Flyweight: Utilizar um chatbot de IA para Shopify em conformidade com o RGPD e o AI Act

Acordo de Tratamento de Dados, obrigação de rotulagem, política de privacidade, RGPD, AI Act - o quê? 🤯🤯

A checklist e o modelo de política de privacidade abaixo partem do princípio de que vocês gerem uma loja Shopify e querem adicionar um chatbot de IA em conformidade com o RGPD. Como o Flyweight agora também redige respostas a e-mails e tickets de suporte (Flyweight Copilot) e permite que vocês ou a vossa equipa assumam chats em direto, este guia também abrange esses casos de utilização. Querem uma visão completa do que o nosso chatbot para Shopify pode fazer? Consultem o guia principal. Este artigo não constitui aconselhamento jurídico nem reconhecimento de uma obrigação legal.

Terminologia

1. Regulamento Geral sobre a Proteção de Dados (RGPD)
   O RGPD é a principal lei de privacidade na Europa. Define as regras sobre a forma como as empresas tratam dados pessoais, como recolher apenas o que é realmente necessário e armazená-lo de forma segura. Também confere às pessoas direitos sobre os seus dados, incluindo acesso, retificação e apagamento. Para chatbots, isto significa não haver recolha ampla ou desnecessária de dados, e haver uma comunicação clara sobre a forma como os dados são utilizados.

2. Regulamento da Inteligência Artificial (AI Act)
   O AI Act é um regulamento da UE que estabelece regras para a inteligência artificial. Os seus requisitos aplicam-se por fases; as obrigações de transparência do artigo 50 aplicam-se a partir de 2 de agosto de 2026. O objetivo é uma utilização mais segura e mais justa de sistemas de IA, como chatbots. Agrupa os sistemas de IA por nível de risco, de baixo a elevado. Cada categoria vem com os seus próprios requisitos, como deixar claro que os utilizadores estão a interagir com IA e prevenir resultados discriminatórios. Os chatbots que tratem casos de utilização sensíveis podem enquadrar-se em categorias de maior risco e estar sujeitos a requisitos mais rigorosos.

3. Acordo de Tratamento de Dados (DPA)
   Um Acordo de Tratamento de Dados é um contrato entre a empresa que utiliza o chatbot e o fornecedor que o opera. Define que o fornecedor trata os dados dos utilizadores apenas segundo as instruções da empresa e em conformidade com as regras de proteção de dados. Se utilizarem um fornecedor externo de chatbot, é tipicamente necessário um DPA para documentar um tratamento em conformidade com o RGPD.

4. Política de Privacidade
   Uma política de privacidade explica que dados são recolhidos, porque são recolhidos e durante quanto tempo são conservados. Deve também explicar os direitos dos utilizadores, como o direito de solicitar o apagamento ou o acesso aos dados armazenados. No contexto da utilização de chatbot, esta informação deve ser fácil de compreender e fácil de encontrar.

5. Obrigação de Rotulagem
   Nos termos do artigo 50 do AI Act, as pessoas que interagem diretamente com um sistema de IA devem, em geral, ser informadas de que estão a interagir com IA, salvo se isso for óbvio nas circunstâncias. Essa é a obrigação de rotulagem. O objetivo é a transparência e a redução de mal-entendidos.

Papéis e Responsabilidades

Os papéis importam porque definem quem é responsável por quê.

Subcontratante

O fornecedor do chatbot é normalmente o subcontratante. Isto significa que o fornecedor trata dados em nome do operador da loja e com base nas suas instruções. O fornecedor trata da configuração técnica e do funcionamento do chatbot, mas não decide por que motivo os dados estão a ser tratados. A sua função é seguir os requisitos do responsável pelo tratamento e implementar medidas técnicas e organizativas para proteger os dados pessoais. Em suma, o fornecedor do chatbot está contratualmente vinculado a tratar os dados apenas conforme instruído, não para os seus próprios fins independentes.

Responsável pelo Tratamento

Esta é a parte que muitas vezes parece um pouco contraintuitiva: o operador da loja é o responsável pelo tratamento. Como responsável pelo tratamento, a loja decide por que motivo e como os dados são tratados, por exemplo, o que o chatbot recolhe e se é utilizado para suporte, geração de leads ou outra finalidade. O responsável pelo tratamento é responsável por garantir que a recolha e o tratamento de dados cumprem os requisitos de privacidade e que os direitos dos utilizadores são respeitados. Na prática, isto significa que o operador da loja define como o chatbot é utilizado e é responsável pela conformidade em matéria de privacidade em torno dessa utilização. Parece maior do que é. Normalmente, começa por ser claro na política de privacidade.

