Termini Legali & Privacy

Mastro — Piattaforma AI per Studi Professionali

📅 Ultimo aggiornamento: 21 ottobre 2026 📄 Versione 2.3

Termini e Condizioni Generali di Servizio

Contratto vincolante

Ambito di applicazione. Le presenti Condizioni Generali regolano l'accesso e l'utilizzo della piattaforma "Mastro" (di seguito "Piattaforma" o "Servizio"), fornita da Mastro S.r.l., con sede legale in Corso di Porta Vigentina 13, 20122 Milano (MI), codice fiscale e P.IVA 14918810962, PEC mastro@pec.cloud (di seguito "Fornitore").

1. Definizioni

"Studio" o "Utente Professionale": lo studio professionale (commercialista, consulente del lavoro, o altro professionista) che sottoscrive l'abbonamento alla Piattaforma.
"Operatore": qualsiasi persona fisica autorizzata dallo Studio ad accedere alla Piattaforma (titolare, dipendenti, collaboratori).
"Cliente dello Studio": il soggetto (persona fisica o giuridica) assistito dallo Studio, che accede al Portale Clienti o i cui dati sono trattati sulla Piattaforma.
"Portale Clienti": l'area pubblica dedicata ai Clienti dello Studio (clienti.mastro.tax) per upload documenti, consultazione scadenze e comunicazioni.
"Dati dello Studio": tutti i dati, documenti, informazioni inseriti o generati sulla Piattaforma dallo Studio e dai suoi Operatori.
"Moduli AI": funzionalità basate su intelligenza artificiale (Console AI, Cortex Document OS, analisi automatiche) integrate nella Piattaforma.

2. Oggetto del contratto

Il Fornitore concede allo Studio una licenza non esclusiva, non trasferibile e non sub-licenziabile per l'utilizzo della Piattaforma SaaS, comprensiva di:

Gestione anagrafica clienti e pratiche
Fatturazione elettronica attiva/passiva e autofatture
Scadenziario e workflow operativi
Gestione documentale con OCR e AI
Comunicazioni integrate (email, WhatsApp Business, chat interna)
Portale Clienti dedicato
Moduli AI per analisi, classificazione e assistenza
Integrazioni con servizi terzi (Google Workspace, Microsoft 365)

3. Registrazione e accesso

3.1. Per accedere alla Piattaforma, lo Studio deve completare la registrazione fornendo dati veritieri e completi (ragione sociale, P.IVA, PEC, dati del legale rappresentante).

3.2. Ogni Operatore accede con credenziali personali (email + password). Lo Studio è responsabile della custodia delle credenziali e di ogni attività svolta con le proprie utenze.

3.3. L'autenticazione a due fattori (2FA) è fortemente raccomandata e può essere resa obbligatoria dal Fornitore per ragioni di sicurezza.

3.4. La firma del DPA (Accordo sul Trattamento dei Dati) è condizione necessaria per l'utilizzo della Piattaforma. Senza firma del DPA, l'accesso è bloccato.

4. Obblighi dello Studio

Lo Studio si impegna a:

Utilizzare la Piattaforma nel rispetto della normativa vigente, del Codice Deontologico professionale e delle presenti Condizioni;
Non condividere credenziali di accesso tra più persone fisiche;
Garantire la legittimità del trattamento dei dati personali dei propri Clienti inseriti nella Piattaforma, in qualità di Titolare del trattamento (Art. 4 par. 7 GDPR);
Informare i propri Clienti dell'utilizzo della Piattaforma e dei Moduli AI conformemente agli artt. 13-14 GDPR;
Non utilizzare la Piattaforma per finalità illecite, fraudolente o lesive dei diritti di terzi;
Non tentare di decompilare, decodificare (reverse engineering) o aggirare le misure di sicurezza della Piattaforma;
Comunicare tempestivamente qualsiasi violazione di sicurezza sospetta o accertata (data breach).

5. Livelli di servizio (SLA)

5.1. Il Fornitore si impegna a garantire una disponibilità del Servizio pari al 99,5% su base mensile, escluse le finestre di manutenzione programmata.

5.2. La manutenzione programmata sarà comunicata con almeno 48 ore di anticipo via email e/o notifica in-app.

5.3. Il Fornitore effettua backup automatici. Il database si può ripristinare a un minuto qualsiasi degli ultimi 7 giorni e ha un backup settimanale conservato 98 giorni (Google Cloud, regione europe-west6, Zurigo). I documenti hanno una copia giornaliera in una seconda sede italiana (Google Cloud, regione europe-west12, Torino).

5.4. In caso di indisponibilità prolungata superiore alle 24 ore continuative (esclusa forza maggiore), lo Studio potrà richiedere un credito proporzionale sul canone mensile.

6. Abbonamento e pagamenti

6.1. L'utilizzo della Piattaforma è subordinato alla sottoscrizione di un piano di abbonamento. I piani, i prezzi e le funzionalità incluse sono pubblicati sulla pagina dedicata e possono essere aggiornati con preavviso di 30 giorni.

6.2. Il pagamento avviene con cadenza mensile o annuale anticipata tramite carta di credito/debito o addebito diretto, gestito tramite pagamento esterno.

6.3. In caso di mancato pagamento, il Fornitore potrà sospendere l'accesso alla Piattaforma dopo 7 giorni di inadempimento, previo avviso via email. I dati restano conservati per 90 giorni dalla sospensione.

6.4. Lo Studio che recede dall'abbonamento ha diritto all'export completo dei propri dati in formato aperto (CSV/JSON) entro 30 giorni dalla cessazione del servizio.

7. Proprietà intellettuale

7.1. La Piattaforma, il suo codice sorgente, i design, i marchi "Mastro" e "Mastro", la documentazione e tutti i materiali correlati sono e restano di proprietà esclusiva del Fornitore.

7.2. I Dati dello Studio restano di proprietà esclusiva dello Studio. Il Fornitore non acquisisce alcun diritto sui dati caricati o generati dallo Studio.

7.3. Il Fornitore può utilizzare dati aggregati e anonimizzati per finalità statistiche e di miglioramento del Servizio, in conformità con il GDPR.

8. Moduli AI — Clausole specifiche

Importante. I Moduli AI sono strumenti di supporto decisionale. Non sostituiscono il giudizio professionale. Lo Studio resta l'unico responsabile delle decisioni assunte sulla base dei suggerimenti AI.

8.1. I Moduli AI utilizzano modelli di linguaggio di terze parti (Google Gemini) per elaborare i dati. I dati sono inviati ai provider AI esclusivamente per l'esecuzione delle funzionalità richieste e non sono utilizzati per addestrare modelli di terze parti. Fa eccezione l'agente vocale telefonico, se attivato dallo Studio: il contratto del suo fornitore (Vapi) gli consente di usare le chiamate per migliorare il proprio servizio.

8.2. Il Fornitore adotta misure per minimizzare i dati trasmessi ai provider AI (pseudonimizzazione ove possibile, trasmissione solo dei dati strettamente necessari).

