GDPR și chatboturile: ce ai voie să colectezi din conversațiile clienților
Ghid clar pentru afacerile din România: ce date poți aduna dintr-un chatbot, ce ai voie să faci cu ele și cum eviți amenzile ANSPDCP.
Un chatbot pe site pare o idee simplă: răspunde la întrebări noaptea, prinde lead-uri, scutește telefoane. Dar din momentul în care un vizitator scrie ceva în acea fereastră, ai început să prelucrezi date personale. Iar în România asta înseamnă GDPR, cu tot ce presupune el: temei legal, informare, consimțământ acolo unde e cazul și ANSPDCP care poate cere explicații.
Vestea bună e că nu trebuie să fii jurist ca să folosești un chatbot corect. Trebuie doar să înțelegi câteva reguli concrete și să le respecți din prima, nu după ce primești o sesizare. În articolul ăsta îți arăt exact ce date ai voie să colectezi dintr-o conversație, ce trebuie să eviți și cum arată un setup curat, fără promisiuni exagerate și fără panică inutilă.
Aproape orice scrie clientul în chat este dată personală
Mulți proprietari cred că GDPR se aplică doar la nume și CNP. În realitate, definiția din regulament e mult mai largă: orice informație prin care o persoană poate fi identificată, direct sau indirect.
Într-un chatbot asta înseamnă, printre altele:
- numele și prenumele
- numărul de telefon și adresa de email
- adresa de livrare sau locația
- conținutul mesajelor, dacă dezvăluie ceva despre persoană
- adresa IP și identificatorii tehnici colectați automat
Chiar și o conversație aparent banală poate conține date sensibile: cineva îți scrie despre o problemă medicală înainte de o programare, despre orientare, despre situația financiară. Aceste categorii speciale cer o grijă în plus. Regula simplă: tratează tot ce intră în chat ca pe o informație pe care trebuie să o protejezi, nu ca pe un log oarecare.
Ai nevoie de un temei legal - și nu e mereu consimțământul
GDPR nu îți interzice să colectezi date. Îți cere să ai un motiv legitim pentru fiecare lucru pe care îl faci cu ele. Cele mai frecvente temeiuri pentru un chatbot de business sunt:
- executarea unui contract sau pașii premergători: cineva cere o ofertă, o programare, un preț
- interesul legitim: să răspunzi la o întrebare de suport pe care clientul a inițiat-o
- consimțământul: necesar mai ales când vrei să folosești datele în scop de marketing ulterior
Diferența contează. Dacă cineva îți scrie ca să afle un preț, ai temei să îi răspunzi și să păstrezi conversația un timp rezonabil. Dar dacă vrei să îl adaugi la newsletter sau să îi trimiți oferte mai târziu, ai nevoie de un consimțământ separat, clar, bifat de el, nu presupus. Nu amesteca scopurile: fiecare utilizare a datelor trebuie să aibă temeiul ei.
Ce să NU colectezi și să NU stochezi degeaba
Cea mai simplă regulă de conformare e minimizarea: aduni doar ce îți trebuie pentru scopul concret, nimic în plus.
În practică, pentru un chatbot asta înseamnă:
- nu cere CNP, serie și număr de buletin sau date de card în fereastra de chat, niciodată
- nu păstra transcrierile la nesfârșit; stabilește o perioadă de retenție și șterge după
- nu trimite conversațiile către servicii externe fără să știi unde ajung datele
Punctul cu serviciile externe e cel mai des ignorat. Multe chatboturi cu AI trimit fiecare mesaj către un furnizor din afara UE. Asta e permis, dar trebuie declarat în politica de confidențialitate și acoperit contractual. Dacă nu știi pe unde circulă datele clienților tăi, nu ai cum să răspunzi corect atunci când cineva te întreabă - iar cineva te va întreba.
