Telegram è conforme al GDPR? Guida per chi gestisce un CRM: dati, conservazione e normativa UE

Telegram, di per sé, non è né conforme né non conforme al GDPR: il regolamento si applica a come lo usa il tuo team. Se anche un solo cliente con cui parli su Telegram vive nell'UE, sei un titolare del trattamento. Il tuo uso può essere conforme se ogni attività di trattamento ha una base giuridica, se tieni un piano di conservazione documentato, se hai un accordo sul trattamento dei dati (DPA) con il fornitore del CRM, se riesci a rispondere a una richiesta di accesso entro un mese e se ogni trasferimento fuori dallo Spazio economico europeo ha le sue garanzie. Questa guida affronta ciascun punto per un flusso di lavoro su Telegram. È scritta per founder, responsabili del supporto e revenue ops. Sono indicazioni operative, non consulenza legale.

Ogni nome di contatto, numero di telefono, trascrizione di chat e tag che salvi è un dato personale. Il fatto che Telegram sia un servizio di messaggistica e non un CRM non cambia nulla.

I riferimenti autorevoli di tutta la guida: il testo del regolamento si trova su GDPR.eu, le linee guida ufficiali del Comitato europeo per la protezione dei dati chiariscono le zone grigie e NIST SP 800-53 è lo standard che la maggior parte dei team di sicurezza usa per mappare i controlli. Quando un auditor ti chiede delle fonti, cita queste tre.

Il GDPR richiede che ogni attività di trattamento (salvare un contatto, inviare un messaggio broadcast, aggiungere un tag a una chat) si fondi su una di sei basi giuridiche. Per l'uso di un CRM su Telegram ne contano tre: consenso, contratto e legittimo interesse.

Il consenso è la base più pulita per i broadcast e il marketing. Deve essere "libero, specifico, informato e inequivocabile". Quindi il pulsante /start del tuo bot non è un consenso, mentre l'opt-in nel modulo di registrazione lo è. Un tag sulla chat, per esempio "consent-marketing-YYYY-MM-DD", registra la base giuridica con una data. Così, in caso di audit, puoi mostrare il momento esatto dell'opt-in.

Il contratto copre le conversazioni con i clienti esistenti sul servizio che stanno pagando. Una chat di supporto su un abbonamento non richiede un consenso separato. Stai eseguendo il contratto e il trattamento è necessario per farlo. È la base che copre la maggior parte dei flussi di ticketing e customer success.

Il legittimo interesse è la base più fraintesa. Copre la prospezione, le analisi interne e la prevenzione delle frodi, cioè attività che puoi giustificare come necessarie per gestire l'azienda e che l'interessato si aspetterebbe ragionevolmente. Devi comunque bilanciare il tuo interesse con i diritti dell'interessato, documentare questo bilanciamento e rispettare ogni opposizione. Mettere il tag "outreach-lead-source-web" su una chat e conservarla per novanta giorni per seguire la pipeline è un caso classico di legittimo interesse. Conservare la stessa chat per cinque anni perché "potrebbe servire" non lo è.

Il GDPR non fissa un periodo di conservazione preciso. Richiede che i dati personali non siano conservati più a lungo del necessario rispetto allo scopo per cui sono stati raccolti. Tradotto in pratica: definisci lo scopo, definisci il periodo, mettilo per iscritto e cancella secondo il calendario.

Valori di partenza che reggono bene in un audit per un CRM Telegram B2B: le chat con clienti attivi per tutta la durata del contratto più un anno (per coprire garanzie e obblighi fiscali), le chat con lead chiusi per dodici mesi, le chat con consenso marketing finché il consenso resta attivo, le chat di spam o abuso per trenta giorni. Sono solo punti di partenza. La tua autorità di controllo e il tuo settore possono richiedere periodi diversi, soprattutto in finanza, sanità e istruzione.

Il requisito pratico è che tu possa davvero cancellare. Entergram offre l'esportazione dei dati (per categoria e per account, oppure un file ZIP dell'intero workspace) e la cancellazione definitiva dei dati dell'account. Eliminare un workspace rimuove ticket, log, campi, commenti e file. Entergram non conserva lo storico dei messaggi nel suo database: le conversazioni restano su Telegram ed Entergram le tiene solo in cache temporanee che scadono da sole. Quindi il livello CRM che cancelli è fatto di metadati delle chat, tag, note, ticket e campi strutturati, e in Entergram non c'è alcun archivio di messaggi da dimenticare. Se il tuo piano di conservazione richiede una copia dei messaggi stessi, è un lavoro separato, trattato in backup delle chat Telegram per le aziende. La nostra pagina sulla sicurezza spiega tutto nel dettaglio.

In base all'articolo 15 del regolamento, ogni interessato può chiederti quali dati personali conservi su di lui. Hai un mese per rispondere. Ignorare la richiesta è uno dei modi più semplici per prendere una sanzione. Rispondere bene significa sapere da quali sistemi devi estrarre i dati.

