Flyweight: Använda en AI-chatbot för Shopify i enlighet med GDPR och AI-förordningen

Personuppgiftsbiträdesavtal, märkningsskyldighet, integritetspolicy, GDPR, AI-förordningen, va? 🤯🤯

Checklistan och mallen för integritetspolicy nedan utgår från att ni driver en Shopify-butik och vill lägga till en GDPR-kompatibel AI-chatbot. Eftersom Flyweight nu också utformar svar på e-post och supportärenden (Flyweight Copilot) och låter er eller ert team ta över livechattar, täcker den här guiden även dessa användningsfall. Vill ni ha en fullständig bild av vad vår Shopify-chatbot kan göra? Gå till huvudguiden. Den här artikeln utgör inte juridisk rådgivning eller ett erkännande av en rättslig skyldighet.

Terminologi

1. Dataskyddsförordningen (GDPR)
   GDPR är den centrala integritetslagen i Europa. Den anger reglerna för hur företag hanterar personuppgifter, som att endast samla in det som faktiskt behövs och lagra det säkert. Den ger också människor rättigheter avseende sina uppgifter, inklusive åtkomst, rättelse och radering. För chattbotar innebär det ingen bred eller onödig datainsamling och tydlig kommunikation om hur uppgifter används.

2. Förordningen om artificiell intelligens (AI-förordningen)
   AI-förordningen är en EU-förordning som fastställer regler för artificiell intelligens. Dess krav börjar gälla stegvis, artikel 50:s transparensskyldigheter gäller från och med den 2 augusti 2026. Målet är säkrare och rättvisare användning av AI-system som chattbotar. Den delar in AI-system efter risknivå, från låg till hög. Varje kategori har sina egna krav, som att tydliggöra att användare interagerar med AI och att förhindra diskriminerande utfall. Chattbotar som hanterar känsliga användningsfall kan falla in i högre riskkategorier och möta striktare krav.

3. Personuppgiftsbiträdesavtal (DPA)
   Ett personuppgiftsbiträdesavtal är ett avtal mellan företaget som använder chattboten och leverantören som driver den. Det fastställer att leverantören endast behandlar användardata på företagets instruktioner och i linje med dataskyddsreglerna. Om ni använder en extern chattbotleverantör behövs normalt ett personuppgiftsbiträdesavtal för att dokumentera GDPR-kompatibel behandling.

4. Integritetspolicy
   En integritetspolicy förklarar vilka uppgifter som samlas in, varför de samlas in och hur länge de lagras. Den bör också förklara användarnas rättigheter, såsom rätten att begära radering eller få tillgång till lagrade uppgifter. För användning av chattbot bör denna information vara lätt att förstå och lätt att hitta.

5. Märkningsskyldighet
   Enligt artikel 50 i AI-förordningen måste personer som interagerar direkt med ett AI-system i allmänhet informeras om att de interagerar med AI, om detta inte är uppenbart i sammanhanget. Det är märkningsskyldigheten. Målet är transparens och färre missförstånd.

Roller och ansvar

Roller är viktiga eftersom de definierar vem som ansvarar för vad.

Personuppgiftsbiträde

Chattbotleverantören är vanligtvis personuppgiftsbiträdet. Det betyder att leverantören behandlar uppgifter för butikens räkning och utifrån dess instruktioner. Leverantören hanterar den tekniska konfigurationen och driften av chattboten, men beslutar inte varför uppgifterna behandlas. Leverantörens uppgift är att följa den personuppgiftsansvariges krav och genomföra tekniska och organisatoriska åtgärder för att skydda personuppgifter. Kort sagt är chattbotleverantören avtalsmässigt bunden att endast behandla uppgifter enligt instruktioner, inte för egna självständiga syften.

Personuppgiftsansvarig

Det här är den del som ofta känns lite kontraintuitiv: butiksoperatören är personuppgiftsansvarig. Som personuppgiftsansvarig bestämmer butiken varför och hur uppgifter behandlas, till exempel vad chattboten samlar in och om den används för support, leadsgenerering eller något annat. Den personuppgiftsansvarige ansvarar för att säkerställa att insamling och behandling av uppgifter uppfyller integritetskraven och att användarnas rättigheter respekteras. I praktiken innebär det att butiksoperatören definierar hur chattboten används och ansvarar för regelefterlevnaden kring den användningen. Det låter större än det är. Vanligtvis börjar det med att vara tydlig i integritetspolicyn.

