Informativa sulla privacy
Versione: 2026-10-13-5 · Ultimo aggiornamento: 13 ottobre 2026
0. Stai parlando con un'intelligenza artificiale
Questo servizio è un assistente di intelligenza artificiale (IA), non una persona. Le risposte sono generate automaticamente da un modello di IA e possono contenere errori. Te lo diciamo nel primo messaggio, prima di qualsiasi trattamento (Regolamento UE 2024/1689, "AI Act", art. 50).
1. Chi siamo
Il servizio Hermano è gestito da Replica AI, Inc., società del Delaware, 219 6th St, San Francisco, CA, USA ("noi"), titolare del trattamento dei dati personali (art. 4.7 GDPR).
Contatto per la privacy: admin@myreplica.io. Per qualsiasi domanda o richiesta sui tuoi dati puoi scriverci a questo indirizzo.
Non abbiamo nominato un responsabile della protezione dei dati (DPO, art. 37 GDPR). Per le questioni privacy scrivi a admin@myreplica.io.
2. Quali dati trattiamo
- Il tuo numero di telefono e il canale usato (WhatsApp o SMS).
- I messaggi che invii e le risposte dell'assistente, incluse immagini e posizioni che condividi.
- Memorie: fatti che chiedi all'assistente di ricordare (per esempio il tuo nome o le tue preferenze).
- Promemoria, carrelli e richieste di conferma che crei.
- Collegamenti con account Google (Gmail e Calendar), solo se li colleghi: conserviamo i token di accesso cifrati. Leggiamo email ed eventi solo quando lo chiedi.
- Conferma dell'età: data e ora in cui hai dichiarato di avere almeno 14 anni (sezione 9).
- Acquisti, solo se compri qualcosa tramite l'assistente: prodotti, importi, valuta, negozio, stato e date dell'ordine, indirizzo di consegna e l'indirizzo IP del browser con cui approvi l'acquisto. Paghi tu, sul checkout del negozio o con il codice Pix del negozio: non riceviamo né conserviamo i dati della tua carta.
- Provenienza: se arrivi da un nostro annuncio su WhatsApp o da un link con un codice, salviamo quale annuncio o codice, insieme al tuo consenso. Nessun cookie, nessun pixel.
- Dati tecnici: data e ora dei messaggi, utilizzo del servizio e costi, e un registro di audit delle azioni confermate.
Non chiediamo categorie particolari di dati (salute, religione, vita sessuale, opinioni politiche, origine razziale o etnica, appartenenza sindacale, dati genetici o biometrici; art. 9 GDPR). Se ne parli in una conversazione, li trattiamo solo per rispondere a quella richiesta. Salviamo un dato di questo tipo come memoria solo se lo autorizzi con il pulsante, categoria per categoria (consenso esplicito, art. 9.2.a). Registriamo data, versione di questa informativa e la tua risposta, anche un "no". Un dato salvato di questo tipo viene usato solo nelle conversazioni sullo stesso argomento. Puoi revocare il consenso in qualsiasi momento cancellando una memoria ("cosa sai di me" e poi "cancella il" con il numero) o tutti i tuoi dati ("cancella i miei dati").
3. Per cosa li usiamo e su quale base giuridica
| Finalità | Base giuridica (art. 6 GDPR) |
|---|---|
| Rispondere ai tuoi messaggi ed eseguire quello che chiedi | Consenso (art. 6.1.a) ed esecuzione di un contratto (art. 6.1.b) |
| Ricordare fatti e preferenze che ci hai chiesto di salvare | Consenso |
| Salvare come memoria un dato di categoria particolare (salute, religione ecc.) | Consenso esplicito, per categoria, dato con il pulsante (art. 9.2.a) |
| Sapere quali annunci e link ci portano utenti (conteggi per fonte) | Consenso |
| Sicurezza, prevenzione degli abusi e limiti di utilizzo | Legittimo interesse (art. 6.1.f) |
| Conservare i registri degli acquisti (importo, valuta, negozio, stato, date) dopo la cancellazione dell'account, in forma anonima | Obbligo legale (art. 6.1.c): obblighi fiscali e contabili |
| Registro di audit delle azioni confermate | Legittimo interesse ad accertare, esercitare o difendere un diritto (art. 6.1.f) |
Chiediamo il tuo consenso nel primo messaggio. Prima del tuo "Accetto" non salviamo niente: né il tuo numero, né il tuo messaggio.
Non prendiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici su di te (art. 22 GDPR): ogni azione con effetti reali richiede la tua conferma (sezione 5).
4. Con chi li condividiamo
Usiamo questi fornitori per erogare il servizio. L'elenco completo, con dati, luogo e garanzie di ciascuno, è nella pagina Fornitori.
- Microsoft Azure OpenAI (UE): il modello di IA che legge i messaggi e scrive le risposte. Responsabile del trattamento (art. 28 GDPR). Deployment in zona dati UE: il trattamento avviene in data center dell'UE.
- Microsoft Bing (globale): ricerche sul web quando l'assistente cerca informazioni aggiornate. Riceve solo il testo della ricerca, non il tuo numero. Per questo servizio Microsoft è titolare autonomo.
