AVG en klantgegevens bij AI op uw website

• Wat de bezoeker typt. Dat is de gevoeligste stroom, want u bepaalt niet wat mensen intypen. Iemand plakt zijn hele bestelbevestiging, inclusief adres, in het venster omdat dat handig lijkt.
• Wat uw site meestuurt. Denk aan de pagina waarop iemand zit, soms een klantnummer als iemand ingelogd is, soms de inhoud van een winkelmandje.
• Wat er uit uw eigen bronnen bij wordt gezocht. Meestal zijn dat gewoon uw eigen teksten en dus geen persoonsgegevens, maar dat verandert zodra u bestelgegevens ontsluit.
• Technische gegevens. IP-adres, browser, tijdstip. Vrijwel elke dienst legt dit vast, al is het maar tegen misbruik.

Maak hier een lijstje van voordat u iets aanzet. In de praktijk blijkt dan vaak dat de helft van de stromen niet nodig is. Een chatbot die vragen over levertijden beantwoordt, hoeft geen klantnummer te ontvangen. Alles wat u niet verstuurt, hoeft u ook niet te verantwoorden. Dat is de goedkoopste maatregel die er bestaat.

Vraag de aanbieder om dit lijstje zelf op te stellen en om te laten zien welk verzoek er precies naar zijn servers gaat. Dat kan technisch prima worden getoond. Kan of wil men dat niet, dan weet u nog steeds niet wat u verstuurt, en dan kunt u ook niet vastleggen wat u verwerkt. Dat is geen detail: het is de basis waar alles wat hierna komt op rust.

Voor de AVG is de vraag waar die verwerking plaatsvindt en onder welk rechtsstelsel de partij valt. De grote modellen komen van Amerikaanse bedrijven. Sommige bieden inmiddels verwerking binnen de Europese Unie aan; dat is meestal een betaalde optie die u actief moet aanzetten, geen standaardinstelling. Er zijn ook Europese aanbieders en er zijn modellen die u op een eigen server kunt draaien, wat duurder is maar de vraag naar doorgifte grotendeels wegneemt.

Wat dit betekent voor uw verwerkingsregister en uw privacyverklaring, hangt van die keuze af. Twee dingen zijn hoe dan ook verstandig. Ten eerste: leg vast welke partijen erbij betrokken zijn en waar zij verwerken. Ten tweede: sluit met elke partij een verwerkersovereenkomst voordat er echte bezoekers op zitten, niet erna.

Ons uitgangspunt bij het beheer dat wij doen, is dat gegevens zo veel mogelijk binnen de EU blijven. Dat geldt voor back-ups en dat willen wij ook voor dit soort functies. Hoe wij daarmee omgaan bij het bredere automatiseren van werk op uw site, bespreken wij per situatie, want de mogelijkheden verschillen per aanbieder.

Grofweg: bij gratis en consumentenversies is de kans reëel dat wat u invoert wordt gebruikt om het model te verbeteren. Bij zakelijke abonnementen en bij toegang via een programmeerkoppeling is dat doorgaans uitgesloten, soms standaard en soms pas nadat u het aanvinkt.

Het verschil is voor u niet academisch. Gaat het om vragen van klanten die hun eigen situatie beschrijven, dan wilt u de garantie dat die tekst niet in een trainingsbestand belandt. Zet die garantie schriftelijk vast en bewaar de datum, want voorwaarden veranderen.

Let ook op de bewaartermijn. Veel aanbieders bewaren gesprekken een aantal weken voor het opsporen van misbruik, ook als ze niet trainen. Dat is verdedigbaar, maar u moet het weten en het hoort in uw privacyverklaring te passen. Heeft u die nog niet op orde, dan is dit een goed moment; wij hebben eerder beschreven wat er in een privacyverklaring voor uw website thuishoort.

Vraag tot slot wat er gebeurt als u opzegt. Worden gesprekken verwijderd, en binnen welke termijn?

Er zit nog een laag onder. De partij waar u een abonnement afsluit, is vaak niet de partij die het model draait. U koopt bij een Nederlandse leverancier, die koopt bij een Amerikaanse. De voorwaarden die voor u gelden, zijn dan een doorgifte van voorwaarden die iemand anders heeft bedongen. Vraag dus niet alleen naar het beleid van uw eigen leverancier maar ook naar dat van diens leverancier, en vraag om dat op papier.

De hoofdregel die wij aanhouden: laad het pas als de bezoeker erop klikt. Dat is technisch prima te doen, het is beter voor de laadtijd en het maakt de vraag of u vooraf toestemming nodig had een stuk kleiner. Een venster dat pas na een handeling van de bezoeker verschijnt, is moeilijk te verwarren met stiekem volgen.

Wat u daarnaast wilt vermijden, is dat het chatscript ook meetgegevens verzamelt voor de aanbieder. Sommige producten doen dat, en dan zit u met analytische verwerking waarvoor de regels strenger zijn. Vraag ernaar en zet uit wat u niet nodig heeft.

