Trasparenza & privacy
Informativa sul trattamento dei dati personali
ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR)
Versione beta del 2026-07-16 — informativa in attesa di ratifica DPO/legale. Pubblicata per trasparenza verso periti e clienti durante la fase beta.
La presente informativa descrive come vengono trattati i dati personali nell’ambito del servizio di produzione della Relazione tecnica a supporto dell’agevolazione fiscale «iperammortamento 4.0». Riferimento normativo: Reg. (UE) 2016/679 (testo ufficiale).
Doppia base — artt. 13 e 14. Alcuni dati sono raccolti direttamente presso l’interessato (es. il referente che si registra: art. 13). Altri dati personali — in particolare quelli dei rappresentanti/referenti del cliente — sono raccolti indirettamente, cioè non presso l’interessato ma attraverso i documenti forniti dal cliente (fatture, DDT, contratti, schede): in tal caso si applica l’art. 14, che impone di indicare anche la fonte dei dati e le categorie di dati ottenuti. Le sezioni sotto coprono entrambi gli scenari ed evidenziano gli obblighi specifici dell’art. 14.
1. Titolare del trattamento
Denominazione e sede: (in corso di definizione — il servizio è in beta pre-costituzione; contatto: [email protected])
Responsabile della protezione dati (DPO): non ancora nominato
2. Categorie di dati personali trattati
Dati identificativi e di contatto di persone fisiche presenti nei documenti: nome, cognome, ruolo/qualifica, firma, codice fiscale, P.IVA di persona fisica, eventuali recapiti.
Quando il cliente è ditta individuale, libero professionista, S.a.s. o S.n.c., anche la ragione sociale e la P.IVA possono costituire dati personali (Considerando 14 GDPR esclude solo le persone giuridiche piene tipo SRL).
Non vengono trattate, per finalità, categorie particolari (art. 9) o dati giudiziari (art. 10).
Esempi che non sono dati personali (oggetto pubblico): brand del fornitore, modello e specifiche tecniche del bene (es. EMAG, TRUMPF, Siemens, Fanuc, DMG MORI).
3. Fonte dei dati (obbligo art. 14)
Quando i dati personali non sono raccolti presso l’interessato, la fonte è la seguente: i documenti tecnici e amministrativi forniti dal cliente (azienda committente della Relazione), ad es. fatture, documenti di trasporto, contratti, schede tecniche, in cui possono comparire dati di rappresentanti, referenti e firmatari.
I dati provengono quindi da una fonte di origine privata (il cliente); non si tratta di fonti accessibili al pubblico.
4. Finalità e base giuridica del trattamento
| Finalità | Base giuridica (art. 6 GDPR) |
|---|---|
| Produzione della Relazione tecnica e analisi del bene strumentale (estrazione automatizzata via pipeline AI) | in corso di definizione — ipotesi: esecuzione del contratto (art. 6(1)(b)) e/o legittimo interesse (art. 6(1)(f)) del titolare/cliente alla redazione della relazione |
| Adempimenti di legge connessi all’agevolazione fiscale | Obbligo legale (art. 6(1)(c)), se applicabile |
Nota AI / decisioni automatizzate. Il trattamento impiega sistemi di IA (modelli linguistici Claude di Anthropic; la versione specifica del modello può variare nel tempo) per l’estrazione e analisi dei documenti. La Relazione tecnica è uno strumento di supporto al professionista; non sostituisce la valutazione umana del perito.
5. Destinatari dei dati e responsabili del trattamento
I dati possono essere comunicati a / trattati da:
- Anthropic, PBC (Stati Uniti) — fornitore della Claude API; i modelli linguistici Claude elaborano il contenuto del documento (pseudonimizzato alla fonte, vedi §6).
- Mistral AI (Francia, UE) — servizio OCR per la conversione dei documenti in testo, in regione UE.
- Google (Gemini API / Vertex AI) e/o AWS Bedrock — eventuali, in base alla configurazione di inferenza; infrastruttura di inferenza, ove attivata la residenza dati, in regione UE.
