WhatsApp Flows e GDPR: consenso e protezione dei dati

SendSeven Team, Editorial Team

Quali dati raccoglie un WhatsApp Flow, chi li tratta, quando serve il consenso e cosa devono contenere l'informativa sulla privacy e il DPA. Con una checklist per il tuo primo flow.

Quali dati raccoglie un WhatsApp Flow e chi li tratta?

Un WhatsApp Flow raccoglie esattamente i dati che chiedi. A questi si aggiungono il numero di telefono e il nome del profilo, che WhatsApp trasmette comunque a ogni chat. I dati vengono trattati al massimo in tre punti: presso WhatsApp (Meta), che trasmette le risposte, presso SendSeven, dove vengono salvati nella chat e sul contatto, e nel tuo CRM, se ne colleghi uno.

In tutto l'articolo prendiamo come esempio la Falegnameria Villaresi di Lissone, in Brianza, un laboratorio fittizio che realizza mobili su misura. Nel suo flow i clienti scelgono il tipo di mobile, indicano le misure approssimative e il CAP, allegano una foto della parete e chiedono un preventivo o un sopralluogo a casa. Se vogliono, si iscrivono anche alla newsletter.

• WhatsApp (Meta): i messaggi passano da WhatsApp (Meta), e Meta può trasferire dati negli Stati Uniti. A tal fine Meta si basa sul Data Privacy Framework UE-USA e sulle clausole contrattuali tipo. Secondo Meta, WhatsApp conserva le foto e i documenti caricati, cifrati, per un massimo di 20 giorni (documentazione di Meta, in inglese).
• SendSeven: la piattaforma è ospitata nell'UE (Francoforte) ed è collegata direttamente a WhatsApp come Meta Business Partner. Le risposte compaiono nella chat dell'inbox. Quelle che hai associato a un campo si trovano anche sul contatto, mentre foto e documenti sono allegati alla chat e al contatto.
• Il tuo CRM: se lo configuri, inoltri le risposte con un webhook o con l'API REST. Senza collegamento restano in SendSeven. La guida alla configurazione dei webhook mostra come fare.

Per i dati dei tuoi clienti sei di norma tu il titolare del trattamento, perché sei tu a decidere cosa chiedere e perché. SendSeven tratta i dati per tuo conto, in qualità di responsabile del trattamento. Per capire come funziona un WhatsApp Flow dal punto di vista tecnico, leggi il nostro articolo sui WhatsApp Flows. Il nostro confronto tra WhatsApp Flow, pulsanti e chatbot mostra quando un flow è più adatto dei pulsanti.

Quando serve il consenso e quando no?

Per la richiesta in sé di solito non serve un consenso a parte, mentre per marketing e newsletter sì. Chi ti scrive e chiede un preventivo in un flow vuole che tu usi i suoi dati a quello scopo. La base giuridica è allora, di norma, l'esecuzione di misure precontrattuali adottate su richiesta dell'interessato, ai sensi dell'art. 6, par. 1, lett. b), del GDPR. Se poi vuoi inviare alla stessa persona promozioni, sconti o una newsletter, per questo ti serve il suo consenso. A prescindere da ciò, Meta richiede un opt-in prima che tu scriva per primo a qualcuno con un template di messaggio.

Alla Falegnameria Villaresi, Marco chiede un preventivo per una libreria su misura per il soggiorno: per questa richiesta di solito non serve un consenso a parte. Per la newsletter con idee d'arredo e novità del laboratorio, invece, sì. Un flow è un buon posto per chiedere questo consenso, perché il cliente è attivo in quel momento e il testo lo decidi tu. Fai attenzione a quattro cose:

• Un campo a parte: chiedi il consenso con un campo di opt-in separato dalla richiesta. Una casella preselezionata non costituisce un consenso valido ai sensi del GDPR, come ha confermato la Corte di giustizia dell'UE nella sentenza Planet49 (C-673/17, 1° ottobre 2019).
• Una scelta libera: chi vuole solo un preventivo deve poter inviare la richiesta anche senza iscriversi alla newsletter. Non rendere quindi l'opt-in obbligatorio.
• Un testo chiaro: indica cosa invierai, su quale canale e come ci si disiscrive. Un link «Leggi altro» sul campo di opt-in porta alla tua informativa sulla privacy.
• La formulazione resta salvata: SendSeven salva il testo del consenso insieme a ogni opt-in. Se in seguito qualcuno lo chiede, puoi vedere a quale formulazione la persona ha dato il suo consenso.

Da Professional, un'automazione nel Flow Builder gestisce l'iscrizione alla lista: il trigger che si attiva quando un cliente completa un WhatsApp Flow la avvia, una condizione controlla il campo di opt-in e un ulteriore passaggio aggiunge il contatto alla tua lista newsletter. Il caso d'uso sul double opt-in mostra come funziona la conferma in due passaggi su WhatsApp e perché WhatsApp richiede un consenso specifico. Per acquisire iscritti in modo corretto leggi WhatsApp Opt-in: 7 strategie per acquisire iscritti.

Come applichi la minimizzazione dei dati in un flow?

Minimizzare i dati in un flow significa chiedere solo ciò che serve alla finalità e salvare le risposte solo dove il tuo team le usa davvero. Un flow lo rende più facile di una chat aperta, perché le domande le fissi in anticipo e puoi offrire opzioni predefinite al posto del testo libero.

