Privacy Policy

Il titolare del trattamento è il Dott. Marco Di Sabato (P.IVA 02082320033), dottore commercialista iscritto all'ODCEC di Novara n. 453/A, con sedi a Borgomanero (NO), Novara e Milano. Telefono: +39 0322 340513. Email per richieste privacy: privacy@taxami.it. Email del titolare: marco.disabato@disabatoepartners.com.

Dati identificativi e di contatto: nome, email, password (memorizzata in forma crittografata bcrypt).
Richieste commerciali e demo: nome, email professionale, dimensione dello studio e workflow di interesse forniti nei moduli di contatto, preventivo o demo.
Dati fiscali (opzionali): partita IVA, codice fiscale, regime fiscale, codice ATECO, settore di attività, anno di apertura. Inseriti dall'utente per personalizzare le risposte AI.
Dati di utilizzo: domande poste alla chat, documenti caricati (fatture, F24, CU, ecc.), storico conversazioni, ordini effettuati, annotazioni di memoria conversazionale (fatti da te dichiarati in chat).
Lettura AI della PEC (solo se attivata): credenziali tecniche della casella cifrate, metadati dei messaggi, contenuto temporaneamente necessario all'analisi e sintesi operative generate dall'AI. Corpo e allegati originali non sono conservati da Taxami dopo l'analisi.
Dati inseriti dagli Studi (TaxAmi Studio): anagrafiche dei clienti dello Studio, conversazioni con l'assistente, documenti della knowledge base privata, fascicoli del contenzioso e documenti scambiati con i clienti, che possono riguardare persone diverse dall'utente. Applicazione e database sono negli Stati Uniti (Vercel, Neon); i documenti scambiati tra lo Studio e i propri clienti sono archiviati su Cloudflare R2 nell'Unione europea. Per questi documenti il titolare del trattamento è lo Studio e TaxAmi agisce come responsabile ai sensi dell'art. 28 GDPR (vedi sezioni 4, 9 e 10).
Dati d'uso di TaxAmi Studio: quali funzioni dello Studio vengono usate (ad esempio apertura di una sezione, domanda all'assistente, fascicolo generato, export), con data, Studio e utente. Non comprendono il contenuto delle domande, dei documenti o i dati dei clienti dello Studio.
Dati di pagamento: per i piani Smart, All-in-One e Comfort e il servizio Dichiarazione Forfettari, gestiti direttamente da Stripe (vedi sezione 9). Non memorizziamo dati di carta sui nostri server.
Dati tecnici: indirizzo IP, tipo di browser, sistema operativo, pagine visitate, cookie tecnici e analitici.

I dati sono trattati per le seguenti finalità:
a) Erogazione del servizio (base giuridica: esecuzione del contratto): consulenza fiscale AI, gestione account, elaborazione documenti, servizio Dichiarazione Forfettari, strumenti di lavoro di TaxAmi Studio per gli studi professionali, conference call Google Meet per utenti Comfort.
b) Comunicazioni transazionali (base giuridica: esecuzione contratto): conferme di registrazione, ordini, scadenze fiscali (digest settimanale opt-out).
c) Comunicazioni di marketing (base giuridica: consenso esplicito): newsletter, novità di prodotto, offerte commerciali. Solo se l'utente spunta la casella di consenso al momento della registrazione o successivamente. Disiscrizione possibile in ogni momento dal link in fondo a ogni email.
d) Adempimenti legali (base giuridica: obbligo legale): conservazione documenti fiscali, fatturazione, comunicazioni con Agenzia delle Entrate quando previsto.
e) Sicurezza e prevenzione frodi (base giuridica: legittimo interesse): rilevamento accessi anomali, rate limiting, log di sicurezza.
f) Lettura e triage della PEC (base giuridica: consenso esplicito): classificazione dei messaggi, rilevazione di possibili termini e suggerimento dei prossimi passi, con notifiche per i messaggi rilevanti.
g) Risposte a preventivi e richieste demo (base giuridica: misure precontrattuali richieste dall'interessato): organizzazione del contatto, preparazione della demo e riscontro alla richiesta. Questi dati non vengono usati per newsletter o marketing senza un consenso separato.
h) Statistiche d'uso e miglioramento di TaxAmi Studio (base giuridica: legittimo interesse): analisi delle funzioni usate da ciascuno Studio, per decidere cosa migliorare e per contattare gli Studi e chiedere un riscontro sul servizio. Ci si può opporre in qualsiasi momento scrivendo a privacy@taxami.it.

