Privacy Policy

Il titolare del trattamento è il Dott. Marco Di Sabato (P.IVA 02082320033), dottore commercialista iscritto all'ODCEC di Novara n. 453/A, con sedi a Borgomanero (NO), Novara e Milano. Telefono: +39 0322 340513. Email per richieste privacy: privacy@taxami.it. Email del titolare: marco.disabato@disabatoepartners.com.

Dati identificativi e di contatto: nome, email, password (memorizzata in forma crittografata bcrypt).
Richieste commerciali e demo: nome, email professionale, dimensione dello studio e workflow di interesse forniti nei moduli di contatto, preventivo o demo.
Dati fiscali (opzionali): partita IVA, codice fiscale, regime fiscale, codice ATECO, settore di attività, anno di apertura. Inseriti dall'utente per personalizzare le risposte AI.
Dati di utilizzo: domande poste alla chat, documenti caricati (fatture, F24, CU, ecc.), storico conversazioni, ordini effettuati, annotazioni di memoria conversazionale (fatti da te dichiarati in chat).
Lettura AI della PEC (solo se attivata): credenziali tecniche della casella cifrate, metadati dei messaggi, contenuto temporaneamente necessario all'analisi e sintesi operative generate dall'AI. Corpo e allegati originali non sono conservati da Taxami dopo l'analisi.
Dati di pagamento: per i piani Premium, Comfort e il servizio Dichiarazione Forfettari, gestiti direttamente da Stripe (vedi sezione 9). Non memorizziamo dati di carta sui nostri server.
Dati tecnici: indirizzo IP, tipo di browser, sistema operativo, pagine visitate, cookie tecnici e analitici.

I dati sono trattati per le seguenti finalità:
a) Erogazione del servizio (base giuridica: esecuzione del contratto): consulenza fiscale AI, gestione account, elaborazione documenti, servizio Dichiarazione Forfettari, conference call Google Meet per utenti Comfort.
b) Comunicazioni transazionali (base giuridica: esecuzione contratto): conferme di registrazione, ordini, scadenze fiscali (digest settimanale opt-out).
c) Comunicazioni di marketing (base giuridica: consenso esplicito): newsletter, novità di prodotto, offerte commerciali. Solo se l'utente spunta la casella di consenso al momento della registrazione o successivamente. Disiscrizione possibile in ogni momento dal link in fondo a ogni email.
d) Adempimenti legali (base giuridica: obbligo legale): conservazione documenti fiscali, fatturazione, comunicazioni con Agenzia delle Entrate quando previsto.
e) Sicurezza e prevenzione frodi (base giuridica: legittimo interesse): rilevamento accessi anomali, rate limiting, log di sicurezza.
f) Lettura e triage della PEC (base giuridica: consenso esplicito): classificazione dei messaggi, rilevazione di possibili termini e suggerimento dei prossimi passi, con notifiche per i messaggi rilevanti.
g) Risposte a preventivi e richieste demo (base giuridica: misure precontrattuali richieste dall'interessato): organizzazione del contatto, preparazione della demo e riscontro alla richiesta. Questi dati non vengono usati per newsletter o marketing senza un consenso separato.

Account utente: conservato finché l'account è attivo. Su richiesta di cancellazione, i dati sono rimossi entro 30 giorni salvo obblighi legali.
Documenti fiscali e ordini: conservati per 10 anni come previsto dalla normativa fiscale italiana (art. 22 DPR 600/1973 e art. 2220 C.C.).
Storico chat AI: conservato finché l'account è attivo, per migliorare l'esperienza utente. Cancellabile su richiesta.
Memoria conversazionale: conservata finché l'account è attivo; cancellabile in autonomia da /account/memoria (vedi sezione 11).
Analisi PEC: conservate finché l'account è attivo o fino alla cancellazione richiesta dall'utente. Le credenziali cifrate vengono eliminate allo scollegamento; l'utente può scegliere di eliminare contestualmente anche le analisi. Corpo e allegati sono elaborati in memoria e non archiviati da Taxami.
Log tecnici: 90 giorni.
Dati di pagamento: conservati da Stripe secondo la loro privacy policy. Su Taxami conserviamo solo l'ID cliente Stripe e l'importo dell'ordine.
Richieste di preventivo e demo non convertite: fino a 12 mesi dall'ultimo contatto, salvo ulteriore conservazione necessaria per obblighi di legge o tutela di un diritto.

