Informativa sulla privacy

5.1 Registrazione e dati del conto

• Al momento della registrazione raccogliamo:
• • Indirizzo e-mail (campo obbligatorio)
• • Nome utente (campo obbligatorio)
• • Password (crittografata con bcrypt, almeno 8 caratteri)
• • Tipo di account (personale o aziendale)
• • Data di registrazione
• • Autenticazione a due fattori (2FA) – facoltativa ma consigliata
• Finalità: attivazione e gestione del tuo account, autenticazione, sicurezza
• I dati relativi all'autenticazione a due fattori (2FA) vengono salvati solo localmente sul tuo dispositivo (scansione del codice QR). Noi salviamo solo lo stato di attivazione.
• Nota: in alternativa, è possibile registrarsi/accedere anche tramite Google, Meta (Facebook), LinkedIn, TikTok o X – si veda la sezione 5.1a per i dati e le autorizzazioni richiesti in ciascun caso.
• Per proteggerci dalle registrazioni automatizzate (bot), utilizziamo Cloudflare Turnstile (vedi sezione 10a.2).

5.1a Registrazione e accesso tramite fornitori terzi (accesso tramite social network)

• Oltre alla registrazione classica con e-mail e password, su PostMaestro.ai è possibile registrarsi o accedere tramite i seguenti servizi di terze parti. Questi collegamenti servono esclusivamente alla creazione dell’account e all’accesso e sono indipendenti dai collegamenti ai social media utilizzati per la pubblicazione di post (vedi sezione 5.5); in ciascun caso vengono richieste autorizzazioni OAuth (scopes) specifiche, con un ambito di autorizzazione nettamente più limitato:
• • Google (Scopes: openid, profile, email) - vengono trasmessi l'ID Google, l'indirizzo e-mail, il nome e il cognome, l'immagine del profilo e la lingua
• • Accesso tramite Meta / Facebook (Scopes: public_profile, email) – vengono trasmessi l’ID Facebook, l’indirizzo e-mail, nome e cognome, l’immagine del profilo e la lingua
• • Accesso a Instagram Business (ambito: instagram_business_basic) – vengono trasmessi l'ID Instagram, il nome utente, il nome visualizzato e l'immagine del profilo (non viene fornito l'indirizzo e-mail, che viene richiesto separatamente durante la procedura di onboarding)
• • LinkedIn (OpenID Connect, ambiti: openid, profile, email) – vengono trasmessi l’ID LinkedIn, l’indirizzo e-mail, il nome e il cognome, l’immagine del profilo e la lingua
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) - vengono trasmessi l'Open-ID di TikTok, il nome utente, il nome visualizzato e l'immagine del profilo (TikTok non fornisce un indirizzo e-mail; fino al suo inserimento durante la procedura di onboarding, viene utilizzato internamente un indirizzo segnaposto)
• • X / Twitter (OAuth 2.0 con PKCE, ambiti: users.read, users.email, tweet.read) – vengono trasmessi l’ID X, il nome utente, il nome visualizzato, l’immagine del profilo e, se autorizzato su X, l’indirizzo e-mail confermato
• Questi scope consentono esclusivamente la lettura dei dati di base del profilo necessari per la creazione dell'account. Non vengono pubblicati post, non vengono letti messaggi e non viene concesso alcun accesso ai tuoi contatti.
• Se un indirizzo e-mail già registrato effettua una nuova registrazione tramite un altro provider, riconosciamo l'account esistente in base all'indirizzo e-mail (indipendentemente dal fatto che le lettere siano maiuscole o minuscole) e associamo successivamente il nuovo ID del provider (collegamento dell'account), invece di creare un account duplicato.
• Se questa opzione è attivata nelle tue impostazioni di sicurezza, ad ogni accesso (anche tramite social login) inviamo una notifica via e-mail con l'ora, il dispositivo, il browser e la posizione approssimativa. La posizione viene determinata in base al Suo indirizzo IP tramite il fornitore terzo ipinfo.io (vedere la sezione 10a.1).
• Cancellazione dell'account Meta: per l'accesso tramite Meta (Facebook/Instagram), mettiamo a disposizione gli endpoint di callback prescritti da Meta per la revoca dell'autorizzazione e la cancellazione dei dati. Se rimuovi l’app dalle impostazioni del tuo account Facebook o richiedi la cancellazione dei dati in quella sede, riceviamo automaticamente una richiesta in tal senso e rendiamo disponibile lo stato di elaborazione tramite un URL di stato indicato da Meta.