8.3. L'output generato dall'AI può contenere errori, imprecisioni o informazioni obsolete. Lo Studio è tenuto a verificare autonomamente ogni output prima di utilizzarlo in ambito professionale.

8.4. Il Fornitore non è responsabile per danni derivanti dall'utilizzo acritico degli output AI.

9. Limitazione di responsabilità

9.1. Il Fornitore risponde esclusivamente per dolo o colpa grave.

9.2. In ogni caso, la responsabilità complessiva del Fornitore non potrà eccedere l'importo totale corrisposto dallo Studio nei 12 mesi precedenti l'evento dannoso.

9.3. Il Fornitore non è responsabile per:

Danni derivanti da cause di forza maggiore, guasti dell'infrastruttura cloud di terze parti (Google Cloud Platform), interruzioni della rete internet;
Perdita di dati causata da azioni od omissioni dello Studio;
Violazioni normative commesse dallo Studio nell'utilizzo della Piattaforma;
Danni indiretti, perdita di profitto, danno reputazionale.

10. Durata e recesso

10.1. Il contratto ha durata corrispondente al periodo di abbonamento scelto e si rinnova automaticamente salvo disdetta.

10.2. Lo Studio può recedere in qualsiasi momento dalle Impostazioni della Piattaforma. Il recesso ha effetto dalla scadenza del periodo in corso già pagato. Non sono previsti rimborsi per periodi parziali.

10.3. Il Fornitore può risolvere il contratto con effetto immediato in caso di:

Violazione grave delle presenti Condizioni;
Utilizzo illecito della Piattaforma;
Mancato pagamento per oltre 30 giorni.

10.4. Alla cessazione del contratto, lo Studio dispone di 30 giorni per esportare i propri dati. Decorso tale termine, il Fornitore procederà alla cancellazione definitiva, salvo la rotazione dei backup (punto 5.3).

11. Portale Clienti — Condizioni per i Clienti dello Studio

11.1. I Clienti dello Studio accedono al Portale Clienti su invito dello Studio. L'accesso è limitato alle funzionalità abilitate dallo Studio (upload documenti, consultazione scadenze, messaggistica).

11.2. Il Cliente dello Studio accetta le presenti Condizioni al primo accesso al Portale.

11.3. Il trattamento dei dati personali del Cliente dello Studio è regolato dalla Privacy Policy (sezione dedicata) e dal DPA tra il Fornitore (Responsabile) e lo Studio (Titolare).

11.4. Il Fornitore non intrattiene alcun rapporto contrattuale diretto con i Clienti dello Studio per quanto riguarda i servizi professionali resi dallo Studio.

11.5. Fatture dal Portale (condizioni del servizio, versione 1.1)

Se lo Studio attiva le fatture dal Portale, il Cliente dello Studio, prima di fare o ricevere fatture, accetta nel Portale le condizioni che seguono. L'accettazione si registra con data e indirizzo email di chi la dà.

11.5.1. Nomina dello Studio. Il Cliente, titolare del trattamento dei dati dei propri clienti contenuti nelle fatture che emette dal Portale, nomina lo Studio responsabile del trattamento ai sensi dell'art. 28 GDPR per il solo servizio di emissione e trasmissione delle fatture elettroniche e, se il Cliente la attiva, di ricezione delle fatture dei suoi fornitori. Lo Studio tratta i dati solo per eseguire le istruzioni del Cliente (creare, trasmettere e consultare le fatture e la rubrica dei destinatari, ricevere e consultare le fatture dei fornitori), adotta le misure dell'art. 32 GDPR e, al termine del servizio, restituisce o cancella i dati, salvo gli obblighi di legge.

11.5.2. Mastro sub-responsabile. Il Cliente autorizza lo Studio a ricorrere a Mastro S.r.l. come sub-responsabile: Mastro fornisce il Portale e, quando il Cliente sceglie il canale di Mastro, trasmette le fatture al Sistema di Interscambio dell'Agenzia delle Entrate e ne riceve quelle dei fornitori con il proprio canale accreditato.

11.5.3. Programmi del Cliente. Se il Cliente collega un proprio programma di fatturazione (ad esempio Fatture in Cloud, SuperBill, Aruba Fatturazione Elettronica), Mastro gli trasmette le fatture su istruzione del Cliente, e quel programma tratta i dati secondo il contratto tra il Cliente e il suo fornitore. I codici di accesso al programma sono conservati cifrati; la password di Aruba non viene conservata. Il Cliente può scollegare il programma in ogni momento.

11.5.4. Conservazione. La conservazione a norma delle fatture emesse resta a carico del Cliente, che può avvalersi del servizio gratuito dell'Agenzia delle Entrate o di un conservatore accreditato. Il Portale ne tiene una copia per la durata del servizio, che non sostituisce la conservazione a norma.

11.5.5. Invio. Ogni fattura parte solo su conferma esplicita del Cliente. Il Cliente risponde del contenuto delle fatture che emette.

11.5.6. Ricezione. Se il Cliente attiva nel Portale la ricezione, le fatture elettroniche che il Sistema di Interscambio consegna al codice destinatario del canale di Mastro per la partita IVA del Cliente sono messe nel Portale fra le fatture ricevute, e le vede anche lo Studio. Il Cliente dichiara che la partita IVA è sua; prima di instradare le fatture, Mastro verifica che la partita IVA sia del Cliente, e ogni fattura entra solo se il cessionario è il Cliente. Perché le fatture arrivino tutte, il Cliente registra il codice del canale nel servizio dell'Agenzia delle Entrate per la registrazione dell'indirizzo telematico: quella registrazione prevale sul codice che il fornitore scrive in fattura. Le fatture restano comunque disponibili nell'area riservata del Cliente sul sito dell'Agenzia delle Entrate. La ricezione si spegne quando la spegne il Cliente, o quando lo Studio gli toglie il servizio o lo spegne. La conservazione a norma delle fatture ricevute resta a carico del Cliente, come al punto 11.5.4.

12. Modifiche ai Termini

12.1. Il Fornitore si riserva il diritto di modificare le presenti Condizioni. Le modifiche saranno comunicate con almeno 30 giorni di anticipo via email e notifica in-app.

12.2. L'uso continuato della Piattaforma dopo il periodo di preavviso costituisce accettazione delle modifiche. In caso di disaccordo, lo Studio può recedere senza penali entro il termine di preavviso.

13. Legge applicabile e Foro competente

13.1. Le presenti Condizioni sono regolate dalla legge italiana.

13.2. Per qualsiasi controversia derivante dal presente contratto, le parti tentano in via preventiva una composizione amichevole. In caso di esito negativo, è competente in via esclusiva il Foro di Busto Arsizio (VA).

13.3. Per i Clienti dello Studio qualificabili come "consumatori" ai sensi del D.Lgs. 206/2005 (Codice del Consumo), è competente il Foro del luogo di residenza o domicilio del consumatore, e si applicano le disposizioni inderogabili a tutela del consumatore.

