Czat na stronie a RODO: obowiązki właściciela sklepu

Czy czat na stronie faktycznie przetwarza dane osobowe?

Tak, i to w kilku miejscach naraz. Rozmowa z klientem to nie tylko tekst, który piszecie do siebie nawzajem. To też adres IP odwiedzającego, informacja o stronach, które przegląda, czasem jego koszyk, a jeśli poda numer zamówienia albo adres e-mail, zaczynacie przetwarzać dane, które jednoznacznie go identyfikują.

Wielu właścicieli sklepów traktuje czat jak zwykłą wtyczkę, trochę jak przycisk "dodaj do koszyka". Tymczasem to narzędzie, które zbiera dane osobowe praktycznie od pierwszej sekundy wizyty, zanim ktokolwiek napisze choć jedno słowo. Narzędzia takie jak Chateo pokazują podgląd odwiedzających na żywo, wraz ze źródłem wejścia i przeglądanymi stronami, co jest ogromnie przydatne sprzedażowo, ale z punktu widzenia RODO oznacza, że przetwarzanie zaczyna się, zanim klient świadomie kliknie "napisz do nas".

Warto rozróżnić trzy warstwy danych, które pojawiają się przy czacie:

1. Dane techniczne z samej obecności widżetu na stronie (IP, przeglądarka, odwiedzane podstrony).
2. Dane podane dobrowolnie w trakcie rozmowy (imię, e-mail, numer zamówienia, czasem numer telefonu).
3. Dane transakcyjne, jeśli czat pokazuje historię zamówień albo koszyk klienta.

Każda z tych warstw ma swoją podstawę prawną i swój sposób obsługi. Pierwsza wiąże się głównie z cookies i zgodami na śledzenie. Druga wymaga klarownej informacji, do czego dane będą użyte. Trzecia zwykle opiera się na realizacji umowy sprzedaży, więc jest najprostsza prawnie, ale to nie zwalnia Cię z obowiązku jej zabezpieczenia.

Jeśli prowadzisz mały sklep i sam odpisujesz klientom wieczorami, może się wydawać, że RODO to temat dla korporacji z działem prawnym. Nic bardziej mylnego. Przepisy nie rozróżniają wielkości firmy, liczy się fakt przetwarzania danych. Jednoosobowa działalność z czatem na stronie podlega dokładnie tym samym zasadom co sieciówka z kilkudziesięcioma konsultantami. Różnica jest tylko w skali ryzyka, nie w obowiązkach.

Jakie obowiązki informacyjne musisz spełnić, zanim uruchomisz czat?

Zanim klient napisze pierwszą wiadomość, powinien mieć gdzie sprawdzić, kto i po co zbiera jego dane. To podstawowy obowiązek informacyjny z artykułu 13 RODO, i czat na stronie go nie omija, nawet jeśli rozmowa trwa trzy minuty.

W praktyce sprowadza się to do kilku elementów:

• Link do polityki prywatności widoczny w oknie czatu albo tuż obok niego, nie tylko gdzieś w stopce strony.
• Krótka informacja, kto jest administratorem danych (najczęściej właściciel sklepu, nie dostawca narzędzia czatu).
• Wskazanie celu przetwarzania: obsługa zapytania, realizacja zamówienia, ewentualnie marketing, jeśli planujesz wykorzystać dane z rozmowy do wysyłki ofert.
• Informacja o okresie przechowywania rozmów, choćby ogólna ("przechowujemy historię rozmów przez okres X, chyba że przepisy wymagają dłużej").

Wyobraź sobie sklep z odzieżą, w którym klientka pyta przez czat o dostępność rozmiaru i przy okazji podaje swój e-mail, żeby dostać informację, kiedy towar wróci do oferty. W tym momencie zbierasz dane do dwóch różnych celów: obsługi bieżącego zapytania i powiadomienia o dostępności. Jeśli nie powiesz jej o tym wprost, formalnie nie masz podstawy, żeby później wysłać jej tę wiadomość.

Dobra praktyka to jedno zdanie w oknie powitalnym czatu, typu: "Odpisując nam, akceptujesz naszą politykę prywatności [link]". To nie jest wymyślny prawniczy zapis, to po prostu uczciwa informacja, która zdejmuje z Ciebie część ryzyka. Dodatkowo, jeśli korzystasz z bota, który prowadzi klienta przez gotowe ścieżki (status zamówienia, pytanie po godzinach, porzucony koszyk), warto, żeby pierwszy krok takiej ścieżki również zawierał odnośnik do zasad przetwarzania danych, a nie tylko miłe "cześć, w czym pomóc".