5.2 Profili dei marchi e dati sui marchi

• Quando si crea un profilo del marchio, si risparmia:
• - Nome e descrizione del marchio
• - URL del sito web (per l'analizzatore di marca)
• - Linee guida e documenti del marchio caricati
• - Analisi dei dati del marchio (colori, caratteri, tono di voce)
• - Logo e risorse visive
• - Definizioni del gruppo target
• - Settore e categoria
• Scopo: Creazione di contenuti conformi al mercato, gestione della brand identity

5.3 Dati sui contenuti (post, media, campagne)

• Quando utilizzi la funzione di creazione dei contenuti, salviamo:
• • Post sui social media creati e programmati (testo, didascalie, hashtag)
• • Immagini, video e grafici caricati e generati
• • Dati delle campagne e modelli
• • Convalida delle idee (dati di swipe nell’Idea Generator)
• • Documenti di ricerca
• • Stato dei contenuti (Bozza, In revisione, Pianificato, Pubblicato)
• • Date e piattaforme di pubblicazione
• • Dati relativi alla classificazione e alla provenienza dei contenuti multimediali generati (classe di contenuto, stato di classificazione, stato dei metadati), nonché la Sua conferma della verifica redazionale dei testi generati
• Finalità: gestione dei contenuti, pianificazione, automazione, archiviazione e dimostrazione dell’adempimento degli obblighi di trasparenza in materia di IA
• Ove tecnicamente possibile, i file multimediali generati contengono informazioni di identificazione, metadati o indicatori tecnici analoghi che segnalano che si tratta di contenuti generati dall’IA o supportati dall’IA (cfr. sezione 8.2).

5.4 Dati di utilizzo e analisi

• Memorizziamo i dati per migliorare la piattaforma:
• - Tempi di accesso e durata della sessione
• - Caratteristiche e funzioni utilizzate
• - Consumo di token e dati di fatturazione
• - Rapporti sugli errori e dati sulle prestazioni
• - Feedback e richieste di supporto
• Scopo: Miglioramento della piattaforma, analisi degli errori, assistenza, fatturazione

5.5 Collegamenti alle piattaforme dei social media (pubblicazione)

• Quando si collegano account sui social media per la pubblicazione (LinkedIn, Instagram, Facebook, Threads, X, YouTube, TikTok, Wix, WordPress, sito web proprio), ogni piattaforma richiede tramite OAuth solo le autorizzazioni (scopes) necessarie a tal fine. Questi collegamenti sono indipendenti dal social login utilizzato per l’accesso all’account (vedere la sezione 5.1a).
• I token di accesso e di aggiornamento OAuth vengono memorizzati nel database con crittografia AES-256-GCM a seconda della piattaforma (vedere la sezione 10). I token scaduti e non rinnovabili vengono automaticamente invalidati.
• Per garantire la pubblicazione e la programmazione puntuali, il fuso orario viene ricavato in via prioritaria dal rispettivo fornitore della piattaforma (se supportato dalla piattaforma stessa, ad esempio su Facebook, Instagram, Wix, WordPress, YouTube) oppure viene ripreso dall’impostazione manuale da voi effettuata. Se una piattaforma non supporta il rilevamento del fuso orario (come LinkedIn, dove per motivi di protezione dei dati non vengono generati dati derivati dalla posizione), deduciamo il fuso orario principalmente dal Paese indicato nel profilo del marchio (Country) o, in subordine, dalla lingua o dal fuso orario predefinito del marchio.
• Le sezioni seguenti descrivono, per ciascuna piattaforma, quali dati vengono trattati, a quale scopo vengono utilizzati e quando vengono cancellati. I dati relativi alle piattaforme vengono utilizzati esclusivamente per la gestione della presenza online del rispettivo cliente.
• È possibile interrompere qualsiasi connessione in qualsiasi momento dalle impostazioni. Raccomandiamo inoltre di revocare l'autorizzazione dell'app direttamente sulla rispettiva piattaforma (ad esempio nelle impostazioni dell'account LinkedIn o Meta).

