Informativa sulla privacy

Aggiornata il 14 ottobre 2026, versione 2026-10-14a. Informazioni ai sensi degli artt. 13 e 14 del GDPR.

DC Academy e lo studio: chi risponde di quali dati

DC ACADEMY S.R.L., Via Imperatore Adriano 9, 73100 Lecce, Italia, P. IVA e codice fiscale 05125350750, R.E.A. LE-344032, email academy@davidecaiazzo.it, fornisce Commercialista AI.

Per i dati dei clienti dello studio, DC Academy è responsabile del trattamento e lo studio è titolare. Lo studio ci incarica con l'art. 15 delle condizioni. Trattiamo quei dati per erogare le funzioni richieste, secondo le istruzioni dello studio. Non li vendiamo e non li usiamo per addestrare nostri modelli. La qualifica di responsabile non trasferisce a DC Academy la responsabilità professionale dello studio e non esclude i nostri obblighi di protezione dei dati.

Per account, abbonamenti, fatturazione, sicurezza e gestione del rapporto commerciale, DC Academy è invece titolare del trattamento. Lo studio sceglie le basi giuridiche per i dati dei propri clienti e rende le relative informazioni. Questa pagina non sostituisce l'informativa dello studio.

Conferma delle condizioni e copie contrattuali

Per documentare il rapporto raccogliamo il nome e il ruolo dichiarati, i dati dello studio, le approvazioni, la versione e le copie dei documenti, le impronte dei testi, le date, l'indirizzo di rete e il programma usato. La conferma con codice monouso documenta il controllo dell'email dell'account; non certifica l'identità civile o i poteri di rappresentanza. Conserviamo inoltre i tentativi e gli esiti disponibili dell'invio delle copie.

Questi trattamenti servono alla conclusione ed esecuzione del contratto, agli obblighi applicabili e al legittimo interesse a documentare e tutelare i diritti delle parti. Non richiedono un consenso promozionale. I codici non sono conservati in chiaro; le richieste di conferma scadute vengono eliminate dal registro applicativo entro il successivo giro di manutenzione dopo un giorno. Il fascicolo minimo resta separato dall'archivio operativo e segue il termine decennale dalla cessazione indicato sotto, salvo necessità di conservazione per controversie o obblighi di legge.

Fornitori, società e Paesi

I sub-responsabili che possono trattare dati dei clienti sono Render Services, Inc. per applicazione e database in Oregon, Stati Uniti; Anthropic Ireland, Limited per la generazione AI quando consentita, con trattamenti anche negli Stati Uniti; Zapier, Inc. per le comunicazioni di servizio; Google Ireland Limited per la posta di servizio e i documenti di assistenza su Google Workspace; Hetzner Online GmbH per il server del canale ufficiale con l'Agenzia delle Entrate, in Germania. Zapier opera negli Stati Uniti; per Google non è garantita una conservazione limitata all'Unione europea. Per gli studi che collegano il proprio numero WhatsApp Business interviene anche Meta (Meta Platforms Ireland Limited e WhatsApp Ireland Limited, Dublino, Irlanda), come descritto nella sezione WhatsApp. Per i clienti che collegano il proprio conto con «Banca collegata» interviene Salt Edge Inc. (Ottawa, Canada), con dati conservati nell'Unione europea, come descritto nella sezione Banca collegata. Per l'assistenza tecnica e lo sviluppo DC Academy usa anche Anthropic e OpenAI, che possono vedere dati di produzione solo per risolvere un guasto, in sola lettura e nella misura minima necessaria, con i piani individuali descritti nell'elenco.

Elenco completo: dati societari, attività, dati trattati e riferimenti

L'elenco distingue Stripe, usato per l'abbonamento dello studio, dai sub-responsabili dell'archivio clienti. Distingue anche i fornitori della casella scelti direttamente dallo studio e l'integrazione commerciale con Kajabi. I fornitori possono usare propri subfornitori secondo i rispettivi accordi: non promettiamo che nessun'altra società partecipi al trattamento.

