Informativa sulla Privacy

1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali è FiscalBot S.r.l., con sede legale in Italia.

Email: privacy@fiscal.bot
PEC: fiscalbot@pec.it

2. Base Giuridica e Finalità del Trattamento

I dati personali vengono trattati in conformità al Regolamento UE 2016/679 (GDPR) per le seguenti finalità:

• Erogazione del servizio (Art. 6.1.b GDPR - Esecuzione contrattuale):
  Gestione dell'account utente, elaborazione documenti fiscali, classificazione automatica tramite AI, archiviazione sicura dei documenti, gestione delle comunicazioni di servizio.
• Adempimenti legali (Art. 6.1.c GDPR - Obbligo legale):
  Conservazione dati per obblighi fiscali, contabili e normativi previsti dalla legislazione italiana ed europea.
• Legittimo interesse (Art. 6.1.f GDPR):
  Miglioramento del servizio, analisi statistiche anonimizzate, sicurezza informatica, prevenzione frodi.
• Consenso (Art. 6.1.a GDPR):
  Invio di comunicazioni marketing (revocabile in qualsiasi momento).

3. Tipologie di Dati Raccolti

3.1 Dati Identificativi

• Nome, cognome, email
• Codice Fiscale e Partita IVA (per professionisti)
• Ragione sociale e dati aziendali (per studi professionali)
• Numero di telefono (opzionale, per supporto)

3.2 Dati dei Documenti Fiscali

• Contenuto dei documenti caricati (fatture, ricevute, scontrini, etc.)
• Metadati dei documenti (data caricamento, dimensione, formato)
• Dati estratti tramite AI (classificazione, importi, date, codici fiscali)
• Annotazioni e modifiche apportate dagli utenti

3.3 Dati Tecnici e di Navigazione

• Indirizzo IP, user agent, tipo di dispositivo
• Log di accesso e utilizzo del servizio
• Cookie tecnici e funzionali (vedi Sezione Cookie)

3.4 Dati di Pagamento

• I pagamenti sono gestiti da Stripe Inc. (provider esterno certificato PCI-DSS)
• Non conserviamo dati completi di carte di credito
• Riceviamo solo conferme transazionali e identificativi criptati

4. Modalità di Trattamento

I dati personali sono trattati con strumenti automatizzati e manuali, garantendo:

• Crittografia end-to-end: I documenti sono crittografati in transito (TLS 1.3) e a riposo (AES-256)
• Accesso controllato: Solo personale autorizzato può accedere ai dati, con autenticazione a più fattori
• Backup sicuri: Backup automatici giornalieri crittografati, conservati in datacenter europei
• Audit trail: Log completo di tutte le operazioni sui dati sensibili

5. Conservazione dei Dati

I dati personali vengono conservati per i seguenti periodi:

• Dati account e documenti: Per tutta la durata del contratto + 10 anni (obblighi fiscali italiani)
• Log tecnici: 12 mesi (sicurezza informatica)
• Dati marketing: Fino a revoca del consenso
• Dati di supporto: 24 mesi dalla chiusura del ticket

Al termine del periodo di conservazione, i dati vengono cancellati in modo sicuro e irreversibile, salvo obblighi di legge contrari.

6. Comunicazione e Condivisione dei Dati

I dati personali possono essere comunicati a:

6.1 Fornitori di Servizi (Responsabili del Trattamento)

• Amazon Web Services (AWS): Hosting cloud e storage (datacenter UE - Francoforte)
• OpenAI / Anthropic: Elaborazione AI per classificazione documenti (dati anonimizzati)
• Stripe: Gestione pagamenti (certificato PCI-DSS)
• SendGrid / Mailgun: Invio email transazionali
• Sentry: Monitoraggio errori e performance (dati pseudonimizzati)

Tutti i fornitori sono selezionati in base a criteri rigorosi di conformità GDPR e firmano accordi di Data Processing Agreement (DPA).

6.2 Autorità Competenti

I dati possono essere comunicati ad autorità giudiziarie, fiscali o di polizia in caso di richieste legittime o obblighi di legge.

