Legal & Compliance

1Chi siamo e a chi si rivolge il servizio

Emawerly S.r.l., Via Caduti di Cefalonia 2, 40125 Bologna (Italia) · P.IVA e C.F. 04289341200 · PEC pec@pec.emawerly.com · e-mail contact@emawerly.com.

Il servizio è destinato esclusivamente a imprese, professionisti ed enti che agiscono per scopi connessi alla propria attività (B2B). Non è offerto a consumatori. Registrandoti dichiari di avere il potere di vincolare l’organizzazione che rappresenti (il «Cliente»).

2Documenti che compongono il contratto

Il contratto è formato da: (a) questi Termini; (b) l’eventuale ordine o piano selezionato; (c) il Data Processing Agreement (DPA); (d) la Security Policy; (e) la Trasparenza AI; (f) l’elenco dei sub-responsabili. In caso di contrasto prevale, nell’ordine, il DPA per i dati personali, poi l’ordine, poi questi Termini.

3Il servizio

Emawerly è una piattaforma cloud (SaaS) che riunisce moduli per ordini, spedizioni e tracking, resi, magazzino, marketing, CRM, analisi dati e Ema AI, l’assistente AI agentico. Emawerly è un integratore tecnologico: collega i sistemi e i servizi che il Cliente già usa (e-commerce, marketplace, corrieri, piattaforme pubblicitarie, sistemi di pagamento e fatturazione) tramite integrazioni API.

I moduli e le funzioni disponibili dipendono dal piano scelto. Possiamo introdurre miglioramenti e nuove funzioni; se una modifica riduce in modo sostanziale il servizio ti avvisiamo con almeno 30 giorni di anticipo.

4Account, prova gratuita e accesso

• L’account è personale e le credenziali vanno custodite con cura. Il Cliente risponde delle attività svolte con le credenziali dei propri utenti.
• La prova gratuita dura 15 giorni, senza obbligo di acquisto. Al termine della prova il servizio prosegue solo con l’attivazione di un piano.
• Il Cliente indica un amministratore e mantiene aggiornati i dati di contatto e di fatturazione.
• Possiamo sospendere un account in caso di uso illecito, rischio per la sicurezza o mancato pagamento, dando ove possibile preavviso.

5Piani, prezzi e pagamenti

• I prezzi dei piani sono quelli indicati nella pagina Prezzi al momento dell’acquisto, al netto di IVA e imposte.
• Il canone è fatturato in anticipo con la periodicità del piano e si rinnova automaticamente, salvo disdetta dal pannello di controllo prima del rinnovo.
• I pagamenti sono gestiti da Stripe; non conserviamo i dati completi delle carte.
• Le fatture sono emesse in formato elettronico. Eventuali moduli a consumo o servizi aggiuntivi sono indicati prima dell’attivazione.
• Le tariffe dei corrieri e dei servizi di terzi restano regolate dai contratti che il Cliente ha con tali soggetti: Emawerly non ne è parte.
• In caso di ritardo nei pagamenti possiamo applicare gli interessi previsti dal D.Lgs. 231/2002 e sospendere il servizio dopo un sollecito.

6Uso consentito

Il Cliente si impegna a usare il servizio nel rispetto della legge e dei diritti di terzi. È vietato in particolare:

• caricare dati o contenuti illeciti, o trattare dati personali senza una base giuridica valida;
• tentare accessi non autorizzati, aggirare i limiti tecnici, interferire con la sicurezza o con la disponibilità del servizio;
• rivendere o sub-licenziare il servizio senza accordo scritto (il Programma Partner ha un contratto dedicato);
• inviare comunicazioni commerciali in violazione della normativa su e-mail marketing e consenso;
• usare Ema AI per scopi vietati dall’AI Act o per le decisioni di alto rischio indicate nella pagina Trasparenza AI.

