Informativa sulla privacy

1. Chi siamo e a chi si rivolge questa informativa

Adempilo (il “Servizio”) è un’applicazione web per studi commercialisti e professionisti che gestiscono adempimenti fiscali per conto dei propri clienti. Il Servizio è fornito dal soggetto indicato in apertura (il “Titolare”).

Questa informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e del D.Lgs. 196/2003 (“Codice privacy”) e riguarda:

• chi visita questo sito;
• i professionisti e gli studi che si registrano e usano il Servizio (gli “Utenti”);
• le persone i cui dati gli Utenti caricano nel Servizio, come i loro clienti e contatti. Per questi dati il ruolo del Titolare è diverso: vedi il paragrafo 3.

2. Quali dati trattiamo

Visitatori del sito

Il sito non usa cookie né strumenti di analisi o di profilazione. I server che lo ospitano registrano i dati tecnici di navigazione (indirizzo IP, data e ora, pagina richiesta, tipo di browser) necessari al funzionamento e alla sicurezza del sito. Se ci scrivi via email, trattiamo i dati che ci fornisci per risponderti.

Utenti del Servizio

• Dati dell’account: indirizzo email, nome e indirizzo dello studio. La password è gestita dal servizio di autenticazione Amazon Cognito e non è mai accessibile al Titolare.
• Dati delle caselle email collegate: indirizzo della casella e, a seconda del provider, i token di autorizzazione rilasciati da Google o Microsoft oppure host, porta e credenziali di accesso IMAP/SMTP. Token e credenziali sono conservati cifrati.
• Dati tecnici e di utilizzo: operazioni eseguite nel Servizio, errori e indirizzo IP, usati per sicurezza e assistenza.

Dati caricati dagli Utenti

• anagrafiche dei clienti: nome o ragione sociale, codice fiscale, partita IVA, email, telefono, classificazioni e nomi usati nelle comunicazioni;
• contatti importati da file o dalle rubriche Google e Microsoft: nome, email, telefono, organizzazione;
• modelli F24 in formato PDF e i dati estratti (dati del contribuente, codici tributo, importi, scadenze);
• richieste di documenti, email di risposta dei clienti e relativi allegati.

Il Servizio non richiede categorie particolari di dati (art. 9 GDPR), ma queste possono essere contenute nei documenti che i clienti inviano allo studio, ad esempio le ricevute di spese sanitarie per la dichiarazione dei redditi.

3. Titolare e responsabile del trattamento

• Per i dati dei visitatori del sito e degli Utenti, il Titolare decide finalità e mezzi del trattamento ed è titolare del trattamento.
• Per i dati che gli Utenti caricano o raccolgono tramite il Servizio relativi ai propri clienti e contatti, il titolare del trattamento è lo studio o professionista Utente. Il Titolare tratta questi dati solo per conto dell’Utente e secondo le sue istruzioni, come responsabile del trattamento ai sensi dell’art. 28 GDPR, alle condizioni previste dai Termini di servizio.

Se sei cliente di uno studio che usa Adempilo, per esercitare i tuoi diritti rivolgiti innanzitutto al tuo studio. Se ci contatti direttamente, inoltreremo la richiesta allo studio.

4. Finalità e basi giuridiche

Finalità	Base giuridica
Creare e gestire l’account, fornire le funzioni del Servizio (lettura degli F24, invio delle comunicazioni ai clienti, richieste di documenti, solleciti, abbinamento dei contatti)	Esecuzione del contratto (art. 6.1.b GDPR)
Assistenza e comunicazioni di servizio, ad esempio modifiche al Servizio o interruzioni programmate	Esecuzione del contratto (art. 6.1.b GDPR)
Sicurezza del Servizio, prevenzione di abusi e frodi, conservazione dei log tecnici	Legittimo interesse (art. 6.1.f GDPR)
Adempimenti fiscali, contabili e richieste delle autorità	Obbligo di legge (art. 6.1.c GDPR)
Risposta alle richieste inviate via email	Misure precontrattuali o legittimo interesse (art. 6.1.b e 6.1.f GDPR)
Accertamento, esercizio o difesa di un diritto in sede giudiziaria	Legittimo interesse (art. 6.1.f GDPR)

Non usiamo i dati per pubblicità o profilazione e non li vendiamo. I dati dell’account sono necessari per usare il Servizio: senza, non è possibile creare un account.

5. Integrazione con Google

Quando colleghi un account Google, Adempilo richiede le autorizzazioni seguenti e le usa solo per le funzioni indicate.

Autorizzazione	Come la usiamo
Visualizzare i contatti e gli “altri contatti” (contacts.readonly, contacts.other.readonly)	Importare, quando lo richiedi, nome, email, telefono e organizzazione dei contatti per abbinarli ai clienti.
Inviare email (gmail.send)	Inviare dalla tua casella le comunicazioni che prepari o attivi in Adempilo: notifiche F24, richieste di documenti e solleciti.
Leggere le email (gmail.readonly)	Riconoscere le risposte dei clienti alle richieste di documenti. Adempilo esamina i messaggi arrivati in posta in arrivo dopo l’invio delle richieste e conserva solo quelli provenienti da clienti con una richiesta aperta; tutti gli altri vengono scartati senza essere salvati.
Indirizzo email dell’account (userinfo.email)	Identificare la casella collegata.