5.6 Dati relativi agli account di squadra e aziendali

• Per gli account aziendali con più utenti, salviamo inoltre:
• • I membri del team e i loro ruoli
• • Autorizzazioni e controllo degli accessi (compreso l’accesso basato sui ruoli ai profili dei marchi e ai collegamenti ai social media; solo i ruoli autorizzati ricevono notifiche relative ai collegamenti in scadenza)
• • Flussi di lavoro di approvazione e commenti
• • Registri delle attività (Audit Log)
• Finalità: collaborazione in team, controllo degli accessi, conformità

5.7 Notifiche (nell'app, push ed e-mail)

• PostMaestro.ai ti informa sugli eventi relativi al tuo account, ad esempio commenti e menzioni, generazioni completate, pubblicazioni, inviti al team, fatturazione, sicurezza e manutenzione. A tal fine trattiamo:
• • Notifiche nella posta in arrivo (campanellino), compreso lo stato di lettura e di nascondimento
• • Le tue impostazioni di notifica per canale, categoria, area e gruppo di lavoro
• • Per le notifiche push (app mobile e browser): token del dispositivo, ID casuale del dispositivo, nome del dispositivo, piattaforma, versione dell'app e data e ora dell'ultimo utilizzo
• • Se l’app è attualmente aperta su un dispositivo (segnale di visibilità, valido per 90 secondi), in modo da non ricevere ulteriori notifiche push sul dispositivo che stai utilizzando in quel momento
• Le notifiche push vengono inviate tramite Firebase Cloud Messaging (Google), mentre le notifiche via e-mail tramite SendGrid (vedere la sezione 6.3).
• È possibile attivare o disattivare le notifiche opzionali per ogni canale nella sezione Impostazioni → Notifiche; le notifiche push possono essere gestite anche nelle impostazioni del dispositivo o del browser.
• Le comunicazioni necessarie per l'utilizzo del tuo account (ad es. problemi di pagamento, obbligo di autenticazione a due fattori, interventi di manutenzione, modifiche alle Condizioni generali di contratto) ti saranno inviate tramite l'app e via e-mail, indipendentemente da queste impostazioni. Le notifiche relative all’accesso sono escluse da questa regola e sono facoltative (vedi sezione 12.1). In casi eccezionali – ad esempio in caso di lavori di manutenzione o avvisi relativi alla sicurezza – possiamo visualizzare avvisi anche indipendentemente dalle impostazioni relative alle categorie nell’app e tramite notifiche push; tali avvisi sono contrassegnati come «Importanti».
• Riceverete e-mail promozionali (ad esempio relative a nuove funzionalità) solo se vi siete iscritti alla newsletter (sezione 6).

5.8 Notizie, ricerche e feed RSS

• La piattaforma offre una funzione di news che utilizza la ricerca supportata dall'intelligenza artificiale (tramite Perplexity AI) come standard per fornire notizie rilevanti sul settore. È inoltre possibile aggiungere i propri feed RSS. In questo modo, elaboriamo:
• - Query di ricerca e preferenze di argomento per le ricerche di notizie supportate dall'IA
• - Gli URL dei feed RSS aggiunti
• - Le vostre preferenze e categorizzazioni per questi feed
• - Articoli letti o salvati
• La piattaforma recupera il contenuto dei feed di terzi attraverso i nostri server, in modo che il vostro indirizzo IP non venga trasmesso agli operatori dei feed RSS. Quando si utilizza la ricerca di notizie supportata dall'intelligenza artificiale, le query di ricerca vengono trasmesse a Perplexity AI (cfr. sezione 7.3).
• Scopo: fornire notizie, ricerche e contenuti personalizzati sul settore.

6.1 Procedura di double opt-in

Dopo l’iscrizione tramite il sito web, riceverete un’e-mail con un link di conferma. Solo dopo aver cliccato su tale link vi inseriremo nella mailing list. Le iscrizioni non confermate vengono cancellate dopo 30 giorni; non inviamo alcun promemoria.

Al momento della registrazione nell’app, confermi l’iscrizione cliccando sul link contenuto nell’e-mail di conferma del tuo account, in cui lo indichiamo espressamente.

Ciò impedisce la registrazione di indirizzi e-mail estranei.

6.2 Prova del consenso

Per poter dimostrare che avete prestato il vostro consenso (art. 7, comma 1 del GDPR), registriamo l’iscrizione, la conferma e la cancellazione indicando data e ora, provenienza, indirizzo IP, identificativo del browser e versione del testo di consenso visualizzato.

Conserviamo questo registro per 3 anni dopo la sua cancellazione dall'iscrizione, dopodiché lo eliminiamo automaticamente.