• Giustifica ogni domanda: per ogni domanda scrivi una frase su perché ti serve la risposta. Se non te ne viene in mente nessuna, elimina la domanda. Per preparare un preventivo, la Falegnameria Villaresi ha bisogno del tipo di mobile, delle misure indicative e del CAP, non della data di nascita. Il nostro articolo su come qualificare i lead con un WhatsApp Flow mostra quali dati bastano di solito per un preventivo.
• Opzioni al posto del testo libero: in un campo di testo libero le persone spesso scrivono più di quanto tu voglia sapere, fino a dati sulla salute o sulla situazione economica. Le opzioni limitano la risposta a ciò che ti serve. Se vuoi comunque un campo libero, ad esempio per le note, indica cosa scriverci e cosa no, come «Non indicare informazioni sulla salute».
• Pochi campi obbligatori: ciò che non è strettamente necessario resta facoltativo.
• Salva con uno scopo: con l'impostazione su ogni campo decidi se la risposta finisce in un campo del contatto, in un campo personalizzato o in un tag sul contatto, oppure resta solo nelle risposte del flow. Le misure della libreria di Marco servono solo a questo preventivo: possono restare nelle risposte del flow, invece di rimanere in modo permanente sul contatto.
• Segna i campi sensibili: i campi che segni come sensibili compaiono mascherati nella tabella delle risposte, nell'API e nei webhook in uscita. Nella chat il tuo team vede comunque la risposta e può così gestire la richiesta.
• Foto solo quando servono: una foto spesso mostra più del previsto, ad esempio persone o la posta lasciata sul tavolo. Chiedi una foto, come quella della parete da attrezzare, solo se serve davvero alla richiesta, e indica cosa deve mostrare.

Stabilisci anche per quanto tempo conservi le richieste e annotalo nel registro delle attività di trattamento. Se vuoi chiedere categorie particolari di dati, ad esempio sulla salute, confrontati prima con il tuo DPO o con il tuo consulente privacy. Per trattamenti su larga scala può inoltre essere necessaria una valutazione d'impatto sulla protezione dei dati (DPIA).

Cosa devono contenere l'informativa sulla privacy e il DPA?

L'informativa sulla privacy dice ai tuoi clienti cosa succede ai loro dati, e l'accordo sul trattamento dei dati (DPA) stabilisce come SendSeven li tratta per tuo conto. Entrambi dovrebbero essere pronti prima che il tuo primo flow vada online. Per i WhatsApp Flows, la tua informativa di solito riporta:

• la finalità delle domande e la base giuridica, separatamente per la richiesta e per il marketing,
• WhatsApp (Meta) come canale attraverso cui passano i dati, con l'indicazione di un possibile trasferimento negli Stati Uniti,
• SendSeven come fornitore che tratta i dati per tuo conto,
• un CRM collegato ed eventuali altri destinatari,
• per quanto tempo conservi i dati,
• i diritti dei tuoi clienti e come revocano il consenso.

Inserisci il link all'informativa dove raccogli i dati: su «Leggi altro» nel campo di opt-in o nel messaggio con cui invii il flow.

Mettiamo a disposizione il DPA su richiesta. Come SendSeven gestisce i dati e come contattarci a riguardo è spiegato nella nostra informativa sulla privacy. Per WhatsApp valgono inoltre le condizioni di Meta. Se i potenziali clienti ti contattano dopo aver visto un annuncio, Click-to-WhatsApp Ads e GDPR descrive la catena dei dati in Italia.

A cosa devi fare attenzione con i modelli e il builder IA?

I modelli e il builder IA fanno risparmiare lavoro nella creazione, ma la responsabilità di domande e testi resta tua. Controlla ogni flow prima di pubblicarlo, come controlleresti un nuovo modulo sul tuo sito.

• Modelli: SendSeven offre modelli di flow già pronti, tra cui acquisizione e qualificazione di lead, richieste di preventivo e richieste di richiamata. I testi di consenso dei modelli sono solo esempi: mantieni la struttura, riscrivi domande e testi con parole tue, adattali alla tua informativa sulla privacy e falli rivedere prima dell'uso.
• Builder IA: da Professional, il builder IA crea un flow statico a partire dalla tua descrizione. Usa crediti IA, solo per le generazioni riuscite, e l'elaborazione IA avviene nell'UE. Al builder serve solo il tuo caso d'uso: non inserire quindi dati reali dei clienti nella descrizione.
• Prima di pubblicare: domande, campi obbligatori e destinazione di ogni risposta sono quelli giusti? L'opt-in è facoltativo e il testo adattato? Se in seguito la tua informativa sulla privacy cambia, modifica il flow e pubblicalo di nuovo. Se lo invii tramite un template di messaggio con pulsante Flow, invia poi di nuovo il template a Meta, altrimenti il template continua ad aprire la versione precedente.

In breve: un WhatsApp Flow è un modulo come un altro, quindi chiedi solo ciò che serve, ottieni un consenso a parte per il marketing, collega la tua informativa sulla privacy e firma il DPA.

Per una panoramica di tutte le funzionalità vedi la pagina WhatsApp Flows. Il caso d'uso sulla gestione del consenso mostra come i team tengono traccia del consenso per contatto e per canale, e le voci del glossario su messaggistica e GDPR e su WhatsApp Flows spiegano le basi.

Continua a leggere:

• WhatsApp Flows: moduli dentro la chat per piccole imprese
• Qualificare i lead con un WhatsApp Flow: tutti i dati in una volta
• Click-to-WhatsApp Ads e GDPR 2026: catena dei dati, DPA e informativa privacy
• WhatsApp Opt-in: 7 strategie per acquisire iscritti nel 2026

Domande frequenti