Polityka prywatności czatu AI „Alicja”

Polityka prywatności czatu AI „Alicja”

Wersja: 1.0

  1. Administrator danych osobowych

Administratorem danych osobowych przetwarzanych w związku z korzystaniem z czatu AI „Alicja” jest:

IBCS Poland sp. z o.o.
Al. J. Piłsudskiego 46
33-300 Nowy Sącz
KRS: 0000030677
e-mail w sprawach dotyczących ochrony danych osobowych: rodo@ibcs.pl

W dalszej części dokumentu IBCS Poland sp. z o.o. jest określana jako „Administrator” lub „IBCS Poland”.

  1. Czym jest czat „Alicja”

„Alicja” jest wirtualną asystentką wykorzystującą system sztucznej inteligencji. Użytkownik czatu prowadzi rozmowę z systemem AI, a nie z człowiekiem.

Odpowiedzi czatu są generowane automatycznie na podstawie treści wpisanych przez użytkownika oraz informacji udostępnionych systemowi przez IBCS Poland. Odpowiedzi mogą być niepełne, nieaktualne lub zawierać błędy i nie stanowią wiążącej oferty, porady prawnej, technicznej ani decyzji IBCS Poland.

W razie potrzeby rozmowa może zostać przekazana upoważnionemu pracownikowi IBCS Poland, w szczególności gdy:

  1. użytkownik poprosi o kontakt z konsultantem;
  2. rozwiązanie sprawy wymaga udziału pracownika;
  3. użytkownik pozostawi dane kontaktowe i poprosi o odpowiedź;
  4. konieczna jest reakcja związana z bezpieczeństwem lub nadużyciem.

Informacja o prowadzeniu rozmowy z AI powinna być przekazywana użytkownikowi przed rozpoczęciem interakcji i pozostawać czytelna podczas korzystania z czatu. Obowiązek przejrzystego informowania o interakcji z AI wynika również z art. 50 AI Act. (Strategia cyfrowa Europy)

  1. Jakie dane przetwarzamy

W związku z korzystaniem z czatu możemy przetwarzać:

  1. treść rozmowy, w tym pytania, odpowiedzi, informacje opisujące sprawę oraz ewentualne załączniki;
  2. dane kontaktowe, jeżeli użytkownik poda je dobrowolnie, np. imię i nazwisko, nazwę firmy, adres e-mail lub numer telefonu;
  3. dane techniczne, takie jak adres IP, data i godzina połączenia, identyfikator sesji, informacje o przeglądarce, urządzeniu i stronie, z której uruchomiono czat;
  4. metadane rozmowy, np. czas rozpoczęcia i zakończenia rozmowy, identyfikator konwersacji, status przekazania rozmowy konsultantowi;
  5. informacje wygenerowane przez system AI, w tym odpowiedzi, klasyfikacje zapytania lub wskazanie odpowiedniej kategorii produktów i usług;
  6. dane przekazane dobrowolnie przez użytkownika w treści wiadomości.

Dane pozyskujemy bezpośrednio od użytkownika oraz automatycznie z urządzenia i oprogramowania używanego do obsługi czatu.

  1. Cele i podstawy prawne przetwarzania

Dane mogą być przetwarzane w następujących celach:

4.1. Prowadzenie rozmowy i obsługa zapytania

Dane przetwarzamy w celu udostępnienia czatu, wygenerowania odpowiedzi oraz obsługi przesłanego zapytania.

Podstawą prawną jest:

  • art. 6 ust. 1 lit. b RODO – gdy zapytanie dotyczy zawarcia lub wykonania umowy albo podjęcia działań na żądanie użytkownika przed jej zawarciem;
  • art. 6 ust. 1 lit. f RODO – w pozostałych przypadkach, na podstawie prawnie uzasadnionego interesu Administratora polegającego na prowadzeniu komunikacji, udzielaniu informacji oraz obsłudze użytkowników strony.

4.2. Przekazanie sprawy konsultantowi

Jeżeli użytkownik poprosi o kontakt z pracownikiem, dane mogą zostać wykorzystane do przekazania zapytania odpowiedniemu działowi, przygotowania odpowiedzi lub nawiązania kontaktu.

Podstawą prawną jest art. 6 ust. 1 lit. b lub lit. f RODO, zależnie od charakteru zapytania.

4.3. Zapewnienie bezpieczeństwa

Dane techniczne, informacje o aktywności oraz fragmenty rozmów mogą być przetwarzane w celu:

  • zabezpieczenia czatu i strony internetowej;
  • wykrywania nadużyć, spamu i prób naruszenia bezpieczeństwa;
  • diagnozowania błędów;
  • zapewnienia ciągłości działania systemów.

