1. Premessa
La presente informativa descrive il trattamento dei dati personali effettuato mediante il chatbot basato su intelligenza artificiale denominato “Abulafia”, reso disponibile sul sito https://www.gentesicura.it/ nell’ambito del progetto #gentesicura.
Abulafia è uno strumento di informazione e sensibilizzazione sui rischi digitali. Può aiutare gli utenti a riconoscere tentativi di phishing, truffe, tecniche di ingegneria sociale, contenuti manipolati o potenzialmente ingannevoli e altre situazioni connesse alla sicurezza e alla cittadinanza digitale.
L’utente è informato che sta interagendo con un sistema automatizzato basato su intelligenza artificiale. Le risposte sono generate automaticamente e possono essere incomplete, inesatte o non adatte al caso concreto. Abulafia non sostituisce il parere di professionisti, autorità pubbliche, forze dell’ordine, istituti di credito o altri soggetti competenti.
2. Titolare del trattamento
Il titolare del trattamento è:
- Webstaff di Giovanni Bigazzi, Via Fratelli Giachetti 25 – 59100 Prato (PO), P.IVA: 02256340486
- E-mail: gentesicura@proton.me.
- PEC: webstaff@pec-legal.it.
3. Caratteristiche e finalità del chatbot
Abulafia è utilizzato per fornire agli utenti un supporto informativo e orientativo sui rischi digitali e sulle buone pratiche di sicurezza. In particolare, il chatbot può:
- analizzare, sulla base delle informazioni inserite dall’utente, situazioni potenzialmente riconducibili a phishing, smishing, vishing, truffe online o ingegneria sociale;
- fornire indicazioni generali per valutare messaggi, chiamate, e-mail, siti web o richieste sospette;
- suggerire comportamenti prudenziali e misure di autodifesa digitale;
- spiegare concetti relativi a sicurezza, privacy, intelligenza artificiale, disinformazione e manipolazione;
- proporre domande di verifica e invitare l’utente a rivolgersi ai canali ufficiali del soggetto coinvolto;
- fornire risposte sulla base delle istruzioni configurate e, ove attivata, della base di conoscenza predisposta per il progetto #gentesicura.
Il chatbot non effettua verifiche investigative, non certifica l’autenticità di messaggi o identità, non blocca operazioni e non adotta decisioni che producano effetti giuridici o incidano in modo analogo significativamente sull’utente.
4. Categorie di dati trattati
Abulafia è configurato per funzionare senza registrazione dell’utente e non richiede, per il normale utilizzo, l’indicazione del nome, dell’indirizzo e-mail o di altri dati identificativi.
Tuttavia, l’utente può inserire liberamente informazioni nel campo di conversazione. In funzione del contenuto inviato, possono quindi essere trattati:
- il testo delle domande e dei messaggi inseriti dall’utente;
- eventuali nomi, recapiti, riferimenti a soggetti o organizzazioni e altri dati personali contenuti volontariamente nel messaggio;
- dati relativi alla situazione descritta, quali il contenuto di una comunicazione sospetta, il canale utilizzato, le richieste ricevute e le circostanze rilevanti;
- dati tecnici connessi all’utilizzo del sito e del servizio, quali indirizzo IP, data e ora della richiesta, informazioni sul browser e identificativi tecnici o di sessione, nei limiti in cui siano trattati dai sistemi del sito, dal servizio di hosting, dal plugin o dai fornitori coinvolti.
Il sistema non è destinato al trattamento di categorie particolari di dati personali ai sensi dell’art. 9 GDPR, dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR, credenziali di accesso, codici dispositivi, PIN, password, numeri completi di carte di pagamento, documenti di identità o altre informazioni riservate.
L’utente è invitato a descrivere la situazione in forma anonima o pseudonimizzata, eliminando nomi, numeri di telefono, indirizzi e-mail, numeri di conto, codici, link personalizzati e ogni altro elemento non necessario. Non devono essere inseriti dati personali di terzi, salvo che ciò sia strettamente necessario e lecito. Il chatbot non è configurato per allegare alla conversazione documenti o immagini, vengono solo accettati messaggi di tipo testuale.
5. Fonte dei dati
I dati trattati mediante Abulafia provengono:
- direttamente dall’utente, attraverso i messaggi inseriti nella conversazione;
- dai dati tecnici generati durante la connessione e l’utilizzo del sito;
- dalle informazioni e dai contenuti predisposti dal titolare per il funzionamento del chatbot e dell’eventuale base di conoscenza.
