Guida Conformità Tenant

Titolare: ETACARINAE S.R.L. · P.IVA IT02552640068 · Contatto: legal@assumiai.it
Ultimo aggiornamento: 14 febbraio 2026 · Destinatari: aziende che usano Alba by AssumiAI per comunicare con i propri clienti

Alba by AssumiAI è un SaaS B2B. Quando tu (il tenant) usi Alba per parlare con i tuoi clienti, alcune responsabilità legali restano in capo a te come titolare del trattamento. Questa guida riassume cosa devi fare per restare conforme in UE, USA e Canada.

1. Il tuo ruolo vs il nostro

Tu sei il titolare del trattamento dei dati dei tuoi clienti. Decidi tu perché e come vengono trattati.
ETACARINAE S.R.L. è il responsabile del trattamento e agisce secondo le tue istruzioni, in base al Data Processing Agreement.

2. GDPR (UE)

Aggiungi Alba by AssumiAI (ETACARINAE S.R.L.) all'elenco dei sub-responsabili nella tua privacy policy.
Raccogli e documenta il consenso per le comunicazioni di marketing; il consenso per le comunicazioni transazionali non è obbligatorio ma dovrebbe essere loggato.
Pubblica una base giuridica (contratto, legittimo interesse, consenso) per ogni finalità del trattamento.
Rispondi alle richieste degli interessati entro 30 giorni. Alba esporta i dati dei clienti on-demand tramite la dashboard Admin.

3. AI Act (UE)

Informa gli utenti finali che stanno interagendo con un'AI. Alba lo fa automaticamente all'inizio di ogni conversazione in entrata per tuo conto; dovresti menzionarlo anche nella tua privacy policy.
Non usare Alba per prendere decisioni giuridicamente vincolanti senza supervisione umana (art. 22 GDPR + AI Act).
Per settori ad alto rischio (medico, legale), attiva la modalità Human Review nelle impostazioni tenant.
Art. 50(4) — contenuti di interesse pubblico: se pubblichi testo o audio generato con Alba per informare il pubblico su questioni di interesse pubblico (salute, legale, finanziario, immobiliare, politico o giornalistico — es. blog post, newsletter, post social, comunicati stampa), devi aggiungere una dichiarazione esplicita come "AI-assisted" o "generato con AI". Questo obbligo ricade su di te come deployer, non su Alba come provider.

3-bis. Leggi USA sull'AI a livello statale (in vigore 2026)

California SB 1001 — obbligo di disclosure bot nelle chat commerciali/politiche. Il saluto automatico "stai parlando con un'AI" di Alba lo soddisfa su tutti i canali.
California SB 942 (gen 2026) — watermark sui contenuti AI-generated: non si applica a conversazioni private di customer service; rilevante solo se il tenant pubblica contenuti generati con Alba (vedi §3 art. 50(4) sopra).
Utah SB 149 — chatbot in occupazioni regolamentate (medico, legale, salute mentale, commercialisti) devono dichiarare proattivamente di essere AI. Il saluto Alba lo copre.
Colorado SB 26-189 (mag 2026, in vigore 1 gen 2027 — ha abrogato e riscritto SB 24-205) — quadro Automated Decision-Making Technology (ADMT) per decisioni "consequential" in assunzioni / credito / assicurazioni / istruzione / casa / sanità / legale / governo. Alba non prende decisioni consequential, quindi resti fuori scope finché usi Alba per customer service. Non usare Alba per assunzioni o credit scoring automatizzato senza autorizzazione scritta e bias audit.
Tennessee ELVIS Act — il voice cloning richiede consenso esplicito del proprietario della voce. Se usi Alba Voice V1 clone, devi avere consenso documentato di chi ha prestato la voce.

4. US 10DLC / TCPA (SMS)

Registra il tuo Brand e Campaign tramite il flow di onboarding Twilio 10DLC di Alba.
Raccogli il consenso opt-in per ogni numero di telefono prima di inviare SMS. Conserva timestamp e IP.
Onora le parole chiave STOP, UNSUBSCRIBE, END, QUIT, CANCEL. Alba lo impone a livello di policy engine.
Rispondi HELP entro un ciclo di messaggi. Alba gestisce questo automaticamente.
Includi il nome della tua azienda e il disclaimer STOP nel primo messaggio a un nuovo destinatario.

5. Canada CASL / CRTC

È richiesto il consenso esplicito (opt-in) per i messaggi elettronici commerciali (CEM); il consenso implicito ha limiti stretti (rapporto commerciale esistente entro 24 mesi).
Ogni CEM deve includere l'identificazione del mittente e un meccanismo di disiscrizione.
Il voice cloning V1 non è disponibile in Canada in attesa del completamento della compliance CRTC su voci AI. Usa V2.

6. California CCPA / CPRA

Aggiungi un link "Do Not Sell or Share My Personal Information" al tuo sito (Alba non vende dati; è comunque richiesto se sei il tenant).
Onora le richieste di opt-out di vendita/condivisione entro 15 giorni lavorativi.

7. Conservazione

Alba conserva il contenuto delle conversazioni per 730 giorni di default; puoi ridurre questo periodo secondo la tua policy. I record di consenso sono conservati per 10 anni (accountability). Le fatture per 10 anni (legge fiscale italiana) o secondo la tua legge locale.

8. Risposta agli incidenti

Data breach personali: notificaci entro 24 ore a privacy@assumiai.it. Ti supporteremo negli obblighi di notifica all'Autorità Garante competente (72h in UE) e agli interessati quando richiesto.

9. Contatto

Legale: legal@assumiai.it · Privacy: privacy@assumiai.it. Rispondiamo entro 30 giorni.