# Home

Trust center Memori

Trova le informazioni su certificazioni, sicurezza dei dati, privacy e documentazione legale.

Contattaci

## Panoramica **Benvenuti nel portale di fiducia di AIsuru**, la piattaforma italiana sviluppata da Memori s.r.l. per la creazione e gestione di assistenti virtuali AI personalizzati. Qui troverete la documentazione completa sulla conformità normativa, le risposte alle domande frequenti su sicurezza e privacy e una descrizione delle nostre pratiche di sicurezza. Crediamo nella trasparenza e nella costruzione di un rapporto di fiducia solido con i nostri clienti. Questo portale è progettato per fornirvi le informazioni e le garanzie necessarie per essere certi della nostra capacità di proteggere i vostri dati.
Cover image

:medal:

Certificazioni

ISO 27001, ISO 9001, ISO 42001 — certificatiCertificazioni

:cloud:

Dati e privacy

Data residency UE, subprocessori, retention, GDPRDATA E PRIVACY

:newspaper:

Documenti legali

DPA, Policy, condizioni di servizio, AUPDOCUMENTI LEGALI

:check:

Report e Audit

Penetretion test summary, audit interniChangelog

:a:

Il prodotto AIsuru

Architettura, Provider, Modelli di erogazioneAIsuru

:question:

FAQ sicurezza

Risposte alle domande più frequenti dei clienti enterpriseFAQ E SICUREZZA
*** ## Risorse utili {% columns %} {% column %} ### Documenti in evidenza {% content-ref url="/pages/3fJme8PPaIs4eVzg3nXD" %} [Certificato ISO 27001:2022](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-27001-2022) {% endcontent-ref %} {% content-ref url="/pages/PP7c6dBqt2PdgqA5UDpx" %} [Certificato ISO 27017:2021](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-27017-2021) {% endcontent-ref %} {% content-ref url="/pages/DJjeJ6xs7pakcmTsL6w2" %} [Certificato ISO 27018:2020](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-27018-2020) {% endcontent-ref %} {% content-ref url="/pages/JkxCnB1khEo1yyOK3gSa" %} [Certificato ISO 9001:2015](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-9001-2015) {% endcontent-ref %} {% content-ref url="/pages/VnGaNmtuBBKRoJkLlkoC" %} [Certificato ISO 42001:2023](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-42001-2023) {% endcontent-ref %} {% endcolumn %} {% column %} ### Trattamento dei dati {% content-ref url="/pages/3bP80CphXf8akHFsb8KI" %} [Privacy Policy](/data-e-privacy/privacy-policy) {% endcontent-ref %} {% content-ref url="/pages/kuo6nOVlnCAE3wdkcXJk" %} [I dati vengono usati per addestramento?](/faq-e-sicurezza/i-dati-vengono-usati-per-addestramento) {% endcontent-ref %} {% content-ref url="/pages/11ImPqpK3VWOwfCNeHf5" %} [Cookie Policy](/data-e-privacy/cookie-policy) {% endcontent-ref %} {% content-ref url="/pages/9FKic8ib2RuZMqqrsVOq" %} [Politica d'Uso Accettabile della Piattaforma AIsuru](/data-e-privacy/politica-duso-accettabile-della-piattaforma-aisuru) {% endcontent-ref %} {% endcolumn %} {% column %} ### Aggiornati di recente {% content-ref url="/pages/SxaMWeGB6NYKO4QdsrTV" %} [Condizioni di Servizio](/documenti-legali/condizioni-di-servizio) {% endcontent-ref %} {% content-ref url="/pages/C6wfWaHFUfGqaI0LEcc9" %} [GDPR](/data-e-privacy/gdpr) {% endcontent-ref %} {% content-ref url="/pages/r9x6eAH8OGXzIPFVXyY9" %} [DPA](/documenti-legali/dpa) {% endcontent-ref %} {% content-ref url="/pages/IOJ4EmUZHsyCvWSN91BL" %} [Data Retention](/data-e-privacy/data-retention) {% endcontent-ref %} {% endcolumn %} {% endcolumns %} *** # Panoramica certificazioni Il framework di conformità e qualità di Memori s.r.l. Memori s.r.l. ha strutturato un percorso di certificazione integrato che copre le principali dimensioni operative della piattaforma AIsuru: **qualità dei processi**, **sicurezza delle informazioni**, **protezione dei dati nel cloud** e **governance dei sistemi di intelligenza artificiale**. Le certificazioni ottenute e in corso di mantenimento attestano l'impegno dell'azienda nel garantire standard elevati di affidabilità, trasparenza e conformità normativa ai propri clienti, partner e alle autorità di controllo. *** ### Perché le certificazioni contano Le certificazioni ISO non sono semplici etichette: rappresentano un sistema di gestione vivo, soggetto ad audit periodici, che garantisce: * **Continuità** nei processi operativi * **Tracciabilità** delle decisioni e delle attività * **Miglioramento continuo** basato su evidenze oggettive * **Conformità normativa** rispetto alle regolamentazioni vigenti (GDPR, AI Act) *** ### Le certificazioni di Memori | Certificazione | Area | Focus | | ------------------------------------------------------------------------------------------------------------- | -------------------- | -------------------------------------------------------------------- | | [**ISO 27001:2022**](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-27001-2022) | Sicurezza | Sistema di Gestione della Sicurezza delle Informazioni | | [**ISO 27017:2021**](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-27017-2021) | Cloud Security | Controlli di sicurezza per i servizi cloud | | [**ISO 27018:2020**](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-27018-2020) | Privacy Cloud | Protezione dei dati personali nel cloud | | [**ISO 9001:2015**](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-9001-2015) | Qualità | Sistema di Gestione della Qualità | | [**ISO 42001:2023**](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-42001-2023) | AI Governance | Sistema di Gestione dell'Intelligenza Artificiale | | [NIS2](/certificazioni/panoramica-certificazioni) | Cybersecurity | Protezione informatica | | [CASA](/certificazioni/panoramica-certificazioni/certificazione-casa-app-defense-alliance) | Application Security | Verifica dei controlli di sicurezza applicativa basati su OWASP ASVS | *** # Certificazioni ISO Dettaglio degli standard adottati da Memori s.r.l. ### [Certificato ISO 27001:2022](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-27001-2022) **Sistema di Gestione della Sicurezza delle Informazioni (SGSI)** Definisce i requisiti per implementare, monitorare e migliorare un sistema di gestione della sicurezza delle informazioni. Copre la gestione dei rischi informativi, la protezione degli asset, i controlli di accesso e la risposta agli incidenti. Per AIsuru, garantisce che i dati dei clienti — conversazioni, contenuti degli Agenti, configurazioni — siano protetti con procedure formali e verificabili. *** ### [Certificato ISO 27017:2021](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-27017-2021) **Sicurezza per i servizi cloud** Estende la ISO 27001 con controlli specifici per gli ambienti cloud. Disciplina le responsabilità condivise tra provider e cliente, la gestione degli asset virtuali e la sicurezza delle infrastrutture multi-tenant. Particolarmente rilevante per AIsuru, che opera su architetture AWS, Cloudsome e Hetzner con modelli SaaS, PaaS e On-Premise. *** ### [Certificato ISO 27018:2020](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-27018-2020) **Protezione dei dati personali nel cloud (PII)** Stabilisce i principi per il trattamento delle informazioni di identificazione personale (PII) da parte dei provider di servizi cloud pubblici. Garantisce che Memori — in qualità di Responsabile del trattamento — non utilizzi i dati dei clienti per finalità proprie, e che i dati rimangano di esclusiva proprietà del cliente. *** ### [Certificato ISO 9001:2015](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-9001-2015) **Sistema di Gestione della Qualità (SGQ)** Lo standard fondamentale per la qualità dei processi organizzativi. Copre la pianificazione, il controllo operativo, la gestione dei fornitori e il miglioramento continuo. Per Memori si applica all'intero ciclo di vita dello sviluppo software: dalla raccolta dei requisiti al rilascio, dalla gestione degli incidenti al supporto ai clienti. *** ### [Certificato ISO 42001:2023](/certificazioni/panoramica-certificazioni/certificazioni-iso/certificato-iso-42001-2023) **Sistema di Gestione dell'Intelligenza Artificiale (SGAI)** Il primo standard internazionale dedicato ai sistemi AI. Richiede che le organizzazioni definiscano policy, ruoli, processi di valutazione del rischio e misure di mitigazione specifici per i sistemi di intelligenza artificiale. Per AIsuru, si traduce in una governance strutturata del motore NLP, dei modelli LLM integrati e delle funzionalità generative — in linea con i requisiti dell'AI Act europeo. # Certificato ISO 27001:2022 La certificazione che garantisce che le informazioni dei clienti sono protette con sistemi formali e verificabili. ### Cos'è La ISO/IEC 27001:2022 definisce i requisiti per implementare, monitorare, mantenere e migliorare continuamente un Sistema di Gestione della Sicurezza delle Informazioni (SGSI). È lo standard internazionale di riferimento per la protezione delle informazioni aziendali e dei dati dei clienti. ### Cosa garantisce concretamente La certificazione impone che Memori gestisca la sicurezza delle informazioni attraverso un approccio basato sul rischio, documentato e sottoposto ad audit periodici. In particolare: * **Controllo degli accessi**: solo le persone autorizzate accedono alle informazioni, con permessi differenziati per lettura, scrittura, modifica ed eliminazione * **Protezione contro malware**: sistemi di rilevamento e prevenzione delle minacce attivi sull'infrastruttura cloud e sui file caricati in piattaforma * **Backup delle informazioni**: backup conservati su infrastruttura cloud in Europa (EU) * **Registrazione e monitoraggio**: log delle attività degli utenti e degli amministratori di sistema, con alert per comportamenti anomali * **Gestione delle vulnerabilità tecniche**: processo continuo di rilevazione, analisi e correzione delle vulnerabilità, tracciato nel sistema di gestione * **Sviluppo sicuro**: principi "security by design" applicati a tutto il ciclo di vita del software AIsuru, dalla progettazione al rilascio ### Come si applica ad AIsuru Nel contesto della piattaforma AIsuru, la ISO 27001 governa la protezione di: * Codice sorgente e configurazioni degli ambienti cloud * Dati delle conversazioni degli utenti finali degli Agenti AI * Credenziali e segreti applicativi (API key, token di accesso ai provider LLM) * Informazioni di configurazione dei tenant aziendali (PaaS) * Log applicativi generati durante l'esecuzione del servizio La separazione logica degli ambienti (sviluppo → staging → produzione) e le pipeline CI/CD automatizzate su Bitbucket garantiscono che nessuna modifica al codice raggiunga la produzione senza passare per processi di review e test documentati. ### Audit e mantenimento La certificazione è soggetta ad audit periodici da parte di un ente terzo accreditato. Memori mantiene la certificazione attraverso: * Riesami di direzione periodici * Gestione documentata delle non conformità e delle azioni correttive * Aggiornamento continuo della valutazione del rischio * Formazione e sensibilizzazione del personale {% file src="/files/PCrfiZRMDjzQjDBNKbo9" %} # Certificato ISO 27017:2021 La certificazione che definisce le responsabilità di sicurezza specifiche per gli ambienti cloud, dove risiedono i dati dei clienti AIsuru. ### Cos'è La **ISO/IEC 27017:2021** è un'estensione della ISO 27001 che fornisce controlli di sicurezza aggiuntivi specifici per i servizi cloud. Affronta le problematiche tipiche degli ambienti multi-tenant, della gestione condivisa delle responsabilità e della sicurezza delle infrastrutture virtualizzate. ### Perché è rilevante per AIsuru AIsuru è una piattaforma erogata in modalità SaaS, PaaS e On-Premise su infrastrutture cloud multiple: * **Cloudsome** – cloud pubblico, regione Italia EU: hosting principale della piattaforma via CloudFoundry e Kubernetes * **AWS (Amazon Web Services)** – regione Irlanda EU: storage S3 e GuardDuty; regione Germania EU: MongoDB Atlas per dati MCP Gateway * **Hetzner** – regione Germania EU: hosting MCP Gateway e gestione del relativo database La ISO 27017 disciplina come Memori gestisce la sicurezza in questi ambienti, chiarendo le responsabilità tra provider e cliente. ### Cosa garantisce concretamente **Responsabilità condivisa (Shared Responsibility Model)** Lo standard definisce con precisione cosa è responsabilità di Memori (configurazione sicura, controllo degli accessi, monitoraggio applicativo) e cosa è responsabilità del provider cloud (sicurezza fisica dei datacenter, infrastruttura di rete). **Controlli specifici cloud applicati da Memori:** * **Segregazione dei dati multi-tenant**: ogni tenant aziendale vede esclusivamente i propri Agenti, utenti e configurazioni. Nessun dato di un cliente è accessibile ad altri clienti * **Hardening degli ambienti cloud**: configurazioni sicure su AWS e Cloudsome, con firewall, DMZ e controllo degli accessi IAM * **Monitoraggio continuo**: AWS GuardDuty monitora in tempo reale il comportamento delle istanze e rileva automaticamente anomalie (accessi non autorizzati, potenziali malware) * **Scansione malware sui file caricati**: ogni file caricato dagli utenti come media o documento viene automaticamente scansionato da GuardDuty prima dell'elaborazione; i file infetti vengono bloccati * **Cifratura in transito e a riposo**: tutte le comunicazioni avvengono via HTTPS/TLS; i dati sensibili sono protetti in conformità alle policy di sicurezza documentate nel sistema di gestione * **Blue-green deployment**: aggiornamenti della piattaforma senza interruzione del servizio, con possibilità di rollback immediato **Gestione degli asset cloud:** Tutti gli asset cloud (server virtuali, database, bucket S3, container) sono inventariati nel sistema di gestione e sottoposti ai controlli di sicurezza documentati nella procedura ISO. ### Come si differenzia dalla ISO 27001 Mentre la ISO 27001 stabilisce il framework generale di gestione della sicurezza, la ISO 27017 aggiunge controlli specifici per il cloud che la 27001 non copre direttamente, come: * La gestione della disconnessione sicura delle risorse cloud al termine del contratto * I controlli sulle macchine virtuali e sui container * La verifica che le risorse cloud siano adeguatamente configurate e non lasciate in stato di default insicuro {% file src="/files/gOuvlbmzH5cnlVoc5UZs" %} # Certificato ISO 27018:2020 La certificazione che garantisce che i dati personali trattati attraverso AIsuru rimangono di esclusiva proprietà del cliente e non vengono mai utilizzati da Memori per finalità proprie. ### Cos'è La ISO/IEC 27018:2020 stabilisce i principi e i controlli per il trattamento sicuro delle informazioni di identificazione personale (PII – Personally Identifiable Information) da parte dei provider di servizi cloud pubblici che agiscono come Responsabili del Trattamento. ### Il principio fondamentale: i dati restano del cliente Il principio centrale della ISO 27018 è che Memori, in qualità di Responsabile del Trattamento, non utilizza i dati dei clienti per finalità proprie. Questo include: * **Nessun utilizzo per addestramento di modelli AI** – i dati degli Agenti e delle conversazioni non vengono mai usati per addestrare o modificare i modelli NLP di Memori o i modelli LLM esterni * **Nessuna condivisione non autorizzata** – i dati non vengono ceduti a terzi senza esplicito consenso del cliente * **Nessuna profilazione commerciale** – i dati delle conversazioni non vengono analizzati per finalità di marketing di Memori * **I dati rimangono di proprietà del cliente** – il cliente può esportarli, cancellarli o trasferirli in qualsiasi momento ### Cosa garantisce concretamente **Categorie di dati personali trattati da Memori per conto del cliente:** * Dati delle conversazioni: testo dei messaggi scambiati tra utenti finali e Agenti AI * Dati di profilo (se l'utente è registrato): email, username, data nascita * Fatti noti (solo se la funzionalità "Pensiero Profondo" è attivata con consenso esplicito dell'utente finale): informazioni dedotte dalle conversazioni * Metadati delle sessioni: IP anonimizzato, user agent, timestamp **Controlli specifici applicati:** * **Trasparenza**: il cliente è informato di tutti i sub-responsabili (provider cloud, LLM) che possono accedere ai dati, con le relative policy di data retention * **Minimizzazione**: i dati sono trattati esclusivamente per erogare il servizio contrattualizzato * **Cancellazione sicura**: alla cancellazione di un Agente o di un account, tutti i dati associati vengono eliminati definitivamente. Rimangono solo log di sistema che non contengono il contenuto delle conversazioni * **Data residency EU**: tutta l'infrastruttura principale è localizzata in Europa (Italia, Irlanda, Germania) * **Accesso limitato**: i superadmin di Memori hanno visibilità sulle operazioni della piattaforma ma non hanno accesso ai contenuti delle conversazioni e degli Agenti **Tempi di conservazione dei dati dei provider LLM:** Quando il cliente sceglie di usare un provider LLM esterno, i dati inviati in inferenza sono soggetti alle policy del provider: | Provider | Retention | | ------------------------------------------------------------------------------------------------ | ---------------------------------------------------------------------------- | | [OpenAI (API)](https://openai.com/it-IT/policies/row-privacy-policy/) | max 30 giorni (solo per prevenire abusi); zero retention per text moderation | | [Anthropic](https://privacy.claude.com/en/) | max 30 giorni (solo per prevenire abusi) | | [Google Vertex](https://services.google.com/fh/files/misc/genai_privacy_google_cloud_202308.pdf) | max 30 giorni (solo per prevenire abusi) | | [Azure OpenAI](https://services.google.com/fh/files/misc/genai_privacy_google_cloud_202308.pdf) | max 30 giorni (solo per prevenire abusi) | | [Amazon Bedrock](https://docs.aws.amazon.com/bedrock/latest/userguide/data-protection.html) | zero data retention | | [Mistral (EU)](https://legal.mistral.ai/terms/privacy-policy) | max 30 giorni (solo per prevenire abusi) | Sulla base delle policy pubblicate da ciascun provider, nessuno di essi utilizza i dati delle API enterprise per addestrare i propri modelli. Per aggiornamenti sulle policy dei singoli provider si rimanda alla loro documentazione ufficiale. ### Come si applica in pratica Quando un'azienda cliente configura un Agente AI sulla piattaforma AIsuru con dati aziendali riservati (documenti, procedure, knowledge base), la ISO 27018 garantisce che: * Quei dati siano trattati esclusivamente per far funzionare l'Agente * Memori non possa usarli per nessun altro scopo * Il cliente possa revocarli, modificarli o eliminarli in qualsiasi momento * Al termine del contratto, i dati siano cancellati in maniera sicura e documentata {% file src="/files/aUxi0x4Ln8gKrNQp3cKJ" %} # Certificato ISO 9001:2015 La certificazione che garantisce che i processi di Memori — dallo sviluppo al supporto — sono documentati, controllati e orientati al miglioramento continuo. #### Cos'è La ISO 9001:2015 è lo standard internazionale per i **Sistemi di Gestione della Qualità**. Richiede alle organizzazioni di dimostrare la propria capacità di fornire prodotti e servizi conformi ai requisiti dei clienti e alle normative applicabili, attraverso processi documentati e sistematicamente migliorati. *** #### Cosa garantisce concretamente **Gestione dei requisiti cliente** Prima di avviare qualsiasi sviluppo o configurazione, Memori raccoglie, analizza e riesamina formalmente i requisiti del cliente, documentandoli nel sistema di gestione. I requisiti vengono verificati rispetto: * A quanto richiesto esplicitamente dal cliente * A quanto il cliente necessita ma non ha espresso * Alle leggi e normative vigenti (GDPR, AI Act) * Agli standard di qualità interni di Memori **Ciclo di vita del software controllato** Lo sviluppo della piattaforma AIsuru segue un processo documentato che include: * **Pianificazione**: roadmap definita da CTO e CEO, con stima dei tempi e allocazione delle risorse * **Sviluppo**: codice sviluppato con principi "security by design" e revisione obbligatoria (code review) prima di ogni merge * **Test**: oltre **2.000 test automatizzati** eseguiti prima di ogni rilascio * \~600 per l'Engine (SharpMemori) * \~400 per il Backend (MemoriAI) * \~1.400 per il Frontend (dashboard, API client, componenti) * **QA**: il team QA esegue prove estensive partendo dalle storie utente * **Rilascio**: deployment automatico via Bitbucket Pipelines con blue-green deployment per garantire continuità del servizio **Gestione delle non conformità** Quando emerge un problema — un bug, un'anomalia di sicurezza, un'insoddisfazione del cliente — viene attivato un processo documentato di: 1. Identificazione e classificazione della non conformità 2. Analisi delle cause 3. Definizione delle azioni correttive 4. Verifica dell'efficacia delle azioni intraprese **Monitoraggio e miglioramento continuo** La qualità è misurata attraverso indicatori concreti monitorati con strumenti dedicati: * **Sentry**: rilevamento e analisi degli errori imprevisti * **Uptime Kuma**: monitoraggio della disponibilità dei servizi * **Kibana**: aggregazione dei log e monitoraggio delle risorse * **Injest**: tracciamento delle chiamate HTTP **Gestione dei fornitori (outsourcing)** I fornitori di servizi critici (provider cloud, LLM, servizi di traduzione, speech) sono qualificati, monitorati e gestiti secondo i requisiti della ISO 9001, con accordi contrattuali che definiscono i livelli di servizio attesi. **Post-vendita e supporto** Il processo di assistenza post-vendita è documentato e prevede: * Primo livello di supporto tramite Manuela, l'Agente AI ufficiale di AIsuru, disponibile direttamente in piattaforma per rispondere a domande e guidare gli utenti * Raccolta delle richieste su * Classificazione e prioritizzazione * Escalation al team tecnico quando necessario * Feedback al cliente e documentazione della soluzione * Analisi retrospettiva per prevenire ricorrenze *** #### Audit e riesame di direzione La ISO 9001 impone un **riesame periodico della direzione** che valuta: * Lo stato degli obiettivi di qualità * I feedback dei clienti * Le non conformità e le azioni correttive * Le opportunità di miglioramento * Le risorse necessarie {% file src="/files/zwojnBmplUbHD30xCkB3" %} # Certificato ISO 42001:2023 Il primo standard internazionale dedicato alla governance dell'AI — che garantisce che AIsuru sia sviluppato e gestito in modo responsabile, trasparente e conforme all'AI Act europeo. #### Cos'è La ISO/IEC 42001:2023 è il **primo standard internazionale** specificamente dedicato ai Sistemi di Gestione dell'Intelligenza Artificiale. Richiede alle organizzazioni che sviluppano o utilizzano sistemi AI di definire policy, ruoli, processi di valutazione del rischio e misure di mitigazione specifici per l'intelligenza artificiale. *** #### Perché è fondamentale per AIsuru AIsuru è una piattaforma AI che integra componenti di intelligenza artificiale a più livelli: * NLP proprietario addestrato internamente su corpus pubblici (italiano, inglese, francese) * Integrazione con LLM esterni (OpenAI, Anthropic, Mistral, Google Vertex, Amazon Bedrock, Azure OpenAI) * Funzionalità di memoria contestuale (Pensiero Profondo) * Moderazione automatica dei contenuti tramite sistemi AI * Importazione documenti con generazione automatica di Q\&A tramite LLM La ISO 42001 fornisce il framework per governare tutti questi componenti in modo responsabile. *** #### Cosa garantisce concretamente **Governance e responsabilità dell'AI** La norma impone la definizione chiara di **ruoli e responsabilità** per i sistemi AI: * **Memori (provider della piattaforma)**: responsabile dell'architettura AI, delle misure di sicurezza e della conformità normativa * **Owner e Autori degli Agenti**: responsabili della configurazione, del contenuto e dell'uso dell'Agente * **Admin della piattaforma** (nei modelli PaaS): responsabili della gestione degli utenti e del monitoraggio * **Utenti finali**: responsabili dell'uso consapevole e della segnalazione di comportamenti inappropriati **Valutazione del rischio AI** Memori valuta sistematicamente i rischi specifici dei propri sistemi AI: * **Allucinazioni**: le risposte dell'AI generativa possono essere errate. Misura di mitigazione: validazione umana delle risposte, flag visivo "AI generated", possibilità di disattivare la generativa * **Privacy**: l'invio di dati a provider LLM comporta rischi. Misura: policy di data retention documentate per ogni provider, DPA con tutti i sub-responsabili * **Bias e discriminazione**: il sistema NLP potrebbe avere bias linguistici. Misura: addestramento su corpus diversificati, calibrazione e testing delle soglie per ogni lingua supportata * **Misuse**: la piattaforma potrebbe essere usata per generare contenuti dannosi. Misura: sistema di moderazione automatica dei contenuti, flag NSFW per Agenti con contenuti sensibili **Trasparenza verso gli utenti** La ISO 42001 impone che gli utenti siano sempre consapevoli di interagire con un sistema AI: * **Flag "AI generated"**: indicatore visivo per le risposte generate da AI generativa (opt-out disponibile) * **Tooltip descrittivo multilingue**: avviso sulla possibile non correttezza delle risposte generate * **Identificazione esplicita**: l'Agente può essere configurato per identificarsi come assistente AI * **Alert provider**: notifica automatica agli utenti quando i provider LLM segnalano problemi **Trasparenza del sistema NLP proprietario** Il sistema NLP proprietario di Memori è addestrato su corpus pubblici e documentato nelle sue caratteristiche fondamentali. La documentazione tecnica completa è disponibile su richiesta per le parti qualificate (es. auditor, autorità di vigilanza). Il sistema è classificabile come a basso impatto computazionale, ampiamente al di sotto delle soglie di rischio sistemico previste dall'AI Act. **Supervisione umana** La norma impone che i sistemi AI non possano operare in modo completamente autonomo in contesti critici: * Le risposte generate da AI sono validabili e modificabili dagli autori degli Agenti * Il team di Memori supervisiona Manuela (Agente di supporto ufficiale) con cadenza periodica * I canali [**ccare@memori.ai**](mailto:ccare@memori.ai) e [**abuse@memori.ai**](mailto:abuse@memori.ai) sono monitorati entro 48 ore lavorative **Allineamento con l'AI Act europeo** La ISO 42001 è progettata per essere allineata con il **Regolamento (UE) 2024/1689 (AI Act)**. Per AIsuru questo significa: * Classificazione del rischio dei sistemi AI utilizzati * Documentazione tecnica dei modelli AI impiegati * Obblighi di trasparenza verso gli utenti finali * Formazione del personale che utilizza sistemi AI (obbligatoria dal 2 febbraio 2025) *** {% file src="/files/7DmN0TwNFwPFHaHkNfv0" %} # Direttiva NIS2 2022/2555 Conformità agli obblighi europei di cybersicurezza per i fornitori di servizi digitali e cloud #### Cos'è La Direttiva NIS2 (Network and Information Security Directive 2 — Direttiva UE 2022/2555) è il principale atto normativo dell'Unione Europea in materia di **cybersicurezza**, che abroga e sostituisce la precedente Direttiva NIS (2016/1148). Recepita in Italia con il D.Lgs. 138/2024, stabilisce requisiti vincolanti per la gestione del rischio di sicurezza informatica, la notifica degli incidenti e la continuità operativa per le organizzazioni classificate come **soggetti essenziali o importanti** in settori strategici. Rispetto alla Direttiva NIS originale, NIS2 amplia significativamente il perimetro dei soggetti obbligati — includendo i **fornitori di servizi cloud e digitali** — e introduce requisiti più stringenti in termini di governance, supply chain security e responsabilità del management. Memori, in qualità di fornitore di servizi cloud e di intelligenza artificiale, rientra nel perimetro applicativo della Direttiva NIS2 ed ha formalizzato la propria conformità agli obblighi previsti dalla normativa, con iscrizione al registro dell'**Agenzia per la Cybersicurezza Nazionale (ACN)** e adozione delle misure di sicurezza richieste. *** #### Cosa garantisce concretamente **Governance della cybersicurezza** La Direttiva NIS2 impone che il management aziendale assuma responsabilità diretta sulla gestione della sicurezza informatica. In Memori questo si traduce in: * **Supervisione formale** da parte della direzione (CTO e CEO) sui processi di sicurezza, integrata con il Sistema di Gestione della Sicurezza delle Informazioni già certificato ISO 27001:2022 * **Aggiornamento periodico** delle competenze del personale in materia di cybersicurezza * **Politiche documentate** per la gestione del rischio di sicurezza delle reti e dei sistemi informativi **Gestione del rischio di sicurezza** Memori adotta misure tecniche e organizzative proporzionate ai rischi identificati, che includono: * Valutazione continua del rischio aggiornata nel sistema di gestione, con tracciamento documentato delle non conformità e delle azioni correttive * Protezione contro le minacce informatiche: sistemi di rilevamento e prevenzione attivi sull'infrastruttura cloud, con scansione automatica tramite AWS GuardDuty dei file caricati sulla piattaforma * Protezione delle comunicazioni e dei dati: tutte le comunicazioni avvengono via HTTPS/TLS; i dati sensibili sono protetti in conformità alle policy di sicurezza documentate nel sistema di gestione **Gestione degli incidenti di sicurezza** In conformità con gli obblighi di notifica previsti dalla NIS2: * Gli incidenti significativi vengono identificati, classificati e gestiti tramite un processo documentato che prevede **notifica tempestiva all'ACN** entro le scadenze normative (pre-notifica entro 24 ore, notifica completa entro 72 ore) * Gli admin di piattaforma vengono avvisati via email in caso di incidenti, disservizi o problemi gravi * Al termine di ogni incidente, il team tecnico conduce una **retrospettiva post-incidente** per analizzare le cause e prevenire ricorrenze **Continuità operativa e disaster recovery** * **Aggiornamenti pianificati della piattaforma** garantendo continuità del servizio senza interruzioni improvvise * **Monitoraggio continuo** della disponibilità tramite Uptime Kuma, con alert automatici in caso di anomalie * **Backup con crittografia** conservati in ambienti separati su infrastruttura cloud europea (Italia, Irlanda, Germania EU) * Piano di continuità operativa integrato con le misure di disaster recovery gestite dal partner Cloudsome **Sicurezza della supply chain** La NIS2 introduce obblighi espliciti sulla sicurezza della catena di fornitura. In Memori questo si applica a: * **Qualificazione e monitoraggio dei fornitori critici**: provider cloud (Cloudsome, AWS, Hetzner), provider LLM (OpenAI, Anthropic, Mistral, ecc.) e servizi accessori (DeepL, ConvertAPI, Azure AI Speech) sono selezionati, valutati e gestiti secondo procedure documentate * **Accordi contrattuali** che definiscono i requisiti di sicurezza per ciascun fornitore (SLA, DPA, policy di data retention) * **Trasparenza verso il cliente** sui sub-responsabili coinvolti nel trattamento dei dati e sulle relative policy di sicurezza **Protezione delle reti e dei sistemi informativi di AIsuru (la piattaforma di Memori)** La conformità NIS2 si integra con quanto già implementato ai sensi della ISO 27001:2022 e della ISO 27017:2015 per la piattaforma AIsuru: * **Segregazione logica** degli ambienti multi-tenant: ogni cliente vede esclusivamente i propri Agenti, utenti e configurazioni * **Separazione degli ambienti** sviluppo → staging → produzione, con deployment automatizzato tramite Bitbucket Pipelines e code review obbligatoria su ogni modifica * **Logging e monitoraggio**: log centralizzati tramite Kibana e Injest, con tracciamento di tutte le attività degli utenti e degli amministratori di sistema e alert automatici per comportamenti anomali **Audit e revisione periodica** La conformità NIS2 è soggetta a revisione periodica, integrata nel ciclo di audit del Sistema di Gestione della Sicurezza delle Informazioni (ISO 27001:2022). Le misure di sicurezza vengono aggiornate in risposta all'evoluzione delle minacce e alle indicazioni dell'ACN. *** {% file src="/files/4Q0Rc4Iaqa3FC4LhY2bw" %} # Certificazione CASA (App Defense Alliance) Valutazione di sicurezza applicativa condotta secondo lo standard CASA, basato sull'OWASP Application Security Verification Standard (ASVS). #### Cos'è Memori ha sottoposto la piattaforma AIsuru a una valutazione **CASA (Cloud Application Security Assessment)**, il framework promosso dalla **App Defense Alliance (ADA)** — l'iniziativa che riunisce Google e altri operatori del settore per definire requisiti di sicurezza uniformi per le applicazioni cloud che trattano dati potenzialmente sensibili degli utenti. CASA non è un audit isolato: è un processo di **assurance strutturato su più livelli (tier)**, che adatta la profondità della verifica al profilo di rischio dell'applicazione, agli utenti coinvolti e all'ambito dei dati trattati. *** #### Perché CASA è rilevante A differenza di un generico penetration test, CASA verifica in modo puntuale e documentato la conformità a un set di requisiti derivati dall'OWASP ASVS, organizzati per dominio di sicurezza. Ogni singolo requisito viene valutato, motivato con evidenze tecniche (test automatizzati, configurazioni, codice) e tracciato con un verdetto esplicito. Per Memori, ottenere un esito positivo su CASA significa fornire ai clienti e ai partner che integrano AIsuru con altri ecosistemi (incluse le piattaforme che richiedono questa attestazione come requisito di accesso al proprio marketplace o alle proprie API) una prova indipendente, verificabile e aggiornata della postura di sicurezza applicativa. *** #### Dettagli della valutazione
ElementoDettaglio
Specifica di riferimentoADA CASA Assessment Specification v2.1.1
Livello di AssuranceAL1
Metodologia di testGrey Box, verifica manuale con Burp Suite Professional + procedure ufficiali ADA CASA
Ente valutatoreTAC Security (TAC Infosec Ltd.)
Tipo di reportESOF AppSec ADA CASA – Developer Report
Periodo di testAgosto 2026
Data di emissione del report24 agosto 2026
Esito complessivo✅ In Compliance (PASS)
*** #### Ambito della valutazione La verifica ha coperto **6 domini di sicurezza** e un totale di **48 controlli puntuali**, tutti superati con esito positivo: * **Authentication** — resistenza a brute force, gestione sicura di password e codici di attivazione, out-of-band verifier (link di recupero) casuali, monouso e con scadenza * **Session Management** — invalidazione delle sessioni su logout e cambio password, cookie di sessione con attributi Secure/HttpOnly/SameSite, token stateless firmati e a validità limitata * **Access Control** — enforcement lato server del principio del privilegio minimo, protezione da IDOR, anti-CSRF, OAuth 2.0 con Authorization Code Flow e PKCE, autenticazione a più fattori sulle interfacce amministrative * **Communications** — TLS 1.2+/1.3 con configurazione valutata A+ (SSL Labs), certificati emessi da CA pubblica riconosciuta, cifratura autenticata (AES-256-GCM) * **Data Validation and Sanitization** — protezione da SSRF, XXE, injection su database, command injection, path traversal, upload di file validati sulla firma binaria reale * **Configuration** — assenza di componenti con vulnerabilità note (scansione dipendenze e analisi statica del codice senza esiti), debug disattivato in produzione, segreti applicativi cifrati a riposo e non presenti nel codice sorgente *** #### Risultato Nessuna delle 48 verifiche ha prodotto un esito negativo: il report classifica l'intero perimetro come **conforme al livello AL1** della specifica CASA, senza vulnerabilità aperte da rimediare. Questo esito si aggiunge, senza sovrapporsi, al percorso di certificazione ISO già intrapreso da Memori (ISO 27001, 27017, 27018, 9001, 42001): mentre le certificazioni ISO attestano la solidità del sistema di gestione nel suo complesso, CASA fornisce una verifica tecnica puntuale e specifica sui controlli di sicurezza implementati a livello applicativo. *** #### Come accedere al report completo Il report tecnico integrale (ESOF AppSec ADA CASA – Premium Report) è un documento riservato, in quanto contiene dettagli implementativi che non vengono divulgati pubblicamente per motivi di sicurezza — la stessa prassi già adottata da Memori per i penetration test. Per richiedere una sintesi del report o maggiori informazioni sull'ambito della valutazione, scrivere a [**privacy@memori.ai**](mailto:privacy@memori.ai) indicando ragione sociale e finalità della richiesta.

