Flyweight: Korzystanie z chatbota AI dla Shopify zgodnie z RODO i AI Act

Umowa powierzenia przetwarzania danych, obowiązek oznaczania, polityka prywatności, RODO, AI Act - co? 🤯🤯

Poniższa checklista i wzór polityki prywatności zakładają, że prowadzicie sklep Shopify i chcecie dodać chatbota AI zgodnego z RODO. Ponieważ Flyweight przygotowuje teraz także szkice odpowiedzi na e-maile i zgłoszenia supportowe (Flyweight Copilot) oraz pozwala Wam lub Waszemu zespołowi przejmować czaty na żywo, ten przewodnik obejmuje również te przypadki użycia. Chcecie poznać pełny obraz tego, co potrafi nasz chatbot dla Shopify? Przejdźcie do głównego przewodnika. Ten artykuł nie stanowi porady prawnej ani potwierdzenia istnienia obowiązku prawnego.

Terminologia

1. Ogólne rozporządzenie o ochronie danych (RODO)
   RODO to podstawowe prawo dotyczące prywatności w Europie. Określa zasady postępowania firm z danymi osobowymi, takie jak zbieranie wyłącznie danych rzeczywiście potrzebnych i ich bezpieczne przechowywanie. Przyznaje także osobom prawa dotyczące ich danych, w tym prawo dostępu, sprostowania i usunięcia. W przypadku chatbotów oznacza to brak szerokiego lub zbędnego gromadzenia danych oraz jasne informowanie o tym, w jaki sposób dane są wykorzystywane.

2. Akt w sprawie sztucznej inteligencji (AI Act)
   AI Act to unijne rozporządzenie ustanawiające zasady dotyczące sztucznej inteligencji. Jego wymogi stosuje się etapami; obowiązki przejrzystości z art. 50 mają zastosowanie od 2 sierpnia 2026 r. Celem jest bezpieczniejsze i bardziej sprawiedliwe wykorzystywanie systemów AI, takich jak chatboty. Dzieli on systemy AI według poziomu ryzyka, od niskiego do wysokiego. Każda kategoria wiąże się z własnymi wymogami, takimi jak jasne informowanie, że użytkownicy wchodzą w interakcję z AI, oraz zapobieganie dyskryminującym rezultatom. Chatboty obsługujące wrażliwe przypadki użycia mogą należeć do kategorii wyższego ryzyka i podlegać surowszym wymogom.

3. Umowa powierzenia przetwarzania danych (DPA)
   Umowa powierzenia przetwarzania danych to umowa między firmą korzystającą z chatbota a dostawcą, który go obsługuje. Określa ona, że dostawca przetwarza dane użytkowników wyłącznie na polecenie firmy i zgodnie z zasadami ochrony danych. Jeśli korzystacie z zewnętrznego dostawcy chatbota, DPA jest zazwyczaj potrzebna, aby udokumentować przetwarzanie zgodne z RODO.

4. Polityka prywatności
   Polityka prywatności wyjaśnia, jakie dane są zbierane, dlaczego są zbierane i jak długo są przechowywane. Powinna również wyjaśniać prawa użytkowników, takie jak prawo do żądania usunięcia danych lub dostępu do przechowywanych danych. W przypadku użycia chatbota informacje te powinny być łatwe do zrozumienia i łatwe do znalezienia.

5. Obowiązek oznaczania
   Zgodnie z art. 50 AI Act osoby wchodzące bezpośrednio w interakcję z systemem AI co do zasady muszą zostać poinformowane, że wchodzą w interakcję z AI, chyba że jest to oczywiste w danych okolicznościach. To właśnie obowiązek oznaczania. Celem jest przejrzystość i mniejsza liczba nieporozumień.

Role i odpowiedzialność

Role mają znaczenie, ponieważ określają, kto za co odpowiada.