7Dati del Cliente e protezione dei dati personali

I dati che il Cliente carica o genera nella piattaforma restano di sua proprietà («Dati del Cliente»). Concediamo a Emawerly una licenza limitata a trattarli per erogare il servizio. Per i dati personali contenuti nei Dati del Cliente (ad esempio i dati dei destinatari delle spedizioni) il Cliente è titolare del trattamento ed Emawerly è responsabile del trattamento ai sensi dell’art. 28 GDPR, secondo il DPA, che costituisce parte integrante di questi Termini. Per i dati di cui Emawerly decide finalità e mezzi (account, fatturazione, sito) si applica la Privacy Policy.

8Ema AI e uso dell’intelligenza artificiale

Ema AI è un assistente che si appoggia a modelli di IA di terzi (Anthropic, OpenAI, Google Gemini, xAI Grok). Le risposte sono generate automaticamente e possono contenere errori: il Cliente deve verificare le informazioni rilevanti prima di agire. Le azioni che incidono su dati o sistemi sono eseguite entro i permessi assegnati e, dove configurato, dopo approvazione umana. Non usiamo i Dati del Cliente per addestrare modelli di IA nostri; le condizioni dei fornitori dei modelli sono descritte nella pagina Trasparenza AI.

9Integrazioni di terze parti

Le integrazioni con servizi di terzi (e-commerce, marketplace, corrieri, Google Ads, Meta, sistemi di pagamento) funzionano solo se il Cliente le attiva e dispone di un valido rapporto con il terzo. Il Cliente autorizza Emawerly ad accedere a tali servizi per suo conto. Emawerly non risponde di interruzioni, modifiche di API o limitazioni imposte dai terzi, ma si adopera per adeguare tempestivamente le integrazioni.

10Proprietà intellettuale

Piattaforma, software, marchi, interfacce, documentazione e materiali formativi sono e restano di Emawerly o dei suoi licenzianti. Al Cliente è concesso un diritto non esclusivo, non trasferibile e revocabile di usare il servizio per la durata del contratto. Eventuali feedback e suggerimenti possono essere usati liberamente da Emawerly per migliorare il servizio.

11Disponibilità, assistenza e sicurezza

Eroghiamo il servizio con diligenza professionale e misure di sicurezza descritte nella Security Policy. Non garantiamo un servizio privo di interruzioni; le manutenzioni programmate sono comunicate in anticipo quando possibile. Livelli di servizio specifici (SLA) e assistenza prioritaria sono validi solo se previsti nel piano o in un accordo scritto.

12Garanzie e limitazione di responsabilità

• Salvo quanto previsto dalla legge, il servizio è fornito «come disponibile» e non offriamo garanzie implicite di idoneità a uno scopo specifico.
• Nessuna limitazione si applica alla responsabilità per dolo o colpa grave, né per i casi in cui la legge non consente di limitarla (art. 1229 c.c.).
• Entro i limiti di legge, la responsabilità complessiva di Emawerly verso il Cliente per ogni evento è limitata ai canoni pagati nei 12 mesi precedenti l’evento.
• Emawerly non risponde di danni indiretti, mancati guadagni o perdita di opportunità, né di danni derivanti da servizi di terzi, da uso non conforme o da decisioni prese sulla base di contenuti generati dall’IA senza verifica.

13Durata, recesso e cessazione

• Il contratto dura per il periodo del piano scelto e si rinnova automaticamente. Il Cliente può disdire in qualsiasi momento dal pannello di controllo, con effetto alla fine del periodo già pagato.
• Ciascuna parte può risolvere il contratto per grave inadempimento non sanato entro 15 giorni dalla diffida scritta.
• Alla cessazione il Cliente può esportare i propri dati per 30 giorni; poi li cancelliamo secondo il DPA, salvo obblighi di conservazione di legge.
• Diritto di cambiare fornitore (Reg. UE 2023/2854, Data Act): il Cliente può chiedere il passaggio a un altro fornitore di servizi dati con preavviso massimo di 2 mesi e assistenza per la migrazione dei dati esportabili. Non applichiamo costi di cambio superiori ai costi effettivi.