L'elenco indica anche i servizi usati per funzioni specifiche, che non sono sub-responsabili dell'archivio clienti. Il sistema VIES della Commissione europea e, se configurato sul servizio, Company di Openapi S.p.A. ricevono soltanto una partita IVA, per controllarla e proporre i dati registrati. Kajabi, LLC, negli Stati Uniti, riceve le iscrizioni ai workshop di DC Academy e i contatti degli studi che si registrano, per le email di avvio di DC Academy. Calendly, negli Stati Uniti, riceve i dati di chi prenota una chiamata con il nostro team. Gli avvisi via SMS (Skebby, di Commify Italia S.r.l.) sono spenti e non ricevono dati. Cursor, Gemini e gli altri servizi AI non elencati non ricevono dati del servizio.

Le aggiunte o sostituzioni di sub-responsabili sono comunicate con almeno 15 giorni di preavviso, secondo l'art. 15.9 delle condizioni. Restano il diritto di opposizione e, se non troviamo un'alternativa, il recesso senza costi con rimborso pro rata.

Che cosa trattiamo e a che cosa serve

Account e rapporto con lo studio. Nome dello studio e referente, contatti, password protetta da impronta non reversibile, dati fiscali, piano, stato dei pagamenti e uso delle funzioni. Servono per accesso, assistenza, fatturazione, avvio della prova e gestione del rapporto. Stripe riceve i dati necessari al pagamento: Commercialista AI non riceve il numero completo della carta.

Dati dei clienti e della casella collegata. Anagrafiche, riferimenti fiscali e contabili, documenti, messaggi, scadenze e operazioni richieste dallo studio. Nei riepiloghi inviati allo studio possono comparire nomi di clienti, descrizioni di pratiche e date. I nuovi testi integrali acquisiti dalla posta vengono conservati in forma cifrata per consentirne la verifica. Le email che arrivano dagli indirizzi associati a clienti con email e partita IVA valide vengono lette per intero. Da queste stesse email (firma, indirizzo di risposta, copie) il programma propone allo studio i recapiti del cliente che mancano nella sua scheda, come PEC, telefono, codice destinatario o indirizzo: restano proposte finché lo studio non le aggiunge o le ignora. Se lo studio lascia accesa la funzione «Scadenze in tutte le email» (Impostazioni), delle altre email in arrivo e di quelle inviate dallo studio vengono letti mittente, destinatari, oggetto e data e vengono aperte solo quelle con allegati, inviate da enti pubblici (per esempio Agenzia delle Entrate, Agenzia Entrate-Riscossione, INPS) o che parlano di scadenze (per esempio «scadenza», «entro», «F24»), al solo scopo di trovare le scadenze dei clienti dello studio, con regole automatiche e senza intelligenza artificiale: il messaggio non viene conservato; una scadenza diventa una proposta, che lo studio deve confermare, solo se riguarda un suo cliente, riconosciuto dall'indirizzo email o dal codice fiscale o dalla partita IVA, e per ogni proposta restano soltanto mittente o destinatari, oggetto e data dell'email e l'allegato o la frase da cui nasce. I testi conservati non sono copie certificate dell'email originale.

Verifiche antiriciclaggio, richieste e firme dei clienti

Quando lo studio utilizza i moduli e il portale per l'adeguata verifica, Commercialista AI tratta per suo conto i dati identificativi del cliente, dell'esecutore e dei titolari effettivi; le risposte ai questionari e le dichiarazioni richieste dallo studio; le informazioni su prestazione, rischio e origine delle risorse; i documenti caricati, compresi i documenti d'identità; le risposte del cliente, le versioni dei documenti e le copie con le relative attestazioni. Per documentare le operazioni possono essere registrati data e ora, indirizzo IP, informazioni sul programma e sul browser (user agent), impronte dei testi e dei documenti, stato ed esito disponibile degli invii, delle risposte e delle conferme. Il codice monouso inviato alla casella scelta documenta il controllo di quella casella: non prova da solo l'identità o i poteri del firmatario e non è una firma avanzata o qualificata. Il caricamento di un documento d'identità non ne verifica automaticamente autenticità o titolarità. Lo studio controlla gli originali e prende le decisioni professionali. Le dichiarazioni richieste e le scelte di consenso facoltative sono tenute distinte; un consenso facoltativo non è preimpostato né dedotto dalla firma.

