Co klauzula informacyjna chatbota powinna mówić klientom

Klauzula informacyjna chatbota mówi odwiedzającym, kto prowadzi czat, co mogą w nim wpisać, po co przetwarzamy ich wiadomości, kto jeszcze je dostaje, jak długo je przechowujemy i jak skorzystać ze swoich praw. Wiele małych firm najpierw dodaje widżet czatu, a dopiero później zauważa, że polityka prywatności opisuje formularze kontaktowe i newsletter, ale o rozmowach nie mówi nic. Brzmi znajomo? Poniżej znajdziesz praktyczną checklistę z przykładowymi sformułowaniami do dopasowania. To nie jest porada prawna, więc ostateczny tekst daj do sprawdzenia komuś, kto zna Twoją konfigurację.

Co właściwie zbiera chatbot?

Wiadomości wpisywane przez odwiedzających, wszelkie dane osobowe, którymi zdecydują się podzielić, oraz dane techniczne o urządzeniu i sesji. Rozpisz to, zanim napiszesz choćby jedno zdanie klauzuli. W praktyce dane osobowe w rozmowach z chatbotem trafiają do kilku kategorii:

• treść pytań i odpowiedzi, zapisywana jako transkrypty
• informacje podawane z własnej inicjatywy, np. imiona, adresy e-mail, numery zamówień, dane o zdrowiu lub finansach
• dane techniczne: adres IP, typ przeglądarki, znaczniki czasu
• identyfikatory cookies lub sesji, które łączą wiadomości z jednym odwiedzającym

I tak, dane techniczne też się liczą. Motyw 30 RODO wymienia adresy IP i identyfikatory plików cookie jako identyfikatory internetowe, które po połączeniu pozwalają profilować i identyfikować ludzi. Ludzie wpisują też rzeczy, o które wcale nie pytasz (zawsze tak robią), więc klauzula musi obejmować dowolny tekst, a nie tylko zaprojektowane przez Ciebie pola. Zapytaj dostawcę chatbota, co dokładnie jest logowane, gdzie jest przechowywane i jak długo. Jeśli dopiero wybierasz narzędzie, możesz zapytać nas o przetwarzanie danych, zanim założysz konto.

Checklista klauzuli informacyjnej chatbota

Pełna klauzula informacyjna chatbota zawiera te same podstawowe punkty co każda klauzula RODO, tylko odniesione do danych z czatu. Zacznij od administratora, czyli firmy, która decyduje, po co i jak dane są przetwarzane. To Ty. Nie dostawca chatbota. Potem przejdź przez tę listę:

• tożsamość i dane kontaktowe administratora
• dane kontaktowe inspektora ochrony danych, jeśli go masz
• cele przetwarzania danych z czatu
• podstawa prawna dla każdego celu
• odbiorcy i podmioty przetwarzające
• przekazywanie danych poza UE, jeśli ma miejsce
• okres przechowywania albo kryteria jego ustalania
• prawa osób, których dane dotyczą, np. dostęp, sprostowanie i usunięcie
• prawo do wniesienia skargi do organu nadzorczego
• informacja, czy dochodzi do zautomatyzowanego podejmowania decyzji

Sposób podania informacji jest równie ważny jak ich treść. Zasada przejrzystości z motywu 39 wymaga informacji łatwo dostępnych, zrozumiałych i sformułowanych jasnym, prostym językiem. Zrezygnuj więc z prawniczego żargonu. Opisz, co Twój czat naprawdę robi, tak jak wyjaśniłbyś to klientowi przez telefon.

Jaka podstawa prawna z RODO pasuje do rozmów z chatbotem?

Większość czatów obsługi klienta opiera się na działaniach podejmowanych na żądanie odwiedzającego albo na prawnie uzasadnionym interesie. Zgoda wchodzi w grę przy dodatkach, np. wykorzystaniu marketingowym lub niezbędnych cookies. Każdy cel potrzebuje własnej podstawy, a klauzula powinna je wyraźnie przypisać, zamiast wrzucać wszystko do jednego worka.