Per un CRM Telegram questo vuol dire: i metadati della chat del contatto, tutti i tag applicati, tutti i valori delle colonne personalizzate, tutti i commenti interni, tutto lo storico dei ticket, tutti i broadcast ricevuti e ogni evento di analisi legato alla sua chat. L'esportazione dei dati di Entergram copre la parte CRM: ticket, chat, contatti, gruppi e analisi, per account o come ZIP dell'intero workspace. Restringi l'esportazione alla chat dell'interessato, controlla che non contenga nulla che esponga terze persone e inviala. I testi dei messaggi restano su Telegram e non sono nell'esportazione.

Per la richiesta opposta (articolo 17, diritto alla cancellazione), rimuovi i dati CRM che conservi su quella persona in Entergram (valori dei campi personalizzati, commenti, note e ticket) e aggiungi la chat a Excluded chats (chat escluse) se deve restare fuori dalla vista del tuo CRM. Lo storico dei messaggi Telegram sul dispositivo è un'altra cosa, regolata dall'informativa sulla privacy di Telegram, e l'interessato può cancellare la propria parte dall'app Telegram. Non promettere di cancellare ciò che non controlli.

Se il tuo team usa Entergram per gestire le conversazioni con i clienti, tu sei il titolare del trattamento ed Entergram è un responsabile del trattamento. In base all'articolo 28, questo rapporto deve essere regolato da un accordo sul trattamento dei dati, e dovresti averne uno con ogni responsabile prima di salvare anche un solo contatto UE. Chiedi a ogni fornitore del tuo stack Telegram le sue condizioni e leggile prima di firmare.

L'articolo 28 elenca cosa deve coprire l'accordo: trattamento solo su tue istruzioni documentate, riservatezza, misure tecniche e organizzative adeguate, assistenza negli obblighi di accesso degli interessati e di notifica delle violazioni, trasparenza sui sub-responsabili. Sul piano tecnico, le misure di Entergram che puoi citare sono documentate nel centro assistenza: le credenziali salvate dall'app sono cifrate a riposo con AES-256-GCM, ogni account collegato passa da un proxy unico dedicato, le chiavi API sono salvate solo come hash e il log di audit del workspace (Log history) registra chi ha fatto cosa.

Dopo la sentenza Schrems II, trasferire dati personali fuori dallo Spazio economico europeo richiede garanzie aggiuntive, di solito le Clausole contrattuali standard più una valutazione d'impatto del trasferimento. Per l'uso di un CRM su Telegram, la domanda pratica è: dove sono ospitati i dati del tuo workspace e i file di sessione?

Chiedi a ogni fornitore dove sono ospitati i dati del workspace e le sessioni e quale meccanismo di trasferimento si applica, poi registra la risposta. Per Entergram, la sessione Telegram è conservata nel backend di Entergram (non nel tuo browser) e le credenziali salvate dall'app sono cifrate a riposo con AES-256-GCM. Per la località di hosting e le condizioni di trasferimento, chiedi direttamente al team su hello@entergram.com. Se ti serve il pieno controllo su dove gira il prodotto, il piano Enterprise aggiunge il self-hosting. Le linee guida dell'EDPB sui trasferimenti sono il riferimento principale se il tuo team di sicurezza te lo chiede.

Quando un auditor arriva per una verifica di preparazione ISO 27001 o SOC 2, le domande sul CRM Telegram sono sempre le stesse cinque. Chi può vedere una certa chat? Come sono protette le credenziali di sessione? Come sono salvate le password? Cosa succede quando un collega se ne va? Come rilevi un accesso non autorizzato?

Le risposte brevi su Entergram: i messaggi restano con l'account e i dati CRM restano con la chat. Ogni account collegato è condiviso con il workspace (con accesso da più postazioni, ideale per un team di supporto che risponde da un unico account) oppure resta privato per un solo utente. Un collega che non ha effettuato l'accesso a un account non può leggerne i messaggi, mentre i dati CRM di una chat (campi, ticket, note, commenti) sono visibili a chiunque possa raggiungere quella chat. Le credenziali salvate dall'app sono cifrate a riposo con AES-256-GCM. L'accesso avviene con codici email monouso o con Google, quindi non ci sono password Entergram da conservare. Per l'offboarding basta rimuovere il membro dal workspace, e ogni sessione Telegram collegata si può chiudere anche da Settings → Devices (Impostazioni → Dispositivi) di Telegram. Il log di audit del workspace (Log history) registra le azioni su Telegram, CRM, ticket e membri, compresi broadcast ed esportazioni dei dati, con esportazione CSV per owner e admin.

Se il tuo auditor vuole una mappatura dei controlli, le pagine del centro assistenza su come Entergram protegge i tuoi dati, su cosa possono vedere i colleghi e su Log history sono il materiale da cui partire.

"Il vostro uso di Telegram è conforme al GDPR?" Sì, se hai una base giuridica per ogni attività di trattamento, un piano di conservazione documentato, un accordo sul trattamento dei dati con il fornitore del CRM, una procedura per le richieste di accesso che riesci a completare in meno di un mese, garanzie per ogni trasferimento fuori dallo SEE e un'architettura del workspace che impone confini di accesso. Questa è la risposta vera. Entergram copre nel prodotto la parte CRM che controlli tu: confini di accesso per account, esportazione dei dati, cancellazione e log di audit. La base giuridica, il piano di conservazione e i contratti restano compito tuo.