Account utente: conservato finché l'account è attivo. Su richiesta di cancellazione, i dati sono rimossi entro 30 giorni salvo obblighi legali.
Documenti fiscali e ordini: conservati per 10 anni come previsto dalla normativa fiscale italiana (art. 22 DPR 600/1973 e art. 2220 C.C.).
Storico chat AI: conservato finché l'account è attivo, per migliorare l'esperienza utente. Cancellabile su richiesta.
Conversazioni con l'assistente di TaxAmi Studio: conservate per 24 mesi dall'ultimo messaggio, poi cancellate automaticamente; chi le ha scritte può eliminarle prima in qualsiasi momento. Il contenuto dei file letti dal PC Agent non è conservato dopo la consegna all'assistente; i dati tecnici delle operazioni sono cancellati dopo 90 giorni.
Knowledge base di TaxAmi Studio: dei documenti caricati sono conservati solo il testo estratto e l'indice per la ricerca, finché lo Studio non li rimuove; il file originale non viene salvato.
Dati d'uso di TaxAmi Studio: conservati per 24 mesi, poi cancellati automaticamente.
Memoria conversazionale: conservata finché l'account è attivo; cancellabile in autonomia da /account/memoria (vedi sezione 11).
Analisi PEC: conservate finché l'account è attivo o fino alla cancellazione richiesta dall'utente. Le credenziali cifrate vengono eliminate allo scollegamento; l'utente può scegliere di eliminare contestualmente anche le analisi. Corpo e allegati sono elaborati in memoria e non archiviati da Taxami.
Fascicoli del contenzioso (TaxAmi Studio): il fascicolo contiene i dati della pratica inseriti o caricati dallo studio (dati del caso, testo dell'atto ricevuto, bozze e loro versioni, dati del professionista incaricato), che possono riguardare persone diverse dall'utente. È conservato per 24 mesi dall'ultima modifica esplicita; l'app avvisa 30 giorni prima della scadenza e l'amministratore dello studio può rinnovarlo. Alla scadenza, o su richiesta dell'amministratore, il fascicolo passa nel cestino, da cui è recuperabile per 30 giorni; trascorso questo periodo è eliminato definitivamente insieme alle sue versioni. Il registro delle attività sul fascicolo contiene solo dati tecnici (azione, esito, data, identificativi) e nessun contenuto della pratica: è conservato per 180 giorni.
Documenti scambiati tra lo Studio e i propri clienti (TaxAmi Studio): restano finché lo Studio non li elimina o fino alla chiusura dell'account dello Studio. Dopo l'eliminazione, il file viene rimosso dall'archivio con un processo automatico giornaliero.
Ruoli per i documenti dello Studio: per i dati dei clienti di uno Studio contenuti in questi documenti, il titolare del trattamento è lo Studio. TaxAmi agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR e si avvale di Cloudflare come sub-responsabile (vedi sezione 9). Per esercitare i propri diritti su questi documenti, il cliente dello Studio si rivolge allo Studio.
Log tecnici: 90 giorni.
Dati di pagamento: conservati da Stripe secondo la loro privacy policy. Su Taxami conserviamo solo l'ID cliente Stripe e l'importo dell'ordine.
Richieste di preventivo e demo non convertite: fino a 12 mesi dall'ultimo contatto, salvo ulteriore conservazione necessaria per obblighi di legge o tutela di un diritto.

