En chattbot på en webbplats samlar in personuppgifter: det människor skriver, deras kontaktuppgifter och ibland deras plats- eller enhetsinformation. Om någon av dina besökare befinner sig i Europeiska unionen eller Storbritannien gäller dataskyddslagstiftningen för den chatten, oavsett hur stort ditt företag är. Den goda nyheten är att regelefterlevnad för en typisk chattbot hos ett tjänsteföretag handlar om en tydlig uppsättning praktiska steg. Den här checklistan går igenom dem, förklarar vad vart och ett betyder på vanlig svenska och pekar ut de frågor du ska ställa till din chattbotleverantör.
Detta är allmän information, inte juridisk rådgivning. Dataskyddslagstiftningen är detaljerad och beror på dina förhållanden. Läs den officiella vägledningen och fråga en kvalificerad rådgivare om din situation. Förordningens text finns på informationssidan om GDPR.
Varför chattbotar behöver särskild uppmärksamhet
En chatt känns informell, så besökare skriver mer än de skulle göra i ett formulär, inklusive känsliga uppgifter. En AI-assistent kan dessutom skicka den texten till en AI-leverantör från tredje part, lagra konversationer och använda analys. Var och en av dessa är en behandling av personuppgifter som kräver en rättslig grund, öppenhet och skyddsåtgärder. Behandla chattboten som vilket annat system som helst som hanterar kundinformation.
Steg 1: Vet vilka uppgifter chattboten hanterar
Börja med en enkel karta. Vad samlar chattboten in och vart tar det vägen?
| Uppgift | Varifrån den kommer | Vart den går |
|---|---|---|
| Meddelanden som besökare skriver | Chatten | Din plattformsleverantör och den AI-leverantör som skriver svaren |
| Namn, e-post, telefonnummer | Chatten eller ett leadformulär | Din leverantör, din e-post eller ditt CRM, ditt team |
| Bokningsuppgifter | Bokningsflödet | Din kalender, bekräftelsemejl |
| Tekniska uppgifter (IP-adress, webbläsare) | Besöket | Din leverantörs loggar och säkerhetssystem |
| En besöks-ID som lagras i webbläsaren | Widgeten | Din leverantör, för att kunna fortsätta en konversation |
Skriv ner detta. Det blir ryggraden i din integritetspolicy och din förteckning över behandlingar.
Steg 2: Bestäm din rättsliga grund
Enligt GDPR behöver du en rättslig grund för varje ändamål. För en chattbot inom tjänster är dessa de vanliga kandidaterna.
- Berättigat intresse: att besvara besökarnas frågor och driva ett supportverktyg. Du bör kunna visa att det är nödvändigt, att du har vägt det mot besökarnas rättigheter och att människor rimligen skulle förvänta sig det.
- Avtal: att vidta åtgärder på besökarens begäran innan ett avtal ingås, till exempel att boka en tid.
- Samtycke: för valfria extrafunktioner som marknadsföringsmejl eller icke-nödvändiga kakor. Samtycket måste vara frivilligt, specifikt och lätt att dra tillbaka.
Förlita dig inte på en förkryssad ruta eller på tystnad. Håll samtycket till marknadsföring skilt från själva chatten.
Steg 3: Var öppen
- Tala om för besökarna att de pratar med en AI-assistent.
- Visa ett kort meddelande i eller nära chatten som förklarar vad som samlas in och länkar till din integritetspolicy.
- Förklara i integritetspolicyn vad du samlar in via chatten, varför, hur länge du sparar det och vem som behandlar det.
- Ange kontaktuppgifter för integritetsärenden.
Exempel på meddelande: 'Du chattar med en AI-assistent. Vi sparar den här konversationen för att kunna svara dig och förbättra vår tjänst. Läs vår integritetspolicy.'
Steg 4: Samla bara in det du behöver
Uppgiftsminimering är en grundprincip. Utforma flödet så att det frågar efter det som är nödvändigt och inget mer. En bokning behöver ett namn och ett sätt att nå personen. Den behöver inte ett födelsedatum. Avråd besökare från att skriva känslig information: lägg till en rad som 'Dela inte medicinska eller ekonomiska uppgifter här.' Konfigurera assistenten så att den inte frågar efter känsliga personuppgifter, som hälsoinformation, om du inte har en särskild rättslig grund och skyddsåtgärder.
