Flyweight: Een AI-chatbot voor Shopify gebruiken in overeenstemming met de AVG en de AI Act

Verwerkersovereenkomst, labelingsverplichting, privacybeleid, AVG, AI Act, wat? 🤯🤯

De onderstaande checklist en het sjabloon voor het privacybeleid gaan ervan uit dat u een Shopify-winkel runt en een AVG-conforme AI-chatbot wilt toevoegen. Omdat Flyweight nu ook antwoorden opstelt voor e-mails en supporttickets (Flyweight Copilot) en u of uw team live chats laat overnemen, behandelt deze gids ook die gebruikssituaties. Wilt u het volledige beeld van wat onze Shopify-chatbot kan doen? Ga dan naar de hoofdgids. Dit artikel vormt geen juridisch advies of erkenning van een wettelijke verplichting.

Terminologie

1. Algemene Verordening Gegevensbescherming (AVG)
   De AVG is de belangrijkste privacywet in Europa. Zij stelt de regels vast voor hoe bedrijven omgaan met persoonsgegevens, zoals alleen verzamelen wat daadwerkelijk nodig is en deze veilig opslaan. Zij geeft mensen ook rechten over hun gegevens, waaronder inzage, correctie en verwijdering. Voor chatbots betekent dat geen brede of onnodige gegevensverzameling, en duidelijke communicatie over hoe gegevens worden gebruikt.

2. Artificial Intelligence Act (AI Act)
   De AI Act is een EU-verordening die regels stelt voor kunstmatige intelligentie. De vereisten ervan worden gefaseerd van toepassing; de transparantieverplichtingen van artikel 50 gelden vanaf 2 augustus 2026. Het doel is veiliger en eerlijker gebruik van AI-systemen zoals chatbots. De verordening deelt AI-systemen in naar risiconiveau, van laag tot hoog. Elke categorie heeft eigen vereisten, zoals duidelijk maken dat gebruikers met AI interageren en discriminerende uitkomsten voorkomen. Chatbots die gevoelige gebruikssituaties verwerken, kunnen in categorieën met hoger risico vallen en met strengere vereisten te maken krijgen.

3. Verwerkersovereenkomst (DPA)
   Een verwerkersovereenkomst is een contract tussen het bedrijf dat de chatbot gebruikt en de aanbieder die deze exploiteert. Daarin wordt vastgelegd dat de aanbieder gebruikersgegevens alleen verwerkt in opdracht van het bedrijf en in overeenstemming met de regels inzake gegevensbescherming. Als u een externe chatbotaanbieder gebruikt, is doorgaans een DPA nodig om AVG-conforme verwerking te documenteren.

4. Privacybeleid
   Een privacybeleid legt uit welke gegevens worden verzameld, waarom ze worden verzameld en hoe lang ze worden bewaard. Het moet ook de rechten van gebruikers uitleggen, zoals het recht om verwijdering te verzoeken of opgeslagen gegevens in te zien. Voor chatbotgebruik moet deze informatie gemakkelijk te begrijpen en gemakkelijk te vinden zijn.

5. Labelingsverplichting
   Op grond van artikel 50 van de AI Act moeten mensen die rechtstreeks interageren met een AI-systeem in het algemeen worden geïnformeerd dat zij met AI interageren, tenzij dit in de omstandigheden duidelijk is. Dat is de labelingsverplichting. Het doel is transparantie en minder misverstanden.

Rollen en verantwoordelijkheden

Rollen zijn belangrijk omdat zij bepalen wie waarvoor verantwoordelijk is.

Verwerker

De chatbotaanbieder is meestal de verwerker. Dat betekent dat de aanbieder gegevens verwerkt namens de exploitant van de winkel en op basis van diens instructies. De aanbieder verzorgt de technische inrichting en werking van de chatbot, maar bepaalt niet waarom de gegevens worden verwerkt. Het is zijn taak om de vereisten van de verwerkingsverantwoordelijke te volgen en technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen. Kortom, de chatbotaanbieder is contractueel gebonden om gegevens alleen volgens instructie te verwerken, niet voor eigen onafhankelijke doeleinden.

