Informativa sulla privacy

5.1 Registrazione e dati del conto

• Al momento della registrazione raccogliamo:
• • Indirizzo e-mail (campo obbligatorio)
• • Nome utente (campo obbligatorio)
• • Password (crittografata con bcrypt, almeno 8 caratteri)
• • Tipo di account (personale o aziendale)
• • Data di registrazione
• • Autenticazione a due fattori (2FA) – facoltativa ma consigliata
• Finalità: attivazione e gestione del tuo account, autenticazione, sicurezza
• I dati relativi all'autenticazione a due fattori (2FA) vengono salvati solo localmente sul tuo dispositivo (scansione del codice QR). Noi salviamo solo lo stato di attivazione.
• Nota: in alternativa, è possibile registrarsi/accedere anche tramite Google, Meta (Facebook), LinkedIn, TikTok o X – si veda la sezione 5.1a per i dati e le autorizzazioni richiesti in ciascun caso.
• Per proteggerci dalle registrazioni automatizzate (bot), utilizziamo Cloudflare Turnstile (vedi sezione 10a.2).

5.1a Registrazione e accesso tramite fornitori terzi (accesso tramite social network)

• Oltre alla registrazione classica con e-mail e password, su PostMaestro.ai è possibile registrarsi o accedere tramite i seguenti servizi di terze parti. Questi collegamenti servono esclusivamente alla creazione dell’account e all’accesso e sono indipendenti dai collegamenti ai social media utilizzati per la pubblicazione di post (vedi sezione 5.5); in ciascun caso vengono richieste autorizzazioni OAuth (scopes) specifiche, con un ambito di autorizzazione nettamente più limitato:
• • Google (Scopes: openid, profile, email) - vengono trasmessi l'ID Google, l'indirizzo e-mail, il nome e il cognome, l'immagine del profilo e la lingua
• • Accesso tramite Meta / Facebook (Scopes: public_profile, email) – vengono trasmessi l’ID Facebook, l’indirizzo e-mail, nome e cognome, l’immagine del profilo e la lingua
• • Accesso a Instagram Business (ambito: instagram_business_basic) – vengono trasmessi l'ID Instagram, il nome utente, il nome visualizzato e l'immagine del profilo (non viene fornito l'indirizzo e-mail, che viene richiesto separatamente durante la procedura di onboarding)
• • LinkedIn (OpenID Connect, ambiti: openid, profile, email) – vengono trasmessi l’ID LinkedIn, l’indirizzo e-mail, il nome e il cognome, l’immagine del profilo e la lingua
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) - vengono trasmessi l'Open-ID di TikTok, il nome utente, il nome visualizzato e l'immagine del profilo (TikTok non fornisce un indirizzo e-mail; fino al suo inserimento durante la procedura di onboarding, viene utilizzato internamente un indirizzo segnaposto)
• • X / Twitter (OAuth 2.0 con PKCE, ambiti: users.read, users.email, tweet.read) – vengono trasmessi l’ID X, il nome utente, il nome visualizzato, l’immagine del profilo e, se autorizzato su X, l’indirizzo e-mail confermato
• Questi scope consentono esclusivamente la lettura dei dati di base del profilo necessari per la creazione dell'account. Non vengono pubblicati post, non vengono letti messaggi e non viene concesso alcun accesso ai tuoi contatti.
• Se un indirizzo e-mail già registrato effettua una nuova registrazione tramite un altro provider, riconosciamo l'account esistente in base all'indirizzo e-mail (indipendentemente dal fatto che le lettere siano maiuscole o minuscole) e associamo successivamente il nuovo ID del provider (collegamento dell'account), invece di creare un account duplicato.
• Se questa opzione è attivata nelle tue impostazioni di sicurezza, ad ogni accesso (anche tramite social login) inviamo una notifica via e-mail con l'ora, il dispositivo, il browser e la posizione approssimativa. La posizione viene determinata in base al Suo indirizzo IP tramite il fornitore terzo ipinfo.io (vedere la sezione 10a.1).
• Cancellazione dell'account Meta: per l'accesso tramite Meta (Facebook/Instagram), mettiamo a disposizione gli endpoint di callback prescritti da Meta per la revoca dell'autorizzazione e la cancellazione dei dati. Se rimuovi l’app dalle impostazioni del tuo account Facebook o richiedi la cancellazione dei dati in quella sede, riceviamo automaticamente una richiesta in tal senso e rendiamo disponibile lo stato di elaborazione tramite un URL di stato indicato da Meta.

