Flyweight: GDPR ve AI Act ile uyumlu Shopify için AI Chatbot kullanımı

Order işleme sözleşmesi, etiketleme yükümlülüğü, gizlilik politikası, GDPR, AI Act - ne oluyor? 🤯🤯

Aşağıdaki kontrol listesi ve gizlilik politikası şablonu, bir Shopify mağazası işlettiğinizi ve GDPR uyumlu bir AI chatbot eklemek istediğinizi varsayar. Shopify chatbot ürünümüzün neler yapabildiğini bütünüyle görmek isterseniz, ana rehbere geçin. Bu makale hukuki tavsiye niteliği taşımaz ve herhangi bir yasal yükümlülüğün kabulü anlamına gelmez.

Terminoloji

1. General Data Protection Regulation (GDPR)
   GDPR, Avrupa'daki temel veri gizliliği düzenlemesidir. Şirketlerin kişisel verileri nasıl işlemesi gerektiğini belirler. Örneğin yalnızca gerçekten gerekli verilerin toplanması ve güvenli şekilde saklanması gibi. Ayrıca kişilere verileri üzerinde haklar tanır. Erişim, düzeltme ve silme hakkı buna dahildir. Chatbot'lar açısından bu, gereksiz ya da aşırı veri toplamamak ve verilerin nasıl kullanıldığını açıkça anlatmak anlamına gelir.

2. Artificial Intelligence Act (AI Act)
   AI Act, yapay zekaya yönelik planlanan bir AB düzenlemesidir. Amaç, chatbot'lar gibi AI sistemlerinin daha güvenli ve daha adil kullanılmasını sağlamaktır. Sistemleri düşükten yükseğe farklı risk seviyelerine ayırır. Her kategori için ayrı gereklilikler vardır. Örneğin kullanıcıların bir AI ile etkileşimde olduğunu açıkça anlaması ve ayrımcı sonuçların önlenmesi gibi. Hassas kullanım senaryolarında çalışan chatbot'lar daha yüksek risk kategorilerine girebilir ve daha sıkı gerekliliklerle karşılaşabilir.

3. Data Processing Agreement (DPA)
   Data Processing Agreement, chatbot'u kullanan şirket ile onu işleten sağlayıcı arasındaki sözleşmedir. Bu sözleşme, sağlayıcının kullanıcı verilerini yalnızca şirketin talimatlarına göre ve veri koruma kurallarına uygun biçimde işleyeceğini tanımlar. Harici bir chatbot sağlayıcısı kullanıyorsanız, GDPR uyumlu veri işlemeyi belgelemek için genelde bir DPA gerekir.

4. Privacy Policy
   Gizlilik politikası, hangi verilerin toplandığını, neden toplandığını ve ne kadar süre saklandığını açıklar. Ayrıca kullanıcıların haklarını da anlatmalıdır. Örneğin silme talebi veya saklanan verilere erişim hakkı gibi. Chatbot kullanımı söz konusuysa, bu bilgilerin hem anlaşılır hem de kolay bulunur olması gerekir.

5. Labeling Obligation
   GDPR ilkeleri ve özellikle planlanan AI Act kapsamında, kullanıcılar karşılarında bir insan mı yoksa AI mı olduğunu anlayabilmelidir. Etiketleme yükümlülüğü dediğimiz şey budur. Amaç şeffaflık sağlamak ve yanlış anlaşılmaları azaltmaktır.

Roller ve Sorumluluklar

Roller önemlidir çünkü kimin neden sorumlu olduğunu onlar belirler.

Processor

Chatbot sağlayıcısı çoğu durumda processor konumundadır. Yani sağlayıcı, verileri mağaza işletmecisi adına ve onun talimatlarına göre işler. Teknik kurulumu ve chatbot'un operasyonunu yürütür, ancak verilerin neden işlendiğine kendi başına karar vermez. Görevi, controller'ın gerekliliklerine uymak ve kişisel verileri korumak için teknik ve organizasyonel önlemleri uygulamaktır. Kısacası chatbot sağlayıcısı, verileri yalnızca verilen talimatlar doğrultusunda işler. Kendi bağımsız amaçları için değil.

