GDPR-tarkistuslista verkkosivuston chatboteille: mitä pienyritysten on tehtävä

Verkkosivuston chatbot kerää henkilötietoja: sen, mitä ihmiset kirjoittavat, heidän yhteystietonsa ja joskus sijainti- tai laitetietoja. Jos jokin kävijöistäsi on Euroopan unionissa tai Yhdistyneessä kuningaskunnassa, tietosuojalainsäädäntö koskee tuota chattia yrityksesi koosta riippumatta. Hyvä uutinen on, että tyypillisen palveluyrityksen chatbotin vaatimustenmukaisuus tiivistyy selkeään joukkoon käytännön vaiheita. Tämä tarkistuslista käy ne läpi, selittää kunkin merkityksen selkeästi ja osoittaa kysymykset, joita kannattaa esittää chatbot-toimittajalle.

Tämä on yleistä tietoa, ei oikeudellista neuvontaa. Tietosuojalainsäädäntö on yksityiskohtaista ja riippuu tilanteestasi. Lue viralliset ohjeet ja kysy pätevältä neuvonantajalta omasta tilanteestasi. Asetuksen tekstin löydät GDPR-tietosivustolta.

Miksi chatbotit vaativat erityistä huomiota

Chat tuntuu epävirallisemmalta, joten kävijät kirjoittavat enemmän kuin lomakkeeseen, myös arkaluonteisia tietoja. Tekoälyassistentti voi lisäksi lähettää tuon tekstin kolmannen osapuolen tekoälypalveluntarjoajalle, tallentaa keskusteluja ja käyttää analytiikkaa. Jokainen näistä on henkilötietojen käsittelyä, joka vaatii käsittelyperusteen, läpinäkyvyyttä ja suojatoimia. Kohtele chatbotia kuten mitä tahansa muuta järjestelmää, joka käsittelee asiakastietoja.

Vaihe 1: Tiedä, mitä tietoja chatbot käsittelee

Aloita yksinkertaisella kartalla. Mitä chatbot kerää ja minne se menee?

Kirjoita tämä ylös. Siitä tulee tietosuojaselosteesi ja käsittelytoimien selosteesi selkäranka.

Vaihe 2: Päätä käsittelyperusteesi

GDPR:n mukaan jokaiselle käyttötarkoitukselle tarvitaan käsittelyperuste. Palvelu-chatbotille tavallisia vaihtoehtoja ovat nämä.

• Oikeutettu etu: kävijöiden kysymyksiin vastaaminen ja tukityökalun ylläpito. Sinun pitäisi pystyä osoittamaan, että se on tarpeellista, että olet punninnut sitä kävijöiden oikeuksia vasten ja että ihmiset voisivat kohtuudella odottaa sitä.
• Sopimus: toimenpiteet kävijän pyynnöstä ennen sopimuksen tekemistä, kuten ajan varaaminen.
• Suostumus: valinnaisille lisäosille, kuten markkinointisähköposteille tai ei-välttämättömille evästeille. Suostumuksen on oltava vapaaehtoinen, yksilöity ja helppo peruuttaa.

Älä luota valmiiksi rastitettuun ruutuun tai hiljaisuuteen. Pidä markkinointisuostumus erillään itse chatista.

Vaihe 3: Ole läpinäkyvä

• Kerro kävijöille, että he puhuvat tekoälyassistentin kanssa.
• Näytä lyhyt ilmoitus chatissa tai sen lähellä, joka selittää, mitä kerätään, ja linkittää tietosuojaselosteeseesi.
• Selitä tietosuojaselosteessa, mitä chatin kautta kerätään, miksi, kuinka kauan sitä säilytetään ja kuka sitä käsittelee.
• Anna yhteystiedot tietosuojapyyntöjä varten.

Esimerkki ilmoituksesta: 'Keskustelet tekoälyassistentin kanssa. Tallennamme tämän keskustelun vastataksemme sinulle ja parantaaksemme palveluamme. Lue tietosuojaselosteemme.'

Vaihe 4: Kerää vain tarvitsemasi

Tietojen minimointi on keskeinen periaate. Suunnittele kulku niin, että se kysyy sen, mikä on tarpeen, eikä enempää. Varaus tarvitsee nimen ja tavan tavoittaa henkilö. Se ei tarvitse syntymäaikaa. Neuvo kävijöitä olemaan kirjoittamatta arkaluonteisia tietoja: lisää rivi kuten 'Älä jaa lääketieteellisiä tai taloudellisia tietoja tässä.' Määritä assistentti niin, ettei se kysy erityisiin henkilötietoryhmiin kuuluvia tietoja, kuten terveystietoja, ellei sinulla ole erityistä käsittelyperustetta ja suojatoimia.

