Flyweight: utilizzare un chatbot IA per Shopify in conformità al GDPR e all'AI Act

Accordo sul trattamento dei dati, obbligo di etichettatura, informativa sulla privacy, GDPR, AI Act: cosa? 🤯🤯

La checklist e il modello di informativa sulla privacy riportati di seguito presuppongono che gestiate un negozio Shopify e vogliate aggiungere un chatbot IA conforme al GDPR. Poiché Flyweight ora redige anche risposte a email e ticket di assistenza (Flyweight Copilot) e vi consente, o consente al vostro team, di prendere in carico le live chat, questa guida copre anche questi casi d'uso. Volete il quadro completo di ciò che il nostro chatbot per Shopify può fare? Andate alla guida principale. Questo articolo non costituisce consulenza legale né riconoscimento di un obbligo giuridico.

Terminologia

1. Regolamento generale sulla protezione dei dati (GDPR)
   Il GDPR è la principale legge sulla privacy in Europa. Stabilisce le regole su come le aziende gestiscono i dati personali, ad esempio raccogliendo solo ciò che è effettivamente necessario e conservandolo in modo sicuro. Attribuisce inoltre alle persone diritti sui propri dati, inclusi accesso, rettifica e cancellazione. Per i chatbot, ciò significa niente raccolta ampia o non necessaria di dati, e una comunicazione chiara su come i dati vengono utilizzati.

2. Artificial Intelligence Act (AI Act)
   L'AI Act è un regolamento dell'UE che stabilisce regole per l'intelligenza artificiale. I suoi requisiti si applicano per fasi; gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026. L'obiettivo è un uso più sicuro ed equo dei sistemi di IA come i chatbot. Raggruppa i sistemi di IA per livello di rischio, da basso ad alto. Ogni categoria comporta i propri requisiti, come chiarire che gli utenti stanno interagendo con l'IA e prevenire esiti discriminatori. I chatbot che gestiscono casi d'uso sensibili possono rientrare in categorie a rischio più elevato ed essere soggetti a requisiti più rigorosi.

3. Data Processing Agreement (DPA)
   Un Data Processing Agreement è un contratto tra l'azienda che utilizza il chatbot e il fornitore che lo gestisce. Definisce che il fornitore tratta i dati degli utenti solo su istruzioni dell'azienda e in conformità alle norme sulla protezione dei dati. Se utilizzate un fornitore esterno di chatbot, un DPA è generalmente necessario per documentare un trattamento conforme al GDPR.

4. Informativa sulla privacy
   Un'informativa sulla privacy spiega quali dati vengono raccolti, perché vengono raccolti e per quanto tempo vengono conservati. Dovrebbe inoltre spiegare i diritti degli utenti, come il diritto di richiedere la cancellazione o l'accesso ai dati conservati. Per l'uso di chatbot, queste informazioni dovrebbero essere facili da comprendere e facili da trovare.

5. Obbligo di etichettatura
   Ai sensi dell'articolo 50 dell'AI Act, le persone che interagiscono direttamente con un sistema di IA devono in generale essere informate del fatto che stanno interagendo con l'IA, salvo che ciò sia ovvio nelle circostanze. Questo è l'obbligo di etichettatura. L'obiettivo è la trasparenza e una riduzione dei malintesi.

Ruoli e responsabilità

I ruoli contano perché definiscono chi è responsabile di cosa.

Responsabile del trattamento

Il fornitore del chatbot è di solito il responsabile del trattamento. Ciò significa che il fornitore tratta i dati per conto del gestore del negozio e sulla base delle sue istruzioni. Il fornitore si occupa della configurazione tecnica e del funzionamento del chatbot, ma non decide perché i dati vengano trattati. Il suo compito è seguire i requisiti del titolare del trattamento e implementare misure tecniche e organizzative per proteggere i dati personali. In breve, il fornitore del chatbot è contrattualmente vincolato a trattare i dati solo secondo istruzioni, non per proprie finalità indipendenti.

Titolare del trattamento

Questa è la parte che spesso sembra un po' controintuitiva: il gestore del negozio è il titolare del trattamento. In qualità di titolare del trattamento, il negozio decide perché e come i dati vengono trattati, ad esempio quali dati il chatbot raccoglie e se viene usato per assistenza, generazione di lead o altro. Il titolare del trattamento è responsabile di garantire che la raccolta e il trattamento dei dati soddisfino i requisiti in materia di privacy e che i diritti degli utenti siano rispettati. In pratica, ciò significa che il gestore del negozio definisce come viene utilizzato il chatbot ed è responsabile della conformità privacy relativa a tale utilizzo. Sembra più grande di quanto non sia. Di solito, si comincia dall'essere chiari nell'informativa sulla privacy.