Verwerkingsverantwoordelijke

Dit is het deel dat vaak wat contra-intuïtief aanvoelt: de exploitant van de winkel is de verwerkingsverantwoordelijke. Als verwerkingsverantwoordelijke beslist de winkel waarom en hoe gegevens worden verwerkt, bijvoorbeeld wat de chatbot verzamelt en of deze wordt gebruikt voor support, leadgeneratie of iets anders. De verwerkingsverantwoordelijke is ervoor verantwoordelijk dat de gegevensverzameling en -verwerking voldoen aan de privacyvereisten en dat de rechten van gebruikers worden gerespecteerd. In de praktijk betekent dat dat de exploitant van de winkel bepaalt hoe de chatbot wordt gebruikt en verantwoordelijk is voor de privacy-naleving rond dat gebruik. Het klinkt groter dan het is. Meestal begint het ermee dat u duidelijk bent in het privacybeleid.

Praktisch voorbeeld

Stel dat de Shopify-winkel "GarlicPress24" een AI-chatbot wil gebruiken voor leadgeneratie. Een klant vraagt naar de specificaties van een knoflookpers, en de AI geeft deskundig advies. Tijdens dat proces verzamelt de chatbot de contactgegevens van de klant, zoals naam en e-mail, en stuurt die door naar de expert.

De winkel moet beslissen hoe dit moet werken. Moet de lead via AI worden verzameld? Of moet de chatbot simpelweg een bericht tonen zoals: “Neem contact op met onze experts via e-mail X”? De Shopify-winkel is de verwerkingsverantwoordelijke omdat die beslist wat er gebeurt en ervoor zorgt dat klanten in het privacybeleid correct worden geïnformeerd. De aanbieder van de AI-chatbot verzorgt de technische inrichting en verwerkt de gegevens volgens de instructies van de winkel, waardoor de aanbieder de verwerker is.

Hoe gebruikt u een AI-chatbot in overeenstemming met de vereisten inzake gegevensbescherming: een checklist

Als u een chatbot wilt gebruiken in lijn met de AVG en de AI Act, bepalen de bovenstaande rollen de verantwoordelijkheden.

1. Verzamel alleen noodzakelijke gegevens
   De chatbot mag alleen de gegevens verzamelen die daadwerkelijk nodig zijn. Dit is vooral een verantwoordelijkheid van de aanbieder. Bij Flyweight streven we ernaar alleen de minimale persoonsgegevens te verwerken die vereist zijn. Als een klant bijvoorbeeld vraagt naar de status van een bestelling, verwerken wij alleen postcodes en bestelnummer(s), niet extra adresgegevens of bredere bestelgegevens. Gegevens die in de speciale formulieren van de chatbot worden ingevuld, worden gescheiden van het AI-model verwerkt. Vrije-tekstberichten kunnen nog steeds persoonsgegevens bevatten, en Copilot verwerkt het open supportgesprek om een antwoord op te stellen.

2. Wees transparant
   Gebruikers moeten begrijpen welke gegevens de chatbot verzamelt en waarvoor ze worden gebruikt. Het privacybeleid is de juiste plaats om dit duidelijk uit te leggen, vooral voor exploitanten van Shopify-winkels. Omdat de winkel de verwerkingsverantwoordelijke is, moet het beleid worden bijgewerkt zodat klanten correct worden geïnformeerd. Hieronder is een sjabloon opgenomen om daarbij te helpen.

3. Sluit een verwerkersovereenkomst (DPA) af
   Als de chatbot van een externe aanbieder komt, moet er een contract zijn dat AVG-conforme gegevensverwerking dekt. Controleer of de aanbieder een DPA aanbiedt, vaak als onderdeel van de standaardovereenkomst.

