Flyweight: usare un AI chatbot per Shopify in linea con GDPR e AI Act

Accordo sul trattamento dei dati, obbligo di etichettatura, privacy policy, GDPR, AI Act - cosa significa tutto questo? 🤯🤯

La checklist e il template di privacy policy qui sotto partono da un caso preciso: gestite uno store Shopify e volete aggiungere un AI chatbot conforme al GDPR. Se volete capire meglio cosa può fare il nostro Shopify chatbot, date un’occhiata alla guida principale. Questo articolo non costituisce consulenza legale né il riconoscimento di un obbligo legale.

Terminologia

1. Regolamento generale sulla protezione dei dati (GDPR)
   Il GDPR è la normativa principale sulla privacy in Europa. Stabilisce le regole su come le aziende devono trattare i dati personali, per esempio raccogliendo solo quelli davvero necessari e conservandoli in modo sicuro. Riconosce anche alle persone diversi diritti sui propri dati, tra cui accesso, rettifica e cancellazione. Per i chatbot significa una cosa semplice: niente raccolta ampia o inutile di dati, e comunicazione chiara su come vengono usati.

2. Artificial Intelligence Act (AI Act)
   L’AI Act è una proposta di legge dell’UE che definisce regole per l’intelligenza artificiale. L’obiettivo è favorire un uso più sicuro ed equo di sistemi AI come i chatbot. Classifica i sistemi AI in base al livello di rischio, da basso ad alto. Ogni categoria prevede requisiti specifici, come informare in modo chiaro gli utenti che stanno interagendo con un’AI e ridurre il rischio di esiti discriminatori. I chatbot usati in contesti sensibili possono rientrare in categorie a rischio più elevato e richiedere misure aggiuntive.

3. Data Processing Agreement (DPA)
   Un Data Processing Agreement è un contratto tra l’azienda che usa il chatbot e il provider che lo gestisce. Definisce che il provider tratta i dati degli utenti solo su istruzione dell’azienda e nel rispetto delle regole sulla protezione dei dati. Se usate un provider esterno per il chatbot, di solito serve un DPA per documentare un trattamento conforme al GDPR.

4. Privacy Policy
   Una privacy policy spiega quali dati vengono raccolti, perché vengono raccolti e per quanto tempo vengono conservati. Dovrebbe anche spiegare i diritti degli utenti, come il diritto di chiedere la cancellazione dei dati o di accedere a quelli archiviati. Se usate un chatbot, queste informazioni dovrebbero essere facili da capire e facili da trovare.

5. Obbligo di etichettatura
   In base ai principi del GDPR e, in modo ancora più esplicito, all’AI Act previsto, gli utenti dovrebbero poter capire se stanno interagendo con un’AI e non con una persona. Questo è l’obbligo di etichettatura. L’obiettivo è aumentare la trasparenza e ridurre i malintesi.

Ruoli e responsabilità

I ruoli contano, perché definiscono chi è responsabile di cosa.

Processor

Il provider del chatbot è di solito il processor. In pratica tratta i dati per conto del gestore dello store e seguendo le sue istruzioni. Il provider si occupa della configurazione tecnica e del funzionamento del chatbot, ma non decide il motivo per cui i dati vengono trattati. Il suo compito è seguire le indicazioni del controller e implementare misure tecniche e organizzative per proteggere i dati personali. In breve, il provider del chatbot è vincolato contrattualmente a trattare i dati solo secondo istruzioni, non per finalità proprie indipendenti.

Controller

Qui arriva la parte che spesso sembra poco intuitiva: il gestore dello store è il controller. In quanto controller, lo store decide perché e come vengono trattati i dati, per esempio quali informazioni raccoglie il chatbot e se viene usato per supporto, lead generation o altro. Il controller è responsabile di fare in modo che raccolta e trattamento dei dati rispettino i requisiti privacy e che i diritti degli utenti vengano tutelati. In pratica, significa che il gestore dello store definisce come viene usato il chatbot ed è responsabile della conformità privacy legata a quell’uso. Sembra più complicato di quanto sia davvero. Di solito si parte da una privacy policy scritta in modo chiaro.

Esempio pratico

Mettiamo che lo store Shopify "GarlicPress24" voglia usare un AI chatbot per la lead generation. Un cliente chiede informazioni sulle specifiche di uno spremiaglio, e l’AI fornisce una risposta competente. Durante questo flusso, il chatbot raccoglie i dati di contatto del cliente, come nome ed email, e li inoltra all’esperto.

Lo store deve decidere come gestire questo processo. Il lead deve essere raccolto tramite AI? Oppure il chatbot dovrebbe semplicemente mostrare un messaggio tipo: “Contattate i nostri esperti all’email X”? Lo store Shopify è il controller perché decide cosa succede e si assicura che i clienti siano informati correttamente nella privacy policy. Il provider dell’AI chatbot gestisce la parte tecnica e tratta i dati secondo le istruzioni dello store, quindi in questo caso è il processor.

Come usare un AI chatbot in linea con i requisiti di protezione dei dati: una checklist

Se volete usare un chatbot in linea con GDPR e AI Act, i ruoli visti sopra chiariscono bene le responsabilità.