Praktiskt exempel

Låt oss säga att Shopify-butiken "GarlicPress24" vill använda en AI-chatbot för leadsgenerering. En kund frågar om specifikationerna för en vitlökspress, och AI:n ger kvalificerad vägledning. Under det flödet samlar chattboten in kundens kontaktuppgifter, såsom namn och e-post, och vidarebefordrar dem till experten.

Butiken måste bestämma hur detta ska fungera. Ska leadet samlas in via AI? Eller ska chattboten helt enkelt visa ett meddelande som: ”Kontakta våra experter på e-postadress X”? Shopify-butiken är personuppgiftsansvarig eftersom den bestämmer vad som händer och ser till att kunderna informeras korrekt i integritetspolicyn. AI-chattbotleverantören hanterar den tekniska konfigurationen och behandlar uppgifterna enligt butikens instruktioner, vilket gör leverantören till personuppgiftsbiträde.

Hur man använder en AI-chatbot i enlighet med dataskyddskraven: en checklista

Om ni vill driva en chattbot i linje med GDPR och AI-förordningen definierar rollerna ovan ansvaret.

1. Samla endast in nödvändiga uppgifter
   Chattboten bör endast samla in de uppgifter som faktiskt behövs. Detta är främst leverantörens ansvar. På Flyweight strävar vi efter att endast behandla den minsta mängd personuppgifter som krävs. Om en kund till exempel frågar om statusen för en beställning behandlar vi endast postnummer och ordernummer, inte extra adressuppgifter eller mer omfattande orderdata. Uppgifter som matas in i chattbotens särskilda formulär hanteras separat från AI-modellen. Fritextmeddelanden kan fortfarande innehålla personuppgifter, och Copilot behandlar den öppna supportkonversationen för att utforma ett svar.

2. Var transparenta
   Användare bör förstå vilka uppgifter chattboten samlar in och vad de används till. Integritetspolicyn är rätt plats för att förklara detta tydligt, särskilt för operatörer av Shopify-butiker. Eftersom butiken är personuppgiftsansvarig bör policyn uppdateras så att kunderna informeras korrekt. En mall finns nedan för att hjälpa till med detta.

3. Ha ett personuppgiftsbiträdesavtal (DPA) på plats
   Om chattboten kommer från en extern leverantör bör det finnas ett avtal som omfattar GDPR-kompatibel personuppgiftsbehandling. Kontrollera om leverantören erbjuder ett personuppgiftsbiträdesavtal, ofta som en del av standardavtalet.

4. Se regelbundet över säkerhet och dataskydd
   AI-förordningen pekar också mot regelbundna översyner av AI-relaterade risker, så att chattbotens upplägg förblir förenligt över tid. Detta hanteras vanligtvis av chattbotleverantören. Vi håller denna guide uppdaterad och delar relevanta ändringar.

5. Märk chattboten tydligt
   Användare bör veta att de pratar med AI. Artikel 50:s transparensskyldigheter gäller från och med den 2 augusti 2026, se Europeiska kommissionens vägledning. Vår AI-chatbot innehåller en standardfooter som säger: ”AI powered by Flyweight”, och vi rekommenderar att ni behåller den. Om ni vill vara extra försiktiga kan ni också nämna AI i välkomstmeddelandet eller i chattbotens namn.

6. E-post- och ärendesupport med AI (Flyweight Copilot)

   Om ni eller ert team använder Flyweight Copilot för att utforma svar på e-post eller ärenden gäller samma roller: ni är personuppgiftsansvarig, Flyweight är ert personuppgiftsbiträde enligt personuppgiftsbiträdesavtalet. Varje utkast granskas och skickas av er eller en person i ert team, så inget automatiserat beslut fattas om kundens begäran. Det ni behöver göra: lägg till avsnittet från mallen nedan i er integritetspolicy, se till att endast ni och de personer som ni godkänner har åtkomst, och be aldrig kunder om hälsodata eller annan känslig information som inte behövs för att lösa begäran.

7. Ta över livechattar

   När ni eller en medlem i ert team tar över en chatt från AI:n bör kunden se att en person har anslutit. Detta är den omvända sidan av AI-märkningsskyldigheten: om ni talar om för kunderna när de pratar med AI, tala också om när de pratar med en människa. Flyweight visar överlämningen i chattwidgeten som standard. Använd förnamn eller teamalias, ni bestämmer vad som visas.

