Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Scudo Fisco di Andrea Porcina — P.IVA 04186250926 — Cagliari (Italia).
Contatto per la privacy: privacy@scudofisco.it.

Quando uno studio professionale carica documenti dei propri clienti, lo studio è titolare di quei dati e ScudoFisco agisce come responsabile del trattamento (art. 28 GDPR), sulla base di apposito accordo richiamato nelle Condizioni Generali. Il Servizio è riservato a persone maggiorenni.

2. Quali dati trattiamo

• Dati di account: nome, email, ruolo, categoria dichiarata (consumatore/professionista) ed eventuali dati dell'attività per gli studi; la password è conservata con hashing (bcrypt), mai in chiaro.
• Documenti caricati: cartelle esattoriali e atti della riscossione in PDF e i dati in essi contenuti, inclusi dati fiscali ed eventuali dati di terzi presenti nell'atto (art. 14 GDPR: chi carica documenti di terzi si assume l'onere di informarli, ove dovuto).
• Prove di accettazione: testo esatto delle dichiarazioni accettate, versione delle Condizioni e dell'Informativa, data e ora, indirizzo IP e user-agent (art. 4.4 delle Condizioni).
• Dati di pagamento: gestiti dal fornitore Stripe; ScudoFisco conserva solo identificativi di cliente/transazione e i dati necessari alla fatturazione, mai i numeri completi delle carte.
• Dati tecnici e di sicurezza: log applicativi, eventi di sicurezza (es. accessi falliti) con indirizzo IP e user-agent, registro immutabile degli interventi sulle pratiche (audit).
• Richieste di contatto: nome, email e messaggio forniti volontariamente tramite l'assistente automatico del sito.
• Newsletter: indirizzo email, con conferma tramite doppio opt-in.

3. Perché li trattiamo e su quale base giuridica

• Erogare il servizio di analisi documentale, gestire l'account e i pagamenti (esecuzione del contratto, art. 6.1.b GDPR).
• Analisi tramite intelligenza artificiale in modalità privacy-safe (esecuzione del contratto, art. 6.1.b): il testo è estratto localmente dal PDF e pseudonimizzato (codice fiscale, P.IVA, nome, IBAN, email/PEC mascherati) prima dell'invio al fornitore di IA. Il documento PDF non lascia il sistema. I tuoi dati e documenti non sono usati per addestrare modelli di IA, né nostri né del fornitore.
• Obblighi di legge: conservazione dei documenti contabili e fiscali (art. 6.1.c).
• Sicurezza, prevenzione degli abusi e tracciabilità (legittimo interesse, art. 6.1.f).
• Riscontro alle richieste di contatto (misure precontrattuali, art. 6.1.b, e legittimo interesse).
• Newsletter: solo con il tuo consenso (art. 6.1.a), revocabile in ogni momento con il link di disiscrizione presente in ogni email.

Il conferimento dei dati di account è necessario per usare il Servizio; il consenso alla newsletter è facoltativo. Non prendiamo decisioni unicamente automatizzate che producano effetti giuridici o analogamente significativi su di te (art. 22 GDPR): i risultati sono bozze e ogni decisione resta a te e al professionista di tua fiducia.

4. A chi comunichiamo i dati (fornitori e trasferimenti)

• Fornitore di intelligenza artificiale (OpenAI, con sede negli Stati Uniti), responsabile del trattamento: riceve solo testo pseudonimizzato, mai il PDF, e non usa i dati per addestrare i propri modelli.
• Fornitore di pagamenti (Stripe): tratta i dati di pagamento come titolare autonomo per i propri obblighi antifrode e normativi.
• Fornitore di invio email (Resend) per notifiche di servizio e risposte alle richieste di contatto.
• Hosting su server situati nell'Unione Europea; copie di backup su un secondo server, anch'esso nell'Unione Europea, gestito dal Titolare.
• Newsletter gestita con software installato su server del Titolare nell'Unione Europea (nessun fornitore esterno).
• Google Ads (Google Ireland Limited) per la misurazione delle conversioni delle campagne, solo sul sito pubblico: senza il tuo consenso lo script opera in modalità "consenso negato": nessun cookie viene installato e le richieste tecniche verso Google che abbiamo verificato contengono lo stato negato, l'indirizzo della pagina senza parametri e dati tecnici del tag, senza identificatori persistenti; i cookie di misurazione delle conversioni si attivano solo previo tuo consenso espresso tramite il banner e vengono rimossi da questo sito se lo revochi. Google tratta i dati raccolti dai propri cookie come titolare autonomo. Nel portale il tag non è mai attivo. Dettagli e revoca nella Cookie policy.