14Modifiche ai Termini

Possiamo aggiornare questi Termini per ragioni normative, tecniche o commerciali. Le modifiche sostanziali sono comunicate con almeno 30 giorni di preavviso via e-mail o in piattaforma. Se il Cliente non le accetta può recedere senza penali prima che entrino in vigore.

15Legge applicabile e foro competente

Il contratto è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il Foro di Bologna, salvo diversa norma inderogabile. Prima di agire in giudizio le parti si impegnano a tentare una composizione amichevole scrivendo ai contatti indicati sopra.

16Approvazione specifica (artt. 1341 e 1342 c.c.)

Il Cliente dichiara di aver letto e di approvare specificamente le clausole: Account e sospensione (4), Piani e pagamenti (5), Garanzie e limitazione di responsabilità (12), Durata, recesso e cessazione (13), Modifiche ai Termini (14), Legge applicabile e foro competente (15).

17Contatti

Emawerly S.r.l., Via Caduti di Cefalonia 2, 40125 Bologna (Italia) · P.IVA e C.F. 04289341200 · PEC pec@pec.emawerly.com · e-mail contact@emawerly.com.

Responsabile della protezione dei dati (DPO): Avv. Carmelo Prestileo, privacy@emawerly.com.

1Titolare del trattamento e DPO

Emawerly S.r.l., Via Caduti di Cefalonia 2, 40125 Bologna (Italia) · P.IVA e C.F. 04289341200 · PEC pec@pec.emawerly.com · e-mail contact@emawerly.com.

Responsabile della protezione dei dati (DPO): Avv. Carmelo Prestileo, privacy@emawerly.com.

Emawerly è titolare dei dati descritti in questa informativa. Per i dati contenuti nei Dati del Cliente (ad esempio destinatari di spedizioni) Emawerly agisce invece come responsabile del trattamento per conto del Cliente, nei limiti del DPA: in quel caso titolare è il Cliente e le richieste degli interessati vanno rivolte a lui.

2Quali dati trattiamo

• Dati di contatto e profilo: nome, cognome, e-mail, telefono, azienda, ruolo, lingua, contenuto delle richieste inviate tramite form.
• Dati di account e uso della piattaforma: credenziali (in forma cifrata), utenti e permessi, log di accesso, impostazioni, eventi di utilizzo, indirizzo IP.
• Dati di fatturazione: ragione sociale, partita IVA, indirizzo, codice destinatario/PEC, storico fatture e pagamenti (i dati della carta sono trattati da Stripe).
• Dati di navigazione e cookie: vedi la Cookie Policy.
• Dati di Academy e Partner: avanzamento nei corsi, esiti d’esame, credenziali, dati del profilo professionale pubblicato su richiesta.
• Comunicazioni: messaggi scambiati con assistenza e vendite.

Alcuni dati non sono raccolti direttamente presso di te (art. 14 GDPR): dati professionali di contatto (nome, ruolo, azienda, e-mail aziendale) provenienti da profili e campagne su LinkedIn, da fonti accessibili al pubblico (siti aziendali, registri e elenchi pubblici) o da segnalazioni di clienti e partner. In questi casi ti informiamo al primo contatto, e comunque entro un mese, indicando la fonte; puoi opporti al trattamento in ogni momento (paragrafo 8).

3Finalità e basi giuridiche

Il conferimento dei dati necessari al servizio è obbligatorio: senza di essi non possiamo attivare l’account. Quello per marketing è facoltativo.

4A chi comunichiamo i dati

I dati sono trattati da personale autorizzato e da fornitori che agiscono come responsabili del trattamento (art. 28 GDPR), elencati nella pagina Sub-responsabili: hosting (Contabo), cloud storage (AWS, Milano), pagamenti (Stripe), fatturazione elettronica (Growth System Platform S.r.l.) e, quando usi Ema AI, i fornitori di modelli di IA (Anthropic, OpenAI, Google, xAI). Possiamo inoltre comunicare dati a consulenti professionali vincolati a riservatezza, ad autorità quando previsto dalla legge e, in caso di operazioni societarie, ai soggetti coinvolti. Non vendiamo dati personali.

