Chat AI și GDPR: listă de verificare pentru magazine online

Un chat AI în magazinul tău vorbește cu clienții, deci le prelucrează datele. Dacă vinzi în UE, prima întrebare din partea echipei, a responsabilului cu protecția datelor sau a unui client atent va fi despre GDPR. Lista de verificare de mai jos acoperă punctele pe care merită să le verifici înainte să pornești un asistent, cu AskMerra ca exemplu: ce colectează chatul, unde sunt stocate datele, cât timp sunt păstrate și cum le ștergi la cerere.

O precizare înainte să începem: acesta este un ghid practic despre setările produsului, nu consultanță juridică. Obligațiile tale depind de afacerea ta, așa că verifică configurarea finală cu propriul consultant juridic.

Mai întâi: cine răspunde de ce

Pentru conversațiile dintre vizitatorii tăi și asistent, magazinul tău este operatorul, iar AskMerra acționează ca persoană împuternicită în numele tău, pe baza unui acord de prelucrare a datelor (DPA). Pentru datele contului tău de comerciant, operatorul este AskMerra.

Această împărțire are două consecințe practice. Tu decizi cât timp sunt păstrate datele din chat. Iar când un client cere să-și vadă sau să-și șteargă datele, cererea ajunge la tine, iar AskMerra te ajută să-i răspunzi.

1. Află exact ce colectează chatul

Nu poți descrie o prelucrare pe care n-o înțelegi. Când un vizitator scrie în chat, AskMerra prelucrează:

• un identificator aleatoriu de vizitator, stocat în local storage-ul browserului, și ID-ul conversației;
• mesajele schimbate, produsele recomandate și accesate și feedbackul prin vot pozitiv sau negativ;
• URL-ul paginii și limba, plus o țară aproximativă dedusă din antetele de rețea;
• un nume și o adresă de e-mail, doar dacă vizitatorul completează formularul de contact sau dacă ai activat identificarea clienților autentificați.

Widgetul nu stochează nimic în browserul clientului până când acesta deschide chatul sau începe să scrie. După aceea păstrează în local storage un token de sesiune de scurtă durată și conversația curentă, și reține în session storage dacă panoul este deschis. Nu setează cookie-uri și nu folosește fingerprinting. AskMerra consideră aceste elemente strict necesare pentru chatul cerut de client; regulile naționale diferă, așa că verifică împreună cu consultantul tău juridic. Politica noastră de cookie-uri enumeră fiecare element, cu scopul și durata lui, gata de copiat în propria ta politică de cookie-uri.

2. Verifică unde sunt găzduite datele și cine altcineva le prelucrează

AskMerra își găzduiește aplicația și datele în UE. Ca orice produs AI, se bazează pe câțiva furnizori de servicii: găzduire, inferență AI și embeddinguri, trimiterea e-mailurilor și plăți. Transferurile în afara SEE sunt acoperite de clauzele contractuale standard ale Comisiei Europene, iar lista actuală de subprocesatori face parte din DPA.

Mesajele din chat care au nevoie de AI sunt trimise unui furnizor de modele AI, care generează răspunsul. Furnizorilor le este interzis prin contract să folosească aceste date pentru a-și antrena modelele.

De făcut: citește lista de subprocesatori și adaug-o în evidența activităților de prelucrare.

3. Confirmă că adresele IP brute nu sunt stocate

AskMerra nu stochează niciodată adrese IP brute. Pentru limitarea numărului de cereri se folosește pentru scurt timp un hash unidirecțional, țara vizitatorului vine din antetele CDN, iar logurile nu conțin IP-ul clientului. E o categorie de date în minus pe care trebuie s-o explici, s-o protejezi și s-o ștergi.

4. Alege o perioadă de retenție și lasă ștergerea să ruleze singură

Datele din chat nu ar trebui păstrate la nesfârșit. În AskMerra alegi o perioadă de retenție pentru fiecare magazin: 30, 90 sau 365 de zile. Apoi un proces zilnic șterge automat:

• conversațiile mai vechi decât setarea ta, împreună cu mesajele lor;
• evenimentele din widget, cum ar fi deschiderile chatului și clicurile pe produse;
• înregistrările vizitatorilor care nu mai au nicio conversație, inclusiv numele și adresele de e-mail atașate prin identificare.

Alege cea mai scurtă perioadă care îți permite totuși să citești conversațiile, să răspunzi la transferurile către echipă și să observi întrebările recurente. Apoi trece perioada în politica de confidențialitate.

5. Fii pregătit să ștergi datele unui client la cerere

AskMerra îți oferă două variante pentru cererile de ștergere.

Din panou

Administratorii magazinului pot folosi cardul Șterge datele unui client din Setări, după adresa de e-mail sau ID-ul vizitatorului. Adresa de e-mail se potrivește atât cu mesajele trimise prin formularul de contact, cât și cu clienții identificați. În inboxul de conversații, butonul Șterge datele vizitatorului face același lucru pentru conversația pe care o citești.