Per la firma dell'informativa Privacy lo studio può chiedere un documento d'identità; di base non lo chiede. Se lo chiede, il file caricato dal cliente si cancella da solo dopo il periodo indicato nell'invito e nella pagina di firma: 10 anni dal caricamento. Il documento firmato e la prova della firma restano: sono documenti distinti. Se lo studio usa quel documento per l'adeguata verifica antiriciclaggio, ne conserva una copia separata con la conservazione prevista per l'antiriciclaggio. I documenti caricati prima del 12 ottobre 2026 non ricevono una cancellazione retroattiva.

Il trattamento dei dati relativi a condanne penali e reati è previsto soltanto nel percorso dedicato e per gli studi che hanno accettato la versione aggiornata delle condizioni che lo contempla. Prima di richiederli, il professionista deve valutare e documentare necessità, finalità e specifica base giuridica della propria attività. La raccolta non è universale e questi dati non vengono inviati alle funzioni di intelligenza artificiale. L'accettazione della nuova versione non attribuisce una base giuridica né autorizza retroattivamente trattamenti precedenti.

Per i documenti antiriciclaggio lo studio individua e rispetta l'obbligo di conservazione per dieci anni dalla cessazione del rapporto professionale o dall'esecuzione dell'operazione, secondo gli artt. 31 e 32 del d.lgs. 231/2007. Il servizio può registrare la decorrenza e la scadenza e consente allo studio di esportare i documenti disponibili. La durata dell'abbonamento e i termini di restituzione/cancellazione dell'archivio operativo restano distinti; lo studio deve ottenere e conservare autonomamente le copie necessarie. Il servizio non è conservazione a norma e non garantisce disponibilità dopo la cessazione dell'account.

Uso del servizio e provenienza. Registriamo come lo studio usa Commercialista AI: accessi e sessioni con la loro durata, il tipo di dispositivo (computer, tablet o telefono), le funzioni aperte, i risultati prodotti (per esempio email inviate, F24 mandati, controlli completati), il tempo risparmiato stimato e gli eventi dell'abbonamento (attivazione, rinnovi, cambi di fascia, pagamenti non riusciti, disdette e motivo indicato). Registriamo anche da dove è arrivato lo studio prima dell'iscrizione: pagina di arrivo, sito di provenienza e parametri della campagna del link seguito. Non leggiamo per questo il contenuto delle email o dei documenti dei clienti. Servono a migliorare il servizio, ad aiutare lo studio a usarlo e a capire perché uno studio smette di usarlo.

Contatti precedenti con DC Academy. Se prima dell'iscrizione lo stesso indirizzo email ha scaricato una guida o si è iscritto a un evento di DC Academy, colleghiamo all'account data, contenuto e canale di quel contatto, per la stessa finalità. La fonte sono i moduli di DC Academy compilati da chi si è iscritto.

Dati professionali pubblici. Completiamo il profilo dello studio con dati professionali già pubblici, senza chiederli allo studio: sede e tipo di partita IVA dall'anagrafe europea delle partite IVA (VIES); anno di iscrizione e ordine dall'albo dei dottori commercialisti; forma giuridica, anno di inizio attività, fatturato e dipendenti pubblicati nel registro delle imprese; sito, servizi offerti, pagina LinkedIn e scheda Google dello studio con le recensioni pubbliche; indirizzo e titolo del profilo LinkedIn pubblico del titolare, come compaiono nei risultati di un motore di ricerca. Dall'anno di iscrizione all'albo ricaviamo un'età stimata. Non raccogliamo dati personali non professionali e non accediamo a pagine riservate o che richiedono un accesso.

Google Workspace API: Limited Use

The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

Commercialista AI uses Google user data only to provide visible features the accountant asked for: reading mail from registered client addresses, finding the clients' tax deadlines in other incoming mail and in the mail the firm sent, when the firm keeps that option on (only messages with attachments, from public bodies or mentioning a deadline are opened; a proposal is made only for the firm's own clients, and for each proposed deadline only the sender or recipients, subject, date and the attachment or sentence it comes from are kept), sending email from the firm's Gmail after a human confirmation, and signing in. We do not sell Google user data. We do not use, transfer, or sell Google user data — including raw, aggregated, or derived data — to create, train, or improve foundational or generalized machine learning or artificial intelligence models. The Gmail one-click connection requests gmail.readonly and gmail.send: it reads mail as described above and sends after confirmation, and cannot delete, move or modify mail. The English statement and the Italian detail are also on the Google Limited Use page and in the dedicated document.

