Cara Membuat Chatbot Anda Sesuai dengan GDPR

Jika Anda berencana menerapkan chatbot untuk perusahaan, artikel ini cocok untuk Anda.

Ketika GDPR (General Data Protection Regulation) mulai berlaku bagi perusahaan yang menangani data pelanggan, kebutuhan untuk mengatasi aspek teknologi bisnis pun semakin mendesak.

Salah satu pertanyaan yang sering kami terima dari klien adalah: bagaimana cara membuat chatbot Botpress saya sesuai dengan GDPR? Meskipun kepatuhan terhadap GDPR bisa rumit, kami siap membantu.

Jika GDPR berlaku untuk perusahaan Anda, berikut beberapa tips dan trik untuk memastikan chatbot Anda tetap patuh.

Ringkasan GDPR

Apa itu GDPR?

GDPR adalah peraturan Uni Eropa yang berfokus pada perlindungan data dan privasi. Ini berdampak pada individu dan perusahaan di UE dan Wilayah Ekonomi Eropa (EEA), termasuk transfer data ke luar UE dan EEA.

Tujuannya adalah memberikan kendali kepada individu atas data pribadi mereka dan menyediakan regulasi yang seragam di seluruh UE. Jika bisnis Anda beroperasi di wilayah ini, Anda wajib mematuhi GDPR.

Tidak mematuhi GDPR memiliki konsekuensi. Anda bisa dikenakan denda besar, hingga 20 juta euro atau 4% dari omzet global tahun sebelumnya—mana yang lebih besar.

Tujuannya adalah agar Anda dapat membuktikan kepada pengguna bahwa data mereka akan diproses persis seperti yang dijanjikan. Ini akan membangun kepercayaan pelanggan pada chatbot Anda, yang pada akhirnya dapat meningkatkan profitabilitas dan kesuksesan perusahaan Anda.

Apa yang dianggap sebagai data pribadi?

Menurut GDPR, data pribadi didefinisikan sebagai “setiap informasi yang berkaitan dengan individu yang teridentifikasi atau dapat diidentifikasi.” Ini termasuk:

• Nomor telepon
• Nomor kartu kredit
• Nomor pegawai
• Data akun
• Plat nomor kendaraan
• Penampilan fisik
• Nomor pelanggan
• Alamat

Namun, definisi menurut GDPR sangat luas – jika Anda ragu apakah suatu informasi termasuk data pribadi, sebaiknya perlakukan informasi tersebut sebagai data pribadi.

1. Transparan

Jika Anda mengumpulkan data pelanggan melalui chatbot—dan data ini dianggap sebagai data pribadi menurut GDPR—Anda harus transparan kepada pengguna chatbot. Anda harus menjelaskan ‘siapa, apa, di mana, kapan, dan mengapa’ pengumpulan data mereka.

Artinya, Anda harus memberi tahu pengguna tentang data pelanggan apa yang Anda kumpulkan, bagaimana Anda menggunakannya, dan dengan siapa data tersebut dibagikan. Semua informasi ini harus disampaikan kepada pengguna sebelum Anda mengumpulkan data apa pun.

Beritahu pengguna sebelum pengumpulan

Anda harus memberikan pemberitahuan yang jelas dan mudah dipahami sebelum mengelola data pelanggan melalui chatbot Anda.

Sering kali, ini berupa pop-up yang menjelaskan kepada pengguna data apa yang akan Anda kumpulkan dari mereka, alasan pengumpulannya, dan hak mereka terkait pengumpulan data pribadi.

Tampilkan pernyataan privasi publik

Anda juga harus menjelaskan praktik pemrosesan data Anda dalam kebijakan atau pernyataan privasi online dan memperbaruinya sesuai kebutuhan. Anda dapat merujuk pada Pernyataan Privasi Botpress sebagai contoh.

Pernyataan privasi Anda harus mencakup:

• Informasi apa yang dikumpulkan dari pengguna
• Alasan Anda memproses data pribadi mereka (misal: tujuan pengumpulan data)
• Bagaimana Anda menyimpan dan mentransfer data pribadi
• Bagaimana Anda melindungi dan menangani data pribadi mereka
• Hak privasi pengguna

Transparansi dalam penggunaan dan penanganan data pelanggan membangun kepercayaan dan niat baik—yang mengarah pada hubungan pelanggan yang lebih kuat dan berkelanjutan, serta bisnis yang lebih terpercaya.

