En chattbot på er webbplats behandlar personuppgifter. Besökare skriver namn, mailadresser, telefonnummer och ibland betydligt känsligare saker – oavsett om ni bett om det eller inte. Det gör er till personuppgiftsansvarig och chattbotleverantören till ert personuppgiftsbiträde. Här är vad det innebär i praktiken, och vilka frågor ni ska ställa innan ni skriver på.
Det här är en praktisk genomgång, inte juridisk rådgivning – vid tveksamheter, stäm av med jurist eller Integritetsskyddsmyndigheten (IMY).
Grunderna: ert ansvar och leverantörens
Att ni köper tjänsten flyttar inte ansvaret. GDPR pekar ut er, som samlar in uppgifterna via er webbplats, som ansvarig. Leverantören behandlar uppgifterna på ert uppdrag – och det förhållandet ska regleras i ett personuppgiftsbiträdesavtal (DPA). Ingen leverantör som tar GDPR på allvar saknar ett sådant. Be om det innan ni testar tjänsten, inte efter.
Fem frågor att ställa till varje leverantör
1. Var lagras uppgifterna? Lagring inom EU/EES är den enkla vägen. Lagring i tredjeland, framför allt USA, kräver överföringsmekanismer och gör er egen dokumentation betydligt tyngre. Fråga specifikt om lagringen – inte bara var bolaget har sitt säte.
2. Vilka underbiträden används? De flesta chattbotleverantörer använder andra bolag i kedjan: molnleverantör, AI-modell, analysverktyg. Ni har rätt till en lista över samtliga underbiträden och ska informeras när listan ändras. En leverantör som inte kan redovisa sin kedja har inte kontroll över den.
3. Hur separeras er data från andra kunders? I en delad plattform är frågan om era konversationer och ert innehåll hålls isolerat från andra kunders – eller ligger i samma gryta. Isolering per kund minskar risken vid incidenter och gör radering meningsfull.
4. Hur länge sparas konversationerna och hur raderas de? Ni behöver kunna svara en registrerad som begär utdrag eller radering. Då måste leverantören kunna hitta och ta bort en enskild persons konversationer – be dem beskriva hur det går till rent praktiskt.
5. Används era konversationer för att träna AI-modeller? Rätt svar är nej, eller ett tydligt avtalat undantag ni själva valt. Kunddata som blir träningsdata hos tredje part är svår att förena med både GDPR och sunt förnuft.
Chattens innehåll: tänk på vad besökarna skriver
En sak många missar: ni styr inte vad besökare skriver i en chatt. Någon kan beskriva sin hälsa, sin ekonomi eller en tvist. Er informationstext (integritetspolicyn och gärna en rad i själva chatten) bör därför nämna chattbehandlingen, och lagringstiderna bör vara korta som standard. Samla heller inte in mer än ni behöver – en assistent som ber om personnummer för att svara på öppettider har fel inställningar.
Hur vi har byggt Qliva
Vi byggde Qliva med GDPR som förutsättning, inte som efterhandskonstruktion:
- Drift i Sverige. Plattformen körs på AWS i Stockholm (region eu-north-1).
- Isolerad data per kund. Varje kunds innehåll och konversationer hålls åtskilda från andra kunders.
- Biträdesavtal och ansvarsfördelning. I våra villkor är kunden personuppgiftsansvarig för personuppgifter i innehåll som indexeras via Qliva, och behandlingen ska ske enligt GDPR. Det praktiska upplägget ska som vanligt regleras i biträdesavtal mellan kund och leverantör.
- Lagring och underleverantörer beskrivs öppet. Vår integritetspolicy säger att vi använder betrodda leverantörer för molndrift, AI-bearbetning, e-post, fakturering och driftverktyg, med EU-baserad hosting där det är praktiskt möjligt.
- Data används för drift av tjänsten. Vår integritetspolicy beskriver att konversationsdata kan lagras för att kunder ska kunna granska kvalitet, hantera leads och förbättra sin kunskapsbas. Policyn säger också att vi inte säljer personuppgifter.
- Radering på begäran, per konversation eller för hela kontot.
Checklista innan ni skriver på
Biträdesavtal på plats, lagring inom EU/EES bekräftad, underbiträdeslista mottagen, raderingsrutin beskriven, träningsfrågan besvarad med nej. Fem punkter – en leverantör som klarar alla fem på rak arm har gjort jobbet.
Vill ni se hur det fungerar i praktiken? Beställ en kostnadsfri demo byggd på er egen webbplats, så kan ni granska både svaren och avtalen i lugn och ro.