Documenti. Gli originali caricati o importati e i testi estraibili restano nell'archivio del servizio. Il caricamento non equivale a spedizione al cliente. L'eliminazione dall'app non ritira gli allegati già inviati e non elimina immediatamente le copie di sicurezza.

Assistenza e chat. Conserviamo domande, risposte e segnalazioni per rispondere e gestire i problemi; le copie di assistenza possono essere archiviate in Google Drive. Non incollare nella chat informazioni riservate non necessarie o dati sensibili dei clienti.

Registri e conteggi. Gli accessi applicativi e le operazioni sono collegati allo studio e, dove disponibile, all'utente. I pannelli di utilizzo e attivazione possono identificare lo studio: non sono statistiche anonime. Esistono anche semplici conteggi aggregati delle visite, separati dai registri individuali. I fornitori dell'infrastruttura possono trattare indirizzi di rete e dati tecnici per funzionamento e sicurezza.

Promozioni. L'eventuale invio di comunicazioni promozionali richiede una base giuridica distinta dalle email necessarie al servizio; quando richiesto, raccogliamo un consenso revocabile. L'iscrizione al servizio non è un consenso generale alla pubblicità.

WhatsApp: avvisi ai clienti dal numero dello studio

Lo studio può collegare a Commercialista AI il proprio numero WhatsApp Business tramite la WhatsApp Business Platform (Cloud API) di Meta, anche continuando a usare l'app WhatsApp Business sullo stesso numero. Il collegamento è una scelta dello studio, fatto con l'iscrizione guidata di Meta: finché lo studio non collega il numero, a Meta non arriva nessun dato dal nostro servizio.

A che cosa serve. Solo a messaggi di servizio per conto dello studio: invio dell'F24 e promemoria delle scadenze, richieste di documenti, solleciti e conferme, con le risposte del cliente. Lo studio sceglie per ogni cliente «Solo email», «Solo WhatsApp» oppure «Email e WhatsApp» e registra il consenso del cliente prima del primo messaggio. Usiamo solo modelli di servizio approvati da Meta, non scriviamo di notte (dalle 21 alle 8) e al massimo tre volte al giorno allo stesso cliente. Se il cliente scrive «STOP», da quel momento riceve solo le email.

Quali dati passano da Meta. Il numero di cellulare del cliente, il nome dello studio, il testo dell'avviso (per esempio tipo di documento, periodo e scadenza), le risposte del cliente e gli stati di consegna e lettura comunicati da Meta. Conserviamo nel servizio gli identificativi dell'account WhatsApp Business e del numero dello studio, il numero visibile e la chiave di accesso concessa a Meta, cifrata con una chiave propria di ogni studio; per ogni avviso il numero del destinatario, il testo cifrato, lo stato e l'identificativo del messaggio; per ogni risposta il testo cifrato con giorno e ora, collegato alla scheda del cliente.

Che cosa non conserviamo. Con il numero condiviso con l'app arrivano anche chat private dello studio: teniamo soltanto i messaggi dei clienti per cui lo studio ha scelto WhatsApp e registrato il consenso, con quel numero. Non conserviamo la rubrica e lo storico delle chat sincronizzati da Meta, i messaggi che lo studio scrive dal telefono e i messaggi di altre persone.

Ruoli. Per questi dati lo studio è titolare e DC Academy è responsabile del trattamento, come per il resto dell'archivio clienti. Meta tratta i messaggi per consegnarli secondo i propri termini sul trattamento dei dati WhatsApp Business, che lo studio accetta quando collega il numero: per i messaggi inviati tramite il servizio agisce come sub-responsabile. Il conto WhatsApp Business e il numero restano dello studio. Meta può trattare dati anche fuori dallo Spazio economico europeo, con le garanzie previste dai suoi termini.

AI. Una risposta arrivata su WhatsApp non prepara da sola una bozza con l'AI. Il testo va ad Anthropic solo se il professionista chiede di preparare la risposta, con le regole della sezione sull'AI.