Richiedi report CASA

# AI Act Perché AIsuru è conforme al Regolamento (UE) 2024/1689 e quali documenti lo attestano #### **Cos'è** Il Regolamento (UE) 2024/1689, noto come AI Act, è il primo quadro normativo completo al mondo sull'intelligenza artificiale. Introduce un sistema di classificazione dei sistemi AI per livello di rischio — minimo, limitato, alto e inaccettabile — e definisce obblighi proporzionati per sviluppatori, fornitori e deployer. **Autovalutazione di Memori**:\ Memori s.r.l. ha condotto un'autovalutazione approfondita della piattaforma AIsuru rispetto agli obblighi del Regolamento (UE) 2024/1689 (AI Act). L'analisi dimostra che AIsuru — nella componente NLP proprietaria e nel sistema conversazionale — è ampiamente al di sotto di tutte le soglie rilevanti per la designazione come GPAI a rischio sistemico. Il sistema è classificato come AI a basso rischio per i casi d'uso standard, con obblighi di trasparenza già pienamente implementati. #### **Classificazione del sistema AI** La classificazione del sistema varia in funzione del contesto di utilizzo: * **Rischio limitato (caso standard)**: AIsuru utilizzato come assistente virtuale, supporto clienti, knowledge base aziendale o strumento di formazione rientra nella categoria a rischio limitato, con obblighi di trasparenza verso l'utente finale già implementati nella piattaforma * **Rischio alto (deployer responsibility)**: AIsuru può essere configurato dal cliente in contesti regolamentati (selezione del personale, valutazione del credito, diagnostica medica, ecc.) che rientrano nell'Allegato III dell'AI Act. In tal caso la responsabilità di valutazione e conformità ricade sul cliente nella sua veste di deployer **Analisi del rischio sistemico — MemoriNLP** MemoriNLP non supera nessuna delle soglie quantitative né qualitative previste dall'Art. 51 AI Act per la designazione come GPAI a rischio sistemico. Il sistema è ampiamente al di sotto delle soglie previste dalla norma per quanto riguarda capacità computazionale, impatto sul mercato e numero di utenti. La documentazione tecnica di supporto è disponibile su richiesta per le parti qualificate (auditor, autorità di vigilanza). **Documenti a supporto della conformità** * *Documentazione tecnica interna*: disponibile su richiesta a * *Documentazione pubblica*: la descrizione del sistema NLP proprietario di Memori è disponibile nella sezione dedicata di questo trust center **Responsabilità AI Act per modello di erogazione** La distribuzione delle responsabilità tra Memori e il cliente varia in funzione del modello contrattuale scelto: | Modello | Responsabilità Memori | Responsabilità Cliente | | -------------- | ---------------------------------------------------------------------------------- | ---------------------------------------------------------------------------- | | **SaaS** | Conformità della piattaforma, trasparenza verso gli utenti, obblighi del fornitore | Uso conforme alla destinazione d'uso prevista | | **PaaS** | Conformità della piattaforma, supporto alla configurazione | Configurazione degli Agenti, gestione utenti, conformità come deployer | | **On-Premise** | Fornitura del software conforme | Installazione, configurazione, gestione operativa e conformità come deployer | In tutti i modelli di erogazione, i dati inseriti nella piattaforma (contenuti degli Agenti, conversazioni, file caricati) rimangono di proprietà esclusiva del cliente. Memori non raccoglie alcun dato per addestrare, modificare o eliminare i propri modelli. I dati vengono utilizzati esclusivamente per erogare il servizio contrattualizzato. # Data residency UE I tuoi dati rimangono sempre nel UE. Memori s.r.l. ha scelto consapevolmente di localizzare l'intera infrastruttura della piattaforma AIsuru all'interno dell'Unione Europea. Questa scelta non è dettata solo dalla conformità normativa al GDPR, ma riflette un impegno concreto verso la sovranità del dato e la protezione della privacy degli utenti finali. *** #### Dove risiedono i tuoi dati La mappa completa della residenza dei dati per la piattaforma AIsuru è disponibile nella tabella seguente. | Tipo di dato | Provider | Sede | Regione | | ------------------------------------------------------------- | ------------------------------ | ---------------- | ------- | | Dati utenti, configurazioni Agenti, contenuti conversazionali | Cloudsome | Italia | EU | | File multimediali e asset degli Agenti | AWS S3 | Irlanda | EU | | Scansione malware sui file caricati | AWS GuardDuty | Irlanda | EU | | Dati strutturati MCP Gateway | MongoDB Atlas (AWS) | Germania | EU | | Log applicativi Rails e MCP Gateway | Hetzner | Germania | EU | | Dati di fatturazione e billing | Cloudsome (CloudFoundry) + AWS | Italia / Irlanda | EU | | Cache traduzioni DeepL (7 giorni) | Redis su Cloudsome/AWS | Irlanda | EU | #### Provider LLM e residenza del dato Quando il Cliente configura un Agente AIsuru con funzionalità di IA generativa, le query degli utenti possono essere inviate ai provider LLM selezionati. La residenza del dato dipende dal provider scelto: | Provider LLM | Sede principale | Residenza EU disponibile | Data Retention | | -------------------------- | --------------- | --------------------------------------------------- | --------------------------- | | **Mistral AI** | Francia, EU | Nativa | 30 giorni (solo anti-abuso) | | **Microsoft Azure OpenAI** | USA | Regioni EU configurabili | 30 giorni (solo anti-abuso) | | **Amazon Bedrock** | USA | Regioni EU configurabili | Zero data retention | | **Google Vertex** | USA | Regioni EU configurabili | 30 giorni (solo anti-abuso) | | **OpenAI** | USA | Zero Data Retention policy disponibile su richiesta | 30 giorni (solo anti-abuso) | | **Anthropic** | USA | Non disponibile attualmente | 30 giorni (solo anti-abuso) | #### Modelli di erogazione e residenza del dato La residenza del dato può variare in base al modello di erogazione scelto: * **SaaS e PaaS**: infrastruttura condivisa Cloudsome/AWS, tutti i datacenter in EU * **Private Cloud**: infrastruttura fisicamente dedicata presso provider specializzato (es. WIIT, Italia EU); maggiore isolamento fisico * **On-Premise**: i dati risiedono interamente nell'infrastruttura del Cliente, nella sede e nella regione da esso definita; Memori non ha alcun accesso ai dati operativi # Privacy Policy Come trattiamo i dati personali? ### Informativa al trattamento dei dati personali Con la presente, MEMORI S.R.L. in qualità di titolare del trattamento, desidera informare i propri utenti circa le modalità di trattamento dei loro dati personali, in conformità con il Regolamento europeo in materia di protezione dei dati personali n. 2016/679 (di seguito il "GDPR"). *** ### Titolare del trattamento Memori S.r.l., con sede in Via Gramsci, 1, 40051 Altedo (BO), P. IVA 03623961202, contattabile all'indirizzo email [**info@memori.ai**](mailto:info@memori.ai), è il titolare del trattamento in relazione ai dati personali descritti nella presente informativa. *** ### A chi si applica l'informativa La presente informativa si applica al trattamento, da parte del titolare, dei dati personali degli utenti che si registrano alla piattaforma AIsuru al fine di creare e gestire agenti conversazionali basati su intelligenza artificiale (di seguito gli "Interessati"). **Dati trattati** Raccogliamo esclusivamente i dati necessari per erogare il servizio: dati di registrazione (username, email, data di nascita), dati delle conversazioni con gli Agenti AI e metadati tecnici di sessione. I dati di fatturazione vengono raccolti solo per gli utenti SaaS. **Finalità** I dati vengono trattati per erogare i servizi richiesti, fornire assistenza, adempiere agli obblighi di legge e difendere i diritti del titolare in caso di contenzioso. **Conservazione** I dati sono conservati per il tempo strettamente necessario alle finalità per cui sono stati raccolti, nel rispetto della normativa applicabile. **I tuoi diritti** Hai diritto di accedere, rettificare, cancellare, limitare o ricevere in portabilità i tuoi dati, nonché di opporti al trattamento e di presentare reclamo al Garante per la Protezione dei Dati Personali ([www.garanteprivacy.it](https://www.garanteprivacy.it/)). Per esercitare i tuoi diritti: [**info@memori.ai**](mailto:info@memori.ai) **Trasferimento dei dati** I dati sono trattati prevalentemente all'interno dell'Unione Europea. In caso di trasferimento verso paesi terzi, vengono adottate le garanzie previste dall'art. 46 del GDPR. *** ### Modifiche e aggiornamenti La presente informativa è valida sin dalla data di efficacia indicata in calce. Il Titolare potrebbe apportare modifiche e/o integrazioni alla presente informativa, anche quale conseguenza di eventuali aggiornamenti normativi. Le modifiche saranno notificate in anticipo e gli Interessati potranno visionare il testo dell'informativa costantemente aggiornato sul sito.

Privacy Policy

# Cookie Policy La nostra cookie policy ### Cosa sono gli Strumenti di Tracciamento Questo Sito Web utilizza tecnologie di tracciamento (tra cui Cookie) per raccogliere informazioni o eseguire funzioni sul dispositivo dell'Utente. Si distinguono in: * **Prima parte**: gestiti direttamente da Memori SRL * **Terza parte**: gestiti da fornitori esterni ### Tipologie di utilizzo #### Cookie tecnici (necessari) Indispensabili per il corretto funzionamento del sito. Non richiedono consenso. #### Misurazione e statistica Utilizzati per analizzare il traffico e migliorare il servizio. **Google Analytics (Google LLC)** – Traccia e analizza l'utilizzo del sito. Dati trattati: Cookie e Dati di utilizzo. ### Come gestire il consenso Puoi gestire o revocare il consenso in qualsiasi momento tramite: * **Impostazioni del browser** (Chrome, Firefox, Safari, Edge, Opera, Brave…) * **Widget delle impostazioni di tracciamento** presente sul sito * **Link di opt-out** dei singoli fornitori terzi * **Impostazioni del dispositivo mobile** per app e pubblicità * **Iniziative di settore**: [YourOnlineChoices](https://www.youronlinechoices.eu/), [NAI](https://www.networkadvertising.org/), [DAA](https://www.aboutads.info/), [AppChoices](https://www.aboutads.info/appchoices) ### Titolare del Trattamento **Memori SRL** Via Gramsci, 1 – 40051 Altedo (BO)