Zorg verder dat de bezoeker in het venster zelf ziet wie het antwoord geeft en waar de privacyverklaring staat. Eén zin bovenaan is genoeg. Dat voorkomt de indruk dat u iets verbergt en het scheelt vragen achteraf.

Wie zijn meetinstrumenten al netjes heeft ingericht, kent deze afwegingen. De aanpak is dezelfde als bij statistiekscripts: minder verzamelen, later laden, en zichtbaar maken wat er gebeurt.

Let bij het inrichten ook op de tekst van uw cookiebanner zelf. Weigert een bezoeker alles, dan moet het chatvenster daar netjes op reageren en niet alsnog laden. Dat klinkt vanzelfsprekend en het gaat in de praktijk vaak mis, omdat het venster via een aparte plugin wordt geplaatst die los staat van uw toestemmingsbeheer. Controleer dat één keer met een lege browser en u weet het zeker.

Er zijn een paar praktische remmen die het risico klein houden.

Zeg wat het venster niet is

Eén zin bovenin dat dit een algemene assistent is en dat men er geen persoonlijke of medische gegevens in moet zetten, scheelt verrassend veel. Het is geen sluitende bescherming, wel een duidelijke instructie.

Filter voordat het verstuurd wordt

Herkende patronen zoals burgerservicenummers, rekeningnummers en creditcardnummers kunt u er automatisch uithalen voordat de tekst uw site verlaat. Dat is standaardwerk en het is niet duur.

Bewaar zo kort mogelijk

Gesprekken zijn nuttig om te zien waar het misgaat, maar u heeft ze zelden langer dan een paar weken nodig. Stel een termijn in en houd u eraan. Dat u iets kunt bewaren, is geen reden om het te doen.

Werk met de minste rechten

Geeft u de bot toegang tot uw bestelsysteem, doe dat dan met een account dat alleen mag lezen wat nodig is. Ditzelfde principe hanteren wij bij het afschermen van een WordPress-installatie, en het werkt hier precies zo.

Dat betekent iets heel praktisch: u moet gesprekken kunnen terugvinden en kunnen wissen. Bij veel kant-en-klare producten kan dat, maar niet altijd op persoonsniveau. Test dit voordat u live gaat. Vraag de aanbieder om te laten zien hoe hij één specifiek gesprek verwijdert, inclusief kopieën bij de modelleverancier.

Loopt er ook een koppeling naar uw CRM of e-mailsysteem, dan verspreidt een gegeven zich over meerdere plekken. Een verwijderverzoek moet dan overal landen. Houd daarom een simpel overzicht bij van waar gegevens uit de chat terechtkomen. Twee regels op papier zijn genoeg, mits ze kloppen.

Denk ook aan de situatie waarin u de dienst opzegt of van aanbieder wisselt. Neemt u de gespreksgeschiedenis mee, of blijft die achter bij een partij waar u geen relatie meer mee heeft? Leg vooraf vast dat er bij beëindiging verwijderd wordt.

Voor de bredere basis van wat er op een zakelijke site geregeld moet zijn, is een doorloop van de privacy-onderdelen op uw site een nuttig vertrekpunt. Een chatfunctie is daar een extra hoofdstuk in, geen aparte wereld.

Regel tot slot wie er intern over gaat. Bij de meeste kleine bedrijven is dat de ondernemer zelf, en dat is prima, mits die persoon weet waar hij moet klikken om een gesprek te vinden en te verwijderen. Loop dat één keer samen door en schrijf de stappen op. Een verzoek van een klant komt zelden op een rustig moment, en dan wilt u niet gaan zoeken.

1. Welke partijen verwerken de gegevens en waar staan hun servers?
2. Kan ik verwerking binnen de Europese Unie afdwingen, en kost dat extra?
3. Wordt mijn invoer gebruikt voor het trainen of verbeteren van modellen? Staat dat schriftelijk?
4. Hoe lang worden gesprekken bewaard en kan ik die termijn zelf instellen?
5. Kunt u één specifiek gesprek op verzoek verwijderen, inclusief bij uw eigen leveranciers?
6. Is er een verwerkersovereenkomst, en wie zijn daarin de subverwerkers?
7. Wat gebeurt er met mijn gegevens als ik opzeg?
8. Meldt u een datalek aan mij, binnen welke termijn en via wie?

Schrijf de antwoorden op en bewaar ze bij uw overige documentatie. Niet omdat een toezichthouder er morgen om vraagt, maar omdat u over twee jaar niet meer weet wat er is afgesproken en de aanbieder dan misschien andere voorwaarden hanteert.

Twijfelt u of uw huidige opzet klopt, dan is een nuchtere doorloop van wat er nu op uw site draait een goed begin. Wij kijken daar standaard naar bij het maandelijkse beheer van uw site, en bij twijfel adviseren wij zonder omhaal om een privacyjurist ernaar te laten kijken.