GDPR и чат-боты: что можно собирать из переписки с клиентами в Румынии

Чат-бот на сайте кажется простой идеей: отвечает по ночам, ловит заявки, экономит звонки. Но как только посетитель что-то пишет в это окно, вы уже начали обрабатывать персональные данные. А в Румынии это означает GDPR со всем, что из него следует: правовое основание, информирование, согласие там, где нужно, и надзорный орган, который может потребовать объяснений.

Хорошая новость в том, что для правильного использования чат-бота не нужно быть юристом. Достаточно понять несколько конкретных правил и соблюдать их с самого начала, а не после жалобы. В этой статье я покажу, какие именно данные можно собирать из разговора, чего избегать и как выглядит чистая настройка - без запугивания и пустых обещаний.

Почти всё, что пишет клиент, - это персональные данные

Многие владельцы думают, что GDPR касается только имени и номера удостоверения. На деле определение куда шире: любая информация, по которой человека можно идентифицировать - прямо или косвенно.

В чат-боте это, среди прочего:

• имя и фамилия
• номер телефона и адрес электронной почты
• адрес доставки или местоположение
• содержание сообщений, если оно что-то раскрывает о человеке
• IP-адрес и технические идентификаторы, собираемые автоматически

Даже безобидный на вид разговор может содержать чувствительные данные: кто-то пишет о медицинской проблеме перед записью, об ориентации, о финансовом положении. Такие особые категории требуют повышенной осторожности. Простое правило: относитесь ко всему, что попадает в чат, как к информации, которую нужно защищать, а не как к обычному логу.

Нужно правовое основание - и это не всегда согласие

GDPR не запрещает собирать данные. Он требует, чтобы у каждого действия с ними была законная причина. Самые частые основания для бизнес-бота:

• исполнение договора или шаги до него: человек просит расчёт, запись, цену
• законный интерес: ответ на вопрос поддержки, который начал сам клиент
• согласие: нужно прежде всего когда вы хотите использовать данные для дальнейшего маркетинга

Разница важна. Если человек пишет, чтобы узнать цену, у вас есть основание ответить и хранить переписку разумное время. Но чтобы добавить его в рассылку или отправлять предложения позже, нужно отдельное чёткое согласие, которое он сам даёт, а не предполагаемое. Не смешивайте цели: у каждого использования данных должно быть своё основание.

Что НЕ стоит собирать и хранить без нужды

Самое простое правило соответствия - минимизация: собирайте только то, что нужно для конкретной цели, и ничего лишнего.

На практике для чат-бота это значит:

• никогда не запрашивайте в окне чата номер паспорта, данные удостоверения или номер карты
• не храните переписку бесконечно; задайте срок хранения и удаляйте после него
• не отправляйте разговоры во внешние сервисы, не зная, куда попадают данные

Пункт про внешние сервисы игнорируют чаще всего. Многие ИИ-боты отправляют каждое сообщение поставщику за пределами ЕС. Это разрешено, но должно быть указано в политике конфиденциальности и закреплено договором. Если вы не знаете, куда идут данные клиентов, вы не сможете правильно ответить, когда вас спросят - а спросят обязательно.

Информирование, прозрачность и права клиента

Прежде чем человек напишет в чат, он должен легко узнать, кто собирает данные, с какой целью и как долго вы их храните. Юридический роман не нужен - заметная ссылка на политику конфиденциальности рядом с окном чата решает большую часть задачи.

Полезно иметь:

• короткую пометку при открытии чата: кто вы и зачем собираете данные
• ссылку на полную политику конфиденциальности
• способ для клиента запросить удаление или доступ к своим данным

GDPR даёт людям конкретные права: видеть, какие данные у вас есть, исправлять их, требовать удаления. Если вы храните разговоры, вы должны уметь выполнять такие запросы в разумный срок. Настройка, где даже вы не знаете, где лежат переписки, лишает вас возможности ответить - и именно это привлекает проблемы.

Как мы в MPO подходим к соответствующему чат-боту

Мы делаем премиальные сайты с удалённой доставкой по всей стране, и когда добавляем чат-бота, начинаем с простого вопроса: что ему разрешено собирать и куда идут данные. Мы предпочитаем настройки, где переписки хранятся на инфраструктуре, которую вы контролируете, с чётким сроком хранения и политикой конфиденциальности, соответствующей тому, что бот действительно делает.

До любой оплаты мы готовим готовое демо, чтобы вы увидели, как это выглядит и работает, а цены прозрачны с самого начала. Без волшебных обещаний и без разбрасывания данных.

Если вам нужен чат-бот, который ловит заявки, не создавая юридических рисков, напишите нам в WhatsApp - разберём ваш конкретный случай простыми словами. Сделать сразу правильно дешевле, чем чинить после жалобы.