L'utente ha diritto a:
• Accesso ai propri dati personali (art. 15 GDPR)
• Rettifica di dati inesatti (art. 16)
• Cancellazione («diritto all'oblio», art. 17), nei limiti degli obblighi legali fiscali
• Limitazione del trattamento (art. 18)
• Opposizione al trattamento per finalità di marketing (art. 21)
• Portabilità in formato strutturato e leggibile (art. 20)
• Reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it)

Per esercitare i diritti: scrivere a privacy@taxami.it. Risposta entro 30 giorni.
Per disiscriversi dal marketing: usa il link in fondo a ogni email, oppure email a privacy@taxami.it.

Utilizziamo:
• Cookie tecnici (sessione, autenticazione NextAuth, preferenze) — necessari, no consenso richiesto
• Cookie analitici (Google Analytics 4 via Google Tag Manager) — solo previo consenso esplicito
• Cookie di terze parti: Stripe (durante il checkout), eventuali widget social embed

Adottiamo misure tecniche e organizzative adeguate, tra cui:
• Crittografia delle password (bcrypt) e dei dati in transito (HTTPS/TLS)
• Crittografia AES-256-GCM delle credenziali tecniche delle caselle collegate
• Database con accesso ristretto e backup giornalieri
• Rate limiting su endpoint sensibili
• Token unsubscribe firmati HMAC per le email
• Webhook Stripe con verifica firma
• Audit log delle azioni AI (per utenti Comfort)

Le risposte di Taxami sono generate da modelli di intelligenza artificiale (Anthropic Claude, OpenAI GPT, Google Gemini, tramite OpenRouter come gateway). Per le finalità di consulenza fiscale, l'output AI è assistito ma non sostituisce il parere di un commercialista abilitato. Per casi complessi, dichiarazioni e operazioni straordinarie, il servizio è erogato direttamente dal Dott. Marco Di Sabato (per utenti Comfort tramite conference call Google Meet, per il servizio Dichiarazione tramite contatto diretto).

Non utilizziamo i tuoi dati personali per addestrare i modelli AI di terze parti.

Non adottiamo decisioni produttive di effetti giuridici o significativi sulla tua persona in modo unicamente automatizzato ai sensi dell'art. 22 GDPR: per le decisioni rilevanti l'output dell'IA è sempre soggetto alla supervisione di un professionista. Hai diritto di ottenere l'intervento umano, esprimere la tua opinione e contestare la decisione.

Per erogare il servizio ci avvaliamo di fornitori terzi, ognuno con propria privacy policy e DPA conforme al GDPR:

Hosting e infrastruttura:
• Vercel Inc. (USA) — hosting applicazione. EU-US Data Privacy Framework
• Neon Inc. (USA) — database PostgreSQL. EU-US DPF + SCC

Pagamenti:
• Stripe Inc. (USA) — processore di pagamento. EU-US DPF + SCC. https://stripe.com/privacy

Email:
• Resend (USA) — invio email transazionali. EU-US DPF

Intelligenza Artificiale:
• OpenRouter (USA), Anthropic PBC (USA), OpenAI LLC (USA), Google LLC (USA) — gateway, modelli AI e modelli di embedding. EU-US DPF

Booking conference call e demo:
• Calendly LLC (USA) — prenotazione meeting con lo Studio, incluse le demo TaxAmi Studio. EU-US DPF. I dati raccolti includono nome, email, eventuali note inserite. DPA disponibile su https://calendly.com/dpa

Conference call:
• Google LLC (USA) — Google Meet per le call Comfort. EU-US DPF

Analytics e marketing:
• Google LLC (USA) — Google Analytics 4 e Google Tag Manager. Cookie analitici previo consenso. EU-US DPF

Notifiche Telegram:
• Telegram FZ-LLC (UAE, paese terzo senza decisione di adeguatezza GDPR) — bot per notifiche interne dello Studio. Il canale amministrativo generale non riceve dati personali dei clienti, solo identificativi opachi (numero ordine, id utente, id ticket) e link all'area admin.

• Promemoria delle tue scadenze fiscali: se colleghi volontariamente il tuo account Telegram dalla tua area riservata (inserendo il tuo Telegram ID), il promemoria delle scadenze fiscali in avvicinamento (titolo e data dell'adempimento) viene inviato al tuo stesso account Telegram, tramite la medesima infrastruttura Telegram FZ-LLC.

