Checklist GDPR per i chatbot dei siti web: cosa devono fare le piccole imprese

Un chatbot del sito web raccoglie dati personali: ciò che le persone scrivono, i loro recapiti, a volte informazioni sulla posizione o sul dispositivo. Se alcuni dei tuoi visitatori si trovano nell'Unione europea o nel Regno Unito, la normativa sulla protezione dei dati si applica a quella chat, qualunque sia la dimensione della tua attività. La buona notizia è che la conformità per il chatbot di una tipica attività di servizi si riduce a una serie chiara di passaggi pratici. Questa checklist li percorre, spiega in parole semplici il significato di ciascuno e indica le domande da porre al fornitore del tuo chatbot.

Queste sono informazioni generali, non consulenza legale. La normativa sulla protezione dei dati è dettagliata e dipende dalla tua situazione. Leggi le linee guida ufficiali e chiedi a un consulente qualificato della tua situazione. Per il testo del regolamento vedi il sito informativo sul GDPR.

Perché i chatbot richiedono un'attenzione particolare

Una chat sembra informale, quindi i visitatori scrivono più di quanto farebbero in un modulo, compresi dettagli sensibili. Un assistente AI può inoltre inviare quel testo a un fornitore di AI terzo, conservare le trascrizioni e usare strumenti di analisi. Ognuna di queste è un'attività di trattamento dei dati che richiede una base giuridica, trasparenza e garanzie. Tratta il chatbot come qualsiasi altro sistema che gestisce informazioni sui clienti.

Passo 1: Sapere quali dati gestisce il chatbot

Parti da una mappa semplice. Che cosa raccoglie il chatbot e dove va a finire?

Scrivilo. Diventa la colonna portante della tua informativa sulla privacy e del tuo registro dei trattamenti.

Passo 2: Decidere la base giuridica

Con il GDPR serve una base giuridica per ogni finalità. Per un chatbot di servizi i candidati abituali sono questi.

• Legittimo interesse: rispondere alle domande dei visitatori e gestire uno strumento di assistenza. Dovresti poter dimostrare che è necessario, che lo hai bilanciato con i diritti dei visitatori e che le persone se lo aspetterebbero ragionevolmente.
• Contratto: compiere passi su richiesta del visitatore prima di concludere un contratto, come prenotare un appuntamento.
• Consenso: per extra facoltativi come le e-mail di marketing o i cookie non essenziali. Il consenso deve essere libero, specifico e facile da revocare.

Non affidarti a una casella preselezionata o al silenzio. Tieni il consenso al marketing separato dalla chat stessa.

Passo 3: Essere trasparenti

• Di' ai visitatori che stanno parlando con un assistente AI.
• Mostra una breve nota nella chat o vicino ad essa che spieghi cosa viene raccolto e rimandi alla tua informativa sulla privacy.
• Spiega nell'informativa cosa raccogli tramite la chat, perché, per quanto tempo lo conservi e chi lo tratta.
• Fornisci i recapiti per le richieste in materia di privacy.

Esempio di nota: 'Stai chattando con un assistente AI. Conserviamo questa conversazione per risponderti e migliorare il nostro servizio. Leggi la nostra informativa sulla privacy.'

Passo 4: Raccogliere solo ciò che serve

La minimizzazione dei dati è un principio fondamentale. Progetta il flusso in modo che chieda ciò che è necessario e non di più. Una prenotazione richiede un nome e un modo per raggiungere la persona. Non richiede una data di nascita. Scoraggia i visitatori dallo scrivere informazioni sensibili: aggiungi una riga come 'Non condividere qui dati medici o finanziari.' Configura l'assistente in modo che non chieda categorie particolari di dati, come le informazioni sulla salute, a meno che tu non abbia una base giuridica specifica e adeguate garanzie.

Passo 5: Sistemare responsabili del trattamento e fornitore di AI

Il fornitore del tuo chatbot è un responsabile del trattamento che agisce per tuo conto, e lo possono essere anche il fornitore di AI e il servizio e-mail. Ti serve un accordo sul trattamento dei dati con ciascuno che tratta dati personali per te. Chiedine uno a ogni fornitore, insieme all'elenco dei suoi sub-responsabili. Crescelo pubblica un addendum sul trattamento dei dati e un elenco dei sub-responsabili. Con una configurazione in cui porti la tua chiave, scegli tu il fornitore di AI, quindi dovresti accettarne le condizioni commerciali e verificare come tratta i dati delle API.

Passo 6: Trasferimenti internazionali

Se i dati sono conservati o trattati fuori dal Regno Unito o dall'UE, per esempio da un fornitore o un fornitore di AI con sede negli Stati Uniti, serve un meccanismo di trasferimento lecito, come una decisione di adeguatezza o le clausole contrattuali standard. I fornitori dovrebbero dirti quale usano. È una delle aree più tecniche; chiedi al fornitore la documentazione sui trasferimenti e fatti consigliare se necessario.

Passo 7: Conservazione e cancellazione

• Decidi per quanto tempo conservi le trascrizioni. Conservale solo finché sono utili, per esempio per rispondere ai seguiti e migliorare l'assistente.
• Elimina i contatti e le conversazioni che non ti servono più.
• Assicurati di poter cancellare i dati di una persona su richiesta, anche dai sistemi del fornitore.
• Documenta il tuo periodo di conservazione nell'informativa sulla privacy.