Esempio pratico

Supponiamo che il negozio Shopify "GarlicPress24" voglia utilizzare un chatbot IA per la generazione di lead. Un cliente chiede informazioni sulle specifiche di uno spremiaglio e l'IA fornisce una consulenza esperta. Durante questo flusso, il chatbot raccoglie i dati di contatto del cliente, come nome ed email, e li inoltra all'esperto.

Il negozio deve decidere come dovrebbe funzionare tutto questo. Il lead deve essere raccolto tramite IA? Oppure il chatbot dovrebbe semplicemente mostrare un messaggio come: "Contattate i nostri esperti all'email X"? Il negozio Shopify è il titolare del trattamento perché decide cosa accade e si assicura che i clienti siano correttamente informati nell'informativa sulla privacy. Il fornitore del chatbot IA gestisce la configurazione tecnica e tratta i dati secondo le istruzioni del negozio, il che rende il fornitore il responsabile del trattamento.

Come utilizzare un chatbot IA in conformità ai requisiti di protezione dei dati: una checklist

Se volete utilizzare un chatbot in linea con il GDPR e l'AI Act, i ruoli sopra indicati definiscono le responsabilità.

1. Raccogliete solo i dati necessari
   Il chatbot dovrebbe raccogliere solo i dati effettivamente necessari. Questa è principalmente una responsabilità del fornitore. In Flyweight, puntiamo a trattare solo il minimo dei dati personali richiesti. Ad esempio, se un cliente chiede informazioni sullo stato di un ordine, trattiamo solo codici postali e numeri d'ordine, non ulteriori dettagli di indirizzo o dati d'ordine più ampi. I dati inseriti nei moduli dedicati del chatbot sono gestiti separatamente dal modello di IA. I messaggi in testo libero possono comunque contenere dati personali e Copilot tratta la conversazione di assistenza aperta per redigere una risposta.

2. Siate trasparenti
   Gli utenti dovrebbero capire quali dati il chatbot raccoglie e per cosa vengono utilizzati. L'informativa sulla privacy è il posto giusto per spiegarlo in modo chiaro, soprattutto per i gestori di negozi Shopify. Poiché il negozio è il titolare del trattamento, l'informativa dovrebbe essere aggiornata affinché i clienti siano adeguatamente informati. Di seguito è incluso un modello per aiutarvi a farlo.

3. Predisponete un Data Processing Agreement (DPA)
   Se il chatbot proviene da un fornitore esterno, dovrebbe esserci un contratto che disciplini un trattamento dei dati conforme al GDPR. Verificate se il fornitore offre un DPA, spesso come parte dell'accordo standard.

4. Riesaminate regolarmente sicurezza e protezione dei dati
   L'AI Act orienta anche verso revisioni regolari dei rischi connessi all'IA, in modo che la configurazione del chatbot rimanga conforme nel tempo. Di solito questo è gestito dal fornitore del chatbot. Manteniamo questa guida aggiornata e condividiamo le modifiche rilevanti.

5. Etichettate chiaramente il chatbot
   Gli utenti dovrebbero sapere che stanno parlando con un'IA. Gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026; consultate le linee guida della Commissione europea. Il nostro chatbot IA include un piè di pagina predefinito che dice: "AI powered by Flyweight", e raccomandiamo di mantenerlo. Se volete essere ancora più prudenti, potete anche menzionare l'IA nel messaggio di benvenuto o nel nome del chatbot.

6. Supporto email e ticket con l'IA (Flyweight Copilot)

   Se voi o il vostro team utilizzate Flyweight Copilot per redigere risposte a email o ticket, si applicano gli stessi ruoli: voi siete il titolare del trattamento, Flyweight è il vostro responsabile del trattamento ai sensi del DPA. Ogni bozza viene riesaminata e inviata da voi o da una persona del vostro team, quindi non viene presa alcuna decisione automatizzata sulla richiesta del cliente. Cosa dovete fare: aggiungere alla vostra informativa sulla privacy la sezione del modello riportato di seguito, assicurarvi che solo voi e le persone da voi autorizzate abbiano accesso e non chiedere mai ai clienti dati sanitari o altre informazioni sensibili che non siano necessarie per risolvere la richiesta.

7. Presa in carico delle live chat

   Quando voi o un membro del vostro team prendete in carico una chat dall'IA, il cliente dovrebbe vedere che si è unita una persona. Questo è il rovescio della medaglia dell'obbligo di etichettatura dell'IA: se dite ai clienti quando parlano con l'IA, dite loro anche quando parlano con un essere umano. Flyweight mostra per impostazione predefinita il passaggio di consegne nel widget della chat. Utilizzate nomi propri o alias del team; decidete voi cosa viene mostrato.