Podstawą prawną jest art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na ochronie systemów informatycznych, danych i użytkowników.

4.4. Ustalenie, dochodzenie lub obrona roszczeń

Dane mogą być przechowywane i wykorzystywane, jeżeli jest to konieczne do ustalenia, dochodzenia lub obrony przed roszczeniami.

Podstawą prawną jest art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na ochronie jego praw.

4.5. Analiza jakości działania czatu

Dane mogą być wykorzystywane do analizowania jakości odpowiedzi, poprawiania bazy wiedzy i działania czatu.

W pierwszej kolejności wykorzystujemy dane zagregowane, zanonimizowane lub pozbawione informacji pozwalających na bezpośrednią identyfikację użytkownika.

Treści rozmów nie są wykorzystywane do trenowania modeli sztucznej inteligencji dostawcy ani do budowania profili marketingowych użytkowników.

Powyższe zdanie należy pozostawić wyłącznie wtedy, gdy zostało to potwierdzone w umowie i ustawieniach dostawcy czatu oraz modelu AI. Jeżeli rozmowy są wykorzystywane do trenowania lub rozwijania modelu, punkt ten musi zostać odpowiednio zmieniony.

4.6. Marketing

Samo skorzystanie z czatu nie oznacza zgody na otrzymywanie informacji handlowych.

Dane podane w czacie mogą zostać wykorzystane do przesłania materiałów marketingowych lub dalszego kontaktu handlowego wyłącznie wtedy, gdy użytkownik wyrazi odrębną zgodę albo gdy istnieje inna odpowiednia podstawa prawna.

  1. Dobrowolność podania danych

Korzystanie z czatu jest dobrowolne.

Podanie treści zapytania jest konieczne, aby system mógł udzielić odpowiedzi. Podanie imienia, nazwiska, adresu e-mail, numeru telefonu lub nazwy firmy nie jest wymagane, chyba że użytkownik prosi o kontakt konsultanta lub odpowiedź poza oknem czatu.

Nie należy podawać za pośrednictwem czatu:

  • haseł i danych logowania;
  • danych kart płatniczych;
  • numerów dokumentów tożsamości;
  • informacji stanowiących tajemnicę przedsiębiorstwa;
  • danych dotyczących zdrowia, poglądów politycznych, religii, pochodzenia, życia seksualnego lub innych danych szczególnych kategorii;
  • danych osobowych innych osób, chyba że użytkownik jest uprawniony do ich przekazania.

Czat nie jest przeznaczony do zgłaszania incydentów wymagających przekazania informacji poufnych lub szczególnie chronionych.

  1. Odbiorcy danych

Dostęp do danych mogą otrzymać:

  • upoważnieni pracownicy i współpracownicy IBCS Poland odpowiedzialni za obsługę klienta, sprzedaż, serwis, marketing, bezpieczeństwo lub administrację systemami;
  • dostawca systemu czatu: OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlandia – dostawca systemu konwersacyjnego oraz podmiot przetwarzający dane w celu zapewnienia działania i obsługi czatu;
  • dostawca modelu lub usługi AI: OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlandia – dostawca modeli i usług sztucznej inteligencji oraz podmiot przetwarzający dane w celu generowania odpowiedzi na zapytania użytkowników;
  • dostawcy hostingu, infrastruktury chmurowej, utrzymania strony oraz bezpieczeństwa IT;
  • podmioty świadczące usługi prawne, audytowe lub doradcze;
  • organy publiczne, gdy obowiązek przekazania danych wynika z przepisów prawa.

Podmioty przetwarzające dane na zlecenie IBCS Poland mogą wykorzystywać je wyłącznie zgodnie z instrukcjami Administratora i zawartymi umowami powierzenia przetwarzania.

  1. Przekazywanie danych poza EOG

Należy zastosować jeden z poniższych wariantów, zgodny ze stanem faktycznym.

W związku z korzystaniem z usług dostawcy systemu czatu, infrastruktury chmurowej lub modeli sztucznej inteligencji dane osobowe mogą być przekazywane poza Europejski Obszar Gospodarczy, w szczególności do Stanów Zjednoczonych Ameryki oraz innych państw, w których działają OpenAI, podmioty z grupy OpenAI lub podwykonawcy uczestniczący w świadczeniu usług.

 

Przekazywanie danych odbywa się z zastosowaniem odpowiednich zabezpieczeń wymaganych przez przepisy o ochronie danych osobowych, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

Transfer odbywa się na podstawie:

  • decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, w tym EU–US Data Privacy Framework – jeżeli dany odbiorca jest objęty odpowiednią certyfikacją; lub
  • standardowych klauzul umownych zatwierdzonych przez Komisję Europejską oraz, w razie potrzeby, dodatkowych zabezpieczeń.