Jeśli masz wątpliwości, czy Twoja informacja jest wystarczająca, skonsultuj ją z prawnikiem specjalizującym się w ochronie danych. To nie jest przesada, to jedno spotkanie, które może oszczędzić Ci później sporo nerwów.

Czy potrzebujesz umowy powierzenia z dostawcą czatu?

Krótka odpowiedź: w zdecydowanej większości przypadków tak. Jeśli korzystasz z zewnętrznego narzędzia do czatu, ten dostawca przetwarza dane Twoich klientów w Twoim imieniu, a to oznacza, że jesteście w relacji administrator (Ty) i podmiot przetwarzający (dostawca czatu).

Umowa powierzenia przetwarzania danych (w skrócie UPD) to dokument, który reguluje tę relację. Powinien jasno określać, jakie dane są przetwarzane, w jakim celu, jak długo, gdzie fizycznie leżą serwery i jakie zabezpieczenia stosuje dostawca. Bez takiej umowy, formalnie nie masz podstawy, żeby w ogóle korzystać z zewnętrznego czatu na stronie, niezależnie od tego, jak dobre jest to narzędzie.

Na co zwrócić uwagę, przeglądając umowę powierzenia konkretnego dostawcy:

• Czy dane trzymane są na serwerach w Unii Europejskiej, czy gdzieś poza nią (to ma znaczenie przy transferach danych).
• Czy dostawca umożliwia eksport i usuwanie danych konkretnego odwiedzającego na żądanie.
• Czy jest określony mechanizm zgłaszania naruszeń ochrony danych.
• Czy umowa jest w ogóle dostępna od ręki, bez konieczności pisania maili i czekania tygodniami.

To akurat jeden z tematów, gdzie warto wspomnieć o konkretnym rozwiązaniu, bo różnice między dostawcami bywają spore. Chateo trzyma dane na serwerach w Warszawie, udostępnia gotową umowę powierzenia, a dodatkowo pozwala wyeksportować albo usunąć dane konkretnego odwiedzającego, co przydaje się, gdy ktoś skorzysta z prawa do bycia zapomnianym. Dobrze też, gdy system po pewnym czasie sam usuwa wizyty, podczas których nikt nie napisał ani słowa, bo wtedy nie zbierasz danych "na zapas" bez żadnego celu.

Jeśli korzystasz z kilku narzędzi jednocześnie (czat, newsletter, system do fakturowania), każde z nich potrzebuje osobnej umowy powierzenia. To żmudne, ale jednorazowe zadanie, które warto zrobić przed startem, a nie łatać po fakcie.

Jak czat wpływa na zgody cookies i marketing?

Czat na stronie często korzysta z plików cookies, żeby zapamiętać historię rozmowy albo rozpoznać wracającego klienta. To oznacza, że wpada w ten sam reżim prawny co inne narzędzia śledzące, czyli wymaga odpowiedniej zgody w ramach banera cookies.

W praktyce rozróżnia się cookies niezbędne do działania czatu (np. te, które utrzymują sesję rozmowy) od cookies służących do analityki czy remarketingu. Te pierwsze zwykle nie wymagają osobnej zgody, bo są potrzebne do samej funkcjonalności, którą klient świadomie uruchamia. Te drugie, czyli np. śledzenie zachowania odwiedzającego między wizytami w celach marketingowych, już owszem.

Tutaj pojawia się ważna kwestia techniczna. Im więcej zewnętrznych skryptów i trackerów ładuje widżet czatu, tym więcej zgód musisz zbierać i tym trudniej udowodnić, że działasz zgodnie z zasadą minimalizacji danych. Lekki skrypt, który nie ciągnie za sobą dodatkowych czcionek ani zewnętrznych trackerów, to nie tylko kwestia szybkości strony, ale też prostszy obraz prawny. Jeśli zastanawiasz się, jak bardzo widżet czatu obciąża Twój sklep, możesz sprawdzić wpływ czatu na szybkość ładowania strony, bo ciężki skrypt to zwykle też sygnał, że dzieje się tam więcej, niż powinno.

Warto też zadbać o tryb zgody na cookies w samym panelu narzędzia, jeśli takie oferuje. Dzięki temu widżet nie ładuje dodatkowych elementów śledzących, dopóki odwiedzający nie wyrazi na to zgody w banerze. To rozwiązuje problem u źródła, zamiast zbierać zgody "na wszelki wypadek" po fakcie.