Controller

Burası ilk bakışta biraz ters gelebilir: mağaza işletmecisi aslında controller konumundadır. Controller olarak mağaza, verilerin neden ve nasıl işleneceğine karar verir. Örneğin chatbot'un hangi verileri toplayacağına ve bunun destek, lead toplama ya da başka bir amaç için kullanılıp kullanılmayacağına. Controller, veri toplama ve işleme süreçlerinin gizlilik gerekliliklerine uygun olmasından ve kullanıcı haklarına saygı gösterilmesinden sorumludur. Pratikte bu, chatbot'un nasıl kullanılacağını mağazanın belirlediği ve bu kullanımın gizlilik tarafındaki sorumluluğun mağazada olduğu anlamına gelir. Kulağa büyük geliyor olabilir, ama genelde işin başlangıcı gizlilik politikasında açık olmaktan geçer.

Pratik Bir Örnek

Diyelim ki "GarlicPress24" adlı Shopify mağazası lead toplamak için bir AI chatbot kullanmak istiyor. Bir müşteri sarımsak ezicinin teknik özelliklerini soruyor ve AI uzman yönlendirmesi yapıyor. Bu akış sırasında chatbot, müşterinin ad ve e-posta gibi iletişim bilgilerini topluyor ve uzmana iletiyor.

Bu sürecin nasıl işleyeceğine mağaza karar vermelidir. Lead AI üzerinden mi toplanmalı? Yoksa chatbot sadece "Uzmanlarımıza şu e-posta adresinden ulaşın" gibi bir mesaj mı göstermeli? Ne olacağına Shopify mağazası karar verdiği için controller odur. Ayrıca müşterilerin gizlilik politikasında doğru şekilde bilgilendirildiğinden de mağaza sorumludur. AI chatbot sağlayıcısı ise teknik kurulumu yapar ve verileri mağazanın talimatlarına göre işler. Bu da sağlayıcıyı processor yapar.

Veri Koruma Gerekliliklerine Uygun Bir AI Chatbot Nasıl Kullanılır: Kontrol Listesi

Chatbot'unuzu GDPR ve AI Act çizgisinde kullanmak istiyorsanız, yukarıdaki roller sorumlulukları netleştirir.

1. Yalnızca Gerekli Verileri Toplayın
   Chatbot yalnızca gerçekten ihtiyaç duyulan verileri toplamalıdır. Bu alan ağırlıklı olarak sağlayıcının sorumluluğundadır. Flyweight olarak amacımız, yalnızca gerekli olan minimum kişisel veriyi işlemektir. Örneğin bir müşteri order durumunu soruyorsa, sadece posta kodu ve order numarasını işleriz. Ek adres detaylarını ya da daha geniş order verilerini değil. Kişisel veriler ayrıca AI'dan ayrı şekilde ele alınır.

2. Şeffaf Olun
   Kullanıcılar chatbot'un hangi verileri topladığını ve bunların ne için kullanıldığını anlayabilmelidir. Bunu açıkça anlatmak için en doğru yer gizlilik politikasıdır, özellikle de Shopify mağaza işletmecileri için. Mağaza controller olduğu için, müşterilerin doğru şekilde bilgilendirilmesi adına politikanın güncellenmesi gerekir. Aşağıda bunu kolaylaştıracak bir şablon var.

3. Bir Data Processing Agreement (DPA) Yapın
   Chatbot harici bir sağlayıcıdan geliyorsa, GDPR uyumlu veri işlemeyi kapsayan bir sözleşme bulunmalıdır. Sağlayıcının bir DPA sunup sunmadığını kontrol edin. Bu belge çoğu zaman standart sözleşmenin parçası olur.

4. Güvenlik ve Veri Korumasını Düzenli Olarak Gözden Geçirin
   AI Act, AI ile ilgili risklerin düzenli aralıklarla gözden geçirilmesine de işaret eder. Böylece chatbot kurulumu zaman içinde de uyumlu kalır. Bu alan genelde chatbot sağlayıcısı tarafından yönetilir. Biz bu rehberi güncel tutuyor ve ilgili değişiklikleri paylaşıyoruz.

