AI chatboti a GDPR, na co myslet při nasazení (2026)

Není to právní poradenství. Tento článek je orientační přehled. Závazné a aktuální informace o zpracování dat najdete v našich zásadách ochrany osobních údajů.

Proč se GDPR týká i chatbota

AI chatbot pro zákaznickou podporu může zpracovávat osobní údaje v obsahu konverzace, IP adresu nebo informace o zařízení. Breezaro působí v EU a na zpracování osobních údajů při poskytování jeho služeb se vztahuje GDPR. Nestačí proto znát jen místo uložení: je potřeba určit účel, právní základ, dobu uchování a odpovědnosti jednotlivých stran.

Jaké osobní údaje chatbot zpracovává

• Obsah konverzace. To, co návštěvník napíše, a odpovědi bota.
• Technické údaje. IP adresa, typ prohlížeče a zařízení, jazyk, odkud návštěvník přišel.
• Odvozená poloha. Přibližná země, pro kontext lidské podpory.
• Údaje o účtu (u vás jako zákazníka): e-mail, jméno a heslo uložené jen jako nevratný otisk.

Kam data putují

Odpovědi chatbotu generuje OpenAI nebo Google, embeddingy vytváří Google. Hetzner hostuje aplikaci, hlavní databázi PostgreSQL a vektorový vyhledávací index. Dalšími poskytovateli jsou například Stripe pro platby a Resend pro e-maily. Přehled příjemců a pravidla přenosů dat jsou v zásadách ochrany osobních údajů; tento hosting neznamená, že veškeré údaje služby zpracováváme výhradně v EU.

U konverzací a znalostní báze zpravidla určujete účel a právní základ zpracování vy jako provozovatel webu. Breezaro tyto údaje zpracovává vaším jménem podle zpracovatelské smlouvy. U údajů pro vlastní fakturaci nebo zabezpečení služby může Breezaro vystupovat jako samostatný správce.

Jak Breezaro data chrání

• Geolokaci určujeme z lokální databáze. IP adresu návštěvníka kvůli zjištění země neposíláme žádné třetí straně; vyhledání probíhá u nás.
• Šifrování citlivých tokenů. Přístupové tokeny (například k WhatsApp a sociálním sítím) šifrujeme algoritmem AES-256-GCM.
• Šifrovaný přenos. Veškerá komunikace běží přes HTTPS.
• Oddělení dat mezi zákazníky. Znalostní báze i vektory jsou izolované pro každý účet zvlášť.
• Microsoft Clarity na webu Breezaro jen se souhlasem. Tento analytický nástroj se zapne až po udělení souhlasu s analytickými cookies.

Právo na výmaz

Návštěvníci i zákazníci mohou za podmínek GDPR požádat o výmaz osobních údajů. Oprávněná žádost se vyřizuje bez zbytečného odkladu; běžná lhůta úklidu není důvodem k jejímu automatickému odložení. U údajů zpracovávaných jménem zákazníka Breezaro poskytuje součinnost správci. Běžné odstranění dat v administraci funguje takto:

• Smažete účet sami v nastavení, nebo požádáte e-mailem na info@breezaro.com.
• Smazání účtu zahájí úklid dat v databázi, úložišti souborů i vyhledávacím indexu a anonymizuje hlavní uživatelský profil. Lhůty úklidu a uchovávání záloh popisujeme v zásadách ochrany osobních údajů.
• Při nahrávání dokumentů do znalostní báze ukládáme jejich zpracovaný text a údaje o dokumentu. Samotné nahrané soubory do objektového úložiště neukládáme. Na zpracovaný obsah se vztahují pravidla uchovávání a výmazu v zásadách ochrany osobních údajů.
• Historii konverzací, obsah znalostní báze a nastavení uchováváme po dobu existence účtu, podle pravidel mazání a výmazu v zásadách ochrany osobních údajů. Samotné zrušení předplatného tato data ani uložené přístupové údaje k integracím nemaže.
• Smazané konverzace se ihned skryjí a trvale je odstraní plánovaný úklid, standardně 90 dní od smazání. Lhůtu lze nastavit od 60 do 730 dní pro každého chatbota.
• U zkušebních účtů, které nikdy neměly placené předplatné, může automatické mazání začít 30 dní po skončení zkoušky, nejdříve však sedm dní po úspěšném odeslání upozornění na smazání. Výjimku mají administrátorské účty a účty s aktivním členstvím v jiném zákaznickém týmu. Samotné skončení zkoušky neznamená okamžitý výmaz všech dat.

Cookies a souhlas

Web Breezaro používá lištu se souhlasem pro Microsoft Clarity. Chatovací widget na zákaznickém webu má vlastní funkce a nastavení. Pravidla ukládání do zařízení se vztahují také na sessionStorage: u funkcí, které nejsou nezbytné pro službu výslovně vyžádanou návštěvníkem, je třeba zajistit předchozí souhlas. Samotné zapnutí funkce provozovatelem webu souhlas návštěvníka nenahrazuje.

Praktický checklist pro vás

Při nasazení chatbota začněte těmito kroky:

1. Informujte návštěvníky. Zmiňte chatbota a zpracování dat ve svých zásadách ochrany osobních údajů.
2. Nesbírejte víc, než potřebujete. Nenuťte zákazníky psát do chatu citlivé údaje.
3. Mějte jasno v době uchování. Zjistěte, jak dlouho zůstává uložený obsah konverzací a znalostní báze a jak probíhá jeho výmaz.
4. Umožněte výmaz. Mějte připravený postup, jak vyřídit žádost o smazání dat.
5. Ošetřete eskalaci k člověku. Když konverzaci převezme operátor, platí stejná pravidla.

Tento přehled nenahrazuje posouzení konkrétního použití. Provozovatel webu musí ověřit právní základ, nastavit přiměřenou dobu uchování a mít postup pro práva návštěvníků i spolupráci se zpracovateli.

Související: AI chatbot pro zákaznickou podporu (kompletní průvodce).