VALUTAZIONE PRELIMINARE DEI TRASFERIMENTI NEGLI STATI UNITI
Commercialista AI — versione 2026-09-11d; perimetro della posta aggiornato il 16 settembre 2026
Documento tecnico-organizzativo da validare; non certifica la liceità di ogni trasferimento.

ESITO
La documentazione disponibile non permette di concludere che ogni rischio sia eliminato. La disponibilità tecnica dell'AI non equivale a una valutazione legale conclusa. Lo stato effettivo è indicato nelle Impostazioni dello studio. L'archivio operativo resta ospitato negli Stati Uniti: spegnere l'AI non lo trasferisce in Europa. L'impiego con dati professionali riservati richiede la valutazione del titolare e il completamento delle verifiche elencate sotto. Non si attribuisce qui un'approvazione legale o un'accettazione del rischio a uno studio.

PERIMETRO E RUOLI
Esportatore: DC ACADEMY S.R.L., Via Imperatore Adriano 9, 73100 Lecce, Italia, P. IVA 05125350750, academy@davidecaiazzo.it.
DC Academy opera come responsabile per conto dello studio, titolare dei dati dei propri clienti; come titolare per account, abbonamenti e proprie finalità amministrative.
Importatori e rispettive società sono descritti nell'elenco fornitori. Il documento riguarda Render, Anthropic, Zapier e Google Workspace; Stripe ha un flusso distinto per gli abbonamenti. Il gestore della casella dello studio resta oggetto del rapporto diretto dello studio.

FLUSSI CONCRETI
A. Archivio e lavoro dell'applicazione: anagrafiche, documenti, posta autorizzata, riepiloghi e operazioni, trasmessi al servizio Render in Oregon. Collegare la casella non importa né legge l'intera posta. Il contenuto e gli allegati vengono acquisiti soltanto dai messaggi inviati dagli indirizzi di clienti registrati con email e partita IVA valide; senza almeno un cliente completo la casella non viene interrogata.
B. Bozze AI: nome del cliente, oggetto e parte del testo della singola email; aiuto: conversazione recente e contesto. Destinatario Anthropic, con società contraente europea e infrastruttura anche statunitense. Il flusso avviene quando la relativa funzione AI è abilitata; restano le esclusioni e i blocchi del servizio.
C. Email di servizio: studio, destinatari e contenuti tramite Zapier e Google. I riepiloghi possono contenere clienti e scadenze.
D. Assistenza: domande e risposte possono avere copie in Google Drive.
Frequenza: continuativa per l'archivio e secondo uso/configurazione per gli altri flussi. Numero di interessati e volumi: dipendono dallo studio; non si inventa una stima unica. Il testo può rivelare dati particolari anche quando il campo non è etichettato come tale.

STRUMENTI GIURIDICI
I DPA pubblicati da Render, Anthropic, Zapier e Google prevedono clausole contrattuali tipo per i trasferimenti applicabili. La corrispondenza fra account effettivo, società contraente e ambito dei dati deve essere conservata nel fascicolo contrattuale.
Per i dati dei clienti, la catena è titolare → DC Academy responsabile → sub-responsabile; i moduli delle clausole devono essere coerenti con quel ruolo. L'accettazione da parte dello studio non sostituisce una garanzia di trasferimento.
Non si assume in questa valutazione che tutti i destinatari siano coperti da una certificazione EU-US Data Privacy Framework attuale e pertinente. Il solo fatto che un fornitore dichiari una certificazione non risolve ogni flusso o subfornitore.

RISCHI DA VALUTARE
1. Accesso illecito al servizio o a un account amministrativo: può esporre insieme più studi. I dati professionali possono causare danni economici, reputazionali e perdita di riservatezza.
2. Accessi delle autorità e obblighi del Paese di destinazione: i rimedi e le garanzie vanno valutati per l'importatore concreto e il trasferimento effettivo. Questo documento non contiene un parere specialistico sul diritto statunitense o una prova di assenza di richieste.
3. Conservazione ulteriore del fornitore: la regola ordinaria Anthropic non è un massimo assoluto. Eccezioni di sicurezza, obblighi di legge, feedback e caratteristiche del prodotto possono prolungare i tempi.
4. Trasferimenti successivi: posta, copie di assistenza e ulteriori subfornitori possono creare copie fuori dal database principale.
5. Dati sensibili arrivati incidentalmente: togliere una firma non rende anonimo il corpo di un messaggio.