5Trasferimenti extra-SEE

Dove possibile i dati restano nello Spazio Economico Europeo. Se un fornitore tratta dati negli Stati Uniti o in altri Paesi terzi, il trasferimento avviene sulla base di una decisione di adeguatezza (EU-US Data Privacy Framework per i fornitori certificati) o delle Clausole Contrattuali Standard della Commissione (Decisione 2021/914), con misure supplementari quando necessarie. Puoi chiederci copia delle garanzie adottate.

6Decisioni automatizzate e intelligenza artificiale

Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente su di te (art. 22 GDPR). Con il tuo consenso, i cookie di marketing descritti nella Cookie Policy possono comportare profilazione a fini di misurazione e pubblicità; non produce effetti giuridici o analogamente significativi su di te e puoi opporti in ogni momento (paragrafo 8). Ema AI assiste gli utenti della piattaforma; le informazioni su come funziona e su come proteggiamo i dati sono nella pagina Trasparenza AI.

7Sicurezza

Adottiamo misure tecniche e organizzative adeguate (cifratura in transito e a riposo, controllo degli accessi, backup, monitoraggio) descritte nella Security Policy. In caso di violazione di dati personali notifichiamo il Garante e gli interessati nei casi e nei termini previsti dagli artt. 33 e 34 GDPR.

8I tuoi diritti

Puoi esercitare in ogni momento i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15-21 GDPR), e revocare il consenso senza pregiudicare i trattamenti già effettuati. Scrivi a privacy@emawerly.com: rispondiamo entro un mese, prorogabile di due in casi complessi. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all’autorità del tuo Stato di residenza.

Opposizione al marketing diretto. Hai il diritto di opporti in qualsiasi momento, senza motivazione, al trattamento dei tuoi dati per finalità di marketing diretto, inclusa la profilazione connessa (art. 21, par. 2 e 3, GDPR): dopo l’opposizione non li trattiamo più per tali finalità. Puoi usare il link di disiscrizione presente in ogni comunicazione, scrivere a privacy@emawerly.com o disattivare i cookie di marketing da «Preferenze cookie» nel footer.

9Minori

Il servizio è destinato a professionisti e imprese e non è rivolto a minori di 16 anni. Non raccogliamo consapevolmente dati di minori.

10Aggiornamenti

Aggiorniamo questa informativa quando cambiano i trattamenti o la normativa. La data in alto indica l’ultima versione; per le modifiche rilevanti ti avvisiamo in piattaforma o via e-mail.

1Che cosa sono i cookie

I cookie sono piccoli file di testo che il sito salva sul tuo dispositivo. Rientrano nella stessa disciplina anche tecnologie simili (local storage, pixel, identificatori del dispositivo).

2Titolare

Emawerly S.r.l., Via Caduti di Cefalonia 2, 40125 Bologna (Italia) · P.IVA e C.F. 04289341200 · PEC pec@pec.emawerly.com · e-mail contact@emawerly.com.

Responsabile della protezione dei dati (DPO): Avv. Carmelo Prestileo, privacy@emawerly.com.

3Categorie di cookie

Stato attuale: il sito utilizza cookie tecnici. Cookie analitici e di marketing non vengono installati senza il tuo consenso preventivo.

Elenco dei cookie e delle tecnologie simili presenti sul sito pubblico. I cookie di marketing sono installati solo dopo il tuo consenso; LinkedIn li imposta quando acconsenti ai cookie di marketing. L’elenco completo e aggiornato dei cookie di LinkedIn è pubblicato sul suo sito.

4Cookie di terze parti

Quando attivi, previo consenso, strumenti di terzi (ad esempio LinkedIn, Google Ads o Meta) tali soggetti possono impostare propri cookie ed operare come titolari autonomi. Trovi le loro informative sui rispettivi siti. Le integrazioni con tali servizi collegate dal Cliente alla piattaforma non comportano l’installazione di cookie sul sito pubblico.