6.3 SendGrid (invio di e-mail)

Per l'invio della newsletter e delle e-mail di servizio e di notifica utilizziamo SendGrid (Twilio Inc., USA).

SendGrid elabora il vostro indirizzo e-mail e il contenuto dell’e-mail per nostro conto e ci comunica gli eventi tecnici relativi alla consegna (consegnata, non recapitabile, segnalata come spam, cancellazione). Utilizziamo questi eventi per mantenere aggiornata la mailing list: gli indirizzi non recapitabili e le segnalazioni di spam comportano il blocco dell’indirizzo.

Abbiamo stipulato con SendGrid un contratto di trattamento dei dati (CTD) ai sensi dell’art. 28 del GDPR. SendGrid è certificato secondo l’EU-US Data Privacy Framework.

Ulteriori informazioni: https://www.twilio.com/legal/privacy

Informativa sulla privacy di Twilio (SendGrid)

6.4 Monitoraggio della newsletter

Al momento non misuriamo né le aperture né i clic.

Prima di introdurre tali statistiche, vi informeremo in anticipo e, se necessario, richiederemo il vostro consenso.

6.5 Disiscrizione

È possibile annullare l’iscrizione alla newsletter in qualsiasi momento:

• tramite il link di cancellazione presente in ogni e-mail o la funzione di cancellazione del proprio programma di posta elettronica

• tramite il modulo in fondo a questa sezione: inserisci il tuo indirizzo e-mail, ti invieremo un link per confermare la disiscrizione

• nel proprio account PostMaestro alla voce Impostazioni → Notifiche

• via e-mail all'indirizzo support@postmaestro.ai

Dopo la cancellazione, non riceverete più la newsletter. Il vostro indirizzo non figurerà più nella mailing list; verrà conservata solo la prova di cui al punto 6.2.

8.1 Informativa sull’interazione con un sistema di intelligenza artificiale

• In PostMaestro.ai si interagisce direttamente con i sistemi di intelligenza artificiale. Tutte le funzioni che generano, valutano, riassumono, traducono o riscrivono contenuti sono supportate dall'intelligenza artificiale e contrassegnate come tali nell'interfaccia utente.
• L'avviso viene fornito prima della prima interazione, in modo chiaro, comprensibile e chiaramente distinguibile dagli altri elementi di comando (art. 50, comma 1, della legge UE sull'intelligenza artificiale).
• Mettiamo a disposizione queste indicazioni in formato accessibile e le allineiamo ai requisiti di accessibilità riconosciuti (art. 50, comma 5, dell’AI Act dell’UE).
• Le risposte e i suggerimenti forniti dall'intelligenza artificiale possono essere incompleti, obsoleti o oggettivamente errati. Non costituiscono in alcun modo una consulenza legale, fiscale, medica o finanziaria.

8.2 Contrassegno leggibile da macchina dei contenuti generati

• Ai sensi dell’articolo 50, paragrafo 2, dell’EU AI Act, i contenuti generati dai sistemi di intelligenza artificiale che producono immagini, audio, video o testi sintetici devono essere contrassegnati in un formato leggibile da macchina come generati artificialmente o manipolati. Il contrassegno deve essere efficace, interoperabile, solido e affidabile.
• Attuiamo questo requisito attraverso diverse procedure complementari, poiché, allo stato attuale della tecnica, nessuna procedura singola è in grado di garantire da sola la robustezza richiesta:
• • Metadati di origine nel file: incorporiamo metadati standardizzati direttamente nei file immagine e video. Ciò comprende il campo IPTC «Digital Source Type» (con i valori «trainedAlgorithmicMedia» per i contenuti interamente sintetici e «compositeWithTrainedAlgorithmicMedia» per le riprese reali elaborate dall’IA), le descrizioni Dublin Core (“AI GENERATED”), dati EXIF e uno spazio dei nomi XMP dedicato (https://postmaestro.ai/ns/ai-transparency/1.0/) con informazioni sul sistema di IA, la versione del modello, la classe di contenuto, la data di creazione e lo stato di etichettatura.
• • Content Credentials (C2PA): immagini, video e file audio ricevono inoltre un certificato di provenienza firmato crittograficamente secondo lo standard C2PA (dettagli al punto 8.2a).
• • Filigrane del fornitore: qualora il rispettivo fornitore di modelli fornisca filigrane invisibili, queste vengono mantenute e non vengono rimosse. Nel caso dei modelli di immagini di Google Gemini, si tratta del sistema di filigrana SynthID.
• • Convalida: al termine della scrittura, rileggiamo i contrassegni e registriamo lo stato di ciascun file (in sospeso, valido, mancante, rimosso). Se l’incorporamento non va a buon fine, per le classi di contenuti sensibili imponiamo un contrassegno visibile.
• • Resistenza al formato: qualora una piattaforma o una fase di conversione dovesse rimuovere i metadati, il marcatore ottico impresso rimane efficace come meccanismo di protezione primario (cfr. 8.3).
• Stato di attuazione e termine: gli obblighi di trasparenza di cui all’art. 50 dell’EU AI Act si applicano a partire dal 2 agosto 2026. Per i sistemi di IA che, come PostMaestro.ai, erano già presenti sul mercato prima di tale data, si applica il periodo transitorio fino al 2 dicembre 2026. Entro tale termine attueremo integralmente le procedure sopra descritte e documenteremo internamente lo stato di attuazione.
• Una semplice indicazione nella presente informativa sulla privacy non è sufficiente a soddisfare i requisiti dell’art. 50, comma 2, dell’AI Act dell’UE. È determinante la marcatura leggibile da un dispositivo automatico apposta sul file stesso.

8.2a Attestati di provenienza firmati (C2PA Content Credentials)

• Oltre ai metadati di cui al punto 8.2, forniamo immagini generate e modificate dall’IA (JPEG, PNG, WebP), video (MP4) e file audio (MP3, WAV) con una prova di provenienza firmata crittograficamente secondo lo standard aperto della Coalition for Content Provenance and Authenticity (C2PA). Le piattaforme e gli strumenti di verifica possono leggere questa prova e visualizzarla, ad esempio, come simbolo «CR» (Content Credentials).
• Il 18 ottobre 2026, la C2PA ha confermato PostMaestro.ai come «Generator Product» conforme (Assurance Level 1) nell’ambito del proprio Programma di Conformità.
• Contenuto della dichiarazione: nome e versione del software («PostMaestro.ai»), tipo di creazione (generato interamente dall’IA o modificato dall’IA), nome del sistema o modello di IA utilizzato, data di creazione, indicazione dell’eventuale inserimento di un contrassegno visibile che identifichi l’IA, nonché la firma digitale. In caso di elaborazioni e di contenuti multimediali forniti come modello al sistema di IA (ad es. foto di riferimento, di prodotti o di persone, logo), la dichiarazione deve includere i nomi dei file, il formato dei file e un valore hash crittografico. Se un file di origine è già provvisto di una dichiarazione C2PA, questa viene ripresa. Le anteprime dei file di origine non vengono incorporate.
• Non sono inclusi il nome, l’indirizzo e-mail o gli identificativi dell’account dell’utente o della sua azienda. I nomi dei file dei modelli vengono riportati così come sono stati caricati; non assegnare nomi di file contenenti dati personali (ad es. «max-mustermann.jpg») se questi non devono comparire nel mezzo di comunicazione pubblicato.
• La firma viene apposta con un certificato di Nexaluna AI Solutions UG (a responsabilità limitata). La chiave privata di firma è conservata nell’AWS Key Management Service (regione di Francoforte), dove è protetta da moduli di sicurezza hardware e non esce mai da tale servizio. Il fatto che uno strumento di verifica indichi o meno che il certificato è attendibile dipende dal fatto che conosca l’autorità di certificazione emittente (ad es. tramite la C2PA Trust List).
• Marcatura temporale: affinché la firma rimanga verificabile anche dopo la scadenza del certificato, è possibile apporvi la marcatura temporale fornita da un servizio di marcatura temporale. In questo caso viene trasmesso esclusivamente un valore hash, né il file né i dati personali.
• La prova fa parte del file e viene pubblicata insieme ad esso. Nel caso del livello «Nessuna etichettatura UE», non viene incorporata alcuna prova di origine. Le piattaforme che ricodificano o convertono i file durante il caricamento possono rimuovere l’attestato; un contrassegno visibile impresso rimane inalterato (vedi 8.3).

Base giuridica: art. 6, comma 1, lett. c del GDPR in combinato disposto con l’art. 50, comma 2 del Regolamento (UE) 2024/1689 (contrassegno leggibile da macchina dei contenuti generati dall’IA) nonché l’art. 6, comma 1, lettera b) del GDPR (fornitura della funzione di etichettatura concordata contrattualmente).

8.3 I vostri obblighi in qualità di gestori in materia di deepfake e di etichettatura UE visibile

• Se pubblicate contenuti generati da PostMaestro.ai, ai sensi dell’EU AI Act siete considerati “gestori” (Operator). L’obbligo di divulgazione di cui all’art. 50, comma 4, dell’EU AI Act relativo a contenuti visivi, video e audio che presentano una somiglianza ingannevole con persone, luoghi o eventi reali («deepfake») si applica direttamente a voi.
• Marchi ufficiali dell’UE: per adempiere a tale obbligo, PostMaestro.ai mette a disposizione i marchi ufficiali della Commissione europea, che vengono inseriti direttamente nel materiale grafico sotto forma di grafica vettoriale:
• 1. «AI GENERATED» (icona a forma di pillola): per immagini e contenuti multimediali generati interamente in modo sintetico.
• 2. «AI MODIFIED» (Pill-Badge): per immagini o foto reali esistenti che sono state modificate o ritoccate tramite IA generativa.
• 3. “AI” (icona rotonda): per i contenuti vocali sintetici e come soluzione alternativa per formati di immagine estremamente stretti o anteprime di piccole dimensioni, in cui il testo risulterebbe illeggibile.
• Tre livelli di etichettatura: prima della pubblicazione, nel menu UE è possibile scegliere tra tre livelli per ogni mezzo di comunicazione:
• • Badge IA + metadati (standard per i contenuti generati): badge ottico UE impresso, metadati di file XMP/IPTC leggibili da macchina e certificato di provenienza C2PA firmato (vedi 8.2a).
• • Solo metadati: metadati di provenienza XMP/IPTC completi e leggibili da macchina e prova di provenienza C2PA presenti nel file, ma senza badge visibile nell’immagine.
• • Nessuna etichettatura UE: rinuncia totale ai badge visibili, rimozione dei metadati relativi alla provenienza dell’IA dal file e nessuna prova di provenienza C2PA.
• Blocchi obbligatori per i contenuti sensibili: per le immagini fotorealistiche di persone (classe di contenuto A1) e le voci sintetiche (classe di contenuto V1), l’indicatore visibile è obbligatorio per legge. Finché l’interruttore EU-AI-Act del marchio è attivo per la rispettiva lingua, il sistema disattiva per queste classi le opzioni «Solo metadati» e «Nessuna etichetta UE» («LABEL_REQUIRED»). Se l’interruttore per una lingua è disattivato perché i contenuti non sono destinati al mercato dell’UE, l’utente può passare a «Solo metadati»; l’etichetta leggibile da macchina rimane sempre attiva («METADATA_REQUIRED»). L’utente è responsabile del rispetto degli obblighi di etichettatura nel rispettivo mercato di destinazione.
• È vostro obbligo verificare, sotto la propria responsabilità, prima della pubblicazione, se la modalità scelta soddisfi i requisiti dell’EU AI Act e le linee guida della rispettiva piattaforma di destinazione.

8.3a Colori dei badge, verifica del contrasto e composizione

• Affinché il contrassegno obbligatorio non comprometta la qualità visiva del vostro contenuto e rimanga al contempo leggibile, PostMaestro.ai offre opzioni di personalizzazione flessibili:
• • Varianti di colore disponibili: nel menu EU è possibile scegliere tra cinque varianti: “Auto” (predefinita), “Nero”, “Bianco”, “Nero trasparente al 50%” e “Bianco trasparente al 50%”.
• • Modalità predefinita «Auto»: seleziona automaticamente una placca semitrasparente al 50% con il contrasto ottimale rispetto allo sfondo – bianco al 50% sugli angoli scuri, nero al 50% sugli angoli chiari.
• • Pianificazione della composizione basata sull’IA: I nostri agenti di prompt (Visual Agent, Thumbnail Agent, Visual Creator), durante la creazione dei prompt, pianificano in modo lungimirante un angolo dell'immagine tranquillo e poco dettagliato (disclosureCorner), privo di testi, volti o loghi, e suggeriscono un colore adeguato (disclosureStyle).
• • Verifica algoritmica del contrasto: durante il rendering, il sistema misura la luminanza effettiva e la deviazione standard dell’angolo di destinazione. Se la luminosità effettiva dell’immagine si discosta dal valore suggerito dall’agente, il renderer corregge automaticamente il colore per evitare rappresentazioni illeggibili (ad es. un badge scuro su un’ombra scura).

8.3b File caricati dall'utente (“Nessuna immagine generata dall'IA”) e ciclo di vita delle versioni non contrassegnate

• Nessuna classificazione errata dei contenuti reali: i file caricati dall’utente o i contenuti reali provenienti dalla Content Library vengono riconosciuti dal sistema come non generati dall’IA (aiOrigin: false) e contrassegnati nell’interfaccia con uno stato grigio neutro come “Nessuna immagine generata dall’IA”. Per questi contenuti multimediali, per impostazione predefinita non viene applicato alcun contrassegno AI.
• Etichettatura volontaria con IA: se lo desiderate, potete anche aggiungere volontariamente un contrassegno UE e dei metadati ai vostri file caricati (ad esempio, in caso di linee guida interne all'azienda o di elaborazioni ibride). Questo contrassegno volontario può essere rimosso in qualsiasi momento.
• Versione temporanea non contrassegnata (Clean Source): Per consentirvi di passare in modo flessibile da una modalità all’altra (“Badge + metadati”, “Solo metadati”, “Nessuna etichettatura”) fino al momento della pubblicazione, PostMaestro.ai salva, durante la fase di bozza, una versione grezza non etichettata dell’immagine in un archivio protetto.
• Cancellazione irrevocabile dopo la pubblicazione: non appena un contributo viene pubblicato (stato “published”), entra in funzione il nostro sistema di pulizia automatica dei dati (post-media-cleanup): tutte le bozze non contrassegnate vengono irrevocabilmente cancellate dai nostri server. Lo stato di pubblicazione del contributo viene fissato in modo permanente, in modo che in seguito non sia possibile rimuovere alcun contrassegno senza che ciò venga notato.

Periodo di conservazione: le bozze non contrassegnate rimangono nei nostri sistemi solo fino al momento della pubblicazione o fino alla cancellazione della bozza del contributo.

8.4 Testi generati dall'intelligenza artificiale e responsabilità editoriale

• Per quanto riguarda i testi, l’articolo 50 dell’EU AI Act ha una portata nettamente più ristretta rispetto a quella prevista per immagini, audio e video. L’obbligo di divulgazione sussiste solo se sono soddisfatte tutte e tre le seguenti condizioni:
• 1. Il testo è stato generato o modificato dall'intelligenza artificiale.
• 2. Il testo viene pubblicato.
• 3. La pubblicazione ha lo scopo di informare l'opinione pubblica su questioni di interesse pubblico, quali notizie, prese di posizione politiche o sociali e contributi al dibattito pubblico.
• L'obbligo di indicazione non si applica se il contenuto è stato sottoposto a verifica umana o a controllo editoriale e se la responsabilità editoriale della pubblicazione è assunta da una persona fisica o giuridica.
• Non esiste un obbligo generale di indicazione per ogni testo generato dall'intelligenza artificiale. Chi utilizza l'intelligenza artificiale come strumento di supporto, verifica i testi dal punto di vista redazionale e ne assume personalmente la responsabilità, di norma non è soggetto ad alcun obbligo aggiuntivo di indicazione.
• PostMaestro.ai è progettato proprio per questo: i testi generati sono semplici suggerimenti. Prima della programmazione o della pubblicazione, richiediamo una conferma esplicita che abbiate verificato il testo e che ve ne assumiate la responsabilità editoriale. Registriamo tale conferma indicando l'ora, l'account utente e la versione del testo, in modo che l'eccezione rimanga documentabile.
• La nota nell'applicazione recita: «Questo testo è un suggerimento. Si prega di verificarlo prima della pubblicazione. Con la verifica, l'utente si assume la responsabilità editoriale».
• Senza tale verifica, non è consentito pubblicare i testi generati come contenuti di cui si assume la responsabilità editoriale; in tal caso può trovare applicazione l’obbligo di divulgazione ai sensi dell’art. 50, comma 4, dell’EU AI Act.

8.5 Nessun riconoscimento delle emozioni e nessuna classificazione biometrica

• PostMaestro.ai non utilizza sistemi di riconoscimento delle emozioni e non ricava emozioni, stati d'animo o intenzioni dai dati biometrici.
• Non effettuiamo alcuna classificazione biometrica, nessun riconoscimento facciale, nessuna identificazione biometrica né alcun rilevamento di caratteristiche protette quali l'origine etnica, l'orientamento politico, la religione, l'appartenenza sindacale, lo stato di salute o l'orientamento sessuale.
• Le funzioni di valutazione, quali Idea Validation, Brand Analyser o le analisi delle prestazioni, si riferiscono esclusivamente a contenuti, dati relativi ai marchi e alla copertura, e non a persone né a caratteristiche biometriche.
• Gli obblighi di informazione previsti dall’art. 50, comma 3, dell’EU AI Act per i sistemi di riconoscimento delle emozioni e di classificazione biometrica non trovano quindi applicazione nel nostro caso.

8.6 Usi vietati: immagini a carattere intimo senza consenso e immagini di abusi su minori

• L'articolo 5 dell'EU AI Act vieta i sistemi di IA il cui risultato ragionevolmente prevedibile sia costituito da rappresentazioni intime non consensuali (NCII) o da rappresentazioni di abusi sessuali su minori (CSAM). In qualità di fornitori di uno strumento generico per la creazione di immagini e video, valutiamo questo rischio di abuso già nella fase di progettazione e prevediamo misure tecniche di protezione.
• Misure di protezione adottate:
• • Filtri di input che bloccano i prompt pertinenti già prima dell’attivazione dei modelli di immagini e video
• • I filtri di output e le impostazioni di sicurezza dei fornitori di modelli utilizzati
• • Blocco dei contenuti rivolti a minori in contesti a sfondo sessuale o che ritraggono immagini intime di persone identificabili
• • Blocco delle funzioni “Persona” e “Voice” senza il consenso documentato dell’interessato (cfr. sezione 5.9)
• • Registrazione delle richieste bloccate ai fini del rilevamento degli abusi, nonché la possibilità di sospendere gli account interessati
• Qualsiasi utilizzo della piattaforma per tali scopi è severamente vietato e comporta l'immediata sospensione dell'account nonché, in caso di indizi di reati, il ricorso alle autorità competenti.
• Segnalare un abuso: voi e terzi potete segnalare in qualsiasi momento eventuali violazioni all'indirizzo info@nexaluna.ai indicando nell'oggetto «Segnalare un abuso dell'IA». Esamineremo le segnalazioni ricevute in via prioritaria e ne confermeremo la ricezione.
• Documentiamo internamente la nostra valutazione dei rischi effettuata nella fase di progettazione, i filtri utilizzati e il trattamento delle segnalazioni, e li presentiamo su richiesta delle autorità competenti.

8.7 Ripartizione dei ruoli: fornitori e gestori

• Il fornitore, ai sensi dell’EU AI Act, è Nexaluna AI Solutions UG (a responsabilità limitata) per il sistema di IA PostMaestro.ai. Siamo soggetti agli obblighi del fornitore, in particolare all’indicazione leggibile da dispositivi automatici delle pubblicazioni ai sensi dell’art. 50, comma 2, e alla divulgazione dell’interazione con l’IA ai sensi dell’art. 50, comma 1.
• Si è considerati gestori non appena si utilizza la piattaforma sotto la propria responsabilità e si pubblicano i contenuti generati. Si è tenuti ad adempiere agli obblighi dei gestori, in particolare all’obbligo di divulgazione ai sensi dell’art. 50, comma 4, in caso di deepfake e di testi di interesse pubblico.
• I modelli di base utilizzati provengono da terzi (cfr. sezione 7). I relativi fornitori sono i fornitori dei rispettivi modelli di IA; noi siamo i fornitori del sistema di IA basato su di essi.
• Teniamo internamente un registro di tutti i modelli utilizzati con la rispettiva assegnazione dei ruoli e lo aggiorniamo in caso di modifiche.
• Per quanto riguarda le competenze in materia di IA ai sensi dell’articolo 4 dell’EU AI Act, formiamo i nostri collaboratori sull’utilizzo dei sistemi di IA impiegati e documentiamo i corsi di formazione.

8.8 Vigilanza e reclami

• A partire dal 29 luglio 2026, l'Autorità federale delle reti è l'autorità competente per la vigilanza sul mercato, il punto di contatto centrale e l'ufficio reclami per l'AI Act dell'UE in Germania.
• Agenzia federale delle reti, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• È possibile presentare in qualsiasi momento reclami relativi alla trasparenza dell'IA su quel sito. Vi preghiamo di contattarci preventivamente all'indirizzo info@nexaluna.ai, in modo da poter chiarire immediatamente la vostra richiesta.