Live chat e GDPR: checklist in 10 punti per e-commerce (2026)

In breve: Puoi usare una live chat nel rispetto del GDPR, ma nessuno strumento è "conforme al GDPR" da solo: dipende da come lo configuri. Ti servono un accordo di nomina a responsabile del trattamento con il fornitore della chat, un paragrafo sulla chat nella tua informativa privacy, una decisione su quando caricare lo script (all'apertura della pagina, dopo il consenso ai cookie o al clic), un tempo di conservazione per le vecchie conversazioni e, dal 2 agosto 2026, un chatbot che le persone riconoscano come IA. I dieci punti qui sotto richiedono un pomeriggio.

Gran parte di quello che trovi su "chat e GDPR" è stato scritto nel 2018. Da allora sono cambiate tre cose: il Garante ha pubblicato le linee guida sui cookie nel 2021, le autorità tedesche hanno scritto nel 2024 che una chat è un servizio aggiuntivo e non fa parte della pagina richiesta dal visitatore, e dall'agosto 2026 si applica l'obbligo di trasparenza dell'AI Act per i chatbot. Questa checklist tiene conto di tutte e tre.

È un riassunto pratico, non una consulenza legale. Se tratti dati sanitari, vendi a minori o gestisci un negozio grande, parla con un avvocato esperto o con il tuo DPO.

Cosa chiede la legge a una chat sul sito

La checklist in 10 punti

1. Firma la nomina a responsabile del trattamento con il fornitore

Il fornitore conserva i messaggi dei tuoi clienti per conto tuo, quindi è responsabile del trattamento ai sensi dell'art. 28 GDPR. Il contratto lo vincola alle tue istruzioni, alla riservatezza, alle misure di sicurezza, alle regole sui sub-responsabili, all'aiuto con le richieste degli interessati e alla cancellazione dei dati quando lasci il servizio. Quasi tutti i fornitori hanno un accordo standard da accettare online. Salvane una copia con la data. Se un fornitore non ne offre nessuno, scegline un altro.

2. Sappi dove vanno i dati

Tre domande: in quale paese sono conservate le conversazioni, quali sub-responsabili le vedono (hosting, email, modello di IA) e su quale base i dati escono dall'UE.

Per i fornitori statunitensi esiste dal luglio 2023 il Data Privacy Framework UE-USA (decisione di esecuzione (UE) 2023/1795). Il Tribunale dell'UE lo ha confermato il 3 settembre 2025 nella causa Latombe/Commissione (T-553/23) e c'è un'impugnazione pendente davanti alla Corte di giustizia, la C-703/25 P (GUUE, dicembre 2025). Oggi puoi usare un fornitore americano certificato, ma ricorda che i due accordi precedenti sono stati annullati.

3. Decidi quando caricare lo script della chat

Qui si bloccano quasi tutti i negozi. Un widget di chat carica uno script dal server del fornitore, che riceve così l'indirizzo IP del visitatore, e di solito salva qualcosa nel browser perché la conversazione sopravviva al cambio di pagina.

Le linee guida del Garante distinguono cookie tecnici e non tecnici, ma non parlano della chat se non come possibile canale per l'informativa. La lettura più severa pubblicata in UE arriva dalla Germania: nella loro guida sui servizi digitali (versione 1.2, novembre 2024) le autorità tedesche considerano la chat un servizio aggiuntivo. Chi apre una pagina non ha ancora chiesto la chat; ciò che la chat salva può essere strettamente necessario solo quando il visitatore la usa, per esempio con un clic (DSK, Orientierungshilfe Digitale Dienste, punti 74–80).

Il nostro consiglio: carica la chat dopo il consenso o al clic. Il clic lascia la chat aperta a tutti; il consenso conserva i messaggi proattivi per chi ha accettato. Se installi la chat con Google Tag Manager, cambia l'attivatore da "All Pages" all'evento di consenso inviato dal tuo banner (come aggiungere la chat con Tag Manager).

4. Aggiungi la chat all'informativa privacy

Un paragrafo breve e chiaro con ciò che chiede l'art. 13 GDPR:

Live chat. Quando usi la chat del nostro sito trattiamo i tuoi messaggi, il tuo nome e la tua email se ce li fornisci, il tuo indirizzo IP e le pagine visitate. Lo facciamo per rispondere alle tue domande (art. 6.1.b GDPR) e, se non hai ancora un ordine, sulla base del nostro legittimo interesse a rispondere alle richieste (art. 6.1.f GDPR). Il servizio di chat è fornito da [fornitore, indirizzo], che tratta i dati per nostro conto. I dati sono conservati in [paese]. [Se risponde un'IA: Alcune risposte sono scritte da un assistente IA; a questo scopo il tuo messaggio viene inviato a [fornitore IA].] Cancelliamo le conversazioni [12] mesi dopo l'ultimo messaggio.

Se il tuo team vede quello che il visitatore scrive prima che prema invio (anteprima di digitazione), indicalo qui.

5. Chiedi solo ciò che ti serve

Un modulo che chiede nome, email, telefono e azienda prima del primo messaggio raccoglie più di quanto serva alla maggior parte delle domande (minimizzazione, art. 5.1.c GDPR). Chiedi l'email solo se vuoi rispondere per email quando nessuno è online. Per "dov'è il mio ordine?" basta il numero d'ordine.

