Rozmowa z botem może zawierać dane osobowe

Użytkownik nie zawsze wie, jakie informacje przekazuje w oknie czatu. Może wpisać imię, adres e-mail, numer telefonu, numer zamówienia albo wkleić fragment dokumentu. Czasem poda więcej, niż potrzeba do uzyskania odpowiedzi. Dlatego projektując czatbot na stronie, trzeba określić, jakie dane są niezbędne, w jakim celu są zbierane i co użytkownik powinien wiedzieć przed rozpoczęciem rozmowy. Nie chodzi o tworzenie ogólnego poradnika o prywatności, lecz o konkretne decyzje dotyczące treści, pytań i sposobu działania czatu.

Chatly publikuje własne zasady prywatności, w których opisuje między innymi ochronę transmisji, przechowywanie danych i zasady działania serwisu. To informacja o platformie Chatly, a nie automatyczna polityka prywatności firmy, która umieszcza czatbota na swojej stronie. Właściciel witryny powinien samodzielnie ustalić role, cele i podstawy przetwarzania w swoim wdrożeniu. Nie należy zakładać, że sam wybór narzędzia zwalnia z obowiązku przeanalizowania własnych procesów.

Najpierw określ cel pytania

Każda prośba o dane powinna odpowiadać na konkretne pytanie: po co informacja jest potrzebna? Jeśli bot ma wskazać publiczną instrukcję, zwykle nie potrzebuje numeru telefonu ani adresu e-mail. Jeśli użytkownik prosi o kontakt zwrotny, dane kontaktowe mogą być potrzebne, ale cel powinien być jasno opisany. Jeśli sprawa wymaga weryfikacji zamówienia, należy wskazać bezpieczny kanał i procedurę, zamiast zbierać dane w publicznej rozmowie bez potwierdzenia, że jest to właściwe miejsce.

Przygotuj listę danych, które mogą pojawić się w rozmowie, i przypisz im cel. Rozdziel informacje niezbędne od opcjonalnych. Nie zbieraj dodatkowych danych „na wszelki wypadek”. Im więcej pól i pytań, tym większe ryzyko, że użytkownik poda informacje, których firma nie potrzebuje. Ograniczenie zakresu upraszcza rozmowę i zmniejsza ilość danych, które trzeba chronić, przeglądać oraz usuwać zgodnie z obowiązującymi zasadami.

Ogranicz pytania i ostrzegaj przed danymi wrażliwymi

Czatbot powinien prosić tylko o informacje potrzebne do obsługi danego scenariusza. Jeśli użytkownik zgłasza błąd, być może wystarczy krótki opis i nazwa funkcji, której dotyczy problem. Nie proś o hasło, kod jednorazowy, pełne dane karty płatniczej ani skan dokumentu, jeżeli nie ma do tego uzasadnionej i bezpiecznej procedury. Dobrze jest umieścić zwięzłe ostrzeżenie w miejscu, w którym użytkownik rozpoczyna rozmowę lub przy formularzu kontaktowym.

Przygotuj również odpowiedź na sytuację, gdy użytkownik sam wklei zbyt dużo informacji. Bot nie powinien powtarzać ich w całości ani cytować wrażliwych fragmentów bez potrzeby. Może poprosić o usunięcie danych lub wskazać bezpieczny kanał. Zasady powinny być zatwierdzone przez osobę odpowiedzialną za ochronę danych. Materiał PARP o czatbotach w kontekście ochrony danych osobowych omawia ryzyka związane z informacjami przekazywanymi w rozmowach.

Treść rozmowy a źródła wiedzy

Publiczna baza wiedzy powinna zawierać informacje o ofercie, procedurach i odpowiedziach na częste pytania, a nie dane konkretnych klientów. Nie kopiuj do niej całych wiadomości z obsługi ani dokumentów, które zawierają dane osobowe. Jeśli chcesz przygotować odpowiedź na podstawie przykładowej rozmowy, usuń identyfikatory i szczegóły, które pozwalają rozpoznać osobę. Najlepiej przekształcić problem w ogólną, neutralną instrukcję, którą można opublikować na stronie.

W Chatly wiedza może być pobierana z treści witryny. Oznacza to, że właściciel strony powinien sprawdzić, czy publiczne materiały nie zawierają przypadkowo danych, które nie powinny być dostępne dla odwiedzających. Szczególnie uważnie przejrzyj strony archiwalne, pliki i dokumenty, które mogły zostać opublikowane przez pomyłkę. Samo oznaczenie materiału jako „wewnętrzny” w nazwie pliku nie jest zabezpieczeniem, jeśli pozostaje publicznie dostępny.