Steg 5: Reda ut personuppgiftsbiträden och AI-leverantören
Din chattbotleverantör är ett personuppgiftsbiträde som agerar för din räkning, och det kan AI-leverantören och e-posttjänsten också vara. Du behöver ett personuppgiftsbiträdesavtal med var och en som hanterar personuppgifter åt dig. Be varje leverantör om ett, och om deras lista över underbiträden. Crescelo publicerar ett personuppgiftsbiträdesavtal och en lista över underbiträden. Med en lösning där du tar med din egen nyckel väljer du AI-leverantören, så du bör godkänna dess affärsvillkor och kontrollera hur den behandlar API-data.
| Fråga | Varför det är viktigt |
|---|---|
| Tillhandahåller ni ett personuppgiftsbiträdesavtal? | Krävs när en leverantör behandlar personuppgifter åt dig |
| Vilka är era underbiträden och var finns de? | Du behöver veta vem som hanterar uppgifterna |
| Används API-data för att träna modeller? | Påverkar konfidentialiteten |
| Var lagras och behandlas data? | Relevant för överföringar utanför Storbritannien eller EU |
| Hur länge sparas konversationer och kan jag radera dem? | Lagring och rätten till radering |
| Hur skyddas nycklar och data? | Säkerhet i behandlingen |
Steg 6: Internationella överföringar
Om uppgifter lagras eller behandlas utanför Storbritannien eller EU, till exempel av en amerikansk leverantör eller AI-leverantör, behöver du en laglig överföringsmekanism, som ett beslut om adekvat skyddsnivå eller standardavtalsklausuler. Leverantörer bör tala om vilken de använder. Det här är ett av de mest tekniska områdena; be din leverantör om dokumentationen för överföringar och ta råd vid behov.
Steg 7: Lagring och radering
- Bestäm hur länge du sparar konversationer. Spara dem bara så länge de är användbara, till exempel för att besvara uppföljningar och förbättra assistenten.
- Radera leads och konversationer du inte längre behöver.
- Se till att du kan radera en persons uppgifter på begäran, även hos leverantörens system.
- Dokumentera din lagringstid i din integritetspolicy.
Med Crescelo kan du radera leads, bokningar och kunskapskällor från instrumentpanelen, och du kan begära radering av allt genom att öppna ett supportärende.
Steg 8: Respektera besökarnas rättigheter
Människor kan be att få se sina uppgifter, rätta dem, radera dem, begränsa eller invända mot behandling och få en kopia. Du måste i regel svara inom en månad. Förbered en enkel process: vem som tar emot förfrågningar, hur du verifierar identitet, hur du hittar en persons chattdata och hur du bekräftar radering. Ta med en kontaktväg i din integritetspolicy. Se vårt kontaktformulär, som skapar ett supportärende, som exempel på en spårbar väg.
Steg 9: Kakor och lagring i webbläsaren
En chattwidget kan lagra ett ID i besökarens webbläsare så att en konversation fortsätter efter en omladdning. Om det kräver samtycke beror på om det är absolut nödvändigt för en tjänst som besökaren har begärt, och på lokala regler. Beskriv vad widgeten lagrar i din kakpolicy och fråga leverantören om det är absolut nödvändigt. Analys- och marknadsföringskakor kräver i allmänhet samtycke. Se vår kakpolicy för ett exempel på hur vi beskriver det.
Steg 10: Säkerhet
- Använd en leverantör som krypterar data under överföring och i vila och isolerar kunders arbetsytor.
- Skydda ditt konto med starka lösenord och tvåfaktorsautentisering.
- Ge teammedlemmar den minsta åtkomst de behöver.
- Lagra API-nycklar endast i plattformens krypterade inställningar.
- Ha en plan för ett dataintrång, inklusive vem som underrättar tillsynsmyndigheten och de berörda personerna inom föreskriven tid.
Se att sätta upp teamroller och tvåfaktorsautentisering.
Steg 11: Särskilda situationer
- Barn: undvik att samla in uppgifter från barn om du inte har skyddsåtgärder, och fundera på om tjänsten är avsedd för dem.
- Hälso-, juridiska och finansiella tjänster: dessa medför extra skyldigheter. Håll chatten till bokning och allmän information och ta råd.
- Marknadsföring: lägg inte till personer i e-postlistor från en chatt utan ett separat, tydligt samtycke.
- Automatiserade beslut: om chattboten fattar beslut som påverkar människor avsevärt gäller ytterligare regler.
