GDPR
Ruoli, basi giuridiche, categorie di dati trattati, DPA, sub-responsabili, DPIA e notifica delle violazioni su Blu Pantheon.
Nota
Questa pagina descrive come la piattaforma supporta gli adempimenti previsti dal Regolamento (UE) 2016/679 e non costituisce consulenza legale. Il Cliente resta Titolare del trattamento: la scelta delle basi giuridiche, la redazione delle informative e la valutazione dei rischi restano di sua esclusiva competenza.
Ruoli delle parti
| Ruolo GDPR | Soggetto | Che cosa comporta |
|---|---|---|
| Titolare del trattamento (art. 4.7) | Il Cliente che sottoscrive il contratto | Determina finalità e mezzi, redige le informative, gestisce i consensi, risponde agli interessati |
| Responsabile del trattamento (art. 28) | Blu Pantheon | Tratta i dati solo su istruzione documentata del Titolare, garantisce le misure dell'art. 32, assiste il Titolare |
| Sub-responsabili (art. 28.4) | Fornitori elencati nel DPA | Autorizzati per iscritto, vincolati agli stessi obblighi |
| Interessati | Utenti finali, dipendenti del Cliente, contatti | Titolari dei diritti degli artt. 15–22 |
Quando Blu Pantheon è Titolare autonomo
Blu Pantheon agisce come Titolare autonomo solo per i dati di rapporto commerciale (dati di fatturazione, contatti contrattuali, log tecnici necessari alla sicurezza del servizio) e per i dati raccolti sul proprio sito pubblico. Per tutti i dati inseriti nel tenant dal Cliente, Blu Pantheon è esclusivamente Responsabile.
Finalità del trattamento
Blu Pantheon tratta i dati del tenant esclusivamente per:
- erogare il servizio contrattualizzato (assistenza conversazionale, gestione della conoscenza, prenotazioni, automazioni);
- garantire sicurezza, integrità e disponibilità della piattaforma;
- eseguire backup e ripristino;
- fornire supporto tecnico su richiesta del Cliente;
- adempiere a obblighi di legge (fatturazione, conservazione contabile).
Non vengono effettuati trattamenti ulteriori: in particolare i contenuti del tenant non sono utilizzati per addestrare modelli di intelligenza artificiale, né condivisi con altri clienti.
Basi giuridiche tipiche
La base giuridica è scelta dal Titolare. Le più ricorrenti negli scenari d'uso della piattaforma:
| Scenario | Base giuridica frequente | Note operative |
|---|---|---|
| Assistenza a un cliente già contrattualizzato | Esecuzione del contratto (art. 6.1.b) | Non serve consenso per la sola gestione della richiesta |
| Richiesta informazioni da utente non cliente | Misure precontrattuali (art. 6.1.b) o legittimo interesse (art. 6.1.f) | Informativa sempre necessaria |
| Marketing e comunicazioni promozionali | Consenso (art. 6.1.a) | Consenso separato, revocabile, tracciato |
| Registrazione delle conversazioni per qualità | Legittimo interesse (art. 6.1.f) | Serve bilanciamento documentato (LIA) |
| Prenotazioni sanitarie | Art. 9.2.h (finalità di cura) + art. 6.1.b/c | Vedi Prenotazioni sanitarie |
| Log di sicurezza e audit | Obbligo legale (art. 6.1.c) e legittimo interesse | Non disattivabili |
Categorie di dati trattati dalla piattaforma
| Categoria | Esempi | Finalità | Base giuridica tipica | Conservazione predefinita |
|---|---|---|---|---|
| Dati identificativi utenti Console | Nome, cognome, email aziendale, ruolo | Autenticazione e autorizzazione | Contratto | Durata del contratto + 30 giorni |
| Credenziali | Hash Argon2id della password, segreti MFA | Sicurezza dell'accesso | Contratto | Fino a revoca dell'utenza |
| Dati di sessione conversazionale | Testo dei messaggi, timestamp, esito | Erogazione del servizio | Contratto / legittimo interesse | 24 mesi (configurabile) |
| Dati di contatto degli utenti finali | Email, telefono, nome forniti nel widget | Gestione della richiesta | Contratto / consenso | 24 mesi (configurabile) |
