Valutazione d'impatto tipo per lo studio

VALUTAZIONE D'IMPATTO TIPO PER UNO STUDIO Commercialista AI · versione 2026-09-11d; perimetro della posta aggiornato il 16 settembre 2026 COME USARLA Questa è una base di lavoro, non una valutazione già approvata per tutti gli studi. La parte tecnica è compilata per il servizio attuale; i campi fra parentesi quadre spettano alla valutazione del titolare con i propri consulenti. Non equivale a una certificazione GDPR e non rende obbligatoria o superflua una DPIA in ogni caso. IDENTIFICAZIONE Studio titolare: [denominazione, sede e contatto]. Referente della valutazione: [nome e ruolo]. Responsabile della protezione dei dati, se nominato: [contatto e parere]. Data e versione approvata: [da registrare]. Responsabile del trattamento: DC ACADEMY S.R.L., Via Imperatore Adriano 9, 73100 Lecce, Italia, P. IVA 05125350750, academy@davidecaiazzo.it. Sub-responsabili: elenco pubblico dei fornitori, da allegare nella versione esaminata. DECIDERE SE OCCORRE LA DPIA Descrivere se il trattamento può presentare un rischio elevato considerando dati particolari, soggetti vulnerabili, volumi, frequenza, collegamenti fra fonti, novità tecnologica, monitoraggio e conseguenze sulle persone. Non usare la sola etichetta “assistente AI” per concludere. Esito motivato dello studio: [DPIA necessaria/non necessaria e motivi; elenco del Garante applicabile]. Se non viene svolta, conservare comunque la valutazione preliminare. Se il rischio elevato resta non mitigato, valutare la consultazione preventiva dell'autorità prevista dall'art. 36 prima del trattamento. DESCRIZIONE DEL TRATTAMENTO Finalità prevista: organizzare documenti, scadenze e corrispondenza, preparare proposte da controllare, assistere l'utilizzatore. Nessuna delega all'AI della decisione professionale. Categorie: dati identificativi, fiscali, contabili, di contatto, documenti ed email. Dati sensibili o giudiziari possono arrivare incidentalmente nei messaggi e negli allegati dei clienti autorizzati: lo studio deve delimitare clienti, indirizzi e documenti coinvolti. Interessati: clienti registrati, loro referenti e altre persone i cui dati compaiono nei messaggi o negli allegati dei clienti autorizzati. Volume, clienti, indirizzi, persone e durata effettiva: [da compilare con dati dello studio]. Funzioni abilitate: [manuali, posta limitata ai clienti registrati, avvisi, documenti, eventuale AI dopo verifica]. Collegare la casella non importa né legge l'intera posta. Il contenuto e gli allegati vengono acquisiti soltanto dai messaggi inviati da un indirizzo associato a un cliente registrato con email e partita IVA valide. Se non esiste almeno un cliente completo, la casella non viene interrogata. Gli indirizzi non registrati non vengono usati per scoprire nuovi clienti. Il servizio è su Render in Oregon. Quando le funzioni AI sono abilitate avvengono i flussi Anthropic indicati nell'elenco fornitori. Lo stato effettivo è nelle Impostazioni dello studio; la disponibilità tecnica non approva questa valutazione. Zapier e Google trattano le comunicazioni di servizio; Google Drive può ospitare copie dell'assistenza. Lo studio non deve inserire credenziali bancarie o Entratel nel servizio. NECESSITÀ E PROPORZIONALITÀ Per ciascun flusso indicare: - quale attività concreta viene svolta e perché il dato è necessario; - base giuridica dell'art. 6 e, se occorre, presupposto degli artt. 9 o 10; - possibilità di usare dati sintetici, eliminare dettagli, limitare i clienti e i loro indirizzi autorizzati o lavorare manualmente; - chi è autorizzato, come viene istruito e quando perde l'accesso; - periodo di conservazione e modalità di restituzione/cancellazione. Motivazione dello studio: [compilare]. L'AI non è necessaria per continuare a usare le funzioni manuali. Il consenso non è una soluzione automatica a tutti i problemi di necessità, segreto professionale e trasferimento. TRASPARENZA E DIRITTI Adattare il testo informativo ai servizi realmente attivi. Comunicarlo ai clienti con modalità documentabili; integrare l'informativa dello studio. Non presentare l'apertura della pagina come prova di consegna. Stabilire un recapito per accesso, rettifica, opposizione e cancellazione e la collaborazione