Cookie Policy

# Politica d'Uso Accettabile della Piattaforma AIsuru I tuoi dati rimangono sempre nel UE. Memori s.r.l. progetta e gestisce la piattaforma **AIsuru** con l'obiettivo di garantire un utilizzo **etico, sicuro e responsabile** dell'intelligenza artificiale. La presente Acceptable Use Policy (AUP) non è un adempimento formale, ma un impegno operativo integrato in ogni aspetto dello sviluppo e dell'erogazione del servizio.\ \ **Principio fondamentale:** AIsuru è uno *strumento tecnologico*. Ogni Agente creato sulla piattaforma è un prodotto distinto di cui risponde il proprio creatore. Memori fornisce la piattaforma; il cliente è responsabile di come la utilizza. *** ### Ambito di Applicazione e Soggetti La AUP si applica a tutti i soggetti che interagiscono con la piattaforma, con ruoli e responsabilità distinte: | Soggetto | Ruolo AUP | Responsabilità principale | | ------------------------------- | --------------------------- | ------------------------------------------------------------ | | **Cliente / Sviluppatore** | Creatore dell'Agente | Configurazione, contenuti, conformità dell'Agente | | **Amministratore di Workspace** | Gestore tenant | Gestione utenti, accessi, policy interne | | **Utente Finale** | Fruitore dell'Agente | Uso in buona fede, no manipolazione | | **Partner / Integratore** | Sviluppatore API | Conformità tecnica, sicurezza integrazione | | **Memori s.r.l.** | Fornitore della piattaforma | Sicurezza piattaforma, moderazione, intervento su violazioni | **Modalità di accettazione:** * Utenti individuali → checkbox alla registrazione * Clienti B2B → firma contratto di licenza * Sviluppatori API → accettazione alla generazione della chiave API *** ### Principi Fondamentali **Human-First** La tecnologia AI potenzia l'essere umano senza sostituirne il giudizio in decisioni critiche. La supervisione umana è sempre possibile. Decisioni mediche, legali e finanziarie richiedono validazione professionale. **Responsabilità e Accountability** Chi crea un Agente risponde del suo comportamento. Il creatore configura, monitora e corregge. Memori fornisce la piattaforma sicura e interviene su violazioni manifeste. La responsabilità segue la creazione. **Trasparenza e Disclosure** Gli utenti finali hanno il diritto di sapere che stanno interagendo con un'AI. Ogni Agente deve identificarsi come tale. Gli output AI non devono essere presentati come prodotti da esseri umani. **Privacy by Design** Protezione dati integrata fin dalla progettazione. Raccogliere solo i dati necessari, usarli per gli scopi dichiarati, cancellarli quando non più necessari. I dati rimangono di proprietà del cliente: Memori non li raccoglie per addestramento né li elabora per propri modelli. **Equità e Non Discriminazione** Gli Agenti non devono amplificare bias. Il creatore è responsabile di testare e correggere comportamenti discriminatori basati su razza, genere, religione, disabilità, orientamento sessuale, età o nazionalità. *** ### Usi Consentiti La piattaforma AIsuru supporta applicazioni legittime in molteplici ambiti: | Ambito | Esempi di utilizzo consentito | | -------------------------------- | ------------------------------------------------------------------------ | | **Customer Service** | Chatbot assistenza, FAQ automatizzate, ticketing, supporto multilingua | | **Formazione ed Educazione** | Tutor virtuali, apprendimento lingue, quiz, simulazioni didattiche | | **Knowledge Management** | Guide interattive, knowledge base aziendali, navigazione contenuti | | **Creatività e Intrattenimento** | Storytelling, brainstorming, assistenti creativi, giochi conversazionali | | **Produttività Aziendale** | Automazione task, assistenti virtuali, analisi dati, gestione progetti | | **Accessibilità** | Assistenti per disabilità, sintesi vocale, semplificazione linguaggio | Gli usi commerciali sono consentiti con licenza appropriata: offrire servizi ai propri clienti, integrare Agenti in prodotti, monetizzare interazioni. Non è consentito rivendere accesso diretto senza accordo specifico con Memori. *** ### Usi Vietati e Contenuti Proibiti Le violazioni sono classificate per gravità. Le misure applicate sono proporzionali alla categoria. #### TOLLERANZA ZERO — Chiusura immediata + segnalazione alle autorità * CSAM e pedopornografia * Terrorismo e estremismo violento * Tratta di esseri umani e sfruttamento > Per segnalazioni urgenti: [**abuse@memori.ai**](mailto:abuse@memori.ai) — oggetto "URGENTE" #### VIETATO — Contenuti illegali e attività criminali * Traffico di sostanze illecite * Vendita illegale di armi * Frodi e truffe * Riciclaggio di denaro * Malware e attacchi informatici * Distribuzione di contenuti piratati * Documenti contraffatti #### VIETATO — Violenza e incitamento al danno * Minacce credibili verso persone o gruppi * Promozione di suicidio o autolesionismo * Hate speech basato su caratteristiche protette * Molestie e cyberstalking * Deepfake pornografici e revenge porn #### LIMITATO — Contenuti che richiedono disclaimer obbligatori Consentiti solo con disclaimer chiari che escludano consulenza professionale: * Informazioni mediche generali * Contenuti legali informativi * Educazione finanziaria #### LIMITATO — Contenuti sensibili e disinformazione * Contenuti espliciti vietati salvo eccezioni educative documentate * Deepfake consentiti solo con disclosure esplicita * Disinformazione sanitaria ed elettorale vietata Alcune categorie vietate ammettono eccezioni legittime documentate: | Categoria vietata | Eccezione legittima (se applicabile) | Requisiti per eccezione | | ---------------------------------- | ------------------------------------------------------- | ------------------------------------------------------- | | **Hacking e attacchi informatici** | Ethical hacking, penetration testing, bug bounty | Autorizzazione scritta documentata, ambiente isolato | | **Contenuti sessuali espliciti** | Educazione sessuale scientifica, discussioni artistiche | Contesto educativo/clinico, warning, protezione minori | | **Disinformazione** | Satira, fact-checking, debunking | Chiara etichettatura come satira o analisi critica | | **Riconoscimento biometrico** | Autenticazione volontaria, ricerca persone scomparse | Consenso esplicito, framework legale, AI Act compliance | *** ### Conformità Normativa #### GDPR – Protezione Dati Personali Il creatore dell'Agente agisce come titolare del trattamento per i dati raccolti tramite il proprio Agente. AIsuru fornisce gli strumenti tecnici conformi (cancellazione, esportazione, consenso); il creatore è responsabile dell'informativa, delle basi giuridiche e dei diritti degli interessati. **Principio fondamentale**: i dati inseriti nella piattaforma (contenuti Agenti, conversazioni, file caricati) rimangono di proprietà esclusiva del Cliente. Memori non raccoglie, non utilizza e non elabora tali dati per addestrare, modificare o migliorare i propri modelli o quelli di terzi. #### AI Act – Classificazione dei Rischi Il creatore è responsabile di autovalutare il livello di rischio del proprio Agente. AIsuru facilita la conformità ma non sostituisce questa responsabilità: | Livello di Rischio | Esempi di Agenti | Obblighi principali | | -------------------- | ----------------------------------------------------------------------------- | --------------------------------------------------------------- | | **INACCETTABILE** | Social scoring, manipolazione subliminale, biometria di massa non autorizzata | Vietato — non può essere creato sulla piattaforma | | **ALTO RISCHIO** | Recruiting, valutazione studenti, scoring creditizio, screening sanitario | Documentazione completa, supervisione umana, audit, trasparenza | | **RISCHIO LIMITATO** | Chatbot customer service, assistenti informativi | Disclosure natura AI obbligatoria agli utenti finali | | **RISCHIO MINIMO** | Filtri spam, giochi, assistenti creativi senza impatto su persone | Best practice — nessun obbligo specifico aggiuntivo | *** ### Responsabilità degli Utenti #### Creatori di Agenti * Configurare correttamente sicurezza e filtri dell'Agente * Caricare esclusivamente contenuti leciti e conformi alla AUP * Testare l'Agente prima della pubblicazione * Monitorare conversazioni e output in modo continuativo * Correggere tempestivamente comportamenti problematici * Rispondere alle segnalazioni degli utenti finali * Garantire conformità contrattuale verso i propri utenti finali (usi commerciali) #### Utenti Finali * Utilizzare la piattaforma in buona fede, nel rispetto delle regole * Non tentare manipolazioni (prompt injection, jailbreaking, elusione dei controlli) * Rispettare i limiti d'uso imposti dall'Agente e dal piano * Segnalare comportamenti anomali o contenuti inappropriati #### Memori s.r.l. * Fornire una piattaforma tecnicamente sicura e normativamente conforme * Implementare sistemi di moderazione automatica e manuale * Supportare i clienti nella conformità * Intervenire tempestivamente su violazioni segnalate o rilevate * Non effettua controllo preventivo di ogni Agente — interviene su segnalazione {% hint style="info" %} **Distinzione fondamentale**: AIsuru è lo strumento. L'Agente è il prodotto creato con lo strumento. Così come una piattaforma di pubblicazione non è autrice di ogni contenuto pubblicato, Memori non è responsabile degli output di ogni Agente creato da terzi. {% endhint %} *** ### Segnalazione Violazioni e Misure Correttive #### Canali di Segnalazione | Tipo di violazione | Canale | Tempi di risposta | | -------------------------------- | ----------------------------------------------------------------- | -------------------------- | | CSAM, terrorismo, traffico umani | [**abuse@memori.ai**](mailto:abuse@memori.ai) — oggetto "URGENTE" | Immediata | | Violazioni moderate | [**support@memori.ai**](mailto:support@memori.ai) | Entro 5 giorni lavorativi | | Segnalazioni generali | Sistema di feedback integrato nella piattaforma | Entro 10 giorni lavorativi | #### Misure Correttive Proporzionali | Gravità | Esempi | Misura applicata | | -------------- | ---------------------------------------------------------------------- | -------------------------------------------------- | | **LIEVE** | Infrazioni tecniche minori, errori configurazione | Avviso formale con richiesta di correzione | | **MODERATA** | Violazioni ripetute lievi, contenuti inappropriati non gravi | Sospensione temporanea + modifiche obbligatorie | | **GRAVE** | Hate speech, disinformazione dannosa, violazioni privacy significative | Sospensione prolungata + rimozione Agente | | **GRAVISSIMA** | CSAM, terrorismo, traffico umani | Chiusura immediata account + segnalazione autorità | #### Procedura di Ricorso Gli utenti possono contestare decisioni di sospensione o chiusura entro 30 giorni dalla notifica, inviando comunicazione scritta a [**appeals@memori.ai**](mailto:appeals@memori.ai). Il ricorso è esaminato da personale diverso da chi ha adottato la misura originaria. Risposta entro 30 giorni lavorativi. *** ### Aggiornamenti della Policy * **Modifiche sostanziali**: notifica via email con almeno 30 giorni di anticipo * **Modifiche minori o chiarificatorie**: preavviso ridotto con avviso sulla piattaforma * Il proseguimento dell'utilizzo dopo l'entrata in vigore costituisce accettazione * Gli utenti che non accettino possono esportare i propri dati prima della data di efficacia * Versioni precedenti disponibili per consultazione storica *** {% file src="/files/Vrhp6hF4u13HXGKz7wCE" %} # Data Retention Per quanto tempo conserviamo i tuoi dati e cosa succede quando li eliminiamo. Memori adotta politiche di retention del dati basate sul principio di minimizzazione previsto dal GDPR. I dati vengono conservati solo per il tempo strettamente necessario alle finalità per cui sono stati raccolti. Di seguito il dettaglio completo per ciascuna tipologia di dato. *** #### Dati di account e autenticazione | Tipo di dato | Periodo di conservazione | Note | | -------------------------------- | ------------------------------------------ | ---------------------------------------------- | | Email, username, data di nascita | Fino a cancellazione account | Necessari dall'utente in fase di registrazione | | Token di sessione | 30 giorni di inattività o chiusura browser | Generato automaticamente | | Preferenze utente | Fino a cancellazione account | Frequenze notifiche, immagine profilo | | Storico ultimo accesso | Fino a cancellazione account | Aggiornato automaticamente | *** #### Dati degli Agenti e contenuti | Tipo di dato | Periodo di conservazione | Note | | ------------------------------------------------------------------- | --------------------------------------- | --------------------------------------- | | Configurazione Agente (nome, descrizione, istruzioni, impostazioni) | Fino a cancellazione Agente | | | Contenuti (copie conversazioni/depositi, varianti, tag) | Fino a modifica o cancellazione manuale | | | Media allegati ai contenuti (immagini, video, PDF) | Fino a cancellazione Agente | Archiviati su AWS S3 | | Nome documento importato | Fino a cancellazione Agente | | | Testo originale documento importato | Fino a cancellazione Agente | Solo se l'utente sceglie di conservarlo | *** #### Dati delle conversazioni | Tipo di dato | Periodo di conservazione | Note | | ---------------------------------------------------------------------- | --------------------------------------------------------------------- | ------------------------------------- | | Trascrizione chat | Fino a cancellazione chat o scadenza retention configurata dall'admin | | | Metadati sessione (IP anonimizzato, user agent, timestamp, URL pagina) | Fino a cancellazione chat | IP sempre anonimizzato | | Documenti caricati in chat | Eliminati post-processo | Solo i metadati rimangono permanenti | | Cache traduzioni messaggi | 7 giorni | Non include output di IA generativa | | Log di sistema (solo metadati operativi, non il contenuto) | Permanente fino a cancellazione manuale | Non include testo delle conversazioni | {% hint style="info" %} **Nota per modelli PaaS:** Il periodo di retention delle conversazioni è configurabile dall'amministratore del tenant tramite il pannello di amministrazione. Al termine del periodo configurato, i messaggi vengono eliminati definitivamente e in modo irreversibile. {% endhint %} *** #### Dati contestuali e Pensiero Profondo | Tipo di dato | Periodo di conservazione | Note | | ------------------------------ | -------------------------------------------------- | --------------------------------------------------- | | Posizione geografica | Non conservata | Utilizzata solo nel contesto della sessione | | Data e ora | Non conservata | Utilizzata solo per personalizzazione temporale | | Fatti noti (Pensiero Profondo) | Fino a eliminazione da parte dell'Utente-detentore | Visibili e cancellabili dall'utente in ogni momento | | Interessi (Pensiero Profondo) | Fino a eliminazione da parte dell'Utente-detentore | | *** #### Dati di fatturazione (solo SaaS) | Tipo di dato | Periodo di conservazione | Note | | ----------------------------------------------------------- | ---------------------------------------------------------------------- | --------------------------------------------------------------------- | | Fattura emessa | 10 anni dalla data di emissione | Obbligo fiscale italiano; conservate anche dopo cancellazione account | | Profilo di fatturazione (dati anagrafici) | Fino a cancellazione account; poi conservato solo nelle fatture emesse | Obbligo fiscale | | Metodi di pagamento (brand carta, ultime 4 cifre, scadenza) | Eliminati alla cancellazione account | Il numero completo della carta non viene mai memorizzato da Memori | | Consumi e utilizzo | Eliminati alla cancellazione account | | *** #### Cancellazione account e Agenti **Eliminazione di un Agente:** rimuove tutti i dati dell'Agente (contenuti, conversazioni, media, configurazione). Nel log di sistema rimangono solo metadati operativi anonimi (tipo di operazione, non il contenuto). **Eliminazione dell'account:** rimuove tutti i dati dell'Utente. È necessario cancellare manualmente tutti gli Agenti prima di procedere con la cancellazione dell'account. L'operazione è irreversibile. {% hint style="success" %} Memori non raccoglie, non utilizza e non trasferisce i dati degli utenti per personalizzare o migliorare i propri modelli o quelli di terzi. I dati vengono utilizzati esclusivamente per erogare il servizio contrattualizzato. {% endhint %} *** #### Diritti degli Interessati Gli utenti possono in qualsiasi momento: * Accedere alle proprie conversazioni e ai propri "Fatti noti" tramite la dashboard * Cancellare singole conversazioni, fatti noti o l'intero account * Esportare i propri dati tramite le funzioni di backup (CSV, JSONL, ZIP) * Richiedere informazioni sul trattamento dei dati a # GDPR Come Memori applica il Regolamento europeo sulla protezione dei dati nella piattaforma AIsuru. Memori s.r.l. progetta e gestisce la piattaforma AIsuru in piena conformità al Regolamento UE 2016/679 (GDPR). Questo significa che la protezione dei dati personali non è trattata come un adempimento formale, ma come un requisito tecnico e organizzativo integrato in ogni aspetto dello sviluppo e dell'erogazione del servizio, secondo il principio di **Privacy by Design** e **by Default**. *** #### Ruoli e responsabilità nel trattamento dei dati La corretta identificazione dei ruoli è fondamentale per comprendere la responsabilità di ciascun soggetto coinvolto: | Soggetto | Ruolo GDPR | Dati trattati | | ---------------------------------------------------- | --------------------------------------------------- | ------------------------------------------------------------------------------------------------- | | Cliente (azienda o professionista che usa AIsuru) | Titolare del trattamento | Dati degli utenti finali degli Agenti (conversazioni, profilo autenticati, fatti noti) | | Memori s.r.l. | Responsabile del trattamento | Dati di piattaforma per conto del Cliente | | Provider infrastrutturali (AWS e altri, tutti in EU) | Sub-responsabili del trattamento (infrastruttura) | Dati ospitati nell'infrastruttura | | Provider LLM (OpenAI, Anthropic, Mistral, ecc.) | Sub-responsabili del trattamento (elaborazione LLM) | Query inviate dal Cliente per elaborazione | | Utente finale | Interessato | I propri dati personali | | Memori s.r.l. | Titolare del trattamento | Dati di account degli utenti registrati su [aisuru.com](http://aisuru.com/), dati di fatturazione | > **Principio fondamentale:** I dati inseriti nella piattaforma (contenuti degli Agenti, conversazioni, file caricati) rimangono di proprietà esclusiva del Cliente. Memori non raccoglie, non utilizza e non trasferisce tali dati per addestrare, modificare o migliorare i propri modelli o quelli di terzi. *** #### Misure tecniche e organizzative Memori ha implementato le seguenti misure a tutela dei dati personali: **Misure tecniche** * Cifratura in transito tramite HTTPS/TLS per tutte le comunicazioni * Protezione dei file archiviati su AWS S3 in conformità alle policy di sicurezza documentate nel sistema di gestione * Anonimizzazione automatica degli indirizzi IP nei log di sistema * Scansione malware automatica sui file caricati (AWS GuardDuty) * Controllo degli accessi ai sistemi interni con politiche di autenticazione rafforzata per il team * Separazione logica (multi-tenant) o fisica (Private Cloud, On-Premise) dei dati dei clienti **Misure organizzative** * Sistema di Gestione della Sicurezza delle Informazioni certificato **ISO 27001:2022** * Sistema di Gestione della Qualità certificato **ISO 9001:2015** * Audit periodici sui processi di trattamento * Formazione del personale sulla protezione dei dati * Politiche di accesso minimo (*least privilege*) per il team interno * Accordi di trattamento dati (DPA) con tutti i sub-responsabili *** #### Trasferimenti di dati extra-UE L'infrastruttura principale di Memori è localizzata nell'UE. Per i provider LLM con sede negli USA (OpenAI, Anthropic), il trasferimento avviene nel rispetto dell'art. 46 GDPR, in particolare attraverso: * **Clausole Contrattuali Standard (SCC)** approvate dalla Commissione Europea * Adesione al framework **EU-US Data Privacy Framework** (dove applicabile) * Politiche di data retention limitate dei provider, finalizzate esclusivamente alla prevenzione degli abusi. Alcuni provider offrono zero data retention su richiesta. Per i dettagli di ciascun provider si rimanda alla relativa documentazione ufficiale. *** #### Diritti degli interessati e come esercitarli Ogni utente della piattaforma AIsuru ha il diritto di: 1. **Accesso** — visualizzare i trattamenti in dashboard; richiedere informazioni scritte a 2. **Rettifica** — modificare i propri dati di profilo direttamente dalla dashboard 3. **Cancellazione** — eliminare le conversazioni, i fatti noti o il proprio account dalla dashboard 4. **Portabilità** — esportare i propri dati nei formati disponibili 5. **Limitazione del trattamento** — richiedere la sospensione del trattamento in determinati casi 6. **Opposizione** — opporsi al trattamento per motivi legittimi 7. **Reclamo** — presentare reclamo al Garante per la Protezione dei Dati Personali: [www.garanteprivacy.it](https://www.garanteprivacy.it/) Per esercitare i propri diritti: *** #### Documentazione GDPR disponibile | Documento | Disponibile | | ------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------- | | Privacy e Cookie Policy | [aisuru.com/en/privacy\_and\_cookie](https://aisuru.com/en/privacy_and_cookie) | | Acceptable Use Policy | [Politica di Uso Accettabile della Piattaforma AIsuru](https://www.aisuru.com/it/mattia.bergami/ISO%20expert%20CERTIFICAZIONE%20MEMORI/interact#) | | Data Processing Agreement (DPA) | Su richiesta — | # Incident response Come Memori rileva, gestisce e comunica gli incidenti di sicurezza e disservizi. La gestione degli incidenti è un processo strutturato che Memori ha formalizzato nell'ambito del proprio Sistema di Gestione della Sicurezza delle Informazioni (ISO 27001). L'obiettivo è minimizzare l'impatto di qualsiasi evento avverso — che si tratti di un disservizio tecnico, un incidente di sicurezza o una violazione dei dati — garantendo comunicazione tempestiva e azioni correttive documentate. *** #### Monitoraggio continuo La piattaforma AIsuru è monitorata h24 tramite una combinazione di strumenti automatizzati che coprono: * Disponibilità dei servizi esposti verso gli utenti finali * Tracciamento centralizzato delle richieste con log di metadati (non include il contenuto delle conversazioni) * Aggregazione log e monitoraggio delle risorse infrastrutturali * Rilevamento automatico degli errori applicativi imprevisti * Notifiche automatiche per eventi di downtime * Monitoraggio della disponibilità dei provider LLM integrati tramite le rispettive status page ufficiali *** #### Classificazione degli incidenti Gli incidenti vengono classificati in base alla gravità secondo criteri documentati nell'ambito del Sistema di Gestione ISO 27001. *** #### Processo di gestione **1. Rilevazione** Gli incidenti vengono rilevati tramite i sistemi di monitoraggio automatico oppure segnalati da utenti tramite i canali di supporto (, ). **2. Valutazione e contenimento** Il team tecnico valuta la natura e la gravità dell'incidente e attiva le misure di contenimento appropriate. In caso di incidente di sicurezza, viene isolato il componente compromesso e avviate le procedure di analisi forense. **3. Comunicazione agli utenti** * **Manutenzioni programmate:** gli utenti ricevono notifica tramite banner in piattaforma nella giornata del rilascio, con indicazione della finestra temporale * **Incidenti non programmati:** gli amministratori di piattaforma (PaaS) vengono notificati via email * **Violazioni di dati personali:** la notifica alle autorità competenti (Garante Privacy) avviene entro 72 ore dalla scoperta, come previsto dall'art. 33 GDPR; il Titolare del trattamento (Cliente) viene informato senza ingiustificato ritardo * **Incidenti significativi**: in conformità con gli obblighi previsti dalla Direttiva NIS2 (D.Lgs. 138/2024), Memori effettua pre-notifica all'Agenzia per la Cybersicurezza Nazionale (ACN) entro 24 ore dalla scoperta e notifica completa entro 72 ore **4. Risoluzione e retrospettiva** Al termine della risoluzione, il team esegue una riunione di retrospettiva per analizzare l'evento, identificarne le cause radice e definire azioni preventive documentate. Questo processo alimenta il ciclo di miglioramento continuo previsto dalla ISO 27001. *** #### Comunicazione preventiva per i provider LLM AIsuru avvisa automaticamente gli utenti-fruitori prima di avviare una chat qualora i provider LLM integrati segnalino problemi ai propri servizi, tramite le status page ufficiali di OpenAI ([status.openai.com](https://status.openai.com/)), Anthropic ([status.anthropic.com](https://status.anthropic.com/)) e Mistral ([status.mistral.ai](https://status.mistral.ai/)). {% hint style="info" %} La procedura formale di Incident Response è un documento interno riservato, disponibile su richiesta per clienti con contratto PaaS o Enterprise previa firma di NDA. Contattare per maggiori informazioni. {% endhint %} # Analisi Gestione Rischio Sistemico Valutazione del rischio sistemico del modello GPAI di Memori s.r.l. ai sensi del Regolamento (UE) 2024/1689. Memori s.r.l. pubblica e mantiene aggiornata la documentazione relativa all'analisi del rischio sistemico del proprio modello GPAI (MemoriNLP), in conformità con quanto previsto dal Capo V dell'AI Act europeo (Regolamento UE 2024/1689). Tutti i documenti sono redatti con rigore metodologico e in linguaggio accessibile, con l'obiettivo di garantire piena trasparenza verso utenti, clienti, partner e autorità di vigilanza. *** #### Cos'è questa relazione La relazione documenta il processo di analisi condotto da Memori s.r.l. per verificare se il proprio modello GPAI (MemoriNLP), alla base della piattaforma AIsuru, presenti caratteristiche di rischio sistemico ai sensi dell'articolo 51 del Regolamento (UE) 2024/1689. La metodologia adottata segue il Code of Practice sulle GPAI e integra criteri tecnici quantitativi e analisi qualitativa per ciascuna tipologia di rischio. *** #### Cosa trovi nel documento * Contesto aziendale e descrizione tecnica del sistema AIsuru * Metodologia di analisi del rischio (bifasica: quantitativa + qualitativa) * Analisi dei criteri dell'Allegato XIII dell'AI Act * Valutazione qualitativa delle 5 categorie di rischio sistemico (salute, sicurezza, diritti fondamentali e altri) * Classificazione finale del modello e obblighi normativi applicabili * Procedure di monitoraggio, revisione e controllo nel tempo {% file src="/files/RBeiyPqDfigSs5CVnx4V" %} # GPAI: Modelli di IA per Finalità Generali Conformità di Memori s.r.l. al Regolamento UE 2024/1689 — AI Act, Capo V Il **Capo V del Regolamento (UE) 2024/1689**, noto come AI Act, introduce un quadro normativo specifico per i **modelli di IA per finalità generali (GPAI)**: sistemi addestrati su larga scala, capaci di svolgere un'ampia gamma di compiti distinti e integrabili in molteplici applicazioni a valle. Memori s.r.l. rientra nell'ambito di applicazione di questa disciplina in qualità di **provider del modello MemoriNLP**, immesso sul mercato dell'Unione il 22 dicembre 2021. *** ### Cosa si intende per modello GPAI * **Generalità significativa:** capacità di svolgere compiti diversi in contesti applicativi eterogenei, non limitati a un singolo dominio o funzione * **Soglia computazionale:** addestramento con una potenza di calcolo superiore a 10²⁵ FLOP — criterio quantitativo stabilito dall'Art. 51 AI Act per la classificazione * **Integrazione a valle:** il modello può essere incorporato in sistemi AI sviluppati da terze parti (provider downstream), amplificando il proprio impatto sul mercato * **Rischio sistemico:** l'Art. 51 AI Act stabilisce che i modelli GPAI addestrati con potenza di calcolo superiore a 10²⁵ FLOPs sono presunti ad alto impatto sistemico e soggetti agli obblighi rafforzati dell'Art. 55. MemoriNLP è ampiamente al di sotto di questa soglia. *** ### Come Memori è allineata MemoriNLP è un modello NLP di tipo GPAI addestrato esclusivamente su contenuti enciclopedici Wikipedia (IT, EN, FR) sotto licenza CC BY-SA 3.0. Memori ha adottato un approccio di conformità strutturato che copre tutti gli obblighi previsti dall'Art. 53 e, ove applicabili, dall'Art. 55 dell'AI Act. * **Trasparenza sui dati di training:** documentazione pubblica delle fonti, delle caratteristiche linguistiche e delle misure anti-bias adottate * **Conformità copyright:** utilizzo esclusivo di dataset con licenze compatibili con il text and data mining ai sensi della Direttiva (UE) 2019/790 * **Tutela dei dati degli utenti:** i dati degli utenti rimangono di proprietà del cliente — Memori non raccoglie né utilizza dati di interazione per addestrare, modificare o aggiornare il modello * **Informazioni ai provider downstream :**documentazione tecnica e istruzioni d'uso messe a disposizione per consentire un'integrazione responsabile del modello * **Monitoraggio e incident reporting:** procedure interne per la rilevazione e segnalazione di incidenti gravi in linea con gli obblighi dell'AI Act *** ### Documentazione GPAI disponibile Memori produce e mantiene aggiornato un set di documenti GPAI strutturati per audience diversi — dall'AI Office europeo ai Data Protection Officer, fino al pubblico generale. {% tabs %} {% tab title="AIO - AI OFFICE" %} [AIO — AI Office ](/documenti-legali/gpai-modelli-di-ia-per-finalita-generali/documento-gpai-aio)\ Documentazione tecnica completa redatta ai sensi della Measure 1.1 del Codice di Condotta GPAI. Contiene architettura, parametri di training, risorse computazionali, benchmark e Safety & Security Framework. \ Riservato — Solo AI Office {% endtab %} {% tab title="NCAs - Autorità Nazionali" %} [NCAs — Autorità Nazionali](/documenti-legali/gpai-modelli-di-ia-per-finalita-generali/documento-gpai-ncas)\ Versione strutturata della documentazione tecnica destinata alle Autorità Nazionali Competenti (NCAs). Include elementi tecnici e di governance necessari per le attività di vigilanza e supervisione.\ \ Riservato — Su richiesta formale {% endtab %} {% tab title="DPs - Provider" %} [DPs — Downstream Providers](/documenti-legali/gpai-modelli-di-ia-per-finalita-generali/documento-gpai-dps)\ Informazioni destinate ai provider che integrano MemoriNLP nelle proprie applicazioni. Descrive capacità, limitazioni, casi d'uso consentiti e indicazioni per un'integrazione responsabile.\ \ Disponibile ai partner registrati {% endtab %} {% tab title="Public Summary of Training Content" %} [Public Summary of Training Content](/documenti-legali/gpai-modelli-di-ia-per-finalita-generali/public-summary-of-training-content) Riepilogo pubblico dei dati di addestramento redatto secondo il template ufficiale della Commissione Europea (v2.0), ai sensi dell'Art. 53(1)(d) dell'AI Act. {% endtab %} {% endtabs %} # Documento GPAI: AIO Documento riservato all'AI Office europeo Il documento AIO (AI Office) è la forma più completa della documentazione tecnica di MemoriNLP redatta ai sensi della **Measure 1.1 del Code of Practice GPAI** e dell'Art. 53 del Regolamento UE 2024/1689 (AI Act). Contiene tutte le informazioni tecniche, computazionali e sui dati di addestramento necessarie all'AI Office per esercitare le proprie funzioni di supervisione sui modelli di IA per finalità generali. #### Cosa contiene il documento AIO * **Identità completa del provider:** ragione sociale, endpoint URL di autenticità del modello * **Architettura e specifiche tecniche dettagliate:** design fastText + DistilBERT, parametri di training, decision rationale * **Dimensione esatta del modello** * **Dati di addestramento — dettaglio completo:** come ottenuti, numero esatto di token, scope e caratteristiche del corpus * **Misure anti-bias e anti-contenuti inadatti:** analisi delle criticità sistemiche e contromisure adottate * **Risorse computazionali** * **Consumo energetico e benchmark inferenza:** training e inferenza con metodologia di misurazione * **Canali di distribuzione e licenza:** tutti i modelli di erogazione (SaaS, PaaS, Private Cloud, On-Premise) #### Come richiedere il documento AIO Il documento AIO **non è pubblico** e non è distribuito proattivamente. Viene reso disponibile esclusivamente su richiesta formale dell'AI Office (AIO), d'ufficio o su istanza delle NCAs. Le richieste devono indicare base giuridica e scopo, e riguardare solo gli elementi strettamente necessari all'esercizio delle funzioni dell'AIO. * **Soggetto legittimato:** esclusivamente l'AI Office europeo (AIO) * **Modalità:** richiesta formale con indicazione di base giuridica e finalità * **Trattamento:** ai sensi dell'Art. 78 AI Act (riservatezza e segreto commerciale) * **Contatto Memori:** — oggetto "Richiesta AIO – MemoriNLP" {% hint style="warning" %} Le informazioni contenute nel documento AIO sono protette dalla clausola di riservatezza e dalla tutela del segreto commerciale previste dall'**Art. 78 AI Act**. Qualsiasi divulgazione non autorizzata costituisce violazione normativa. {% endhint %}

