Privacy Assistente Virtuale/Chatbot

1. INFORMAZIONI GENERALI SULLA TECNOLOGIA UTILIZZATA PER IL CHATBOT

Il Chatbot è un sistema automatizzato basato su intelligenza artificiale generativa (LLM-Large Language Model), alimentato con dati di addestramento tratti dai siti web di ADR e progettato per rispondere alle richieste dell’utente in relazione ai servizi aeroportuali della stessa. 

Sebbene la tecnologia sottostante sia di tipo generativo fornita da Amazon Web Services Enea Sarl, il sistema reso disponibile da ADR è finalizzato a uno scopo determinato e specifico ed è limitato a tematiche e servizi aeroportuali. Pertanto, non rientra nella definizione di “sistema di IA per finalità generali”, ai sensi dell’AI Act. Il Servizio non richiede l’identificazione dell’utente ed è rivolto ai maggiorenni o ai minori che abbiano compiuto i quattordici anni. Per maggiori dettagli sulle funzionalità, limitazioni e logiche del sistema AI, si rinvia ai Termini & Condizioni.

2. Il TITOLARE DEL TRATTAMENTO E IL DATA PROTECTION OFFICER (DPO)

Titolare del trattamento

Dati di contatto

del Titolare

Dati di contatto

del DPO

Aeroporti di Roma S.p.A., (di seguito indicata anche come “ADR” o il “Titolare”).

con sede in via Pier Paolo Racchetti 1 - 00054 Fiumicino (Roma)

Il Responsabile della Protezione dei Dati (anche detto “Data Protection Officer”: di seguito anche solo il “DPO”) di ADR può essere contattato via e-mail all’indirizzo: dpo@adr.it  oppure oppure scrivendo ai dati di contatto del Titolare ivi indicati.

3. FONTE E CATEGORIE DEI DATI

Il Servizio è concepito per funzionare senza identificare l’utente. I soli dati personali raccolti e trattati da ADR sono forniti direttamente dall’utente nell’ambito dell’utilizzo e conversazione con l’assistente virtuale/Chatbot e sono: il numero telefonico (WhatsApp), preferenze espresse (es. attivazione notifiche), input selezionati tra le opzioni disponibili e dati tecnici (es. lingua, rating assegnato alla conversazione, eventuali dettagli/orari di volo inseriti).

L’utente è fortemente invitato a non condividere dati personali ulteriori rispetto a quelli sopra indicati, soprattutto appartenenti a categorie particolari (es. sanitari, religiosi, ecc.). Eventuali dati personali inseriti durante l’interazione con il Chatbot (testi e/o note vocali) saranno unicamente registrati sulla chat ma non elaborati per fornire la risposta richiesta e non saranno conservati né utilizzati per ulteriori finalità. Sono implementate misure preventive e meccanismi informatici (c.d. guardrails) volti a non elaborare eventuali dati personali volontariamente inseriti dall’utente.  Le informazioni personali non vengono elaborate dal Chatbot che non fornisce risposte sulla base di tali informazioni. I dati personali non vengono impiegati per l’addestramento dei modelli di intelligenza artificiale generativa.

Non sono utilizzati cookie o altri strumenti di tracciamento per identificare o profilare l’utente.

4. FINALITà DEL TRATTAMENTO, BASE GIURIDICA, NATURA DEL CONFERIMENTO E PERIODO DI CONSERVAZIONE DEI DATI

finalità del trattamento,

Base giuridica e natura del conferimento

Periodo di conservazione dei dati

1. Gestione delle richieste informative dell’utente tramite Chatbot

Il trattamento dei dati personali da parte di ADR tramite il Chatbot ha come finalità quella di gestire le richieste informative formulate volontariamente dall’utente, relative ai servizi aeroportuali offerti (es. informazioni su voli, accessi, parcheggi, assistenza, orari, servizi commerciali, ecc.).

Il Chatbot consente inoltre alcune funzionalità accessorie attivabili direttamente dall’utente durante l’interazione, come ad esempio l’invio di notifiche push relative al volo selezionato che comporta l’invio di informazioni di servizio relative, ad esempio, ai servizi disponibili nell’area di partenza del volo selezionata.

Tali notifiche non sono comunicazioni commerciali, trattandosi di comunicazioni di servizio, meramente informative. In ogni caso, tali comunicazioni possono essere disattivate in qualsiasi momento cliccando il tasto “Stop aggiornamenti”. Inoltre, l’utente riceve un’informazione di servizio per valutare le risposte ricevute (facoltativo).

