ordrestatusen.

• Eksempel: Hvis dere ønsker rådgivning om et produkt, vil forespørselen deres (med dataene dere oppgir i skjemaet og hele chathistorikken) bli videresendt til butikkinnehaveren slik at vedkommende kan kontakte dere.

Datakilde: Vi samler inn disse opplysningene direkte fra dere.

Behandlingsgrunnlag: Vi behandler opplysninger for å oppfylle kontraktsmessige eller førkontraktsmessige forpliktelser i samsvar med artikkel 6 nr. 1 bokstav b i General Data Protection Regulation (GDPR).

Lagring av data: Vi lagrer supportdata så lenge det er nødvendig for å løse henvendelsen deres og for eventuelle gjeldende rettskrav eller plikter til journalføring. Lovbestemte oppbevaringsperioder på 6 til 10 år gjelder bare for opptegnelser som er underlagt disse kravene. Flyweight lagrer samtaler på våre vegne i kontraktsperioden og sletter dem innen 30 dager etter at den er avsluttet, i samsvar med vår databehandleravtale.

Mottakernes lokasjon: EU og land utenfor EU.

Garantier for overføringer til tredjeland: EUs standard kontraktsbestemmelser (SCC), adekvansbeslutning

AI-assistert kundestøtte (e-post og tickets)

Når dere kontakter kundestøtten vår via e-post eller gjennom helpdesken vår, bruker vi Flyweight Copilot, et verktøy levert av Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Tyskland (legal notice / privacy statement), for å bistå oss med kundestøtte. Verktøyet leser meldingen deres og, der det er tilgjengelig, tilhørende ordreinformasjon fra butikksystemet vårt, og utarbeider et forslag til svar. Hvert svar gjennomgås og sendes av et medlem av teamet vårt. Ingen beslutning om forespørselen deres tas automatisk. Vennligst ikke inkluder helseopplysninger eller annen sensitiv informasjon i meldingen deres med mindre det er nødvendig for forespørselen deres.

Behandlede datakategorier: Innholdet i meldingen deres (emne og tekst), navn og e-postadresse, og ordredetaljer knyttet til forespørselen deres (som ordrenummer, ordrestatus og ordrehistorikk).

Formål med behandlingen: Å besvare supportforespørselen deres raskere og mer presist.

Datakilde: Vi mottar disse opplysningene direkte fra dere og fra butikksystemet vårt.

Behandlingsgrunnlag: Artikkel 6 nr. 1 bokstav b GDPR (oppfyllelse av en kontrakt eller førkontraktuelle tiltak) og artikkel 6 nr. 1 bokstav f GDPR (vår berettigede interesse i å yte effektiv kundestøtte). Flyweight GmbH behandler opplysningene deres på våre vegne som databehandler i henhold til en databehandleravtale.

Lagring av data: Vi lagrer supportdata så lenge det er nødvendig for å løse forespørselen deres og for eventuelle gjeldende rettskrav eller plikter til journalføring. Lovbestemte oppbevaringsperioder på 6 til 10 år gjelder bare for opptegnelser som er underlagt disse kravene, ikke automatisk for hver eneste supportmelding. Flyweight lagrer samtaler på våre vegne i kontraktsperioden og sletter dem innen 30 dager etter at den er avsluttet, i samsvar med vår databehandleravtale.

Mottakernes lokasjon: EU og land utenfor EU.

Garantier for overføringer til tredjeland: EUs standard kontraktsbestemmelser (SCC), adekvansbeslutning.

Livechat med teamet vårt

Et medlem av teamet vårt kan bli med i en chatbot-samtale og fortsette den personlig. Dere vil se i chatten når dette skjer. Samtalen, inkludert eventuell informasjon dere oppga i chatten, blir da tilgjengelig for teamet vårt slik at vi kan hjelpe dere med forespørselen deres.

Behandlingsgrunnlag: Artikkel 6 nr. 1 bokstav b GDPR (oppfyllelse av en kontrakt eller førkontraktuelle tiltak). Flyweight GmbH leverer chatinfrastrukturen som vår databehandler.

Lagring av data: Som angitt ovenfor for chatboten.

---

Installer den personvernkompatible chatboten for europeiske Shopify-butikker ✌️