L'utente ha diritto a:
• Accesso ai propri dati personali (art. 15 GDPR)
• Rettifica di dati inesatti (art. 16)
• Cancellazione («diritto all'oblio», art. 17), nei limiti degli obblighi legali fiscali
• Limitazione del trattamento (art. 18)
• Opposizione al trattamento per finalità di marketing (art. 21)
• Portabilità in formato strutturato e leggibile (art. 20)
• Reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it)

Per esercitare i diritti: scrivere a privacy@taxami.it. Risposta entro 30 giorni.
Per disiscriversi dal marketing: usa il link in fondo a ogni email, oppure email a privacy@taxami.it.

Utilizziamo:
• Cookie tecnici (sessione, autenticazione NextAuth, preferenze): necessari, no consenso richiesto
• Cookie analitici (Google Analytics 4 via Google Tag Manager): solo previo consenso esplicito
• Cookie di terze parti: Stripe (durante il checkout), eventuali widget social embed

Adottiamo misure tecniche e organizzative adeguate, tra cui:
• Crittografia delle password (bcrypt) e dei dati in transito (HTTPS/TLS)
• Crittografia AES-256-GCM delle credenziali tecniche delle caselle collegate
• Database con accesso ristretto e backup giornalieri
• Rate limiting su endpoint sensibili
• Token unsubscribe firmati HMAC per le email
• Webhook Stripe con verifica firma
• Audit log delle azioni AI (per utenti Comfort)

Le risposte di Taxami sono generate da modelli di intelligenza artificiale (Anthropic Claude, OpenAI GPT, Google Gemini, tramite OpenRouter come gateway). Per le finalità di consulenza fiscale, l'output AI è assistito ma non sostituisce il parere di un commercialista abilitato. Per casi complessi, dichiarazioni e operazioni straordinarie, il servizio è erogato direttamente dal Dott. Marco Di Sabato (per utenti Comfort tramite conference call Google Meet, per il servizio Dichiarazione tramite contatto diretto).

Addestramento e conservazione dei dati. Taxami non addestra modelli di intelligenza artificiale con i tuoi dati: il servizio recupera le fonti e le cita, non apprende dai contenuti che invii. Inoltre, tramite i controlli di instradamento resi disponibili dal gateway OpenRouter, le richieste ai modelli sono indirizzate esclusivamente verso endpoint configurati per non conservare i prompt e gli output ricevuti (zero data retention) e per non utilizzare i dati trasmessi ai fini dell'addestramento dei propri modelli. Questa configurazione riguarda il trattamento effettuato dai fornitori dei modelli indicati alla sezione 9; la conservazione dei dati da parte di Taxami sui propri sistemi resta disciplinata dalla sezione dedicata alla conservazione. Le condizioni tecniche e contrattuali dei fornitori possono variare nel tempo: se il tuo caso richiede garanzie specifiche su questo punto, scrivici a privacy@taxami.it e ti indichiamo la configurazione e le condizioni in vigore alla data della richiesta.

Non adottiamo decisioni produttive di effetti giuridici o significativi sulla tua persona in modo unicamente automatizzato ai sensi dell'art. 22 GDPR: per le decisioni rilevanti l'output dell'IA è sempre soggetto alla supervisione di un professionista. Hai diritto di ottenere l'intervento umano, esprimere la tua opinione e contestare la decisione.

Per erogare il servizio ci avvaliamo di fornitori terzi, ognuno con propria privacy policy e DPA conforme al GDPR. Per ciascuno indichiamo la sede del fornitore, il paese in cui i dati sono trattati e il ruolo nel servizio:

Hosting e infrastruttura:
• Vercel Inc. (sede USA; dati trattati negli USA, regione di Washington D.C.): hosting dell'applicazione ed esecuzione delle funzioni server. Conserva anche, nella stessa regione, i documenti caricati dai clienti TaxAmi per privati e partite IVA (archiviazione privata). EU-US Data Privacy Framework
• Neon Inc. (sede USA; dati trattati negli USA, regione US East): database PostgreSQL con i dati dell'account, le fatture elettroniche emesse e ricevute, le relative ricevute del Sistema di Interscambio e i dati inseriti dagli Studi in TaxAmi Studio. EU-US DPF + SCC
• Hetzner Online GmbH (sede Germania; dati trattati in Finlandia, data center di Helsinki): server dedicato al collegamento con il Sistema di Interscambio (SdI) dell'Agenzia delle Entrate. Trasmette le fatture elettroniche, riceve quelle passive e gli esiti, e conserva copia dei file XML firmati e delle ricevute SdI. Dati nell'Unione europea
• Cloudflare, Inc. (sede USA; dati trattati nell'Unione europea): archiviazione dei documenti scambiati tra gli Studi e i propri clienti in TaxAmi Studio (Cloudflare R2). EU-US DPF + SCC

