- GDPR, AB kullanıcılarından kişisel veri toplayan veya işleyen tüm chatbotlar için geçerlidir ve şeffaflık, kullanıcı hakları ve sıkı veri koruma önlemleri gerektirir.
- Kullanıcıları, chatbot'unuzun hangi verileri topladığı, neden topladığı, nasıl sakladığı veya paylaştığı ve kullanıcıların verilerine erişim veya silme hakları konusunda açıkça bilgilendirmelisiniz.
- Veriler yalnızca belirli ve bildirilen amaçlar için, yasal bir dayanakla (örneğin onay, sözleşme gerekliliği veya meşru menfaatler) işlenebilir.
- Kullanıcılar, GDPR kapsamındaki haklarını—örneğin verilerine erişme, düzeltme veya silme—mümkünse doğrudan chatbot akışları üzerinden kullanabilmelidir.
Bir şirket için chatbot kurmayı düşünüyorsanız, bu makale sizin için.
GDPR (Genel Veri Koruma Yönetmeliği) müşteri verilerini işleyen şirketler üzerinde etkisini artırırken, işletmelerin teknolojik yönlerini ele alma konusunda aciliyet artıyor.
Müşterilerimizden sıkça gelen sorulardan biri şu: Botpress chatbot'umu GDPR uyumlu nasıl yapabilirim? GDPR ile uyum sağlamak karmaşık olabilir, ancak size yardımcı olmak için buradayız.
Şirketiniz için GDPR geçerliyse, chatbot'unuzun sürekli uyumluluğunu sağlamak için bazı ipuçları ve püf noktaları burada.
GDPR Hızlı Rehberi
GDPR nedir?
GDPR, veri koruma ve gizlilik odaklı bir AB yönetmeliğidir. AB ve Avrupa Ekonomik Alanı'ndaki (AEA) bireyleri ve şirketleri, ayrıca AB ve AEA dışına veri aktarımını etkiler.
Amacı, bireylere kişisel verileri üzerinde kontrol sağlamak ve AB genelinde tek tip bir düzenleme oluşturmaktır. İşletmeniz bu bölgelerde faaliyet gösteriyorsa, GDPR'a uymanız gerekir.
GDPR'a uymamanın bir bedeli vardır. Bu, 20 milyon euroya veya önceki mali yılın dünya çapındaki cirosunun %4'üne kadar (hangisi daha yüksekse) ciddi para cezalarına yol açabilir.
Amaç, kullanıcılarınıza verilerini tam olarak vaat ettiğiniz şekilde işleyeceğinizi gösterebilmektir. Bu, chatbot'larınıza olan müşteri güvenini artırır ve nihayetinde şirketinizin kârlılığını ve başarısını yükseltebilir.
Kişisel veri nedir?
GDPR kapsamında, kişisel veri “kimliği belirli veya belirlenebilir yaşayan bir bireyle ilgili herhangi bir bilgi” olarak tanımlanır. Buna şunlar dahildir:
- Telefon numaraları
- Kredi kartı numaraları
- Personel numaraları
- Hesap verileri
- Plaka numaraları
- Görünüş
- Müşteri numaraları
- Adresler
Ancak, GDPR kapsamındaki tanım geniştir – bir bilginin kişisel veri olup olmadığından emin değilseniz, öyleymiş gibi işlem yapmak en doğrusudur.
1. Şeffaf Olun
Chatbot'unuz aracılığıyla müşteri verisi topluyorsanız ve bu veriler GDPR kapsamında kişisel veri sayılıyorsa, kullanıcılarınıza karşı şeffaf olmalısınız. Verilerini kim tarafından, ne, nerede, ne zaman ve neden topladığınızı açıklamalısınız.
Bu, hangi müşteri verilerini topladığınızı, nasıl kullandığınızı ve kimlerle paylaştığınızı kullanıcıya bildirmeniz gerektiği anlamına gelir. Bu bilgiler, veri toplamadan önce her zaman kullanıcıya sunulmalıdır.
Toplamadan önce kullanıcıyı bilgilendirin
Chatbot'unuz aracılığıyla herhangi bir müşteri verisini yönetmeden önce, açık ve anlaşılır bir bilgilendirme sağlamalısınız.
Bu genellikle, kullanıcılara hangi verileri toplayacağınızı, neden topladığınızı ve kişisel veri toplama haklarını açıklayan açılır pencereler şeklinde olur.
Herkese açık bir gizlilik bildirimi yayınlayın
Ayrıca, veri işleme uygulamalarınızı çevrimiçi bir gizlilik politikası veya bildirimiyle detaylandırmalı ve gerektiğinde güncellemelisiniz. Örnek olarak Botpress’in Gizlilik Bildirimi'ne bakabilirsiniz.
