- GDPR terpakai kepada mana-mana chatbot yang mengumpul atau memproses data peribadi daripada pengguna EU, memerlukan ketelusan, hak pengguna, dan perlindungan data yang ketat.
- Anda mesti memaklumkan pengguna dengan jelas dari awal tentang data apa yang chatbot anda kumpulkan, tujuannya, cara ia disimpan atau dikongsi, serta hak pengguna untuk mengakses atau memadam data mereka.
- Data hanya boleh diproses untuk tujuan tertentu yang telah dinyatakan, dengan asas undang-undang seperti persetujuan, pemenuhan kontrak, atau kepentingan sah.
- Pengguna mesti boleh menggunakan hak-hak GDPR mereka—seperti mengakses, membetulkan, atau memadam data mereka—sebaiknya terus melalui aliran chatbot.
Jika anda bercadang untuk melancarkan chatbot untuk syarikat, artikel ini untuk anda.
Apabila GDPR (General Data Protection Regulation) mula memberi kesan kepada syarikat yang mengendalikan data pelanggan, keperluan untuk menangani aspek teknologi perniagaan semakin mendesak.
Salah satu soalan yang sering ditanya oleh pelanggan kami ialah: bagaimana saya boleh memastikan chatbot Botpress saya patuh GDPR? Walaupun pematuhan GDPR boleh menjadi rumit, kami di sini untuk membantu.
Jika GDPR terpakai kepada syarikat anda, berikut beberapa tip dan panduan untuk memastikan chatbot anda sentiasa patuh.
Kursus Ringkas GDPR
Apa itu GDPR?
GDPR ialah peraturan EU yang berfokus pada perlindungan data dan privasi. Ia memberi kesan kepada individu dan syarikat di EU dan Kawasan Ekonomi Eropah (EEA), termasuk pemindahan data ke luar EU dan EEA.
Tujuannya adalah untuk memberi kawalan kepada individu ke atas data peribadi mereka dan menyediakan peraturan yang seragam di seluruh EU. Jika perniagaan anda beroperasi di kawasan ini, anda mesti mematuhi GDPR.
Kegagalan mematuhi GDPR membawa kos. Ia boleh menyebabkan penalti besar, sehingga 20 juta euro atau 4% daripada jumlah perolehan tahunan global anda – mana-mana yang lebih tinggi.
Matlamatnya adalah untuk membuktikan kepada pengguna bahawa anda akan memproses data mereka seperti yang dijanjikan. Ini pasti akan membina kepercayaan pelanggan terhadap chatbot anda, yang akhirnya boleh meningkatkan keuntungan dan kejayaan syarikat anda.
Apa yang dianggap sebagai data peribadi?
Di bawah GDPR, data peribadi ditakrifkan sebagai “apa-apa maklumat yang berkaitan dengan individu hidup yang dikenal pasti atau boleh dikenal pasti.” Ini termasuk:
- Nombor telefon
- Nombor kad kredit
- Nombor kakitangan
- Data akaun
- Nombor plat kenderaan
- Penampilan
- Nombor pelanggan
- Alamat
Namun, definisi di bawah GDPR adalah luas – jika anda tidak pasti sama ada maklumat itu patut dianggap sebagai data peribadi, lebih baik anda menganggap ia perlu dikendalikan sebagai data peribadi.
1. Bersikap Telus
Jika anda mengumpul data pelanggan melalui chatbot anda – dan data ini dianggap sebagai data peribadi di bawah GDPR – anda perlu bersikap telus dengan pengguna chatbot. Anda mesti menerangkan ‘siapa, apa, di mana, bila, dan mengapa’ pengumpulan data mereka.
Ini bermaksud memaklumkan pengguna tentang data pelanggan yang anda kumpulkan, bagaimana anda menggunakannya dan dengan siapa anda berkongsi. Semua maklumat ini mesti diberikan kepada pengguna sebelum anda mengumpul sebarang data pelanggan.
Maklumkan pengguna sebelum pengumpulan
Anda perlu menyediakan notis yang jelas dan mudah difahami sebelum anda mengurus sebarang data pelanggan melalui chatbot anda.
Ini selalunya berupa pop-up yang menerangkan kepada pengguna data apa yang akan anda kumpulkan daripada mereka, sebab anda mengumpulkannya, dan hak mereka berkaitan pengumpulan data peribadi.
Sediakan kenyataan privasi awam
Anda juga perlu memperincikan amalan pemprosesan data anda dalam polisi atau kenyataan privasi atas talian dan mengemaskininya apabila perlu. Anda boleh merujuk Kenyataan Privasi Botpress sebagai contoh.