Jeśli planujesz wykorzystywać dane z rozmów do działań marketingowych, na przykład wysyłki newslettera po rozmowie o produkcie, musisz mieć na to osobną, wyraźną zgodę. Samo udzielenie odpowiedzi na pytanie o rozmiar butów nie jest zgodą na zapisanie kogoś do bazy mailingowej, nawet jeśli bardzo by Ci się to przydało sprzedażowo.

Jak długo możesz przechowywać historię rozmów i dane odwiedzających?

RODO nie podaje sztywnej liczby dni czy miesięcy, za to wymaga, żebyś przechowywał dane tylko tak długo, jak jest to potrzebne do celu, w którym je zebrałeś. To zasada ograniczenia przechowywania, i w praktyce oznacza konieczność ustalenia własnej, sensownej polityki retencji.

Dla historii rozmów z czatu dobrym punktem wyjścia jest rozróżnienie dwóch sytuacji:

• Rozmowa zakończona sprzedażą albo reklamacją: tu dane mogą być potrzebne dłużej, bo wiążą się z dokumentacją zamówienia czy ewentualnym sporem.
• Wizyta bez żadnej rozmowy, czyli ktoś tylko przeglądał stronę, a widżet czatu zapisał jego obecność: tu nie ma żadnego uzasadnionego celu, żeby trzymać te dane miesiącami.

Wyobraź sobie sklep, w którym w ciągu miesiąca stronę odwiedza kilka tysięcy osób, a rozmowę zaczyna z nich tylko niewielki procent. Jeśli narzędzie zapisuje dane każdej z tych osób bezterminowo, tylko dlatego że widżet był załadowany, budujesz sobie ogromną bazę danych bez żadnego celu biznesowego, a to prosta droga do problemów przy ewentualnej kontroli.

Dobre praktyki, które warto wdrożyć niezależnie od narzędzia:

1. Ustal jasny okres przechowywania rozmów zakończonych (np. tyle, ile trwa okres przedawnienia roszczeń z tytułu sprzedaży).
2. Automatyzuj usuwanie danych z wizyt bez żadnej interakcji, zamiast liczyć na to, że ktoś pamięta, żeby to zrobić ręcznie.
3. Regularnie przeglądaj, jakie dane w ogóle trzymasz, zwłaszcza jeśli korzystasz z narzędzia od dłuższego czasu i nigdy nie robiłeś porządków.

To akurat jeden z obszarów, gdzie automatyzacja naprawdę pomaga, bo ręczne czyszczenie bazy danych kilka razy w roku to zadanie, które zawsze zejdzie na dalszy plan wobec bieżących zamówień i reklamacji.

Co zrobić, gdy klient poprosi o usunięcie swoich danych?

Każdy odwiedzający ma prawo zapytać, jakie dane o nim zbierasz, poprosić o ich poprawienie albo zażądać usunięcia. To prawo dostępu, sprostowania i prawo do bycia zapomnianym, i dotyczą one też danych zebranych przez czat na stronie, nie tylko tych z formularza zamówienia.

W praktyce taka prośba może wyglądać różnie. Czasem klient napisze wprost przez czat: "proszę usunąć moje dane". Czasem przyjdzie e-mail na adres kontaktowy ze sklepu, czasem zgłoszenie trafi do administratora danych osobowych, jeśli taki wyznaczyłeś. Niezależnie od kanału, masz obowiązek zareagować w rozsądnym terminie, zwykle mówi się o miesiącu, choć w prostych sprawach warto działać szybciej.

Co powinieneś umieć zrobić technicznie, zanim taka prośba w ogóle się pojawi:

• Znaleźć konkretną osobę w panelu narzędzia do czatu, np. po adresie e-mail albo numerze zamówienia.
• Wyeksportować jej dane, jeśli prosi o dostęp, a nie od razu o usunięcie.
• Trwale usunąć historię rozmów i dane identyfikacyjne tej osoby z systemu.
• Potwierdzić wykonanie prośby, najlepiej pisemnie, żebyś miał dowód, że sprawa została załatwiona.

Jeśli korzystasz z narzędzia, które nie pozwala Ci samodzielnie wyszukać i usunąć danych konkretnej osoby, a wymaga pisania do supportu dostawcy i czekania na odpowiedź, realnie utrudnia Ci to wywiązanie się z obowiązków. To dobry test, który warto zrobić jeszcze przed podpisaniem umowy z dostawcą czatu: spróbuj znaleźć w panelu opcję eksportu i usunięcia danych pojedynczego odwiedzającego. Jeśli jej nie ma, albo jest ukryta trzy poziomy głębiej, to sygnał ostrzegawczy.

