Informativa Privacy

1. Premessa

La presente informativa descrive il trattamento dei dati personali effettuato attraverso il Portale Documentale per Clienti (di seguito "il Portale"), il servizio online che consente a te (di seguito "il Cliente") di scambiare documenti con lo Studio professionale presso cui sei cliente.

2. Chi tratta i tuoi dati

I tuoi dati sono trattati congiuntamente dai seguenti soggetti, ciascuno per le finalità di propria competenza:

3. Quali dati raccogliamo

• Dati di registrazione: email, nome, cognome, eventualmente numero di telefono (utilizzato per codici di verifica OTP via SMS)
• Documenti che carichi nel Portale e relativi metadati (nome file, data caricamento, dimensione)
• Documenti che lo Studio carica per te
• Log accessi: indirizzo IP, browser, sistema operativo, data/ora delle azioni compiute

Categorie particolari di dati (art. 9 GDPR): i documenti che carichi possono contenere dati di salute (certificati medici, referti), dati di terzi (tuoi dipendenti, familiari, partner). AITAKY non ha visibilità del contenuto. Lo Studio tratta tali dati per finalità di mandato professionale ex art. 9.2.b GDPR.

4. Finalità del trattamento

• Esecuzione del rapporto di mandato professionale tra te e lo Studio (art. 6.1.b GDPR)
• Adempimenti di obblighi legali in materia fiscale, contabile, lavoristica e antiriciclaggio (art. 6.1.c GDPR)
• Sicurezza informatica del Portale e prevenzione abusi (art. 6.1.f GDPR — legittimo interesse di AITAKY e dello Studio)
• Esecuzione del contratto di fornitura tra lo Studio e AITAKY relativamente all'hosting tecnico (art. 6.1.b GDPR, indirettamente)

5. Sub-processor

Per fornire il Portale ci avvaliamo dei seguenti soggetti, designati come ulteriori Responsabili del trattamento:

• Amazon Web Services EMEA SARL (Lussemburgo) — storage documenti (S3), autenticazione (Cognito), invio SMS OTP (SNS). Region UE.
• Provider SMTP per l'invio delle email di servizio (configurazione su nostro server tramite Nodemailer). Vedi elenco aggiornato dei sub-processor.

Eventuali sub-processor non-UE sono soggetti a Clausole Contrattuali Standard (SCC) ex art. 46 GDPR + misure tecniche supplementari (cifratura at-rest con chiavi UE-resident).

6. Trasferimenti extra-UE

I documenti restano su bucket S3 in regione UE. Eventuali trasferimenti extra-UE sono limitati a operazioni tecniche su sub-processor con SCC valide.

7. Periodo di conservazione

• Documenti fiscali e contabili: 10 anni (obbligo legale ex art. 2220 c.c.)
• Altri documenti: 12 mesi dopo la cessazione del rapporto cliente-Studio
• Log accessi: 24 mesi
• Dati di apertura/click delle email: massimo 24 mesi, poi cancellati o anonimizzati
• Dati di registrazione: per la durata del rapporto + 12 mesi

8. I tuoi diritti

Ai sensi degli artt. 15-22 GDPR puoi in qualunque momento:

• Accedere ai tuoi dati (art. 15)
• Chiederne la rettifica (art. 16)
• Chiederne la cancellazione (art. 17, salvo obblighi di conservazione fiscale dello Studio)
• Chiederne la limitazione del trattamento (art. 18)
• Riceverli in formato portabile (art. 20)
• Opporti al trattamento (art. 21)
• Proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it)

Per esercitare i tuoi diritti scrivi a privacy@aitaky.com (Sub-Responsabile AITAKY) oppure rivolgiti direttamente allo Studio (Titolare del rapporto). Il riscontro è fornito entro 30 giorni.

9. Sicurezza

Applichiamo misure tecniche e organizzative adeguate ex art. 32 GDPR, tra cui:

• Crittografia at-rest dei documenti (AWS KMS) e in transito (TLS 1.2+)
• Autenticazione tramite AWS Cognito con possibilità di MFA
• Audit log degli accessi ai documenti
• Backup cifrati e regolari
• Procedura di gestione delle violazioni dei dati personali ex artt. 33-34 GDPR (notifica entro 72h al Garante e all'interessato in caso di rischio elevato)

10. Tracciamento dell'apertura delle email

Le email che ricevi dal modulo Documentale (inviti a visionare i documenti condivisi e inviti a webinar) possono contenere un indicatore tecnico (cosiddetto web beacon o pixel) che consente di rilevare se e quando l'email è stata aperta, e l'eventuale click sui link in essa contenuti.

• Dati trattati: stato e data/ora di apertura dell'email, eventuale click sui link, indirizzo email del destinatario.
• Finalità: rendicontare allo Studio mittente l'avvenuta consegna e presa visione delle comunicazioni e dei documenti condivisi.
• Base giuridica: legittimo interesse del Titolare (art. 6.1.f GDPR) a verificare la ricezione delle comunicazioni professionali.
• Conservazione: massimo 24 mesi, dopodiché i dati sono cancellati o anonimizzati.

Diritto di opposizione (art. 21 GDPR): puoi opporti in qualsiasi momento al tracciamento dell'apertura delle email, senza che ciò pregiudichi l'accesso ai documenti. Puoi farlo direttamente dalla tua area riservata → Privacy, disattivando l'opzione dedicata; in alternativa, disattivando il caricamento automatico delle immagini nel tuo client di posta o scrivendo allo Studio (Titolare) o a privacy@aitaky.com.

11. Modifiche all'informativa

AITAKY può aggiornare la presente informativa per riflettere modifiche normative o tecniche. Le modifiche sostanziali saranno notificate tramite il Portale al successivo accesso e potranno richiedere una nuova presa visione.