SaaS per il servizio clienti e GDPR: come scegliere e utilizzare uno strumento realmente conforme?

Il software di assistenza clienti contiene probabilmente alcuni dei dati personali più sensibili della tua organizzazione, subito dopo quelli relativi alle buste paga: dettagli di contatto, cronologia degli acquisti, conversazioni, allegati, reclami e talvolta informazioni sanitarie o finanziarie fornite volontariamente dal cliente in un campo di testo libero. Esiste un malinteso molto diffuso: scegliere un fornitore "conforme al GDPR" non trasferisce la tua responsabilità a tale fornitore. Ecco cosa devi verificare nel prodotto, nel contratto e nelle tue pratiche interne.

GDPR e SaaS per l'assistenza clienti: chi è responsabile dei dati dei clienti?

L'azienda utente è generalmente il titolare del trattamento dei dati.

Questo è il punto di partenza dell'intero processo e il fattore che i team di approvvigionamento sottovalutano più spesso. Nella guida pubblicata il 28 maggio 2026 sulla qualificazione degli attori del cloud computing, la CNIL stabilisce il seguente principio: come regola generale, il cliente è il titolare del trattamento per le operazioni effettuate sul servizio cloud, poiché ne determina le finalità e i mezzi essenziali. Sceglie il proprio fornitore e decide quali dati trattare, come configurare il servizio, cosa eliminare e cosa sottoporre a backup.

L'esempio fornito dalla CNIL si applica direttamente all'assistenza clienti: un'azienda che utilizza un CRM per gestire i propri clienti è il titolare del trattamento, mentre il fornitore del CRM ne è il responsabile.

Il fornitore SaaS è un responsabile del trattamento, fatta eccezione per i trattamenti che effettua per conto proprio

Il fornitore agisce in qualità di responsabile del trattamento quando esegue operazioni sui tuoi dati seguendo le tue istruzioni. Tuttavia, la qualifica non è monolitica: lo stesso fornitore può essere titolare del trattamento per determinate operazioni che decide autonomamente, ad esempio l'utilizzo dei dati di utilizzo per migliorare il proprio prodotto, oppure contitolare del trattamento quando il miglioramento va a vantaggio di entrambe le parti e gli accordi sono definiti congiuntamente.

La CNIL sottolinea inoltre che la qualifica dipende dai fatti, non da una scelta contrattuale: firmare un DPA che designa il fornitore come responsabile del trattamento non è sufficiente se la realtà del rapporto è diversa.

‍

‍

SaaS per il servizio clienti e GDPR: quali dati mappare prima dell'implementazione?

‍

Cosa transita effettivamente attraverso uno strumento di assistenza clienti?

• cognome, nome, dettagli di contatto e ID cliente;
• conversazioni via email, chat, WhatsApp, social media o telefono;
• ticket, note interne, e commenti degli operatori;
• allegati forniti dal cliente;
• cronologia di ordini, contratti o abbonamenti;
• dati tecnici, log di connessione e metadati;
• registrazioni delle chiamate o trascrizioni, ove applicabile;
• informazioni fornite volontariamente in un campo di testo libero.

‍

L'ultimo punto è il più delicato e specifico dell'assistenza. Un cliente insoddisfatto potrebbe menzionare volontariamente problemi di salute, difficoltà finanziarie o situazioni familiari che non avevate mai intenzione di raccogliere. Questi dati rientrano comunque nel vostro ambito di responsabilità. Fornite istruzioni esplicite agli operatori e una procedura per la cancellazione dei campi di testo libero.

‍

SaaS per il servizio clienti e GDPR: clausole da verificare nel contratto e nel DPA

L'accordo sul trattamento dei dati richiesto dall'Articolo 28

Il rapporto tra titolare e responsabile del trattamento deve essere regolato da un contratto scritto o un altro atto giuridicamente vincolante. La CNIL raccomanda inoltre di prestare particolare attenzione alla scelta del fornitore cloud e di considerare l'intera catena dei fornitori di trattamento, non solo i responsabili diretti.

Verifica punto per punto: oggetto, durata, natura e finalità del trattamento, categorie di dati e interessati, obbligo di agire su istruzioni documentate, riservatezza del personale, misure di sicurezza, assistenza per le richieste di esercizio dei diritti degli interessati e per le valutazioni d'impatto, notifica delle violazioni, diritti di audit, e la sorte dei dati al termine del contratto.

Sub-responsabili, il punto cieco più comune

Un SaaS per il servizio clienti si affida quasi sempre ad altri fornitori: un host cloud, un servizio di invio email, un fornitore di archiviazione file, uno strumento di analisi, un fornitore di modelli di IA, un servizio di trascrizione vocale o un supporto tecnico in outsourcing.