Richiedi AIO

# Documento GPAI: NCAs Documento per le Autorità Nazionali Competenti Il documento NCAs (National Competent Authorities) è destinato alle **Autorità Nazionali Competenti** degli Stati Membri dell'UE nell'esercizio delle proprie funzioni di vigilanza ai sensi dell'AI Act. Contiene le informazioni necessarie a valutare la conformità dei sistemi AI ad alto rischio costruiti su MemoriNLP, in particolare quando il provider del sistema è diverso da Memori s.r.l. #### Cosa contiene il documento NCAs * **Identità del provider e autenticità modello:** ragione sociale, endpoint URL, date di rilascio * **Architettura e specifiche di design:** descrizione del sistema ibrido fastText + DistilBERT e rationale delle scelte progettuali * **Dimensione modello (range):** 500M – 5B parametri * **Dati di addestramento:** tipo, provenienza, numero di token, scope e caratteristiche del corpus * **Misure anti-bias e anti-contenuti inadatti:** criticità sistemiche rilevate e contromisure * **Risorse computazionali (ordine di grandezza):** tempo di training qualitativo * **Consumo energetico e benchmark inferenza:** con metodologia di misurazione * **Canali di distribuzione e licenza:** tutti i modelli di erogazione * **Acceptable Use Policy e usi previsti** #### Come richiedere il documento NCAs Il documento NCAs **non è pubblico** e non è distribuito proattivamente. Viene reso disponibile su richiesta dell'AI Office (AIO), formulata su propria iniziativa o su istanza dell'Autorità Nazionale Competente interessata. Le richieste devono indicare base giuridica e scopo specifico. * **Soggetto legittimato:** Autorità Nazionali Competenti degli Stati Membri UE, tramite AIO * **Modalità:** richiesta formale tramite AIO, con indicazione di base giuridica e finalità di vigilanza * **Trattamento:** ai sensi dell'Art. 78 AI Act (riservatezza e segreto commerciale) * **Contatto Memori:** — oggetto "Richiesta NCAs – MemoriNLP" {% hint style="info" %} A differenza del documento AIO, il documento NCAs non include i valori computazionali precisi (es. numero esatto di token, FLOPs dettagliati) né le specifiche relative al processo di ottenimento e selezione dei dati di training. Tali informazioni rimangono riservate all'AI Office. {% endhint %}

