Informativa sulla privacy

Aggiornata il 21 settembre 2026, versione 2026-09-21a. Informazioni ai sensi degli artt. 13 e 14 del GDPR.

DC Academy e lo studio: chi risponde di quali dati

DC ACADEMY S.R.L., Via Imperatore Adriano 9, 73100 Lecce, Italia, P. IVA e codice fiscale 05125350750, R.E.A. LE-344032, email academy@davidecaiazzo.it, fornisce Commercialista AI.

Per i dati dei clienti dello studio, DC Academy è responsabile del trattamento e lo studio è titolare. Lo studio ci incarica con l'art. 15 delle condizioni. Trattiamo quei dati per erogare le funzioni richieste, secondo le istruzioni dello studio. Non li vendiamo e non li usiamo per addestrare nostri modelli. La qualifica di responsabile non trasferisce a DC Academy la responsabilità professionale dello studio e non esclude i nostri obblighi di protezione dei dati.

Per account, abbonamenti, fatturazione, sicurezza e gestione del rapporto commerciale, DC Academy è invece titolare del trattamento. Lo studio sceglie le basi giuridiche per i dati dei propri clienti e rende le relative informazioni. Questa pagina non sostituisce l'informativa dello studio.

Conferma delle condizioni e copie contrattuali

Per documentare il rapporto raccogliamo il nome e il ruolo dichiarati, i dati dello studio, le approvazioni, la versione e le copie dei documenti, le impronte dei testi, le date, l'indirizzo di rete e il programma usato. La conferma con codice monouso documenta il controllo dell'email dell'account; non certifica l'identità civile o i poteri di rappresentanza. Conserviamo inoltre i tentativi e gli esiti disponibili dell'invio delle copie.

Questi trattamenti servono alla conclusione ed esecuzione del contratto, agli obblighi applicabili e al legittimo interesse a documentare e tutelare i diritti delle parti. Non richiedono un consenso promozionale. I codici non sono conservati in chiaro; le richieste di conferma scadute vengono eliminate dal registro applicativo entro il successivo giro di manutenzione dopo un giorno. Il fascicolo minimo resta separato dall'archivio operativo e segue il termine decennale dalla cessazione indicato sotto, salvo necessità di conservazione per controversie o obblighi di legge.

Fornitori, società e Paesi

I sub-responsabili che possono trattare dati dei clienti sono Render Services, Inc. per applicazione e database in Oregon, Stati Uniti; Anthropic Ireland, Limited per la generazione AI quando consentita, con trattamenti anche negli Stati Uniti; Zapier, Inc. per le comunicazioni di servizio; Google Ireland Limited per la posta di servizio e i documenti di assistenza su Google Workspace. Zapier opera negli Stati Uniti; per Google non è garantita una conservazione limitata all'Unione europea.

Elenco completo: dati societari, attività, dati trattati e riferimenti

L'elenco distingue Stripe, usato per l'abbonamento dello studio, dai sub-responsabili dell'archivio clienti. Distingue anche i fornitori della casella scelti direttamente dallo studio e le integrazioni commerciali da verificare prima dell'uso. I fornitori possono usare propri subfornitori secondo i rispettivi accordi: non promettiamo che nessun'altra società partecipi al trattamento.

Le aggiunte o sostituzioni di sub-responsabili sono comunicate con almeno 15 giorni di preavviso, secondo l'art. 15.9 delle condizioni. Restano il diritto di opposizione e, se non troviamo un'alternativa, il recesso senza costi con rimborso pro rata.

Che cosa trattiamo e a che cosa serve

Account e rapporto con lo studio. Nome dello studio e referente, contatti, password protetta da impronta non reversibile, dati fiscali, piano, stato dei pagamenti e uso delle funzioni. Servono per accesso, assistenza, fatturazione, avvio della prova e gestione del rapporto. Stripe riceve i dati necessari al pagamento: Commercialista AI non riceve il numero completo della carta.

Dati dei clienti e della casella collegata. Anagrafiche, riferimenti fiscali e contabili, documenti, messaggi, scadenze e operazioni richieste dallo studio. Nei riepiloghi inviati allo studio possono comparire nomi di clienti, descrizioni di pratiche e date. I nuovi testi integrali acquisiti dalla posta vengono conservati in forma cifrata per consentirne la verifica. La ricerca nella casella è limitata prima dello scaricamento agli indirizzi associati a clienti con email e partita IVA valide; gli altri messaggi non vengono aperti né scaricati. Non sono copie certificate dell'email originale.