Tre requisiti minimi: un elenco accessibile e aggiornato dei sub-responsabili, un meccanismo di notifica preventiva per le modifiche e un ragionevole diritto di opposizione da parte tua. Una risposta evasiva su questo punto è motivo sufficiente per scartare un fornitore.

Checklist: 10 punti da verificare nel DPA di un SaaS per il servizio clienti

1. Il DPA viene fornito di default, o devi richiederlo?‍
2. Le istruzioni documentate corrispondono al tuo utilizzo effettivo? ‍
3. L'elenco dei sub-responsabili è pubblico e aggiornato? ‍
4. Come vieni informato di un cambio di sub-responsabile? ‍
5. La posizione dell'hosting è garantita contrattualmente o solo indicata sul sito web?
6. Quali trasferimenti al di fuori dell'UE sono previsti, anche per supporto e manutenzione?
7. Con quale rapidità il fornitore ti notifica una violazione dei dati personali? ‍
8. Quale assistenza concreta viene fornita per le richieste relative ai diritti dell'interessato? ‍
9. Quali accordi di audit sono realmente praticabili, oltre a un questionario annuale? ‍
10. Cosa succede ai dati al termine del contratto: formato, tempistiche, costi ed eliminazione delle copie?

GDPR per SaaS di assistenza clienti: dove vengono ospitati e trasferiti i tuoi dati?

La posizione dell'hosting e l'assenza di trasferimenti non sono la stessa cosa.

"I nostri server sono in Europa" è una risposta incompleta. L'hosting europeo non esclude l'accesso remoto da un paese terzo per la manutenzione, un sub-responsabile del trattamento tecnico stabilito al di fuori dell'UE o un flusso di dati verso uno strumento integrato nel prodotto.

Mappa quattro aspetti distinti: la posizione dell'archiviazione principale, la posizione dei backup, l'accesso per amministratori e supporto, e i flussi in uscita verso componenti di terze parti del prodotto, inclusi i motori di IA.

Trasferimenti al di fuori dell'UE: a che punto è il Data Privacy Framework?

Questo argomento merita una risposta aggiornata piuttosto che una presa di posizione di principio. La decisione di adeguatezza del 10 luglio 2023 rimane legalmente in vigore e il Tribunale dell'Unione europea ha respinto il ricorso in annullamento contro di essa il 3 settembre 2025. Tuttavia, il 31 ottobre 2025 è stato presentato un ricorso dinanzi alla Corte di giustizia dell'Unione europea, che rimane pendente, mentre diverse analisi prevedono una decisione per la fine del 2026 o nel 2027.

Si è aggiunto un nuovo elemento: una sentenza della Corte Suprema degli Stati Uniti emessa il 29 giugno 2026 riguardante l'indipendenza della Federal Trade Commission ha spinto diversi studi legali a consigliare alle aziende di preparare una soluzione di riserva nel caso in cui la decisione di adeguatezza venga infine annullata, poiché tale decisione si basa in parte sul ruolo della FTC come autorità di controllo indipendente.

Cosa significa questo per la scelta del tuo strumento

Tre conseguenze pratiche:

• Il Data Privacy Framework copre solo le entità autocertificate, il cui status deve essere verificato a ogni rinnovo contrattuale.
• Una decisione di adeguatezza non elimina mai la necessità del contratto ai sensi dell'Articolo 28 o delle misure di sicurezza;
• Qualsiasi strategia che si affidi esclusivamente a questo quadro normativo comporta un rischio di continuità. Fornire clausole contrattuali standard come soluzione di riserva, o scegliere l'hosting europeo, non è una presa di posizione ideologica, ma una misura di gestione del rischio.

‍

‍

SaaS per il servizio clienti e GDPR: quali garanzie di sicurezza richiedere al fornitore?

Distinguere la sicurezza del cloud dalla sicurezza nel cloud

Questa è la distinzione più utile da tenere a mente durante un processo di approvvigionamento. La sicurezza del cloud è responsabilità del fornitore: infrastruttura, hypervisor, rete e resilienza fisica. La sicurezza nel cloud è una tua responsabilità: configurazione dei ruoli, gestione dei permessi, scelta dei dati da inserire e controllo delle esportazioni.

Il CNIL mette inoltre in guardia da diverse ipotesi comuni, tra cui presupponendo che l'obbligo di sicurezza ricada esclusivamente sul fornitore o trascurando la telemetria e i dati di utilizzo raccolti dal fornitore nell'analisi dei rischi.

Misure tecniche da documentare

Crittografia in transito e a riposo, gestione delle identità e autenticazione forte, ruoli e permessi granulari, registrazione degli accessi e delle esportazioni, backup in siti geograficamente separati, procedura di gestione degli incidenti, test di sicurezza regolari, continuità operativa, eun piano di disaster recovery.

