Flyweight: korzystanie z AI chatbot dla Shopify zgodnie z GDPR i AI-Act

Umowa powierzenia przetwarzania danych, obowiązek oznaczania, polityka prywatności, GDPR, AI Act - o co w tym wszystkim chodzi? 🤯🤯

Poniższa checklista i szablon polityki prywatności zakładają, że prowadzicie sklep na Shopify i chcecie dodać AI chatbot zgodny z GDPR. Chcecie zobaczyć pełen obraz i sprawdzić, co potrafi nasz Shopify chatbot? Zajrzyjcie do głównego przewodnika. Ten artykuł nie stanowi porady prawnej ani potwierdzenia istnienia obowiązku prawnego.

Terminologia

1. General Data Protection Regulation (GDPR)
   GDPR to podstawowe prawo dotyczące prywatności w Europie. Określa zasady przetwarzania danych osobowych przez firmy, na przykład zbieranie tylko tych danych, które są faktycznie potrzebne, oraz ich bezpieczne przechowywanie. Daje też osobom fizycznym prawa dotyczące ich danych, w tym prawo dostępu, sprostowania i usunięcia. W kontekście chatbotów oznacza to brak szerokiego, niepotrzebnego zbierania danych i jasną komunikację o tym, jak dane są wykorzystywane.

2. Artificial Intelligence Act (AI Act)
   AI Act to projekt unijnego prawa, który określa zasady korzystania ze sztucznej inteligencji. Celem jest bezpieczniejsze i bardziej fair użycie systemów AI, takich jak chatboty. Ustawa dzieli systemy AI według poziomu ryzyka, od niskiego do wysokiego. Każda kategoria wiąże się z innymi wymaganiami, na przykład jasnym informowaniem użytkowników, że rozmawiają z AI, oraz ograniczaniem ryzyka dyskryminujących rezultatów. Chatboty obsługujące wrażliwe zastosowania mogą trafić do kategorii wyższego ryzyka i podlegać bardziej rygorystycznym wymaganiom.

3. Data Processing Agreement (DPA)
   Data Processing Agreement to umowa między firmą korzystającą z chatbota a dostawcą, który go obsługuje. Określa, że dostawca przetwarza dane użytkowników wyłącznie na polecenie firmy i zgodnie z zasadami ochrony danych. Jeśli korzystacie z zewnętrznego dostawcy chatbota, DPA zwykle jest potrzebna, żeby udokumentować przetwarzanie zgodne z GDPR.

4. Privacy Policy
   Polityka prywatności wyjaśnia, jakie dane są zbierane, po co są zbierane i jak długo są przechowywane. Powinna też opisywać prawa użytkowników, takie jak prawo do żądania usunięcia danych lub dostępu do zapisanych informacji. Przy korzystaniu z chatbota te informacje powinny być proste do zrozumienia i łatwe do znalezienia.

5. Labeling Obligation
   Zgodnie z zasadami GDPR, a szczególnie w świetle planowanego AI Act, użytkownicy powinni móc rozpoznać, że rozmawiają z AI, a nie z człowiekiem. Na tym polega obowiązek oznaczania. Chodzi o przejrzystość i ograniczenie nieporozumień.

Role i odpowiedzialność

Role są ważne, bo pokazują, kto za co odpowiada.

Processor

Dostawca chatbota jest zazwyczaj processor. To znaczy, że przetwarza dane w imieniu operatora sklepu i zgodnie z jego instrukcjami. Dostawca odpowiada za techniczne wdrożenie i działanie chatbota, ale nie decyduje o tym, po co dane są przetwarzane. Jego zadaniem jest stosowanie się do wymagań administratora i wdrażanie środków technicznych oraz organizacyjnych chroniących dane osobowe. Krótko mówiąc, dostawca chatbota jest związany umową i może przetwarzać dane tylko zgodnie z instrukcjami, a nie dla własnych, niezależnych celów.

