Sicurezza e GDPR

1. Ruoli: chi è titolare e chi responsabile

Per i dati del tuo account (nome, email, fatturazione) SmartChatAssistant è titolare del trattamento, come descritto nella Privacy Policy.

Per i dati dei visitatori del tuo sito che scrivono al tuo assistente (conversazioni, lead) il titolare sei tu e SmartChatAssistant agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR: tratta quei dati solo per erogarti il servizio e secondo le tue istruzioni.

2. Il percorso dei dati

1. Il visitatore scrive nel widget sul tuo sito. Se attivi il consenso GDPR nel widget, la chat parte solo dopo l'accettazione.
2. Il messaggio arriva ai nostri server in Italia, dove viene composto il contesto: istruzioni dell'assistente, FAQ, knowledge base e ultimi messaggi della conversazione.
3. Il contesto viene inviato al provider AI scelto per l'assistente (OpenAI, Google Gemini oppure OpenRouter), che genera la risposta e la restituisce.
4. Domanda e risposta vengono salvate nello storico delle conversazioni del tuo assistente, visibile solo a te e al tuo team. L'indirizzo IP del visitatore è conservato solo come hash SHA-256, mai in chiaro.

Dettatura vocale: se il visitatore usa il microfono del widget, la voce viene trascritta in testo dal suo browser (per esempio da Google su Chrome o da Apple su Safari, secondo le loro condizioni) e non passa dai nostri server: a noi arriva solo il testo, che il visitatore rivede prima di inviarlo. La dettatura si può disattivare nelle impostazioni del widget.

3. Sub-responsabili

I trasferimenti verso gli Stati Uniti avvengono sulla base dell'EU-U.S. Data Privacy Framework o delle Clausole Contrattuali Standard (art. 46 GDPR). Ogni assistente usa un solo provider AI, quello che scegli tu nelle impostazioni.

4. Addestramento dei modelli

Usiamo le API a pagamento di OpenAI e Google: per i loro termini, i contenuti inviati tramite API non vengono usati per addestrare i modelli. Lo stesso vale per i tuoi documenti e la tua knowledge base, che non lasciano i nostri server se non come contesto della singola risposta.

Eccezione: i modelli gratuiti disponibili tramite OpenRouter (contrassegnati come free) sono offerti da fornitori terzi che possono registrare i prompt. Se tratti dati sensibili, scegli per il tuo assistente un modello OpenAI o Gemini.

5. Misure di sicurezza

• HTTPS obbligatorio su tutte le connessioni e Content Security Policy restrittiva.
• Dati dei lead cifrati a riposo con AES-256; password protette con bcrypt.
• Autenticazione a due fattori (2FA) disponibile per ogni account.
• Protezione dai tentativi di accesso ripetuti (brute force) e limiti di frequenza sulle API.
• Token CSRF sui form della dashboard e isolamento dei dati tra account a livello applicativo.
• Chiavi API personali (BYOK) conservate cifrate.

6. Conservazione e cancellazione

• Le conversazioni vengono anonimizzate automaticamente dopo 30 giorni (Free), 90 giorni (Pro) o 365 giorni (Ultra).
• I visitatori possono chiedere l'esportazione o la cancellazione delle proprie conversazioni; la piattaforma espone endpoint dedicati che puoi collegare al tuo sito.
• Lead e knowledge base restano finché non li elimini tu. Alla chiusura dell'account (su richiesta a privacy@smartchatassistant.com) cancelliamo assistenti, conversazioni, lead e documenti.

7. Richiedere il DPA

Se hai un piano Pro o Ultra puoi richiedere l'accordo sul trattamento dei dati (DPA, art. 28 GDPR) scrivendo a privacy@smartchatassistant.com dall'indirizzo email del tuo account, indicando ragione sociale, partita IVA e referente privacy. Ti invieremo il documento da firmare.

8. Contatti

Per domande sulla sicurezza o per segnalare una vulnerabilità: privacy@smartchatassistant.com