5Come gestire le preferenze

• Al primo accesso puoi accettare, rifiutare o personalizzare le categorie non tecniche; il rifiuto è semplice quanto l’accettazione.
• Puoi cambiare idea in qualsiasi momento dal link «Preferenze cookie» nel footer. Il consenso è richiesto di nuovo dopo 6 mesi o in caso di modifiche sostanziali.
• Puoi anche bloccare o cancellare i cookie dalle impostazioni del browser (Chrome, Firefox, Safari, Edge): disattivare i cookie tecnici può impedire il funzionamento di alcune parti del servizio.

6Trattamento dei dati e diritti

I dati raccolti tramite cookie sono trattati secondo la Privacy Policy. Puoi esercitare i diritti GDPR scrivendo a privacy@emawerly.com.

7Aggiornamenti

Aggiorniamo questa policy quando cambiano gli strumenti utilizzati. L’elenco puntuale dei cookie, con nome, fornitore, finalità e durata, è nella tabella del paragrafo 3.

1Approccio e governance

La sicurezza è una responsabilità della direzione. Operiamo con un approccio basato sul rischio: individuiamo asset, minacce e vulnerabilità, assegniamo responsabilità e rivediamo le misure almeno una volta l’anno e dopo ogni incidente rilevante. Il DPO supervisiona la protezione dei dati personali.

2Allineamento a NIS2

Come fornitore di servizi digitali ai clienti, adottiamo misure coerenti con l’art. 21 della Direttiva NIS2 (art. 24 D.Lgs. 138/2024) anche a supporto dei clienti soggetti NIS2, che devono gestire la sicurezza della catena di fornitura. Le aree coperte:

3Infrastruttura e localizzazione dei dati

I server sono ospitati presso Contabo GmbH (Germania, UE). I file e i backup sono conservati su AWS, regione di Milano (eu-south-1). Gli ambienti sono segregati per cliente a livello logico (isolamento multi-tenant) e gli ambienti di sviluppo, test e produzione sono separati.

4Cifratura

• In transito: TLS 1.2 o superiore per tutte le connessioni.
• A riposo: cifratura dei dati e dei backup; le password sono conservate solo come hash con salt.
• Segreti e chiavi API gestiti in modo separato dal codice e ruotati.

5Controllo degli accessi

• Accesso per ruolo (RBAC) e minimo privilegio; revisione periodica dei permessi.
• Autenticazione a più fattori per gli accessi amministrativi all’infrastruttura.
• Registrazione degli accessi e delle azioni sensibili (audit log).
• Revoca immediata degli accessi alla cessazione del rapporto.

6Sviluppo sicuro e gestione delle vulnerabilità

• Revisione del codice, test automatici e controllo delle dipendenze prima del rilascio.
• Applicazione tempestiva delle patch di sicurezza, con priorità basata sulla gravità.
• Valutazioni di sicurezza e test di penetrazione periodici.

7Sicurezza di Ema AI e delle integrazioni

• Gli agenti operano con i soli permessi assegnati e, dove configurato, richiedono approvazione umana per le azioni sensibili.
• Misure contro prompt injection e fuga di dati tra clienti; il contesto inviato ai modelli è limitato al necessario.
• I Dati del Cliente non sono usati per addestrare modelli di IA di Emawerly.
• Le integrazioni API usano credenziali limitate all’ambito necessario, conservate cifrate e revocabili dal Cliente in qualsiasi momento.

8Continuità operativa e backup

Eseguiamo backup periodici dei dati e testiamo il ripristino. Il piano di continuità prevede obiettivi di ripristino e responsabilità definite; i dettagli sono disponibili su richiesta ai clienti nell’ambito di un accordo di riservatezza.

9Gestione degli incidenti e notifica

Monitoriamo costantemente la piattaforma. In caso di incidente applichiamo una procedura di rilevazione, classificazione, contenimento, analisi delle cause e miglioramento.