Google Workspace API: Limited Use

The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

Commercialista AI uses Google user data only to provide visible features the accountant asked for: reading incoming mail from registered client addresses, sending email from the firm's Gmail after a human confirmation, and signing in. We do not sell Google user data. We do not use, transfer, or sell Google user data — including raw, aggregated, or derived data — to create, train, or improve foundational or generalized machine learning or artificial intelligence models. The Gmail one-click connection requests https://mail.google.com/ for client-address reading (IMAP via OAuth) and sending (Gmail API). Search is limited before download to clients with a valid email and VAT number. The English statement and the Italian detail are also on the Google Limited Use page and in the dedicated document.

Documenti. Gli originali caricati o importati e i testi estraibili restano nell'archivio del servizio. Il caricamento non equivale a spedizione al cliente. L'eliminazione dall'app non ritira gli allegati già inviati e non elimina immediatamente le copie di sicurezza.

Assistenza e chat. Conserviamo domande, risposte e segnalazioni per rispondere e gestire i problemi; le copie di assistenza possono essere archiviate in Google Drive. Non incollare nella chat informazioni riservate non necessarie o dati sensibili dei clienti.

Registri e conteggi. Gli accessi applicativi e le operazioni sono collegati allo studio e, dove disponibile, all'utente. I pannelli di utilizzo e attivazione possono identificare lo studio: non sono statistiche anonime. Esistono anche semplici conteggi aggregati delle visite, separati dai registri individuali. I fornitori dell'infrastruttura possono trattare indirizzi di rete e dati tecnici per funzionamento e sicurezza.

Promozioni. L'eventuale invio di comunicazioni promozionali richiede una base giuridica distinta dalle email necessarie al servizio; quando richiesto, raccogliamo un consenso revocabile. L'iscrizione al servizio non è un consenso generale alla pubblicità.

AI: dati inviati, conservazione e interruttori

La bozza di risposta utilizza il nome del cliente, l'oggetto e fino a 1.500 caratteri del testo dell'email. La chat di aiuto può includere i messaggi recenti della conversazione e il contesto della pagina. Non viene inviato come tale l'intero archivio dello studio. Non è anonimizzazione automatica.

Le condizioni commerciali di Anthropic escludono l'addestramento sui contenuti dei clienti. Questo non significa assenza di conservazione. Per l'API, la regola ordinaria è la cancellazione di input e output entro 30 giorni. Sono previste eccezioni per legge, sicurezza, accordi o funzionalità: testi segnalati per possibili violazioni delle regole possono essere conservati fino a 2 anni e le relative classificazioni fino a 7 anni. Un feedback volontario al fornitore può comportare una conservazione di 5 anni; questa app non invia deliberatamente feedback dei contenuti al fornitore.

Non è attivo un accordo di conservazione zero. L'eventuale concessione deve essere confermata per l'organizzazione, i modelli e le funzioni usati: non può essere data per acquisita.

La conservazione presso Anthropic è distinta dai nostri obblighi di conservazione. La cancellazione di un testo da parte del fornitore AI non elimina gli originali nell'archivio dello studio, le bozze salvate nel servizio o i documenti contabili che devono essere conservati per legge. Anthropic non è il conservatore dei documenti fiscali dello studio.

Il titolare spegne la generazione da Impostazioni → Intelligenza artificiale, senza scriverci. Il blocco generale del servizio prevale sull'interruttore dello studio. Spegnere l'AI impedisce nuove generazioni ma non cancella dati già inviati o bozze già salvate.

Il titolare o un collaboratore può segnare un cliente come sensibile nella scheda cliente: il servizio blocca le nuove bozze AI di risposta per quel cliente. Resta la scrittura manuale. Il controllo non legge automaticamente tutte le email: cerca soltanto i mittenti autorizzati nell'anagrafica clienti prima di scaricare il contenuto. Non ritira richieste già partite e non riconosce un cliente citato liberamente nella chat.