Richiedi NCAs

# Documento GPAI: DPs Documento per i Downstream Providers Il documento DPs (Downstream Providers) è destinato a tutti i **provider di sistemi AI che integrano MemoriNLP** nei propri prodotti e servizi. È l'unico dei tre documenti distribuito **proattivamente** da Memori s.r.l., senza necessità di richiesta formale. Contiene le informazioni tecniche e operative necessarie per una corretta integrazione e per adempiere agli obblighi normativi del sistema AI risultante. #### Cosa contiene il documento DPs * **Identificazione del modello:** nome, date di rilascio, dipendenze * **Architettura (sintesi):** sistema ibrido NLP multi-livello, modalità di input/output, dimensione * **Canali di distribuzione e licenza:** SaaS, PaaS, Private Cloud, On-Premise — termini di utilizzo, divieti, NDA * **Servizi integrativi:** AIsuru Academy (formazione a pagamento su AI generativa e creazione agenti) * **Acceptable Use Policy e usi previsti** * **Mezzi tecnici di integrazione (esclusivo DPs):** API RESTful, JavaScript SDK, documentazione step-by-step, code examples (Python, JS, Node.js) * **Hardware e software richiesti:** N/A lato cliente (servizio cloud-based); requisiti minimi di browser per accesso web * **Dati di training (sintesi):** tipo, provenienza, metodologie di data curation #### Come ricevere il documento DPs Il documento DPs viene reso disponibile **automaticamente e proattivamente** da Memori s.r.l. a tutti i soggetti che integrano MemoriNLP. Per ricevere il documento, scrivere a **** indicando: * **Ragione sociale e P.IVA** dell'organizzazione * **Modello di erogazione utilizzato** (SaaS, PaaS, Private Cloud, On-Premise) * **Referente tecnico** responsabile dell'integrazione * **Caso d'uso previsto** per il sistema AI risultante {% hint style="warning" %} Integrando MemoriNLP, il cliente assume il ruolo di **"fornitore AI"** del sistema risultante ai sensi dell'AI Act e deve condurre la propria valutazione del rischio specifica per il caso d'uso implementato. Il documento DPs non sostituisce tale obbligo. {% endhint %}

Richiedi DPs

# Public Summary of Training Content Sintesi pubblica dei contenuti di addestramento — MemoriNLP | Memori s.r.l. {% hint style="info" icon="clipboard" %} Questo documento è redatto in conformità al **Template della Commissione Europea** per la sintesi pubblica dei contenuti di training dei modelli GPAI, richiesto dall'**Art. 53(1)(d) del Regolamento UE 2024/1689 (AI Act)**. È l'unico documento GPAI di Memori s.r.l. accessibile liberamente al pubblico. {% endhint %} ### Cosa contiene il documento * **Identificazione del provider e del modello:**ragione sociale, dati di contatto, nome e versione di MemoriNLP, data di immissione sul mercato UE * **Modalità e dimensione dei dati di training:**tipologia di contenuti utilizzati, lingue rappresentate e stima del volume complessivo in token * **Fonti dei dati:**dataset pubblicamente disponibili, dataset privati di terze parti, dati da crawling, dati utente e dati sintetici — con indicazione esplicita per ciascuna categoria * **Rispetto dei diritti di text and data mining:**misure adottate per conformarsi all'Art. 4(3) della Direttiva (UE) 2019/790 e alla copyright policy prevista dall'AI Act * **Rimozione di contenuti illeciti:**approcci e criteri applicati nella selezione e pulizia del dataset * **Caratteristiche linguistiche e bias strutturali:**distribuzione del corpus e misure di mitigazione adottate *** ### Perché questo documento è pubblico L'AI Act impone ai provider di modelli GPAI di rendere accessibile un riepilogo sintetico delle informazioni sui dati di training, a beneficio dei **provider downstream**, dei **deployer** e del pubblico interessato. Questo documento non contiene dettagli tecnici proprietari né informazioni commerciali sensibili: per quella documentazione si rimanda al documento **AIO (AI Office)**, disponibile su richiesta formale. {% hint style="info" %} I dati degli utenti rimangono in ogni caso di esclusiva proprietà del cliente. Memori non raccoglie né utilizza dati di interazione per addestrare, modificare o aggiornare il modello MemoriNLP. Nessun dato personale identificabile è stato incluso nel corpus di training. {% endhint %} {% file src="/files/kd5OO5j0RDsrngvekya4" %} # DPA Il contratto che definisce come trattiamo i tuoi dati. Il Data Processing Agreement (DPA) — o Accordo sul Trattamento dei Dati — è il documento contrattuale che regola, ai sensi dell'articolo 28 del Regolamento UE 2016/679 (GDPR), il trattamento dei dati personali effettuato da Memori s.r.l. in qualità di Responsabile del trattamento per conto del Cliente, che agisce come Titolare del trattamento. Il DPA è un documento obbligatorio ogni volta che un titolare del trattamento affida operazioni di trattamento di dati personali a un soggetto terzo. Nel caso di AIsuru, ciò avviene quando il Cliente utilizza la piattaforma per gestire Agenti conversazionali che interagiscono con i propri utenti finali e ne trattano i dati. #### Cosa contiene il DPA di Memori Il DPA di Memori include: * **Oggetto e durata del trattamento:** descrizione delle attività di trattamento svolte da Memori per conto del Cliente * **Natura e finalità del trattamento:** i dati vengono trattati esclusivamente per erogare il servizio contrattualizzato; nessun utilizzo per finalità proprie di Memori * **Tipo di dati personali e categorie di interessati:** dati degli utenti finali degli Agenti (conversazioni, dati di profilo se autenticati, fatti noti se Pensiero Profondo è attivo) * **Obblighi e diritti del Titolare:** istruzioni che il Cliente può impartire a Memori * **Misure tecniche e organizzative:** le misure di sicurezza implementate da Memori a protezione dei dati * **Subresponsabili del trattamento:** elenco dei soggetti terzi (provider cloud, LLM, ecc.) a cui Memori ricorre e condizioni per il loro utilizzo * **Gestione delle violazioni dei dati:** procedure di notifica al Titolare in caso di data breach * **Diritti degli interessati:** modalità con cui Memori supporta il Cliente nell'esercizio dei diritti degli interessati * **Cancellazione e restituzione dei dati:** procedure al termine del contratto #### Come richiedere il DPA Il DPA non è pubblicato direttamente nel Trust Center in quanto documento contrattuale bilaterale. È disponibile su richiesta. Per ricevere il template DPA, scrivere a indicando: * Ragione sociale e P.IVA dell'organizzazione * Modello di erogazione utilizzato (SaaS, PaaS, ecc.) * Referente legale o DPO dell'organizzazione {% hint style="warning" %} Per i modelli PaaS, Private Cloud e On-Premise, il DPA è parte integrante del contratto commerciale e viene sottoscritto contestualmente all'accordo principale. {% endhint %}

Richiedi DPA

# Condizioni di Servizio Il contratto che regola il tuo rapporto con Memori I Termini e Condizioni generali di AIsuru regolano il rapporto contrattuale tra Memori s.r.l. e l'utente per l'utilizzo della piattaforma. Sono scritti in modo da essere comprensibili anche ai non addetti ai lavori, pur garantendo la necessaria precisione giuridica. #### Cosa coprono i Termini e Condizioni I Termini e Condizioni di AIsuru disciplinano tra l'altro: * Le modalità di accesso e utilizzo della piattaforma * I diritti e gli obblighi di Memori e dell'utente * La proprietà intellettuale dei contenuti e della piattaforma * Le limitazioni di responsabilità di Memori * Le condizioni economiche per il modello SaaS (sistema a crediti) * Le regole per la creazione e gestione degli Agenti * Le condizioni di sospensione o chiusura dell'account * Il foro competente e la legge applicabile (legge italiana) #### Applicabilità per modello di erogazione | Modello | Documento contrattuale principale | | ----------------- | ----------------------------------------------------------------------------- | | **SaaS** | Termini e Condizioni pubblici (accettati in fase di registrazione) | | **PaaS** | Accordo commerciale personalizzato (integra i T\&C con condizioni specifiche) | | **Private Cloud** | Accordo commerciale personalizzato + condizioni del provider dedicato | | **On-Premise** | Contratto di licenza software + contratto di manutenzione | {% hint style="info" %} Per i modelli PaaS, Private Cloud e On-Premise, le condizioni contrattuali specifiche vengono definite nel corso della trattativa commerciale e possono integrare o specificare quanto previsto nei T\&C generali. Per informazioni, contattare {% endhint %}

Condizioni di Servizio

# Termini e Condizioni di utilizzo del Sito Le regole che disciplinano l'accesso e l'uso del sito aisuru.com I Termini e Condizioni di utilizzo del Sito regolano il rapporto tra Memori s.r.l. e chiunque acceda al sito pubblico di AIsuru, ne consulti i contenuti, si registri o interagisca con gli Agenti pubblicati. Sono distinti dalle [Condizioni di Servizio](/documenti-legali/condizioni-di-servizio), che disciplinano invece il rapporto contrattuale con chi sottoscrive un piano SaaS, PaaS o superiore. **Chi può accedere** L'accesso al Sito è libero per chiunque. L'interazione con gli Agenti pubblicati, la registrazione e l'utilizzo delle funzionalità della piattaforma sono invece riservati a utenti maggiorenni e pienamente capaci di agire secondo la legge applicabile. **Il modello alla base di AIsuru** Il Sito distingue due ruoli: * chi **crea** un Agente (utente registrato, "Giver") ne definisce la base di conoscenza, le istruzioni e le funzionalità, e ne è pienamente responsabile; * chi **conversa** con un Agente pubblicato (utente registrato o meno) può farlo gratuitamente, nei limiti resi disponibili dal creatore. {% hint style="warning" %} Le risposte generate dagli Agenti sono prodotte da sistemi di intelligenza artificiale e possono risultare incomplete, non aggiornate o non idonee alla specifica finalità dell'utente. Prima di fare affidamento su una risposta per decisioni professionali, economiche o di altra rilevanza, è sempre opportuno verificarne autonomamente l'accuratezza. {% endhint %} **Trasparenza sulle conversazioni** Le conversazioni con un Agente pubblicato **non sono anonime**: sono visibili a chi ha creato quell'Agente, insieme all'indirizzo IP dell'utente. Questo consente al creatore di monitorare e migliorare il funzionamento del proprio Agente. Per questo motivo si raccomanda di non condividere in chat dati personali di categorie particolari o informazioni che non si desidera rendere note al creatore dell'Agente. Per il dettaglio del trattamento dei dati personali, vedi [Privacy Policy.](/data-e-privacy/privacy-policy) **Pensiero Profondo** Una funzionalità opzionale, attivabile sia dal creatore dell'Agente sia dall'utente che conversa, che permette di ricordare informazioni utili a personalizzare le interazioni successive (i cosiddetti "Fatti Noti"). L'attivazione richiede sempre un consenso esplicito dell'utente, che può in ogni momento consultare, modificare, eliminare selettivamente i propri Fatti Noti o disattivare la funzionalità. Il creatore dell'Agente non ha mai accesso diretto ai Fatti Noti né allo storico completo delle conversazioni di un utente: può soltanto interrogare il proprio Agente per ottenere informazioni aggregate coerenti con un criterio di ricerca (ad esempio, quali utenti hanno manifestato un certo interesse), senza che il contenuto integrale venga esposto. **Il ruolo di Memori** Memori fornisce l'infrastruttura tecnologica della piattaforma. Fatta eccezione per gli Agenti creati direttamente da Memori, **Memori non crea, non configura, non addestra né controlla preventivamente** gli Agenti pubblicati dagli utenti registrati, che ne restano pienamente responsabili. **Memori non utilizza in alcun caso i dati degli utenti per addestrare, modificare o sviluppare i propri modelli di intelligenza artificiale.** Memori si riserva la facoltà di effettuare controlli successivi e di sospendere o rimuovere Agenti, contenuti o account, anche sulla base di segnalazioni ricevute, quando ciò sia necessario a tutela della legge, dei diritti di terzi o del corretto funzionamento della piattaforma. **Proprietà intellettuale** * I diritti su AIsuru, sul Sito, sugli algoritmi e su ogni altro elemento della piattaforma restano di titolarità esclusiva di Memori. * L'utente conserva la titolarità dei contenuti che immette (**Input**), concedendo a Memori e al creatore dell'Agente una licenza limitata a utilizzarli esclusivamente per il funzionamento e il miglioramento dell'Agente. * Le risposte generate dagli Agenti (**Output**) non sono rivendicate da Memori; l'utente resta però responsabile di verificare, prima di utilizzarle o diffonderle, che il loro impiego non violi diritti di terzi. **Segnalazioni e reclami** Chiunque ritenga che un Agente o un contenuto del Sito violi la legge, diritti di terzi o le presenti Condizioni può inviare una segnalazione a Memori. Le decisioni di Memori che limitano un account o un contenuto possono essere contestate attraverso il sistema interno di gestione dei reclami o rivolgendosi a un organismo di risoluzione extragiudiziale delle controversie (ODR). Per le modalità operative complete, vedi \[Policy per segnalazioni, abusi e procedure di reclamo]. **Legge applicabile** Le Condizioni sono regolate dalla legge italiana, con foro competente a Bologna, fatte salve le norme inderogabili a tutela dei consumatori. *Questa pagina è un riassunto divulgativo. Il testo integrale dei Termini e Condizioni di utilizzo del Sito, con la data dell'ultimo aggiornamento, è disponibile su richiesta.* # Penetration test summary Le attività di verifica della sicurezza condotte sulla piattaforma AIsuru. Memori ha avviato e conduce attività di penetration testing sulla piattaforma AIsuru, con l'obiettivo di identificare vulnerabilità prima che possano essere sfruttate da attori malevoli. I test vengono eseguiti sia su iniziativa interna che in risposta a rilasci di nuove funzionalità significative. *** #### Cosa viene testato Le attività di penetration testing coprono i principali vettori di attacco applicabili a una piattaforma SaaS/PaaS: * **Sicurezza applicativa:** test OWASP Top 10, injection, broken access control, security misconfiguration, XSS, CSRF * **API security:** verifica degli endpoint REST esposti dai componenti principali della piattaforma, autenticazione e autorizzazione, rate limiting * **Gestione delle sessioni:** analisi dei meccanismi di autenticazione (magic link, token JWT, token di sessione) * **Sicurezza degli asset:** verifica dei controlli sullo storage cloud, accesso ai file caricati * **MCP Gateway:** analisi della superficie esposta dal gateway per le integrazioni con sistemi esterni * **Multi-tenancy isolation:** verifica che i dati di un tenant non siano accessibili da altri tenant *** #### Come accedere ai risultati I report completi di penetration test sono documenti riservati. Sono disponibili in forma di **Executive Summary** (riepilogo degli esiti principali, senza dettagli tecnici sfruttabili) per: * Clienti con contratto PaaS attivo * Clienti Enterprise e Private Cloud * Partner con accordo NDA sottoscritto Per richiedere l'Executive Summary, scrivere a indicando ragione sociale e modello di erogazione in uso. {% hint style="warning" %} I report completi con dettagli tecnici delle vulnerabilità identificate non vengono condivisi esternamente, in quanto potrebbero fornire informazioni sfruttabili da attori malevoli. Questa è una prassi standard nel settore della sicurezza informatica. {% endhint %}