Kenyataan privasi anda perlu merangkumi:
- Maklumat apa yang dikumpulkan daripada pengguna
- Sebab anda memproses data peribadi mereka (iaitu tujuan pengumpulan data)
- Bagaimana anda menyimpan dan memindahkan data peribadi
- Bagaimana anda melindungi dan mengendalikan data peribadi mereka
- Hak privasi pengguna
Ketelusan tentang penggunaan dan pengendalian data pelanggan membina kepercayaan dan hubungan baik – dan ini membawa kepada hubungan pelanggan yang lebih kukuh, berpanjangan, serta perniagaan yang lebih mampan dan bereputasi.
2. Bersikap Jujur
Anda hanya boleh memproses data untuk tujuan yang telah dinyatakan. Ini termasuk memastikan syarikat dan pekerja anda hanya memproses data pelanggan untuk tujuan yang telah dinyatakan.
Sebagai contoh, jika anda menyatakan bahawa anda akan menggunakan data pelanggan untuk menghantar komunikasi komersial, melatih algoritma, analitik data untuk penambahbaikan produk, sokongan teknikal, khidmat pelanggan atau pemperibadian perkhidmatan, anda hanya boleh menggunakan data untuk tujuan-tujuan tersebut, dan tidak lebih daripada itu.
3. Bersikap Bijak
Anda hanya boleh memproses data dengan justifikasi undang-undang yang betul.
Ambil masa untuk menilai secara dalaman asas undang-undang anda untuk memproses data pelanggan. Analisis ini diwajibkan oleh GDPR.
Anda hanya boleh mengurus data pelanggan jika satu atau lebih syarat berikut dipenuhi:
- Berdasarkan persetujuan jelas daripada pengguna chatbot
- Sebagai sebahagian daripada kontrak dengan pengguna dan pemprosesan adalah penting
- Untuk memenuhi kewajipan undang-undang
- Untuk melindungi kepentingan penting pengguna (contohnya situasi hidup atau mati!)
- Untuk melaksanakan tugas demi kepentingan awam
- Sebagai sebahagian daripada kuasa rasmi anda
- Untuk mengejar kepentingan sah (kecuali kepentingan ini diatasi oleh kepentingan atau hak asasi pengguna)
Sebab paling biasa untuk memproses data pelanggan ialah persetujuan, pelaksanaan kontrak atau kepentingan sah.
4. Utamakan Pengguna
Anda mesti membolehkan pengguna menggunakan hak privasi data mereka.
Salah satu perkara dalam senarai semak GDPR untuk chatbot atas talian ialah memastikan pengguna chatbot boleh menggunakan satu atau lebih hak privasi data yang diberikan kepada mereka di bawah GDPR.
Pengguna chatbot mesti boleh mengakses data pelanggan yang dikumpul tentang mereka, membetulkannya, mengehadkan pemprosesan dan membantahnya, meminta pemadaman data mereka atau mendapatkannya dalam format yang boleh dipindahkan.
Sebaiknya, pengguna boleh menggunakan hak-hak ini secara langsung melalui aliran perbualan chatbot anda, melalui proses soal jawab interaktif. Nasib baik, Botpress menawarkan keupayaan ini.
5. Bersikap Manusiawi
Cuba tunjukkan bahawa keputusan automatik melibatkan campur tangan manusia.
Chatbot yang dikuasakan oleh Botpress menggunakan teknologi AI. Secara khusus, ia adalah agen AI yang dikuasakan oleh LLM.
Kecuali syarat tertentu dipenuhi, anda tidak boleh membina chatbot anda supaya AI membuat keputusan kritikal tentang pengguna secara bersendirian: keputusan yang dibuat tidak boleh memberi kesan undang-undang atau memberi kesan besar kepada pengguna.
Ini bermakna pengawasan manusia perlu ada pada mana-mana peringkat pelaksanaan chatbot yang menggunakan AI agentik untuk memastikan pematuhan GDPR. Penting untuk anda dapat membuktikan kepada pengguna bahawa manusia terlibat dalam membuat keputusan ini.
6. Elakkan Log
Nilai jenis log apa yang anda simpan melalui chatbot anda. Adakah anda mempunyai log ralat? Log akses? Log audit keselamatan?
Jika ya, tentukan sama ada log ini mengandungi data pelanggan, seperti alamat IP, maklumat pengenalan, atau nama penuh. Jika jawapannya ‘ya’, anda mungkin perlu melaksanakan proses untuk memadam data pelanggan ini. GDPR melarang anda menyimpan dan mengekalkan data ini tanpa justifikasi yang sah.
Jika penyimpanan tidak dibenarkan, padamkan sebarang data peribadi yang diperoleh melalui log.