6. Finalità e basi giuridiche del trattamento
I dati personali eventualmente contenuti nelle richieste sono trattati per le seguenti finalità:
- fornire la risposta richiesta e rendere disponibile il servizio informativo Abulafia;
- garantire il funzionamento tecnico, la sicurezza e la prevenzione di utilizzi abusivi o illeciti;
- diagnosticare malfunzionamenti e migliorare l’affidabilità del servizio, mediante informazioni aggregate o anonimizzate, ove possibile;
- gestire eventuali richieste, segnalazioni o contestazioni rivolte al titolare.
La base giuridica del trattamento è il legittimo interesse del titolare, ai sensi dell’art. 6, par. 1, lett. f), GDPR, a rendere disponibile uno strumento gratuito di informazione e sensibilizzazione sui rischi digitali, nonché a garantire la sicurezza e il corretto funzionamento del servizio. Tale interesse è bilanciato mediante la minimizzazione dei dati, l’assenza di registrazione obbligatoria e l’invito a non inserire informazioni identificative o riservate.
Quando il trattamento è necessario per rispondere a una specifica richiesta dell’utente rivolta al titolare, esso può inoltre fondarsi sull’esecuzione di misure precontrattuali adottate su richiesta dell’interessato o sull’esecuzione di un rapporto in essere, ai sensi dell’art. 6, par. 1, lett. b), GDPR, ove applicabile.
L’utilizzo del chatbot è facoltativo. L’utente può interrompere la conversazione in qualsiasi momento e utilizzare gli ordinari recapiti del progetto #gentesicura.
7. Funzionamento tecnico del servizio
Abulafia è integrato nel sito del progetto #gentesicura mediante il plugin AI Engine. Il sistema riceve il messaggio inserito dall’utente, applica le istruzioni predisposte dal titolare e invia al fornitore del modello di intelligenza artificiale le informazioni necessarie a generare la risposta.
L’architettura comprende:
- il sito WordPress https://www.gentesicura.it/ e il relativo servizio di hosting;
- il plugin AI Engine, utilizzato per integrare l’interfaccia del chatbot e gestire il collegamento con le API del modello. Il plugin opera nell’infrastruttura WordPress del titolare ed è configurato in modo da non registrare il contenuto delle domande e delle risposte. Meow Apps non riceve i contenuti delle conversazioni e non agisce, per tale attività, quale responsabile del trattamento;
- le API di OpenAI, utilizzate per generare le risposte;
- il modello di intelligenza artificiale OpenAI GPT-5.4 Mini;
- l’eventuale base di conoscenza e le istruzioni (System Prompt) predisposte per Abulafia;
- Vengono memorizzati solo i dati essenziali. IP, conversazioni ed altri dettagli privati sono ridotti al minimo e mantenuti il più possibile anonimi.
8. Dati trasmessi a OpenAI
Per generare la risposta, possono essere trasmessi a OpenAI:
- il testo del messaggio inserito dall’utente;
- le istruzioni di sistema necessarie al funzionamento di Abulafia;
- le parti pertinenti della conversazione necessarie a mantenere il contesto;
- le informazioni recuperate dall’eventuale base di conoscenza e utilizzate per formulare la risposta;
- metadati tecnici strettamente necessari alla richiesta API.
Non tutte le informazioni sopra indicate sono necessariamente trasmesse in occasione di ogni richiesta. Il titolare configura il servizio secondo il principio di minimizzazione e invita l’utente a non inserire dati personali non necessari.
Secondo la documentazione del provider applicabile alle API, i dati inviati tramite API non sono utilizzati per addestrare o migliorare i modelli OpenAI, salvo esplicita scelta del cliente di condividerli a tale scopo. In assenza di specifiche configurazioni di conservazione ridotta, i contenuti possono essere inclusi nei log di monitoraggio degli abusi e conservati fino a 30 giorni, salvo obblighi di legge o necessità di protezione del servizio o di terzi.
9. Registrazione e conservazione delle conversazioni
Il plugin utilizzato per integrare il chatbot nel sito #gentesicura non registra né conserva, nel database WordPress o nei sistemi di Meow Apps, il contenuto delle domande inserite dagli utenti e delle risposte generate.
Per generare la risposta, il testo inserito dall’utente, le istruzioni di sistema e gli eventuali elementi di contesto necessari vengono tuttavia trasmessi tramite API a OpenAI.