4. Beoordeel beveiliging en gegevensbescherming regelmatig
   De AI Act wijst ook in de richting van regelmatige beoordelingen van AI-gerelateerde risico's, zodat de chatbotopzet in de loop van de tijd compliant blijft. Dit wordt doorgaans afgehandeld door de chatbotaanbieder. Wij houden deze gids actueel en delen relevante wijzigingen.

5. Label de chatbot duidelijk
   Gebruikers moeten weten dat zij met AI praten. De transparantieverplichtingen van artikel 50 gelden vanaf 2 augustus 2026; zie de richtsnoeren van de Europese Commissie. Onze AI-chatbot bevat standaard een footer met de tekst: “AI powered by Flyweight”, en wij raden aan die te behouden. Als u extra voorzichtig wilt zijn, kunt u AI ook vermelden in het welkomstbericht of de naam van de chatbot.

6. E-mail- en ticketondersteuning met AI (Flyweight Copilot)

   Als u of uw team Flyweight Copilot gebruikt om antwoorden op e-mails of tickets op te stellen, gelden dezelfde rollen: u bent de verwerkingsverantwoordelijke, Flyweight is uw verwerker onder de DPA. Elke conceptreactie wordt door u of iemand in uw team beoordeeld en verzonden, zodat er geen geautomatiseerde beslissing over het verzoek van de klant wordt genomen. Wat u moet doen: voeg het onderstaande onderdeel uit het sjabloon toe aan uw privacybeleid, zorg ervoor dat alleen u en de personen die u autoriseert toegang hebben, en vraag klanten nooit om gezondheidsgegevens of andere gevoelige informatie die niet nodig is om het verzoek op te lossen.

7. Live chats overnemen

   Wanneer u of een lid van uw team een chat van de AI overneemt, moet de klant kunnen zien dat er een persoon is aangesloten. Dit is de keerzijde van de AI-labelingsverplichting: als u klanten vertelt wanneer zij met AI praten, vertel dan ook wanneer zij met een mens praten. Flyweight toont de overdracht standaard in de chatwidget. Gebruik voornamen of teamaliassen; u beslist wat wordt getoond.

Heb ik toestemming nodig van klanten die ons e-mailen?

Meestal is afzonderlijke toestemming niet vereist om eenvoudigweg een routinematige support-e-mail te beantwoorden. Afhankelijk van het verzoek kan verwerking noodzakelijk zijn voor de uitvoering van een overeenkomst met de klant (artikel 6, lid 1, onder b, AVG) of gerechtvaardigd zijn door een gedocumenteerde gerechtvaardigd-belangafweging voor klantenondersteuning (artikel 6, lid 1, onder f, AVG). De merchant moet voor de feitelijke verwerking, inclusief AI-ondersteuning, de passende grondslag kiezen en ervoor zorgen dat alleen noodzakelijke gegevens worden gebruikt. Toestemming is geen vervanging voor die beoordeling, en support mag niet afhankelijk worden gemaakt van toestemming voor niet-gerelateerde verwerking.

Wat u wel nodig hebt, is transparantie: noem Flyweight als verwerker in uw privacybeleid (sjabloon hieronder) en link er desgewenst naar vanuit uw e-mailhandtekening of automatische reactie.