| Contenuti della knowledge base | Documenti, FAQ, manuali caricati dal Cliente | Generazione delle risposte | Determinata dal Cliente | Fino a cancellazione da parte del Cliente |
| Dati di prenotazione | Data, prestazione, sede, riferimento assistito | Gestione dell'appuntamento | Contratto / art. 9.2.h | 24 mesi o secondo policy sanitaria |
| Audit log | Chi ha fatto cosa, quando, da quale IP | Sicurezza e accountability | Obbligo legale | 12 mesi (estendibile a 24/36) |
| Log tecnici | Trace applicativi, errori, latenze | Diagnostica e sicurezza | Legittimo interesse | 90 giorni |
| Dati di fatturazione | Ragione sociale, P.IVA, indirizzo, Codice Destinatario | Obblighi fiscali | Obbligo legale | 10 anni |
Categorie particolari di dati
La piattaforma non richiede dati appartenenti alle categorie particolari (art. 9) per funzionare. Se il tuo caso d'uso li comporta — tipicamente in ambito sanitario — devi documentarlo nella DPIA, restringere gli accessi con ruoli dedicati e ridurre la conservazione. Non caricare mai dati sanitari nella knowledge base pubblica di un progetto widget.
Informativa e consensi nel widget
Il widget BluBot può mostrare un'informativa e raccogliere un consenso esplicito prima che l'utente invii il primo messaggio. Il consenso viene registrato con timestamp, versione del testo e identificativo di sessione.
Attiva la richiesta di consenso
Imposta l'interruttore Richiedi consenso privacy su attivo. Nel payload di configurazione
del widget corrisponde al parametro gdprConsentRequired.
Inserisci il testo dell'informativa
Compila il campo Testo del consenso e l'URL dell'informativa estesa, che deve puntare a una pagina del tuo dominio. Il testo supporta il grassetto e i collegamenti.
Definisci la versione
Il campo Versione informativa (es. 2026-09) viene salvato con ogni consenso: ti permette
di dimostrare quale testo era in vigore al momento della raccolta.
Verifica in anteprima e pubblica
Usa l'anteprima del widget: finché il consenso non è spuntato la casella di input resta disabilitata. Poi pubblica il progetto.
Se integri il widget via script, gli stessi valori possono essere forzati lato pagina:
<script
src="https://console.blupantheon.com/widget/v1/loader.js"
data-project-key="pk_live_acme_srl_7f3a"
data-gdpr-consent-required="true"
data-privacy-url="https://www.acme.it/privacy"
data-consent-version="2026-09"
defer
></script>Consensi già raccolti dal tuo CMP
Se il tuo sito usa già una Consent Management Platform, puoi disattivare il consenso nativo e caricare il widget solo dopo l'accettazione, evitando una doppia richiesta all'utente.
DPA e sub-responsabili
Il Data Processing Agreement integra il contratto di servizio e disciplina:
- oggetto, durata, natura e finalità del trattamento;
- tipologie di dati e categorie di interessati;
- obblighi e diritti del Titolare;
- misure di sicurezza (art. 32);
- assistenza del Responsabile su diritti degli interessati, DPIA e notifiche;
- condizioni di ricorso a sub-responsabili;
- restituzione o cancellazione dei dati al termine del rapporto;
- diritto di audit e informazioni da mettere a disposizione.
Come ottenere il DPA
Il modello aggiornato è disponibile in Documenti legali. Per una copia controfirmata scrivi a support@blupantheon.com indicando ragione sociale, Partita IVA e nominativo del firmatario.
L'elenco puntuale dei sub-responsabili, con servizio erogato e regione di trattamento, è pubblicato in Residenza dei dati. Le modifiche all'elenco sono comunicate con almeno 30 giorni di preavviso, con facoltà di opposizione motivata da parte del Titolare.
Trasferimenti extra-UE
L'infrastruttura primaria è interamente ospitata in Azure West Europe (Paesi Bassi). Non sono previsti trasferimenti sistematici di dati personali del tenant fuori dallo Spazio Economico Europeo per l'erogazione ordinaria del servizio.