Gizlilik bildiriminizde şunlar yer almalı:
- Kullanıcıdan hangi bilgilerin toplandığı
- Kişisel verileri neden işlediğiniz (yani veri toplama amacı)
- Kişisel verileri nasıl sakladığınız ve aktardığınız
- Kişisel verileri nasıl koruduğunuz ve yönettiğiniz
- Kullanıcıların gizlilik hakları
Müşteri verilerini kullanma ve yönetme konusunda şeffaf olmak, güven ve iyi niyet oluşturur – bu da daha güçlü, uzun ömürlü müşteri ilişkilerine ve nihayetinde daha sürdürülebilir ve itibarlı bir işletmeye yol açar.
2. Dürüst Olun
Verileri yalnızca belirttiğiniz amaçlar için işleyin. Bu, şirketinizin ve çalışanlarınızın müşteri verilerini sadece belirtilen amaçlar doğrultusunda işlemesini sağlamayı da içerir.
Örneğin, müşteri verilerini ticari iletişim göndermek, algoritmaları eğitmek, ürün geliştirme için veri analizi yapmak, teknik destek, müşteri hizmetleri veya hizmet kişiselleştirme için kullanacağınızı belirttiyseniz, verileri yalnızca bu amaçlarla kullanabilirsiniz, başka bir amaç için kullanamazsınız.
3. Akıllı Olun
Verileri yalnızca uygun yasal gerekçeyle işleyin.
Bir adım geri atıp, müşteri verilerini işleme konusundaki yasal dayanağınızı kurum içinde değerlendirin. GDPR bu analizi zorunlu kılar.
Müşteri verilerini yalnızca aşağıdaki koşullardan biri veya birkaçı sağlanıyorsa yönetebilirsiniz:
- Chatbot kullanıcısının açık rızası varsa
- Kullanıcıyla yapılan bir sözleşmenin parçasıysa ve işleme zorunluysa
- Yasal bir yükümlülüğün yerine getirilmesi gerekiyorsa
- Kullanıcının hayati çıkarlarını korumak içinse (yani hayatî bir durum!)
- Kamu yararına bir görevin yerine getirilmesi içinse
- Resmî yetkinizin bir parçasıysa
- Meşru menfaatlerinizi korumak içinse (ancak bu menfaatler, kullanıcının çıkarları veya temel hak ve özgürlükleri tarafından geçersiz kılınmıyorsa)
Müşteri verilerini işlemenin en yaygın nedenleri rıza, sözleşmenin ifası veya meşru menfaatlerdir.
4. Kullanıcı Odaklı Olun
Kullanıcıların veri gizliliği haklarını kullanabilmesini sağlamalısınız.
Çevrimiçi chatbotlar için GDPR kontrol listesindeki maddelerden biri, chatbot kullanıcılarının GDPR kapsamında kendilerine tanınan veri gizliliği haklarından bir veya birkaçını kullanabilmesini sağlamaktır.
Chatbot kullanıcıları, chatbot'un kendileri hakkında topladığı müşteri verilerine erişebilmeli, düzeltebilmeli, işlenmesini kısıtlayabilmeli ve itiraz edebilmeli, verilerinin silinmesini talep edebilmeli veya taşınabilir bir formatta alabilmelidir.
İdeal olarak, kullanıcılar bu haklarını doğrudan chatbot'unuzun konuşma akışı üzerinden, etkileşimli bir soru-cevap süreciyle kullanabilmelidir. Neyse ki, Botpress bu imkanı sunar.
5. İnsan Olun
Otomatik kararların insan gözetimiyle alındığını göstermeye çalışın.
Botpress ile çalışan chatbotlar yapay zeka teknolojisi kullanır. Özellikle, bunlar LLM tabanlı yapay zeka ajanlarıdır.
Belirli koşullar sağlanmadıkça, chatbot'unuzu, yapay zekanın kullanıcı hakkında tek başına kritik kararlar alacağı şekilde yapılandıramazsınız: Kullanıcılar hakkında alınan kararlar yasal sonuçlar doğuramaz veya kullanıcıyı önemli ölçüde etkileyemez.
Bu, ajanik yapay zeka kullanan bir chatbot'u devreye alırken her aşamada insan gözetiminin bulunması gerektiği anlamına gelir. Kullanıcılara, bu kararlarda insan müdahalesinin rol oynadığını gösterebilmeniz önemlidir.
6. Kayıt Tutmada Dikkatli Olun
Chatbot'unuzda hangi tür günlükler tuttuğunuzu değerlendirin. Hata günlükleriniz var mı? Erişim günlükleri? Güvenlik denetim günlükleri?
Eğer varsa, bu günlüklerde müşteri verisi olup olmadığını belirleyin; örneğin IP adresleri, tanımlayıcı bilgiler veya tam adlar. Cevap 'evet' ise, bu müşteri verilerini silmek için bir süreç oluşturmanız gerekebilir. GDPR, uygun bir gerekçe olmadan bu verileri saklamanızı yasaklar.
Saklama gerekçesi yoksa, günlükler aracılığıyla elde edilen tüm kişisel verileri silin.