Monitoraggio degli errori:
• Functional Software, Inc. (Sentry) (sede USA; dati trattati nell'Unione europea, regione Germania): raccolta degli errori tecnici dell'applicazione per diagnosi e correzione. È configurato per non inviare per impostazione predefinita dati personali, corpo delle richieste, cookie e intestazioni di autenticazione. EU-US DPF + SCC

Pagamenti:
• Stripe Inc. (sede USA): processore di pagamento. EU-US DPF + SCC. https://stripe.com/privacy

Email:
• Resend (sede USA; dati trattati negli USA): invio delle email transazionali. EU-US DPF

Intelligenza Artificiale:
• OpenRouter (USA), Anthropic PBC (USA), OpenAI LLC (USA), Google LLC (USA): gateway, modelli AI e modelli di embedding. EU-US DPF. Le richieste sono instradate in modalità zero data retention e senza utilizzo dei dati per l'addestramento.

Booking conference call e demo:
• Calendly LLC (sede USA): prenotazione meeting con lo Studio, incluse le demo TaxAmi Studio. EU-US DPF. I dati raccolti includono nome, email, eventuali note inserite. DPA disponibile su https://calendly.com/dpa

Conference call:
• Google LLC (sede USA): Google Meet per le call Comfort. EU-US DPF

Analytics e marketing:
• Google LLC (sede USA): Google Analytics 4 e Google Tag Manager. Cookie analitici previo consenso. EU-US DPF

Notifiche Telegram:
• Telegram FZ-LLC (UAE, paese terzo senza decisione di adeguatezza GDPR): bot per notifiche interne dello Studio. Il canale amministrativo generale non riceve dati personali dei clienti, solo identificativi opachi (numero ordine, id utente, id ticket) e link all'area admin.

• Promemoria delle tue scadenze fiscali: se colleghi volontariamente il tuo account Telegram dalla tua area riservata (inserendo il tuo Telegram ID), il promemoria delle scadenze fiscali in avvicinamento (titolo e data dell'adempimento) viene inviato al tuo stesso account Telegram, tramite la medesima infrastruttura Telegram FZ-LLC.

• Verifica interna delle risposte al modulo di apertura partita IVA (funzionalità in preparazione, non ancora attiva in produzione): quando invii una richiesta tramite quel modulo, nome, cognome ed email forniti, insieme al testo della bozza di risposta predisposta, possono essere trasmessi a un bot Telegram dedicato e distinto dal canale amministrativo generale, visibile esclusivamente al titolare dello Studio, per una verifica e approvazione manuale prima dell'invio della risposta effettiva.

L'elenco aggiornato dei sub-processor è disponibile su richiesta a privacy@taxami.it.

Per TaxAmi Studio in particolare, vedi anche la pagina dedicata a sicurezza e privacy di TaxAmi Studio.

Alcuni sub-processor sono basati negli Stati Uniti. I trasferimenti sono garantiti da:
• EU-US Data Privacy Framework (decisione di adeguatezza Commissione UE del 10 luglio 2023) per i fornitori certificati
• Standard Contractual Clauses (SCC) come ulteriore safeguard
• Misure tecniche supplementari (crittografia in transito e a riposo)

In particolare, il database (Neon) e l'archivio dei documenti degli utenti privati e partite IVA (Vercel) si trovano negli Stati Uniti: i dati dell'account, le fatture elettroniche, le ricevute SdI e i dati inseriti dagli Studi in TaxAmi Studio sono quindi trasferiti fuori dall'Unione europea sulla base delle garanzie sopra indicate. Il server di collegamento con il Sistema di Interscambio (Hetzner) e il servizio di monitoraggio degli errori (Sentry) trattano invece i dati nell'Unione europea.