Salute, convinzioni, sindacati e dati giudiziari

Questi dati possono comparire nella documentazione professionale, anche accidentalmente. Non devono essere inviati alle funzioni AI: il DPA standard di Anthropic indica che il trattamento concordato non comprende categorie particolari di dati. Lo studio valuta necessità e liceità del trattamento nel proprio archivio, applica il blocco al cliente quando necessario e usa le funzioni manuali. DC Academy non tratta questi contenuti per finalità proprie.

Trasferimenti fuori dallo Spazio economico europeo

Il database e l'applicazione sono ospitati negli Stati Uniti. I contratti pubblicati dei fornitori prevedono clausole contrattuali tipo per i trasferimenti, secondo il ruolo delle parti. Non affermiamo che basti la presenza di quelle clausole a rendere ogni trasferimento privo di rischio, né che tutti gli account abbiano una configurazione esclusivamente europea.

La valutazione preliminare dei trasferimenti riporta le misure disponibili e i punti da chiudere. La cifratura protegge i dati memorizzati e in transito, ma il fornitore AI deve ricevere in chiaro il testo durante l'elaborazione. Non dichiariamo verificata una garanzia di inaccessibilità alle autorità.

Base giuridica

Account e servizio: esecuzione del contratto o misure precontrattuali, dove applicabile (art. 6.1.b GDPR). Contatti dei referenti, assistenza, sicurezza e gestione del rapporto: legittimo interesse (art. 6.1.f), valutato tenendo conto dei diritti delle persone. Fatturazione e adempimenti: obbligo di legge (art. 6.1.c). Promozioni su consenso: art. 6.1.a, con revoca in qualsiasi momento. Difesa dei diritti: legittimo interesse. Per i clienti dello studio vale la base individuata dallo studio; l'accordo dell'art. 28 disciplina l'incarico a DC Academy e non sostituisce quella base.

Per quanto tempo

Documentazione contabile di DC Academy. I documenti soggetti a obbligo di conservazione restano per i termini di legge, anche dopo la chiusura dell'account. Per le scritture contabili l'art. 2220 del codice civile prevede 10 anni dall'ultima registrazione e comprende le fatture e la corrispondenza commerciale indicate dalla norma. I termini possono prolungarsi per gli accertamenti fiscali previsti dall'art. 22 del DPR 600/1973. Non decorrono automaticamente dalla chiusura dell'account. La cancellazione dall'app non cancella questa documentazione dai sistemi amministrativi.

Prova del contratto. Alla cancellazione definitiva conserviamo separatamente la prova minima delle accettazioni per 10 anni dalla chiusura, per documentare il rapporto e tutelare i diritti. È una finalità distinta dall'obbligo contabile: la copia contiene i dati identificativi dello studio e la prova dell'accettazione, non l'archivio dei suoi clienti.

Archivio operativo dello studio. I dati necessari all'uso restano per la durata del rapporto e per i termini dell'art. 13-bis delle condizioni. Lo studio può chiederne restituzione e cancellazione. La cancellazione definitiva elimina l'archivio operativo; restano gli specifici obblighi di legge applicabili. Lo studio deve conservare autonomamente i documenti dei clienti per i termini richiesti dalla propria attività: il servizio non è conservazione a norma. Non esiste un obbligo generale di conservare tutte le email, le chat o le bozze per 10 anni. Email già spedite e copie presso destinatari non vengono ritirate dalla cancellazione dell'account.

Dettaglio dei tempi, delle responsabilità e dei riferimenti di legge.

I nuovi registri di apertura delle pagine amministrative e del testo clienti coprono gli ultimi 365 giorni: le righe scadute vengono eliminate al successivo utilizzo dei registri, senza una routine giornaliera. Sono eliminate anche con la cancellazione definitiva dello studio. Gli altri registri operativi seguono la durata dell'account; non dichiariamo per essi una cancellazione automatica dopo 30 giorni. Le copie di ripristino del database hanno attualmente una finestra di 3 giorni sul servizio Render configurato. I tempi di Anthropic sono quelli indicati sopra; gli altri fornitori applicano le proprie regole di conservazione e gli obblighi di legge.