Per i fornitori con sede fuori dallo Spazio Economico Europeo (in particolare Stati Uniti), il trasferimento avviene con le garanzie previste dal GDPR: clausole contrattuali standard approvate dalla Commissione Europea e, ove applicabile, decisione di adeguatezza (EU-US Data Privacy Framework). L'elenco aggiornato dei responsabili è disponibile scrivendo a privacy@scudofisco.it. Nessun dato è venduto o ceduto a terzi per finalità di marketing.

5. Come proteggiamo i dati

• Trasmissione cifrata (HTTPS/TLS) e cifratura dei documenti a riposo con chiave custodita dal Titolare.
• Autenticazione a due fattori (obbligatoria per gli amministratori, disponibile per tutti), controllo accessi per ruolo e isolamento rigoroso dei dati tra utenti (verificato con test automatici).
• Scansione antivirus di ogni file in caricamento; registro immutabile degli interventi; monitoraggio degli eventi di sicurezza. La chiave del fornitore IA è cifrata a riposo.

Nessun sistema è immune da rischi: in caso di violazione dei dati personali, notifichiamo l'autorità e gli interessati nei casi e nei termini previsti dagli artt. 33-34 GDPR. Maggiori dettagli nella pagina Sicurezza.

6. I tuoi diritti (GDPR)

Puoi esercitare in ogni momento i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15-22 GDPR) e revocare i consensi prestati, senza pregiudicare la liceità del trattamento precedente. Dal portale puoi in autonomia:

• esportare in formato JSON i dati trattati (portabilità);
• cancellare definitivamente la posizione o l'account e i relativi documenti, con rimozione dei file dallo storage.

Per ogni altra richiesta scrivi a privacy@scudofisco.it: rispondiamo di norma entro 30 giorni. Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

7. Per quanto tempo li conserviamo

• Account e documenti: finché li mantieni; puoi cancellarli in ogni momento. Alla chiusura dell'account hai 30 giorni per esportare i dati (art. 18.4 delle Condizioni), poi vengono cancellati o resi anonimi.
• Copie di backup: i backup completi sono conservati per un massimo di 14 giorni, quelli incrementali per 3 giorni, poi sovrascritti; un dato cancellato può quindi persistere nei backup per tale periodo e non viene ripristinato nell'uso corrente.
• Prove di accettazione e documenti contabili: per la durata del rapporto e, successivamente, per i termini di prescrizione e gli obblighi fiscali (fino a 10 anni).
• Eventi di sicurezza (IP, user-agent): 12 mesi, con cancellazione automatica; log applicativi tecnici: 7 giorni.
• Richieste di contatto: per il tempo necessario a dare riscontro; puoi chiederne la cancellazione in ogni momento.
• Newsletter: fino alla disiscrizione.

8. Natura dei risultati

I risultati dell'analisi (importi, criticità, termini) sono bozze indicative da verificare, non pareri definitivi, e non sostituiscono il parere di un professionista abilitato. Le valutazioni ad alto impatto restano al professionista abilitato di fiducia dell'utente; la revisione umana non è inclusa salvo espressa indicazione nel piano o nell'ordine.

9. Responsabilità sui documenti caricati

Carichi i documenti sotto la tua responsabilità: devi avere il diritto di trattarli e caricare solo quanto necessario. Se contengono dati di terzi o categorie particolari di dati (artt. 9-10 GDPR), sei tenuto a rispettare la normativa applicabile; il consenso non è presunto né incorporato nell'accettazione delle Condizioni.

10. Cookie e aggiornamenti

Il sito usa cookie tecnici e, solo con il tuo consenso, il tag Google Ads per la misurazione delle conversioni: vedi la Cookie policy, dove puoi cambiare la scelta in ogni momento. Questa informativa può essere aggiornata per evoluzioni del Servizio o normative: la versione in vigore è sempre pubblicata in questa pagina con numero e data; le modifiche rilevanti sono comunicate agli utenti registrati.