Informację o stosowanych zabezpieczeniach można uzyskać pod adresem rodo@ibcs.pl. Komisja Europejska wskazuje, że transfery do niecertyfikowanych odbiorców poza EOG mogą opierać się m.in. na aktualnych standardowych klauzulach umownych. (European Commission)

  1. Okres przechowywania danych

Dane będą przechowywane nie dłużej, niż jest to konieczne do realizacji celów opisanych w niniejszej polityce.

Rekomendowana konfiguracja:

  • treść standardowej rozmowy i jej metadane – przez 6 miesięcy od zakończenia rozmowy;
  • logi techniczne i dane bezpieczeństwa – przez 12 miesięcy;
  • dane przekazane do działu sprzedaży, serwisu lub obsługi klienta – przez okres obsługi sprawy, a następnie zgodnie z okresem przechowywania właściwym dla danej relacji;
  • dane potrzebne do ochrony przed roszczeniami – do czasu upływu odpowiednich terminów przedawnienia;
  • dane przetwarzane na podstawie zgody – do czasu jej wycofania, chyba że wcześniej ustanie cel ich przetwarzania.

Po upływie okresu przechowywania dane zostaną usunięte lub skutecznie zanonimizowane.

Podane okresy należy porównać z faktycznymi ustawieniami dostawcy. Polityka nie może deklarować sześciu miesięcy, jeżeli kopie rozmów są przechowywane przez dostawcę dłużej.

  1. Automatyczne przetwarzanie i decyzje

Czat automatycznie analizuje treść wiadomości oraz generuje odpowiedzi przy użyciu systemu AI.

W ramach samego czatu nie są podejmowane wobec użytkownika decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na użytkownika.

Czat nie dokonuje automatycznej oceny zdolności kredytowej, kwalifikacji do zawarcia umowy, warunków cenowych, zatrudnienia ani dostępu do usług IBCS Poland.

Jeżeli którakolwiek z tych funkcji jest jednak stosowana, niniejszy punkt wymaga rozszerzenia o zasady działania mechanizmu, znaczenie oraz przewidywane konsekwencje takiego przetwarzania.

  1. Prawa użytkownika

W związku z przetwarzaniem danych użytkownik może, w zależności od okoliczności, żądać:

  • dostępu do swoich danych;
  • sprostowania nieprawidłowych danych;
  • usunięcia danych;
  • ograniczenia przetwarzania;
  • przeniesienia danych;
  • wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
  • wycofania udzielonej zgody w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

W celu realizacji praw można skontaktować się z Administratorem pod adresem rodo@ibcs.pl.

Użytkownik ma także prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Administrator może poprosić o informacje niezbędne do potwierdzenia tożsamości osoby składającej żądanie oraz odnalezienia właściwej rozmowy, np. adres e-mail, przybliżoną datę rozmowy lub jej identyfikator.

  1. Pliki cookies i pamięć przeglądarki

Czat może wykorzystywać technicznie niezbędne pliki cookies lub pamięć lokalną przeglądarki w celu:

  • utrzymania aktywnej sesji;
  • zapamiętania identyfikatora rozmowy;
  • zapewnienia bezpieczeństwa;
  • umożliwienia ponownego otwarcia rozmowy.

Narzędzia analityczne lub marketingowe związane z czatem mogą być uruchamiane wyłącznie zgodnie z ustawieniami zgód użytkownika, jeżeli ich zastosowanie wymaga zgody.

Szczegółowa lista stosowanych mechanizmów, ich dostawców i okresów działania powinna znajdować się w polityce cookies lub panelu zarządzania zgodami.

  1. Bezpieczeństwo danych

Administrator stosuje środki organizacyjne i techniczne odpowiednie do charakteru przetwarzanych danych i związanego z nim ryzyka.

Obejmują one w szczególności kontrolę dostępu, nadawanie uprawnień, zabezpieczenie transmisji, rejestrowanie zdarzeń, wykonywanie kopii bezpieczeństwa oraz zobowiązanie osób posiadających dostęp do danych do zachowania poufności.

  1. Zmiany polityki

Polityka może być aktualizowana w przypadku zmiany sposobu działania czatu, dostawcy technologii, zakresu przetwarzanych danych lub obowiązujących przepisów.

Aktualna wersja polityki będzie dostępna bezpośrednio w oknie czatu oraz na stronie internetowej IBCS Poland.