5.2 Profili dei marchi e dati sui marchi

• Quando si crea un profilo del marchio, si risparmia:
• - Nome e descrizione del marchio
• - URL del sito web (per l'analizzatore di marca)
• - Linee guida e documenti del marchio caricati
• - Analisi dei dati del marchio (colori, caratteri, tono di voce)
• - Logo e risorse visive
• - Definizioni del gruppo target
• - Settore e categoria
• Scopo: Creazione di contenuti conformi al mercato, gestione della brand identity

5.3 Dati sui contenuti (post, media, campagne)

• Quando utilizzi la funzione di creazione dei contenuti, salviamo:
• • Post sui social media creati e programmati (testo, didascalie, hashtag)
• • Immagini, video e grafici caricati e generati
• • Dati delle campagne e modelli
• • Convalida delle idee (dati di swipe nell’Idea Generator)
• • Documenti di ricerca
• • Stato dei contenuti (Bozza, In revisione, Pianificato, Pubblicato)
• • Date e piattaforme di pubblicazione
• • Dati relativi alla classificazione e alla provenienza dei contenuti multimediali generati (classe di contenuto, stato di classificazione, stato dei metadati), nonché la Sua conferma della verifica redazionale dei testi generati
• Finalità: gestione dei contenuti, pianificazione, automazione, archiviazione e dimostrazione dell’adempimento degli obblighi di trasparenza in materia di IA
• Ove tecnicamente possibile, i file multimediali generati contengono informazioni di identificazione, metadati o indicatori tecnici analoghi che segnalano che si tratta di contenuti generati dall’IA o supportati dall’IA (cfr. sezione 8.2).

5.4 Dati di utilizzo e analisi

• Memorizziamo i dati per migliorare la piattaforma:
• - Tempi di accesso e durata della sessione
• - Caratteristiche e funzioni utilizzate
• - Consumo di token e dati di fatturazione
• - Rapporti sugli errori e dati sulle prestazioni
• - Feedback e richieste di supporto
• Scopo: Miglioramento della piattaforma, analisi degli errori, assistenza, fatturazione

5.5 Collegamenti alle piattaforme dei social media (pubblicazione)

• Quando si collegano account sui social media per la pubblicazione (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, sito web personale), ogni piattaforma richiede tramite OAuth solo le autorizzazioni (scopes) necessarie a tal fine. Questi collegamenti sono indipendenti dall’accesso tramite social media per l’accesso all’account (vedere la sezione 5.1a). In questo contesto salviamo:
• • Token di accesso e di aggiornamento OAuth per ciascuna piattaforma, memorizzati nel database con crittografia AES-256-GCM (vedi sezione 10)
• • ID dell'account, della pagina e del canale sulla piattaforma, nonché nome visualizzato, immagine del profilo o logo
• • Su LinkedIn, inoltre: le pagine aziendali da voi gestite (ID, nome, logo) per la selezione della destinazione di pubblicazione
• • Su Facebook/Instagram/WhatsApp: collegamenti rilevati automaticamente tra la pagina Facebook, l’account aziendale Instagram e l’account aziendale WhatsApp (trasferimento degli account collegati al momento della connessione)
• • Data di scadenza del token di accesso per il rinnovo automatico (ad es. per X e Wix)
• • Per WordPress e siti web propri: i dati di accesso da voi forniti (password dell’applicazione oppure URL dell’endpoint e secret) anziché il token OAuth
• Questi dati vengono utilizzati esclusivamente per pubblicare, per vostro conto, post sugli account collegati e per visualizzare le relative statistiche (Analytics) all’interno di PostMaestro.ai. L'accesso ai messaggi privati o ai contatti avviene esclusivamente nell'ambito della funzione Community Manager da voi attivata (Facebook Messenger, Instagram Direct, WhatsApp).
• È possibile interrompere qualsiasi connessione in qualsiasi momento dalle impostazioni. Consigliamo inoltre di revocare l'autorizzazione dell'app direttamente sulla rispettiva piattaforma (ad esempio, nelle impostazioni dell'account Meta).

