Come impostare i periodi di conservazione delle chat di assistenza clienti

Perché una cronologia chat conservata indefinitamente è un rischio

Una chat di assistenza clienti può contenere recapiti, contesto dell'account, cronologia dei reclami, prove di pagamento o consegna, screenshot, documenti e informazioni aggiunte internamente da un operatore. Conservare ogni record per sempre raramente rappresenta un'impostazione operativa predefinita difendibile.

In base al principio di limitazione della conservazione del GDPR, i dati personali identificabili dovrebbero essere conservati non oltre il tempo necessario alle finalità per cui sono trattati. La domanda pratica non è se una cronologia completa potrebbe un giorno risultare comoda, ma se una finalità definita richieda ancora una categoria specifica di dati.

La conservazione indefinita amplia inoltre l'insieme di record esposti ad accessi errati, divulgazione, perdita o alterazione. Può rendere più difficili da soddisfare le richieste di accesso e cancellazione, complicare le indagini e lasciare i team di assistenza a cercare in contesti obsoleti.

• Non usare «nel caso ci serva» come finalità di conservazione.
• Definisci un periodo standard, un evento che avvia il conteggio, un punto di riesame e un'azione di smaltimento.
• Consenti la cancellazione anticipata quando i dati non sono più necessari.
• Tratta un'eccezione lecita e documentata come un'eccezione, non come un motivo per conservare l'intera casella di posta.

Prima di stabilire un periodo, inventaria i dati in una conversazione di assistenza

Una singola visualizzazione della casella di posta non corrisponde a una singola categoria di dati. Mappa dove esiste ciascun elemento, chi può accedervi, perché viene usato e se dispone di un'esportazione, un archivio allegati, un backup o un sistema di reportistica separato. Questo inventario è la base di una politica di conservazione delle chat di assistenza clienti.

webchat.vip offre una casella di posta condivisa per conversazioni WebChat e WhatsApp, analisi operative, registri delle conversazioni, valutazioni e report esportabili. I team possono anche usare operatori, reparti, instradamento, orari, livelli di servizio, modelli e tag. Questi oggetti operativi possono avere finalità e percorsi di smaltimento diversi, quindi non dovrebbero ereditare automaticamente un unico periodo a livello di conversazione.

I file dei clienti richiedono particolare attenzione. webchat.vip archivia i file in un sottoaccount Apification Cloud isolato per ciascun servizio omnicanale. I responsabili della piattaforma, della sicurezza e della gestione dei documenti dovrebbero comunque mappare accesso, copie, gestione dei backup, capacità di eliminazione e responsabilità per tale percorso di archiviazione.

• Trascrizioni delle conversazioni attive e metadati dei messaggi
• Note interne, assegnazioni, cronologia di instradamento ed eventi relativi ai livelli di servizio
• Allegati caricati dai clienti e file inviati dall'azienda
• Tag, categorie, valutazioni e registri di revisione della qualità
• Esportazioni scaricate per gestione dei casi, audit o analisi
• Report aggregati e risultati delle analisi
• Backup, archivi e sistemi connessi che potrebbero contenere copie

Assegna una finalità prima di scegliere un periodo di conservazione

La conservazione dipende dalla finalità. Per ogni riga del programma, registra la specifica finalità operativa o legale, il responsabile dei dati, l'evento aziendale che avvia il conteggio della conservazione, il periodo standard e l'esito approvato al termine di tale periodo.

Tra le finalità comuni vi sono la continuità di una richiesta di assistenza aperta, la gestione di un reclamo o di una controversia, l'indagine su sospette frodi o incidenti di sicurezza, l'adempimento di un obbligo legale e la produzione di report per il miglioramento del servizio. Una finalità di reportistica può spesso essere soddisfatta con informazioni aggregate o efficacemente anonimizzate anziché con trascrizioni identificabili.

Sensibilità, esigenze di accesso e alternative meno invasive dovrebbero influire sulla decisione. Ad esempio, un allegato contenente prove sensibili può richiedere un periodo standard più breve, un accesso più limitato e un processo di riesame separato rispetto a un tag a bassa sensibilità usato per l'instradamento.

• Necessità: quale decisione, servizio od obbligo richiede questi dati?
• Sensibilità: la categoria potrebbe contenere informazioni sensibili, finanziarie, relative all'identità o alla sicurezza?
• Accesso: quali ruoli hanno effettivamente bisogno di visualizzarli e per quanto tempo?
• Alternative: un breve riepilogo del caso, un report aggregato o un'anonimizzazione efficace possono soddisfare la finalità?
• Copie: lo stesso contenuto esiste nella casella di posta, nell'archivio file, in un'esportazione o in un backup?
• Riesame: chi può approvare una proroga e quali prove deve registrare?

Crea una matrice di conservazione, non un'unica regola per tutta la casella di posta

Le durate esatte devono essere stabilite dalla tua organizzazione in base alle proprie finalità, alla legge applicabile, agli obblighi contrattuali e alla valutazione del rischio. Non copiare un numero generico in ogni riga. Le aspettative di tenuta dei registri del GDPR e le linee guida dell'ICO supportano la documentazione separata di categorie, usi e periodi di conservazione previsti.