5. Chatbot'u Açıkça Etiketleyin
   Açık etiketleme her senaryoda henüz net bir yasal zorunluluk olmasa da, şeffaf olmak yine de en doğru yaklaşımdır. Kullanıcılar AI ile konuştuklarını bilmelidir. AI chatbot ürünümüzde varsayılan olarak şu footer yer alır: "AI powered by Flyweight". Bunu korumanızı öneriyoruz. Daha da dikkatli olmak isterseniz, AI ifadesini karşılama mesajında ya da chatbot adında da belirtebilirsiniz.

⭐️ Gizlilik Politikası Şablonu

Yukarıda gördüğümüz gibi, controller olarak hareket eden Shopify mağazalarının asıl sorumluluğu verilerin nasıl işlendiğini net şekilde açıklamaktır.

Bunun için en doğru yer neresi?

Gizlilik politikanız.

💡 Flyweight AI Chatbot kullanan mağaza işletmecisi biz olsaydık, gizlilik politikasına şu bölümü eklerdik (herhangi bir yasal yükümlülüğü kabul etmeden ve hukuki tavsiye vermeden):

👇👇👇👇👇👇👇👇👇👇

---

Formlarla Birlikte Chatbot Kullanımı
Web sitemizde, sorularınızı yanıtlamak için Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Germany (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) tarafından sunulan AI tabanlı bir chatbot kullanıyoruz. Chatbot'u kullandığınızda, sorularınız; kendi web sitemizden okunan bilgilerle oluşturulan veri tabanı ve bir büyük dil modeli birlikte kullanılarak işlenir ve size yanıt üretilir. Chatbot'a kişisel veri istememesi yönünde talimat verilmiştir. Bilmenizde fayda var: Sorularınızın sonucunda ayrı formlar görüntülenirse ve bu formlarda talebinize bağlı olarak kişisel veri girmeniz gerekirse, burada paylaştığınız bilgiler ayrı olarak işlenir ve buna bağlı olarak AI'ya gönderilmez.

İşlenen Veri Kategorileri: Veri kategorileri, sorunuzun içinde kişisel veri girip girmemenize göre şekillenir.

• Örneğin "Order'ım nerede?" diye sorarsanız, order numaranızı ve posta kodunuzu girebileceğiniz bir form açılır.

• Örneğin bir ürün hakkında daha fazla bilgi almak ve buna uygun danışmanlık almak isterseniz, ilgili bilgileri girebileceğiniz bir form açılır (ör. ad, telefon, e-posta vb.).

İşleme Amacı: Chatbot aracılığıyla taleplerinize yanıt oluşturmak için sağladığınız bilgilerin işlenmesi.

• Örnek: "Order'ım nerede?" diye sorup formda order numaranızı ve posta kodunuzu girerseniz, bu bilgiler mağaza sistemine (Shopify) doğrudan bir sorgu göndermek için kullanılır. Böylece teslimat bilgileri alınabilir ve order durumu hakkında size bilgi verilebilir.

• Örnek: Bir ürünle ilgili danışmanlık almak isterseniz, talebiniz formda sağladığınız verilerle birlikte ve tüm chat geçmişiyle beraber mağaza işletmecisine iletilir. Böylece sizinle iletişime geçebilirler.

Veri Kaynağı: Bu verileri doğrudan sizden topluyoruz.

Hukuki Dayanak: Verileri, General Data Protection Regulation (GDPR) Madde 6, fıkra 1, bent (b) uyarınca sözleşmesel veya sözleşme öncesi yükümlülükleri yerine getirmek amacıyla işliyoruz.

Veri Saklama Süresi: Veriler, talebiniz sonuçlanana kadar veya sözleşme süresi boyunca ve sonrasında yasal saklama süreleri (6 ila 10 yıl) dolana kadar saklanır.

Alıcıların Konumu: AB içi ve AB dışı.

Üçüncü Ülkelere Aktarım İçin Güvenceler: EU Standard Contractual Clauses (SCC), Adequacy Decision

---

👆👆👆👆👆👆👆👆👆👆

Avrupa'daki Shopify mağazaları için gizlilik odaklı chatbot'u kurun ✌️