Exemplo Prático

Digamos que a loja Shopify "GarlicPress24" quer utilizar um chatbot de IA para geração de leads. Um cliente pergunta sobre as especificações de um espremedor de alho, e a IA fornece orientação especializada. Durante esse processo, o chatbot recolhe os dados de contacto do cliente, como nome e e-mail, e encaminha-os para o especialista.

A loja tem de decidir como isto deve funcionar. O lead deve ser recolhido através de IA? Ou o chatbot deve simplesmente apresentar uma mensagem como: "Contacte os nossos especialistas em E-mail X"? A loja Shopify é o responsável pelo tratamento porque decide o que acontece e assegura que os clientes são devidamente informados na política de privacidade. O fornecedor do chatbot de IA trata da configuração técnica e trata os dados de acordo com as instruções da loja, o que faz do fornecedor o subcontratante.

Como utilizar um chatbot de IA em conformidade com os requisitos de proteção de dados: uma checklist

Se quiserem operar um chatbot em conformidade com o RGPD e o AI Act, os papéis acima definem as responsabilidades.

1. Recolher apenas os dados necessários
   O chatbot deve recolher apenas os dados que são realmente necessários. Esta é principalmente uma responsabilidade do fornecedor. Na Flyweight, procuramos tratar apenas o mínimo de dados pessoais necessário. Por exemplo, se um cliente perguntar sobre o estado de uma encomenda, tratamos apenas códigos postais e números de encomenda, não detalhes adicionais de morada nem dados de encomenda mais amplos. Os dados introduzidos nos formulários dedicados do chatbot são tratados separadamente do modelo de IA. As mensagens em texto livre podem ainda conter dados pessoais, e o Copilot trata a conversa de suporte aberta para redigir uma resposta.

2. Ser transparente
   Os utilizadores devem compreender que dados o chatbot recolhe e para que são utilizados. A política de privacidade é o local certo para explicar isto de forma clara, especialmente para os operadores de lojas Shopify. Como a loja é o responsável pelo tratamento, a política deve ser atualizada para que os clientes sejam devidamente informados. É incluído abaixo um modelo para ajudar nesse ponto.

3. Ter em vigor um Acordo de Tratamento de Dados (DPA)
   Se o chatbot vier de um fornecedor externo, deve existir um contrato que abranja o tratamento de dados em conformidade com o RGPD. Verifiquem se o fornecedor disponibiliza um DPA, muitas vezes como parte do acordo padrão.

4. Rever regularmente a segurança e a proteção de dados
   O AI Act também aponta para revisões regulares dos riscos relacionados com IA, para que a configuração do chatbot permaneça conforme ao longo do tempo. Isto é normalmente tratado pelo fornecedor do chatbot. Mantemos este guia atualizado e partilhamos alterações relevantes.

5. Rotular claramente o chatbot
   Os utilizadores devem saber que estão a falar com IA. As obrigações de transparência do artigo 50 aplicam-se a partir de 2 de agosto de 2026; vejam as orientações da Comissão Europeia. O nosso chatbot de IA inclui um rodapé predefinido que diz: "IA desenvolvida pela Flyweight", e recomendamos mantê-lo. Se quiserem ser ainda mais prudentes, podem também mencionar a IA na mensagem de boas-vindas ou no nome do chatbot.

6. Suporte por e-mail e tickets com IA (Flyweight Copilot)

   Se vocês ou a vossa equipa utilizarem o Flyweight Copilot para redigir respostas a e-mails ou tickets, aplicam-se os mesmos papéis: vocês são o responsável pelo tratamento, a Flyweight é o vosso subcontratante ao abrigo do DPA. Cada rascunho é revisto e enviado por vocês ou por uma pessoa da vossa equipa, pelo que não é tomada qualquer decisão automatizada sobre o pedido do cliente. O que têm de fazer: adicionar à vossa política de privacidade a secção do modelo abaixo, assegurar que apenas vocês e as pessoas por vós autorizadas têm acesso, e nunca pedir aos clientes dados de saúde ou outras informações sensíveis que não sejam necessárias para resolver o pedido.

7. Assumir chats em direto

   Quando vocês ou um membro da vossa equipa assumem um chat da IA, o cliente deve ver que uma pessoa se juntou. Este é o outro lado da obrigação de rotulagem da IA: se informarem os clientes quando falam com IA, informem-nos quando falam com um humano. A Flyweight mostra a passagem no widget de chat por defeito. Utilizem primeiros nomes ou pseudónimos de equipa; vocês decidem o que é apresentado.