Transparentna informacja dla użytkownika

Przed rozmową użytkownik powinien móc zrozumieć, że rozmawia z automatem i gdzie znajdzie informacje o przetwarzaniu danych. Komunikat nie musi być długi, ale powinien być czytelny. Nie ukrywaj informacji o automatycznej obsłudze w rozwijanym regulaminie, jeśli użytkownik może sądzić, że rozmawia z pracownikiem. Warto wskazać, do jakich tematów bot jest przeznaczony i czego nie należy wpisywać w oknie.

Dokumentacja prywatności musi odpowiadać rzeczywistemu wdrożeniu. Jeśli firma zmienia dostawcę, zakres danych lub cel użycia czatu, powinna sprawdzić, czy treść informacji nadal jest aktualna. Nie kopiuj polityki platformy i nie przedstawiaj jej jako własnej. W przypadku Chatly link do polityki prywatności serwisu może pomóc użytkownikowi zapoznać się z zasadami dotyczącymi samej platformy, lecz nie zastępuje informacji administratora witryny.

Ustal okres przechowywania i dostęp

Przemyśl, kto może czytać rozmowy, w jakim celu i jak długo są przechowywane. Nie dawaj szerokiego dostępu wszystkim pracownikom, jeśli do obsługi wystarczy węższa grupa. Ustal zasady przeglądania treści do celów jakościowych i usuń dane, które nie są już potrzebne zgodnie z przyjętą polityką. Konkretne obowiązki zależą od roli podmiotów, konfiguracji i podstawy przetwarzania. W razie wątpliwości skonsultuj proces z inspektorem ochrony danych lub prawnikiem.

Warto przygotować procedurę na prośbę o dostęp do danych lub ich usunięcie. Zespół powinien wiedzieć, gdzie znaleźć odpowiednie informacje i kto odpowiada za realizację żądania. Nie zakładaj, że przycisk w panelu automatycznie rozwiązuje wszystkie obowiązki administratora. UODO publikuje materiały o sztucznej inteligencji i ochronie danych, które pomagają zrozumieć obszar ryzyk, ale szczegóły konkretnego wdrożenia wymagają własnej analizy.

Lista kontrolna przed uruchomieniem

• Określ, jakie dane mogą pojawić się w rozmowie i po co są potrzebne.
• Usuń zbędne pytania i pola kontaktowe.
• Poinformuj, że użytkownik rozmawia z automatem.
• Wskaż, gdzie znajduje się informacja o przetwarzaniu danych.
• Nie umieszczaj danych klientów w publicznej bazie wiedzy.
• Ogranicz dostęp do rozmów i ustal zasady ich przeglądania.
• Przygotuj procedurę dla spraw wymagających bezpiecznej weryfikacji.

Najczęstsze pytania

Czy w czacie można pytać o e-mail?

Można, jeśli jest to potrzebne do określonego celu, na przykład kontaktu zwrotnego, i użytkownik jest o tym jasno poinformowany. Nie zbieraj adresu e-mail przy każdym pytaniu, jeśli odpowiedź można udzielić bez danych kontaktowych.

Czy treść rozmowy może być bazą wiedzy?

Nie należy kopiować rozmów wprost, szczególnie jeśli zawierają dane osobowe lub poufne informacje. Lepiej przekształcić powtarzający się problem w zanonimizowaną, ogólną odpowiedź i opublikować ją po weryfikacji.

Czy polityka prywatności Chatly obejmuje każdą firmę korzystającą z czatu?

Nie. Polityka Chatly dotyczy serwisu i jego przetwarzania danych. Firma wdrażająca czatbot musi ocenić własne cele, zakres danych i obowiązki wobec użytkowników.

Ustal, kto odpowiada za dane

Wdrożenie czatbota może obejmować kilka podmiotów: firmę prowadzącą witrynę, dostawcę narzędzia i dostawcę technologii wykorzystywanej do generowania odpowiedzi. Role i obowiązki trzeba ustalić na podstawie rzeczywistego modelu przetwarzania oraz umów, a nie samej nazwy produktu. Przed uruchomieniem sprawdź dokumenty dotyczące prywatności, zakres danych, cele przetwarzania i sposób realizacji praw użytkowników.