Informativa sulla Privacy

Art. 13-14 GDPR D.Lgs. 196/2003

La presente informativa descrive come Mastro S.r.l. ("Titolare") tratta i dati personali degli Utenti Professionali (Studi) e dei Clienti degli Studi che utilizzano la piattaforma Mastro.

1. Titolare del Trattamento

Denominazione	Mastro S.r.l.
Sede legale	Corso di Porta Vigentina 13, 20122 Milano (MI), Italia
P.IVA	14918810962
PEC	mastro@pec.cloud
Email	hello@mastro.tax

2. Categorie di dati trattati

2.1. Dati degli Utenti Professionali (Studio)

Categoria	Dati specifici	Base giuridica
Dati identificativi	Nome, cognome, email, telefono del legale rappresentante e degli Operatori	Esecuzione contratto (Art. 6.1.b)
Dati aziendali	Ragione sociale, P.IVA, CF, PEC, indirizzo sede, codice SDI	Esecuzione contratto (Art. 6.1.b)
Dati di accesso	Email di login, hash della password, token 2FA, log di accesso (IP, user agent, timestamp)	Esecuzione contratto + Legittimo interesse sicurezza (Art. 6.1.f)
Dati di fatturazione	Storico pagamenti, piano di abbonamento (dati di pagamento gestiti esternamente, non conservati dal Fornitore)	Esecuzione contratto (Art. 6.1.b) + Obbligo legale (Art. 6.1.c)
Dati di utilizzo	Pagine visitate, funzionalità utilizzate, preferenze applicative, presence (stato online)	Legittimo interesse miglioramento servizio (Art. 6.1.f)
Comunicazioni	Messaggi in chat interna, email inviate tramite la Piattaforma, ticket di supporto	Esecuzione contratto (Art. 6.1.b)

2.2. Dati dei Clienti dello Studio

Ruolo del Fornitore: Per i dati dei Clienti dello Studio, il Fornitore agisce in qualità di Responsabile del Trattamento (Art. 28 GDPR) su istruzione dello Studio (Titolare del Trattamento). Il rapporto è disciplinato dal DPA (sezione dedicata).

Categoria	Dati specifici	Base giuridica
Dati anagrafici	Nome, cognome, CF, P.IVA, indirizzo, telefono, email, PEC	Determinata dallo Studio (Titolare)
Dati fiscali/contabili	Fatture, dichiarazioni, bilanci, F24, dati contabili caricati dallo Studio	Determinata dallo Studio (Titolare)
Documenti	Documenti di identità, visure, contratti, atti caricati tramite Portale o dallo Studio	Determinata dallo Studio (Titolare)
Dati di accesso al Portale	Email di login, hash password, log di accesso (IP, timestamp)	Esecuzione contratto (Art. 6.1.b)
Comunicazioni	Messaggi scambiati con lo Studio tramite la Piattaforma	Determinata dallo Studio (Titolare)

3. Finalità del trattamento

Erogazione del Servizio — Registrazione, autenticazione, gestione dell'account, fornitura delle funzionalità della Piattaforma (Art. 6.1.b GDPR).
Adempimento obblighi di legge — Fatturazione, conservazione documentale obbligatoria, adempimenti fiscali e contabili (Art. 6.1.c GDPR).
Sicurezza — Prevenzione frodi, protezione contro accessi non autorizzati, logging di sicurezza, gestione incidenti (Art. 6.1.f GDPR).
Miglioramento del Servizio — Analisi aggregate e anonime sull'utilizzo della Piattaforma, ottimizzazione UX (Art. 6.1.f GDPR).
Assistenza clienti — Gestione richieste di supporto, troubleshooting tecnico (Art. 6.1.b GDPR).
Comunicazioni di servizio — Notifiche operative (scadenze, aggiornamenti, manutenzione), strettamente necessarie e non promozionali (Art. 6.1.b GDPR).
Comunicazioni promozionali — Previo consenso esplicito, invio di newsletter e aggiornamenti commerciali (Art. 6.1.a GDPR). Il consenso è revocabile in qualsiasi momento.

4. Destinatari e trasferimenti dei dati

4.1. Sub-responsabili del trattamento

Fornitore	Servizio	Localizzazione dati	Garanzie
Google Cloud Platform (Firebase)	Hosting, database (Firestore), autenticazione, storage, Cloud Functions	europe-west8 (Milano, IT) · europe-west12 (Torino, IT, copia dei documenti) · europe-west6 (Zurigo, CH) · europe-west1 (Belgio, UE). L'autenticazione è un servizio globale di Google	DPA Google Cloud, SCC, ISO 27001/27017/27018
Google Cloud Vertex AI (Gemini)	Moduli AI (analisi documentale, assistente)	Unione europea (Vertex AI)	Google Cloud AI DPA, dati non usati per training
Anthropic PBC (Claude API)	Assistente esterno, solo se lo Studio lo collega tramite connettore	USA	Anthropic DPA, SCC (UE) 2021/914, dati non usati per training
OpenAI OpCo, LLC (GPT API)	Assistente esterno, solo se lo Studio lo collega tramite connettore	USA	OpenAI DPA, SCC (UE) 2021/914
Dropbox International Unlimited Co.	Sincronizzazione cloud storage (ove attivato)	Irlanda (UE)	Dropbox Business DPA, SCC, ISO 27001
Stripe Payments Europe Ltd	Elaborazione pagamenti	Irlanda (UE) + USA (Stripe Inc.)	PCI-DSS Level 1, DPA Stripe, SCC, EU-US DPF
Google Workspace	Invio delle email di sistema (Gmail) e integrazione con Gmail e Google Drive, se collegati	Infrastruttura globale di Google	Google Workspace DPA, SCC
Microsoft 365	Integrazione OneDrive/SharePoint	UE	Microsoft DPA, SCC, ISO 27001
Meta Platforms Ireland Ltd (WhatsApp Business API)	Comunicazioni WhatsApp (ove attivato)	Irlanda (UE) + USA	Meta Business DPA, SCC, EU-US DPF
Telegram Messenger Inc.	Canale per gli operatori dello Studio, se il titolare dello studio lo attiva. Gli avvisi non contengono dati dei clienti; le risposte alle domande dell'operatore e i documenti che invia passano da Telegram. Lo usa anche l'assistenza di Mastro per rispondere ai ticket degli studi	Società fuori dallo SEE; secondo la sua informativa, i dati degli utenti europei stanno nei Paesi Bassi	Nessun accordo sul trattamento: Telegram non lo offre a chi usa i bot
Openapi S.p.A.	Visure camerali e marche temporali. Le fatture elettroniche partono dal canale accreditato di Mastro S.r.l. verso il Sistema di Interscambio; Openapi resta come canale di riserva	Italia	Trattamento in UE
OpenSanctions Datenbanken GmbH	Controlli antiriciclaggio su liste di sanzioni e persone politicamente esposte	Germania (UE)	Trattamento in UE
Twilio Ireland Ltd	SMS dei codici di firma; numeri e registrazioni delle chiamate quando il centralino è Twilio (ove attivato)	Irlanda (UE) + USA	Twilio DPA, EU-US DPF, SCC
Vapi Inc.	Agente vocale telefonico (solo se attivato dallo Studio)	USA	DPA Vapi, SCC (UE) 2021/914 Modulo 3

4.2. Trasferimenti extra-UE

Ove dati siano trasferiti fuori dallo Spazio Economico Europeo (SEE), il trasferimento avviene sulla base di:

Decisioni di adeguatezza della Commissione Europea (ove disponibili);
Clausole Contrattuali Standard (SCC) approvate dalla Commissione (Decisione 2021/914);
EU-US Data Privacy Framework per fornitori certificati con sede negli USA.