5.6 Dati dei conti della squadra e dell'azienda

• Per gli account aziendali con più utenti, memorizziamo anche i dati:
• - I membri del team e i loro ruoli
• - Autorizzazioni e controllo degli accessi
• - Flussi di lavoro e commenti di approvazione
• - Log delle attività (log di audit)
• Scopo: collaborazione tra team, controllo degli accessi, conformità

5.7 Notifiche push (app mobile)

• Se utilizzi la nostra app mobile e attivi le notifiche push, trattiamo:
• • Token del dispositivo (Device Token) per l'invio delle notifiche
• • Impostazioni delle notifiche
• Per l'invio delle notifiche push utilizziamo Firebase Cloud Messaging (Google).
• È possibile disattivare le notifiche push in qualsiasi momento dalle impostazioni del proprio dispositivo.

5.8 Notizie, ricerche e feed RSS

• La piattaforma offre una funzione di news che utilizza la ricerca supportata dall'intelligenza artificiale (tramite Perplexity AI) come standard per fornire notizie rilevanti sul settore. È inoltre possibile aggiungere i propri feed RSS. In questo modo, elaboriamo:
• - Query di ricerca e preferenze di argomento per le ricerche di notizie supportate dall'IA
• - Gli URL dei feed RSS aggiunti
• - Le vostre preferenze e categorizzazioni per questi feed
• - Articoli letti o salvati
• La piattaforma recupera il contenuto dei feed di terzi attraverso i nostri server, in modo che il vostro indirizzo IP non venga trasmesso agli operatori dei feed RSS. Quando si utilizza la ricerca di notizie supportata dall'intelligenza artificiale, le query di ricerca vengono trasmesse a Perplexity AI (cfr. sezione 7.3).
• Scopo: fornire notizie, ricerche e contenuti personalizzati sul settore.

6.1 Procedura di double opt-in

Dopo la registrazione alla newsletter, riceverete un'e-mail di conferma.

Sarete aggiunti alla mailing list della newsletter solo dopo aver cliccato sul link di conferma.

Questo serve a proteggere dall'uso improprio del vostro indirizzo e-mail.

6.2 SendGrid (invio di e-mail)

Per l'invio delle newsletter utilizziamo SendGrid (Twilio Inc., USA).

SendGrid elabora il vostro indirizzo e-mail per nostro conto per inviare la newsletter.

Abbiamo stipulato un accordo di elaborazione degli ordini (AVV) con SendGrid ai sensi dell'art. 28 GDPR.

SendGrid ha ottenuto la certificazione EU-US Data Privacy Framework.

Ulteriori informazioni: https://www.twilio.com/legal/privacy

Informativa sulla privacy di Twilio (SendGrid)

6.3 Tracciabilità della newsletter

Attuale: nessun monitoraggio dei tassi di apertura o dei clic

Pianificato: Opt-in per le statistiche della newsletter (tasso di apertura, tracciamento dei click)

L'utente sarà informato prima dell'attivazione del tracciamento e potrà dare o negare il proprio consenso.

6.4 Cancellazione

È possibile annullare l'iscrizione alla newsletter in qualsiasi momento:

- Tramite il link di annullamento dell'iscrizione presente in ogni e-mail della newsletter

- Per e-mail a newsletter@nexaluna.ai

- Nelle impostazioni del vostro account (se disponibile)

Dopo la cancellazione, i vostri dati saranno cancellati dalla lista di distribuzione della newsletter.