Botpress'te, günlükler aracılığıyla elde edilen kişisel veriler açıkça tanımlanmış bir süre sonunda otomatik olarak silinir.
7. Güvenliği Sağlayın
Tüm diğer unsurlara ek olarak, chatbot'unuz üzerinden işlenen bilgileri korumak için teknik, organizasyonel, fiziksel ve idari önlemler de almalısınız.
Bu, şunları sağlamanız anlamına gelebilir:
- Müşteri verilerini hem depolama sırasında hem de aktarım sırasında şifreleyin
- Müşteri verilerini anonimleştirin veya takma ad kullanın
- Çalışanlarınızın müşteri verilerine erişimini, yalnızca bilmesi gerekenlerle sınırlı olacak şekilde yönetin
- Uygun yedeklemeler alın ve diğer önlemleri göz önünde bulundurun
Bunlar, size emanet edilen verileri korumak için alınabilecek uygun önlemlerdir – bunlar, chatbotunuzun amacı ve topladığı verilere göre değişiklik gösterebilir.
Diğer örnekler için, bir chatbot oluştururken uyguladığımız güvenlik önlemlerinin listesini görmek amacıyla Botpress’in Veri İşleme Sözleşmesi’nin Ek 2’sine göz atabilirsiniz.
Uyumlu Chatbotlar Oluşturun
Chatbotunuzun GDPR’a uygun olması yalnızca yasal veya finansal nedenlerle değil, kullanıcılarınızla güven ve şeffaflık kurmak için de çok önemlidir. Şirketinizin kamu imajı ve müşteri ilişkileriniz için bu gereklidir. Emin değilseniz, ürün ve hizmetlerinizin uyumlu olduğundan emin olmak için bir GDPR kontrol listesi kullanın.
AI chatbotunuzun gerekli düzenlemelere uygun olmasını sağlamanıza yardımcı olmaktan memnuniyet duyarız. GDPR uyumluluğunun birçok özelliği Botpress’e doğrudan entegre edilmiştir, böylece siz bot geliştirmeye odaklanabilirsiniz.
Herhangi bir sorunuz için [email protected]. adresinden bize ulaşabilirsiniz.
Sıkça Sorulan Sorular
1. Chatbot kullanan AB dışı şirketler için GDPR uyumluluğu zorunlu mudur?
Evet, chatbotları AB sakinlerinin kişisel verilerini işleyen veya herhangi bir şekilde AB kullanıcılarını hedefleyen AB dışı şirketler için de GDPR uyumluluğu zorunludur. Şirketin merkezi nerede olursa olsun, GDPR’ın sınır ötesi kapsamı (Madde 3) gereği bu geçerlidir.
2. Chatbotum için Veri Koruma Etki Değerlendirmesi (DPIA) nasıl yapılır?
Chatbotunuz için DPIA yapmak için, hangi kişisel verilerin toplandığını belirleyin, kullanıcı gizliliği risklerini değerlendirin ve uygulanan teknik ve organizasyonel önlemleri (örneğin şifreleme veya erişim kontrolleri) belgeleyin. DPIA, yapılandırılmış bir formatta olmalı ve eğer işleme yüksek risk taşıyorsa, yayına alınmadan önce tamamlanmalıdır.
3. Chatbotumun hata ayıklama veya analiz sırasında hassas verileri kaydetmemesini nasıl sağlarım?
Chatbotunuzun hassas verileri kaydetmemesini sağlamak için, günlük kayıtlarını mesaj içeriği hariç olacak şekilde yapılandırın, alanları maskeleyin veya gizleyin (ör. isimler, e-postalar, tıbbi veriler) ve günlük erişimini RBAC (rol tabanlı erişim kontrolü) ile sınırlandırın. Hata ayıklama araçları anonimleştirilmiş ortamlarda test edilmeli ve günlükler düzenli olarak silinmeli veya şifrelenmelidir.
4. Farklı veri yasalarına sahip bölgeler için chatbotumu yerelleştirmem gerekir mi?
Evet, chatbotunuzun veri işleme süreçlerini, GDPR (AB), CCPA (Kaliforniya) veya LGPD (Brezilya) gibi bölgeye özgü yasalara uygun hale getirmelisiniz. Bu, veri saklama politikalarının, onay mekanizmalarının ve kullanıcı hakları yönetiminin hizmet verdiğiniz her yargı bölgesi için uyarlanmasını gerektirebilir.
5. LLM'ler aracılığıyla gerçek zamanlı kullanıcı profillemesi yapmak GDPR'a uygun kabul edilir mi?
LLM’ler tarafından yapılan gerçek zamanlı kullanıcı profillemesi, yalnızca sıkı kriterler karşılanırsa GDPR’a uygun olabilir: açık kullanıcı onayı, şeffaflık ve otomatik karar vermeden (Madde 22) vazgeçme hakkı. Profilleme, kullanıcı haklarını veya hizmetlere erişimi etkiliyorsa, yasal olarak insan incelemesi ve ayrıntılı bilgilendirme gereklidir.