Warto też prowadzić prosty rejestr takich zgłoszeń, choćby w arkuszu kalkulacyjnym: kto prosił, kiedy, co zrobiłeś. To niewielki wysiłek, a w razie kontroli pokazuje, że masz nad tym kontrolę, zamiast działać chaotycznie od przypadku do przypadku.

Checklist: co sprawdzić przed włączeniem czatu na stronie

Zanim wkleisz kod widżetu i uruchomisz rozmowy z klientami, przejdź przez tę listę. To zajmie dosłownie godzinę, a może oszczędzić Ci miesięcy wyjaśnień.

1. Sprawdź politykę prywatności i upewnij się, że wspomina o czacie jako kanale kontaktu i źródle danych.
2. Dodaj informację o zasadach przetwarzania danych w oknie powitalnym czatu, z linkiem do pełnej polityki.
3. Podpisz umowę powierzenia z dostawcą narzędzia, zamiast polegać na samym regulaminie usługi.
4. Sprawdź, gdzie fizycznie leżą dane, czy to serwery w UE, czy poza nią, bo to wpływa na dodatkowe obowiązki przy transferze.
5. Ustaw zgody cookies tak, żeby czat nie ładował zbędnych trackerów bez zgody odwiedzającego.
6. Ustal politykę retencji rozmów i wizyt, najlepiej z automatycznym usuwaniem danych bez interakcji po określonym czasie.
7. Przetestuj eksport i usuwanie danych konkretnej osoby w panelu, zanim ktokolwiek o to poprosi.
8. Ogranicz dostęp do panelu czatu tylko do osób, które faktycznie go potrzebują, najlepiej z osobnymi rolami i logowaniem dwuetapowym.
9. Skonsultuj się z prawnikiem, jeśli sklep przetwarza dane wrażliwe albo obsługuje dużą liczbę klientów dziennie.

Ten sam schemat warto zastosować niezależnie od tego, jakie narzędzie wybierzesz, bo właśnie na etapie wyboru warto porównać, jak różni dostawcy podchodzą do tych kwestii. Jeśli dopiero zastanawiasz się nad samym wdrożeniem, zacznij od tego, jak w ogóle dodać czat na stronę internetową, i dopiero potem porównuj narzędzia pod kątem zgodności z RODO, a nie na odwrót. Wybór narzędzia do czatu dla sklepu czy firmy usługowej to zresztą osobny temat, który warto przemyśleć równolegle z kwestiami prawnymi, bo łatwiej jest wybrać dobrze raz, niż migrować dane między systemami, gdy już zbierzesz ich sporo.

Najczęściej zadawane pytania

Czy mały sklep internetowy też musi mieć umowę powierzenia z dostawcą czatu?

Tak, obowiązek dotyczy każdej firmy przetwarzającej dane klientów przez zewnętrzne narzędzie, niezależnie od wielkości sklepu. Wielkość firmy wpływa na skalę ryzyka, nie na sam obowiązek podpisania umowy.

Czy czat na stronie wymaga osobnej zgody w banerze cookies?

Zależy od tego, do czego służą pliki cookies związane z czatem. Jeśli są niezbędne do działania samej rozmowy, zwykle nie wymagają osobnej zgody, ale jeśli widżet dociąga dodatkowe skrypty śledzące do celów marketingowych, taka zgoda jest konieczna.

Jak długo powinienem przechowywać historię rozmów z klientami?

Tyle, ile jest to uzasadnione celem, w jakim dane zebrałeś, na przykład okresem przedawnienia roszczeń przy sprzedaży. Wizyty bez żadnej rozmowy warto usuwać znacznie szybciej, bo nie służą żadnemu konkretnemu celowi.

Co zrobić, jeśli klient przez czat poda swoje dane, a potem poprosi o ich usunięcie?

Musisz umieć zidentyfikować tę osobę w panelu narzędzia i trwale usunąć jej dane oraz historię rozmowy, zwykle w ciągu miesiąca od zgłoszenia. Warto wcześniej sprawdzić, czy Twoje narzędzie do czatu w ogóle udostępnia taką funkcję bez konieczności kontaktu z supportem dostawcy.

Czy administratorem danych z czatu jest sklep, czy dostawca narzędzia do czatu?

Administratorem zwykle pozostaje właściciel sklepu, bo to on decyduje o celach przetwarzania danych klientów. Dostawca narzędzia działa jako podmiot przetwarzający na podstawie umowy powierzenia, nie jako samodzielny administrator.