Vaihe 5: Selvitä henkilötietojen käsittelijät ja tekoälyn tarjoaja

Chatbot-toimittajasi on henkilötietojen käsittelijä, joka toimii puolestasi, ja niin voivat olla myös tekoälyn tarjoaja ja sähköpostipalvelu. Tarvitset henkilötietojen käsittelyä koskevan sopimuksen jokaisen kanssa, joka käsittelee henkilötietoja puolestasi. Pyydä sellainen jokaiselta toimittajalta sekä luettelo heidän alikäsittelijöistään. Crescelo julkaisee henkilötietojen käsittelyä koskevan lisäsopimuksen ja luettelon alikäsittelijöistä. Omalla avaimella toimivassa ratkaisussa valitset tekoälyn tarjoajan itse, joten sinun tulee hyväksyä sen sopimusehdot ja tarkistaa, miten se käsittelee API-dataa.

Vaihe 6: Kansainväliset siirrot

Jos tietoja tallennetaan tai käsitellään Yhdistyneen kuningaskunnan tai EU:n ulkopuolella, esimerkiksi yhdysvaltalaisen toimittajan tai tekoälyn tarjoajan toimesta, tarvitset lainmukaisen siirtomekanismin, kuten tietosuojan riittävyyttä koskevan päätöksen tai vakiosopimuslausekkeet. Toimittajien tulisi kertoa, mitä he käyttävät. Tämä on yksi teknisimmistä alueista; pyydä toimittajaltasi siirtoja koskeva dokumentaatio ja hanki neuvoja tarvittaessa.

Vaihe 7: Säilytys ja poisto

• Päätä, kuinka kauan säilytät keskustelut. Säilytä ne vain niin kauan kuin niistä on hyötyä, esimerkiksi jatkokysymyksiin vastaamiseen ja assistentin parantamiseen.
• Poista liidit ja keskustelut, joita et enää tarvitse.
• Varmista, että voit poistaa henkilön tiedot pyynnöstä, myös toimittajan järjestelmistä.
• Dokumentoi säilytysaikasi tietosuojaselosteessasi.

Crescelosa voit poistaa liidit, ajanvaraukset ja tietolähteet hallintapaneelista, ja voit pyytää kaiken poistamista avaamalla tukipyynnön.

Vaihe 8: Kunnioita kävijöiden oikeuksia

Ihmiset voivat pyytää nähdä tietonsa, oikaista ne, poistaa ne, rajoittaa käsittelyä tai vastustaa sitä sekä saada kopion. Yleensä sinun on vastattava kuukauden kuluessa. Valmistele yksinkertainen prosessi: kuka vastaanottaa pyynnöt, miten varmennat henkilöllisyyden, miten löydät henkilön chat-tiedot ja miten vahvistat poiston. Sisällytä yhteydenottotapa tietosuojaselosteeseesi. Katso yhteydenottolomakkeemme, joka luo tukipyynnön, esimerkkinä seurattavasta reitistä.

Vaihe 9: Evästeet ja selaimen tallennustila

Chat-widget voi tallentaa tunnisteen kävijän selaimeen, jotta keskustelu jatkuu sivun latauksen jälkeen. Tarvitaanko siihen suostumus, riippuu siitä, onko se ehdottoman välttämätön kävijän pyytämän palvelun tarjoamiseksi, sekä paikallisista säännöistä. Kuvaa evästekäytännössäsi, mitä widget tallentaa, ja kysy toimittajalta, onko se ehdottoman välttämätön. Analytiikka- ja markkinointievästeet vaativat yleensä suostumuksen. Katso evästekäytäntömme esimerkkinä siitä, miten kuvaamme sen.

Vaihe 10: Tietoturva

• Käytä toimittajaa, joka salaa tiedot siirron aikana ja levossa ja eristää asiakkaiden työtilat toisistaan.
• Suojaa tilisi vahvoilla salasanoilla ja kaksivaiheisella tunnistautumisella.
• Anna tiimin jäsenille vain tarvitsemansa vähimmäiskäyttöoikeudet.
• Tallenna API-avaimet vain alustan salattuihin asetuksiin.
• Laadi suunnitelma tietoturvaloukkauksen varalle, mukaan lukien kuka ilmoittaa valvontaviranomaiselle ja kohteena oleville henkilöille vaaditussa ajassa.

