DC Academy e i fornitori del servizio

DC ACADEMY E I FORNITORI DI COMMERCIALISTA AI Versione 2026-09-11d · dati societari verificati il 10 settembre 2026; perimetro della posta aggiornato il 16 settembre 2026 1. IL RESPONSABILE NOMINATO DALLO STUDIO DC ACADEMY S.R.L. Sede: Via Imperatore Adriano 9, 73100 Lecce, Italia. Codice fiscale e partita IVA: 05125350750. Registro imprese di Lecce: 05125350750. R.E.A.: LE-344032. Contatto: academy@davidecaiazzo.it. Ruolo: responsabile del trattamento per i dati dei clienti affidati dallo studio, ai sensi dell'art. 28 GDPR. Lo studio resta titolare. L'incarico è disciplinato dall'art. 15 delle condizioni di Commercialista AI. Per account, abbonamenti, fatturazione e gestione del proprio rapporto commerciale, DC Academy agisce invece come titolare. Questa distinzione vale anche quando un fornitore tratta entrambe le categorie di dati. 2. SUB-RESPONSABILI DEL SERVIZIO RENDER Società: Render Services, Inc. Recapito legale pubblicato nei termini del 10 luglio 2026: 525 Brannan Street, Suite 300, San Francisco, CA 94107, Stati Uniti. Contatto privacy: privacy@render.com. Funzione: esecuzione dell'applicazione, database PostgreSQL e copie di ripristino. Dati: archivio dello studio, documenti, posta autorizzata, anagrafiche, operazioni, registri e configurazioni. La posta autorizzata comprende soltanto i messaggi inviati dagli indirizzi associati a clienti registrati con email e partita IVA valide; il collegamento della casella non importa l'intera posta. Paese effettivamente configurato: Stati Uniti, regione Oregon. Conservazione: archivio operativo secondo il contratto con lo studio; finestra di ripristino del database attualmente configurata di 3 giorni. Non equivale alla conservazione a norma dei documenti. Garanzie: accordo sul trattamento e clausole contrattuali tipo pubblicati dal fornitore. La cifratura del disco non rende inaccessibile un'applicazione compromessa. Fonti: https://render.com/terms https://render.com/privacy https://render.com/dpa https://render.com/docs/postgresql-backups Precisazione sul recapito: il DPA del dicembre 2024 riporta lo stesso indirizzo stradale con un CAP differente; per il contatto legale è riportato quello dei termini più recenti, non un CAP ricostruito. ANTHROPIC / CLAUDE API Società contraente prevista dai termini commerciali per clienti nello SEE: Anthropic Ireland, Limited. Sede/recapito privacy: 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irlanda. Contatti: privacy@anthropic.com; dpo@anthropic.com. Società statunitense del gruppo: Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, Stati Uniti. Non viene indicata come controparte europea al posto della società irlandese. Funzione: generazione delle bozze di risposta e aiuto in chat quando autorizzati. La disponibilità effettiva dipende dalle condizioni accettate, dalle impostazioni dello studio e dai blocchi del servizio; lo stato è indicato nelle Impostazioni. Dati: per una bozza, nome del cliente, oggetto e fino a 1.500 caratteri del messaggio; per l'aiuto, messaggi recenti e contesto della pagina. Non viene spedito l'archivio intero come tale. Paesi: contratto europeo in Irlanda; trattamento può avvenire negli Stati Uniti e tramite l'infrastruttura autorizzata dal fornitore. Nessuna garanzia di residenza esclusiva UE. Conservazione: API ordinaria entro 30 giorni, con eccezioni legali e di sicurezza; contenuti segnalati fino a 2 anni, relative classificazioni fino a 7 anni. Il feedback volontario al fornitore ha una regola distinta di 5 anni. Non è attivo un accordo di conservazione zero. Addestramento: escluso sui contenuti del cliente dai termini commerciali. Garanzie: DPA incorporato nei termini commerciali e clausole tipo. Il DPA standard non prevede categorie particolari nel trattamento concordato. L'attribuzione aziendale dello specifico account e l'eventuale accordo ZDR devono essere confermati per iscritto. Fonti: https://www.anthropic.com/legal/commercial-terms https://www.anthropic.com/legal/data-processing-addendum https://www.anthropic.com/legal/privacy https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data https://platform.claude.com/docs/en/manage-claude/api-and-data-retention ZAPIER Società: Zapier, Inc. Recapito: 548 Market St. #62411, San Francisco, CA 94104-5401, Stati Uniti. Contatto: privacy@zapier.com. Funzione: trasporto delle comunicazioni di avvio e servizio, collegamenti con i servizi di posta. Dati: nome e contatti dello studio/referente, destinatari, oggetto e corpo delle comunicazioni. I riepiloghi possono includere nomi di clienti, descrizioni di pratiche e scadenze: non sono solo dati commerciali. Paese: Stati Uniti; ulteriori Paesi dipendono dai subfornitori dichiarati da Zapier. Conservazione: dipende dalla cronologia e dalla configurazione del servizio; non è stato accertato un termine unico applicabile a ogni copia