Preciso de consentimento dos clientes que nos enviam e-mail?

Normalmente, não é necessário um consentimento separado apenas para responder a um e-mail de suporte de rotina. Dependendo do pedido, o tratamento pode ser necessário para executar um contrato com o cliente (artigo 6.º, n.º 1, alínea b), do RGPD) ou justificado por uma avaliação documentada de interesse legítimo para apoio ao cliente (artigo 6.º, n.º 1, alínea f), do RGPD). O comerciante tem de selecionar o fundamento adequado para o tratamento efetivo, incluindo a assistência por IA, e assegurar que apenas são utilizados os dados necessários. O consentimento não substitui essa avaliação, e o suporte não deve depender do consentimento para tratamento não relacionado.

O que precisam efetivamente é de transparência: indicar a Flyweight como subcontratante na vossa política de privacidade (modelo abaixo) e, se quiserem, colocar uma ligação para a mesma na assinatura do vosso e-mail ou na resposta automática.

As categorias especiais exigem cuidados adicionais: os dados de saúde e outras categorias especiais exigem uma condição aplicável nos termos do artigo 9.º, n.º 2, do RGPD, bem como um fundamento jurídico ao abrigo do artigo 6.º. Um contrato de suporte ou interesse legítimo, por si só, não é suficiente. Não podem impedir um cliente de escrever "Preciso de devolver isto por causa da minha alergia", mas podem (1) assegurar que vocês, a vossa equipa e a vossa configuração de IA nunca pedem ativamente esses dados, (2) acrescentar uma breve nota na vossa política de privacidade ou na resposta automática a pedir aos clientes que não partilhem dados de saúde, salvo se isso for necessário para o seu pedido, e (3) se a vossa loja vender produtos relacionados com a saúde (suplementos, dispositivos médicos, artigos de farmácia), falar com o vosso encarregado da proteção de dados sobre uma avaliação de impacto sobre a proteção de dados antes de implementar suporte assistido por IA. O DPA da Flyweight abrange o tratamento incidental desses dados e exclui avaliação separada ou treino do modelo; o DPA não fornece, por si só, a condição do artigo 9.º do comerciante. Avaliem se o tratamento planeado é suscetível de criar um risco elevado e, por conseguinte, exige uma avaliação de impacto sobre a proteção de dados antes da implementação.

Vejam as orientações do EDPB sobre fundamentos jurídicos e categorias especiais de dados.

⭐️ Modelo de Política de Privacidade

Como vimos, as lojas Shopify que atuam como responsáveis pelo tratamento são principalmente responsáveis por explicar claramente como os dados são tratados.

E o melhor local para isso? A vossa política de privacidade.

💡 Se fôssemos o operador da loja a utilizar o Flyweight AI Chatbot, adicionaríamos a seguinte secção à política de privacidade (sem reconhecer uma obrigação legal nem prestar aconselhamento jurídico):

Adaptem o modelo às funcionalidades que realmente utilizam, aos vossos fundamentos jurídicos e à vossa política de conservação.

---

Utilização do chatbot com formulários
Oferecemos no nosso website um chatbot baseado em IA da Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Alemanha (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement), para responder às suas perguntas. Ao utilizar o chatbot, as suas perguntas são combinadas, com recurso à base de dados criada a partir das informações do website lidas do nosso próprio website e a um grande modelo de linguagem, para lhe fornecer respostas à sua consulta. O chatbot está instruído para não pedir dados pessoais. É importante saber: se, em resultado das suas perguntas, surgirem formulários separados nos quais possa depois ter de fornecer dados pessoais com base na sua consulta, as informações aí fornecidas serão tratadas separadamente e, por conseguinte, não serão enviadas para a IA.

Categorias de Dados Tratados: As categorias de dados resultam das suas perguntas quando introduz dados pessoais na sua questão.

• Por exemplo, se perguntar: "Onde está a minha encomenda?", aparecerá um formulário no qual poderá introduzir o número da sua encomenda e o seu código postal.

• Se, por exemplo, quiser saber mais sobre um produto e receber aconselhamento adequado, aparecerá um formulário no qual poderá introduzir as informações relevantes (por exemplo, nome, telefone, e-mail, etc.).

Finalidade do Tratamento: Tratamento das informações que fornece para criar respostas aos seus pedidos através do chatbot.