Usa il seguente modello come strumento decisionale. Sostituisci i campi tra parentesi con decisioni interne approvate. Un responsabile Privacy o gestione documentale dovrebbe convalidare il programma prima che diventi operativo.

• Trascrizioni — Finalità: risolvere e garantire continuità a un caso di assistenza. Evento iniziale: chiusura del caso o ultimo contatto significativo con il cliente. Periodo standard: [periodo approvato]. Azione finale: eliminare oppure conservare solo un riepilogo necessario del caso. Responsabile: Operazioni di assistenza.
• Note interne — Finalità: passaggio di consegne, garanzia della qualità o gestione dei reclami. Evento iniziale: creazione della nota o chiusura del caso. Periodo standard: [periodo approvato, spesso valutato separatamente]. Azione finale: eliminare con il caso correlato, salvo si applichi un'eccezione documentata. Responsabile: Operazioni di assistenza.
• Allegati — Finalità: verificare o risolvere la richiesta specifica. Evento iniziale: ricezione, completamento della verifica o chiusura del caso. Periodo standard: [periodo approvato]. Azione finale: eliminare dall'archivio file e dalle copie associate secondo la procedura di smaltimento. Responsabile: responsabile del caso con supervisione della Sicurezza.
• Tag e dati di instradamento — Finalità: instradare, misurare o gestire un'interazione di assistenza. Evento iniziale: chiusura del caso. Periodo standard: [periodo approvato]. Azione finale: eliminare o aggregare ove possibile. Responsabile: Operazioni di assistenza.
• Valutazioni e registri di qualità — Finalità: revisione e miglioramento della qualità del servizio. Evento iniziale: completamento della valutazione o della revisione. Periodo standard: [periodo approvato]. Azione finale: eliminare gli identificatori o usare un risultato aggregato ove appropriato. Responsabile: responsabile della Qualità.
• Esportazioni — Finalità: analisi, audit o gestione dei casi definiti. Evento iniziale: creazione dell'esportazione. Periodo standard: [breve periodo approvato]. Azione finale: eliminare dalla destinazione e registrare il completamento. Responsabile: richiedente dell'esportazione e proprietario del sistema.
• Report aggregati — Finalità: analisi delle tendenze e reportistica operativa. Evento iniziale: generazione del report. Periodo standard: [periodo approvato]. Azione finale: conservare solo se il risultato non è ragionevolmente identificabile; altrimenti applicare un periodo definito. Responsabile: responsabile dell'Analisi.

Assegna agli allegati un proprio flusso di lavoro per sicurezza ed eliminazione

I file non sono semplicemente messaggi chat lunghi. Un'immagine, un PDF o un foglio di calcolo caricato da un cliente può comportare rischi diversi per privacy, malware e accesso e può restare utile per un periodo molto più breve della trascrizione che lo circonda.

Conferma i controlli di gestione dei file con i responsabili pertinenti della piattaforma e della sicurezza. Le linee guida OWASP sul caricamento dei file evidenziano archiviazione separata, autorizzazioni basate sul privilegio minimo, autorizzazione al caricamento, nomi file generati, convalida di tipo e contenuto, limiti di dimensione e controlli anti-malware o sandbox, ove disponibili. Non presumere che ogni controllo sia abilitato o disponibile senza verifica.

Definisci chi decide che un allegato non è più necessario. L'operatore che chiude un caso può individuare l'evento, ma un responsabile di sistema dovrebbe essere titolare di un'esecuzione affidabile nell'archivio file, nelle esportazioni e nei backup.

• Limita le autorizzazioni di caricamento agli utenti e ai flussi di lavoro che ne hanno necessità.
• Comunica ai clienti di non inviare informazioni sensibili non necessarie quando esiste un'alternativa.
• Registra se sono disponibili controlli malware o sandbox, chi esamina gli avvisi e come vengono isolati i file sospetti.
• Evita di scaricare allegati in cartelle locali non gestite o spazi di collaborazione non approvati.
• Verifica se una richiesta di eliminazione raggiunge l'archivio allegati oltre alla visualizzazione della conversazione.
• Trasmetti immediatamente al processo di gestione degli incidenti di sicurezza i sospetti malware, le divulgazioni accidentali o gli accessi non autorizzati ai file; non chiedere agli operatori di prima linea di decidere autonomamente le misure di contenimento.

Non confondere eliminazione, anonimizzazione, limitazione e archiviazione

Questi termini descrivono esiti diversi e dovrebbero essere campi separati nel tuo programma. Chiudere, nascondere o archiviare una conversazione non equivale a eliminarla. I dati offline restano trattamento di dati personali e richiedono comunque un periodo di conservazione giustificato, controlli di sicurezza e una gestione adeguata delle richieste di esercizio dei diritti.