Katso tiimin roolien ja kaksivaiheisen tunnistautumisen käyttöönotto.

Vaihe 11: Erityistilanteet

• Lapset: vältä lasten tietojen keräämistä, ellei sinulla ole suojatoimia, ja mieti, onko palvelu tarkoitettu heille.
• Terveys-, oikeus- ja rahoituspalvelut: näihin liittyy lisävelvoitteita. Pidä chat varauksissa ja yleisessä tiedossa ja hanki neuvoja.
• Markkinointi: älä lisää ihmisiä sähköpostilistoille chatista ilman erillistä, selkeää suostumusta.
• Automaattiset päätökset: jos chatbot tekee päätöksiä, jotka vaikuttavat ihmisiin merkittävästi, sovelletaan lisäsääntöjä.

Kopioitava ja käytettävä tarkistuslista

• Tietokartta siitä, mitä chatbot kerää ja minne se menee.
• Käsittelyperuste valittu jokaiselle käyttötarkoitukselle.
• Tekoälyilmoitus ja tietosuojalinkki näkyvillä chatissa.
• Tietosuojaseloste päivitetty mainitsemaan chatbot, keskustelut, käsittelijät ja säilytys.
• Minimaalinen tietojen keruu; varoitus arkaluonteisten tietojen jakamisesta.
• Henkilötietojen käsittelyä koskevat sopimukset chatbot-toimittajan ja muiden käsittelijöiden kanssa.
• Alikäsittelijät ja kansainväliset siirrot tarkistettu.
• Säilytysaika asetettu ja poisto mahdollista.
• Prosessi kävijöiden pyyntöjen käsittelyyn.
• Evästekäytäntö ja suostumusasetukset vastaavat sitä, mitä widget tallentaa.
• Tietoturvakontrollit, mukaan lukien kaksivaiheinen tunnistautuminen.
• Keskustelujen ja itse tarkistuslistan säännöllinen tarkastus.

Lyhyt tietosuojailmoitus, jota voit mukauttaa

Käytä selkeää kieltä ja pidä se lyhyenä. Esimerkiksi: 'Tätä chattia pyörittää tekoälyassistentti. Keräämme lähettämäsi viestit ja yhteystiedot, jotka päätät antaa meille, jotta voimme vastata sinulle, järjestää aikoja ja parantaa palveluamme. Tekoäly- ja palvelinpalveluntarjoajamme käsittelevät näitä tietoja puolestamme. Säilytämme keskustelut [ajan]. Voit milloin tahansa pyytää nähdä tai poistaa tietosi. Älä jaa arkaluonteisia tietoja tässä. Täydelliset tiedot ovat tietosuojaselosteessamme.' Mukauta sanamuoto, lisää omat tietosi ja tarkistuta se.

Aiheeseen liittyvät oppaat

• Oma tekoälyavain selitettynä kertoo, minne tietosi menevät, kun valitset tekoälyn tarjoajan.
• Liidien keruu chatbotilla sekä GDPR ja CCPA käsittelee yhteystietojen keräämistä tarkemmin.
• Tekoälyn läpinäkyvyys ja ilmoittaminen selittää, miten kerrot kävijöille, että kyseessä on tekoäly.
• Näin estät chatbotin keksimästä asioita vähentää virheellisten väitteiden riskiä yrityksestäsi.

Säilytettävät asiakirjat

• Tietokarttasi ja käsittelytoimien seloste chatbotille.
• Henkilötietojen käsittelyä koskevat sopimukset chatbot-toimittajan, tekoälyn tarjoajan ja muiden käsittelijöiden kanssa.
• Muistiinpano käsittelyperusteestasi ja mahdollisesta oikeutetun edun punninnasta.
• Tietosuojaselosteesi ja evästekäytäntösi versiot.
• Säilytysaikataulusi ja poistolokisi.
• Loki kävijöiden pyynnöistä ja siitä, miten käsittelit ne.

Näiden säilyttäminen helpottaa vastaamista valvontaviranomaiselle tai asiakkaalle, joka kysyy, miten käsittelet hänen tietojaan.

Usein kysytyt kysymykset

Lue tietosuojaselosteemme nähdäksesi, miten käsittelemme tietoja, ja katso miten tekoälyassistentti vastaa vain sisältösi pohjalta. Jos haluat kokeilla omilla dokumenteillasi, käytä kokeilualustaa.