Podmiot przetwarzający

Dostawca chatbota jest zazwyczaj podmiotem przetwarzającym. Oznacza to, że dostawca przetwarza dane w imieniu operatora sklepu i na podstawie jego instrukcji. Dostawca odpowiada za techniczną konfigurację i działanie chatbota, ale nie decyduje o tym, dlaczego dane są przetwarzane. Jego zadaniem jest przestrzeganie wymagań administratora i wdrażanie środków technicznych oraz organizacyjnych w celu ochrony danych osobowych. Krótko mówiąc, dostawca chatbota jest umownie zobowiązany do przetwarzania danych wyłącznie zgodnie z instrukcjami, a nie do własnych, niezależnych celów.

Administrator

To jest część, która często wydaje się trochę nieintuicyjna: operator sklepu jest administratorem. Jako administrator sklep decyduje, dlaczego i jak dane są przetwarzane, na przykład jakie dane chatbot zbiera i czy jest wykorzystywany do wsparcia, generowania leadów czy czegoś innego. Administrator odpowiada za zapewnienie, że zbieranie i przetwarzanie danych spełnia wymogi prywatności oraz że prawa użytkowników są przestrzegane. W praktyce oznacza to, że operator sklepu określa sposób użycia chatbota i odpowiada za zgodność z zasadami prywatności wokół tego użycia. Brzmi to poważniej, niż jest w rzeczywistości. Zazwyczaj zaczyna się od jasnych zapisów w polityce prywatności.

Praktyczny przykład

Załóżmy, że sklep Shopify „GarlicPress24” chce używać chatbota AI do generowania leadów. Klient pyta o specyfikację wyciskarki do czosnku, a AI udziela eksperckich wskazówek. W trakcie tego procesu chatbot zbiera dane kontaktowe klienta, takie jak imię i adres e-mail, i przekazuje je ekspertowi.

Sklep musi zdecydować, jak ma to działać. Czy lead powinien być zbierany przez AI? A może chatbot powinien po prostu wyświetlić komunikat w rodzaju: „Skontaktuj się z naszymi ekspertami pod adresem e-mail X”? Sklep Shopify jest administratorem, ponieważ decyduje o tym, co się dzieje, i dba o to, by klienci byli właściwie poinformowani w polityce prywatności. Dostawca chatbota AI zajmuje się konfiguracją techniczną i przetwarza dane zgodnie z instrukcjami sklepu, co czyni go podmiotem przetwarzającym.

Jak korzystać z chatbota AI zgodnie z wymogami ochrony danych: checklista

Jeśli chcecie korzystać z chatbota zgodnie z RODO i AI Act, powyższe role określają zakres odpowiedzialności.

1. Zbierajcie tylko niezbędne dane
   Chatbot powinien zbierać wyłącznie dane, które są rzeczywiście potrzebne. To przede wszystkim odpowiedzialność dostawcy. W Flyweight dążymy do przetwarzania wyłącznie minimalnego zakresu danych osobowych niezbędnych do działania. Na przykład jeśli klient pyta o status zamówienia, przetwarzamy tylko kody pocztowe i numery zamówień, a nie dodatkowe szczegóły adresowe ani szersze dane zamówienia. Dane wprowadzane do dedykowanych formularzy chatbota są obsługiwane oddzielnie od modelu AI. Wiadomości w polu swobodnego tekstu nadal mogą zawierać dane osobowe, a Copilot przetwarza otwartą rozmowę supportową, aby przygotować szkic odpowiedzi.

2. Bądźcie transparentni
   Użytkownicy powinni rozumieć, jakie dane chatbot zbiera i do czego są one wykorzystywane. Polityka prywatności jest właściwym miejscem, aby wyjaśnić to jasno, szczególnie w przypadku operatorów sklepów Shopify. Ponieważ sklep jest administratorem, politykę należy zaktualizować, aby klienci byli właściwie poinformowani. Poniżej znajduje się wzór, który ma w tym pomóc.

3. Wdróżcie umowę powierzenia przetwarzania danych (DPA)
   Jeśli chatbot pochodzi od zewnętrznego dostawcy, powinna istnieć umowa obejmująca przetwarzanie danych zgodne z RODO. Sprawdźcie, czy dostawca oferuje DPA, często jako część standardowej umowy.

4. Regularnie weryfikujcie bezpieczeństwo i ochronę danych
   AI Act wskazuje również na potrzebę regularnych przeglądów ryzyk związanych z AI, tak aby konfiguracja chatbota pozostawała zgodna z wymogami w czasie. Zwykle zajmuje się tym dostawca chatbota. Aktualizujemy ten przewodnik i udostępniamy istotne zmiany.