MISURE ESISTENTI E LORO LIMITI
- Collegamenti cifrati e restrizione dell'accesso al database dall'esterno. Il controllo verificato di cifratura del collegamento non viene descritto come una verifica completa dell'identità del server mediante una catena di certificati indipendente.
- Cifratura aggiuntiva degli originali, dei testi estratti e dei nuovi testi integrali della posta; separazione logica per studio. Altri campi operativi restano leggibili dall'applicazione.
- Chiavi separate dal database, ma disponibili al servizio. Non sono detenute esclusivamente dal cliente e non rendono impossibile la decifratura a chi controllasse il servizio.
- Ripristino del database provato e finestra delle copie di sicurezza configurata di 3 giorni. Il ripristino tutela la disponibilità, non impedisce un accesso illecito.
- Permessi per ruolo, sessioni protette e registro minimo delle aperture amministrative. Il registro non è un tracciamento completo degli accessi diretti all'infrastruttura né un archivio indipendente immodificabile.
- Invio limitato del testo all'AI, arresto generale della generazione e preferenza dello studio. La cifratura non protegge il testo dal fornitore AI nel momento in cui lo elabora.
- Blocco delle nuove bozze per i clienti segnati come sensibili. È una scelta esplicita dello studio, non un riconoscimento infallibile del contenuto e non una cancellazione retroattiva.

RISCHIO RESIDUO E DECISIONE
Il rischio residuo di divulgazione non è azzerato. Non viene assegnato un punteggio numerico privo di dati.
Per dati sensibili, giudiziari o soggetti a vincoli particolari, non utilizzare l'AI nelle condizioni descritte. Il DPA standard di Anthropic non include categorie particolari nel trattamento concordato.
Per le funzioni manuali resta il trasferimento statunitense verso l'infrastruttura: lo studio deve verificarne l'adeguatezza rispetto ai propri dati. Se le misure non sono sufficienti, non avviare quel trattamento e valutare un'alternativa, inclusa un'architettura europea e una diversa custodia delle chiavi.

PUNTI DA VALIDARE PER L'USO CON I DATI DELLO STUDIO
Responsabile organizzativo: DC Academy.
- Conferma scritta di account, società contraente, DPA applicabile e ambito del servizio.
- Risposta sulla conservazione zero per organizzazione, modelli e funzioni; una richiesta non è un'attivazione.
- Valutazione legale delle eccezioni e dei trasferimenti successivi rispetto ai dati ammessi.
- Conferma della scelta dello studio e consegna dell'informazione ai clienti.
- Prova che tutti i percorsi AI rispettino disattivazione e blocchi previsti.
La decisione conclusiva, con data, soggetto autorizzato, rischi accettati e misure richieste, non è stata ancora registrata.

DOCUMENTAZIONE DA CONSERVARE E RIESAME
Conservare versioni dei contratti, configurazioni non segrete, esiti dei test, richieste ai fornitori e risposte. Non inserire password o chiavi nel fascicolo.
Riesaminare al cambio di fornitore, Paese, modello, dati, eccezioni di conservazione, norme o dopo un incidente. Questa istruzione non crea una routine automatica.

FONTI E RIFERIMENTI
Elenco fornitori e accordi:
https://commercialista-ai.davidecaiazzo.it/privacy/documenti/fornitori
GDPR, artt. 28, 32 e 44-49:
https://eur-lex.europa.eu/eli/reg/2016/679/oj/ita
Raccomandazioni EDPB sulle misure supplementari:
https://www.edpb.europa.eu/documents/recommendation/recommendations-012020-on-measures-that-supplement-transfer-tools-to_en
Conservazione API e condizioni ZDR:
https://platform.claude.com/docs/en/manage-claude/api-and-data-retention