Ho bisogno del consenso dei clienti che ci inviano email?

Di solito, non è richiesto un consenso separato semplicemente per rispondere a una normale email di assistenza. A seconda della richiesta, il trattamento può essere necessario per l'esecuzione di un contratto con il cliente (articolo 6, paragrafo 1, lettera b) GDPR) oppure giustificato da una valutazione documentata del legittimo interesse per l'assistenza clienti (articolo 6, paragrafo 1, lettera f) GDPR). Il merchant deve selezionare la base appropriata per il trattamento effettivo, inclusa l'assistenza dell'IA, e garantire che vengano utilizzati solo i dati necessari. Il consenso non sostituisce tale valutazione e l'assistenza non dovrebbe dipendere dal consenso a trattamenti non correlati.

Ciò di cui avete bisogno è la trasparenza: indicate Flyweight come responsabile del trattamento nella vostra informativa sulla privacy (modello sotto) e, se volete, inserite un link ad essa nella vostra firma email o nella risposta automatica.

Le categorie particolari richiedono ulteriore attenzione: i dati sanitari e le altre categorie particolari richiedono una condizione applicabile ai sensi dell'articolo 9, paragrafo 2, GDPR nonché una base giuridica ai sensi dell'articolo 6. Un contratto di assistenza o il legittimo interesse da soli non sono sufficienti. Non potete impedire a un cliente di scrivere "Devo restituire questo prodotto a causa della mia allergia", ma potete (1) assicurarvi che voi, il vostro team e la vostra configurazione IA non chiediate mai attivamente tali dati, (2) aggiungere una breve nota nella vostra informativa sulla privacy o nella risposta automatica chiedendo ai clienti di non condividere dati sanitari salvo che siano necessari per la loro richiesta e (3) se il vostro negozio vende prodotti correlati alla salute (integratori, dispositivi medici, articoli di farmacia), parlare con il vostro responsabile della protezione dei dati di una valutazione d'impatto sulla protezione dei dati prima di implementare un supporto assistito dall'IA. Il DPA di Flyweight copre il trattamento incidentale di tali dati ed esclude una valutazione separata o l'addestramento del modello; il DPA non fornisce di per sé la condizione dell'articolo 9 del merchant. Valutate se il trattamento pianificato sia suscettibile di creare un rischio elevato e richieda pertanto una valutazione d'impatto sulla protezione dei dati prima dell'implementazione.

Consultate le linee guida dell'EDPB sulle basi giuridiche e sulle categorie particolari di dati.

⭐️ Modello di informativa sulla privacy

Come abbiamo visto, i negozi Shopify che agiscono come titolari del trattamento sono principalmente responsabili di spiegare chiaramente come i dati vengono trattati.

E il posto migliore per farlo? La vostra informativa sulla privacy.

💡 Se fossimo noi il gestore del negozio che utilizza il chatbot IA di Flyweight, aggiungeremmo la seguente sezione all'informativa sulla privacy (senza riconoscere un obbligo giuridico né fornire consulenza legale):

Adattate il modello alle funzionalità che utilizzate effettivamente, alle vostre basi giuridiche e alla vostra politica di conservazione.

---

Uso del chatbot con moduli
Vi offriamo sul nostro sito web un chatbot basato sull'IA di Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Germania (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) per rispondere alle vostre domande. Quando utilizzate il chatbot, le vostre richieste vengono combinate utilizzando il database creato a partire dalle informazioni del sito web lette dal nostro stesso sito web e un large language model, al fine di fornirvi risposte alla vostra richiesta. Il chatbot è istruito a non chiedere dati personali. È utile sapere che, se a seguito delle vostre richieste compaiono moduli separati nei quali potreste poi dover fornire dati personali in base alla vostra richiesta, le informazioni che fornite lì saranno trattate separatamente e di conseguenza non saranno inviate all'IA.

Categorie di dati trattati: Le categorie di dati risultano dalle vostre richieste quando inserite dati personali nella vostra domanda.

• Ad esempio, se chiedete: "Dov'è il mio ordine?", comparirà un modulo in cui potrete inserire il numero del vostro ordine e il vostro codice postale.

• Se, ad esempio, desiderate saperne di più su un prodotto e ricevere una consulenza adeguata, comparirà un modulo in cui potrete inserire le informazioni pertinenti (ad es. nome, telefono, email, ecc.).

Finalità del trattamento: Trattamento delle informazioni da voi fornite per creare risposte alle vostre richieste utilizzando il chatbot.