5. Wyraźnie oznaczcie chatbota
   Użytkownicy powinni wiedzieć, że rozmawiają z AI. Obowiązki przejrzystości z art. 50 mają zastosowanie od 2 sierpnia 2026 r.; zobaczcie wytyczne Komisji Europejskiej. Nasz chatbot AI domyślnie zawiera stopkę z treścią: „AI powered by Flyweight” i zalecamy jej pozostawienie. Jeśli chcecie zachować szczególną ostrożność, możecie również wspomnieć o AI w wiadomości powitalnej lub nazwie chatbota.

6. Wsparcie e-mailowe i obsługa zgłoszeń z pomocą AI (Flyweight Copilot)

   Jeśli Wy lub członkowie Waszego zespołu używacie Flyweight Copilot do przygotowywania szkiców odpowiedzi na e-maile lub zgłoszenia, obowiązują te same role: Wy jesteście administratorem, a Flyweight jest Waszym podmiotem przetwarzającym na podstawie DPA. Każdy szkic jest sprawdzany i wysyłany przez Was lub osobę z Waszego zespołu, więc żadna zautomatyzowana decyzja dotycząca żądania klienta nie jest podejmowana. Co musicie zrobić: dodać do polityki prywatności sekcję z poniższego wzoru, upewnić się, że dostęp mają wyłącznie Wy i osoby przez Was upoważnione, oraz nigdy nie prosić klientów o dane zdrowotne ani inne dane wrażliwe, które nie są potrzebne do rozwiązania sprawy.

7. Przejmowanie czatów na żywo

   Gdy Wy lub członek Waszego zespołu przejmujecie czat od AI, klient powinien widzieć, że dołączyła osoba. To druga strona obowiązku oznaczania AI: jeśli informujecie klientów, kiedy rozmawiają z AI, informujcie ich także, kiedy rozmawiają z człowiekiem. Flyweight domyślnie pokazuje przekazanie rozmowy w widżecie czatu. Możecie używać imion lub aliasów zespołu; to Wy decydujecie, co jest wyświetlane.

Czy potrzebuję zgody klientów, którzy piszą do nas e-mail?

Zazwyczaj odrębna zgoda nie jest wymagana wyłącznie po to, aby odpowiedzieć na rutynową wiadomość supportową. W zależności od treści żądania przetwarzanie może być niezbędne do wykonania umowy z klientem (art. 6 ust. 1 lit. b RODO) albo uzasadnione udokumentowaną oceną prawnie uzasadnionego interesu w zakresie obsługi klienta (art. 6 ust. 1 lit. f RODO). Sprzedawca musi wybrać właściwą podstawę dla faktycznego przetwarzania, w tym wsparcia AI, i zapewnić, że wykorzystywane są wyłącznie dane niezbędne. Zgoda nie zastępuje tej oceny, a wsparcie nie powinno zależeć od zgody na niezwiązane z nim przetwarzanie.

To, czego potrzebujecie, to transparentność: wskażcie Flyweight jako podmiot przetwarzający w polityce prywatności (wzór poniżej) oraz, jeśli chcecie, dodajcie link do niej w stopce e-maila lub autoresponderze.

Szczególne kategorie danych wymagają dodatkowej ostrożności: dane zdrowotne i inne szczególne kategorie wymagają właściwej przesłanki z art. 9 ust. 2 RODO, a także podstawy prawnej z art. 6 RODO. Sama umowa supportowa lub prawnie uzasadniony interes nie wystarczą. Nie możecie powstrzymać klienta przed napisaniem „Muszę to zwrócić z powodu alergii”, ale możecie (1) zadbać o to, abyście Wy, Wasz zespół i Wasza konfiguracja AI nigdy aktywnie nie prosili o takie dane, (2) dodać krótką informację w polityce prywatności lub autoresponderze z prośbą, aby klienci nie udostępniali danych zdrowotnych, chyba że jest to potrzebne do ich sprawy, oraz (3) jeśli Wasz sklep sprzedaje produkty związane ze zdrowiem (suplementy, wyroby medyczne, artykuły apteczne), porozmawiać z inspektorem ochrony danych o ocenie skutków dla ochrony danych przed wdrożeniem wsparcia wspomaganego przez AI. DPA Flyweight obejmuje incydentalne przetwarzanie takich danych i wyklucza ich odrębną ocenę lub trenowanie modelu; sama DPA nie zapewnia jednak sprzedawcy przesłanki z art. 9. Oceńcie, czy planowane przetwarzanie może powodować wysokie ryzyko i dlatego wymaga oceny skutków dla ochrony danych przed wdrożeniem.