1. Raccogliete solo i dati necessari
   Il chatbot dovrebbe raccogliere solo i dati davvero utili. Questa è soprattutto una responsabilità del provider. In Flyweight puntiamo a trattare solo il minimo indispensabile di dati personali. Per esempio, se un cliente chiede lo stato di un ordine, trattiamo solo CAP e numero d’ordine, non dettagli aggiuntivi dell’indirizzo o dati più ampi sull’ordine. Inoltre, i dati personali vengono gestiti separatamente dall’AI.

2. Siate trasparenti
   Gli utenti dovrebbero capire quali dati raccoglie il chatbot e per cosa vengono usati. Il posto giusto per spiegarlo in modo chiaro è la privacy policy, soprattutto per chi gestisce uno store Shopify. Dato che lo store è il controller, la policy dovrebbe essere aggiornata in modo che i clienti siano informati correttamente. Più sotto trovate anche un template da cui partire.

3. Mettete in atto un Data Processing Agreement (DPA)
   Se il chatbot arriva da un provider esterno, dovrebbe esserci un contratto che disciplini il trattamento dei dati in conformità al GDPR. Verificate se il provider mette a disposizione un DPA, spesso incluso nell’accordo standard.

4. Rivedete regolarmente sicurezza e protezione dei dati
   Anche l’AI Act va nella direzione di controlli periodici sui rischi legati all’AI, così la configurazione del chatbot resta allineata nel tempo. In genere se ne occupa il provider del chatbot. Noi teniamo questa guida aggiornata e condividiamo gli eventuali cambiamenti rilevanti.

5. Indicate chiaramente che si tratta di un chatbot AI
   Anche se un obbligo esplicito di etichettatura non è ancora un requisito rigido in ogni caso, essere trasparenti resta la scelta giusta. Gli utenti dovrebbero sapere che stanno parlando con un’AI. Il nostro AI chatbot include di default un footer con la dicitura: “AI powered by Flyweight”, e consigliamo di lasciarlo attivo. Se volete essere ancora più prudenti, potete citare l’AI anche nel messaggio di benvenuto o nel nome del chatbot.

⭐️ Template per la privacy policy

Come abbiamo visto, gli store Shopify che agiscono come controller sono i principali responsabili nel spiegare chiaramente come vengono trattati i dati.

E il posto migliore per farlo? La vostra privacy policy.

💡 Se fossimo noi i gestori dello store e usassimo il Flyweight AI Chatbot, aggiungeremmo questa sezione alla privacy policy (senza riconoscere un obbligo legale né fornire consulenza legale):

👇👇👇👇👇👇👇👇👇👇

---

Utilizzo del chatbot con moduli
Sul nostro sito mettiamo a vostra disposizione un chatbot basato su AI di Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Germania (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) per rispondere alle vostre domande. Quando usate il chatbot, le vostre richieste vengono elaborate combinando il database creato a partire dalle informazioni del sito lette dal nostro stesso sito web con un large language model, così da fornirvi una risposta alla vostra richiesta. Il chatbot è istruito a non chiedere dati personali. Utile da sapere: se in seguito alle vostre richieste compaiono moduli separati, nei quali potrebbe essere necessario inserire dati personali in base al tipo di richiesta, le informazioni inserite lì vengono trattate separatamente e quindi non vengono inviate all’AI.

Categorie di dati trattati: Le categorie di dati dipendono dalle vostre richieste, se inserite dati personali nella domanda.

• Per esempio, se chiedete: “Dov’è il mio ordine?”, comparirà un modulo in cui potrete inserire il numero d’ordine e il vostro CAP.

• Se invece volete saperne di più su un prodotto e ricevere una consulenza adeguata, comparirà un modulo in cui potrete inserire le informazioni rilevanti (ad es. nome, telefono, email, ecc.).

Finalità del trattamento: Trattamento delle informazioni che fornite per generare risposte alle vostre richieste tramite il chatbot.

• Esempio: se chiedete: “Dov’è il mio ordine?” e inserite nel modulo il numero d’ordine e il CAP, queste informazioni vengono usate per inviare una richiesta diretta al sistema dello store (Shopify), così da recuperare le informazioni di consegna e informarvi sullo stato dell’ordine.

• Esempio: se desiderate una consulenza su un prodotto, la vostra richiesta, insieme ai dati inseriti nel modulo e all’intera cronologia della chat, verrà inoltrata al gestore dello store affinché possa contattarvi.

Fonte dei dati: Raccogliamo questi dati direttamente da voi.

Base giuridica: Trattiamo i dati per adempiere a obblighi contrattuali o precontrattuali ai sensi dell’articolo 6, paragrafo 1, lettera (b) del Regolamento generale sulla protezione dei dati (GDPR).

Conservazione dei dati: I dati vengono conservati fino alla risoluzione della vostra richiesta oppure per la durata del contratto e successivamente fino alla scadenza dei periodi di conservazione previsti dalla legge (da 6 a 10 anni).

Ubicazione dei destinatari: UE e paesi extra UE.

Garanzie per i trasferimenti verso paesi terzi: Clausole contrattuali standard dell’UE (SCC), decisione di adeguatezza

---

👆👆👆👆👆👆👆👆👆👆

Installate il chatbot privacy-compliant per store Shopify europei ✌️