Niente vendita, niente pubblicità. Non vendiamo questi dati, non li usiamo per pubblicità o profilazione e non li usiamo per addestrare modelli di intelligenza artificiale. Non mandiamo messaggi promozionali di DC Academy ai clienti dello studio.

Per quanto tempo e come si cancellano. I dati restano finché esiste l'account dello studio. Se lo studio scollega WhatsApp, cancelliamo subito la chiave di accesso e i dati del collegamento; lo storico degli avvisi e delle risposte resta nell'archivio dello studio. Con la cancellazione dell'account, dopo i 30 giorni per ripensarci, eliminiamo tutto l'archivio, compresi avvisi e risposte WhatsApp. Su richiesta dello studio eliminiamo anche i dati WhatsApp di un singolo cliente. Come chiedere la cancellazione dei dati.

AI: dati inviati, conservazione e interruttori

Anthropic riceve testi, e per il controllo dei documenti d'identità immagini, solo quando la generazione AI è attiva per lo studio e solo per le funzioni descritte qui. Non viene inviato come tale l'intero archivio dello studio. Non è anonimizzazione automatica.

Bozza di risposta a un'email. Il nome del cliente, l'oggetto e il testo dell'ultima email, con le citazioni, fino a 30.000 caratteri. Si aggiungono i messaggi precedenti della stessa conversazione con lo stesso cliente, comprese le risposte già inviate dallo studio: fino a 30 messaggi e 20.000 caratteri. In tutto al massimo 50.000 caratteri, più firma e stile dello studio. Se il professionista chiede di cambiare la bozza, si aggiungono la sua richiesta e la bozza attuale. Gli allegati delle email non vengono inviati. La bozza si prepara da sola quando il servizio legge una nuova email di un cliente registrato, oppure alla prima apertura dell'email.

Riscrivi con l'AI. Il testo dell'email mostrata in pagina, fino a 6.000 caratteri, con i dati che contiene, la richiesta scritta dal professionista e lo stile dello studio.

Note della scadenza. Quello che lo studio ha scritto nel modulo della scadenza (cosa deve fare il cliente, data, importo e appunti) e il nome dello studio. Il servizio non aggiunge il nome del cliente.

Fatture estere. Il testo letto dal PDF della fattura del fornitore estero caricato dallo studio, fino a 14.000 caratteri, per riconoscere i dati della fattura. Le scansioni si leggono prima sul nostro server: all'AI arriva solo il testo, non il file.

Adeguata verifica. Il testo letto dalla visura o dal documento d'identità caricato, fino a 80.000 caratteri, per proporre allo studio i dati da confermare. L'AI non decide titolari effettivi e non identifica persone.

Controllo del documento d'identità caricato dal cliente. L'immagine del documento e il nome del cliente, per segnalare allo studio se il documento è intero e leggibile, scaduto, una fotocopia, la foto di uno schermo o un documento ritoccato. Parte da solo dopo il caricamento, salvo per i clienti segnati come sensibili. L'AI non certifica l'identità e non confronta volti: la verifica resta dello studio.

Chat di aiuto (SofIA). La domanda e gli ultimi messaggi della stessa conversazione. Il servizio non aggiunge dati dei clienti o della pagina aperta; usa il testo delle nostre pagine pubbliche, senza dati personali.

Queste richieste partono quando lo studio usa la funzione, salvo le bozze di risposta e il controllo dei documenti d'identità indicati sopra.

Le condizioni commerciali di Anthropic escludono l'addestramento sui contenuti dei clienti. Questo non significa assenza di conservazione. Per l'API, la regola ordinaria è la cancellazione di input e output entro 30 giorni. Sono previste eccezioni per legge, sicurezza, accordi o funzionalità: testi segnalati per possibili violazioni delle regole possono essere conservati fino a 2 anni e le relative classificazioni fino a 7 anni. Un feedback volontario al fornitore può comportare una conservazione di 5 anni; questa app non invia deliberatamente feedback dei contenuti al fornitore.

Non è attivo un accordo di conservazione zero. L'eventuale concessione deve essere confermata per l'organizzazione, i modelli e le funzioni usati: non può essere data per acquisita.