In funzione dell’endpoint API utilizzato e della relativa configurazione, gli input e gli output possono essere conservati nei sistemi di OpenAI e, ove previsto dal servizio, risultare accessibili al titolare tramite gli strumenti amministrativi della piattaforma.
Secondo le condizioni applicabili al servizio API, OpenAI può conservare i dati nei log destinati al monitoraggio degli abusi per un periodo massimo ordinario di 30 giorni, salvo che una conservazione più lunga sia richiesta dalla legge o dipenda dalle caratteristiche e dalla configurazione dello specifico servizio utilizzato.
La durata effettiva della conservazione può inoltre dipendere dall’endpoint API utilizzato e dalle relative impostazioni tecniche.
Le conversazioni non vengono utilizzate da OpenAI per addestrare i propri modelli, salvo che il titolare dell’account abiliti espressamente la condivisione degli input e degli output. Tale condivisione è disattivata per impostazione predefinita.
L’accesso alla console amministrativa OpenAI è riservato al titolare dell’account e agli eventuali soggetti espressamente autorizzati.
L’utente è pertanto invitato a non inserire nomi, indirizzi, recapiti, credenziali, documenti, dati sanitari, dati giudiziari, dati di pagamento, dati personali di terzi o altre informazioni non necessarie alla richiesta.
10. Periodo di conservazione
I dati sono conservati per il tempo strettamente necessario alle finalità per le quali sono trattati. In particolare:
- la memoria locale della conversazione, ove utilizzata, permane nel browser secondo la configurazione tecnica e può essere eliminata dall’utente cancellando i dati del sito o utilizzando l’eventuale comando disponibile nell’interfaccia;
- gli eventuali log tecnici e di sicurezza del sito sono conservati per 21 giorni sulla piattaforma del provider di hosting;
- i dati trasmessi alle API OpenAI sono trattati secondo la configurazione dell’endpoint e le condizioni del fornitore descritte nella presente informativa;
- i dati necessari alla gestione di reclami, incidenti o controversie possono essere conservati più a lungo, nei limiti dei termini di prescrizione e degli obblighi applicabili.
11. Destinatari e responsabili del trattamento
I dati possono essere trattati da personale o collaboratori espressamente autorizzati dal titolare, nei limiti delle rispettive mansioni, e dai fornitori necessari al funzionamento del servizio, nominati responsabili del trattamento ai sensi dell’art. 28 GDPR ove ne ricorrano i presupposti.
Tra i fornitori possono rientrare:
- Il fornitore dei servizi di hosting internet;
- OpenAI Ireland Limited e le società del gruppo OpenAI coinvolte nella fornitura delle API di intelligenza artificiale;
- eventuali fornitori di sicurezza, manutenzione, backup o servizi tecnici del sito.
L’elenco aggiornato dei responsabili del trattamento può essere richiesto al titolare utilizzando i recapiti indicati nella sezione 2.
12. Trasferimenti al di fuori dello Spazio economico europeo
L’utilizzo delle API OpenAI può comportare il trattamento di dati da parte di società o sub-responsabili situati al di fuori dello Spazio economico europeo.
Per i dati dello Spazio economico europeo, la documentazione contrattuale OpenAI prevede il coinvolgimento di OpenAI Ireland Limited e, per gli eventuali trasferimenti verso affiliate o terzi situati fuori dallo Spazio economico europeo, il ricorso alle clausole contrattuali standard approvate dalla Commissione europea o a una decisione di adeguatezza ai sensi dell’art. 45 GDPR.
L’interessato può chiedere al titolare informazioni sulle garanzie applicate e sulle modalità per ottenerne copia, nei limiti previsti dalla normativa.
Il rapporto con OpenAI è disciplinato dalla Data Processing Addendum pubblicata da OpenAI e incorporata contrattualmente nell’accordo applicabile all’account API. La DPA non risulta sottoscritta separatamente dalle parti; l’adesione avviene mediante l’accettazione online dei termini contrattuali che disciplinano l’utilizzo della piattaforma.
13. Cookie, memoria locale e tecnologie analoghe
Il chatbot può utilizzare memoria locale del browser o altre tecnologie strettamente necessarie per mantenere il contesto della conversazione e ricordare le impostazioni dell’interfaccia. Tali strumenti non sono utilizzati per finalità pubblicitarie o di profilazione.