Di Botpress, kami secara automatik memadam data peribadi yang diperoleh melalui log selepas tempoh masa yang telah ditetapkan.
7. Pastikan Keselamatan
Selain semua perkara lain, anda juga mesti memastikan bahawa anda melaksanakan langkah teknikal, organisasi, fizikal, dan pentadbiran untuk melindungi maklumat yang diproses melalui chatbot anda.
Ini boleh bermakna memastikan anda:
- Sulitkan data pelanggan semasa disimpan dan semasa dihantar
- Anonimkan atau gunakan pseudonim untuk data pelanggan
- Uruskan akses pekerja anda kepada data pelanggan secara wajar berdasarkan keperluan untuk mengetahui
- Pastikan anda mempunyai sandaran yang sesuai, serta pertimbangan lain
Semua ini adalah langkah yang sesuai untuk melindungi data yang diamanahkan kepada anda – langkah-langkah ini akan berbeza bergantung pada tujuan chatbot anda dan data yang dikumpul.
Untuk contoh lain, anda boleh lihat pada Jadual 2 dalam Perjanjian Pemprosesan Data Botpress untuk senarai langkah keselamatan yang kami laksanakan apabila anda membina chatbot dengan bantuan kami.
Bina Chatbot yang Patuh
Memastikan chatbot anda mematuhi GDPR bukan sahaja penting dari segi undang-undang atau kewangan. Mewujudkan kepercayaan dan ketelusan dengan pengguna anda adalah penting untuk imej syarikat anda dan hubungan anda dengan pelanggan. Jika ragu-ragu, pastikan produk dan perkhidmatan anda mengikuti senarai semak GDPR untuk memastikan pematuhan.
Kami sedia membantu anda memastikan chatbot AI anda mematuhi peraturan yang diperlukan. Banyak ciri pematuhan GDPR telah disediakan terus dalam Botpress supaya anda boleh fokus pada pembinaan bot.
Untuk sebarang pertanyaan, anda boleh hubungi kami di [email protected].
Soalan Lazim
1. Adakah pematuhan GDPR wajib untuk syarikat bukan EU yang menggunakan chatbot?
Ya, pematuhan GDPR adalah wajib untuk syarikat bukan EU jika chatbot mereka memproses data peribadi penduduk EU atau menyasarkan pengguna EU dalam apa jua cara. Ini terpakai tanpa mengira di mana syarikat itu beribu pejabat, di bawah skop ekstrateritorial GDPR (Artikel 3).
2. Bagaimana saya menjalankan Penilaian Kesan Perlindungan Data (DPIA) untuk chatbot saya?
Untuk menjalankan DPIA bagi chatbot anda, kenal pasti data peribadi yang dikumpul, nilai risiko terhadap privasi pengguna, dan dokumenkan langkah teknikal serta organisasi yang diambil (seperti penyulitan atau kawalan akses). DPIA harus mengikut format yang teratur dan disiapkan sebelum pelaksanaan jika pemprosesan berisiko tinggi.
3. Bagaimana saya boleh pastikan chatbot saya tidak merekod data sensitif semasa penyahpepijatan atau analitik?
Untuk memastikan chatbot anda tidak merekod data sensitif, tetapkan log supaya tidak menyimpan kandungan mesej, sembunyikan atau padamkan maklumat (cth., nama, emel, data perubatan), dan hadkan akses kepada log melalui kawalan akses berasaskan peranan (RBAC). Alat penyahpepijatan perlu diuji dalam persekitaran tanpa identiti, dan log perlu dipadam atau disulitkan secara berkala.
4. Perlukah saya melokalkan chatbot saya untuk rantau berbeza yang mempunyai undang-undang data berbeza?
Ya, anda perlu melokalkan pengendalian data chatbot anda untuk mematuhi undang-undang khusus rantau seperti GDPR (EU), CCPA (California), atau LGPD (Brazil). Ini mungkin melibatkan pelarasan dasar pengekalan data, mekanisme persetujuan, dan pengurusan hak pengguna untuk setiap bidang kuasa yang dilayan oleh chatbot anda.
5. Adakah pemprofilan pengguna secara masa nyata melalui LLM dianggap mematuhi GDPR?
Pemprofilan pengguna masa nyata oleh LLM hanya dianggap mematuhi GDPR jika memenuhi kriteria ketat: persetujuan jelas pengguna, ketelusan, dan hak untuk menolak keputusan automatik (Artikel 22). Jika pemprofilan memberi kesan kepada hak pengguna atau akses kepada perkhidmatan, semakan manusia dan pendedahan terperinci adalah diwajibkan secara undang-undang.