5. Periodo di conservazione

Tipologia di dati	Durata conservazione	Riferimento normativo
Dati account Studio	Durata del contratto + 30 giorni per export, poi cancellazione	Art. 5.1.e GDPR
Scritture contabili e documenti fiscali	10 anni dalla data dell'ultima registrazione	Art. 2220 c.c.
Fatture elettroniche (XML FatturaPA)	10 anni dalla data di emissione	Art. 2220 c.c., D.Lgs. 127/2015
Modelli F24 trasmessi e autorizzazioni	10 anni dalla trasmissione/revoca	DPR 322/1998, Convenzione AdE
Dichiarazioni fiscali	10 anni dalla presentazione (o fino a scadenza termini accertamento)	DPR 322/1998, DPR 600/1973
Dati di fatturazione e pagamento	10 anni dalla data dell'operazione	Art. 2220 c.c., D.P.R. 600/1973
Fascicolo adeguata verifica AML	10 anni dalla cessazione del rapporto con il cliente	D.Lgs. 231/2007 art. 31
Contratti e mandati professionali	10 anni dalla cessazione del rapporto	Art. 2220 c.c., Art. 2946 c.c.
PEC e comunicazioni certificate	10 anni dalla data di ricezione/invio	Art. 2220 c.c., CAD art. 47
Log di accesso e sicurezza	Log tecnici dell'applicazione: 30 giorni (Belgio). Accessi diretti del personale di Mastro a database e documenti (console e strumenti di Google Cloud): 400 giorni (Belgio). Log di audit di Google Cloud sulle operazioni amministrative: 400 giorni. Accessi dell'assistenza di Mastro allo Studio: le sessioni per la durata del contratto, la traccia di ogni accesso nel registro delle attività dello Studio fino a 20 anni e nel registro interno di Mastro per 24 mesi	Provv. Garante 27/11/2008
Audit trail conservazione	10 anni (pari al periodo di conservazione dei documenti)	Linee Guida AgID 2022
Registro trattamenti (ROPA)	Durata attività + 5 anni	GDPR Art. 30
Breach log (notifiche data breach)	5 anni dalla notifica	GDPR Artt. 33-34
Consensi raccolti	Durata trattamento + 5 anni	GDPR Art. 7
Dati dei Clienti dello Studio	Secondo le istruzioni dello Studio (Titolare). Al termine del contratto: 30 giorni per export, poi cancellazione	Art. 28.3.g GDPR
Backup	98 giorni (rolling)	—
Dati consenso cookie	12 mesi, poi richiesta rinnovo	Linee Guida Garante 10/06/2021

Nota: Per i documenti soggetti a conservazione decennale (Art. 2220 c.c.), la cancellazione è bloccata a livello tecnico (GCS Object Retention Lock + regole Firestore immutabili) e può avvenire solo dopo la scadenza del periodo di conservazione, previa autorizzazione del Responsabile della Conservazione.

5-bis. Classificazione Documenti: Certificazione e Conservazione

La piattaforma distingue automaticamente i documenti in due categorie in base agli obblighi normativi.

Categoria	Documenti inclusi	Misure applicate	Conservazione
Documenti certificati (obbligo decennale)	Prove di autorizzazione workflow: Modelli F24, Dichiarazioni IVA, Dichiarazioni dei redditi, Contributi previdenziali (INPS/INAIL), Bilanci approvati — caricati o generati nella Piattaforma	SHA-256, TSA RFC 3161, retention lock 10 anni, audit trail immutabile con integrity hash, Merkle tree + ancoraggio blockchain opzionale	10 anni (Art. 2220 C.C.)
Documenti non certificati (gestione ordinaria)	Preventivi, offerte commerciali, comunicazioni generiche, documenti interni, bozze, corrispondenza ordinaria, approvazioni commerciali	Archiviazione cloud standard, audit trail operativo, backup automatici	Secondo configurazione utente

Audit trail: le operazioni sensibili sulla piattaforma — su documenti certificati e non certificati — producono un log di audit con timestamp, attore, azione e metadati, consultabile in Impostazioni > Audit Trail. La semplice consultazione di un documento non viene oggi registrata.

5-bis. Archiviazione sicura con integrità certificata

Perimetro del sistema: La Piattaforma fornisce archiviazione sicura con integrità certificata per i documenti gestiti nel flusso di lavoro dello Studio: prove di autorizzazione (F24, dichiarazioni, bilanci approvati), copie di servizio e documenti caricati dai clienti. Le misure tecniche adottate (SHA-256, RFC 3161, retention lock) si ispirano ai principi di autenticità, integrità, leggibilità e reperibilità previsti dal CAD artt. 43-44 e dalle Linee Guida AgID 2022 per i documenti trattati nella Piattaforma.

Fatture elettroniche e documenti fiscali originali nativi digitali: Per i documenti fiscali originali che transitano dal Sistema di Interscambio (SDI) — fatture elettroniche, autofatture TD17/TD18/TD19, dichiarazioni telematiche XML — l'obbligo di conservazione a norma CAD/AgID ricade sullo Studio, che deve avvalersi del servizio gratuito dell'Agenzia delle Entrate o di un conservatore accreditato AgID. La Piattaforma non sostituisce tale obbligo. Per le fatture che i Clienti dello Studio emettono dal Portale l'obbligo è del Cliente che le emette (Termini, punto 11.5.4).