• Exemplo: Por exemplo, se perguntar: "Onde está a minha encomenda?" e introduzir o número da sua encomenda e o seu código postal no formulário, estas informações são utilizadas para fazer um pedido direto ao sistema da loja (Shopify), para que as informações de entrega possam ser enviadas e possa ser informado sobre o estado da encomenda.

• Exemplo: Se pretender aconselhamento sobre um produto, o seu pedido (com os dados que fornece no formulário e todo o histórico do chat) será encaminhado para o operador da loja, para que este o possa contactar.

Fonte dos Dados: Recolhemos estes dados diretamente de si.

Fundamento Jurídico: Tratamos os dados para cumprir obrigações contratuais ou pré-contratuais em conformidade com o artigo 6.º, n.º 1, alínea b), do Regulamento Geral sobre a Proteção de Dados (RGPD).

Conservação dos Dados: Conservamos os dados de suporte durante o tempo necessário para resolver a sua consulta e para quaisquer reclamações legais aplicáveis ou obrigações de registo. Os prazos legais de conservação de 6 a 10 anos aplicam-se apenas aos registos sujeitos a esses requisitos. A Flyweight armazena conversas em nosso nome durante a vigência do nosso contrato e elimina-as no prazo de 30 dias após o seu termo, em conformidade com o nosso acordo de tratamento de dados.

Localização dos Destinatários: UE e fora da UE.

Garantias para Transferências para Países Terceiros: Cláusulas Contratuais-Tipo da UE (SCC), Decisão de Adequação

Apoio ao Cliente Assistido por IA (E-mail e Tickets)

Quando contacta o nosso apoio ao cliente por e-mail ou através do nosso helpdesk, utilizamos o Flyweight Copilot, uma ferramenta disponibilizada pela Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Alemanha (legal notice / privacy statement), para nos ajudar no apoio ao cliente. A ferramenta lê a sua mensagem e, quando disponível, as informações de encomenda relacionadas do nosso sistema da loja, e redige uma sugestão de resposta. Cada resposta é revista e enviada por um membro da nossa equipa. Não é tomada automaticamente qualquer decisão sobre o seu pedido. Não inclua dados de saúde nem outras informações sensíveis na sua mensagem, salvo se isso for necessário para o seu pedido.

Categorias de Dados Tratados: O conteúdo da sua mensagem (assunto e texto), o seu nome e endereço de e-mail, e os detalhes da encomenda relacionados com o seu pedido (como número da encomenda, estado da encomenda e histórico da encomenda).

Finalidade do Tratamento: Responder ao seu pedido de suporte de forma mais rápida e precisa.

Fonte dos Dados: Recebemos estes dados diretamente de si e do nosso sistema da loja.

Fundamento Jurídico: Artigo 6.º, n.º 1, alínea b), do RGPD (execução de um contrato ou diligências pré-contratuais) e artigo 6.º, n.º 1, alínea f), do RGPD (o nosso interesse legítimo em prestar apoio ao cliente eficiente). A Flyweight GmbH trata os seus dados em nosso nome como subcontratante ao abrigo de um acordo de tratamento de dados.

Conservação dos Dados: Conservamos os dados de suporte durante o tempo necessário para resolver o seu pedido e para quaisquer reclamações legais aplicáveis ou obrigações de registo. Os prazos legais de conservação de 6 a 10 anos aplicam-se apenas aos registos sujeitos a esses requisitos, não automaticamente a todas as mensagens de suporte. A Flyweight armazena conversas em nosso nome durante a vigência do nosso contrato e elimina-as no prazo de 30 dias após o seu termo, em conformidade com o nosso acordo de tratamento de dados.

Localização dos Destinatários: UE e fora da UE.

Garantias para Transferências para Países Terceiros: Cláusulas Contratuais-Tipo da UE (SCC), Decisão de Adequação.

Chat em Direto com a Nossa Equipa

Um membro da nossa equipa pode juntar-se a uma conversa do chatbot e continuá-la pessoalmente. Verá no chat quando isso acontecer. A conversa, incluindo quaisquer informações que tenha fornecido no chat, ficará então disponível para a nossa equipa, para que o possamos ajudar com o seu pedido.

Fundamento Jurídico: Artigo 6.º, n.º 1, alínea b), do RGPD (execução de um contrato ou diligências pré-contratuais). A Flyweight GmbH fornece a infraestrutura de chat como nosso subcontratante.

Conservação dos Dados: Conforme indicado acima para o chatbot.

---

Instalem o chatbot em conformidade com a privacidade para lojas Shopify europeias ✌️