Informativa privacy dell'assistente digitale su WhatsApp

Simone Donato Cascioli, ditta individuale, P. IVA 04595480718, con sede a Foggia (Italia).

Per qualsiasi richiesta sui dati personali: info@simonecascioli.it. Non è stato nominato un Responsabile della protezione dei dati, perché non è obbligatorio.

L'assistente riceve messaggi di testo su un numero WhatsApp italiano tramite la WhatsApp Business Platform (Cloud API) di Meta, genera una risposta con un modello di linguaggio e la invia sulla stessa chat. Per rispondere tiene conto degli ultimi messaggi della conversazione.

Oggi è un assistente a uso privato del titolare e non è offerto al pubblico: elabora solo i messaggi provenienti da un numero autorizzato. Prima di renderlo disponibile ad altre persone aggiorneremo questa informativa.

• Il testo dei messaggi che inviate e delle risposte generate dal modello. Gli ultimi messaggi vengono conservati per un tempo limitato come cronologia della conversazione (vedi «Per quanto tempo conserviamo i dati»).
• Il numero di telefono da cui scrivete, che serve per inviare la risposta e come chiave per associare la cronologia alla vostra conversazione.
• Il nome del profilo WhatsApp, che Meta trasmette insieme al messaggio. Il nostro sistema non lo usa e non lo conserva.
• I dati tecnici della consegna (identificativo del messaggio, data e ora, stato di consegna), generati e gestiti da Meta.

Il servizio non chiede e non elabora foto, video, audio, documenti, posizione o contatti: i messaggi di questo tipo vengono scartati senza essere elaborati né conservati. Vi chiediamo di non inviare dati particolari (per esempio relativi alla salute) né dati di altre persone.

Se scrivete al numero senza essere autorizzati, Meta consegna comunque il messaggio al nostro sistema, che lo scarta subito: non lo invia al modello, non risponde e non lo conserva.

• Ricevere i vostri messaggi e rispondere: il trattamento è necessario per fornire il servizio che richiedete scrivendo all'assistente (art. 6, par. 1, lett. b GDPR).
• Conservare per breve tempo la cronologia recente, solo per mantenere il contesto della conversazione, così che le risposte tengano conto dei messaggi precedenti. È parte del servizio richiesto (art. 6, par. 1, lett. b): è limitata agli ultimi 10 messaggi, si cancella da sola dopo 24 ore di inattività e potete cancellarla in qualsiasi momento con il comando !reset.
• Verificare che i messaggi provengano davvero da Meta e da un numero autorizzato, e scartare gli altri: legittimo interesse del titolare alla sicurezza del servizio (art. 6, par. 1, lett. f).

Finché l'assistente è usato solo dal titolare, i dati trattati sono quelli del titolare stesso, per uso personale. Questa informativa descrive comunque il trattamento in modo completo, per trasparenza e in vista dell'apertura ad altre persone.

La cronologia non ha altre finalità: i dati non vengono usati per profilazione, marketing, analisi o statistiche, non vengono venduti e non vengono usati per addestrare modelli di intelligenza artificiale.

1. Meta riceve il messaggio dalla vostra app WhatsApp e lo inoltra, tramite la Cloud API, al nostro sistema.

2. Il sistema gira su Cloudflare Workers. Controlla la firma digitale di Meta e il numero del mittente, poi legge da Cloudflare Workers KV la cronologia recente della vostra conversazione, se c'è.

3. Il testo del messaggio, insieme alla cronologia, viene passato a un modello di linguaggio (Llama 3.2 3B Instruct) ospitato da Cloudflare su Workers AI. Il testo non viene inviato ad altri fornitori di intelligenza artificiale.

4. La risposta torna a Meta tramite la Cloud API, che la consegna nella vostra chat. Il sistema aggiorna poi la cronologia in Workers KV, tenendo solo gli ultimi 10 messaggi.

Le comunicazioni tra i sistemi sono cifrate (HTTPS).

Le risposte sono generate automaticamente da un modello di linguaggio, senza controllo umano prima dell'invio. Possono contenere errori, imprecisioni o informazioni non aggiornate: non vanno usate come unica base per decisioni importanti.

Il servizio non prende decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o effetti significativi analoghi su di voi (art. 22 GDPR).