5-bis.1. Architettura del sistema

La Piattaforma implementa un sistema di conservazione digitale che garantisce autenticità, integrità, affidabilità, leggibilità e reperibilità dei documenti informatici, tramite le seguenti misure tecniche:

Misura	Tecnologia	Standard
Impronta digitale	SHA-256 calcolato server-side sui byte effettivi del file	FIPS 180-4
Marca temporale	RFC 3161 Time Stamp Authority (FreeTSA.org, DigiCert, Sectigo)	RFC 3161, eIDAS art. 41
Immutabilità storage	Google Cloud Storage Object Retention Lock (10 anni)	Art. 2220 c.c.
Immutabilità database	Firestore Security Rules: update e delete bloccati	Linee Guida AgID
Merkle tree	Albero binario SHA-256 computato quotidianamente	RFC 6962
Blockchain anchoring	OpenTimestamps su Bitcoin (verifica pubblica trustless)	OpenTimestamps
Audit trail	Log immutabile di ogni accesso e operazione	Linee Guida AgID
Cifratura	AES-256 at-rest (Google managed), TLS 1.3 in-transit	NIST SP 800-38D

5-bis.2. Flusso di archiviazione

Il processo di archiviazione è ispirato ai principi delle Linee Guida AgID 2022 e include le seguenti fasi:

Versamento (PdV): L'Operatore carica il documento; il sistema AI lo classifica (80+ tipi) e l'Operatore conferma.
Archiviazione (PdA): Il sistema calcola SHA-256, copia il file in storage immutabile, applica il Retention Lock decennale, richiede la marca temporale RFC 3161 e registra il record in Firestore (immutabile).
Certificazione periodica: Ogni notte il sistema computa il Merkle root giornaliero e lo ancora alla blockchain Bitcoin tramite OpenTimestamps.
Distribuzione (PdD): Su richiesta, il sistema genera un URL firmato temporaneo (15 minuti) e registra l'accesso nell'audit trail.

5-bis.3. Responsabile della Conservazione

In analogia con quanto previsto dall'art. 44, comma 1-quater del CAD, ciascuno Studio può designare un Responsabile dell'Archiviazione che sovraintende al processo di archiviazione sicura e ne garantisce la correttezza operativa. La designazione avviene tramite la sezione Impostazioni > Conservazione > Responsabile della Piattaforma.

Il Responsabile può compilare il Manuale della Conservazione (template disponibile nella Piattaforma, basato sul modello dell'Allegato 4 delle Linee Guida AgID 2022) come strumento di governance interna del proprio flusso documentale.

5-bis.4. Formati raccomandati

Per la conservazione a lungo termine si raccomandano i seguenti formati:

PDF/A-3 (ISO 19005-3) per documenti non strutturati;
XML (FatturaPA 1.2.2) per fatture elettroniche;
JSON per dati strutturati (approvazioni, consensi, audit);
TIFF (ISO 12639) per documenti scannerizzati.

5-bis.5. Distruzione documenti

La distruzione di documenti conservati è possibile esclusivamente dopo la scadenza del periodo di conservazione e previa autorizzazione scritta del Responsabile della Conservazione. Il sistema segnala automaticamente i documenti in scadenza con 90 giorni di preavviso. L'operazione di scarto viene registrata nell'audit trail con firma elettronica del Responsabile.

6. Diritti dell'interessato

Come esercitare i tuoi diritti: Invia una richiesta a hello@mastro.tax o utilizza il GDPR Center nelle Impostazioni della Piattaforma. Risposta entro 30 giorni (prorogabile di 60 giorni in casi complessi, con notifica motivata).

Ai sensi degli artt. 15-22 del GDPR, l'interessato ha il diritto di:

Diritto	Descrizione	Art. GDPR
Accesso	Ottenere conferma dell'esistenza di dati che lo riguardano e riceverne copia	Art. 15
Rettifica	Ottenere la correzione di dati inesatti o l'integrazione di dati incompleti	Art. 16
Cancellazione	Ottenere la cancellazione dei dati (diritto all'oblio), salvo obblighi di conservazione legale	Art. 17
Limitazione	Ottenere la limitazione del trattamento in determinati casi	Art. 18
Portabilità	Ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico (CSV, JSON)	Art. 20
Opposizione	Opporsi al trattamento basato su legittimo interesse	Art. 21
Revoca consenso	Revocare in qualsiasi momento il consenso prestato, senza pregiudizio per il trattamento precedente	Art. 7.3
Reclamo	Proporre reclamo al Garante per la Protezione dei Dati Personali: www.garanteprivacy.it	Art. 77

6.1. Diritti specifici dei Clienti dello Studio

I Clienti dello Studio che desiderano esercitare i propri diritti relativi ai dati trattati dallo Studio devono rivolgersi direttamente allo Studio (Titolare del Trattamento). Il Fornitore, in qualità di Responsabile, collaborerà con lo Studio per evadere le richieste entro i termini di legge.

Per i dati di cui il Fornitore è Titolare autonomo (dati di accesso al Portale, dati tecnici), le richieste possono essere indirizzate direttamente a hello@mastro.tax.

7. Processi decisionali automatizzati e profilazione

7.1. La Piattaforma utilizza algoritmi AI per classificazione documentale, suggerimenti operativi e analisi predittive. Tali processi non producono effetti giuridici né incidono significativamente sugli interessati (Art. 22 GDPR).

7.2. Non viene effettuata profilazione a fini di marketing automatizzato.

7.3. Lo Studio Utente Professionale può in ogni momento disattivare le funzionalità AI dalle Impostazioni.

7.4. Trasparenza AI — Regolamento (UE) 2024/1689 (AI Act), Art. 50

Informativa sull'uso di sistemi di Intelligenza Artificiale.

La Piattaforma integra i seguenti sistemi di intelligenza artificiale:

Sistema AI	Fornitore	Funzionalità	Classificazione rischio
Gemini (famiglia Flash) su Vertex AI	Google (Alphabet Inc.)	Analisi documentale, classificazione, suggerimenti archiviazione, assistente conversazionale	Rischio limitato (Art. 50 — obbligo trasparenza)
Agente vocale	Vapi Inc.	Risposta telefonica automatizzata, solo se attivata dallo Studio	Rischio limitato (Art. 50 — obbligo trasparenza)

Claude (Anthropic) e ChatGPT (OpenAI) non sono integrati nella Piattaforma: ricevono dati solo se lo Studio li collega tramite connettore.

Garanzie implementate ai sensi dell'AI Act:

Tutti i contenuti generati da AI sono chiaramente contrassegnati come tali nell'interfaccia utente;
Nessuna decisione automatizzata con effetti giuridici viene presa senza supervisione umana (human-in-the-loop);
I dati inviati ai fornitori AI non vengono utilizzati per l'addestramento dei modelli (per i Moduli AI; fa eccezione l'agente vocale, se attivato: il contratto di Vapi consente l'uso delle chiamate per migliorare il suo servizio);
Lo Studio può disattivare qualsiasi funzionalità AI dalle Impostazioni della Piattaforma;
Le interazioni con l'AI sono registrate nel registro delle attività, consultabile su richiesta dello Studio.