del nostro account. Non promettiamo conservazione zero. Garanzie: DPA incorporato nei termini, aggiornato il 1 aprile 2026 ed efficace dal 7 aprile 2026; clausole tipo. L'accordo di Zapier non copre da solo i servizi terzi a cui i dati vengono poi trasferiti. Fonti: https://zapier.com/privacy https://zapier.com/legal/data-processing-addendum https://zapier.com/legal/data-privacy GOOGLE WORKSPACE Società europea: Google Ireland Limited. Sede: Gordon House, Barrow Street, Dublin 4, Irlanda. Contatto: canali privacy e assistenza indicati nei termini Workspace e nell'accordo sul trattamento. Funzione: Gmail di servizio e archiviazione dei documenti di assistenza in Google Drive. Dati: destinatari e contenuti delle email, risposte ricevute, domande e segnalazioni di assistenza, copie dei documenti operativi. I riepiloghi possono contenere dati dei clienti. Paesi: Irlanda come controparte europea; infrastruttura e accessi possono coinvolgere Stati Uniti e altri Paesi. Non è verificata una politica che limiti tutte le copie del nostro account alla UE. Conservazione: fino alla cancellazione secondo le regole dell'account e del servizio, con eventuali copie e obblighi residui del fornitore. Non è dichiarato un termine unico non verificato. Garanzie: accordo sul trattamento Google Workspace e clausole tipo applicabili. Fonti: https://admin.google.com/terms/apps/1/7/en/premier_terms_emea.html https://cloud.google.com/terms/data-processing-addendum/ https://cloud.google.com/terms/google-entity 3. PAGAMENTI E FORNITORI DISTINTI DALL'ARCHIVIO CLIENTI STRIPE Controparte contrattuale: Stripe Payments Europe, Limited. Sede: One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlanda. Registro irlandese: 513174. LEI: 549300DSKP4KJP52XY61. Per i servizi di pagamento regolamentati partecipa Stripe Technology Europe, Limited, 1 Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlanda. Contatti: privacy@stripe.com; dpo@stripe.com. Funzione: abbonamento, incassi e gestione del pagamento dello studio. Dati: referente, dati di fatturazione, importi, identificativi e stato dei pagamenti; i dati della carta sono acquisiti da Stripe, non dal database di Commercialista AI. Paesi: Irlanda, con trasferimenti e trattamenti anche negli Stati Uniti e in altri Paesi previsti dall'informativa. Ruoli: titolare e/o responsabile secondo l'attività, con finalità proprie per obblighi finanziari e antifrode. Non è presentato come sub-responsabile dei documenti e delle pratiche dei clienti dello studio. Conservazione: regole Stripe e obblighi fiscali/finanziari; la cancellazione dell'account Commercialista AI non elimina automaticamente i registri di pagamento dovuti per legge. Fonti: https://stripe.com/it/legal/ssa https://stripe.com/it/legal/privacy-center https://stripe.com/it/privacy https://stripe.com/de/legal/stel https://lei.bloomberg.com/leis/view/549300DSKP4KJP52XY61 CASELLA COLLEGATA DALLO STUDIO Google, Microsoft, Aruba o altro gestore scelto dallo studio non diventano per questo un subfornitore scelto da DC Academy. Il rapporto dello studio con il proprio gestore resta distinto. L'app utilizza i collegamenti autorizzati dallo studio. Il collegamento verifica l'accesso ma non importa né legge l'intera casella. Il sistema ricerca gli indirizzi autorizzati e acquisisce contenuto e allegati soltanto dopo aver verificato che il mittente coincida con un indirizzo di un cliente registrato con email e partita IVA valide. Se manca un cliente completo, non interroga la casella; non usa la posta di mittenti sconosciuti per creare l'anagrafica. Le società, i Paesi e le regole del singolo account vanno ricavati dal contratto effettivo dello studio: non si può assegnare a tutti la stessa società. INTEGRAZIONI COMMERCIALI DA VERIFICARE Il codice prevede un collegamento di registrazione verso Zapier descritto come integrazione con Kajabi. L'eventuale trasferimento riguarda contatti e provenienza commerciale dello studio, non l'archivio clienti. L'attivazione effettiva e la catena del singolo flusso non sono state confermate in questa verifica: Kajabi non viene dichiarato un sub-responsabile attivo sulla sola base di un commento nel codice. Prima dell'uso vanno confermati destinazione, dati, società, accordo e base giuridica. Non sono autorizzate promozioni automaticamente dalla registrazione. 4. LIMITI E AGGIORNAMENTI Questo elenco identifica i fornitori diretti e distingue il servizio utilizzato dall'eventuale intero gruppo societario. Non sostituisce gli elenchi aggiornati dei subfornitori ulteriori di ciascun fornitore. Non riporta partite IVA, numeri di registro o certificazioni non verificati. La presenza di un DPA pubblico non è una prova, da sola, dell'attribuzione di un account o di ogni configurazione concreta. Per richieste, copie e opposizioni: academy@davidecaiazzo.it. Le modifiche seguono il preavviso dell'art. 15.9 del contratto.