La conservazione presso Anthropic è distinta dai nostri obblighi di conservazione. La cancellazione di un testo da parte del fornitore AI non elimina gli originali nell'archivio dello studio, le bozze salvate nel servizio o i documenti contabili che devono essere conservati per legge. Anthropic non è il conservatore dei documenti fiscali dello studio.

Il titolare spegne la generazione da Impostazioni → Intelligenza artificiale, senza scriverci. Il blocco generale del servizio prevale sull'interruttore dello studio. Spegnere l'AI impedisce nuove generazioni ma non cancella dati già inviati o bozze già salvate.

Il titolare o un collaboratore può segnare un cliente come sensibile nella scheda cliente: per quel cliente il servizio non prepara bozze di risposta, non riscrive testi e non scrive note delle scadenze con l'AI, e legge senza AI le fatture estere attribuite a lui. Resta la scrittura manuale. Per quel cliente non parte nemmeno il controllo automatico del documento d'identità; la lettura delle visure e dei documenti caricati dallo studio per l'adeguata verifica segue invece l'interruttore AI dello studio. Il controllo non legge automaticamente tutte le email: cerca soltanto i mittenti autorizzati nell'anagrafica clienti prima di scaricare il contenuto. Non ritira richieste già partite e non riconosce un cliente citato liberamente nella chat.

Salute, convinzioni, sindacati e dati giudiziari

Questi dati possono comparire nella documentazione professionale, anche accidentalmente. Non devono essere inviati alle funzioni AI: il DPA standard di Anthropic indica che il trattamento concordato non comprende categorie particolari di dati. Lo studio valuta necessità e liceità del trattamento nel proprio archivio, applica il blocco al cliente quando necessario e usa le funzioni manuali. DC Academy non tratta questi contenuti per finalità proprie.

Banca collegata

Lo studio può mandare a un cliente un link per collegare il suo conto. Il cliente sceglie la banca, entra con le credenziali della banca sulla pagina della banca o del prestatore autorizzato e acconsente alla sola lettura: le credenziali della banca non passano mai dal nostro servizio. Da quel momento, due volte al giorno, arrivano conti (nome, IBAN, valuta, saldo) e movimenti (data, importo, causale, controparte), che finiscono nell'archivio del cliente come estratto conto per abbinarli alle fatture. Niente pagamenti, niente disposizioni.

Lo studio è titolare, DC Academy responsabile e Salt Edge Inc. sub-responsabile per la lettura dei conti. Per il servizio regolamentato di informazione sui conti il cliente accetta le condizioni del prestatore autorizzato sulla pagina del consenso. Salt Edge conserva i dati degli utenti europei nell'Unione europea; il suo personale in Canada, Regno Unito e Moldavia può accedervi per assistenza, con le garanzie indicate nell'elenco dei fornitori. Il consenso dura al massimo 180 giorni e il cliente lo rinnova dallo stesso link; se non lo rinnova i movimenti nuovi smettono di arrivare. I movimenti arrivati restano nell'archivio dello studio finché esiste l'account o finché lo studio non li cancella.

Collegamento con l'Agenzia delle Entrate

Se lo studio attiva «Collega l'Agenzia», salva nel servizio utente, password e PIN dell'incaricato. Li conserviamo cifrati con una chiave propria dello studio e li usiamo soltanto per entrare nel portale Fatture e Corrispettivi e scaricare, in sola lettura, le fatture e le ricevute dei clienti scelti dallo studio per cui l'incaricato è abilitato. Non trasmettiamo, non paghiamo e non modifichiamo nulla sul portale. Con «Scollega» le credenziali si cancellano subito; le fatture già arrivate restano nell'archivio dello studio. Lo studio sceglie quali incaricati e quali clienti collegare e risponde dell'uso delle proprie credenziali. Le richieste di scarico che passano dal canale ufficiale di DC Academy transitano dal server in Germania descritto nell'elenco dei fornitori.

Trasferimenti fuori dallo Spazio economico europeo

Il database e l'applicazione sono ospitati negli Stati Uniti. I contratti pubblicati dei fornitori prevedono clausole contrattuali tipo per i trasferimenti, secondo il ruolo delle parti. Non affermiamo che basti la presenza di quelle clausole a rendere ogni trasferimento privo di rischio, né che tutti gli account abbiano una configurazione esclusivamente europea.