En checklista att kopiera och använda
- Datakarta över vad chattboten samlar in och vart det går.
- Rättslig grund vald för varje ändamål.
- AI-upplysning och länk till integritetspolicyn synliga i chatten.
- Integritetspolicyn uppdaterad med chattboten, konversationer, biträden och lagring.
- Minimal datainsamling; varning mot att dela känsliga uppgifter.
- Personuppgiftsbiträdesavtal med chattbotleverantören och andra biträden.
- Underbiträden och internationella överföringar granskade.
- Lagringstid fastställd och radering möjlig.
- Process för att hantera besökares begäranden.
- Kakpolicy och samtyckesinställningar stämmer med vad widgeten lagrar.
- Säkerhetskontroller, inklusive tvåfaktorsautentisering.
- Regelbunden granskning av konversationer och själva checklistan.
Ett kort integritetsmeddelande du kan anpassa
Använd enkelt språk och håll det kort. Till exempel: 'Den här chatten drivs av en AI-assistent. Vi samlar in meddelandena du skickar och de kontaktuppgifter du väljer att ge oss så att vi kan svara dig, ordna tider och förbättra vår tjänst. Våra AI- och hosting-leverantörer behandlar dessa uppgifter för vår räkning. Vi sparar chattar i [period]. Du kan när som helst begära att få se eller radera dina uppgifter. Dela inte känslig information här. Fullständig information finns i vår integritetspolicy.' Anpassa formuleringen, lägg till dina uppgifter och låt någon granska den.
Relaterade guider
- Ta med din egen AI-nyckel, förklarat beskriver vart dina data tar vägen när du väljer AI-leverantör.
- Leadinsamling med chattbot och GDPR och CCPA går djupare in på insamling av kontaktuppgifter.
- Öppenhet om AI och upplysning förklarar hur du berättar för besökare att det är en AI.
- Så hindrar du en chattbot från att hitta på saker minskar risken för felaktiga påståenden om ditt företag.
Dokument att spara
- Din datakarta och förteckning över behandlingar för chattboten.
- Personuppgiftsbiträdesavtal med chattbotleverantören, AI-leverantören och andra biträden.
- En anteckning om din rättsliga grund och eventuell intresseavvägning för berättigat intresse.
- Versioner av din integritetspolicy och kakpolicy.
- Ditt lagringsschema och din raderingslogg.
- En logg över besökares begäranden och hur du hanterade dem.
Att ha dessa sparade gör det lättare att svara en tillsynsmyndighet eller en kund som frågar hur du hanterar deras uppgifter.
Vanliga frågor
Gäller GDPR för min chattbot på webbplatsen?
Ja, om du behandlar personuppgifter om personer i EU eller Storbritannien, oavsett var ditt företag är baserat. Chattmeddelanden och kontaktuppgifter är personuppgifter.
Behöver jag samtycke för en chattbot?
Inte alltid. Många användningar av chattbotar bygger på berättigat intresse eller avtal, men samtycke behövs för marknadsföring och för icke-nödvändiga kakor. Var öppen i alla fall.
Måste jag tala om för besökarna att det är en AI?
Det är god praxis och krävs i allt högre grad. Tala om för människor att de pratar med en AI och ge dem ett sätt att nå en människa.
Är AI-leverantören ett personuppgiftsbiträde?
Oftast ja, när den behandlar personuppgifter för din räkning. Du behöver lämpliga villkor med den och bör kontrollera hur den behandlar API-data.
Hur länge får jag spara chattkonversationer?
Bara så länge du behöver dem för ett bestämt ändamål. Fastställ en lagringstid och radera uppgifterna därefter.
Vad gör jag om någon ber mig radera sin chatt?
Du bör kunna hitta och radera den, även hos din leverantör, och bekräfta inom den lagstadgade tiden, i regel en månad.
Läs vår integritetspolicy för att se hur vi hanterar uppgifter, och se hur AI-assistenten bara svarar utifrån ditt innehåll. Om du vill testa med dina egna dokument, använd lekplatsen.
SVARA ALLA BESÖKARE. BOKA DEM SOM ÄR REDO.
Lägg in Crescelo på din webbplats på 15 minuter
Träna din assistent på dina prislistor, dokument och tjänstevillkor. Aktivera välgrundade svar dygnet runt och bokning av tider direkt i chatten utan krockar.