L’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google da parte di Adempilo rispettano le Norme sui dati utente dei servizi API di Google, inclusi i requisiti di Uso limitato (Limited Use). In particolare, i dati ricevuti da Google:

• sono usati solo per fornire o migliorare le funzioni del Servizio descritte sopra, visibili all’Utente;
• non sono trasferiti a terzi, salvo quanto necessario per fornire queste funzioni (ad esempio ai fornitori di infrastruttura e di intelligenza artificiale indicati ai paragrafi 8 e 9), per rispettare la legge o nell’ambito di una fusione o cessione d’azienda, previo avviso agli Utenti;
• non sono mai usati per pubblicità né venduti;
• non sono letti da persone, salvo tuo consenso esplicito per messaggi specifici, per motivi di sicurezza (ad esempio per indagare su un abuso), per obblighi di legge, oppure in forma aggregata e anonima per operazioni interne;
• non sono usati per sviluppare, migliorare o addestrare modelli generalizzati di intelligenza artificiale o di apprendimento automatico.

Puoi scollegare l’account in qualsiasi momento dalle Impostazioni di Adempilo o revocare l’accesso dalla pagina Autorizzazioni del tuo account Google.

6. Integrazione con Microsoft

Quando colleghi un account Microsoft (Outlook), Adempilo richiede le autorizzazioni User.Read (identificare l’account), Contacts.Read (importare i contatti), Mail.Send (inviare le comunicazioni), Mail.Read (riconoscere le risposte dei clienti, con le stesse modalità descritte per Gmail) e offline_access (mantenere il collegamento attivo senza doverti autenticare di nuovo). Ai dati ricevuti da Microsoft si applicano le stesse garanzie indicate per Google.

Puoi scollegare l’account dalle Impostazioni di Adempilo o revocare l’accesso dalle impostazioni di privacy del tuo account Microsoft.

7. Caselle collegate via IMAP/SMTP

Per le caselle di altri provider (ad esempio Aruba, Libero, Register.it o il server dello studio), le credenziali di accesso sono conservate cifrate e usate solo per inviare le comunicazioni, per riconoscere le risposte dei clienti con le stesse modalità descritte per Gmail e, quando lo richiedi, per importare come contatti il nome e l’indirizzo dei mittenti dei messaggi in posta in arrivo.

8. Uso dell’intelligenza artificiale

Adempilo usa modelli linguistici tramite il servizio Amazon Bedrock di Amazon Web Services, con elaborazione in data center dell’Unione Europea, per:

• estrarre i dati dagli F24 quando la lettura automatica del testo non è sufficiente, ad esempio per i documenti scansionati;
• interpretare la struttura dei file di importazione dei clienti con intestazioni non standard: al modello viene inviato solo un piccolo campione di righe, non l’intero file;
• analizzare il testo delle risposte dei clienti e il contenuto degli allegati per capire quali documenti sono stati inviati.

Amazon Bedrock non conserva i contenuti elaborati e non li usa per addestrare modelli. I risultati sono proposte che l’Utente può sempre verificare e correggere: il Servizio non prende decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sugli interessati (art. 22 GDPR).

9. A chi comunichiamo i dati

I dati sono trattati dal personale autorizzato del Titolare e comunicati solo a:

• Amazon Web Services EMEA SARL, per l’hosting del sito e del Servizio, il database, l’archiviazione dei file, l’autenticazione e l’intelligenza artificiale, in qualità di responsabile del trattamento;
• Google, Microsoft o il provider della tua casella email, solo quando colleghi la casella al Servizio e nei limiti descritti sopra;
• consulenti e autorità pubbliche, quando necessario per obblighi di legge o per la tutela dei diritti del Titolare.

I dati non sono diffusi.

10. Dove sono conservati i dati

I dati sono conservati su infrastruttura Amazon Web Services in data center situati nell’Unione Europea. Amazon Web Services appartiene a un gruppo con sede negli Stati Uniti: eventuali trasferimenti verso Paesi extra UE avvengono sulla base della decisione di adeguatezza EU-US Data Privacy Framework o delle clausole contrattuali standard approvate dalla Commissione europea. Per le caselle email collegate si applicano le garanzie offerte dai rispettivi provider.

11. Per quanto tempo conserviamo i dati

• Dati dell’account e dati caricati dagli Utenti: per tutta la durata dell’account. Alla chiusura dell’account vengono cancellati entro 30 giorni, salvo diversa istruzione dell’Utente o obblighi di legge; le copie di backup vengono eliminate con il normale ciclo di rotazione.
• Messaggi email non pertinenti: non vengono conservati.
• Log tecnici: per il tempo necessario alla sicurezza del Servizio, di norma non oltre 12 mesi.
• Dati contabili e di fatturazione: 10 anni, come previsto dall’art. 2220 del Codice civile.
• Richieste inviate via email: per il tempo necessario a gestirle.

12. Sicurezza

Adottiamo misure tecniche e organizzative adeguate al rischio, tra cui connessioni cifrate (HTTPS), file e credenziali conservati cifrati, archiviazione privata dei documenti accessibili solo tramite link temporanei, database non raggiungibile da Internet, separazione dei dati tra studi diversi e accesso limitato al personale autorizzato.

13. I tuoi diritti

In base agli articoli 15-22 del GDPR hai il diritto di chiedere l’accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità e di opporti al trattamento basato sul legittimo interesse. Puoi esercitare questi diritti scrivendo all’indirizzo email indicato in apertura: risponderemo entro un mese.

Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali.

14. Cookie e tecnologie simili

Questo sito non usa cookie. L’applicazione Adempilo usa solo la memoria locale del browser per mantenere attiva la sessione di accesso: si tratta di uno strumento tecnico, necessario al funzionamento del Servizio, che non richiede consenso (art. 122 Codice privacy). Non usiamo cookie di terze parti, di analisi o di profilazione.

15. Minori

Il Servizio è rivolto a professionisti e non è destinato a minori di 18 anni.

16. Modifiche a questa informativa

Possiamo aggiornare questa informativa per riflettere modifiche al Servizio o alla normativa. La data dell’ultimo aggiornamento è indicata in cima alla pagina; in caso di modifiche rilevanti avviseremo gli Utenti via email.