Zobaczcie wytyczne EROD dotyczące podstaw prawnych i szczególnych kategorii danych.

⭐️ Wzór polityki prywatności

Jak już widzieliśmy, sklepy Shopify działające jako administratorzy są przede wszystkim odpowiedzialne za jasne wyjaśnienie sposobu przetwarzania danych.

A najlepsze miejsce na to? Wasza polityka prywatności.

💡 Gdybyśmy byli operatorem sklepu korzystającym z chatbota Flyweight AI, dodalibyśmy do polityki prywatności następującą sekcję (bez potwierdzania istnienia obowiązku prawnego ani udzielania porady prawnej):

Dostosujcie wzór do funkcji, z których faktycznie korzystacie, Waszych podstaw prawnych oraz Waszej polityki retencji.

---

Korzystanie z chatbota z formularzami
Oferujemy Państwu na naszej stronie internetowej oparty na AI chatbot od Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Niemcy (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement), aby odpowiadać na Państwa pytania. Podczas korzystania z chatbota Państwa zapytania są łączone z wykorzystaniem bazy danych utworzonej na podstawie informacji o stronie internetowej odczytanych z naszej własnej strony oraz dużego modelu językowego w celu udzielenia odpowiedzi na Państwa zapytanie. Chatbot otrzymał instrukcję, aby nie prosić o dane osobowe. Warto wiedzieć: jeśli w wyniku Państwa zapytań pojawią się oddzielne formularze, w których mogą Państwo następnie podać dane osobowe w związku z Państwa zapytaniem, informacje podane w tych formularzach będą przetwarzane oddzielnie i odpowiednio nie zostaną przesłane do AI.

Kategorie przetwarzanych danych: Kategorie danych wynikają z Państwa zapytań, gdy wprowadzają Państwo dane osobowe w treści pytania.

• Na przykład, jeśli zapytają Państwo: „Gdzie jest moje zamówienie?”, pojawi się formularz, w którym mogą Państwo wpisać numer zamówienia i kod pocztowy.

• Jeśli na przykład chcą Państwo dowiedzieć się więcej o produkcie i uzyskać odpowiednie doradztwo, pojawi się formularz, w którym mogą Państwo wpisać odpowiednie informacje (np. imię, telefon, e-mail itp.).

Cel przetwarzania: Przetwarzanie podanych przez Państwa informacji w celu tworzenia odpowiedzi na Państwa żądania przy użyciu chatbota.

• Przykład: Na przykład, jeśli zapytają Państwo: „Gdzie jest moje zamówienie?” i wpiszą w formularzu numer zamówienia oraz kod pocztowy, informacje te są wykorzystywane do skierowania bezpośredniego zapytania do systemu sklepowego (Shopify), aby można było przesłać informacje o dostawie i poinformować Państwa o statusie zamówienia.

• Przykład: Jeśli chcą Państwo uzyskać poradę dotyczącą produktu, Państwa zapytanie (wraz z danymi podanymi w formularzu i całą historią czatu) zostanie przekazane operatorowi sklepu, aby mógł się z Państwem skontaktować.

Źródło danych: Zbieramy te dane bezpośrednio od Państwa.

Podstawa prawna: Przetwarzamy dane w celu wykonania obowiązków umownych lub podjęcia działań przedumownych zgodnie z art. 6 ust. 1 lit. b Ogólnego rozporządzenia o ochronie danych (RODO).