Behöver jag samtycke från kunder som mejlar oss?

Vanligtvis krävs inte ett separat samtycke bara för att besvara ett rutinmässigt supportmejl. Beroende på begäran kan behandlingen vara nödvändig för att fullgöra ett avtal med kunden (artikel 6.1 b GDPR) eller motiverad av en dokumenterad intresseavvägning för kundsupport (artikel 6.1 f GDPR). Säljaren måste välja rätt grund för den faktiska behandlingen, inklusive AI-assistans, och säkerställa att endast nödvändiga uppgifter används. Samtycke är inte en ersättning för den bedömningen, och support bör inte vara beroende av samtycke till behandling som inte hör samman med detta.

Det ni behöver är transparens: ange Flyweight som personuppgiftsbiträde i er integritetspolicy (mallen nedan) och, om ni vill, länka till den från er e-postsignatur eller ert autosvar.

Särskilda kategorier kräver ytterligare omsorg: hälsodata och andra särskilda kategorier kräver ett tillämpligt villkor enligt artikel 9.2 GDPR samt en rättslig grund enligt artikel 6. Ett supportavtal eller berättigat intresse ensamt räcker inte. Ni kan inte hindra en kund från att skriva "Jag behöver returnera detta på grund av min allergi", men ni kan (1) säkerställa att ni, ert team och er AI-konfiguration aldrig aktivt ber om sådana uppgifter, (2) lägga till en kort notis i er integritetspolicy eller ert autosvar där kunderna ombeds att inte dela hälsodata om det inte behövs för deras begäran, och (3) om er butik säljer hälsorelaterade produkter (kosttillskott, medicintekniska produkter, apoteksvaror), tala med ert dataskyddsombud om en konsekvensbedömning avseende dataskydd innan ni rullar ut AI-assisterad support. Flyweights personuppgiftsbiträdesavtal omfattar tillfällig behandling av sådana uppgifter och utesluter separat utvärdering eller modellträning, personuppgiftsbiträdesavtalet tillhandahåller inte i sig säljarens villkor enligt artikel 9. Bedöm om den planerade behandlingen sannolikt medför en hög risk och därför kräver en konsekvensbedömning avseende dataskydd före lansering.

Se EDPB:s vägledning om rättsliga grunder och särskilda kategorier av uppgifter.

⭐️ Mall för integritetspolicy

Som vi har sett är Shopify-butiker som agerar som personuppgiftsansvariga huvudsakligen ansvariga för att tydligt förklara hur uppgifter behandlas.

Och den bästa platsen för det? Er integritetspolicy.

💡 Om vi vore butiksoperatören som använder Flyweight AI Chatbot skulle vi lägga till följande avsnitt i integritetspolicyn (utan att erkänna en rättslig skyldighet eller ge juridisk rådgivning):

Anpassa mallen till de funktioner ni faktiskt använder, era rättsliga grunder och er lagringspolicy.

---

Användning av chattboten med formulär
Vi erbjuder er en AI-baserad chattbot från Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Tyskland (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) på vår webbplats för att besvara era frågor. När ni använder chattboten kombineras era frågor med hjälp av databasen som skapats från webbplatsinformationen som lästs från vår egen webbplats och en stor språkmodell för att ge er svar på er fråga. Chattboten är instruerad att inte be om personuppgifter. Bra att veta: Om separata formulär visas som ett resultat av era förfrågningar, där ni sedan kan behöva lämna personuppgifter beroende på er förfrågan, kommer informationen ni lämnar där att behandlas separat och kommer följaktligen inte att skickas till AI.

Behandlade uppgiftskategorier: Uppgiftskategorierna följer av era förfrågningar när ni anger personuppgifter i er fråga.

• Om ni till exempel frågar: ”Var är min beställning?”, visas ett formulär där ni kan ange ert ordernummer och ert postnummer.

• Om ni till exempel vill få veta mer om en produkt och få lämplig rådgivning, visas ett formulär där ni kan ange relevant information (t.ex. namn, telefon, e-post osv.).

Ändamål med behandlingen: Behandling av den information ni lämnar för att skapa svar på era förfrågningar med hjälp av chattboten.