- Meta WhatsApp Business Platform (USA e infrastruttura globale): consegna dei messaggi su WhatsApp. Responsabile del trattamento.
- Railway: hosting dell'app e dei database. Responsabile del trattamento. Server nell'Unione europea (Paesi Bassi, regione europe-west4); Railway è una società statunitense, quindi l'accesso tecnico dagli USA è coperto dal suo Data Processing Addendum.
- Twilio (USA): SMS, solo se ci scrivi via SMS. Responsabile del trattamento.
- Google (USA): solo se colleghi Gmail o Calendar, e solo quando lo chiedi.
- Mercado Livre: ricerca di prodotti e prezzi. Riceve solo le parole della ricerca, nessun dato personale.
- Shopify: checkout dei negozi Shopify (Shopify Checkout MCP), solo se compri da un negozio Shopify in Italia tramite l'assistente. Riceve numero di telefono, indirizzo di consegna, indirizzo IP del browser e prodotti scelti. Shopify tratta questi dati anche secondo la propria informativa sulla privacy. Non attivo finché non colleghiamo Shopify.
Alcuni di questi fornitori si trovano fuori dallo Spazio economico europeo: si tratta di un trasferimento verso paesi terzi (capo V GDPR). Le garanzie usate da ciascun fornitore sono indicate nella pagina Fornitori.
Non vendiamo i tuoi dati. Il fornitore del modello di IA (Microsoft Azure OpenAI) non usa i tuoi messaggi per addestrare modelli, e noi nemmeno. Le ricerche inviate a Microsoft Bing seguono l'informativa sulla privacy di Microsoft.
5. Azioni che richiedono la tua conferma
L'assistente non fa mai acquisti, pagamenti, prenotazioni, invio di email o invio di moduli senza la tua conferma esplicita (pulsante "Conferma"). Ogni richiesta di conferma scade dopo 30 minuti.
6. Per quanto tempo li conserviamo
- Messaggi e richieste di conferma: 180 giorni.
- Dati di utilizzo e costi: 400 giorni.
- Registri di audit: 365 giorni, senza contenuti identificabili dopo che cancelli il tuo account.
- Memorie, promemoria, collegamenti e provenienza: finché non li cancelli o cancelli il tuo account.
- Registri degli acquisti (importo, valuta, negozio, prodotti, stato e date): per il periodo richiesto dalla normativa fiscale e contabile. Se cancelli il tuo account, li conserviamo senza il tuo nome, numero, indirizzo di consegna e indirizzo IP.
7. I tuoi diritti (artt. 15-22 GDPR)
Puoi, in qualsiasi momento, direttamente in chat:
- "i miei dati": ricevi un link (valido 24 ore) con una copia di tutti i tuoi dati in formato JSON (accesso e portabilità, artt. 15 e 20).
- "cancella i miei dati" (oppure "elimina i miei dati"): ti chiediamo conferma con due pulsanti, "Cancella tutto" e "Non cancellare". Con "Cancella tutto" (o rispondendo CANCELLA entro 10 minuti) cancelliamo subito il tuo account, i messaggi, le memorie, i promemoria, le richieste di conferma, i collegamenti e la provenienza, e ti mandiamo un ultimo messaggio di conferma. Non si può annullare (art. 17).
- Chiedere all'assistente di dimenticare una memoria specifica.
- Revocare il consenso (art. 7.3): cancellare i dati mette fine al trattamento. La revoca non pregiudica la liceità del trattamento precedente.
Cosa resta dopo la cancellazione: le righe del registro di audit, private di ogni contenuto che ti identifica, fino a 365 giorni; il totale mensile delle tariffe WhatsApp, senza alcun riferimento a te; e, se hai fatto acquisti tramite l'assistente, i registri di quegli acquisti (importo, valuta, negozio, stato e date), resi anonimi e conservati per adempiere agli obblighi fiscali e contabili (art. 6.1.c GDPR) per il periodo richiesto dalla legge. Gli acquisti non ancora inviati al negozio vengono annullati.
Per le altre richieste (rettifica, limitazione, opposizione, informazioni sui destinatari, o la cancellazione via email), scrivi a admin@myreplica.io. Rispondiamo entro 30 giorni. Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
8. Sicurezza
- I messaggi in arrivo da WhatsApp e dagli SMS sono accettati solo se la firma del fornitore è valida.
- I token di accesso a Google sono cifrati (AES-256-GCM).
- L'area amministrativa richiede autenticazione.
In caso di violazione dei dati che ti riguarda, ti avviseremo e avviseremo il Garante come previsto dagli artt. 33 e 34 GDPR.
9. Minori
Il servizio non è destinato ai minori di 14 anni. La legge 132/2025 (art. 4, comma 4) richiede il consenso di chi esercita la responsabilità genitoriale per l'accesso dei minori di 14 anni ai sistemi di IA, e per ora non possiamo raccoglierlo. Per questo, dopo il consenso, ti chiediamo di confermare di avere almeno 14 anni e registriamo data e ora della conferma. Se rispondi di no, cancelliamo subito i dati della conversazione.
10. Modifiche a questa informativa
Se questa informativa cambia in modo rilevante, ti chiederemo di nuovo il consenso.