Richiedi prove concrete invece di semplici dichiarazioni: rapporti di audit, certificazioni aggiornate e una descrizione del processo di gestione delle vulnerabilità.

Applica il principio del privilegio minimo ai team di supporto

Sei domande da esaminare all'interno della tua organizzazione, indipendentemente dal fornitore:

• Un consulente di primo livello ha davvero bisogno di vedere l'intero fascicolo del cliente?
• Gli allegati sono visibili a tutti i team?
• Gli amministratori possono leggere le conversazioni senza che ne rimanga traccia?
• Le esportazioni in blocco sono limitate e registrate?
• Quanto rapidamente vengono disabilitati gli account dei dipendenti che lasciano l'azienda?
• I fornitori esterni hanno lo stesso livello di accesso dei tuoi team interni?

‍

La maggior parte degli incidenti osservati nelle operazioni di assistenza clienti non deriva da una vulnerabilità del fornitore, bensì da autorizzazioni eccessivamente ampie lasciate attive per anni.

GDPR per SaaS di assistenza clienti: diritti degli interessati, incidenti e reversibilità

Abilitare l'accesso, la rettifica e la cancellazione

Il tuo strumento deve consentirti di rispondere alle richieste degli interessati entro i limiti di tempo previsti. Funzionalità da testare durante una dimostrazione, invece di limitarsi a leggerle su una brochure: ricerca di una persona su tutti i canali, esportazione strutturata dei suoi dati, rettifica, cancellazione, limitazione del trattamento e anonimizzazione quando la cancellazione completa non è possibile.

‍

Attenzione ai dati sparsi tra ticket e allegati

Eliminare la scheda di un contatto non è sufficiente se le stesse informazioni rimangono in un ticket archiviato, nel corpo di un'email, in un allegato, in un'esportazione creata da un team, in un backup o in uno strumento collegato. Una richiesta di cancellazione gestita male è un motivo frequente di reclami, proprio perché l'azienda è sinceramente convinta di aver soddisfatto la richiesta.

Testa l'intero scenario prima della messa in produzione: una richiesta di cancellazione fittizia seguita da una ricerca su tutti i canali e in tutte le posizioni di archiviazione.

Organizza la risposta a una violazione dei dati personali

Il contratto e le tue procedure interne devono specificare chi rileva la violazione, chi avvisa chi, entro quali tempistiche, quali informazioni vengono trasmesse, come vengono conservate le prove e quale assistenza fornisce il fornitore affinché tu possa adempiere ai tuoi obblighi. Una scadenza di notifica vaga nel DPA è un serio segnale di allarme.

Prepara la reversibilità prima della firma, non alla risoluzione

Formato di esportazione, ambito di ciò che può essere effettivamente esportato (ticket, conversazioni, allegati, note interne, metadati), tempistiche di restituzione, costi eventuali, supporto alla migrazione e tempistiche di eliminazione per copie residue e backup. Questi punti sono facili da negoziare prima della firma, ma diventano quasi impossibili da ottenere in seguito.

‍

‍

Alcmeon, un SaaS di assistenza clienti progettato per esigenze elevate

‍

Hosting sovrano e controllo dei flussi di dati

‍

Alcmeon è la piattaforma conversazionale utilizzata dai principali brand B2C e dai servizi pubblici francesi, tra cui SNCF Connect, Carrefour, Fnac Darty e Le Bon Marché. L'hosting è fornito in Francia e nell'Unione Europea, il che semplifica notevolmente la parte relativa ai trasferimenti internazionali della tua analisi e riduce l'esposizione all'incertezza che attualmente colpisce i quadri di adeguatezza transatlantici.

Governance dei processi e dell'IA

La piattaforma anonimizza i dati sensibili prima che vengano inviati ai motori di IA, e funzionalità di IA può essere configurato caso per caso anziché essere attivato a livello globale. Connettori CRM nativi consentono di esporre agli operatori e ai sistemi automatizzati solo le informazioni necessarie per gestire la richiesta. Per approfondire questo argomento, consulta la nostra guida su governance dell'IA nel servizio clienti.

‍

Un'unica console, una condizione pratica per la conformità

‍

Rispondere a una richiesta di cancellazione è semplice quando tutte le conversazioni di un cliente si trovano in un unico posto, mentre diventa molto difficile quando sono sparse tra caselle email, account Instagram, strumenti di chat e fogli di calcolo. La console unica diAlcmeon raggruppa più di quindici canali, rendendo la ricerca, l'esportazione e l'eliminazione operazioni pratiche lungo l'intero percorso. Consulta la nostra guida su come centralizzare le conversazioni con i clienti.

‍

Richiedi una demo di Alcmeon e lascia che i nostri team verifichino la tua checklist GDPR.