01Răspunderea rămâne la tine, chiar dacă botul îl rulează furnizorul
Conform GDPR, o conversație cu un client devine dată cu caracter personal în momentul în care conține un nume, un număr de telefon, o adresă de email sau orice altceva care duce la o persoană (art. 4 pct. 1). Afacerea ta hotărăște de ce și cum se folosesc datele, deci ești operator. Furnizorul chatbotului, care lucrează în numele tău, este persoana împuternicită de operator. Art. 28 alin. (1) cere operatorului să folosească doar persoane împuternicite care oferă garanții suficiente, iar art. 5 alin. (2) cere să poți demonstra că respecți regulile. Așa că fraza „furnizorul spune că e sigur” nu e un argument pe care îl poți da unei autorități. Garanțiile trebuie să fie scrise.
- Un mesaj de client cu nume, telefon sau email este dată cu caracter personal (art. 4 pct. 1)
- Afacerea ta este operatorul, iar furnizorul chatbotului este persoana împuternicită (art. 4 pct. 7 și 8)
- Folosești doar persoane împuternicite care oferă garanții suficiente (art. 28 alin. 1)
- Trebuie să poți demonstra că ai respectat regulile (art. 5 alin. 2)
02Patru întrebări pentru orice furnizor de chatbot
Întreabă unde sunt stocate datele și dacă ies din UE. Art. 44 permite transferul datelor într-o țară din afara UE doar dacă sunt îndeplinite condițiile capitolului GDPR despre transferuri, iar art. 13 alin. (1) lit. f) înseamnă că s-ar putea să trebuiască să-ți informezi clienții despre un asemenea transfer. Întreabă cât timp sunt păstrate conversațiile: datele se păstrează doar cât e necesar (art. 5 alin. 1 lit. e), iar notificarea ta de confidențialitate trebuie să indice perioada sau criteriile prin care se stabilește (art. 13 alin. 2 lit. a). Întreabă dacă furnizorul antrenează modele pe conversațiile tale și cere răspunsul ca o clauză scrisă, nu ca o replică de vânzări. Antrenarea e o folosire separată a datelor, iar art. 5 alin. (1) lit. b) limitează folosirea ulterioară la scopuri compatibile cu cel inițial. În final, cere acordul de prelucrare a datelor și lista subcontractanților care îți ating datele (sub-împuterniciți).
- Unde sunt stocate datele și ies ele din UE?
- Cât timp sunt păstrate și sunt șterse sau returnate când pleci (art. 28 alin. 3 lit. g)?
- Antrenează furnizorul modele pe conversațiile tale? Cere răspunsul ca o clauză scrisă
- Există un acord de prelucrare semnat și o listă de sub-împuterniciți?
03Ce trebuie să cuprindă contractul și termenul de 72 de ore
Art. 28 alin. (3) spune că prelucrarea de către o persoană împuternicită se desfășoară în baza unui contract. Acel contract trebuie să o oblige să prelucreze datele doar pe baza instrucțiunilor tale documentate (lit. a), să aplice măsurile de securitate cerute de art. 32 (lit. c) și, la alegerea ta, să șteargă sau să-ți returneze toate datele când serviciul se încheie (lit. g). Potrivit art. 28 alin. (2), nu poate angaja o altă persoană împuternicită fără autorizarea ta scrisă prealabilă, specifică sau generală (în cazul celei generale, trebuie să te informeze despre orice schimbare), ceea ce contează pentru că un chatbot e adesea construit pe modelul AI al unui terț. Încălcările au un termen. Persoana împuternicită te anunță fără întârzieri nejustificate (art. 33 alin. 2), iar tu notifici autoritatea de supraveghere în cel mult 72 de ore, dacă este posibil, în afară de cazul în care încălcarea nu este susceptibilă să genereze un risc pentru persoane (art. 33 alin. 1). În România, autoritatea este ANSPDCP.
- Contractul o obligă pe persoana împuternicită să urmeze instrucțiunile tale documentate
- Datele se șterg sau se returnează la încheierea serviciului, la alegerea ta
- Niciun sub-împuternicit nou fără autorizarea ta scrisă prealabilă, specifică sau generală
- Încălcare: furnizorul te anunță fără întârziere, tu anunți ANSPDCP în cel mult 72 de ore, dacă este posibil, în afară de cazul în care încălcarea nu este susceptibilă să genereze un risc pentru persoane
04Colectează mai puțin: ce nu trebuie să ceară un chatbot
Cea mai sigură dată e cea pe care nu o colectezi. Art. 5 alin. (1) lit. c) cere date adecvate, relevante și limitate la ce e necesar. Pentru un chatbot de programări sau de prețuri, asta înseamnă un nume, un mijloc de contact și o dată, nu un CNP, un număr de card sau un istoric medical. Datele privind sănătatea sunt o categorie specială, a cărei prelucrare art. 9 alin. (1) o interzice, cu excepții precum consimțământul explicit pentru scopuri precizate (art. 9 alin. 2 lit. a). Dacă afacerea ta ajunge aproape de astfel de detalii, construiește chatul să îndrume omul să sune sau să scrie, nu să le tasteze acolo. Iar plata se face pe o pagină de plată, niciodată în conversație.