Bijzondere categorieën vereisen extra zorg: gezondheidsgegevens en andere bijzondere categorieën vereisen een toepasselijke voorwaarde op grond van artikel 9, lid 2, AVG naast een rechtsgrondslag van artikel 6. Alleen een supportovereenkomst of gerechtvaardigd belang is niet genoeg. U kunt een klant er niet van weerhouden te schrijven "Ik moet dit retourneren vanwege mijn allergie", maar u kunt (1) ervoor zorgen dat u, uw team en uw AI-configuratie nooit actief om zulke gegevens vragen, (2) een korte opmerking opnemen in uw privacybeleid of automatische reactie waarin klanten wordt gevraagd geen gezondheidsgegevens te delen tenzij dat nodig is voor hun verzoek, en (3) als uw winkel gezondheidsgerelateerde producten verkoopt (supplementen, medische hulpmiddelen, apotheekartikelen), met uw functionaris voor gegevensbescherming overleggen over een gegevensbeschermingseffectbeoordeling voordat u AI-ondersteunde support uitrolt. De DPA van Flyweight dekt incidentele verwerking van dergelijke gegevens en sluit afzonderlijke beoordeling of modeltraining uit; de DPA zelf levert niet de artikel 9-voorwaarde van de merchant. Beoordeel of de voorgenomen verwerking waarschijnlijk een hoog risico oplevert en daarom vóór de uitrol een gegevensbeschermingseffectbeoordeling vereist.

Zie de richtsnoeren van het EDPB over rechtsgrondslagen en bijzondere categorieën van gegevens.

⭐️ Sjabloon voor privacybeleid

Zoals we hebben gezien, zijn Shopify-winkels die optreden als verwerkingsverantwoordelijke voornamelijk verantwoordelijk voor het duidelijk uitleggen hoe gegevens worden verwerkt.

En wat is daarvoor de beste plek? Uw privacybeleid.

💡 Als wij de winkelexploitant waren die de Flyweight AI-chatbot gebruikte, zouden wij het volgende onderdeel aan het privacybeleid toevoegen (zonder een wettelijke verplichting te erkennen of juridisch advies te geven):

Pas het sjabloon aan de functies aan die u daadwerkelijk gebruikt, uw rechtsgrondslagen en uw bewaarbeleid.

---

Gebruik van de chatbot met formulieren
Wij bieden u op onze website een op AI gebaseerde chatbot aan van Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Duitsland (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) om uw vragen te beantwoorden. Bij het gebruik van de chatbot worden uw vragen gecombineerd met behulp van de database die is gecreëerd op basis van de website-informatie die van onze eigen website is gelezen en een groot taalmodel, om u antwoorden op uw vraag te geven. De chatbot is geïnstrueerd niet om persoonsgegevens te vragen. Goed om te weten: Als als gevolg van uw vragen aparte formulieren verschijnen, waarin u vervolgens op basis van uw vraag persoonsgegevens moet verstrekken, wordt de informatie die u daar verstrekt afzonderlijk verwerkt en dus niet naar AI gestuurd.

Verwerkte gegevenscategorieën: De gegevenscategorieën vloeien voort uit uw vragen wanneer u persoonsgegevens binnen uw vraag invoert.

• Als u bijvoorbeeld vraagt: “Waar is mijn bestelling?”, verschijnt er een formulier waarin u uw bestelnummer en uw postcode kunt invoeren.

• Als u bijvoorbeeld meer wilt weten over een product en passend advies wilt ontvangen, verschijnt er een formulier waarin u de relevante informatie kunt invoeren (bijv. naam, telefoon, e-mail, enz.).

Doel van de verwerking: Verwerking van de door u verstrekte informatie om met behulp van de chatbot antwoorden op uw verzoeken te maken.

• Voorbeeld: Als u bijvoorbeeld vraagt: “Waar is mijn bestelling?” en uw bestelnummer en postcode in het formulier invoert, wordt deze informatie gebruikt om rechtstreeks een verzoek aan het winkelsysteem (Shopify) te doen, zodat de leveringsinformatie kan worden verzonden en u over de status van de bestelling kunt worden geïnformeerd.

• Voorbeeld: Als u advies over een product wilt, wordt uw verzoek (met de gegevens die u in het formulier verstrekt en de volledige chatgeschiedenis) doorgestuurd naar de exploitant van de winkel, zodat deze contact met u kan opnemen.

Bron van de gegevens: Wij verzamelen deze gegevens rechtstreeks van u.

Rechtsgrondslag: Wij verwerken gegevens om contractuele of precontractuele verplichtingen na te komen in overeenstemming met artikel 6, lid 1, onder b, van de Algemene Verordening Gegevensbescherming (AVG).