7. Trasferimenti Internazionali

I dati sono conservati esclusivamente in datacenter europei (AWS EU-Central-1 - Francoforte). Eventuali trasferimenti extra-UE avvengono solo con garanzie adeguate:

• Clausole Contrattuali Standard UE (SCC)
• Decisioni di adeguatezza della Commissione Europea
• Binding Corporate Rules (BCR) per fornitori multinazionali

8. Diritti dell'Interessato

In conformità agli articoli 15-22 del GDPR, hai diritto a:

• Accesso (Art. 15): Ottenere conferma dell'esistenza dei tuoi dati e ricevere copia
• Rettifica (Art. 16): Correggere dati inesatti o incompleti
• Cancellazione (Art. 17): Richiedere la cancellazione dei dati ("diritto all'oblio")
• Limitazione (Art. 18): Limitare il trattamento in casi specifici
• Portabilità (Art. 20): Ricevere i dati in formato strutturato e leggibile (JSON/CSV)
• Opposizione (Art. 21): Opporti al trattamento per marketing o legittimo interesse
• Revoca consenso (Art. 7.3): Revocare il consenso senza pregiudicare la liceità passata
• Reclamo (Art. 77): Presentare reclamo al Garante Privacy italiano

Come esercitare i diritti:

• Email: privacy@fiscal.bot
• Pannello utente: Impostazioni → Privacy e Dati
• Posta raccomandata: FiscalBot S.r.l., [Indirizzo completo]

Risponderemo entro 30 giorni dalla richiesta (estendibili a 60 giorni per richieste complesse, con notifica entro i primi 30 giorni).

9. Cookie e Tecnologie di Tracciamento

9.1 Cookie Tecnici (sempre attivi)

• next-auth.session-token: Sessione utente autenticato (scadenza: 30 giorni)
• next-auth.csrf-token: Protezione CSRF (scadenza: sessione browser)
• fiscalbot-preferences: Preferenze UI (tema, lingua) (scadenza: 1 anno)

9.2 Cookie Analitici (previo consenso)

• Google Analytics (GA4): Statistiche anonimizzate di utilizzo (IP mascherato)
• Hotjar: Heatmap e session recording (solo aree non sensibili)

9.3 Gestione Cookie

Puoi modificare le preferenze cookie in qualsiasi momento tramite:

• Banner cookie (prima visita)
• Impostazioni → Privacy e Cookie
• Impostazioni browser (vedi guide per Chrome, Firefox, Safari, Edge)

10. Sicurezza dei Dati

Implementiamo misure tecniche e organizzative avanzate:

10.1 Misure Tecniche

• Crittografia TLS 1.3 per tutte le comunicazioni
• Crittografia AES-256 per storage documenti
• Autenticazione a due fattori (2FA) obbligatoria per admin
• Firewall applicativo (WAF) e protezione DDoS
• Scansione vulnerabilità automatica (weekly)
• Penetration testing annuale da parte di società esterne

10.2 Misure Organizzative

• Formazione GDPR obbligatoria per tutti i dipendenti
• Politiche di access control e least privilege
• Incident response plan documentato e testato
• Data breach notification entro 72 ore al Garante
• Audit annuali ISO 27001 (certificazione in corso)

11. Minori

FiscalBot è un servizio B2B destinato esclusivamente a professionisti e aziende. Non raccogliamo consapevolmente dati di minori di 18 anni. Se veniamo a conoscenza di dati di minori raccolti involontariamente, procediamo alla cancellazione immediata.

12. Modifiche alla Privacy Policy

Questa informativa può essere aggiornata per adeguamenti normativi o nuove funzionalità. Le modifiche sostanziali saranno notificate via email con 30 giorni di preavviso. La versione aggiornata sarà sempre disponibile su questa pagina con data di aggiornamento.

13. Contatti

Per qualsiasi domanda, richiesta o reclamo riguardante il trattamento dei tuoi dati personali:

• Data Protection Officer (DPO): dpo@fiscal.bot
• Privacy generale: privacy@fiscal.bot
• Supporto tecnico: support@fiscal.bot
• Garante Privacy (Italia): www.garanteprivacy.it