Nie umieszczaj w bazie wiedzy prywatnych danych klientów

Jeżeli czatbot odpowiada na podstawie publicznych treści witryny, nie dodawaj do tych materiałów danych konkretnej osoby, historii zamówień ani informacji z korespondencji. Baza wiedzy powinna zawierać ogólne, zatwierdzone materiały firmy. Dane przekazywane przez użytkowników w trakcie rozmowy to osobny obszar, który wymaga oceny celu, podstawy przetwarzania i zasad przechowywania.

Informacja dla użytkownika powinna być zrozumiała

Polityka prywatności nie zastąpi krótkiej informacji przy oknie czatu. Użytkownik powinien wiedzieć, że rozmawia z automatem, jakie dane może wpisać i gdzie znaleźć szczegóły dotyczące przetwarzania. Nie obiecuj, że rozmowy nie są zapisywane lub wykorzystywane, jeśli nie potwierdza tego dokumentacja dostawcy. W razie wątpliwości ogranicz zakres danych, o które bot prosi.

Procedura dla wiadomości wrażliwych

Przygotuj reakcję na sytuację, w której użytkownik wpisze dane medyczne, finansowe, dane logowania lub inne informacje, których firma nie potrzebuje w rozmowie. Czatbot powinien unikać ich powtarzania w odpowiedzi i wskazać bezpieczniejszy kanał, jeśli sprawa wymaga takiej informacji. Pracownicy powinni wiedzieć, jak postępować z takimi wiadomościami zgodnie z wewnętrzną procedurą. Wymagania prawne zależą od konkretnych celów, skali i rodzaju danych, dlatego artykuł nie zastępuje indywidualnej oceny prawnej.

Nie zbieraj danych „na wszelki wypadek”

Każde pole lub pytanie w rozmowie powinno mieć określony cel. Jeżeli do podania ogólnej informacji wystarczy nazwa usługi, nie proś o imię, telefon i adres. Zbyt szeroki zakres zbierania informacji zwiększa ryzyko i może obniżyć zaufanie do czatbota. Przeglądaj pytania, które bot zadaje, tak samo jak dane w formularzu kontaktowym.

Ustal retencję i dostęp do rozmów

Przed uruchomieniem sprawdź, czy i jak rozmowy są przechowywane, kto może je przeglądać oraz jakie zasady usuwania obowiązują. Nie zakładaj konkretnego okresu retencji bez potwierdzenia w dokumentacji dostawcy. Ogranicz dostęp do panelu do osób, które rzeczywiście potrzebują go do obsługi i kontroli jakości. Jeśli firma ma inspektora ochrony danych, uwzględnij go w ocenie procesu.

Uważaj na informacje podawane spontanicznie

Użytkownik może wpisać dane osobowe, nawet jeśli bot o nie nie prosi. Przygotuj zasady postępowania z takimi wiadomościami i sprawdź, jakie możliwości zarządzania historią rozmów daje dostawca. Nie powtarzaj w odpowiedziach wrażliwych fragmentów wiadomości. Jeśli temat wymaga przesłania dokumentu lub potwierdzenia tożsamości, skieruj do odpowiedniego, zabezpieczonego procesu.

Przejrzyj teksty powitalne i przykładowe pytania

Nie zachęcaj do wpisywania numeru karty, hasła, numeru dokumentu czy pełnej historii medycznej. Przykładowe pytania wyświetlane w oknie powinny pokazywać bezpieczne zastosowania czatbota, takie jak poznanie oferty lub znalezienie instrukcji. Sprawdź również stronę prywatności i zgodność jej informacji z rzeczywistym procesem dostawcy. Komunikat dla użytkownika powinien być aktualny i zrozumiały.

Ochrona danych w kontekście kontaktu

Rozmowa powinna zbierać tylko informacje potrzebne do udzielenia pomocy i jasno wskazywać, co użytkownik może zrobić dalej. Warto zapoznać się również z artykułem o jasnym kontakcie w sprawach formalnych oraz materiale o zaufaniu i współpracy. Szczegóły sposobu przetwarzania danych przez usługę sprawdzaj w aktualnej polityce prywatności Chatly.

Szczegóły przetwarzania danych sprawdź w dokumentacji i na stronie Chatly.

Oznaczenie automatycznej obsługi uzupełnia poradnik o przejrzystej roli czatbota.