con DC Academy. Gestire separatamente le informazioni relative a persone diverse dal cliente che compaiono negli allegati; non assumere un'esenzione generale dall'informazione. SCENARI DI RISCHIO E MISURE A. Un collaboratore vede dati di uno studio diverso. Misure: controlli lato server sull'appartenenza dello studio, permessi per ruolo e prove di accesso negato. Residuo: difetti applicativi o configurazioni errate restano possibili. Valutazione gravità/probabilità dello studio e interventi: [compilare]. B. Furto dell'account o accesso all'infrastruttura. Misure: password protette, sessioni cifrate, limitazione dei tentativi, controlli degli accessi e cifratura dei contenuti. Residuo: non tutti i campi hanno cifratura aggiuntiva; il servizio dispone delle chiavi; il registro minimo non copre tutti gli accessi diretti. Non è stata dichiarata una verifica indipendente completa. Interventi e responsabili: [compilare, inclusa autenticazione rafforzata dei propri account]. C. Invio di informazioni riservate al fornitore AI. Misure: possibilità di sospensione generale, interruttore dello studio, blocco delle bozze per clienti segnati sensibili, dati limitati nella richiesta. Verificare lo stato effettivo prima dell'uso. Residuo: un messaggio può contenere dati delicati non riconosciuti; i messaggi liberamente inseriti in chat non vengono ricondotti automaticamente a un cliente. Decisione: non inviare categorie particolari o dati giudiziari all'AI; evitare la copia di documenti nella chat. D. Una bozza contiene una scadenza, un importo o una norma errata. Misure: confronto umano con documento originale e fonte aggiornata; separazione fra proposta e invio. Residuo: una risposta plausibile può comunque indurre errore. Procedura dello studio: [chi verifica, fonte, secondo controllo quando necessario]. E. Perdita, cancellazione o duplicazione di dati. Misure: esportazione, copie autonome dello studio, copie di ripristino e prova di recupero. Residuo: il servizio non è conservazione a norma; copie di sicurezza e caselle destinatari hanno tempi propri. Piano di continuità dello studio: [compilare e provare]. F. Accesso di autorità o conservazione fuori UE. Misure: contratti, minimizzazione e cifratura nei limiti effettivi. Residuo: il testo deve essere leggibile per l'elaborazione AI; custodia delle chiavi non esclusiva. Allegare la valutazione dei trasferimenti e registrare eventuali alternative. G. Email inviata al destinatario sbagliato. Misure: controllo anagrafica, destinatario, allegati e testo prima della conferma. Residuo: un controllo umano può fallire; segnalare subito l'incidente. Procedura dello studio: [compilare]. H. Acquisizione di posta estranea ai clienti registrati. Misure: nessuna lettura senza almeno un cliente con email e partita IVA valide; ricerca limitata agli indirizzi autorizzati; controllo esatto del mittente prima di acquisire contenuto e allegati. La sola connessione della casella non avvia un'importazione generale. Residuo: indirizzi condivisi, inoltri e contenuti inviati dal cliente possono includere dati di altre persone; lo studio deve verificare gli indirizzi associati a ciascun cliente. Procedura dello studio: [chi registra o modifica gli indirizzi e con quale verifica]. ESITO DA APPROVARE Trattamenti approvati: [indicare in modo preciso]. Trattamenti esclusi: [indicare]. Rischi residui accettati e motivazione: [indicare, senza formule generiche]. Misure ancora necessarie, responsabile e termine: [indicare]. Parere del responsabile della protezione dei dati, ove applicabile: [allegare]. Necessità di consultazione preventiva: [valutare]. Nome, ruolo, data e decisione del titolare: [registrare]. Non considerare approvata l'AI solo perché questa scheda è stata compilata. RIESAME Al cambio di funzione, fornitore, dati o destinatari; dopo incidenti o reclami rilevanti; secondo la periodicità motivata dal titolare. Non è una nuova automazione del servizio. FONTI GDPR, in particolare artt. 5, 6, 9, 10, 28, 32, 35 e 36: https://eur-lex.europa.eu/eli/reg/2016/679/oj/ita Configurazione e limiti del servizio: https://commercialista-ai.davidecaiazzo.it/privacy https://commercialista-ai.davidecaiazzo.it/privacy/documenti/trasferimenti-usa