Nella quinta parte abbiamo tracciato il confine tra ciò a cui risponde l'assistente e ciò che gestisce un dipendente, e abbiamo preteso un passaggio di consegne che porti con sé l'intera conversazione. Tutto ciò che abbiamo costruito finora poggia su una sola cosa: lo storico delle conversazioni con i tuoi clienti. E quello storico non è un archivio operativo: sono dati personali disciplinati dalla legge.

Questa parte non è un testo allarmistico né una lettura di articoli di legge. La maggior parte di ciò che serve a una piccola o media impresa si riduce a semplici decisioni gestionali prese una volta sola, prima del lancio, che costano un'ora di riunione e non un consulente. Prenderle dopo il lancio costa molte volte di più.

Una conversazione WhatsApp è un dato personale, e ne sei responsabile

La Legge sulla protezione dei dati personali (PDPL) del Regno è in vigore dal 14 settembre 2023, il periodo di tolleranza per l'adeguamento si è concluso il 14 settembre 2024 e l'Autorità saudita per i dati e l'intelligenza artificiale (SDAIA) è l'autorità di vigilanza. Il suo ambito è più ampio di quanto molti imprenditori pensino: copre qualsiasi trattamento dei dati di persone all'interno del Regno con qualsiasi mezzo e si estende ai soggetti fuori dal Regno che trattano dati di persone che vi si trovano.

Quando una cliente invia il suo nome, il suo numero e l'indirizzo di casa per prenotare un appuntamento di installazione, per la legge si tratta di dati personali, non di una chiacchierata di passaggio. E ciò che quasi tutti trascurano è quanto contenga davvero una conversazione: nomi e numeri, foto di documenti d'identità o di permessi di soggiorno che i clienti inviano senza che vengano richiesti, indirizzi di casa, immagini di documenti e fatture e, a volte, dati sanitari o finanziari citati di sfuggita in un reclamo. Un assistente IA non crea questi dati, ma li rende archiviati, indicizzati e ricercabili invece che persi sul telefono di un dipendente. Questo è già di per sé un miglioramento operativo, e aumenta anche la tua responsabilità.

La base giuridica e l'informativa al cliente

Non tratti dati personali senza un motivo legittimo. Per la maggior parte delle aziende la base è semplice: è il cliente stesso ad aver avviato la conversazione chiedendo un servizio, e fornirgli ciò che ha chiesto richiede di trattare i suoi dati. È una base solida per rispondere alla sua richiesta e preparare il suo ordine. Non si estende automaticamente a nulla che non abbia chiesto.

Vale la pena soffermarsi sulla distinzione pratica. Rispondere alla richiesta di un cliente è una cosa; aggiungere il suo numero un mese dopo a un invio di marketing massivo è tutt'altra cosa. La prima fornisce ciò che ha chiesto; la seconda è una nuova finalità che richiede il suo consenso esplicito. È la violazione più comune che vediamo sul mercato, proprio perché sembra gratuita e innocua.

Quanto all'informativa, è richiesto meno di quanto immagini: una riga breve all'inizio della conversazione, oppure un'informativa sulla privacy sul tuo sito a cui l'assistente rimanda, che dica chi sei, perché raccogli i dati, per quanto tempo li conservi, con chi li condividi e come il cliente esercita i suoi diritti. Scrivila in una lingua che il tuo cliente capisce, non in linguaggio contrattuale.

Raccogli il minimo e cancella ciò che ha esaurito il suo scopo

La regola più facile da applicare dell'intera legge: i dati che non hai mai raccolto non possono sfuggirti né esserti richiesti. Il controllo comincia lì, nella formulazione delle domande stesse dell'assistente.

  • Chiedi solo ciò che serve al servizio. Se una prenotazione richiede un nome, un numero e un quartiere, non far chiedere all'assistente un numero di documento o una data di nascita solo perché il campo esiste sul tuo vecchio modulo cartaceo.
  • Blocca i documenti sensibili in chat. Le foto dei documenti d'identità e le carte bancarie non si chiedono su WhatsApp. Mettile nella lista dei rifiuti che abbiamo costruito nella quarta parte e sposta il cliente su un canale adeguato se è davvero necessario.
  • Stabilisci per iscritto un periodo di conservazione. Scegline uno per tipo: conversazioni di richiesta che non sono mai diventate un ordine, e ordini completati i cui registri devi conservare per motivi contabili e normativi. Ciò che conta è che il periodo sia scritto e applicato, non lasciato aperto per sempre.
  • Fai della cancellazione una procedura, non un'intenzione. Un periodo di conservazione senza un meccanismo dietro è un archivio permanente con un altro nome. Chiedi al tuo fornitore come cancellare una conversazione o un intero cliente, e quando sparisce davvero dai suoi backup.

Chi nel tuo team può vedere le conversazioni?

Il rischio pratico più grande per i dati dei tuoi clienti non è una violazione esterna: è l'accesso interno senza limiti. Quando le conversazioni stanno sul telefono personale di un dipendente, escono dall'azienda con lui il giorno in cui si dimette, e tu non hai né una copia né alcun controllo. Spostare le conversazioni in un sistema centrale risolve il problema, a patto che tu controlli chi vede cosa.