• Exempel: Om ni till exempel frågar: ”Var är min beställning?” och anger ert ordernummer och postnummer i formuläret används denna information för att göra en direkt förfrågan till butikssystemet (Shopify) så att leveransinformationen kan skickas och ni kan informeras om beställningens status.

• Exempel: Om ni vill ha rådgivning om en produkt kommer er förfrågan (med de uppgifter ni lämnar i formuläret och hela chatthistoriken) att vidarebefordras till butiksoperatören så att denna kan kontakta er.

Datakälla: Vi samlar in dessa uppgifter direkt från er.

Rättslig grund: Vi behandlar uppgifter för att fullgöra avtalsenliga eller föravtalsenliga skyldigheter i enlighet med artikel 6.1 b i dataskyddsförordningen (GDPR).

Datalagring: Vi lagrar supportuppgifter så länge som det är nödvändigt för att lösa er förfrågan och för eventuella tillämpliga rättsliga anspråk eller bokföringsskyldigheter. Lagstadgade lagringstider på 6 till 10 år gäller endast för handlingar som omfattas av dessa krav. Flyweight lagrar konversationer för vår räkning under vår avtalstid och raderar dem inom 30 dagar efter att den upphört, i enlighet med vårt personuppgiftsbiträdesavtal.

Mottagarnas plats: EU och länder utanför EU.

Skyddsåtgärder för överföringar till tredjeland: EU:s standardavtalsklausuler (SCC), beslut om adekvat skyddsnivå

AI-assisterad kundsupport (e-post och ärenden)

När ni kontaktar vår kundsupport via e-post eller genom vår helpdesk använder vi Flyweight Copilot, ett verktyg som tillhandahålls av Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Tyskland (legal notice / privacy statement), för att hjälpa oss med kundsupport. Verktyget läser ert meddelande och, där det finns tillgängligt, relaterad orderinformation från vårt butikssystem och utformar ett föreslaget svar. Varje svar granskas och skickas av en medlem i vårt team. Inget beslut om er begäran fattas automatiskt. Vänligen inkludera inte hälsodata eller annan känslig information i ert meddelande om det inte är nödvändigt för er begäran.

Behandlade uppgiftskategorier: Innehållet i ert meddelande (ämne och text), ert namn och er e-postadress samt orderuppgifter som rör er begäran (såsom ordernummer, orderstatus och orderhistorik).

Ändamål med behandlingen: Att besvara er supportbegäran snabbare och mer korrekt.

Datakälla: Vi får dessa uppgifter direkt från er och från vårt butikssystem.

Rättslig grund: Artikel 6.1 b GDPR (fullgörande av avtal eller åtgärder före avtalsslut) och artikel 6.1 f GDPR (vårt berättigade intresse av att tillhandahålla effektiv kundsupport). Flyweight GmbH behandlar era uppgifter för vår räkning som personuppgiftsbiträde enligt ett personuppgiftsbiträdesavtal.

Datalagring: Vi lagrar supportuppgifter så länge som det är nödvändigt för att lösa er begäran och för eventuella tillämpliga rättsliga anspråk eller bokföringsskyldigheter. Lagstadgade lagringstider på 6 till 10 år gäller endast för handlingar som omfattas av dessa krav, inte automatiskt för varje supportmeddelande. Flyweight lagrar konversationer för vår räkning under vår avtalstid och raderar dem inom 30 dagar efter att den upphört, i enlighet med vårt personuppgiftsbiträdesavtal.

Mottagarnas plats: EU och länder utanför EU.

Skyddsåtgärder för överföringar till tredjeland: EU:s standardavtalsklausuler (SCC), beslut om adekvat skyddsnivå.

Livechatt med vårt team

En medlem i vårt team kan ansluta till en chattbotkonversation och fortsätta den personligen. Ni kommer att se i chatten när detta händer. Konversationen, inklusive all information ni lämnade i chatten, blir då tillgänglig för vårt team så att vi kan hjälpa er med er begäran.

Rättslig grund: Artikel 6.1 b GDPR (fullgörande av avtal eller åtgärder före avtalsslut). Flyweight GmbH tillhandahåller chattinfrastrukturen som vårt personuppgiftsbiträde.

Datalagring: Som anges ovan för chattboten.

---

Installera den integritetskompatibla chattboten för europeiska Shopify-butiker ✌️