- Supabase — fornitore di autenticazione, database e storage, regione UE — AWS eu-west-3 (Parigi).
- Vercel Inc.— fornitore di hosting e distribuzione dell’applicazione web; tratta i dati in transito verso la piattaforma e le funzioni serverless.
- DPO / consulenti / professionisti incaricati.
L’elenco aggiornato dei (sub-)responsabili è disponibile su richiesta.
6. Trasferimento dei dati verso paesi terzi (Stati Uniti)
Dichiarazione esplicita richiesta dagli artt. 13(1)(f) / 14(1)(f).
Nell’ambito del servizio, i dati personali contenuti nei documenti possono essere trasferiti negli Stati Uniti verso Anthropic, PBC, in quanto il sistema di IA elabora il contenuto del documento in chiaro.
Garanzie adeguate (art. 46 GDPR): il trasferimento è disciplinato dalle Clausole Contrattuali Tipo (Standard Contractual Clauses) adottate dalla Commissione Europea con Decisione di esecuzione (UE) 2021/914 (EUR-Lex), incorporate nell’accordo sul trattamento dei dati (DPA) del fornitore.
Assenza di adeguatezza DPF: il trasferimento non si basa sulla decisione di adeguatezza EU-US Data Privacy Framework: la privacy policy del fornitore indica come meccanismi di trasferimento le sole SCC e decisioni di adeguatezza, senza menzionare una certificazione DPF (vedi anthropic.com/legal/privacy). Si applicano quindi le SCC ex art. 46 unitamente a una valutazione d’impatto sul trasferimento (TIA) ai sensi della giurisprudenza Schrems II (C-311/18).
Misure supplementari: prima dell’invio, i dati identificativi del cliente (soggetto) sono oggetto di minimizzazione/pseudonimizzazione alla fonte; la mappa di re-identificazione resta nello Spazio economico europeo. È possibile, inoltre, l’instradamento dell’inferenza in regione UE (Google Vertex AI / AWS Bedrock Frankfurt) come ulteriore misura di riduzione del rischio.
Una copia delle SCC è ottenibile contattando il titolare.
7. Periodo di conservazione
(periodi di conservazione per categoria di dati in corso di definizione) Presso il fornitore USA si richiede la Zero Data Retention (ZDR) per la Messages API.
8. Diritti dell’interessato (artt. 15-22 GDPR)
L’interessato può esercitare in qualsiasi momento i seguenti diritti:
- Accesso ai propri dati (art. 15);
- Rettifica (art. 16);
- Cancellazione / «diritto all’oblio» (art. 17);
- Limitazione del trattamento (art. 18);
- Portabilità dei dati (art. 20);
- Opposizione al trattamento (art. 21), in particolare se basato sul legittimo interesse;
- diritti relativi a processi decisionali automatizzati (art. 22), ove applicabili.
Per esercitarli: (canale di contatto in corso di definizione — versione beta; contatto: [email protected])
È inoltre possibile proporre reclamo all’Autorità di controllo (in Italia, il Garante per la protezione dei dati personali — garanteprivacy.it).
9. Conferimento dei dati
(natura obbligatoria/facoltativa del conferimento e conseguenze del mancato conferimento — in corso di definizione, versione beta)
10. Cookie e strumenti di tracciamento
Il sito pubblico non utilizza cookie di profilazione, analytics o marketing, né strumenti di tracciamento di terze parti. Per i visitatori anonimi delle pagine pubbliche non viene impostato alcun cookie. Cookie tecnici di sessione (autenticazione Supabase) sono impostati solo per gli utenti che effettuano l’accesso all’area riservata: sono strettamente necessari all’erogazione del servizio richiesto e non richiedono consenso ai sensi dell’art. 122 Codice Privacy / dir. ePrivacy.
Se in futuro verranno introdotti strumenti di analytics, questa sezione e il banner di consenso verranno aggiornati prima dell’attivazione.
11. Modifiche all’informativa
La presente informativa può essere aggiornata. La versione vigente è la versione beta del 2026-07-16 (in attesa di ratifica DPO/legale).