• Esempio: ad esempio, se chiedete: "Dov'è il mio ordine?" e inserite nel modulo il numero del vostro ordine e il vostro codice postale, queste informazioni vengono utilizzate per effettuare una richiesta diretta al sistema del negozio (Shopify) affinché possano essere inviate le informazioni di consegna e possiate essere informati sullo stato dell'ordine.

• Esempio: se desiderate una consulenza su un prodotto, la vostra richiesta (con i dati che fornite nel modulo e l'intera cronologia della chat) sarà inoltrata al gestore del negozio affinché possa contattarvi.

Fonte dei dati: Raccogliamo questi dati direttamente da voi.

Base giuridica: Trattiamo i dati per adempiere obblighi contrattuali o precontrattuali ai sensi dell'articolo 6, paragrafo 1, lettera b) del Regolamento generale sulla protezione dei dati (GDPR).

Conservazione dei dati: Conserviamo i dati di assistenza per il tempo necessario a risolvere la vostra richiesta e per eventuali pretese legali applicabili o obblighi di tenuta delle registrazioni. I periodi di conservazione legali da 6 a 10 anni si applicano solo ai registri soggetti a tali requisiti. Flyweight conserva le conversazioni per nostro conto per la durata del nostro contratto e le cancella entro 30 giorni dalla sua cessazione, in conformità al nostro accordo sul trattamento dei dati.

Ubicazione dei destinatari: UE e paesi extra UE.

Garanzie per i trasferimenti verso paesi terzi: Clausole contrattuali standard dell'UE (SCC), decisione di adeguatezza

Assistenza clienti assistita dall'IA (email e ticket)

Quando contattate il nostro servizio clienti via email o tramite il nostro helpdesk, utilizziamo Flyweight Copilot, uno strumento fornito da Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Germania (note legali / informativa sulla privacy), per assisterci nel supporto clienti. Lo strumento legge il vostro messaggio e, ove disponibile, le relative informazioni sull'ordine dal nostro sistema del negozio, e redige una risposta suggerita. Ogni risposta viene riesaminata e inviata da un membro del nostro team. Nessuna decisione sulla vostra richiesta viene presa automaticamente. Vi preghiamo di non includere nel vostro messaggio dati sanitari o altre informazioni sensibili, salvo che siano necessari per la vostra richiesta.

Categorie di dati trattati: Il contenuto del vostro messaggio (oggetto e testo), il vostro nome e indirizzo email e i dettagli dell'ordine relativi alla vostra richiesta (come numero d'ordine, stato dell'ordine e cronologia degli ordini).

Finalità del trattamento: Rispondere più rapidamente e con maggiore precisione alla vostra richiesta di assistenza.

Fonte dei dati: Riceviamo questi dati direttamente da voi e dal nostro sistema del negozio.

Base giuridica: Articolo 6, paragrafo 1, lettera b) GDPR (esecuzione di un contratto o misure precontrattuali) e articolo 6, paragrafo 1, lettera f) GDPR (nostro legittimo interesse a fornire un'assistenza clienti efficiente). Flyweight GmbH tratta i vostri dati per nostro conto in qualità di responsabile del trattamento ai sensi di un accordo sul trattamento dei dati.

Conservazione dei dati: Conserviamo i dati di assistenza per il tempo necessario a risolvere la vostra richiesta e per eventuali pretese legali applicabili o obblighi di tenuta delle registrazioni. I periodi di conservazione legali da 6 a 10 anni si applicano solo ai registri soggetti a tali requisiti, non automaticamente a ogni messaggio di assistenza. Flyweight conserva le conversazioni per nostro conto per la durata del nostro contratto e le cancella entro 30 giorni dalla sua cessazione, in conformità al nostro accordo sul trattamento dei dati.

Ubicazione dei destinatari: UE e paesi extra UE.

Garanzie per i trasferimenti verso paesi terzi: Clausole contrattuali standard dell'UE (SCC), decisione di adeguatezza.

Live chat con il nostro team

Un membro del nostro team può unirsi a una conversazione del chatbot e continuarla personalmente. Vedrete nella chat quando questo accade. La conversazione, comprese tutte le informazioni che avete fornito nella chat, sarà quindi disponibile al nostro team affinché possiamo aiutarvi con la vostra richiesta.

Base giuridica: Articolo 6, paragrafo 1, lettera b) GDPR (esecuzione di un contratto o misure precontrattuali). Flyweight GmbH fornisce l'infrastruttura della chat in qualità di nostro responsabile del trattamento.

Conservazione dei dati: Come indicato sopra per il chatbot.

---

Installate il chatbot conforme alla privacy per i negozi Shopify europei ✌️