Zgoda to wysoka poprzeczka. Motywy 32 i 40 RODO wyjaśniają, że zgoda wymaga wyraźnego działania potwierdzającego (milczenie ani domyślnie zaznaczone pola się nie liczą), a przetwarzanie potrzebne do wykonania umowy lub do działań przed jej zawarciem, podjętych na żądanie osoby, to osobna podstawa prawna. Właśnie dlatego samotne, mgliste zdanie w stylu „korzystając z czatu, akceptujesz regulamin” nie wystarcza. Nie wskazuje żadnego celu i nie daje też ważnej zgody.

Przykładowe sformułowanie: „Wykorzystujemy Twoje wiadomości, aby odpowiedzieć na pytanie o nasze produkty. Podstawą prawną jest podjęcie działań na Twoje żądanie przed ewentualnym zawarciem umowy.”

Jak długo przechowywane są logi czatu i kto je widzi?

Podaj konkretny okres przechowywania danych z chatbota albo przynajmniej zasadę, według której go ustalasz. Zasada przejrzystości RODO wymaga od administratorów wyznaczenia terminów usunięcia danych lub ich okresowego przeglądu. Samo „tak długo, jak to konieczne”? Za mało.

Następnie wypisz, kto może czytać transkrypty, co najmniej według kategorii: Twoi pracownicy, dostawca chatbota jako podmiot przetwarzający oraz podwykonawcy, z których korzysta, np. hosting czy modele AI. Krótka wzmianka o bezpieczeństwie też się przyda, na przykład czy stosujesz szyfrowanie rozmów przez HTTPS podczas przesyłania. Jeśli ktoś z zespołu kontynuuje rozmowę z czatu mailowo lub telefonicznie, napisz o tym w klauzuli, bo dane przechodzą wtedy do innego kanału. Jeśli Twój proces obejmuje ten krok, warto przeczytać o przekazywaniu rozmów konsultantom.

Przykładowe sformułowanie: „Usuwamy transkrypty czatu po [okres]. Dostawca chatbota przetwarza je w naszym imieniu na podstawie umowy powierzenia przetwarzania danych.”

Gdzie umieścić informacje o prywatności dla użytkowników czatu?

Najlepiej sprawdza się podejście warstwowe. Krótka informacja w widżecie przed pierwszą wiadomością plus link do pełnej klauzuli. Odwiedzający dostają najważniejsze informacje w chwili, gdy zaczynają pisać, a szczegóły są o jedno kliknięcie dalej dla każdego, kogo interesują.

Przykładowy tekst w widżecie: „Ten asystent odpowiada na podstawie treści naszej strony. Nie podawaj danych wrażliwych. Jak przetwarzamy Twoje wiadomości: [link do klauzuli]”. Napisz wprost, czego nie wpisywać, np. informacji o zdrowiu czy numerów kart. Ogólne ostrzeżenie łatwo przeoczyć. Aby wprowadzić zmianę:

1. Dodaj sekcję o chatbocie do głównej polityki prywatności.
2. Umieść krótką informację w widżecie.
3. Sprawdź, czy baner cookies obejmuje pliki cookie ustawiane przez czat.
4. Zapisz w polityce datę zmiany.

Typowe luki w klauzulach informacyjnych chatbotów

Typowe luki dotyczą danych, których nikt nie uważał za dane z czatu. Dokumenty wgrywane jako źródła bota mogą zawierać dane osobowe pracowników lub klientów, więc oczyść dokumenty przed wgraniem i usuń wszystko, czego bot nigdy nie powinien powtórzyć.

Kilka innych częstych błędów:

• wykorzystywanie transkryptów do ulepszania odpowiedzi lub trenowania modeli bez informowania o tym
• kopiowanie polityki dostawcy zamiast opisania własnego przetwarzania
• pozostawienie klauzuli bez zmian po zmianie bota, dostawcy lub celów

Dobra klauzula informacyjna chatbota odzwierciedla to, co czat naprawdę zbiera i kto ma do tego dostęp. Nic ponad to. Przeglądaj ją przy każdej zmianie konfiguracji, a nie raz w roku z przyzwyczajenia.

FAQ