2. Jujur

Anda hanya boleh memproses data untuk tujuan yang telah Anda nyatakan. Ini termasuk memastikan bahwa perusahaan dan karyawan Anda hanya memproses data pelanggan untuk tujuan tersebut.

Misalnya, jika Anda menyatakan akan menggunakan data pelanggan untuk mengirim komunikasi komersial, melatih algoritma, analisis data untuk peningkatan produk, dukungan teknis, layanan pelanggan, atau personalisasi layanan, Anda hanya boleh menggunakan data untuk tujuan tersebut, tidak lebih.

3. Bijak

Anda hanya boleh memproses data dengan dasar hukum yang tepat.

Luangkan waktu untuk mengevaluasi secara internal dasar hukum Anda dalam memproses data pelanggan. Analisis ini diwajibkan oleh GDPR.

Anda hanya boleh mengelola data pelanggan jika satu atau lebih dari kondisi berikut terpenuhi:

• Berdasarkan persetujuan eksplisit dari pengguna chatbot
• Merupakan bagian dari kontrak dengan pengguna dan pemrosesan sangat diperlukan
• Memenuhi kewajiban hukum
• Untuk melindungi kepentingan vital pengguna (misal: situasi hidup atau mati!)
• Melaksanakan tugas untuk kepentingan publik
• Merupakan bagian dari kewenangan resmi Anda
• Untuk mengejar kepentingan yang sah (kecuali kepentingan ini dikalahkan oleh kepentingan atau hak dan kebebasan mendasar pengguna)

Alasan paling umum untuk memproses data pelanggan adalah persetujuan, pelaksanaan kontrak atau kepentingan yang sah.

4. Berorientasi pada Pengguna

Anda harus memungkinkan pengguna menjalankan hak privasi data mereka.

Salah satu poin dalam daftar periksa GDPR untuk chatbot online adalah memastikan pengguna chatbot dapat menjalankan satu atau lebih hak privasi data yang diberikan oleh GDPR.

Pengguna chatbot harus dapat mengakses data pelanggan yang dikumpulkan chatbot tentang mereka, memperbaikinya, membatasi pemrosesan dan menolaknya, meminta penghapusan data mereka, atau mendapatkannya dalam format yang dapat dipindahkan.

Idealnya, pengguna dapat menjalankan hak-hak ini langsung melalui alur percakapan chatbot Anda, melalui proses tanya jawab interaktif. Untungnya, Botpress menyediakan kemungkinan ini.

5. Bersikap Manusiawi

Usahakan untuk menunjukkan bahwa keputusan otomatis tetap melibatkan manusia.

Chatbot yang didukung Botpress menggunakan teknologi AI. Secara khusus, mereka adalah agen AI yang didukung LLM.

Kecuali syarat tertentu terpenuhi, Anda tidak boleh mengatur chatbot sehingga AI membuat keputusan penting tentang pengguna secara mandiri: keputusan yang diambil tidak boleh menimbulkan dampak hukum atau secara signifikan memengaruhi pengguna.

Artinya, pengawasan manusia harus ada di setiap tahap penerapan chatbot yang menggunakan AI agentik untuk memastikan kepatuhan GDPR. Anda harus dapat membuktikan kepada pengguna bahwa keterlibatan manusia berperan dalam pengambilan keputusan tersebut.

6. Minimalkan Log

Evaluasi jenis log apa yang Anda simpan melalui chatbot Anda. Apakah Anda memiliki log kesalahan? Log akses? Log audit keamanan?

Jika ya, tentukan apakah log tersebut berisi data pelanggan, seperti alamat IP, informasi identitas, atau nama lengkap. Jika jawabannya ‘ya’, Anda mungkin perlu menerapkan proses untuk menghapus data pelanggan tersebut. GDPR melarang Anda menyimpan dan mempertahankan data ini tanpa alasan yang sah.

Jika penyimpanan tidak dibenarkan, hapus semua data pribadi yang didapat melalui log.

Di Botpress, kami secara otomatis menghapus data pribadi yang diperoleh melalui log setelah jangka waktu tertentu yang telah ditetapkan.