6. Tieni numeri di carta e password fuori dalla chat

I clienti incollano numeri di carta e password nella chat. Chiedi di non farlo nel saluto delle pagine di pagamento e attiva il mascheramento se lo strumento lo prevede. In Shopxare, Impostazioni → Generali → Nascondi numeri di carta e password maschera i numeri di carta (tranne le ultime 4 cifre), i codici di sicurezza e le password nei messaggi dei clienti (impostazioni dello spazio di lavoro).

7. Fissa un tempo di conservazione e gestisci le richieste di cancellazione

L'art. 5.1.e GDPR chiede di conservare i dati solo per il tempo necessario e l'art. 17 dà ai clienti il diritto alla cancellazione. Scegli un periodo coerente con lo scopo, per esempio la fine del periodo di recesso e di garanzia, scrivilo nell'informativa e cancella le conversazioni più vecchie a una data fissa ogni trimestre. Quando un cliente chiede la cancellazione, elimina insieme contatto e conversazioni e confermalo per iscritto.

8. Fai riconoscere l'IA come IA

Dal 2 agosto 2026 l'art. 50.1 dell'AI Act chiede che le persone siano informate quando interagiscono con un sistema di IA, salvo che sia evidente. L'obbligo ricade sul fornitore del sistema e il "Digital Omnibus" dell'UE non l'ha rinviato (regolamento (UE) 2026/1744). Ma il nome e la prima frase li decidi tu. Non chiamare il bot "Giulia" con una foto di repertorio: chiamalo "Assistente IA" e scrivi nella prima risposta che una persona può subentrare. Abbiamo spiegato la differenza tra bot e agenti in agente AI vs chatbot.

9. Controlla cosa invia l'IA al fornitore del modello

Un agente IA invia il messaggio del cliente a un fornitore di modelli linguistici. Verifica chi è, se compare tra i sub-responsabili e se i dati personali si possono togliere prima. In Shopxare, Are AI ha l'impostazione Nascondi i dati personali al fornitore di IA, che sostituisce email, numeri di telefono e di carta prima dell'invio. Puoi anche scegliere a chi risponde l'IA: a tutti, solo ai visitatori o solo agli utenti che hanno effettuato l'accesso.

10. Limita chi può leggere cosa

La casella di assistenza contiene indirizzi, ordini e reclami. Dai a ogni persona del team il ruolo che le serve e usa la verifica dell'identità, così nessuno può fingersi un cliente con accesso e leggerne le conversazioni (ruoli e permessi, verifica dell'identità).

Esempio: un piccolo negozio di Bologna segue la lista

Un negozio di due persone a Bologna vende pasta artigianale su WooCommerce, soprattutto in Italia e Germania. La chat si carica su ogni pagina dal 2023, l'informativa non la cita e di notte Are AI risponde alle domande sulle spedizioni.

In un pomeriggio accettano la nomina a responsabile del fornitore e la archiviano, spostano lo script della chat nel loro strumento di consenso perché si carichi solo dopo "Accetta" e mettono nel footer un link "Scrivici" che la carica con un clic per tutti gli altri. Aggiungono all'informativa il paragrafo sopra con 12 mesi di conservazione, rinominano l'IA da "Giulia" ad "Assistente IA" e attivano il mascheramento delle carte. Alle 23:10 un visitatore chiede: "I tortellini si possono congelare?" L'assistente risponde dalla scheda prodotto e scrive che, se serve, qualcuno del team risponderà al mattino.

Dove aiuta Shopxare e cosa resta a te

"Nessun cookie sul tuo dominio" non chiude da solo la questione del consenso: la regola ePrivacy riguarda qualsiasi memorizzazione o accesso al dispositivo, e caricando lo script l'IP del visitatore arriva al fornitore. Questa decisione resta tua.

Quando questa checklist non basta

Se i clienti ti inviano dati sanitari (una farmacia, integratori con domande mediche), documenti d'identità o dati di minori, servono più di dieci controlli: forse una valutazione d'impatto e un DPO. Vale lo stesso se registri le chiamate o usi la chat per decisioni di credito. Chiedi a uno specialista.

Domande frequenti

Serve il consenso ai cookie per una live chat?

Dipende da cosa la chat salva nel browser. Le linee guida del Garante non trattano la chat; con la lettura rigorosa tedesca (2024) la chat è richiesta solo quando il visitatore la usa. La scelta più sicura è caricarla dopo il consenso o al clic.

Serve la nomina a responsabile con il fornitore della chat?

Sì. Il fornitore conserva i messaggi dei clienti per conto tuo, quindi è responsabile del trattamento (art. 28 GDPR) e serve un contratto.

Devo dire ai clienti che parlano con un'IA?

Nell'UE, dal 2 agosto 2026, sì, salvo che sia evidente (art. 50.1 AI Act). Il modo più semplice: un nome chiaro come "Assistente IA" e una prima frase che dice che una persona può subentrare.

Posso usare una chat di un'azienda americana?

Sì, se il fornitore è certificato nel Data Privacy Framework UE-USA o firma le clausole contrattuali tipo. Il Tribunale dell'UE ha confermato il framework a settembre 2025 e c'è un'impugnazione pendente.

Per quanto tempo posso conservare le conversazioni?

Per il tempo necessario a uno scopo preciso, come la durata della garanzia, e non oltre. Scrivi il periodo nell'informativa e cancella regolarmente quelle più vecchie.

Se cerchi una chat che gira in un frame isolato, è ospitata in Europa e può nascondere i dati personali all'IA, Shopxare ha un piano gratuito.