8.1 Informativa sull’interazione con un sistema di intelligenza artificiale

• In PostMaestro.ai si interagisce direttamente con i sistemi di intelligenza artificiale. Tutte le funzioni che generano, valutano, riassumono, traducono o riscrivono contenuti sono supportate dall'intelligenza artificiale e contrassegnate come tali nell'interfaccia utente.
• L'avviso viene fornito prima della prima interazione, in modo chiaro, comprensibile e chiaramente distinguibile dagli altri elementi di comando (art. 50, comma 1, della legge UE sull'intelligenza artificiale).
• Mettiamo a disposizione queste indicazioni in formato accessibile e le allineiamo ai requisiti di accessibilità riconosciuti (art. 50, comma 5, dell’AI Act dell’UE).
• Le risposte e i suggerimenti forniti dall'intelligenza artificiale possono essere incompleti, obsoleti o oggettivamente errati. Non costituiscono in alcun modo una consulenza legale, fiscale, medica o finanziaria.

8.2 Contrassegno leggibile da macchina dei contenuti generati

• Ai sensi dell’articolo 50, paragrafo 2, dell’EU AI Act, i contenuti generati dai sistemi di intelligenza artificiale che producono immagini, audio, video o testi sintetici devono essere contrassegnati in un formato leggibile da macchina come generati artificialmente o manipolati. Il contrassegno deve essere efficace, interoperabile, solido e affidabile.
• Attuiamo questo requisito attraverso diverse procedure complementari, poiché, allo stato attuale della tecnica, nessuna procedura singola è in grado di garantire da sola la robustezza richiesta:
• • Metadati di origine nel file: Durante l’esportazione, inseriamo i metadati XMP e IPTC nei file multimediali generati, in particolare il campo IPTC «Digital Source Type» con il valore «trainedAlgorithmicMedia», nonché informazioni relative al sistema di IA utilizzato, alla versione del modello e alla data di creazione.
• • Content Credentials (C2PA): per i file immagine e video generati, integriamo nella pipeline di output un'indicazione di provenienza firmata crittograficamente secondo lo standard C2PA.
• • Filigrane del fornitore: qualora il rispettivo fornitore di modelli fornisca filigrane invisibili, queste vengono mantenute e non vengono rimosse. Nel caso dei modelli di immagini di Google Gemini, si tratta del sistema di filigrana SynthID.
• • Convalida: al termine della scrittura, rileggiamo i marcatori e registriamo lo stato di ciascun file (in sospeso, valido, mancante, rimosso). Se l’incorporamento non va a buon fine, per le classi di contenuti sensibili imponiamo una contrassegnazione visibile.
• Il contrassegno viene impostato a livello di server prima che un file venga salvato in memoria o distribuito, in modo che resista al rendering, al caricamento e al download. Dal punto di vista tecnico, non è da escludere che terze parti o piattaforme di destinazione possano rimuovere i metadati in caso di nuovo caricamento, compressione o ritaglio. In tal caso, il contrassegno visibile costituisce la vostra garanzia (cfr. 8.3).
• Stato di attuazione e termine: gli obblighi di trasparenza di cui all’articolo 50 dell’AI Act dell’UE si applicano a partire dal 2 agosto 2026. Per i sistemi di IA che, come PostMaestro.ai, erano già presenti sul mercato prima di tale data, si applica il periodo transitorio fino al 2 dicembre 2026. Entro tale termine attueremo integralmente le procedure sopra descritte e documenteremo internamente lo stato di attuazione.
• Una semplice indicazione nella presente informativa sulla privacy non è sufficiente a soddisfare i requisiti dell’art. 50, comma 2, dell’AI Act dell’UE. È determinante la marcatura leggibile da un dispositivo automatico apposta sul file stesso.