La valutazione preliminare dei trasferimenti riporta le misure disponibili e i punti da chiudere. La cifratura protegge i dati memorizzati e in transito, ma il fornitore AI deve ricevere in chiaro il testo durante l'elaborazione. Non dichiariamo verificata una garanzia di inaccessibilità alle autorità.

Base giuridica

Account e servizio: esecuzione del contratto o misure precontrattuali, dove applicabile (art. 6.1.b GDPR). Contatti dei referenti, assistenza, sicurezza e gestione del rapporto: legittimo interesse (art. 6.1.f), valutato tenendo conto dei diritti delle persone. Fatturazione e adempimenti: obbligo di legge (art. 6.1.c). Promozioni su consenso: art. 6.1.a, con revoca in qualsiasi momento. Difesa dei diritti: legittimo interesse. Uso del servizio, provenienza, contatti precedenti con DC Academy e dati professionali pubblici: legittimo interesse a migliorare il servizio e a prevenire le disdette (art. 6.1.f), valutato tenendo conto che si tratta di dati di un rapporto professionale e che non vengono usati per decisioni automatizzate; ci si può opporre in qualsiasi momento (art. 21) scrivendo ai contatti indicati sotto. Per i clienti dello studio vale la base individuata dallo studio; l'accordo dell'art. 28 disciplina l'incarico a DC Academy e non sostituisce quella base.

Per quanto tempo

Documentazione contabile di DC Academy. I documenti soggetti a obbligo di conservazione restano per i termini di legge, anche dopo la chiusura dell'account. Per le scritture contabili l'art. 2220 del codice civile prevede 10 anni dall'ultima registrazione e comprende le fatture e la corrispondenza commerciale indicate dalla norma. I termini possono prolungarsi per gli accertamenti fiscali previsti dall'art. 22 del DPR 600/1973. Non decorrono automaticamente dalla chiusura dell'account. La cancellazione dall'app non cancella questa documentazione dai sistemi amministrativi.

Prova del contratto. Alla cancellazione definitiva conserviamo separatamente la prova minima delle accettazioni per 10 anni dalla chiusura, per documentare il rapporto e tutelare i diritti. È una finalità distinta dall'obbligo contabile: la copia contiene i dati identificativi dello studio e la prova dell'accettazione, non l'archivio dei suoi clienti.

Archivio operativo dello studio. I dati necessari all'uso restano per la durata del rapporto e per i termini dell'art. 13-bis delle condizioni. Lo studio può chiederne restituzione e cancellazione. La cancellazione definitiva elimina l'archivio operativo; restano gli specifici obblighi di legge applicabili. Lo studio deve conservare autonomamente i documenti dei clienti per i termini richiesti dalla propria attività: il servizio non è conservazione a norma. Non esiste un obbligo generale di conservare tutte le email, le chat o le bozze per 10 anni. Email già spedite e copie presso destinatari non vengono ritirate dalla cancellazione dell'account.

Dettaglio dei tempi, delle responsabilità e dei riferimenti di legge.

I nuovi registri di apertura delle pagine amministrative e del testo clienti coprono gli ultimi 365 giorni: le righe scadute vengono eliminate al successivo utilizzo dei registri, senza una routine giornaliera. Sono eliminate anche con la cancellazione definitiva dello studio. Gli altri registri operativi seguono la durata dell'account; non dichiariamo per essi una cancellazione automatica dopo 30 giorni. Le copie di ripristino del database hanno attualmente una finestra di 3 giorni sul servizio Render configurato. I tempi di Anthropic sono quelli indicati sopra; gli altri fornitori applicano le proprie regole di conservazione e gli obblighi di legge.

Uso del servizio, provenienza e dati professionali pubblici. Restano finché esiste l'account dello studio e vengono eliminati con la sua cancellazione definitiva. Nelle analisi interne usiamo solo totali o un codice che non rivela lo studio.