Bewaartermijn: Wij bewaren supportgegevens zolang als nodig is om uw vraag op te lossen en voor eventuele toepasselijke juridische aanspraken of administratieverplichtingen. Wettelijke bewaartermijnen van 6 tot 10 jaar gelden alleen voor gegevens die aan die vereisten onderworpen zijn. Flyweight bewaart gesprekken namens ons voor de duur van ons contract en verwijdert deze binnen 30 dagen nadat dit is geëindigd, in overeenstemming met onze verwerkersovereenkomst.

Locatie van ontvangers: EU en niet-EU.

Waarborgen voor doorgiften naar derde landen: EU-standaardcontractbepalingen (SCC), adequaatheidsbesluit

Door AI ondersteunde klantenondersteuning (e-mail en tickets)

Wanneer u contact opneemt met onze klantenondersteuning via e-mail of via onze helpdesk, gebruiken wij Flyweight Copilot, een tool van Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Duitsland (legal notice / privacy statement), om ons te ondersteunen bij klantenondersteuning. De tool leest uw bericht en, waar beschikbaar, de gerelateerde bestelinformatie uit ons winkelsysteem, en stelt een voorgesteld antwoord op. Elk antwoord wordt beoordeeld en verzonden door een lid van ons team. Er wordt geen beslissing over uw verzoek automatisch genomen. Neem alstublieft geen gezondheidsgegevens of andere gevoelige informatie op in uw bericht, tenzij dit noodzakelijk is voor uw verzoek.

Verwerkte gegevenscategorieën: De inhoud van uw bericht (onderwerp en tekst), uw naam en e-mailadres, en bestelgegevens die verband houden met uw verzoek (zoals bestelnummer, bestelstatus en bestelgeschiedenis).

Doel van de verwerking: Uw supportverzoek sneller en nauwkeuriger beantwoorden.

Bron van de gegevens: Wij ontvangen deze gegevens rechtstreeks van u en uit ons winkelsysteem.

Rechtsgrondslag: Artikel 6, lid 1, onder b, AVG (uitvoering van een overeenkomst of precontractuele maatregelen) en artikel 6, lid 1, onder f, AVG (ons gerechtvaardigd belang bij het bieden van efficiënte klantenondersteuning). Flyweight GmbH verwerkt uw gegevens namens ons als verwerker onder een verwerkersovereenkomst.

Bewaartermijn: Wij bewaren supportgegevens zolang als nodig is om uw verzoek op te lossen en voor eventuele toepasselijke juridische aanspraken of administratieverplichtingen. Wettelijke bewaartermijnen van 6 tot 10 jaar gelden alleen voor gegevens die aan die vereisten onderworpen zijn, niet automatisch voor elk supportbericht. Flyweight bewaart gesprekken namens ons voor de duur van ons contract en verwijdert deze binnen 30 dagen nadat dit is geëindigd, in overeenstemming met onze verwerkersovereenkomst.

Locatie van ontvangers: EU en niet-EU.

Waarborgen voor doorgiften naar derde landen: EU-standaardcontractbepalingen (SCC), adequaatheidsbesluit.

Live chat met ons team

Een lid van ons team kan deelnemen aan een chatbotgesprek en dit persoonlijk voortzetten. U ziet in de chat wanneer dit gebeurt. Het gesprek, inclusief alle informatie die u in de chat hebt verstrekt, is dan beschikbaar voor ons team zodat wij u met uw verzoek kunnen helpen.

Rechtsgrondslag: Artikel 6, lid 1, onder b, AVG (uitvoering van een overeenkomst of precontractuele maatregelen). Flyweight GmbH levert de chatinfrastructuur als onze verwerker.

Bewaartermijn: Zoals hierboven vermeld voor de chatbot.

---

Installeer de privacy-conforme chatbot voor Europese Shopify-winkels ✌️