Chatbot og GDPR: hvad du skal have styr på

Hvornår behandler en chatbot persondata?

Med det samme, i praksis. Selve samtaleteksten kan indeholde personoplysninger, længe før kunden bliver bedt om noget: »jeg bor på Skolegade 4 og har vand i kælderen« er persondata, uanset at ingen har trykket på en formular.

Skriver kunden navn og telefonnummer, så I kan ringe tilbage, er der ingen tvivl. Det er en henvendelse med kontaktoplysninger, og den skal behandles derefter.

Det gælder også, når samtalen foregår på WhatsApp, Instagram eller Messenger i stedet for på din egen side. Kanalen ændrer ikke ansvaret.

De fem ting, du som dataansvarlig skal have på plads

Ét: en databehandleraftale med leverandøren. Uden den mangler du det dokument, der beskriver, hvad leverandøren må og ikke må gøre med dine kunders data. Bed om den, før du sætter koden ind — ikke bagefter.

To: hvor data opbevares, og hvor længe. »I skyen« er ikke et svar. Du skal kunne sige, hvor længe en samtale ligger, og kunne forkorte perioden, hvis du vil.

Tre: hvem underdatabehandlerne er, ved navn. Der er altid nogen: en hostingudbyder, en modelleverandør, en betalingsudbyder, en mailudbyder. Får du at vide »betroede partnere«, har du ikke noget at give videre til din egen kunde, når hun spørger.

Fire: oplysningspligten. Den besøgende skal kunne finde ud af, hvad der sker med det, hun skriver — og hun skal ikke bildes ind, at hun skriver med et menneske.

Fem: sletning. Du skal kunne slette en enkelt besøgendes data, når hun beder om det, uden at skulle skrive til en supportafdeling og vente en uge.

Sådan er Procora sat op på de fem punkter

Databehandleraftale: du får en med os, og den følger med kontoen.

Opbevaring: vores egne servere og databaser ligger i EU. Samtaler og henvendelser slettes automatisk, når de passerer den opbevaringsperiode, du har valgt — som standard 365 dage, og du kan forkorte den.

Underdatabehandlere: de står med navn i privatlivspolitikken, ikke gemt bag en fællesbetegnelse. Om modelleverandøren står der desuden, at samtaleteksten ikke bruges til at træne deres modeller.

Oplysningspligt: Emma siger i sin første sætning, at hun er en AI-assistent. Ingen af dine kunder bliver narret til at tro, de skriver med dig personligt. Widgetten sætter ingen marketing-cookies.

Sletning: du kan slette en enkelt besøgendes data direkte fra dit dashboard, og sletningen fjerner samtalen, dens beskeder og den henvendelse, den blev til.

Det, vi ikke påstår

Vi skriver ikke »alt ligger i EU, punktum«. Vores egne servere gør, men flere af de underdatabehandlere, vi bruger, er amerikansk hjemmehørende, og de står med navn i privatlivspolitikken, netop så du kan tjekke det selv.

Vi er ikke jurister, og denne side er ikke juridisk rådgivning. Har din branche særlige krav — sundhedsdata, klientoplysninger hos en advokat, følsomme oplysninger i en kommune — så tag siden og privatlivspolitikken med til din egen rådgiver, og skriv til os, hvis der er noget, I mangler svar på.