Informare, transparență și drepturile clientului
Înainte ca cineva să scrie în chat, trebuie să poată afla ușor cine colectează datele, în ce scop și cât timp le ții. Nu ai nevoie de un roman juridic - un link vizibil către politica de confidențialitate lângă fereastra de chat rezolvă mare parte din problemă.
Elemente utile de avut:
- o mențiune scurtă la deschiderea chatului: cine ești și de ce colectezi date
- link către politica de confidențialitate completă
- o cale prin care clientul poate cere ștergerea sau accesul la datele lui
GDPR dă oamenilor drepturi concrete: să vadă ce date ai despre ei, să le corecteze, să ceară ștergerea. Dacă stochezi conversații, trebuie să poți onora aceste cereri într-un termen rezonabil. Un setup unde nici tu nu știi unde sunt transcrierile te pune în imposibilitatea de a răspunde - și exact asta atrage problemele.
Cum abordăm noi la MPO un chatbot conform
Noi construim site-uri premium livrate remote în toată țara, iar când adăugăm un chatbot pornim de la întrebarea simplă: ce are voie să colecteze și unde ajung datele. Preferăm configurații unde transcrierile stau pe infrastructura pe care o controlezi, cu o perioadă de retenție clară și cu politica de confidențialitate aliniată la ce face efectiv botul.
Înainte să plătești ceva, îți pregătim un demo pre-construit ca să vezi exact cum arată și cum se comportă, iar prețurile sunt transparente de la început. Fără promisiuni de tip magic, fără date trimise aiurea.
Dacă vrei un chatbot care să îți prindă lead-uri fără să îți creeze o expunere legală, scrie-ne pe WhatsApp și discutăm pe cazul tău concret, în cuvinte simple. E mai ieftin să îl faci corect de la început decât să îl repari după o sesizare.
Întrebări frecvente
Am nevoie de consimțământ explicit pentru orice chatbot?+
Nu pentru orice. Dacă botul doar răspunde la o întrebare inițiată de client sau pregătește o ofertă, te poți baza pe executarea contractului sau pe interesul legitim. Consimțământul separat devine necesar când vrei să folosești datele în scop de marketing ulterior, de exemplu newsletter sau oferte trimise mai târziu.
Pot folosi un chatbot cu AI care trimite datele în afara UE?+
Da, este permis, dar trebuie să fii transparent. Declară în politica de confidențialitate ce furnizor folosești și că datele pot fi prelucrate în afara UE, și asigură-te că există un cadru contractual corect cu furnizorul. Problema apare doar când nu știi pe unde circulă datele și nu poți explica asta clientului.
Cât timp am voie să păstrez conversațiile din chat?+
GDPR nu dă un număr fix. Regula e să păstrezi datele doar cât îți trebuie pentru scopul concret, apoi să le ștergi. Pentru multe afaceri o perioadă rezonabilă de retenție a transcrierilor, urmată de ștergere automată, e suficientă. Important e să ai o regulă și să o respecți, nu să ții totul la nesfârșit.
Ce se întâmplă dacă un client îmi cere să îi șterg datele din chat?+
Trebuie să poți onora cererea într-un termen rezonabil. Asta înseamnă că ai nevoie de un sistem în care știi unde sunt stocate transcrierile și le poți găsi și șterge. Dacă folosești un serviciu extern, verifică din start că îți permite să ștergi datele la cerere.
Trebuie să afișez ceva lângă fereastra de chat?+
Da, cel puțin o mențiune scurtă și un link către politica de confidențialitate. Nu e nevoie de text lung: cine colectează datele, în ce scop și unde pot afla mai multe. Transparența de la primul mesaj te protejează cel mai mult și costă cel mai puțin.
7 greșeli care îți alungă clienții de pe site
Lasă-ți emailul și primești ghidul pe loc, aici. Fără spam.
Vrei să vezi cum ar arăta site-ul firmei tale?
Scrie-ne pe WhatsApp și îți pregătim gratuit un site demonstrativ, cu numele firmei tale pe el. Îl vezi întâi și abia apoi decizi — fără nicio obligație.