• Se un incidente coinvolge dati personali del Cliente, lo informiamo senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, per consentirgli di rispettare l’art. 33 GDPR.
• Per gli incidenti che incidono significativamente sulla disponibilità o sulla sicurezza del servizio, forniamo un primo avviso, ove possibile, entro 24 ore e aggiornamenti successivi.
• Se Emawerly è soggetta a NIS2 per il servizio interessato, effettua le notifiche al CSIRT Italia e all’ACN nei termini di legge (pre-allerta entro 24 ore, notifica entro 72 ore, relazione finale entro un mese).

10Fornitori e catena di fornitura

Scegliamo i fornitori valutando sicurezza e conformità e li vincoliamo con accordi che impongono misure equivalenti. L’elenco aggiornato è nella pagina Sub-responsabili.

11Segnalare una vulnerabilità

Se ritieni di aver trovato una vulnerabilità, scrivi a contact@emawerly.com con oggetto «Security». Ti risponderemo entro 3 giorni lavorativi. Chiediamo di agire in buona fede: non accedere a dati di altri utenti, non degradare il servizio, concederci un tempo ragionevole per rimediare prima di divulgare.

12Responsabilità del Cliente

Il Cliente protegge le credenziali dei propri utenti, attiva l’autenticazione a più fattori, assegna i permessi con criterio, revoca gli accessi di chi lascia l’organizzazione e ci segnala senza ritardo sospetti di compromissione.

13Contatti

Emawerly S.r.l., Via Caduti di Cefalonia 2, 40125 Bologna (Italia) · P.IVA e C.F. 04289341200 · PEC pec@pec.emawerly.com · e-mail contact@emawerly.com.

Responsabile della protezione dei dati (DPO): Avv. Carmelo Prestileo, privacy@emawerly.com.

1Parti, ruoli e definizioni

Il Cliente è titolare del trattamento (o responsabile, se agisce per conto di un suo cliente). Emawerly S.r.l. (Via Caduti di Cefalonia 2, 40125 Bologna (Italia), P.IVA e C.F. 04289341200) è responsabile (o sub-responsabile) del trattamento. I termini «dati personali», «trattamento», «violazione dei dati personali», «interessato» hanno il significato del GDPR. Il DPO di Emawerly è l’Avv. Carmelo Prestileo (privacy@emawerly.com).

2Oggetto, durata, natura e finalità

• Oggetto: erogazione della piattaforma Emawerly e dei moduli attivati dal Cliente.
• Durata: per tutta la durata del contratto, più il periodo di esportazione e cancellazione.
• Natura: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione anche tramite funzioni di IA, trasmissione ai servizi collegati, cancellazione.
• Finalità: gestione di ordini, spedizioni, tracking, resi, magazzino, marketing, CRM, analisi dati, fatturazione ed uso di Ema AI, come configurati dal Cliente.

3Categorie di dati e di interessati

• Interessati: clienti finali e destinatari delle spedizioni del Cliente, lead e contatti CRM, utenti e dipendenti del Cliente, referenti di fornitori e corrieri.
• Dati: anagrafici e di contatto, indirizzi di consegna, dati di ordine e spedizione, comunicazioni, identificativi online, dati di fatturazione, contenuti caricati dal Cliente.
• Il Cliente non deve caricare categorie particolari di dati (art. 9) o dati relativi a condanne penali (art. 10) salvo accordo scritto preventivo.

4Istruzioni del Cliente

Emawerly tratta i dati personali solo su istruzioni documentate del Cliente, rappresentate dal contratto, dall’uso e dalla configurazione della piattaforma. Se ritiene che un’istruzione violi la normativa, ne informa il Cliente senza ritardo. Emawerly non tratta i dati per finalità proprie e non li usa per addestrare modelli di IA.

5Riservatezza

Emawerly garantisce che le persone autorizzate al trattamento siano vincolate a riservatezza e abbiano ricevuto formazione adeguata.

6Misure di sicurezza

Emawerly applica le misure tecniche e organizzative descritte nell’Allegato II e nella Security Policy, adeguate al rischio ai sensi dell’art. 32 GDPR. Possono essere aggiornate purché non ne riducano il livello complessivo di protezione.