Base giuridica: esecuzione di un contratto di cui l’utente è parte o esecuzione di misure precontrattuali adottate su richiesta dell’utente stesso (art. 6, par. 1, lett. b) del GDPR). Il conferimento dei dati potrebbe avvenire nell’ambito dell’utilizzo del servizio. In caso di volontà di non conferire ad ADR la propria numerazione Whatsapp, ADR non sarà in grado di fornire una risposta tramite il Chatbot su Whatsapp, rendendo pertanto necessario l’utilizzo di canali di contatto alternativi.

Nell’ipotesi in cui l’utente, durante l’interazione con il Chatbot, fornisca volontariamente dati appartenenti a categorie particolari ai sensi dell’art. 9 del GDPR (es. dati relativi alla salute), tali dati saranno trattati sulla base di un consenso esplicito dell’utente (art. 9, par. 2, lett. a) del GDPR), pur restando esclusivamente nella chat/interazione, senza essere processati dal sistema di AI per fornire le risposte. Il conferimento di tali dati particolari non è necessario e, anzi, ADR raccomanda di evitare di comunicare tale tipologia di dati durante l’utilizzo del Servizio.

Il consenso può essere revocato in qualsiasi momento, scrivendo al DPO all’indirizzo dpo@adr.it  e chiedendo la cancellazione di eventuali dati forniti erroneamente.

I contenuti delle chat vengono conservati sul sistema impiegato da ADR per 6 mesi dalla ricezione. I contenuti della chat restano inoltre sull’applicazione Whatsapp dell’utente e nella sua esclusiva disponibilità.

I numeri telefonici (WhatsApp) sono conservati per 3 mesi e successivamente anonimizzati.

2. Invio di comunicazioni promozionali e informative tramite WhatsApp

Previo consenso, ADR utilizzerà il numero di telefono associato all’utenza WhatsApp dell’utente per l’invio di comunicazioni e informative, relative a: aggiornamenti e novità aeroportuali, promozioni commerciali, sconti e iniziative istituzionali.

Le comunicazioni saranno inviate mediante strumenti automatizzate di contatto (notifiche push, WhatsApp) con una frequenza massima di circa un messaggio a settimana e comunque in modo non ripetitivo o invasivo.

Base giuridica: il consenso dell’utente (art. 6, par. 1, lett. a) del GDPR). Il consenso viene acquisito all’interno della conversazione WhatsApp tramite un’azione inequivocabile dell’utente.

Il conferimento dei dati e del consenso per questa finalità è facoltativo: il mancato consenso non pregiudica l’utilizzo del Chatbot, ma comporta l’impossibilità di ricevere le suddette comunicazioni.

L’utente può opporsi al ricevimento di tali comunicazioni o revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca, cliccando sull’apposito tasto “Stop aggiornamenti” all’interno della conversazione WhatsApp che garantisce un’opzione “Disiscriviti/Unsubscribe” presente in ciascun messaggio successivo oppure scrivendo ai dati di contatto del Titolare.

Il numero di telefono dell’utente sarà conservato fino alla revoca del consenso (opt-out) /disattivazione della ricezione delle informative.

In caso di revoca del consenso il numero di telefono continuerà ad essere trattato e conservato per l’ulteriore finalità lecita sub A, ma non sarà più trattato per l’invio di comunicazioni promozionali e informative.

ADR effettua periodicamente campagne di aggiornamento del consenso.

5. MODALITà DEL TRATTAMENTO E TRASFERIMENTI EXTRA SEE

I dati personali sono trattati mediante strumenti informatici e telematici, nel rispetto della normativa vigente in materia di protezione dei dati personali e secondo logiche coerenti con le finalità sopra descritte, adottando misure adeguate a garantire la riservatezza, la sicurezza e l’integrità dei dati.

ADR ha adottato misure tecniche e organizzative idonee per mitigare i rischi connessi alla privacy e ai bias dell’intelligenza artificiale, tra cui, ad esempio: filtri, guardrails, controlli umani, supervisione ex post, tracciamento degli errori, meccanismi di alert, audit e test continui.

Il sistema è implementato su un’infrastruttura localizzata all’interno dello Spazio Economico Europeo (SEE), senza trasferimento dei dati verso Paesi terzi. Il fornitore della tecnologia cloud (AWS) non accede ai dati personali degli utenti in base agli accordi contrattuali in essere.

Il Chatbot non richiede l’identificazione dell’utente. L’utente potrebbe inserire volontariamente dati personali nel testo o nei contenuti vocali. ADR invita l’Utente a non inserire dati personali propri o di terzi che, in ogni caso, non vengono utilizzati per l’elaborazione delle risposte. I contenuti delle conversazioni (messaggi testuali, comandi vocali) sono visualizzabili da ADR e trattati unicamente per erogare il Servizio, con retention limitata e logica “stateless” (nessuna profilazione né ricostruzione storica della chat).