Bastano tre decisioni gestionali: ogni dipendente vede le conversazioni a lui assegnate o pertinenti al suo lavoro, non tutte; ogni utente ha un account nominativo invece di un accesso condiviso che il team si passa di mano in mano, così sai chi ha visto cosa; e l'accesso viene revocato lo stesso giorno in cui termina il rapporto di lavoro, non settimane dopo. Aggiungi ai contratti di lavoro e alle procedure una clausola che vieti di esportare i dati dei clienti o di portarli fuori dal sistema.

Quando le conversazioni escono dal Regno

Questa è la parte che gli imprenditori trascurano del tutto, perché è invisibile. Un assistente IA funziona su un modello linguistico, e quel modello può essere ospitato fuori dal Regno: significa che il testo della conversazione del tuo cliente può attraversare il confine per generare la risposta.

La legge limita il trasferimento di dati personali fuori dal Regno a casi e controlli definiti, e non lo lascia alla discrezione del fornitore. Non devi essere un esperto di diritto: devi porre tre domande scritte a qualsiasi fornitore e conservare le risposte documentate:

  • Dove vengono archiviate le conversazioni dei miei clienti e dove vengono elaborate? I dati escono dal Regno in qualche fase?
  • Se escono, su quale base e su quali controlli vi basate per il trasferimento?
  • Usate le conversazioni dei miei clienti per addestrare i vostri modelli o per qualsiasi vostra finalità?

La terza domanda è la più importante dal punto di vista commerciale e la meno posta. I dati dei tuoi clienti sono tuoi, e il fatto che un fornitore li detenga per erogare un servizio non è un permesso per usarli per un'altra finalità. Rendi esplicito il divieto nel contratto invece di lasciarlo implicito nel contesto.

I diritti del cliente, e dove finisce la tua responsabilità e inizia quella del tuo fornitore

La legge riconosce all'interessato diritti chiari: essere informato che i suoi dati vengono raccolti e perché, accedervi e ottenerne una copia, chiederne la rettifica e chiederne la distruzione quando la finalità non sussiste più. Non sono testi teorici: sono richieste che un giorno possono arrivare nella stessa conversazione WhatsApp, quindi il tuo team deve sapere cosa fare quando ne arriva una, e il tuo sistema ha bisogno di un pulsante che la esegua invece di una laboriosa procedura manuale.

Resta il punto che chiude la maggior parte delle discussioni con i fornitori: tu sei il titolare del trattamento, perché stabilisci la finalità e le modalità del trattamento, e il fornitore dell'assistente IA è un responsabile del trattamento che agisce per tuo conto. La responsabilità legale verso il tuo cliente resta tua, anche quando l'errore è tecnico ed è del tuo fornitore. Pretendi quindi un contratto scritto che stabilisca cosa può e non può fare con i tuoi dati, lo obblighi a informarti senza ritardo di qualsiasi violazione e definisca cosa succede ai tuoi dati il giorno in cui il rapporto termina: restituiti integralmente e poi distrutti dalla sua parte.

Il punto di vista di Origami

In Mahir, l'assistente IA di Origami per WhatsApp, l'assistente funziona sul numero che la tua azienda ha già, senza un nuovo numero né un'app aggiuntiva sul telefono del dipendente, e il collegamento è una scansione QR una tantum: così le conversazioni con i tuoi clienti restano in un sistema aziendale invece che sparse su dispositivi personali che se ne vanno quando se ne vanno i loro proprietari. L'addestramento inizia dandogli il link del tuo sito perché lo legga e compili i tuoi dati; poi aggiungi i servizi, i prezzi e le domande frequenti con risposte che approvi tu. Ha due livelli tra cui scegliere: Malik per domande dirette, rapide e ripetitive, e Mahir per conversazioni lunghe, richieste composte e obiezioni; puoi passare dall'uno all'altro in qualsiasi momento senza ricollegare e senza perdere l'addestramento, e la prova è gratuita. Quanto alle sei domande di questa parte sul luogo di archiviazione, sui trasferimenti fuori dal Regno e sull'uso dei dati per l'addestramento: ponile per iscritto a qualsiasi fornitore che stai valutando, noi compresi, e fissa la risposta nel contratto.

Conclusione

Ciò che ti è richiesto è meno di ciò che ti spaventa: una base giuridica chiara, un'informativa breve e comprensibile, la raccolta del minimo necessario, un periodo di conservazione scritto seguito da una cancellazione reale, un accesso controllato all'interno del tuo team, risposte documentate su dove stanno i dati, come si spostano e come vengono usati, e un contratto scritto con il tuo fornitore in cui ciascuna parte conosce il proprio ruolo. Prendi queste decisioni prima del lancio: sono molto più facili che correggerle dopo. Resta l'ultima domanda dell'imprenditore: cosa rende tutto questo e come lo si introduce in una sola settimana? È la settima parte, e la fine della serie.

Fonti

  • Autorità saudita per i dati e l'intelligenza artificiale (SDAIA): la Legge sulla protezione dei dati personali e il relativo Regolamento di attuazione: ambito di applicazione, base giuridica del trattamento, diritti dell'interessato e obblighi dei titolari e dei responsabili del trattamento.
  • SDAIA: il Regolamento sul trasferimento dei dati personali fuori dal Regno e i controlli associati.
  • SDAIA: guide e strumenti per la conformità pubblicati per i titolari del trattamento sulle piattaforme dell'Autorità.
  • Saudi Vision 2030: l'economia digitale e la costruzione della fiducia dei consumatori nelle transazioni digitali.