Per maggiori informazioni sui cookie e sugli altri strumenti di tracciamento utilizzati dal sito, si rinvia alla cookie policy di https://www.gentesicura.it/.
14. Misure di sicurezza
Il titolare adotta misure tecniche e organizzative adeguate al rischio, finalizzate a proteggere i dati trattati mediante il chatbot. Tali misure comprendono, in funzione della configurazione effettiva:
- cifratura delle comunicazioni mediante HTTPS/TLS;
- protezione e segregazione delle chiavi API;
- limitazione degli accessi amministrativi e autenticazione rafforzata per il backend WordPress;
- aggiornamento del sito, del plugin e dei componenti utilizzati;
- limitazione degli input e misure di contrasto ad abusi, prompt injection e contenuti malevoli;
- backup, logging di sicurezza e procedure di gestione degli incidenti;
- principi di minimizzazione e privacy by design.
15. Processo decisionale automatizzato
Abulafia non adotta decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente sull’utente ai sensi dell’art. 22 GDPR.
Le risposte hanno natura informativa e orientativa. L’utente deve verificare le informazioni attraverso fonti ufficiali e, nei casi dubbi o urgenti, rivolgersi direttamente al soggetto interessato, al proprio istituto di credito, alle autorità competenti o a un professionista qualificato.
16. Esattezza delle risposte e intervento umano
Le risposte generate da Abulafia possono contenere errori, omissioni o interpretazioni non corrette. Il chatbot non dispone necessariamente di informazioni aggiornate o complete sul caso concreto e non può verificare l’identità di chi contatta l’utente o l’autenticità di un documento o di un messaggio.
L’utente può segnalare una risposta ritenuta errata o problematica utilizzando i recapiti del titolare. Non è garantita un’assistenza umana in tempo reale attraverso la chat.
17. Diritti dell’interessato
L’interessato può esercitare, nei casi previsti dal GDPR, i seguenti diritti:
- ottenere conferma che sia o meno in corso un trattamento di dati personali e accedere ai dati;
- ottenere la rettifica dei dati inesatti e l’integrazione di quelli incompleti;
- richiedere la cancellazione dei dati, nei casi previsti dall’art. 17 GDPR;
- ottenere la limitazione del trattamento, nei casi previsti dall’art. 18 GDPR;
- opporsi al trattamento fondato sul legittimo interesse, ai sensi dell’art. 21 GDPR;
- ricevere i dati in formato strutturato, di uso comune e leggibile da dispositivo automatico, ove applicabile;
- revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente, per gli eventuali trattamenti fondati sul consenso.
Le richieste possono essere inviate al titolare utilizzando i recapiti indicati nella sezione 2. Per consentire l’individuazione dei dati, il titolare potrà chiedere informazioni sul momento e sulle modalità di utilizzo del servizio, senza richiedere dati eccedenti rispetto a quelli necessari.
L’interessato ha inoltre il diritto di presentare reclamo al Garante per la protezione dei dati personali o all’autorità di controllo dello Stato membro nel quale risiede abitualmente, lavora oppure nel quale si è verificata la presunta violazione.
18. Minori
Abulafia è uno strumento di sensibilizzazione generale e non è progettato per raccogliere intenzionalmente dati personali di minori. I minori devono utilizzare il servizio con la supervisione di un adulto responsabile e non devono inserire dati identificativi propri o di altri soggetti.
19. Aggiornamenti dell’informativa
La presente informativa può essere aggiornata in caso di modifiche al funzionamento del chatbot, ai dati trattati, ai fornitori, ai tempi di conservazione, alle finalità, alle basi giuridiche o alle modalità di intervento umano. La versione aggiornata sarà pubblicata sul sito e resa accessibile dall’interfaccia del chatbot.
20. Limitazioni del servizio
Le risposte di Abulafia hanno finalità educativa e informativa. Non costituiscono consulenza professionale, parere legale, diagnosi, valutazione finanziaria, intervento di emergenza o attività investigativa.
Abulafia può aiutare l’utente a osservare, comprendere, verificare e decidere con maggiore consapevolezza, ma l’utente resta responsabile delle decisioni adottate.
In presenza di truffe, reati, sottrazione di credenziali, pagamenti non autorizzati, furto di identità o altri eventi gravi, l’utente dovrebbe rivolgersi ai canali ufficiali competenti, quali banca, gestore del servizio, autorità competenti o professionisti qualificati.
Versione informativa: 1.1 del 01/10/2026