I documenti scambiati tra gli Studi e i propri clienti in TaxAmi Studio sono conservati in data center nell'Unione europea. Il fornitore, Cloudflare, Inc., è una società statunitense coperta dal Data Privacy Framework e dalle clausole contrattuali standard.

Per offrirti un servizio continuativo e personalizzato, TaxAmi mantiene una «memoria conversazionale»: dalle conversazioni con l'assistente AI vengono estratte, sotto forma di brevi annotazioni testuali, le informazioni rilevanti ai fini fiscali che hai dichiarato tu stesso (ad esempio: regime fiscale, attività svolta, familiari a carico, immobili, scadenze). Queste annotazioni vengono richiamate nelle conversazioni successive, per evitarti di ripetere le stesse informazioni.

• Solo fatti dichiarati da te: non vengono memorizzate deduzioni dell'assistente né informazioni che non hai dichiarato esplicitamente
• Solo utenti registrati: le conversazioni degli utenti non autenticati non generano alcuna memoria
• Dichiarazioni non verificate: le annotazioni sono trattate come tue dichiarazioni; per calcoli e adempimenti l'assistente ti chiede sempre conferma dei dati memorizzati. L'estrazione è automatizzata ma non comporta decisioni produttive di effetti giuridici sulla tua persona (vedi sezione 8)

Finalità e base giuridica: personalizzazione e continuità del servizio di assistenza fiscale (esecuzione del contratto, art. 6, par. 1, lett. b GDPR — rientra nella finalità a) della sezione 3).

Conservazione: le annotazioni sono conservate finché il tuo account è attivo, salvo cancellazione anticipata da parte tua. Le annotazioni eliminate vengono immediatamente escluse da qualsiasi utilizzo da parte dell'assistente; una copia disattivata è conservata, per esigenze di sicurezza e tracciabilità, per un periodo massimo di 12 mesi, trascorso il quale è cancellata definitivamente.

Controllo e cancellazione: dalla pagina La tua memoria (accessibile da /account/memoria) puoi consultare in ogni momento l'elenco completo delle annotazioni memorizzate, eliminarle singolarmente oppure cancellarle tutte. Resta fermo il diritto di cancellazione di cui alla sezione 5, esercitabile anche scrivendo a privacy@taxami.it.

Fornitori: nessun nuovo fornitore: le annotazioni sono archiviate sul database Neon e indicizzate tramite il servizio di embedding di OpenAI, entrambi già elencati tra i sub-processor (sezione 9). Anche a queste annotazioni si applica quanto previsto alla sezione 8 in materia di addestramento dei modelli.

La funzione è facoltativa e viene attivata solo dopo un consenso specifico. Taxami accede in sola lettura alla cartella di posta in arrivo tramite connessione IMAP cifrata, analizza le nuove PEC e può inviare un avviso all'email dell'account quando rileva un messaggio potenzialmente urgente.

Minimizzazione: Taxami non conserva il corpo o gli allegati originali. Salva soltanto mittente, oggetto, data, nomi degli allegati e l'analisi operativa (sintesi, categoria, urgenza, possibili termini e passi suggeriti). Gli originali restano presso il gestore PEC.

Limiti: l'analisi è automatica, può contenere errori e non produce effetti giuridici. L'utente deve sempre verificare il messaggio e gli allegati originali; nessuna risposta viene inviata e nessuna azione viene compiuta automaticamente.

Revoca e cancellazione: dalla pagina di gestione PEC puoi scollegare la lettura in ogni momento, revocando il consenso ed eliminando le credenziali, e puoi scegliere di cancellare anche tutte le analisi memorizzate.

La presente informativa può essere aggiornata. La data di ultimo aggiornamento è in cima alla pagina. Modifiche sostanziali saranno comunicate via email agli utenti registrati.