8.3 I vostri obblighi in qualità di gestori in materia di deepfake

• Se pubblicate contenuti generati con PostMaestro.ai, siete considerati “gestori” ai sensi dell’EU AI Act. In questo caso, l’obbligo di informativa di cui all’art. 50, comma 4, dell’EU AI Act ricade su di voi e non su di noi.
• Se create o modificate contenuti visivi, audio o video che assomigliano in modo ingannevole a persone, oggetti, luoghi, strutture o eventi reali (“deepfake”), al momento della pubblicazione dovete indicare chiaramente che il contenuto è stato generato o manipolato artificialmente.
• Secondo le linee guida della Commissione europea, tale obbligo si applica indipendentemente dall’intenzione di ingannare e anche nel caso in cui non sia raffigurata alcuna persona reale concreta. Per le pubblicazioni sui social media, esso è quindi generalmente applicabile.
• A supporto, mettiamo a disposizione: un'indicazione visibile come impostazione predefinita per le classi di contenuti sensibili, un suggerimento per un testo informativo durante l'esportazione e un avviso nella procedura di pubblicazione.
• L'impostazione predefinita è sempre “contrassegnato”. La disattivazione deve essere documentata: registriamo l'ora, l'account utente, l'area di lavoro e la versione del testo di conferma. Per le rappresentazioni fotorealistiche di persone e le voci sintetiche, la disattivazione è esclusa.
• Non è consentito rimuovere, disattivare, eludere o compromettere il funzionamento dei meccanismi di identificazione e di divulgazione da noi messi a disposizione (cfr. Condizioni generali di contratto, sezione 6.4).
• Tale obbligo si aggiunge alle norme di etichettatura previste dalla rispettiva piattaforma di social media. Spetta a voi verificare se, nel singolo caso, sussista un obbligo di divulgazione.

8.4 Testi generati dall'intelligenza artificiale e responsabilità editoriale

• Per quanto riguarda i testi, l’articolo 50 dell’EU AI Act ha una portata nettamente più ristretta rispetto a quella prevista per immagini, audio e video. L’obbligo di divulgazione sussiste solo se sono soddisfatte tutte e tre le seguenti condizioni:
• 1. Il testo è stato generato o modificato dall'intelligenza artificiale.
• 2. Il testo viene pubblicato.
• 3. La pubblicazione ha lo scopo di informare l'opinione pubblica su questioni di interesse pubblico, quali notizie, prese di posizione politiche o sociali e contributi al dibattito pubblico.
• L'obbligo di indicazione non si applica se il contenuto è stato sottoposto a verifica umana o a controllo editoriale e se la responsabilità editoriale della pubblicazione è assunta da una persona fisica o giuridica.
• Non esiste un obbligo generale di indicazione per ogni testo generato dall'intelligenza artificiale. Chi utilizza l'intelligenza artificiale come strumento di supporto, verifica i testi dal punto di vista redazionale e ne assume personalmente la responsabilità, di norma non è soggetto ad alcun obbligo aggiuntivo di indicazione.
• PostMaestro.ai è progettato proprio per questo: i testi generati sono semplici suggerimenti. Prima della programmazione o della pubblicazione, richiediamo una conferma esplicita che abbiate verificato il testo e che ve ne assumiate la responsabilità editoriale. Registriamo tale conferma indicando l'ora, l'account utente e la versione del testo, in modo che l'eccezione rimanga documentabile.
• La nota nell'applicazione recita: «Questo testo è un suggerimento. Si prega di verificarlo prima della pubblicazione. Con la verifica, l'utente si assume la responsabilità editoriale».
• Senza tale verifica, non è consentito pubblicare i testi generati come contenuti di cui si assume la responsabilità editoriale; in tal caso può trovare applicazione l’obbligo di divulgazione ai sensi dell’art. 50, comma 4, dell’EU AI Act.

8.5 Nessun riconoscimento delle emozioni e nessuna classificazione biometrica

• PostMaestro.ai non utilizza sistemi di riconoscimento delle emozioni e non ricava emozioni, stati d'animo o intenzioni dai dati biometrici.
• Non effettuiamo alcuna classificazione biometrica, nessun riconoscimento facciale, nessuna identificazione biometrica né alcun rilevamento di caratteristiche protette quali l'origine etnica, l'orientamento politico, la religione, l'appartenenza sindacale, lo stato di salute o l'orientamento sessuale.
• Le funzioni di valutazione, quali Idea Validation, Brand Analyser o le analisi delle prestazioni, si riferiscono esclusivamente a contenuti, dati relativi ai marchi e alla copertura, e non a persone né a caratteristiche biometriche.
• Gli obblighi di informazione previsti dall’art. 50, comma 3, dell’EU AI Act per i sistemi di riconoscimento delle emozioni e di classificazione biometrica non trovano quindi applicazione nel nostro caso.