Richiedi Summary

# Audit interni Come Memori verifica la conformità dei propri processi agli standard ISO adottati. Nell'ambito dei Sistemi di Gestione certificati ISO 27001:2022, ISO 9001:2015 e 42001:2023 Memori esegue cicli regolari di audit interni per verificare che i processi aziendali rispettino i requisiti degli standard adottati e per identificare opportunità di miglioramento. Gli audit interni sono un requisito obbligatorio delle certificazioni ISO e vengono pianificati con cadenza definita nel programma annuale di audit. *** #### Cosa viene auditato **ISO 27001 - Sicurezza delle informazioni** * Gestione del rischio e trattamento delle vulnerabilità * Controllo degli accessi fisici e logici * Gestione degli incidenti di sicurezza * Sicurezza delle comunicazioni e crittografia * Sicurezza nello sviluppo software (SDLC) * Gestione dei fornitori e dei sub-responsabili del trattamento * Conformità normativa (GDPR, AI Act) * Business continuity e disaster recovery **ISO 9001 - Qualità** * Processi di sviluppo e test del software * Gestione dei requisiti e delle storie utente * Pianificazione e controllo della produzione software * Gestione della soddisfazione del cliente e dei feedback * Controllo di prodotti e servizi non conformi * Azioni correttive e miglioramento continuo **ISO 42001 - Gestione dei Sistemi di Intelligenza Artificiale** * Governance del sistema AI e definizione dei ruoli e responsabilità * Gestione del rischio AI lungo l'intero ciclo di vita del sistema * Valutazione d'impatto dei sistemi AI su diritti e sicurezza degli utenti * Trasparenza e spiegabilità degli output generati dalla piattaforma * Meccanismi di supervisione umana e controllo degli Agenti * Gestione dei dati utilizzati nei sistemi AI (qualità, provenienza, bias) * Monitoraggio continuo delle prestazioni e dei comportamenti del sistema AI * Gestione dei fornitori di componenti AI (provider LLM e modelli terzi) * Conformità all'AI Act e aggiornamento della classificazione del rischio *** #### Frequenza e metodologia Gli audit interni vengono pianificati con cadenza almeno annuale per ciascun processo in ambito. La metodologia segue le linee guida della norma **ISO 19011** (Guida per l'audit dei sistemi di gestione). I risultati vengono documentati in report formali, condivisi con il management e usati come input per il riesame della direzione. *** #### Disponibilità dei risultati | Documento | Disponibilità | | ----------------------------------- | ---------------------------------------------------- | | Piano annuale di audit | Interno | | Report dettagliati degli audit | Interno | | Sintesi degli esiti per i clienti | Su richiesta (PaaS/Enterprise) — | | Rapporto di riesame della direzione | Interno | {% hint style="info" %} In fase di valutazione vendor o di due diligence, i clienti con contratto PaaS o Enterprise possono richiedere una sintesi degli esiti degli audit e delle non conformità rilevate nel periodo di riferimento. La richiesta deve essere inviata a . {% endhint %} # Contatti e recapiti Come raggiungere Memori per assistenza, segnalazioni ed esercizio dei propri diritti Questa pagina riporta i canali di contatto attualmente attivi per le diverse esigenze relative all'utilizzo di AIsuru. È la fonte aggiornata a cui rimandano i Termini e Condizioni e le Condizioni di utilizzo del Sito: eventuali recapiti diversi indicati in versioni non aggiornate di altra documentazione non sono validi. *** **Dati societari** | | | | ------------------- | ------------------------------ | | **Ragione sociale** | Memori S.r.l. | | **Sede legale** | Via Gramsci 1, Malalbergo (BO) | | **PEC** | | | **Partita IVA** | 03623961202 | *** **A chi scrivere, per cosa** | Hai bisogno di... | Contatta | | ----------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------- | | **Assistenza generale o supporto tecnico** sull'utilizzo della piattaforma | — oppure, per le domande più comuni, l'Agente di supporto **Manuela**, disponibile direttamente in piattaforma | | **Segnalare un abuso o un contenuto illecito** | | | **Richiedere l'esportazione dei propri dati**, quando gli strumenti già disponibili in piattaforma non sono sufficienti | | | **Comunicare un recesso** (per gli Utenti Consumatori), in alternativa alla funzione disponibile nella propria area riservata | PEC , oppure | | **Domande generiche o richieste commerciali** | il form di contatto disponibile sul sito | {% hint style="warning" %} Per l'esercizio dei diritti in materia di protezione dei dati personali (accesso, rettifica, cancellazione, portabilità), fai riferimento alle modalità descritte nella [Privacy Policy. ](/data-e-privacy/privacy-policy) {% endhint %} *** **Perché questa pagina esiste a parte** I contratti di AIsuru (Termini e Condizioni SaaS, Condizioni di utilizzo del Sito) non riportano i recapiti operativi direttamente nel testo, ma rimandano a questa pagina tramite collegamento ipertestuale. In questo modo, se un indirizzo o un canale di contatto cambia, l'aggiornamento è immediato e non richiede una modifica del testo contrattuale. # Cos'è AIsuru Introduzione alla nostra piattaforma AIsuru è la piattaforma di Memori s.r.l. per la creazione, configurazione e gestione di **Agenti conversazionali basati su intelligenza artificiale**. Permette ad aziende e professionisti di costruire assistenti AI personalizzati — addestrati sui propri contenuti, integrabili nei propri sistemi, erogabili nei propri canali — senza richiedere competenze di data science o sviluppo AI. Rilasciata a novembre 2021, AIsuru si posiziona come soluzione intermedia tra i modelli linguistici generici (come GPT o Claude) e le esigenze specifiche di aziende e professionisti. La piattaforma consente di costruire assistenti virtuali con una **base di conoscenza proprietaria**, regole comportamentali definite, sicurezza dei dati aggiuntiva e integrazioni con sistemi esterni. #### Il cuore tecnologico: MemoriNLP Il motore alla base di AIsuru è **MemoriNLP**, il sistema NLP (Natural Language Processing) proprietario di Memori. Addestrato internamente su corpus enciclopedici, MemoriNLP è ottimizzato per **italiano, inglese e francese** e può operare autonomamente oppure in combinazione con modelli LLM esterni selezionati dal cliente (OpenAI, Anthropic, Mistral, Google Vertex, Amazon Bedrock, Azure OpenAI). L'attivazione di qualsiasi modello LLM esterno è sempre una scelta esplicita del cliente. #### Infrastruttura e sovranità del dato La piattaforma è progettata per operare interamente all'interno dell'Unione Europea. L'intera infrastruttura principale risiede in datacenter certificati localizzati in Italia, Irlanda e Germania, tutti all'interno dello spazio UE. **Principio fondamentale sulla proprietà dei dati:** I dati inseriti nella piattaforma — contenuti degli Agenti, conversazioni, file caricati — rimangono di **proprietà esclusiva del cliente**. Memori non raccoglie, non utilizza e non trasferisce tali dati per addestrare, modificare o migliorare i propri modelli o quelli di terzi. # Modelli di erogazione I vari piani di AIsuru AIsuru è disponibile in quattro distinti modelli di erogazione, progettati per rispondere alle esigenze di organizzazioni di qualsiasi dimensione e settore. Ogni modello si differenzia per livello di isolamento infrastrutturale, controllo operativo, sovranità del dato e profilo contrattuale. **SaaS — Software as a Service** Il modello SaaS consente l'accesso immediato alla piattaforma AIsuru tramite registrazione su **aisuru.com**. Memori eroga il servizio su propria infrastruttura cloud gestita, occupandosi interamente della manutenzione, degli aggiornamenti e della sicurezza. Il cliente accede alla piattaforma tramite browser e inizia subito a costruire e gestire i propri Agenti, senza alcuna installazione locale. Il modello SaaS è indicato per **singoli professionisti, team, sviluppatori e PMI** che non hanno requisiti di isolamento infrastrutturale dedicato. La contrattualizzazione avviene tramite accettazione dei Termini e Condizioni pubblici in fase di registrazione, con sistema di crediti per la gestione dei consumi. Attivazione immediata Infrastruttura UE gestita Pay-as-you-go (crediti) Nessuna installazione **PaaS — Platform as a Service** Il modello PaaS offre alle organizzazioni un **tenant dedicato** sulla piattaforma AIsuru, con dominio personalizzato (es. ai.azienda.com), gestione autonoma degli utenti, personalizzazione del branding e maggiore controllo sulla configurazione. I dati del tenant sono logicamente isolati rispetto agli altri clienti. Il cliente dispone di un **pannello di amministrazione avanzato** per gestire utenti, permessi e consumi, configurare i periodi di retention delle conversazioni, abilitare o disabilitare funzionalità specifiche e configurare provider LLM con chiavi API proprie. Indicato per **aziende con requisiti di personalizzazione o compliance specifici**. La contrattualizzazione avviene tramite accordo commerciale personalizzato. Tenant dedicato Dominio personalizzato Admin panel completo SLA personalizzabili Infrastruttura UE gestita **Private Cloud** Il modello Private Cloud prevede il deployment della piattaforma AIsuru su un'**infrastruttura cloud fisicamente dedicata** al cliente, ospitata presso provider cloud specializzati (es. in Italia, UE). Garantisce il massimo livello di isolamento fisico dei dati rispetto agli altri clienti, mantenendo al contempo la gestione dell'infrastruttura affidata al provider specializzato — senza oneri operativi per il cliente. Rappresenta la soluzione ideale per **organizzazioni con specifici requisiti di protezione delle informazioni** che non desiderano gestire internamente l'infrastruttura, ma necessitano di una segregazione fisica superiore rispetto al PaaS standard. Isolamento fisico Infrastruttura dedicata EU Gestita da provider specializzato Alta conformità normativa **On-Premise** Il modello On-Premise prevede l'installazione della piattaforma AIsuru direttamente sull'infrastruttura IT del cliente, nella sede e nella regione geografica da esso definita. Memori agisce come amministratore di sistema per la componente applicativa AIsuru, con accesso tecnico alla piattaforma per finalità di manutenzione e supporto; la responsabilità della sicurezza infrastrutturale resta in capo al cliente. Soluzione indicata per **organizzazioni con requisiti di sovranità del dato assoluta**, vincoli normativi che impediscono l'utilizzo di cloud esterni, o ambienti air-gapped completamente disconnessi da internet. Ideale per enti pubblici, settori regolamentati (sanità, finanza, difesa) e aziende con policy di sicurezza molto stringenti. La contrattualizzazione avviene tramite contratto di licenza software e contratto di manutenzione. Piena sovranità del dato Ambienti air-gapped Nessun accesso Memori Licenza software #### Confronto sintetico dei modelli
CriterioSaaSPaaSPrivate CloudOn-Premise
InfrastrutturaCloud UE gestito da MemoriCloud UE gestito da MemoriCloud dedicato EU (provider specializzato)Infrastruttura del cliente
Isolamento datiLogico (multi-tenant)Logico (tenant dedicato)Fisico (infrastruttura dedicata)Fisico (infrastruttura del cliente)
Residenza datiEUEUEU (provider dedicato)Definita dal cliente
Sovranità del datoCondivisaElevata (maggiore controllo)Molto elevataCompleta
Aggiornamenti piattaformaAutomatici (Memori)Automatici (Memori)Automatici (Memori + coordinamento)Rilasciati da Memori, installati dal cliente
AttivazioneImmediata (self-service)Su richiesta + configurazione MemoriSu richiesta + configurazione providerSu progetto (deployment dedicato)
Tipo contrattoT&C online — sistema creditiAccordo commerciale personalizzatoAccordo commerciale personalizzatoLicenza software + manutenzione
PagamentoPay-as-you-go (crediti)Canone periodicoCanone periodicoCanone licenza + manutenzione
Accesso Memori ai datiSolo dati di piattaforma (no conversazioni)Solo dati di piattaforma (no conversazioni)Solo dati di piattaforma (no conversazioni)Nessun accesso
# Architettura Come è costruita la piattaforma AIsuru: i componenti, l'infrastruttura e le scelte tecniche che garantiscono sicurezza e affidabilità. Come è costruita la piattaforma AIsuru: i componenti, l'infrastruttura e le scelte tecniche che garantiscono sicurezza e affidabilità. L'architettura di AIsuru segue un approccio modulare che separa chiaramente le responsabilità tra sottosistemi indipendenti. Questa separazione è ciò che consente alla piattaforma di scalare, di isolare i guasti e di adattarsi ai diversi modelli di erogazione (SaaS, PaaS, Private Cloud, on-premise). *** **I cinque blocchi funzionali** | Componente | Ruolo | | --------------- | ----------------------------------------------------------------------------------------------------------------------------- | | **Frontend** | le interfacce (dashboard, widget di chat, app mobile, app VR) da cui gli utenti gestiscono e interagiscono con gli Agenti | | **Backend** | conserva i dati di utenti, tenant, consumi e asset; gestisce autenticazione e autorizzazione | | **Engine** | il cuore della piattaforma: esegue il dialogo conversazionale, ospita il motore NLP proprietario e i dati di tutti gli Agenti | | **MCP Gateway** | il componente attraverso cui gli Agenti si collegano a strumenti e sistemi esterni (database, CRM, servizi di automazione) | | **Billing** | tiene traccia di crediti, consumi e fatturazione (solo per il piano SaaS pubblico) | La comunicazione tra backend ed engine avviene su canale cifrato. *** **Come "pensa" un Agente** Un Agente AIsuru non è un semplice involucro attorno a un modello linguistico generico. Il sistema NLP proprietario di Memori analizza ogni domanda con tecniche di comprensione semantica sviluppate internamente, e tenta prima di tutto di rispondere con la conoscenza esplicita fornita dal creatore dell'Agente. Solo quando questa conoscenza non è sufficiente — e solo se l'Agente è configurato per farlo — la piattaforma interpella un modello di intelligenza artificiale generativa esterno, fornendogli il contesto pertinente recuperato dalla base di conoscenza. **La conoscenza esplicita ha sempre la precedenza sulla generazione**: è questa la proprietà che distingue AIsuru da un generico builder di chatbot basato su un unico modello linguistico, e che garantisce al creatore dell'Agente un controllo sostanziale sulle risposte fornite ai propri utenti. Il motore NLP è addestrato e gestito internamente da Memori per ciascuna delle lingue supportate nativamente (italiano, inglese, francese): la lingua di un Agente viene definita dal suo creatore alla creazione e non può essere modificata in seguito da terzi. Le conversazioni possono comunque avvenire in molte più lingue grazie a un servizio di traduzione che opera ai margini di ogni turno di dialogo, lasciando inalterata la lingua in cui l'Agente è stato istruito. *** **Isolamento e multi-tenancy** La piattaforma è progettata per gestire in modo isolato i dati di ciascun cliente ("tenant"): * ogni tenant può vedere esclusivamente i propri Agenti, utenti e configurazioni; * ogni tenant può essere personalizzato con branding, dominio e limiti operativi propri; * i dati non transitano fra tenant diversi. *** **Integrazioni con sistemi esterni** Attraverso il **MCP Gateway**, un Agente può collegarsi a strumenti esterni — database aziendali, CRM, piattaforme di automazione — per recuperare informazioni o eseguire azioni concrete (inviare una comunicazione, aggiornare un sistema, compilare un modulo). I sistemi esterni collegati restano sempre sotto il pieno controllo del cliente: la piattaforma agisce da intermediario tecnico per l'esecuzione dell'operazione richiesta, non da titolare dei dati che vi transitano. Tutte le comunicazioni verso i server esterni avvengono su connessione cifrata (HTTPS/TLS). *** **Sicurezza e continuità** * Segregazione dei dati fra i diversi clienti (isolamento multi-tenant). * Comunicazioni cifrate fra tutti i componenti della piattaforma. * Backup regolari e procedure di disaster recovery. * Monitoraggio continuo della disponibilità dei servizi, con canali di allerta dedicati per il team tecnico. * Ciclo di sviluppo con oltre 2.000 test automatizzati eseguiti prima di ogni rilascio in produzione, oltre a verifiche manuali di qualità. Per il dettaglio sulle attività di verifica della sicurezza applicativa, vedi \[Penetration test summary]. *** **Modelli di erogazione** AIsuru è disponibile in diverse modalità, con un livello di isolamento e controllo crescente — il dettaglio è nella pagina \[Modelli di erogazione]: * **Public Cloud / SaaS** — la piattaforma pubblica su [aisuru.com](http://aisuru.com/), con registrazione libera e sistema a crediti; * **Public Cloud / PaaS** — un ambiente brandizzato su dominio dedicato, con gestione avanzata di utenti, chiavi API e consumi; * **Private Cloud** — infrastruttura con maggiore isolamento, indicata per aziende con requisiti di protezione dei dati più stringenti; * **On-premise** — la piattaforma distribuita interamente all'interno dell'infrastruttura del cliente, per il massimo controllo sui dati. Per il trattamento e la localizzazione geografica dei dati, vedi \[Data residency UE] e \[Dove sono ospitati i miei dati?]. *** #### Deployment e aggiornamenti Gli aggiornamenti della piattaforma vengono rilasciati tramite **pipeline CI/CD automatizzate**. Per la maggior parte dei componenti viene adottata una strategia di **blue-green deployment**, che garantisce continuità del servizio durante i rilasci. L'ambiente di staging è mantenuto conforme a quello di produzione per test completi prima del deploy. {% hint style="warning" %} Per i modelli PaaS, Private Cloud e On-Premise sono disponibili architetture con maggiore isolamento. Contattare il [team tecnico](mailto:dev@memori.ai) per i dettagli specifici del proprio scenario. {% endhint %} # Responsabilità per modello di erogazione La distribuzione delle responsabilità tra Memori e il cliente varia in funzione del modello contrattuale scelto. La tabella seguente fornisce una sintesi orientativa applicabile a tutti i modelli di erogazione. **Principio fondamentale:** In tutti i modelli, i dati inseriti nella piattaforma rimangono di **proprietà esclusiva del cliente**. Memori non raccoglie alcun dato per addestrare, modificare o eliminare i propri modelli. I dati vengono utilizzati esclusivamente per erogare il servizio contrattualizzato.
Area di responsabilitàSaaSPaaSPrivate CloudOn-Premise
Sicurezza infrastrutturaleMemoriMemoriMemori + provider dedicatoCliente
Aggiornamenti e patch della piattaformaMemori (automatici)Memori (automatici)Memori (con coordinamento)Rilascio Memori — Installazione Cliente
Gestione degli accessi utenteCliente (per i propri Agenti)Cliente (tramite pannello admin)ClienteCliente
Configurazione e contenuto degli AgentiClienteClienteClienteCliente
Backup e disaster recoveryGestito da Memori (infrastruttura)Gestito da Memori (infrastruttura)Gestito dal provider dedicatoCliente (piena responsabilità)
GDPR — ruolo del clienteTitolare del trattamento (dati utenti finali degli Agenti)Titolare del trattamentoTitolare del trattamentoTitolare del trattamento — piena responsabilità
GDPR — ruolo di MemoriResponsabile del trattamento (dati di piattaforma)Responsabile del trattamentoResponsabile del trattamento (dati di piattaforma)Non applicabile — nessun accesso ai dati operativi
Valutazione rischio AI Act (caso d'uso specifico)Cliente (nella veste di deployer)Cliente (nella veste di deployer)Cliente (nella veste di deployer)Cliente (nella veste di deployer)
Obblighi AI Act come provider del sistema AIsuru e di MemoriNLPMemoriMemoriMemoriMemori (per il software)
Addestramento dei modelli con dati del clienteMemori non utilizza i dati del cliente per addestramentoMemori non utilizza i dati del cliente per addestramentoMemori non utilizza i dati del cliente per addestramentoNessun accesso Memori
DPA (Data Processing Agreement) richiestoSu richiestaSì — parte integrante del contrattoSì — parte integrante del contrattoNon applicabile nella forma standard
Per richiedere il Data Processing Agreement o per dettagli sulle responsabilità contrattuali del proprio modello di erogazione:

Richiedi DPA

# Provider LLM supportati L'attivazione di qualsiasi modello LLM esterno è sempre una **scelta esplicita del cliente**: il motore NLP proprietario di Memori (MemoriNLP) tenta sempre per primo di rispondere con la conoscenza fornita dal creatore dell'Agente, e interpella un modello generativo esterno solo quando configurato per farlo. **Provider integrati nativamente** | Fornitore | Modelli disponibili (indicativi, in continuo aggiornamento) | | ---------------------------------- | ----------------------------------------------------------- | | **OpenAI** | famiglia GPT e serie o | | **Anthropic** | famiglia Claude | | **Mistral AI** | Mistral Small, Large, Nemo | | **Microsoft Azure OpenAI Service** | modelli GPT su infrastruttura Azure | | **Amazon Bedrock** | modelli Claude su infrastruttura AWS | | **Google Vertex AI** | modelli Claude su infrastruttura Google Cloud | **Provider personalizzati** AIsuru supporta inoltre l'integrazione di **qualsiasi modello compatibile con il protocollo OpenAI**, sia in cloud sia eseguito localmente (ad esempio tramite Ollama, LM Studio o soluzioni equivalenti). Questo consente di utilizzare anche modelli open-source, ed è la caratteristica che rende possibile una configurazione on-premise in cui il modello di intelligenza artificiale non esce mai dal perimetro del cliente. **Conservazione dei dati da parte dei provider** Ogni fornitore applica una propria politica di conservazione dei dati, generalmente limitata alla sola prevenzione di abusi del servizio:
FornitoreConservazione dichiarata
OpenAI30 giorni (solo prevenzione abusi)
Anthropic30 giorni (solo prevenzione abusi)
Mistral AI30 giorni (solo prevenzione abusi)
Microsoft Azure30 giorni (solo prevenzione abusi)
Amazon Bedrocknessuna conservazione
Google Vertex AI30 giorni (solo prevenzione abusi)
Modelli locali / private cloudsecondo la policy definita con il cliente
{% hint style="warning" %} Per la documentazione completa relativa agli accordi contrattuali, ai termini di servizio specifici e alla proprietà intellettuale con ciascun fornitore di modelli, è possibile richiedere il relativo Data Processing Agreement. Vedi [DPA](/documenti-legali/dpa). {% endhint %} **Perché la scelta del provider è del cliente** Poiché la configurazione del modello è associata al singolo Agente e non è imposta a livello di piattaforma, un cliente può: * utilizzare il proprio contratto già in essere con un fornitore; * far rispondere Agenti diversi con modelli diversi, in base alle esigenze; * optare per un modello eseguito interamente all'interno del proprio perimetro, azzerando il traffico di dati verso l'esterno. Per l'inquadramento normativo dei modelli di IA per finalità generali utilizzati da Memori, vedi [GPAI: Modelli di IA per Finalità Generali.](/documenti-legali/gpai-modelli-di-ia-per-finalita-generali) # Crediti e consumi come funziona il sistema a crediti di AIsuru SaaS L'utilizzo di AIsuru in modalità SaaS (su [aisuru.com](http://aisuru.com/)) è regolato da un sistema di Crediti: ogni attività svolta sulla piattaforma consuma una quantità di Crediti predefinita. Questa pagina riporta i valori numerici attualmente in vigore, richiamati dai Termini e Condizioni Generali per l'utilizzo di AIsuru in modalità SaaS. {% hint style="info" %} Memori può aggiornare questi valori nei limiti e con le modalità previste dai Termini e Condizioni, senza che ciò richieda una modifica del testo contrattuale, che rimanda a questa pagina tramite collegamento diretto. Fa fede sempre la versione più recente qui pubblicata. {% endhint %} *** **Crediti assegnati gratuitamente** | Quando | Crediti | | ----------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------- | | **Bonus di benvenuto**, alla creazione dell'account | 250 Crediti, una tantum | | **Ricarica mensile automatica**, se il saldo scende sotto la soglia minima di 100 Crediti | fino a un minimo di 100 Crediti, ripristinati automaticamente all'inizio di ogni mese | *** **Consumo dei Crediti per attività**
AttivitàCrediti consumati
Creazione di un nuovo Agente1
Avvio di una nuova sessione di conversazione con un Agente1
Generazione di ciascun messaggio prodotto dall'IA dell'Agente1
Importazione di documenti (sezione Import/Export)1 per ogni pagina importata
Funzionalità Pensiero Profondo, per ogni messaggio generato da IA3
Creazione di un Gruppo di esperti1
Apertura di una sessione con il Gruppo di esperti1
Apertura di una conversazione con ciascun Agente esperto del Gruppo1 per ciascun Agente coinvolto
Selezione automatica dell'Agente esperto più adatto1 per ogni selezione
*** **Una nota sulla trasparenza dei consumi** Il sistema a crediti è pensato per essere prevedibile: ogni operazione ha un costo fisso e dichiarato, senza variazioni nascoste in base al modello di intelligenza artificiale utilizzato dall'Agente o alla complessità della richiesta. Puoi consultare in ogni momento il tuo saldo residuo e lo storico dei consumi dalla dashboard di AIsuru. Per i piani PaaS, Private Cloud e On-premise, la gestione di crediti e consumi può seguire condizioni diverse, definite nell'accordo commerciale specifico — vedi [Modelli di erogazione](/plans-billing/modelli-di-erogazione). # Dove sono ospitati i miei dati? Tutti i dati della piattaforma AIsuru risiedono nell'Unione Europea e restano di unica proprietà del cliente. Memori ha scelto deliberatamente di localizzare l'intera infrastruttura della piattaforma AIsuru nell'Unione Europea, in conformità al GDPR e nell'ottica di garantire la massima protezione dei dati dei propri clienti. *** #### Infrastruttura principale L'architettura di AIsuru si basa sui seguenti provider, tutti con datacenter all'interno dell'UE: | Componente | Provider | Paese | Regione | | ----------------------------------------- | -------------------------- | ------------- | ------------ | | Applicazioni principali della piattaforma | AWS | 🇮🇹 Italia | EU | | File e asset degli Agenti | AWS S3 | 🇮🇪 Irlanda | eu-west-1 | | Sicurezza e malware scan | AWS GuardDuty | 🇮🇪 Irlanda | eu-west-1 | | Database MCP Gateway | Provider cloud EU dedicato | 🇩🇪 Germania | eu-central-1 | | MCP Gateway + log applicativi | Provider cloud EU dedicato | 🇩🇪 Germania | — | *** #### Provider LLM e localizzazione del dato Se il Cliente configura un Agente con IA generativa, le query vengono elaborate dal provider LLM selezionato. I provider con elaborazione nativa o disponibile in EU sono: * **Mistral AI** — Francia, EU (nativa) * **Microsoft Azure OpenAI** — regioni EU disponibili (es. Sweden Central, West Europe) * **Amazon Bedrock** — regioni EU disponibili (es. eu-central-1) * **Google Vertex** — regioni EU disponibili Per **OpenAI** e **Anthropic** (provider con sede negli USA), le query transitano verso datacenter americani. Tuttavia, entrambi i provider adottano politiche di zero data retention per finalità di addestramento. Per OpenAI è disponibile la Zero Data Retention (ZDR) policy su richiesta. {% hint style="info" %} Il provider LLM viene attivato solo se il Cliente configura esplicitamente la funzionalità di IA generativa sul proprio Agente. Senza configurazione LLM, le risposte sono generate esclusivamente dal sistema NLP proprietario di Memori (MemoriNLP), che opera interamente sull'infrastruttura EU. {% endhint %} *** #### Modelli di erogazione e residenza del dato * **SaaS / PaaS:** dati su infrastruttura AWS, interamente in EU * **Private Cloud:** dati su infrastruttura fisicamente dedicata presso provider EU specializzato * **On-Premise:** dati interamente sull'infrastruttura del Cliente, nella sede da esso definita # I dati vengono usati per addestramento? No. I tuoi dati non vengono mai usati per addestrare modelli di intelligenza artificiale. Questa è probabilmente la domanda più importante che un cliente possa fare a un fornitore di tecnologia AI. La risposta di Memori è netta e documentata: **i dati degli utenti — conversazioni, contenuti degli Agenti, file caricati — non vengono mai utilizzati da Memori per addestrare, modificare o migliorare i propri modelli o quelli di terzi.** *** #### Cosa succede ai tuoi dati I dati che inserisci nella piattaforma — conversazioni, contenuti degli Agenti, documenti importati, fatti noti — vengono utilizzati **esclusivamente** per: * Erogare il servizio conversazionale agli utenti finali degli Agenti * Permettere agli autori dell'Agente di visualizzare e gestire i propri contenuti * Generare statistiche di utilizzo aggregate per il proprietario dell'Agente Nessun dato viene estratto, aggregato o trasferito per finalità di ricerca, sviluppo o addestramento di modelli. *** #### Provider LLM e addestramento I provider LLM integrati (OpenAI, Anthropic, Mistral, ecc.) ricevono le query degli utenti solo quando viene attivata la funzionalità di IA generativa. Tutti i provider integrati da Memori hanno policy esplicite che escludono l'utilizzo delle query API per l'addestramento dei propri modelli: | Provider | Utilizzo per addestramento | Fonte | | -------------------------- | -------------------------- | ---------------------------------------------------------------------------------------------- | | **OpenAI** | No¹ | [platform.openai.com/docs/guides/your-data](https://platform.openai.com/docs/guides/your-data) | | **Anthropic** | No¹ | [privacy.anthropic.com](https://privacy.anthropic.com/) | | **Mistral AI** | No¹ | [help.mistral.ai](https://help.mistral.ai/) | | **Microsoft Azure OpenAI** | No | [learn.microsoft.com](https://learn.microsoft.com/) | | **Amazon Bedrock** | No | [docs.aws.amazon.com/bedrock](https://docs.aws.amazon.com/bedrock) | | **Google Vertex** | No¹ | [cloud.google.com/vertex-ai](https://cloud.google.com/vertex-ai) | > ¹ = La policy di non utilizzo per addestramento si applica alle chiamate effettuate tramite API. Le interazioni dirette con i prodotti consumer dei medesimi provider (es. ChatGPT, [Claude.ai](http://claude.ai/)) sono soggette a termini distinti.