8. Misure di sicurezza

Il Fornitore adotta le seguenti misure tecniche e organizzative (Art. 32 GDPR):

Crittografia in transito: TLS 1.2+ per tutte le comunicazioni
Crittografia a riposo: AES-256 per i dati memorizzati su Google Cloud
Autenticazione: Firebase Authentication con supporto 2FA (TOTP)
Controllo accessi: RBAC (Role-Based Access Control) per operatori dello Studio
Firestore Security Rules: Isolamento multi-tenant a livello di studio
Backup: Database con ripristino a un istante degli ultimi 7 giorni e backup settimanale conservato 98 giorni (Zurigo); documenti con copia giornaliera a Torino
Logging: Audit trail degli accessi e delle operazioni sensibili
Vulnerability management: Aggiornamenti regolari delle dipendenze, monitoraggio CVE
Incident response: Procedura di gestione data breach con notifica entro 72 ore all'autorità di controllo e senza indebito ritardo agli interessati (ove richiesto)

9. Modifiche alla presente informativa

Il Titolare si riserva di aggiornare la presente informativa. La versione vigente è sempre disponibile sulla Piattaforma. Modifiche sostanziali saranno comunicate via email con 30 giorni di anticipo.

Cookie Policy

Linee Guida Garante 10/06/2021 Art. 5.3 Direttiva ePrivacy

La presente Cookie Policy descrive i cookie e le tecnologie di tracciamento utilizzati sulla piattaforma Mastro e sul Portale Clienti, in conformità alle Linee Guida del Garante Privacy del 10 giugno 2021 e alla Direttiva ePrivacy (2002/58/CE, come modificata dalla 2009/136/CE).

1. Cosa sono i cookie

I cookie sono piccoli file di testo che vengono memorizzati sul dispositivo dell'utente durante la navigazione. Servono a memorizzare preferenze, gestire sessioni di autenticazione e, se autorizzati, raccogliere dati statistici sull'utilizzo del sito.

2. Tipologie di cookie utilizzati

2.1. Cookie strettamente necessari (tecnici)

Non richiedono consenso — Sono indispensabili per il funzionamento della Piattaforma e non possono essere disattivati.

Cookie / Storage	Finalità	Durata	Tipo
`firebase:authUser`	Sessione di autenticazione Firebase	Sessione (persistente con "Ricordami")	IndexedDB / localStorage
`optlyx_cookie_consent`	Memorizzazione delle preferenze cookie dell'utente	12 mesi	localStorage
`optlyx_2fa_verified`	Flag verifica autenticazione a due fattori	Sessione	sessionStorage
`optlyx_studio_id`	Identificativo studio corrente (multi-tenant)	Sessione	sessionStorage
`__session`	Cookie di sessione Firebase Hosting	Sessione	Cookie HTTP

2.2. Cookie analitici

La Piattaforma e il Portale Clienti non usano cookie analitici né strumenti di statistica di terze parti. Le statistiche del sito mastro.tax sono descritte nella cookie policy del sito.

2.3. Cookie di profilazione

La Piattaforma NON utilizza cookie di profilazione o di marketing di terze parti. Non vengono installati cookie per finalità pubblicitarie, retargeting o tracciamento cross-site.

3. Come gestire i cookie

L'utente può gestire le proprie preferenze cookie in tre modi:

Banner cookie: Al primo accesso viene mostrato un banner che permette di accettare tutti i cookie, rifiutare quelli non necessari, o personalizzare le scelte.
Impostazioni della Piattaforma: Nella sezione Impostazioni > Privacy è possibile modificare le preferenze in qualsiasi momento.
Impostazioni del browser: Ogni browser consente di gestire i cookie tramite le proprie impostazioni. La disattivazione dei cookie tecnici potrebbe impedire il corretto funzionamento della Piattaforma.

3.1. Link alle impostazioni cookie dei principali browser

4. Aggiornamenti alla Cookie Policy

La presente Cookie Policy può essere aggiornata periodicamente. In caso di modifiche che comportino l'introduzione di nuove categorie di cookie o nuove finalità di trattamento, il consenso sarà richiesto nuovamente tramite il banner.

5. Riferimenti normativi

Regolamento (UE) 2016/679 (GDPR)
D.Lgs. 196/2003 e s.m.i. (Codice Privacy)
Direttiva 2002/58/CE e s.m.i. (Direttiva ePrivacy)
Linee Guida Garante per la Protezione dei Dati Personali del 10 giugno 2021 — "Cookie e altri strumenti di tracciamento" (doc. web n. 9677876)
Provvedimento Garante dell'8 maggio 2014 — "Individuazione delle modalità semplificate per l'informativa e l'acquisizione del consenso per l'uso dei cookie"

Accordo sul Trattamento dei Dati (DPA)

Art. 28 GDPR Obbligatorio

A chi si applica: Il presente DPA regola il rapporto tra lo Studio (Titolare del Trattamento ai sensi dell'Art. 4 par. 7 GDPR) e Mastro S.r.l. (Responsabile del Trattamento ai sensi dell'Art. 4 par. 8 GDPR) per il trattamento dei dati personali dei Clienti dello Studio effettuato tramite la Piattaforma.

Nota per i Clienti dello Studio: Il vostro Studio professionale è il Titolare del trattamento dei vostri dati personali. Per qualsiasi richiesta relativa ai vostri dati, rivolgetevi al vostro Studio di riferimento.

1. Parti

Titolare del Trattamento ("Studio"): lo studio professionale che ha sottoscritto l'abbonamento a Mastro e ha firmato il presente DPA al primo accesso.
Responsabile del Trattamento ("Fornitore"): Mastro S.r.l., Corso di Porta Vigentina 13, 20122 Milano (MI), codice fiscale e P.IVA 14918810962, PEC: mastro@pec.cloud, email: hello@mastro.tax.

2. Oggetto e durata

2.1. Il presente DPA ha ad oggetto il trattamento dei dati personali dei Clienti dello Studio che il Fornitore effettua per conto dello Studio nell'ambito dell'erogazione del Servizio Mastro.

2.2. Il DPA è efficace per tutta la durata del contratto di abbonamento alla Piattaforma e per il periodo di conservazione dei dati successivo alla cessazione (30 giorni per l'export, poi la rotazione dei backup, oltre all'eventuale conservazione obbligatoria per legge), e comunque finché il Fornitore o i suoi sub-responsabili conservano dati dello Studio.

3. Natura e finalità del trattamento

Il Fornitore tratta i dati personali dei Clienti dello Studio esclusivamente per le seguenti finalità, su istruzione documentata dello Studio:

Memorizzazione e gestione delle anagrafiche clienti nell'infrastruttura cloud
Elaborazione e archiviazione di documenti fiscali, contabili e legali
Gestione scadenze, workflow e pratiche operative
Invio di comunicazioni per conto dello Studio (email, notifiche, WhatsApp)
Elaborazione tramite Moduli AI (classificazione documentale, analisi, suggerimenti) — su attivazione esplicita dello Studio
Agente vocale telefonico (Vapi) — su attivazione esplicita dello Studio
Gestione dell'accesso al Portale Clienti

4. Categorie di dati e interessati

Categorie di interessati	Categorie di dati
Clienti persone fisiche dello Studio	Dati anagrafici, CF, contatti (email, telefono, PEC), dati fiscali (dichiarazioni, F24, fatture), documenti di identità, dati bancari, documenti contrattuali
Clienti persone giuridiche (dati dei rappresentanti/referenti)	Dati del legale rappresentante, dati aziendali (P.IVA, ragione sociale, visure), dati contabili e fiscali societari
Dipendenti/collaboratori dei clienti dello Studio	Dati anagrafici, dati retributivi/contributivi (ove lo Studio gestisca anche consulenza del lavoro)

Categorie particolari (Art. 9 GDPR): Lo Studio si impegna a NON caricare sulla Piattaforma dati relativi a salute, origine razziale/etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati genetici/biometrici, vita sessuale/orientamento sessuale, salvo che ciò sia strettamente necessario per l'adempimento della prestazione professionale e previa comunicazione al Fornitore.