L'eliminazione rimuove i dati in base al processo di smaltimento definito dall'organizzazione. Se la cancellazione fisica immediata non è tecnicamente possibile in ogni livello, definisci come i dati vengono resi inutilizzabili e come viene gestita l'eliminazione dai backup. Lo smaltimento sicuro dovrebbe essere proporzionato alla sensibilità delle informazioni e al supporto di archiviazione.

Un'anonimizzazione efficace può consentire analisi a più lungo termine, ma deve realmente impedire l'identificazione. La sola pseudonimizzazione non pone fine agli obblighi di limitazione della conservazione. Anche la limitazione è distinta: ai sensi dell'articolo 18 del GDPR, i dati limitati possono generalmente essere conservati mentre l'ulteriore trattamento è limitato a circostanze specificate.

• Eliminazione: smaltire il contenuto e le copie applicabili secondo la procedura documentata.
• Anonimizzazione efficace: conservare solo un risultato non più identificabile, dopo aver verificato il rischio di reidentificazione.
• Limitazione: conservare il record con limiti di trattamento mentre si risolve una questione definita.
• Archivio: spostare i dati in un'altra posizione; restano tutti gli obblighi di privacy, sicurezza e conservazione.
• Gestione dei backup: documentare cicli di backup, garanzie di ripristino e il momento in cui i dati eliminati vengono rimossi o resi inutilizzabili.

Gestisci le eccezioni con un processo controllato di sospensione

Un periodo standard di conservazione può essere sospeso o prorogato per uno specifico record quando esiste una chiara necessità, come una controversia attiva, una pretesa legale, un obbligo legale, una revisione per frode, un'indagine di sicurezza o una richiesta cliente irrisolta. L'eccezione deve essere circoscritta, motivata da evidenze e riesaminata.

Crea un registro delle sospensioni invece di affidarti alla memoria degli operatori o a un tag privo di governance. Il registro dovrebbe identificare l'ambito della sospensione, la sua ragione, chi l'ha autorizzata, i sistemi e le categorie coinvolti, le restrizioni di accesso, la data di riesame e la decisione di rilascio. Conserva solo i record necessari per la questione dichiarata.

Le richieste dei clienti di cancellazione o limitazione richiedono un percorso di revisione umana. Non lasciare che un flusso automatizzato prometta l'eliminazione quando un'eccezione legale valida, una limitazione attiva o una verifica dell'identità non risolta possono influire sulla risposta. I responsabili Privacy o Legali dovrebbero decidere i casi contestati e fornire la risposta applicabile.

• Apertura della sospensione: identificativo del caso, finalità, ambito, autorità e data di inizio.
• Limita l'accesso: restringi il materiale soggetto a sospensione ai ruoli autorizzati.
• Riesame: stabilisci un riesame datato, non una sospensione a tempo indeterminato.
• Rilascio: rimuovi prontamente la sospensione quando la necessità termina e reimmetti il record nel flusso di smaltimento.
• Escalation: invia pretese legali, richieste regolatorie, incidenti di sicurezza e richieste di diritti contestate a Legale, Privacy o Sicurezza in base alle procedure dell'organizzazione per incidenti e documentazione.

Controlli operativi che rendono concreto il programma

Una politica è inefficace se le normali soluzioni alternative creano copie non gestite. La conservazione dovrebbe essere una responsabilità operativa congiunta: le Operazioni di assistenza sono responsabili dei processi dei casi; Privacy o Gestione documentale sono responsabili della base della politica e della gestione dei diritti; Sicurezza è responsabile dei controlli di accesso e degli incidenti; i responsabili tecnici convalidano configurazione del sistema e comportamento di smaltimento.

Applica l'accesso basato sul privilegio minimo a caselle di posta, reparti, file, esportazioni e funzioni amministrative. Riesamina gli accessi quando le persone cambiano ruolo. Conserva registri amministrativi verificabili, evitando però di inserire nel tracciato di audit copie non necessarie dei contenuti dei clienti.

webchat.vip può organizzare operatori, reparti, instradamento, orari, livelli di servizio, modelli e tag. Usa queste funzioni organizzative per ridurre gli accessi estesi, ma conferma le precise capacità di conservazione, esportazione, eliminazione, archiviazione file e audit disponibili nel servizio implementato prima di descriverle come controlli.

• Nomina un responsabile aziendale e un responsabile tecnico per ogni riga di conservazione.
• Configura un flusso programmato di riesame o eliminazione dove la capacità validata della piattaforma lo supporta.
• Mantieni un registro di verifica dell'eliminazione con versione della regola, categoria, data di esecuzione, ambito del sistema o dell'archiviazione, esito e riferimento all'eccezione, senza copiare contenuti dei clienti.
• Verifica un campione di eliminazioni completate, inclusi file, esportazioni e backup applicabili.
• Confronta le voci del registro delle sospensioni con i processi programmati di eliminazione prima di ogni esecuzione.
• Riesamina gli accessi privilegiati e le autorizzazioni di esportazione con una cadenza definita.
• Forma gli operatori affinché riconoscano file sensibili, richieste di esercizio dei diritti, comunicazioni legali e problematiche di sicurezza, e affinché effettuino un'escalation invece di improvvisare.