Retencja danych: Przechowujemy dane supportowe tak długo, jak jest to konieczne do rozwiązania Państwa sprawy oraz na potrzeby wszelkich mających zastosowanie roszczeń prawnych lub obowiązków ewidencyjnych. Ustawowe okresy przechowywania od 6 do 10 lat mają zastosowanie wyłącznie do dokumentacji objętej tymi wymogami. Flyweight przechowuje rozmowy w naszym imieniu przez okres obowiązywania naszej umowy i usuwa je w ciągu 30 dni po jej zakończeniu, zgodnie z naszą umową powierzenia przetwarzania danych.

Lokalizacja odbiorców: UE i państwa spoza UE.

Zabezpieczenia przy przekazywaniu do państw trzecich: Standardowe klauzule umowne UE (SCC), decyzja stwierdzająca odpowiedni stopień ochrony

Wsparcie klienta wspomagane przez AI (e-mail i zgłoszenia)

Kiedy kontaktują się Państwo z naszym działem obsługi klienta przez e-mail lub za pośrednictwem naszego helpdesku, korzystamy z Flyweight Copilot, narzędzia dostarczanego przez Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Niemcy (nota prawna / oświadczenie o prywatności), aby wspierać nas w obsłudze klienta. Narzędzie odczytuje Państwa wiadomość i, jeśli są dostępne, powiązane informacje o zamówieniu z naszego systemu sklepowego, a następnie przygotowuje proponowaną odpowiedź. Każda odpowiedź jest sprawdzana i wysyłana przez członka naszego zespołu. Żadna decyzja dotycząca Państwa sprawy nie jest podejmowana automatycznie. Prosimy nie umieszczać w wiadomości danych zdrowotnych ani innych informacji wrażliwych, chyba że jest to konieczne dla Państwa sprawy.

Kategorie przetwarzanych danych: Treść Państwa wiadomości (temat i tekst), Państwa imię i nazwisko oraz adres e-mail, a także szczegóły zamówienia związane z Państwa sprawą (takie jak numer zamówienia, status zamówienia i historia zamówień).

Cel przetwarzania: Szybsze i dokładniejsze udzielenie odpowiedzi na Państwa zgłoszenie supportowe.

Źródło danych: Otrzymujemy te dane bezpośrednio od Państwa oraz z naszego systemu sklepowego.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy lub podjęcie działań przedumownych) oraz art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w zapewnianiu sprawnej obsługi klienta). Flyweight GmbH przetwarza Państwa dane w naszym imieniu jako podmiot przetwarzający na podstawie umowy powierzenia przetwarzania danych.

Retencja danych: Przechowujemy dane supportowe tak długo, jak jest to konieczne do rozwiązania Państwa sprawy oraz na potrzeby wszelkich mających zastosowanie roszczeń prawnych lub obowiązków ewidencyjnych. Ustawowe okresy przechowywania od 6 do 10 lat mają zastosowanie wyłącznie do dokumentacji objętej tymi wymogami, a nie automatycznie do każdej wiadomości supportowej. Flyweight przechowuje rozmowy w naszym imieniu przez okres obowiązywania naszej umowy i usuwa je w ciągu 30 dni po jej zakończeniu, zgodnie z naszą umową powierzenia przetwarzania danych.

Lokalizacja odbiorców: UE i państwa spoza UE.

Zabezpieczenia przy przekazywaniu do państw trzecich: Standardowe klauzule umowne UE (SCC), decyzja stwierdzająca odpowiedni stopień ochrony.

Czat na żywo z naszym zespołem

Członek naszego zespołu może dołączyć do rozmowy z chatbotem i kontynuować ją osobiście. Zobaczą Państwo na czacie, kiedy to nastąpi. Rozmowa, w tym wszelkie informacje przekazane przez Państwa na czacie, będzie następnie dostępna dla naszego zespołu, abyśmy mogli pomóc Państwu w Państwa sprawie.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy lub podjęcie działań przedumownych). Flyweight GmbH zapewnia infrastrukturę czatu jako nasz podmiot przetwarzający.

Retencja danych: Jak wskazano powyżej w odniesieniu do chatbota.

---

Zainstalujcie chatbota zgodnego z zasadami prywatności dla europejskich sklepów Shopify ✌️