5. Obblighi del Responsabile (Fornitore)

Il Fornitore si impegna a (Art. 28.3 GDPR):

Trattare i dati solo su istruzione documentata dello Studio, incluso per quanto riguarda i trasferimenti extra-UE, salvo obblighi di legge UE o nazionale (in tal caso, informerà lo Studio prima del trattamento, salvo divieto di legge);
Garantire la riservatezza: assicurare che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un obbligo legale di riservatezza;
Adottare misure di sicurezza adeguate ai sensi dell'Art. 32 GDPR (vedi sezione 8 della Privacy Policy);
Sub-responsabili: non ricorrere a un altro responsabile del trattamento senza autorizzazione generale scritta dello Studio. Il Fornitore informa lo Studio di eventuali modifiche relative all'aggiunta o sostituzione di sub-responsabili con almeno 15 giorni di anticipo, dando allo Studio la possibilità di opporsi. Quando a cambiare sono i sub-responsabili di un fornitore che non dà preavviso (come Vapi, che pubblica la variazione e concede 10 giorni per opporsi), il Fornitore informa lo Studio entro 1 giorno lavorativo dalla pubblicazione. Lo Studio può opporsi entro 7 giorni di calendario dalla pubblicazione, e il Fornitore inoltra l'opposizione al fornitore, oppure disattivare il servizio interessato;
Assistenza allo Studio: assistere lo Studio nel dare seguito alle richieste degli interessati (artt. 15-22 GDPR) e negli obblighi di cui agli artt. 32-36 GDPR (sicurezza, notifica data breach, DPIA);
Cancellazione/restituzione: su scelta dello Studio, al termine del contratto, cancellare o restituire tutti i dati personali ed eliminare le copie esistenti, salvo obblighi di conservazione imposti dalla legge. Le copie nei backup del Fornitore si cancellano con la rotazione dei backup: 98 giorni di conservazione, più fino a 7 giorni nel cestino della copia. Per alcuni sub-responsabili (Vapi) il contratto non fissa un termine per la cancellazione di archivi e backup;
Audit: mettere a disposizione dello Studio tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'Art. 28, e consentire e contribuire ad attività di audit, comprese ispezioni, condotte dallo Studio o da un revisore da questi incaricato. Verso i sub-responsabili, gli audit si svolgono nei limiti dei rispettivi contratti (per Vapi, sulla documentazione).

6. Sub-responsabili autorizzati

Lo Studio autorizza in via generale il ricorso ai seguenti sub-responsabili:

Sub-responsabile	Attività di trattamento	Sede / Regione dati
Google Cloud Platform (Google Ireland Ltd)	Infrastruttura cloud, database, storage, computing	europe-west8 (Milano, IT) · europe-west12 (Torino, IT, copia dei documenti) · europe-west6 (Zurigo, CH) · europe-west1 (Belgio, UE). L'autenticazione è un servizio globale di Google
Google Cloud Vertex AI (Gemini)	Elaborazione AI per le funzioni attive nello Studio; alcune, come la classificazione notturna della posta, sono accese di default e si spengono dalle impostazioni	Unione europea (Vertex AI)
Google Workspace (Google Ireland Ltd)	Invio delle email di sistema (Gmail) e, se lo Studio li collega, posta e documenti di Gmail e Drive	Infrastruttura globale di Google, DPA Google Workspace e SCC
Anthropic PBC	Assistente esterno (Claude), solo se lo Studio lo collega tramite connettore	USA — SCC (UE) 2021/914 + DPA Anthropic
OpenAI OpCo, LLC	Assistente esterno (ChatGPT), solo se lo Studio lo collega tramite connettore	USA — SCC (UE) 2021/914 + DPA OpenAI
Dropbox International Unlimited Company	Sincronizzazione cloud storage (ove attivato dallo Studio)	Irlanda (UE) — SCC per trasferimenti sub
Stripe Payments Europe Ltd	Elaborazione pagamenti	Irlanda (UE) + USA (Stripe Inc.) — SCC + EU-US DPF + DPA Stripe
Meta Platforms Ireland Ltd	WhatsApp Business API (ove attivato)	Irlanda (UE) + USA — SCC + EU-US DPF + DPA Meta
Telegram Messenger Inc.	Canale per gli operatori dello Studio, se il titolare dello studio lo attiva. Gli avvisi non contengono dati dei clienti; le risposte alle domande dell'operatore e i documenti che invia passano da Telegram. Lo usa anche l'assistenza di Mastro per rispondere ai ticket degli studi	Fuori dallo SEE (dati degli utenti europei nei Paesi Bassi, secondo la sua informativa). Nessun accordo sul trattamento: Telegram non lo offre a chi usa i bot
Openapi S.p.A.	Fatture elettroniche verso lo SDI, visure camerali e marche temporali	Italia
OpenSanctions Datenbanken GmbH	Controlli antiriciclaggio su liste di sanzioni e persone politicamente esposte	Germania (UE)
Twilio Ireland Ltd	SMS dei codici di firma; numeri e registrazioni delle chiamate quando il centralino è Twilio (ove attivato)	Irlanda (UE) + USA — EU-US DPF + SCC + DPA Twilio
Vapi Inc.	Agente vocale telefonico, solo se attivato dallo Studio. Con l'attivazione lo Studio autorizza anche l'uso delle chiamate per migliorare il servizio di Vapi previsto dal suo DPA (Allegato I.B)	USA — SCC (UE) 2021/914 Modulo 3 + DPA Vapi

L'elenco completo dei fornitori, compresi quelli non riportati in tabella, con ruolo, accordo applicabile e base del trasferimento, è nel registro dei fornitori del Fornitore, disponibile su richiesta a hello@mastro.tax. Le variazioni si comunicano secondo il punto 5.d.

7. Trasferimenti internazionali

7.1. I documenti dello Studio sono ospitati in Italia (Google Cloud, regione europe-west8, Milano). Il database applicativo è ospitato in Svizzera (regione europe-west6, Zurigo), Paese oggetto di decisione di adeguatezza della Commissione Europea ai sensi dell'art. 45 GDPR. I documenti hanno una copia giornaliera a Torino (regione europe-west12). L'elaborazione applicativa avviene in Belgio (regione europe-west1) e a Milano (regione europe-west8), dove gira anche l'antivirus. Le email di sistema partono da Gmail (Google Workspace). Fanno eccezione i trasferimenti indicati al punto 4.1 dell'Informativa e al punto 6, con le garanzie del punto 7.2.