7. Jaga Keamanan

Selain semua hal di atas, Anda juga harus memastikan bahwa Anda menerapkan langkah-langkah teknis, organisasi, fisik, dan administratif untuk melindungi informasi yang diproses melalui chatbot Anda.

Ini bisa berarti memastikan bahwa Anda:

• Enkripsi data pelanggan saat disimpan maupun saat dikirim
• Anonimkan atau gunakan pseudonim untuk data pelanggan
• Kelola akses karyawan Anda ke data pelanggan secara tepat berdasarkan kebutuhan untuk mengetahui
• Pastikan ada cadangan data yang memadai, serta pertimbangan lainnya

Semua ini adalah langkah yang tepat untuk mengamankan data yang dipercayakan kepada Anda – langkah-langkah tersebut dapat berbeda tergantung tujuan chatbot Anda dan data yang dikumpulkan.

Untuk contoh lainnya, Anda dapat melihat Jadwal 2 pada Perjanjian Pemrosesan Data Botpress untuk daftar langkah keamanan yang kami terapkan saat Anda membangun chatbot bersama kami.

Bangun Chatbot yang Patuh GDPR

Memastikan chatbot Anda mematuhi GDPR bukan hanya penting dari sisi hukum atau keuangan. Membangun kepercayaan dan transparansi dengan pengguna sangat penting untuk citra publik perusahaan Anda dan hubungan dengan pelanggan. Jika ragu, pastikan produk dan layanan Anda mengikuti daftar periksa GDPR untuk memastikan kepatuhan.

Kami siap membantu Anda memastikan chatbot AI Anda mematuhi regulasi yang berlaku. Banyak fitur kepatuhan GDPR sudah langsung tersedia di Botpress sehingga Anda bisa fokus membangun bot.

Jika ada pertanyaan, Anda dapat menghubungi kami di [email protected].

FAQ

1. Apakah kepatuhan GDPR wajib bagi perusahaan non-Uni Eropa yang menggunakan chatbot?

Ya, kepatuhan GDPR wajib bagi perusahaan non-Uni Eropa jika chatbot mereka memproses data pribadi dari penduduk Uni Eropa atau menargetkan pengguna Uni Eropa dengan cara apa pun. Ini berlaku tanpa memandang lokasi kantor pusat perusahaan, sesuai cakupan ekstrateritorial GDPR (Pasal 3).

2. Bagaimana cara melakukan Data Protection Impact Assessment (DPIA) untuk chatbot saya?

Untuk melakukan DPIA pada chatbot Anda, identifikasi data pribadi apa yang dikumpulkan, nilai risiko terhadap privasi pengguna, dan dokumentasikan langkah teknis serta organisasi yang diterapkan (seperti enkripsi atau kontrol akses). DPIA sebaiknya mengikuti format terstruktur dan dilakukan sebelum chatbot digunakan jika pemrosesan data berisiko tinggi.

3. Bagaimana cara memastikan chatbot saya tidak mencatat data sensitif saat debugging atau analitik?

Untuk memastikan chatbot Anda tidak mencatat data sensitif, atur log agar tidak menyimpan isi pesan, sembunyikan atau sensor kolom tertentu (misal: nama, email, data medis), dan batasi akses ke log menggunakan RBAC (role-based access control). Alat debug sebaiknya diuji di lingkungan anonim, dan log harus rutin dihapus atau dienkripsi.

4. Apakah saya perlu melokalkan chatbot saya untuk wilayah berbeda dengan undang-undang data yang berbeda?

Ya, Anda perlu menyesuaikan penanganan data chatbot agar sesuai dengan hukum di setiap wilayah seperti GDPR (Uni Eropa), CCPA (California), atau LGPD (Brasil). Ini bisa meliputi penyesuaian kebijakan retensi data, mekanisme persetujuan, dan pengelolaan hak pengguna untuk setiap yurisdiksi yang dilayani chatbot Anda.

5. Apakah pemprofilan pengguna secara real-time melalui LLM dianggap sesuai dengan GDPR?

Profiling pengguna secara real-time oleh LLM dapat sesuai GDPR hanya jika memenuhi syarat ketat: persetujuan eksplisit dari pengguna, transparansi, dan hak untuk menolak pengambilan keputusan otomatis (Pasal 22). Jika profiling memengaruhi hak pengguna atau akses layanan, tinjauan manusia dan penjelasan detail secara hukum wajib diberikan.