- Cere un nume, un mijloc de contact și o dată, nimic mai mult (art. 5 alin. 1 lit. c)
- Fără CNP, număr de card sau detalii medicale în chat
- Datele privind sănătatea sunt o categorie specială (art. 9 alin. 1)
- Plata se face pe o pagină de plată, nu într-o conversație
05Spune-le oamenilor că vorbesc cu un bot și ce se întâmplă cu conversația
Art. 50 alin. (1) din Regulamentul european privind inteligența artificială cere ca furnizorii să proiecteze sistemele de IA care interacționează direct cu oameni astfel încât aceștia să fie informați că au de-a face cu un sistem de IA, cu excepția cazului în care e evident pentru o persoană rezonabil de bine informată. Art. 50 se aplică din 2 august 2026. Separat, art. 13 din GDPR înseamnă că omul trebuie să afle cine colectează datele, de ce, cine le primește și cât timp sunt păstrate. Într-o fereastră de chat, asta înseamnă o linie scurtă deasupra conversației și un link către pagina de confidențialitate. Art. 50 alin. (1) se adresează furnizorului sistemului. Dacă obligațiile cad și pe tine, ca afacere care îl folosește, e o întrebare pentru un consultant juridic.
- Spune de la începutul conversației că e un sistem de IA (art. 50 alin. 1 din Regulamentul privind IA)
- Pune un link către o pagină de confidențialitate care spune cine ești, de ce, cine primește datele și cât timp
- Întreabă furnizorul ce obligații îi revin lui și ce obligații îți revin ție
06Unde se potrivește PROOF48 și unde nu e alegerea potrivită
Planul AUTOMATE al PROOF48 costă 2.997 EUR pe lună și include un chatbot AI pe site care califică lead-uri și programează, auto-respondere AI pentru DM și email, automatizarea programărilor și un CRM. Nu acoperă WhatsApp și nici apelurile telefonice. Pagina noastră de confidențialitate descrie ce colectează proof48.com de la propriii vizitatori și din formularele de proiect, nu cum sunt tratate datele chatbotului unui client, iar site-ul nu publică un model de acord de prelucrare a datelor, o listă de sub-împuterniciți sau o certificare de securitate. Pagina noastră despre asistentul AI descrie câte o sesiune Claude pentru fiecare canal al clientului, ceea ce înseamnă că textul conversațiilor ajunge la un furnizor de modele AI. Dacă procedura ta de achiziții cere azi un furnizor certificat sau o listă publicată de sub-împuterniciți, ori dacă chatul ar da sfaturi medicale, juridice sau financiare, PROOF48 nu e alegerea potrivită.
- AUTOMATE, 2.997 EUR pe lună: chatbot pe site, auto-respondere pentru DM și email, automatizarea programărilor, CRM
- WhatsApp și apelurile telefonice nu sunt acoperite de AUTOMATE
- Site-ul nu publică un model de acord de prelucrare, o listă de sub-împuterniciți sau o certificare de securitate
- Nu e alegerea potrivită dacă ai nevoie acum de un furnizor certificat sau de sfaturi în medicină, drept ori finanțe
Nu un chatbot: cum a tratat o platformă de membri datele membrilor
Niciuna dintre cele opt lucrări prezentate nu e un chatbot AI, așa că nu avem un caz de chatbot de citat. Cea mai apropiată este SunVolt Club, o platformă de membri pentru SunVolt Energy UAB, cu autentificare pentru membri și rapoarte energetice încărcate de un administrator. Am livrat încărcarea rapoartelor verificată după tipul fișierului, dimensiune și semnătura binară, limitare de rată pe autentificare, resetarea parolei, formulare și checkout, webhook-uri Stripe verificate prin semnătură și consimțământ pentru cookie-uri conectat la analytics înainte să pornească vreun tag. Asta e igienă obișnuită de web, nu un audit de chatbot. Nu publicăm numărul de membri al SunVolt.
Vezi lucrarea: SunVolt ClubÎntrebări, cu răspuns
Un chatbot AI respectă GDPR din start?
Niciun produs nu e conform de unul singur. GDPR se aplică felului în care îl folosești: ce colectezi, de ce, cât timp și în baza cărui contract. Un furnizor poate da garanții, dar art. 5 alin. (2) lasă la tine obligația de a demonstra conformitatea.
Am nevoie de un acord de prelucrare a datelor cu furnizorul chatbotului?
Dacă furnizorul prelucrează date personale în numele tău, art. 28 alin. (3) cere ca prelucrarea să fie reglementată printr-un contract cu un conținut stabilit. Majoritatea furnizorilor îl numesc acord de prelucrare a datelor. Cere-l înainte să semnezi.
Publică PROOF48 un acord de prelucrare a datelor sau o listă de sub-împuterniciți?
Nu pe acest site, azi. Pagina noastră de confidențialitate acoperă proof48.com, nu chatboturile clienților. Dacă ai nevoie de unul dintre documente, cere-l în scris înainte să cumperi și consideră un refuz drept răspunsul tău.
Poate un chatbot să preia datele cardului sau informații despre sănătate?
Nu ar trebui. Încasează plata pe o pagină de plată și trimite detaliile medicale sau juridice către un om. Datele privind sănătatea sunt o categorie specială conform art. 9 alin. (1).
Unde se încadrează PROOF48
Un chatbot e atât de sigur cât sunt contractul și configurarea din jurul lui. Cere răspunsuri scrise despre unde sunt stocate datele, cât timp sunt păstrate, dacă furnizorul antrenează modele pe ele și dacă ai un acord de prelucrare semnat, colectează cât mai puțin și spune-le oamenilor că vorbesc cu un bot. Chatbotul AUTOMATE de la PROOF48 costă 2.997 EUR pe lună, iar noi nu publicăm un model de acord, o listă de sub-împuterniciți sau o certificare, așa că pune-ne aceleași întrebări.
Cosmin Tiu · Fondator, PROOF48
Cosmin lucrează în marketing online și dezvoltare software din 2018, iar din ianuarie 2023 construiește zilnic cu AI. Scrie și acum cod de la zero în fiecare zi, în Python, React, Rust și C#. PROOF48 livrează site-uri de prezentare în 48 de ore și facturează după, așa că fiecare opinie de pe acest blog a fost plătită în lucrări reale, nu în teorie.