Controller

Tu często pojawia się lekkie zaskoczenie: operator sklepu jest controller. Jako controller sklep decyduje, po co i jak dane są przetwarzane, na przykład jakie informacje zbiera chatbot i czy służy on do supportu, zbierania leadów czy czegoś innego. Controller odpowiada za to, żeby zbieranie i przetwarzanie danych było zgodne z wymogami prywatności oraz żeby prawa użytkowników były respektowane. W praktyce oznacza to, że operator sklepu określa sposób użycia chatbota i odpowiada za zgodność tego użycia z zasadami prywatności. Brzmi poważniej, niż wygląda w praktyce. Zwykle zaczyna się od jasnego opisu w polityce prywatności.

Praktyczny przykład

Załóżmy, że sklep na Shopify o nazwie "GarlicPress24" chce używać AI chatbot do zbierania leadów. Klient pyta o parametry wyciskarki do czosnku, a AI udziela fachowej odpowiedzi. W trakcie tej rozmowy chatbot zbiera dane kontaktowe klienta, takie jak imię i e-mail, a potem przekazuje je ekspertowi.

Sklep musi zdecydować, jak to ma działać. Czy lead ma być zbierany przez AI? A może chatbot powinien po prostu wyświetlić komunikat w stylu: „Skontaktujcie się z naszym ekspertem pod adresem Email X”? Sklep na Shopify jest controller, bo to on decyduje, co się dzieje, i dba o to, żeby klienci byli odpowiednio poinformowani w polityce prywatności. Dostawca AI chatbot odpowiada za stronę techniczną i przetwarza dane zgodnie z instrukcjami sklepu, dlatego pełni rolę processor.

Jak korzystać z AI chatbot zgodnie z wymogami ochrony danych: checklista

Jeśli chcecie używać chatbota zgodnie z GDPR i AI Act, opisane wyżej role wyznaczają zakres odpowiedzialności.

1. Zbierajcie tylko niezbędne dane
   Chatbot powinien zbierać wyłącznie dane, które są faktycznie potrzebne. To głównie odpowiedzialność dostawcy. W Flyweight staramy się przetwarzać tylko minimalny zakres danych osobowych potrzebnych do działania. Na przykład jeśli klient pyta o status zamówienia, przetwarzamy tylko kod pocztowy i numer zamówienia, a nie dodatkowe dane adresowe czy szersze informacje o zamówieniu. Dane osobowe są też obsługiwane oddzielnie od AI.

2. Bądźcie transparentni
   Użytkownicy powinni rozumieć, jakie dane chatbot zbiera i do czego są używane. Najlepszym miejscem, żeby to jasno wyjaśnić, jest polityka prywatności, szczególnie po stronie operatora sklepu na Shopify. Ponieważ to sklep jest controller, polityka powinna zostać zaktualizowana tak, aby klienci byli właściwie poinformowani. Poniżej znajdziecie szablon, który w tym pomaga.

3. Zadbajcie o Data Processing Agreement (DPA)
   Jeśli chatbot pochodzi od zewnętrznego dostawcy, powinna istnieć umowa obejmująca przetwarzanie danych zgodne z GDPR. Sprawdźcie, czy dostawca udostępnia DPA, często jako część standardowej umowy.

4. Regularnie przeglądajcie kwestie bezpieczeństwa i ochrony danych
   AI Act wskazuje też na potrzebę regularnego przeglądu ryzyk związanych z AI, tak aby konfiguracja chatbota z czasem nadal pozostawała zgodna z wymaganiami. Zwykle zajmuje się tym dostawca chatbota. Aktualizujemy ten przewodnik i dzielimy się istotnymi zmianami.