Ștergerea elimină vizitatorul împreună cu conversațiile, mesajele și evenimentele lui, plus orice răspunsuri din cache învățate din întrebările lui. Jurnalul de audit înregistrează că a avut loc o ștergere fără să păstreze adresa de e-mail propriu-zisă, ci doar un hash al ei.

Autoservire cu AskMerra.forget()

Poți să-i lași și pe clienți să facă asta singuri. API-ul JavaScript include AskMerra.forget(), care șterge conversațiile, activitatea și identitatea vizitatorului curent, golește chatul și continuă cu un nou ID anonim. Un dezvoltator îl poate lega în câteva rânduri de un buton „Șterge datele mele din chat” de pe pagina ta de confidențialitate. Documentația API-ului JavaScript include exemplul.

Pentru alte cereri, cum ar fi cele de acces, inboxul poate exporta conversațiile în CSV, lucru util când trebuie să-i dai unui client o copie a conversației lui.

6. Lasă identificarea vizitatorilor dezactivată dacă nu ai nevoie de ea

Vizitatorii sunt anonimi în mod implicit. Dacă magazinul tău are conturi de client, metoda identify() din API-ul JavaScript poate precompleta formularul de contact cu numele și adresa de e-mail ale unui client autentificat. Precompletarea se face în browser. Identitatea este stocată împreună cu vizitatorul doar dacă activezi identificarea vizitatorilor în Setări și doar după ce vizitatorul chiar scrie în chat.

Identificarea poate grăbi răspunsurile ulterioare, dar transformă conversațiile anonime în conversații identificate. Dacă o activezi, menționeaz-o în politica de confidențialitate.

7. Spune-le clienților că vorbesc cu un AI și pune linkul către politica de confidențialitate

Fiecare widget AskMerra afișează o notificare AI, ca vizitatorii să știe că vorbesc cu un AI și nu cu un om. Rândul respectiv are un link către politica ta de confidențialitate. Setează adresa la URL-ul politicii de confidențialitate, în setările de comportament ale widgetului, și asigură-te că pagina respectivă descrie chatul: ce se colectează, de ce, cât timp se păstrează și cine prelucrează datele.

8. Trimite către AI doar ce are nevoie

Minimizarea datelor e mai ușoară când nu orice mesaj ajunge la AI. Routerul AskMerra răspunde la saluturi, mulțumiri și „ești un robot?” cu reguli fixe, iar la întrebările foarte apropiate de FAQ-ul tău cu propriul tău text, fără să apeleze modelul AI. Cache-ul de răspunsuri stochează doar primele răspunsuri generale, fără prețuri sau date personale.

Câteva obiceiuri ajută și mai mult:

• Păstrează în baza de cunoștințe doar politici și informații despre produse. Documentele ei sunt incluse în contextul asistentului, așa că lasă deoparte notițele interne și datele personale, cum ar fi numărul de mobil al unui coleg.
• Lasă formularul de contact să preia problemele personale. Numele, adresele de e-mail și detaliile comenzilor ajung pe e-mail la echipa ta, unde se ocupă de ele un om.
• Ghidează conversația. Folosește salutul și întrebările sugerate ca să-i îndrepți pe clienți spre întrebări despre produse și politici.

9. Obține DPA-ul și păstrează-l la dosar

AskMerra semnează un DPA pentru dosarul tău de conformitate. Cere-l la [email protected] sau prin formularul de contact și păstrează-l în evidența activităților de prelucrare, lângă lista de subprocesatori.

Securitatea are și ea locul ei pe listă

Setările de confidențialitate ajută doar dacă datele sunt și protejate. Din partea AskMerra: criptare în tranzit, izolare între clienți aplicată la fiecare interogare a bazei de date și verificată prin teste automate, parole criptate cu argon2id și autentificare în doi pași opțională pentru panou. Widgetul funcționează doar pe domeniile tale. Activează autentificarea în doi pași pentru toți cei din echipă; pagina de securitate are toate detaliile.

Lista de verificare, rezumată

• Află ce colectează chatul și descrie asta în politica de confidențialitate.
• Citește lista de subprocesatori din DPA.
• Alege o perioadă de retenție de 30, 90 sau 365 de zile.
• Află cum ștergi datele unui client și ia în calcul să adaugi AskMerra.forget() pe pagina de confidențialitate.
• Lasă identificarea vizitatorilor dezactivată dacă nu ai nevoie de ea.
• Setează în widget URL-ul politicii de confidențialitate.
• Obține DPA-ul și verifică întreaga configurare cu consultantul tău juridic.

Poți configura toate acestea imediat după ce îți creezi contul, înainte ca vreun client real să vadă widgetul. Documentația și politica noastră de confidențialitate conțin toate detaliile.