• Cronologia della conversazione: il sistema conserva in Cloudflare Workers KV gli ultimi 10 messaggi (5 scambi tra i vostri messaggi e le risposte), associati al vostro numero di telefono. Viene cancellata automaticamente 24 ore dopo l'ultimo scambio; ogni nuovo scambio riporta il termine a 24 ore.
• Potete cancellare la cronologia in qualsiasi momento inviando il messaggio !reset: il sistema la elimina subito e conferma con un messaggio. Secondo la documentazione di Cloudflare, una chiave scaduta o cancellata viene eliminata dal sistema e le letture successive si comportano come se non esistesse; le copie temporanee nella cache della rete Cloudflare scadono di norma dopo circa 60 secondi, a volte qualcosa di più.
• Cloudflare non indica nella documentazione di KV né nell'accordo sul trattamento dei dati se, dopo la cancellazione, restano copie in sistemi di backup, né per quanto tempo. L'accordo prevede che Cloudflare cancelli o restituisca i dati, comprese le copie, al termine del servizio. Per questo non indichiamo un periodo: se Cloudflare lo renderà noto, aggiorneremo l'informativa.
• Non esiste altro archivio dei messaggi gestito dal titolare: nessun database, nessuna analisi, nessun uso per addestramento.
• Registri tecnici: Cloudflare può registrare i dati tecnici di ogni richiesta ricevuta dal sistema (per esempio data, ora ed esito), non il contenuto dei messaggi. Il sistema aggiunge una riga solo in caso di errore, per esempio se l'invio della risposta fallisce, con il codice d'errore e senza il testo del messaggio. Se il servizio di registrazione di Cloudflare (Workers Logs) è attivo, Cloudflare conserva questi registri per 3 giorni sul piano gratuito o 7 giorni sul piano a pagamento, secondo la propria documentazione.
• Workers AI: secondo Cloudflare, i testi inviati al modello non vengono usati per addestrare modelli né per migliorare servizi. Cloudflare non indica un periodo di conservazione specifico per l'elaborazione in sé.
• Meta (Cloud API): secondo Meta, i messaggi hanno un periodo massimo di conservazione di 30 giorni, necessario a fornire le funzioni di base del servizio, e sono cifrati quando sono archiviati. Il comando !reset non cancella questi dati né la conversazione nella vostra app.
• La conversazione resta nella vostra app WhatsApp finché non la cancellate, secondo le impostazioni e l'informativa di WhatsApp.

Per far funzionare il servizio ci avvaliamo di due fornitori, che agiscono come responsabili del trattamento (art. 28 GDPR) in base ai rispettivi accordi sul trattamento dei dati:

• Meta, tramite WhatsApp Ireland Limited e le società del gruppo Meta: trasporto dei messaggi in entrata e in uscita con la WhatsApp Business Platform (Cloud API). Per la Cloud API Meta dichiara di agire come responsabile del trattamento per conto dell'azienda. Per l'uso che fate della vostra app e del vostro account WhatsApp, WhatsApp agisce come titolare autonomo, secondo la propria informativa.
• Cloudflare, Inc. (Stati Uniti), responsabile del trattamento per tre servizi: Workers, che esegue il sistema ed eventuali registri tecnici; Workers AI, che genera la risposta con il modello di linguaggio; Workers KV, che conserva temporaneamente la cronologia recente della conversazione.

I dati possono essere comunicati alle autorità solo quando lo richiede la legge. Documenti ufficiali dei fornitori:

• Meta: privacy e sicurezza dei dati nella Cloud API
• WhatsApp: informativa privacy (Regione europea)
• Cloudflare: informativa privacy
• Cloudflare: accordo sul trattamento dei dati (DPA)
• Cloudflare: privacy di Workers AI
• Cloudflare: come funziona Workers KV
• Cloudflare: scadenza delle chiavi in Workers KV
• Cloudflare: Workers Logs e conservazione

Meta e Cloudflare possono trattare i dati anche fuori dallo Spazio economico europeo: Meta usa data center in diversi Paesi; Cloudflare esegue il sistema e il modello sulla propria rete globale e conserva i dati di Workers KV in un piccolo numero di data center centrali, con copie temporanee nella cache dei data center dove vengono letti.

Per Meta, WhatsApp Ireland trasferisce i dati a WhatsApp LLC e Meta Platforms, Inc. negli Stati Uniti sulla base dell'EU-US Data Privacy Framework (decisione di adeguatezza della Commissione europea del 10 luglio 2023), riservandosi altri strumenti previsti dal GDPR; per i subresponsabili si applicano le clausole contrattuali standard.

Per Cloudflare, l'accordo sul trattamento dei dati prevede l'EU-US Data Privacy Framework, a cui Cloudflare aderisce, e le clausole contrattuali standard approvate dalla Commissione (art. 46 GDPR).

Potete chiederne copia o maggiori informazioni scrivendo a info@simonecascioli.it.

• WhatsApp Business Data Transfer Addendum
• Cloudflare: accordo sul trattamento dei dati (DPA)

In qualsiasi momento potete chiedere l'accesso ai vostri dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità, e opporvi ai trattamenti basati sul legittimo interesse (articoli da 15 a 22 GDPR).

Per cancellare subito la cronologia della conversazione basta inviare all'assistente il messaggio !reset. Per ogni altra richiesta, compresi accesso e cancellazione, scrivete a info@simonecascioli.it: rispondiamo senza ritardo e comunque entro un mese, gratuitamente. Per i dati custoditi da Meta vi aiuteremo a rivolgere la richiesta al fornitore. Per smettere di inviarci dati basta non scrivere più al numero, o bloccarlo su WhatsApp.

Se ritenete che il trattamento violi la normativa, potete proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o ricorrere all'autorità giudiziaria.

L'assistente funziona solo dentro WhatsApp e non usa cookie. Anche questa pagina non installa cookie, né tecnici né di profilazione, come il resto del sito.

Aggiorneremo questa informativa se cambia il servizio, per esempio se verrà aperto ad altre persone, se cambiano la durata o la lunghezza della cronologia o se cambiano i fornitori. La versione in vigore è sempre pubblicata su questa pagina, con la data dell'ultimo aggiornamento indicata in alto.