8.6 Usi vietati: immagini a carattere intimo senza consenso e immagini di abusi su minori

• L'articolo 5 dell'EU AI Act vieta i sistemi di IA il cui risultato ragionevolmente prevedibile sia costituito da rappresentazioni intime non consensuali (NCII) o da rappresentazioni di abusi sessuali su minori (CSAM). In qualità di fornitori di uno strumento generico per la creazione di immagini e video, valutiamo questo rischio di abuso già nella fase di progettazione e prevediamo misure tecniche di protezione.
• Misure di protezione adottate:
• • Filtri di input che bloccano i prompt pertinenti già prima dell’attivazione dei modelli di immagini e video
• • I filtri di output e le impostazioni di sicurezza dei fornitori di modelli utilizzati
• • Blocco dei contenuti rivolti a minori in contesti a sfondo sessuale o che ritraggono immagini intime di persone identificabili
• • Blocco delle funzioni “Persona” e “Voice” senza il consenso documentato dell’interessato (cfr. sezione 5.9)
• • Registrazione delle richieste bloccate ai fini del rilevamento degli abusi, nonché la possibilità di sospendere gli account interessati
• Qualsiasi utilizzo della piattaforma per tali scopi è severamente vietato e comporta l'immediata sospensione dell'account nonché, in caso di indizi di reati, il ricorso alle autorità competenti.
• Segnalare un abuso: voi e terzi potete segnalare in qualsiasi momento eventuali violazioni all'indirizzo info@nexaluna.ai indicando nell'oggetto «Segnalare un abuso dell'IA». Esamineremo le segnalazioni ricevute in via prioritaria e ne confermeremo la ricezione.
• Documentiamo internamente la nostra valutazione dei rischi effettuata nella fase di progettazione, i filtri utilizzati e il trattamento delle segnalazioni, e li presentiamo su richiesta delle autorità competenti.

8.7 Ripartizione dei ruoli: fornitori e gestori

• Il fornitore, ai sensi dell’EU AI Act, è Nexaluna AI Solutions UG (a responsabilità limitata) per il sistema di IA PostMaestro.ai. Siamo soggetti agli obblighi del fornitore, in particolare all’indicazione leggibile da dispositivi automatici delle pubblicazioni ai sensi dell’art. 50, comma 2, e alla divulgazione dell’interazione con l’IA ai sensi dell’art. 50, comma 1.
• Si è considerati gestori non appena si utilizza la piattaforma sotto la propria responsabilità e si pubblicano i contenuti generati. Si è tenuti ad adempiere agli obblighi dei gestori, in particolare all’obbligo di divulgazione ai sensi dell’art. 50, comma 4, in caso di deepfake e di testi di interesse pubblico.
• I modelli di base utilizzati provengono da terzi (cfr. sezione 7). I relativi fornitori sono i fornitori dei rispettivi modelli di IA; noi siamo i fornitori del sistema di IA basato su di essi.
• Teniamo internamente un registro di tutti i modelli utilizzati con la rispettiva assegnazione dei ruoli e lo aggiorniamo in caso di modifiche.
• Per quanto riguarda le competenze in materia di IA ai sensi dell’articolo 4 dell’EU AI Act, formiamo i nostri collaboratori sull’utilizzo dei sistemi di IA impiegati e documentiamo i corsi di formazione.

8.8 Vigilanza e reclami

• A partire dal 29 luglio 2026, l'Autorità federale delle reti è l'autorità competente per la vigilanza sul mercato, il punto di contatto centrale e l'ufficio reclami per l'AI Act dell'UE in Germania.
• Agenzia federale delle reti, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• È possibile presentare in qualsiasi momento reclami relativi alla trasparenza dell'IA su quel sito. Vi preghiamo di contattarci preventivamente all'indirizzo info@nexaluna.ai, in modo da poter chiarire immediatamente la vostra richiesta.