Il Servizio non comporta processi decisionali automatizzati ai sensi dell’art. 22 del GDPR. Le risposte generate dal Chatbot sono automatizzate, ma non producono effetti giuridici, né incidono significativamente sull’utente.

6. DESTINATARI DEI DATI

All’interno di ADR S.p.A. possono venire a conoscenza dei dati personali forniti dall’utente esclusivamente i soggetti incaricati/autorizzati del trattamento dal Titolare e autorizzati a compiere le operazioni di trattamento sulle attività suddette.

Inoltre, i dati potranno essere trattati dai fornitori di cui ADR si avvale per fornire il Servizio quale responsabile del trattamento ai sensi dell’art. 28 del GDPR.

Per le comunicazioni inviate su WhatsApp, Meta Inc. fornitore della piattaforma di messagistica istantanea opera come autonomo titolare del trattamento per quanto riguarda i dati relativi all’account utente (es. nome e immagine profilo) e alle policy di utilizzo dell’app (si rinvia alle policy del gestore di tale piattaforma di messagistica istantanea). I messaggi sono ricevuti tramite il servizio WhatsApp di Meta che li protegge con protocollo di crittografia. L’Utente mantiene il pieno controllo delle conversazioni e può interrompere e/o bloccare la chat in qualsiasi momento.

ADR, in tale contesto, non ha accesso ai dati nominativi del profilo WhatsApp dell’utente, ma riceve solo i contenuti pertinenti all’interazione (richiesta voli, risposte, preferenze, eventuali comandi testuali) e i messaggi trasmessi dall’Utente sui sistemi impiegati. I dati personali dell’utente sono trattati da ADR tramite il proprio personale specificamente incaricato/autorizzato al trattamento.

I dati personali trattati saranno conosciuti esclusivamente da personale di ADR espressamente autorizzato al trattamento, in base a specifici profili di autorizzazione.

ADR si avvale inoltre di fornitori esterni, nominati responsabili del trattamento ai sensi dell’art. 28 del GDPR, coinvolti nel trattamento in relazione allo sviluppo e manutenzione del sistema, per la gestione del sistema del canale WhatsApp Business, nonché per i servizi cloud computing utilizzati nell’ambito del Servizio.

Infine, i dati potranno essere comunicati ad autorità pubbliche competenti, in adempimento ad obblighi di legge.

7. DIRITTI DEGLI INTERESSATI

Alle condizioni previste dagli art. 15-21 del GDPR, l’utente ha il diritto di chiedere ad ADR:

1. la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di avere l’accesso e la copia ai propri dati personali (Diritto di accesso art. 15 del GDPR);
2. l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione dei dati senza ingiustificato ritardo (Diritto di Rettifica art. 16 del GDPR);
3. la cancellazione dei Dati per i quali non vi è più alcun presupposto giuridico per il loro trattamento (Diritto all’oblio art. 17 del GDPR);
4. la limitazione del modo in cui i dati personali sono trattati qualora ricorra una delle ipotesi previste nell’art. 18 del GDPR;
5. la copia dei dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico per i trattamenti basati sul rapporto contrattuale (c.d. portabilità), come previsto dall’art. 20 del GDPR;
6. la revoca del consenso in qualsiasi momento, nel caso in cui il trattamento sia fondato sul consenso, come previsto dall’art. 7 del GDPR. Si precisa che l’eventuale revoca del consenso avrà effetto soltanto con riferimento ai successivi trattamenti, non pregiudicando la liceità del trattamento precedentemente svoltosi prima di tale revoca.

Diritto di opposizione: oltre ai diritti in precedenza elencati, l’utente ha sempre facoltà di opporsi in qualsiasi momento qualora i dati personali siano trattati per finalità di marketing. L’utente può opporsi al ricevimento di tali comunicazioni o revocare il consenso cliccando sull’apposito tasto “Stop aggiornamenti” all’interno della conversazione WhatsApp opzione “Disiscriviti/Unsubscribe” presente in ciascun messaggio successivo oppure scrivendo ai dati di contatto del Titolare.

Nel caso in cui venga esercitato il diritto di opposizione il Titolare si riserva la possibilità di non dare seguito all’istanza, e quindi di proseguire il trattamento, nel caso in cui sussistano motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, diritti e libertà dell’interessato.

I diritti di cui sopra potranno essere esercitati con richiesta rivolta senza formalità al Data Protection Officer (DPO) al seguente indirizzo dpo@adr.it.

Nel caso in cui l’utente ritenga che il trattamento dei dati personali avvenga in violazione di quanto previsto dal GDPR, ha diritto di proporre reclamo al Garante per la protezione dei dati personali, utilizzando i riferimenti disponibili sul sito internet www.garanteprivacy.it o di adire le opportune sedi giudiziarie.