• Verifica interna delle risposte al modulo di apertura partita IVA (funzionalità in preparazione, non ancora attiva in produzione): quando invii una richiesta tramite quel modulo, nome, cognome ed email forniti, insieme al testo della bozza di risposta predisposta, possono essere trasmessi a un bot Telegram dedicato e distinto dal canale amministrativo generale, visibile esclusivamente al titolare dello Studio, per una verifica e approvazione manuale prima dell'invio della risposta effettiva.

L'elenco aggiornato dei sub-processor è disponibile su richiesta a privacy@taxami.it.

Alcuni sub-processor sono basati negli Stati Uniti. I trasferimenti sono garantiti da:
• EU-US Data Privacy Framework (decisione di adeguatezza Commissione UE del 10 luglio 2023) per i fornitori certificati
• Standard Contractual Clauses (SCC) come ulteriore safeguard
• Misure tecniche supplementari (crittografia in transito e a riposo)

Per offrirti un servizio continuativo e personalizzato, TaxAmi mantiene una «memoria conversazionale»: dalle conversazioni con l'assistente AI vengono estratte, sotto forma di brevi annotazioni testuali, le informazioni rilevanti ai fini fiscali che hai dichiarato tu stesso (ad esempio: regime fiscale, attività svolta, familiari a carico, immobili, scadenze). Queste annotazioni vengono richiamate nelle conversazioni successive, per evitarti di ripetere le stesse informazioni.

• Solo fatti dichiarati da te: non vengono memorizzate deduzioni dell'assistente né informazioni che non hai dichiarato esplicitamente
• Solo utenti registrati: le conversazioni degli utenti non autenticati non generano alcuna memoria
• Dichiarazioni non verificate: le annotazioni sono trattate come tue dichiarazioni; per calcoli e adempimenti l'assistente ti chiede sempre conferma dei dati memorizzati. L'estrazione è automatizzata ma non comporta decisioni produttive di effetti giuridici sulla tua persona (vedi sezione 8)

Finalità e base giuridica: personalizzazione e continuità del servizio di assistenza fiscale (esecuzione del contratto, art. 6, par. 1, lett. b GDPR — rientra nella finalità a) della sezione 3).

Conservazione: le annotazioni sono conservate finché il tuo account è attivo, salvo cancellazione anticipata da parte tua. Le annotazioni eliminate vengono immediatamente escluse da qualsiasi utilizzo da parte dell'assistente; una copia disattivata è conservata, per esigenze di sicurezza e tracciabilità, per un periodo massimo di 12 mesi, trascorso il quale è cancellata definitivamente.

Controllo e cancellazione: dalla pagina La tua memoria (accessibile da /account/memoria) puoi consultare in ogni momento l'elenco completo delle annotazioni memorizzate, eliminarle singolarmente oppure cancellarle tutte. Resta fermo il diritto di cancellazione di cui alla sezione 5, esercitabile anche scrivendo a privacy@taxami.it.

Fornitori: nessun nuovo fornitore: le annotazioni sono archiviate sul database Neon e indicizzate tramite il servizio di embedding di OpenAI, entrambi già elencati tra i sub-processor (sezione 9). Anche a queste annotazioni si applica quanto previsto alla sezione 8: non vengono utilizzate per addestrare modelli AI di terze parti.

La funzione è facoltativa e viene attivata solo dopo un consenso specifico. Taxami accede in sola lettura alla cartella di posta in arrivo tramite connessione IMAP cifrata, analizza le nuove PEC e può inviare un avviso all'email dell'account quando rileva un messaggio potenzialmente urgente.

Minimizzazione: Taxami non conserva il corpo o gli allegati originali. Salva soltanto mittente, oggetto, data, nomi degli allegati e l'analisi operativa (sintesi, categoria, urgenza, possibili termini e passi suggeriti). Gli originali restano presso il gestore PEC.

Limiti: l'analisi è automatica, può contenere errori e non produce effetti giuridici. L'utente deve sempre verificare il messaggio e gli allegati originali; nessuna risposta viene inviata e nessuna azione viene compiuta automaticamente.

Revoca e cancellazione: dalla pagina di gestione PEC puoi scollegare la lettura in ogni momento, revocando il consenso ed eliminando le credenziali, e puoi scegliere di cancellare anche tutte le analisi memorizzate.

La presente informativa può essere aggiornata. La data di ultimo aggiornamento è in cima alla pagina. Modifiche sostanziali saranno comunicate via email agli utenti registrati.