Software di ticketing e GDPR: la checklist privacy

Un sistema di ticketing è, dal punto di vista della privacy, un archivio di dati personali che cresce da solo: nomi, indirizzi email, numeri di telefono, e dentro le conversazioni qualunque cosa il cliente abbia deciso di scrivervi — comprese, ogni tanto, informazioni che non avreste voluto ricevere.

Per questo la domanda «è a norma?» non ha una risposta utile. Il GDPR non prevede un bollino che un fornitore possa esibire al posto vostro: prevede responsabilità che restano vostre, e strumenti che il fornitore vi mette — o non vi mette — per esercitarle. Le sei domande qui sotto servono a distinguere le une dagli altri prima di firmare.

1. Chi è titolare e chi responsabile

È la domanda da cui dipendono tutte le altre. Verso i vostri clienti il titolare del trattamento siete voi: siete voi a decidere perché e come trattare quei dati. Il fornitore del software è responsabile del trattamento, e agisce su vostra istruzione.

La conseguenza pratica: deve esistere un accordo sul trattamento dei dati fra voi e il fornitore, e l'informativa che i vostri clienti leggono sul modulo di richiesta deve essere la vostra, non quella del fornitore. Se un prodotto mostra ai vostri clienti l'informativa di chi lo ha sviluppato, state dichiarando che il titolare è qualcun altro.

Chiedete anche l'elenco dei sub-responsabili: chi ospita l'infrastruttura, chi invia le email, e — domanda sempre più rilevante — se esiste un fornitore di intelligenza artificiale a cui i testi vengono trasmessi.

2. Quali dati personali raccoglie un ticket

Elencateli davvero, perché l'elenco è più lungo di quanto sembri: i dati che il cliente inserisce nel modulo, il contenuto dei messaggi, gli allegati, gli indirizzi email di chi è stato messo in copia, e i metadati tecnici — data e ora delle operazioni, indirizzi di accesso.

Poi fate la domanda di minimizzazione, che è quella che quasi nessuno fa: il modulo pubblico chiede campi che non vi servono? Un numero di telefono obbligatorio per una richiesta a cui rispondete per email è un dato personale raccolto senza motivo, ed è la parte più facile da sistemare di tutta la conformità.

3. Dove risiedono i dati e chi può raggiungerli

Tre domande distinte, che i fornitori tendono a rispondere come se fossero una:

• In quale regione risiedono database, allegati e servizio di invio email. Non «in cloud»: il nome della regione.
• Con quali sub-responsabili e in quali paesi, perché un trasferimento fuori dallo Spazio economico europeo richiede una base giuridica che dovete conoscere e poter citare.
• Chi del fornitore può accedere ai dati per manutenzione, a quali condizioni e se quell'accesso resta tracciato.

Chiedete le risposte per iscritto, o sostenute da documentazione pubblica: una rassicurazione a voce non è citabile in un registro dei trattamenti.

4. Per quanto tempo si conservano

Il periodo di conservazione lo decidete voi in base alla finalità, e va scritto nella vostra informativa. Le domande al fornitore sono due: che cosa succede ai dati alla fine del contratto, e con quanto preavviso; e se esiste un modo di cancellare selettivamente, senza svuotare tutto l'archivio.

Diffidate della risposta «conserviamo tutto per sempre», che trasforma un archivio di assistenza in un rischio che cresce ogni anno. Ma diffidate anche di una cancellazione automatica che nessuno vi ha lasciato configurare: una conversazione sparita mentre serviva per un contenzioso è un problema diverso e non minore.

5. Come si risponde a una richiesta dell'interessato

Prima o poi un cliente vi chiederà una copia dei suoi dati, o la cancellazione. Il test da fare in fase di valutazione è molto concreto: provateci, durante la prova gratuita, su un richiedente finto ma reale.

• Si esportano i dati di una singola persona, o solo l'intero archivio?
• La cancellazione è definitiva o è un nascondere la riga dall'elenco?
• Serve un permesso dedicato, o può farlo chiunque risponda ai ticket?
• Servono loro? Se sì, la vostra risposta all'interessato dipende dai tempi del fornitore, e un mese passa in fretta.

6. Accessi, registro e allegati

Tre controlli tecnici che valgono più di molte dichiarazioni. Il primo: come si accede. Le password condivise fra colleghi sono l'anello debole più comune di una PMI, e sopravvivono alle dimissioni di chi le conosceva.

Il secondo: esiste un registro non modificabile di chi ha fatto che cosa? Senza, la frase «solo chi doveva ha letto quella conversazione» non è verificabile — è una speranza.

Il terzo, quello che quasi nessuno prova: gli allegati sono raggiungibili da un indirizzo pubblico? Copiate l'indirizzo di un allegato, apritelo da una finestra senza sessione e guardate che succede. Se il file si scarica, ogni link inoltrato per errore è una comunicazione di dati.

Quello che nessun software può fare al posto tuo

Nessun prodotto scrive la vostra informativa, tiene il vostro registro dei trattamenti, valuta se vi serve una valutazione d'impatto o decide i periodi di conservazione. Nessun prodotto impedisce a un operatore di incollare in un ticket dati che non doveva raccogliere, e nessuna funzione sostituisce le istruzioni che date a chi risponde.

Se vi viene proposto un prodotto «certificato GDPR», chiedete da chi è rilasciato e con quale ambito: nella maggior parte dei casi la risposta è che quel bollino non esiste. Un fornitore che è chiaro su ciò che non fa è un indizio migliore di uno che dichiara una conformità che non è sua da dichiarare.

Che cosa puoi verificare in OglutTicket

Le risposte, nello stesso ordine delle domande. Verso i vostri clienti il titolare siete voi, e ogni azienda mette la propria informativa sul proprio modulo pubblico. L'infrastruttura è su Amazon Web Services nella regione europea di Francoforte: database, allegati e servizio di invio email stanno lì.

Esportazione e cancellazione definitiva dei dati di un singolo cliente sono funzioni del prodotto, con un permesso dedicato: non sono una richiesta da mandare a noi e aspettare. Ogni operazione resta scritta e non è modificabile — messaggi, assegnazioni e cambi di stato sono datati e attribuiti. Gli allegati non sono leggibili da un indirizzo pubblico: ogni file passa dall'applicazione, che verifica chi lo chiede prima di consegnarlo. Non esistono password da scegliere né da condividere: si accede con l'email e un codice. L'intelligenza artificiale nasce spenta, e finché resta spenta nessun modello riceve i vostri messaggi.

Due cose che non troverete, dette qui e non nelle note in fondo: OglutTicket non dichiara certificazioni, e non offre una cancellazione automatica per scadenza — la conservazione la decidete voi e la esercitate con la cancellazione selettiva. Il quadro completo, con il nome della funzione che implementa ogni affermazione, è su sicurezza e privacy.

Sul perché non esistano password c'è la guida dedicata; su come si fa scrivere un cliente senza raccogliere un account, l'assistenza senza iscrizione.