5. Jasno oznaczcie chatbota
   Nawet jeśli wyraźne oznaczenie nie jest jeszcze w każdym przypadku twardym wymogiem prawnym, transparentność i tak jest dobrym ruchem. Użytkownicy powinni wiedzieć, że rozmawiają z AI. Nasz AI chatbot ma domyślnie stopkę z tekstem: “AI powered by Flyweight”, i rekomendujemy ją zostawić. Jeśli chcecie podejść do tematu jeszcze ostrożniej, możecie też wspomnieć o AI w wiadomości powitalnej albo w nazwie chatbota.

⭐️ Szablon polityki prywatności

Jak już pokazaliśmy, sklepy na Shopify działające jako controller odpowiadają przede wszystkim za jasne wyjaśnienie, jak przetwarzane są dane.

A najlepsze miejsce na to?

Wasza polityka prywatności.

💡 Gdybyśmy byli operatorem sklepu korzystającym z Flyweight AI Chatbot, dodalibyśmy do polityki prywatności poniższą sekcję (bez potwierdzania obowiązku prawnego i bez udzielania porady prawnej):

👇👇👇👇👇👇👇👇👇👇

---

Korzystanie z chatbota z formularzami
Na naszej stronie udostępniamy AI-based chatbot od Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Germany (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement), aby odpowiadać na Wasze pytania. Podczas korzystania z chatbota Wasze zapytania są łączone z bazą danych utworzoną na podstawie informacji odczytanych z naszej własnej strony internetowej oraz z dużym modelem językowym, żeby przygotować odpowiedzi na Wasze pytania. Chatbot ma instrukcję, aby nie prosić o dane osobowe. Warto wiedzieć: jeśli w wyniku Waszych pytań pojawią się osobne formularze, w których w zależności od zapytania może być konieczne podanie danych osobowych, informacje wpisane w tych formularzach są przetwarzane oddzielnie i nie są przekazywane do AI.

Kategorie przetwarzanych danych: Kategorie danych wynikają z Waszych zapytań, jeśli podacie dane osobowe w treści pytania.

• Na przykład jeśli zapytacie: „Gdzie jest moje zamówienie?”, pojawi się formularz, w którym możecie podać numer zamówienia i kod pocztowy.

• Jeśli na przykład chcecie dowiedzieć się więcej o produkcie i otrzymać odpowiednie doradztwo, pojawi się formularz, w którym możecie wpisać odpowiednie informacje (np. imię, telefon, e-mail itd.).

Cel przetwarzania: Przetwarzanie podanych przez Was informacji w celu tworzenia odpowiedzi na Wasze zapytania przy użyciu chatbota.

• Przykład: jeśli zapytacie „Gdzie jest moje zamówienie?” i wpiszecie w formularzu numer zamówienia oraz kod pocztowy, te informacje zostaną użyte do wysłania bezpośredniego zapytania do systemu sklepowego (Shopify), aby pobrać informacje o dostawie i poinformować Was o statusie zamówienia.

• Przykład: jeśli chcecie uzyskać poradę dotyczącą produktu, Wasze zapytanie, wraz z danymi podanymi w formularzu i całą historią czatu, zostanie przekazane operatorowi sklepu, aby mógł się z Wami skontaktować.

Źródło danych: Zbieramy te dane bezpośrednio od Was.

Podstawa prawna: Przetwarzamy dane w celu wykonania obowiązków umownych lub działań przedumownych zgodnie z art. 6 ust. 1 lit. b General Data Protection Regulation (GDPR).

Okres przechowywania danych: Dane są przechowywane do czasu rozwiązania Waszej sprawy albo przez czas trwania umowy, a następnie do upływu ustawowych okresów przechowywania danych, zwykle od 6 do 10 lat.

Lokalizacja odbiorców danych: UE i państwa spoza UE.

Zabezpieczenia przy transferze do państw trzecich: EU Standard Contractual Clauses (SCC), decyzja stwierdzająca odpowiedni stopień ochrony

---

👆👆👆👆👆👆👆👆👆👆

Zainstalujcie chatbot zgodny z zasadami prywatności dla europejskich sklepów Shopify ✌️