Con Crescelo puoi eliminare contatti, appuntamenti e fonti di conoscenza dalla dashboard, e puoi richiedere la cancellazione di tutto aprendo un ticket di assistenza.

Passo 8: Rispettare i diritti dei visitatori

Le persone possono chiedere di vedere i propri dati, correggerli, cancellarli, limitare il trattamento o opporsi e ricevere una copia. In genere devi rispondere entro un mese. Prepara un processo semplice: chi riceve le richieste, come verifichi l'identità, come trovi i dati di chat di una persona e come confermi la cancellazione. Inserisci un canale di contatto nell'informativa sulla privacy. Vedi il nostro modulo di contatto, che crea un ticket di assistenza, come esempio di canale tracciabile.

Passo 9: Cookie e archiviazione nel browser

Un widget di chat può memorizzare un identificativo nel browser del visitatore perché la conversazione prosegua dopo un ricaricamento. Se serva il consenso dipende dal fatto che sia strettamente necessario per un servizio richiesto dal visitatore e dalle regole locali. Descrivi nell'informativa sui cookie cosa memorizza il widget e chiedi al fornitore se è strettamente necessario. I cookie di analisi e di marketing richiedono in genere il consenso. Vedi la nostra informativa sui cookie per un esempio di come lo descriviamo.

Passo 10: Sicurezza

• Usa un fornitore che cifra i dati in transito e a riposo e isola gli spazi di lavoro dei clienti.
• Proteggi il tuo account con password robuste e autenticazione a due fattori.
• Dai ai membri del team l'accesso minimo di cui hanno bisogno.
• Conserva le chiavi API solo nelle impostazioni cifrate della piattaforma.
• Prepara un piano per le violazioni dei dati, compreso chi avvisa l'autorità e le persone interessate entro i termini previsti.

Vedi configurare ruoli del team e autenticazione a due fattori.

Passo 11: Situazioni particolari

• Minori: evita di raccogliere dati dai minori a meno di avere adeguate garanzie e valuta se il servizio sia destinato a loro.
• Servizi sanitari, legali e finanziari: comportano obblighi aggiuntivi. Limita la chat alle prenotazioni e alle informazioni generali e fatti consigliare.
• Marketing: non aggiungere persone a elenchi di e-mail da una chat senza un consenso separato e chiaro.
• Decisioni automatizzate: se il chatbot prende decisioni che incidono in modo significativo sulle persone, si applicano ulteriori regole.

Una checklist da copiare e usare

• Mappa dei dati che il chatbot raccoglie e di dove vanno.
• Base giuridica scelta per ogni finalità.
• Dichiarazione dell'uso di AI e link alla privacy visibili nella chat.
• Informativa sulla privacy aggiornata con chatbot, trascrizioni, responsabili e conservazione.
• Raccolta minima dei dati; avviso a non condividere dati sensibili.
• Accordi sul trattamento dei dati con il fornitore del chatbot e altri responsabili.
• Sub-responsabili e trasferimenti internazionali verificati.
• Periodo di conservazione stabilito e cancellazione possibile.
• Processo per gestire le richieste dei visitatori.
• Informativa sui cookie e impostazioni del consenso coerenti con ciò che memorizza il widget.
• Controlli di sicurezza, compresa l'autenticazione a due fattori.
• Revisione periodica delle trascrizioni e della checklist stessa.

Una breve nota sulla privacy da adattare

Usa un linguaggio semplice e mantienila breve. Per esempio: 'Questa chat è gestita da un assistente AI. Raccogliamo i messaggi che invii e gli eventuali recapiti che scegli di darci per risponderti, fissare appuntamenti e migliorare il nostro servizio. I nostri fornitori di AI e di hosting trattano questi dati per nostro conto. Conserviamo le chat per [periodo]. Puoi chiedere in qualsiasi momento di vedere o cancellare i tuoi dati. Non condividere informazioni sensibili qui. I dettagli completi sono nella nostra informativa sulla privacy.' Adatta la formulazione, aggiungi i tuoi dati e falla rivedere.

Guide correlate

• La tua chiave AI, spiegata spiega dove vanno i tuoi dati quando scegli tu il fornitore di AI.
• Raccolta di contatti con il chatbot, GDPR e CCPA approfondisce la raccolta dei recapiti.
• Trasparenza e dichiarazione dell'uso di AI spiega come dire ai visitatori che si tratta di un'AI.
• Come impedire a un chatbot di inventare le cose riduce il rischio di affermazioni sbagliate sulla tua attività.

Documenti da conservare

• La tua mappa dei dati e il registro dei trattamenti per il chatbot.
• Accordi sul trattamento dei dati con il fornitore del chatbot, il fornitore di AI e altri responsabili.
• Una nota sulla tua base giuridica ed eventuale test di bilanciamento per il legittimo interesse.
• Le versioni della tua informativa sulla privacy e sui cookie.
• Il tuo piano di conservazione e il registro delle cancellazioni.
• Un registro delle richieste dei visitatori e di come le hai gestite.

Conservare questi documenti rende più facile rispondere a un'autorità o a un cliente che chiede come tratti i suoi dati.

Domande frequenti

Leggi la nostra informativa sulla privacy per vedere come trattiamo i dati e scopri come l'assistente AI risponde solo in base ai tuoi contenuti. Per provarlo con i tuoi documenti, usa il playground.