7Sub-responsabili

• Il Cliente autorizza in via generale il ricorso ai sub-responsabili elencati nella pagina Sub-responsabili.
• Emawerly impone ai sub-responsabili obblighi di protezione dei dati equivalenti a quelli del DPA e resta responsabile del loro operato.
• Eventuali aggiunte o sostituzioni sono comunicate con almeno 30 giorni di preavviso (e-mail o piattaforma). Il Cliente può opporsi per fondati motivi di protezione dei dati entro tale termine; se non si trova una soluzione, può recedere dal servizio interessato senza penali.

8Assistenza al Cliente

Tenuto conto della natura del trattamento, Emawerly assiste il Cliente, con misure adeguate: (a) nel rispondere alle richieste degli interessati (artt. 15-22): le richieste ricevute direttamente sono inoltrate al Cliente senza ritardo; (b) nel rispetto degli obblighi degli artt. 32-36 (sicurezza, notifica di violazioni, valutazioni d’impatto, consultazione preventiva). L’assistenza straordinaria che richieda un impegno significativo può essere soggetta a un compenso ragionevole concordato.

9Violazioni dei dati personali

Emawerly informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuta a conoscenza, di una violazione dei dati personali, fornendo le informazioni disponibili (natura, categorie e numero approssimativo di interessati, conseguenze probabili, misure adottate) e aggiornamenti successivi. La notifica non costituisce riconoscimento di responsabilità.

10Trasferimenti verso Paesi terzi

I dati sono conservati nello SEE (server in Germania, storage a Milano). Se i sub-responsabili che forniscono i modelli di IA trattano dati fuori dallo SEE, il trasferimento avviene sulla base di decisione di adeguatezza (es. EU-US Data Privacy Framework) o delle Clausole Contrattuali Standard (Decisione UE 2021/914), qui richiamate e incorporate (Modulo 2 titolare-responsabile e/o Modulo 3 responsabile-responsabile, con le opzioni e gli allegati compilati secondo questo DPA, legge italiana, foro di Bologna), con le misure supplementari necessarie.

11Audit e informazioni

Emawerly mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell’art. 28 e consente verifiche, anche tramite un revisore da questi incaricato e vincolato a riservatezza, con preavviso di almeno 30 giorni, al massimo una volta l’anno (salvo violazione) e in orari lavorativi, in modo da non compromettere la sicurezza di altri clienti. I costi sono a carico del Cliente.

12Restituzione e cancellazione

Alla cessazione del contratto il Cliente può esportare i dati nei 30 giorni successivi. Decorso tale termine Emawerly cancella i dati personali dai sistemi di produzione e, entro ulteriori 60 giorni, dai backup, salvo obblighi di conservazione previsti dal diritto UE o italiano. Su richiesta certifica per iscritto la cancellazione.

13Responsabilità, durata e legge applicabile

Per la responsabilità valgono i limiti dei Termini, fermo quanto previsto dall’art. 82 GDPR verso gli interessati. Il DPA resta in vigore finché Emawerly tratta dati per conto del Cliente. Si applica la legge italiana; foro competente Bologna.

14Allegato I · Descrizione del trattamento

15Allegato II · Misure tecniche e organizzative

• Cifratura dei dati in transito (TLS 1.2+) e a riposo; hashing delle password.
• Controllo degli accessi per ruolo, minimo privilegio, MFA per gli accessi amministrativi, audit log.
• Segregazione logica dei dati dei clienti e degli ambienti di sviluppo, test, produzione.
• Backup periodici e prove di ripristino; piano di continuità operativa.
• Gestione delle vulnerabilità e degli aggiornamenti; ciclo di sviluppo sicuro.
• Procedura di gestione e notifica degli incidenti.
• Riservatezza contrattuale e formazione del personale; selezione e controllo dei fornitori.
• Per le funzioni di IA: contesto limitato al necessario, permessi minimi per gli agenti, nessun addestramento di modelli sui dati del Cliente.