7.2. I trasferimenti extra-SEE dei sub-responsabili avvengono, secondo il Capo V del GDPR (artt. 44-49), sulla base di:

Decisioni di adeguatezza della Commissione Europea;
Clausole Contrattuali Standard (SCC) ai sensi della Decisione di Esecuzione (UE) 2021/914;
EU-US Data Privacy Framework per i fornitori certificati.

Fa eccezione Telegram, per cui non esiste un accordo sul trattamento né una delle garanzie sopra: il canale lo attiva il titolare dello studio, gli avvisi non contengono dati dei clienti, mentre le risposte alle domande dell'operatore e i documenti che invia passano da Telegram.

8. Notifica data breach

8.1. Il Fornitore notifica allo Studio qualsiasi violazione dei dati personali (data breach) entro 24 ore dalla scoperta. Per una violazione presso un sub-responsabile, le 24 ore decorrono da quando il sub-responsabile la comunica al Fornitore (per Vapi, entro 72 ore dalla sua scoperta). La notifica contiene:

Natura della violazione (categorie e numero approssimativo di interessati e di registrazioni coinvolti);
Nome e recapiti del referente privacy del Fornitore;
Probabili conseguenze della violazione;
Misure adottate o proposte per porre rimedio alla violazione e attenuarne gli effetti.

8.2. Lo Studio, in qualità di Titolare, è responsabile della notifica al Garante (entro 72 ore, Art. 33 GDPR) e della comunicazione agli interessati (Art. 34 GDPR), ove necessario. Il Fornitore assiste lo Studio in tali adempimenti.

9. DPIA — Valutazione d'impatto

9.1. Lo Studio, in qualità di Titolare, è responsabile dell'esecuzione della Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ove richiesta dall'Art. 35 GDPR.

9.2. Il Fornitore assiste lo Studio nella conduzione della DPIA fornendo le informazioni necessarie relative alle misure tecniche e organizzative adottate e alla natura del trattamento effettuato.

10. Registro delle attività di trattamento (ROPA)

Il Fornitore tiene un registro delle attività di trattamento effettuate per conto dello Studio ai sensi dell'Art. 30.2 GDPR. Lo Studio può consultare il proprio registro in Impostazioni > Privacy e documenti legali > Privacy dei clienti > Registro dei trattamenti.

11. Diritti dei Clienti dello Studio

11.1. I Clienti dello Studio possono esercitare i propri diritti (accesso, rettifica, cancellazione, portabilità, limitazione, opposizione) rivolgendosi direttamente allo Studio, in qualità di Titolare del trattamento.

11.2. Il Fornitore, ricevuta la richiesta dallo Studio, collabora per evadere le richieste degli interessati entro i termini di legge (30 giorni, prorogabili a 90).

11.3. Qualora un Cliente dello Studio contatti direttamente il Fornitore per esercitare i propri diritti, il Fornitore ne informerà tempestivamente lo Studio e non procederà autonomamente senza istruzione dello Studio.

12. Responsabilità e indennizzo

12.1. Lo Studio, in qualità di Titolare, è responsabile della liceità del trattamento e della corretta informativa ai propri Clienti.

12.2. Il Fornitore è responsabile per i danni causati dal trattamento solo se non ha adempiuto agli obblighi del GDPR specificatamente diretti ai responsabili del trattamento, o ha agito in modo difforme o contrario rispetto alle istruzioni dello Studio (Art. 82 GDPR).

13. Legge applicabile e foro competente

Il presente DPA è regolato dalla legge italiana. Per qualsiasi controversia è competente in via esclusiva il Foro di Busto Arsizio (VA).

Firma del DPA: Il DPA viene firmato digitalmente dallo Studio al primo accesso alla Piattaforma. Una copia firmata è disponibile in qualsiasi momento in Impostazioni > Privacy e documenti legali > Contratti e documenti, con possibilità di download in formato stampabile.

Addendum A al DPA: Fatture dal Portale Clienti (versione 1.1)

Il presente Addendum integra il DPA e vale solo per gli Studi che attivano le fatture dal Portale Clienti. Lo accetta il titolare dello Studio quando attiva il servizio nelle Impostazioni della Piattaforma, con una spunta che resta registrata (chi, quando, quale versione); senza l'accettazione il servizio non si attiva.

A.1. Ruoli. Per le fatture che i Clienti dello Studio emettono dal Portale e per quelle che vi ricevono dai fornitori, titolare del trattamento dei dati dei destinatari e dei fornitori è il Cliente. Lo Studio è suo responsabile, nominato con le condizioni del servizio che il Cliente accetta nel Portale (Termini, punto 11.5); il Fornitore è sub-responsabile dello Studio. Lo Studio garantisce di aver ricevuto dal Cliente la nomina e l'autorizzazione a ricorrere al Fornitore; il Portale la raccoglie per lui prima della prima fattura.

A.2. Finalità. Emissione e trasmissione delle fatture elettroniche dei Clienti dello Studio dal Portale, sul canale accreditato del Fornitore verso il Sistema di Interscambio o verso il programma di fatturazione che il Cliente collega; ricezione, sullo stesso canale, delle fatture dei fornitori per i Clienti che la attivano; consultazione delle fatture e della rubrica dei destinatari da parte del Cliente e dello Studio.

A.3. Dati e interessati. Clienti dei Clienti dello Studio (imprese, professionisti, persone fisiche destinatarie delle fatture): denominazione o nome e cognome, partita IVA, codice fiscale, indirizzo, codice destinatario o PEC, descrizione e importi di quanto fatturato, esito della trasmissione. Fornitori dei Clienti dello Studio (mittenti delle fatture ricevute): denominazione o nome e cognome, partita IVA, codice fiscale, indirizzo, descrizione e importi di quanto fatturato.

A.4. Programmi del Cliente. I programmi di fatturazione che il Cliente collega (ad esempio Fatture in Cloud, SuperBill, Aruba Fatturazione Elettronica) non sono sub-responsabili del Fornitore: li sceglie e li contratta il Cliente, che istruisce il Fornitore a trasmettere loro le fatture. L'Agenzia delle Entrate riceve le fatture come destinataria per legge.

A.5. Misure. Codici di accesso ai programmi collegati cifrati e mai leggibili dal browser; password di Aruba non conservata; invio di ogni fattura solo su conferma del Cliente; ricezione instradata solo su una partita IVA verificata dal Fornitore, e ogni fattura ricevuta accettata solo se il cessionario è il Cliente; nessuna funzione di intelligenza artificiale su queste fatture.

A.6. Conservazione e fine del servizio. Il Fornitore tiene le fatture e la rubrica per la durata del servizio; alla cessazione si applica il punto 5 del DPA (export, poi cancellazione). La conservazione a norma resta a carico del Cliente che emette.