Eventuali trattamenti accessori da parte di fornitori con casa madre extra-UE sono coperti da:
- Clausole Contrattuali Standard (Decisione UE 2021/914), moduli 2 e 3;
- misure supplementari tecniche: cifratura in transito e a riposo, pseudonimizzazione dove possibile, limitazione degli accessi e registrazione dei medesimi;
- Transfer Impact Assessment disponibile su richiesta.
Valutazione d'impatto (DPIA)
Una DPIA è generalmente necessaria quando ricorre almeno una di queste condizioni:
- trattamento sistematico e su larga scala di dati appartenenti alle categorie particolari (tipicamente in ambito sanitario);
- monitoraggio sistematico di utenti su larga scala;
- decisioni automatizzate con effetti giuridici o significativi sull'interessato;
- combinazione di dati provenienti da fonti diverse su scala rilevante;
- utilizzo di tecnologie innovative che possono comportare rischi elevati.
Supporto alla DPIA
Su richiesta forniamo la scheda tecnica di trattamento con architettura, flussi dei dati, misure di sicurezza, tempi di conservazione e sub-responsabili: è il materiale che serve al tuo DPO per compilare le sezioni tecniche della DPIA. La valutazione dei rischi e la decisione finale restano in capo al Titolare.
Misure tecniche e organizzative (art. 32)
Sintesi delle misure adottate; il dettaglio completo è in Sicurezza.
| Ambito | Misura |
|---|---|
| Riservatezza | Cifratura AES-256-GCM a riposo, TLS 1.2+ in transito, segreti in Azure Key Vault |
| Integrità | Audit log immutabili, validazione degli input su ogni confine, query parametrizzate |
| Disponibilità | Backup automatici, ripristino testato, ridondanza a livello di regione |
| Autenticazione | Password con hashing Argon2id, MFA, chiavi API hashate SHA-256, JWT a rotazione |
| Autorizzazione | RBAC con permessi granulari {servizio}:{risorsa}:{azione} |
| Segregazione | Schema di database dedicato per ogni tenant |
| Organizzazione | Personale autorizzato e istruito, accessi nominativi, principio del minimo privilegio |
| Resilienza | Monitoraggio continuo, alert su eventi sensibili, procedura di incident response |
Notifica delle violazioni
Rilevazione e qualificazione
Il monitoraggio interno o una segnalazione attiva la procedura. Un incidente viene qualificato come violazione di dati personali entro 12 ore dalla presa in carico.
Comunicazione al Titolare
Blu Pantheon informa il Cliente senza ingiustificato ritardo e comunque entro 24 ore dalla qualificazione, via email ai contatti di sicurezza registrati nel tenant e, per gli eventi gravi, con contatto telefonico.
Informazioni fornite
Natura della violazione, categorie e numero approssimativo di interessati e di record, probabili conseguenze, misure adottate o proposte, referente per ulteriori informazioni.
Notifica al Garante
La notifica all'Autorità entro 72 ore (art. 33) e l'eventuale comunicazione agli interessati (art. 34) spettano al Titolare. Blu Pantheon fornisce tutta l'assistenza e le evidenze tecniche necessarie.
Tieni aggiornati i contatti di sicurezza
Se l'email di sicurezza del tenant non è aggiornata, la comunicazione arriva in ritardo e i 72 ore possono scadere. Verificala in Amministrazione › Impostazioni tenant › Contatti di sicurezza almeno ogni sei mesi.
Registro dei trattamenti
Blu Pantheon mantiene il registro delle attività svolte come Responsabile (art. 30.2) e lo mette a disposizione del Titolare su richiesta. Per il tuo registro (art. 30.1) puoi estrarre dalla Console le informazioni tecniche necessarie:
Il documento generato riporta finalità, categorie di dati attive nel tenant, tempi di conservazione configurati, integrazioni abilitate e destinatari dei webhook.
Approfondimenti
Conformità e sicurezza
Come Blu Pantheon supporta gli obblighi normativi del cliente — GDPR, audit, residenza dei dati, fatturazione elettronica e accessibilità.
Diritti dell'interessato
Procedure operative per evadere richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione.