Informativa sull'uso dell'Intelligenza Artificiale – VoiceMail

1. Premessa

La presente informativa descrive le modalità di utilizzo di sistemi di intelligenza artificiale (AI) all'interno del servizio VoiceMail, fornito da INVESTIMENTO DIGITALE SRL, in conformità al Regolamento (UE) 2016/679 ("GDPR") e alla normativa italiana applicabile.

L'obiettivo è garantire la massima trasparenza verso l'utente in merito al funzionamento delle funzionalità basate su intelligenza artificiale e ai fornitori realmente coinvolti.

2. Titolare del Trattamento

Il Titolare del trattamento dei dati personali è:
INVESTIMENTO DIGITALE SRL
Sede legale: Via Corletto 2/C, 41043 Formigine (MO), Italia
P. IVA / C.F.: 03985080369
PEC: investimentodigitalesrl@pec.it
(di seguito, il "Titolare")

3. Fornitori di Intelligenza Artificiale Utilizzati

Il servizio VoiceMail integra modelli di intelligenza artificiale di terze parti tramite le rispettive API, oltre a un'infrastruttura di modelli aperti gestita direttamente dal Titolare. Non vengono addestrati o modificati modelli proprietari sui dati degli utenti.

Fornitore	Funzione	Paese
Anthropic (Claude)	Motore generativo principale: bozze di risposta, composizione nuove email, revisione testi, riconoscimento dell'intento	USA
OpenAI	Ricerca semantica interna sui contenuti (embeddings) e riserva secondaria per la trascrizione vocale, quando l'infrastruttura primaria non è disponibile	USA
Infrastruttura AI self-hosted del Titolare	Generazione dei profili AI, riconoscimento testo/immagini dei documenti allegati (OCR), trascrizione vocale primaria	Germania (UE) — server Hetzner gestito direttamente dal Titolare, stesso fornitore del server applicativo principale

3bis. Backend Vettoriale per la Ricerca Semantica (RAG)

Per la ricerca semantica sui "profili AI" e sui relativi documenti allegati, il servizio utilizza un indice vettoriale (Qdrant) opzionale, che gira su infrastruttura self-hosted già indicata al §3 (stesso server, non un nuovo fornitore esterno). In alternativa, la ricerca può appoggiarsi al database applicativo standard, a seconda di una configurazione tecnica interna.

Quando un utente cancella un singolo profilo AI, o l'intero account, i relativi embedding vettoriali (chunk di testo e vettori RAG) vengono rimossi in modo esplicito e verificato nel codice.

4. Funzionalità che Utilizzano l'Intelligenza Artificiale

All'interno del servizio VoiceMail, l'intelligenza artificiale può essere utilizzata per:

• trascrizione di input vocali (voice-to-text);
• generazione di bozze di risposta alle email e di nuove email;
• revisione, riformulazione e miglioramento dei contenuti testuali;
• sintesi del contesto di un contatto sulla base dello storico email;
• generazione e aggiornamento dei "profili AI" configurati dall'utente;
• ricerca semantica nei contenuti (ricerca avanzata).

L'utilizzo delle funzionalità AI avviene esclusivamente su iniziativa dell'utente. Ogni bozza generata richiede sempre un'azione esplicita dell'utente per essere inviata: il sistema non invia mai email in autonomia.

5. Tipologie di Dati Coinvolti

A seconda delle funzionalità attivate, possono essere trattati:

• contenuti testuali delle email selezionate dall'utente, inclusi allegati testuali;
• porzioni di testo o istruzioni inserite manualmente dall'utente;
• dati vocali forniti volontariamente tramite dettatura: il file audio grezzo viene cancellato subito dopo la trascrizione;
• informazioni contestuali (es. fino a 12 email storiche di un contatto) necessarie alla generazione della risposta;
• informazioni inserite nei profili AI e documenti caricati.

Il file audio grezzo viene cancellato subito dopo la trascrizione. Il testo derivato dalla dettatura viene incluso in un report per singola interazione AI, cancellato insieme agli altri dati personali in caso di cancellazione dell'account (web, mobile o amministrativa).

6. Minimizzazione e Anonimizzazione dei Dati

Prima di inviare testo ai fornitori di intelligenza artificiale esterni, il Titolare applica un meccanismo di anonimizzazione che tenta di sostituire i dati personali riconosciuti (es. nomi, indirizzi email, dati aziendali) con placeholder generici. Questa misura risponde ai principi di minimizzazione dei dati del GDPR e agli obblighi di trasparenza e gestione del rischio previsti dal Regolamento (UE) 2024/1689 ("AI Act").

Questo meccanismo si applica in modo differenziato: è pienamente operativo sul testo, mentre immagini, PDF e audio non sono anonimizzabili con la stessa tecnica — per l'audio, in particolare, l'invio al fornitore di riserva (OpenAI) è bloccato quando è attiva la modalità di protezione rafforzata, proprio perché il contenuto non può essere anonimizzato.

7. Modalità di Funzionamento

Quando l'utente utilizza una funzionalità AI, il sistema invia ai fornitori indicati al §3 solo i dati necessari all'elaborazione richiesta (applicando, ove possibile, l'anonimizzazione descritta al §6), e restituisce l'output generato all'interno dell'interfaccia VoiceMail.

8. Natura dei Contenuti Generati

I contenuti generati dall'intelligenza artificiale:

• hanno natura di supporto/bozza;
• non costituiscono consulenza legale, professionale o vincolante;
• possono contenere imprecisioni o errori.

L'utente resta sempre responsabile della verifica, modifica e decisione finale sull'utilizzo dei contenuti generati, prima di ogni invio a terzi.

9. Assenza di Decisioni Automatizzate

Il servizio VoiceMail non adotta processi decisionali automatizzati con effetti giuridici o significativi sull'utente ai sensi dell'art. 22 del GDPR: l'AI produce sempre e solo bozze soggette a revisione umana.

10. Utilizzo dei Dati per Addestramento dei Modelli

Il Titolare non esegue alcun addestramento (training) o fine-tuning di modelli di intelligenza artificiale sui dati degli utenti; le funzionalità AI si basano su modelli general-purpose di terzi (Anthropic, OpenAI) e su un modello open-weight self-hosted (Qwen), utilizzati tramite API senza modificarne i pesi.

Verifica per fornitore, condotta direttamente sul pannello amministrativo di ciascuno:

• Anthropic: confermato. L'organizzazione non aderisce al Development Partner Program (unico canale per cui Anthropic userebbe le sessioni per addestrare i modelli) né alla condivisione facoltativa del feedback utenti — entrambi risultano disattivati sul pannello di amministrazione. Sui Commercial Terms attualmente in vigore, i dati trasmessi via API non vengono utilizzati per l'addestramento.
• OpenAI: confermato. Per policy pubblica standard delle API a pagamento (diversa dai prodotti consumer ChatGPT), i dati non vengono utilizzati per l'addestramento dei modelli. Il DPA che formalizza contrattualmente questo e altri impegni è stato eseguito il 26/08/2026 (organizzazione INVESTIMENTO DIGITALE SRL, P.IVA IT03985080369), firmato elettronicamente dal legale rappresentante.

11. Trasferimenti di Dati verso Paesi Extra UE

L'utilizzo di Anthropic e OpenAI comporta il trasferimento di alcuni dati verso gli Stati Uniti. Tali trasferimenti richiedono garanzie adeguate ai sensi del GDPR (tipicamente Clausole Contrattuali Standard).

• Anthropic: confermato. Le Clausole Contrattuali Standard sono incorporate automaticamente nei Commercial Terms of Service, vincolanti sull'organizzazione (INVESTIMENTO DIGITALE SRL, P.IVA IT03985080369) fin dalla creazione dell'account — nessun documento separato da firmare. Verificato direttamente sul pannello il 26/08/2026. I dati di input/output sono conservati da Anthropic per 30 giorni (impostazione predefinita dell'organizzazione, non Zero Data Retention) per finalità di sicurezza.
• OpenAI: confermato il 26/08/2026. L'organizzazione API risultava intestata a un'entità legale precedente (Garol Management SRL), corretta in INVESTIMENTO DIGITALE SRL (dati fiscali e indirizzo verificati). Il DPA con le Clausole Contrattuali Standard incluse è stato eseguito, firmato elettronicamente dal legale rappresentante.
• Sentry: confermato il 26/08/2026. La "Data Processing Amendment" di Sentry (Functional Software, Inc.), che include le Clausole Contrattuali Standard per gli eventuali trasferimenti verso gli USA, è stata accettata direttamente sul pannello (versione 5.1.0). I dati applicativi sono comunque conservati nella regione UE (Data Storage Region: European Union).

Hetzner (Germania, UE) non comporta trasferimenti extra-UE: il DPA ai sensi dell'art. 28 GDPR è stato creato il 26/08/2026 direttamente sul pannello Hetzner, con report di audit TÜV Rheinland annuale a conferma delle misure di sicurezza (art. 32 GDPR) — vedi Pagina Sub-responsabili.

12. Base Giuridica del Trattamento

Il trattamento dei dati personali nell'ambito delle funzionalità AI si basa sull'esecuzione del contratto ai sensi dell'art. 6, par. 1, lett. b del GDPR, in quanto le funzionalità AI fanno parte del servizio richiesto e attivato dall'utente.

13. Conservazione dei Dati

I dati utilizzati per l'elaborazione tramite intelligenza artificiale sono conservati secondo i tempi indicati nella Privacy Policy e nella Politica di cancellazione ed esportazione dei dati, per il tempo strettamente necessario alle finalità per cui sono stati raccolti.

14. Trasparenza sull'Uso dell'AI verso i Destinatari delle Email

Quando l'utente invia a un terzo un'email la cui bozza è stata generata con il supporto dell'intelligenza artificiale, resta responsabilità dell'utente stesso valutare l'opportunità di segnalarlo al destinatario, ove richiesto da normative applicabili in materia di trasparenza sui contenuti assistiti da AI.

15. Diritti dell'Utente

L'utente può esercitare in qualsiasi momento i diritti previsti dagli articoli 15–22 del GDPR, tra cui accesso, rettifica, cancellazione, limitazione e opposizione, contattando il Titolare tramite PEC: investimentodigitalesrl@pec.it.

16. Aggiornamenti dell'Informativa

La presente informativa può essere aggiornata nel tempo per riflettere evoluzioni normative o funzionali del servizio, incluse eventuali modifiche ai fornitori di intelligenza artificiale utilizzati. La data e il numero di versione di aggiornamento sono indicati in alto.