Traccia della cancellazione. Conserviamo separatamente per 365 giorni dalla cancellazione definitiva l'identificativo, il nome e l'email dello studio, chi ha eseguito la cancellazione, il percorso utilizzato e la data. Serve a ricostruire le operazioni di assistenza e sicurezza; non contiene documenti o dati dei clienti. Le righe scadute vengono eliminate al successivo utilizzo dei registri. Registriamo anche le successive aperture di questa sola traccia da parte degli amministratori. Queste letture vengono eliminate insieme alla traccia: aprirla non prolunga la conservazione. Questo termine è una regola del servizio, non un obbligo contabile.

Chi apre i contenuti: il registro minimo

Il personale autorizzato accede ai contenuti professionali solo per assistenza necessaria, sicurezza o obblighi di legge. La consultazione delle informazioni commerciali dell'account è distinta dall'accesso ai contenuti delle pratiche.

Il registro minimo registra per ogni studio mostrato nelle pagine amministrative: account amministratore, data e ora, pagina e categoria dei contenuti. Lo studio lo consulta da Impostazioni → Registro privacy. Non è un registro di tutti gli accessi del personale: non contiene la motivazione individuale e non copre le consultazioni dirette dell'infrastruttura o dei pannelli dei fornitori.

Registriamo anche ogni apertura della pagina con il testo destinato ai clienti: studio, utente quando disponibile, ruolo, data, versione e impronta del testo. Questo prova l'erogazione della pagina, non la lettura effettiva e non l'invio o l'accettazione da parte del cliente.

Cifratura e limiti della protezione

I nuovi originali, i testi estratti e i nuovi testi integrali della posta hanno cifratura autenticata AES-256-GCM, con chiavi derivate per studio e utilizzo. Gli originali precedenti restano leggibili con la cifratura autenticata precedente. Le credenziali della casella e la sessione del browser sono protette con cifratura; le password di accesso non sono conservate in chiaro.

Non tutti i campi del database sono cifrati dall'app: anagrafiche, oggetti, riepiloghi e dati necessari alle ricerche possono essere leggibili dal servizio. Si aggiunge la cifratura dei supporti del fornitore. Le chiavi sono separate dal database ma accessibili al servizio che deve decifrare: non è una custodia esclusiva dello studio. Un'intrusione nel servizio in esecuzione può quindi esporre contenuti. Nessun sistema è inviolabile e questi controlli non sono una certificazione di sicurezza.

Lo studio protegge account e dispositivi e conserva copie autonome dei documenti importanti. Commercialista AI non è un sistema di conservazione a norma.

Incidenti e assistenza

Per una violazione dei dati dei clienti, DC Academy avvisa lo studio senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza dell'evento, secondo l'art. 15.11 delle condizioni. Non è una promessa di rilevare qualsiasi incidente entro quel termine. Le informazioni disponibili vengono integrate man mano. Lo studio valuta gli adempimenti verso Garante e interessati; per i trattamenti di cui è titolare provvede DC Academy.

Informazione ai clienti e uso consapevole

Le bozze AI e le risposte dell'aiuto possono contenere errori. La valutazione professionale e l'approvazione restano umane. Il servizio non è destinato a decisioni automatizzate su credito, occupazione o diritti delle persone. La classificazione dipende dall'uso effettivo: non dichiariamo una certificazione generale di sistema a basso rischio.

Nel servizio è disponibile un testo da adattare e consegnare ai clienti, anche per l'informazione prevista dall'art. 13 della legge 132/2025. L'apertura non sostituisce la consegna. Sono disponibili la valutazione d'impatto tipo, le regole Anthropic in italiano e la scheda formativa sull'AI. I modelli aiutano lo studio, ma non attestano che il personale abbia già ricevuto formazione o che ogni obbligo sia assolto.

Diritti e contatti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità nei casi previsti, opposizione e revoca del consenso scrivendo a academy@davidecaiazzo.it. Rispondiamo di regola entro un mese, con le eventuali proroghe motivate previste dalla legge. I clienti dello studio si rivolgono innanzitutto al proprio studio; DC Academy lo assiste. Per i dati arrivati da WhatsApp e Meta trovi i passaggi nella pagina cancellazione dei dati. Puoi presentare reclamo al Garante per la protezione dei dati personali.

Il servizio è destinato a professionisti maggiorenni. Per i cookie tecnici consulta la cookie policy. Questa informativa riguarda Commercialista AI e non sostituisce quelle degli altri siti di DC Academy.