Traccia della cancellazione. Conserviamo separatamente per 365 giorni dalla cancellazione definitiva l'identificativo, il nome e l'email dello studio, chi ha eseguito la cancellazione, il percorso utilizzato e la data. Serve a ricostruire le operazioni di assistenza e sicurezza; non contiene documenti o dati dei clienti. Le righe scadute vengono eliminate al successivo utilizzo dei registri. Registriamo anche le successive aperture di questa sola traccia da parte degli amministratori. Queste letture vengono eliminate insieme alla traccia: aprirla non prolunga la conservazione. Questo termine è una regola del servizio, non un obbligo contabile.

Chi apre i contenuti: il registro minimo

Il personale autorizzato accede ai contenuti professionali solo per assistenza necessaria, sicurezza o obblighi di legge. La consultazione delle informazioni commerciali dell'account è distinta dall'accesso ai contenuti delle pratiche.

Il registro minimo registra per ogni studio mostrato nelle pagine amministrative: account amministratore, data e ora, pagina e categoria dei contenuti. Lo studio lo consulta da Impostazioni → Registro privacy. Non è un registro di tutti gli accessi del personale: non contiene la motivazione individuale e non copre le consultazioni dirette dell'infrastruttura o dei pannelli dei fornitori.

Registriamo anche ogni apertura della pagina con il testo destinato ai clienti: studio, utente quando disponibile, ruolo, data, versione e impronta del testo. Questo prova l'erogazione della pagina, non la lettura effettiva e non l'invio o l'accettazione da parte del cliente.

Cifratura e limiti della protezione

I nuovi originali, i testi estratti e i nuovi testi integrali della posta hanno cifratura autenticata AES-256-GCM, con chiavi derivate per studio e utilizzo. Gli originali precedenti restano leggibili con la cifratura autenticata precedente. Le credenziali della casella e la sessione del browser sono protette con cifratura; le password di accesso non sono conservate in chiaro.

Non tutti i campi del database sono cifrati dall'app: anagrafiche, oggetti, riepiloghi e dati necessari alle ricerche possono essere leggibili dal servizio. Si aggiunge la cifratura dei supporti del fornitore. Le chiavi sono separate dal database ma accessibili al servizio che deve decifrare: non è una custodia esclusiva dello studio. Un'intrusione nel servizio in esecuzione può quindi esporre contenuti. Nessun sistema è inviolabile e questi controlli non sono una certificazione di sicurezza.

Lo studio protegge account e dispositivi e conserva copie autonome dei documenti importanti. Commercialista AI non è un sistema di conservazione a norma.

Incidenti e assistenza

Per una violazione dei dati dei clienti, DC Academy avvisa lo studio senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza dell'evento, secondo l'art. 15.11 delle condizioni. Non è una promessa di rilevare qualsiasi incidente entro quel termine. Le informazioni disponibili vengono integrate man mano. Lo studio valuta gli adempimenti verso Garante e interessati; per i trattamenti di cui è titolare provvede DC Academy.

Informazione ai clienti e uso consapevole

Le bozze AI e le risposte dell'aiuto possono contenere errori. La valutazione professionale e l'approvazione restano umane. Il servizio non è destinato a decisioni automatizzate su credito, occupazione o diritti delle persone. La classificazione dipende dall'uso effettivo: non dichiariamo una certificazione generale di sistema a basso rischio.

Nel servizio è disponibile un testo da adattare e consegnare ai clienti, anche per l'informazione prevista dall'art. 13 della legge 132/2025. L'apertura non sostituisce la consegna. Sono disponibili la valutazione d'impatto tipo, le regole Anthropic in italiano e la scheda formativa sull'AI. I modelli aiutano lo studio, ma non attestano che il personale abbia già ricevuto formazione o che ogni obbligo sia assolto.

Diritti e contatti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità nei casi previsti, opposizione e revoca del consenso scrivendo a academy@davidecaiazzo.it. Rispondiamo di regola entro un mese, con le eventuali proroghe motivate previste dalla legge. I clienti dello studio si rivolgono innanzitutto al proprio studio; DC Academy lo assiste. Puoi presentare reclamo al Garante per la protezione dei dati personali.

Il servizio è destinato a professionisti maggiorenni. Per i cookie tecnici consulta la cookie policy. Questa informativa riguarda Commercialista AI e non sostituisce quelle degli altri siti di DC Academy.