16Allegato III · Sub-responsabili

L’elenco aggiornato dei sub-responsabili autorizzati è pubblicato nella pagina Sub-responsabili.

1Sub-responsabili autorizzati

I fornitori di modelli di IA ricevono dati solo se il Cliente usa Ema AI e limitatamente al contesto necessario a rispondere alla richiesta.

2Integrazioni di terze parti attivate dal Cliente

Non sono sub-responsabili di Emawerly: sono servizi che il Cliente sceglie di collegare con proprie credenziali. Emawerly vi accede per suo conto, tramite API. Il Cliente resta vincolato ai termini di tali fornitori.

3Come ricevere gli aggiornamenti

Gli aggiornamenti dell’elenco sono comunicati ai clienti via e-mail o in piattaforma con almeno 30 giorni di preavviso. Per richiedere di essere avvisato a un indirizzo specifico, o per opporti a un nuovo sub-responsabile, scrivi a privacy@emawerly.com.

4Contatti

Emawerly S.r.l., Via Caduti di Cefalonia 2, 40125 Bologna (Italia) · P.IVA e C.F. 04289341200 · PEC pec@pec.emawerly.com · e-mail contact@emawerly.com.

Responsabile della protezione dei dati (DPO): Avv. Carmelo Prestileo, privacy@emawerly.com.

1Stai interagendo con un’IA

Ema AI Assistant e gli Avatar AI creati con Hive sono sistemi di intelligenza artificiale. Le interfacce lo indicano in modo chiaro (art. 50 AI Act). I contenuti generati dall’IA sono contrassegnati come tali quando richiesto dalla legge.

2Come funziona

Ema AI è un orchestratore: coordina più modelli di IA di terzi (Anthropic, OpenAI, Google Gemini, xAI Grok) e li usa per comprendere le richieste, analizzare i dati della piattaforma a cui l’utente ha accesso, suggerire azioni ed eseguire attività entro i permessi assegnati. Ema AI non è un modello addestrato da Emawerly sui dati dei clienti.

3Dati e addestramento

• Ai modelli inviamo solo il contesto necessario a rispondere alla richiesta.
• I Dati del Cliente non sono usati da Emawerly per addestrare modelli di IA.
• I fornitori dei modelli sono sub-responsabili elencati nella pagina dedicata; li trattano secondo le condizioni di servizio per l’uso via API e il nostro DPA.
• L’isolamento tra clienti impedisce che i dati di un cliente compaiano nelle risposte di un altro.

4Supervisione umana

Ema AI propone e il Cliente decide: le azioni che incidono su dati o sistemi sono eseguite solo entro i permessi assegnati e, dove il Cliente lo configura, dopo approvazione esplicita. Le attività degli agenti sono registrate e consultabili.

5Limiti e uso responsabile

• Le risposte possono essere incomplete, imprecise o non aggiornate: verifica le informazioni importanti.
• Ema AI non sostituisce consulenza legale, fiscale o professionale.
• Ema AI è progettata per logistica, e-commerce, marketing e amministrazione. Non deve essere usata per pratiche vietate dall’AI Act (art. 5), né per sistemi ad alto rischio dell’Allegato III, come selezione e valutazione del personale, accesso a servizi essenziali, valutazione del merito di credito di persone fisiche.
• Il Cliente che usa l’IA verso proprio personale o clienti finali informa le persone coinvolte secondo la normativa applicabile.

6Alfabetizzazione e responsabilità

Emawerly promuove la formazione sull’IA (art. 4 AI Act) tramite Emawerly Academy. Il Cliente, in qualità di deployer, è responsabile dell’uso conforme di Ema AI nei propri processi.

7Contatti

Emawerly S.r.l., Via Caduti di Cefalonia 2, 40125 Bologna (Italia) · P.IVA e C.F. 04289341200 · PEC pec@pec.emawerly.com · e-mail contact@emawerly.com.

Responsabile della protezione dei dati (DPO): Avv. Carmelo Prestileo, privacy@emawerly.com.