Informativa sulla Privacy

1. Titolare e Responsabile del Trattamento

FiscalBot è un servizio fornito da Mediaverse Technology S.r.l. ICC, sede legale in Corso di Porta Romana 6, 20122 Milano, P. IVA IT12630450968 ("FiscalBot", "noi").

Email: owner@mediaversetechnology.com
PEC: mediaverse@pec.it

1.1 Due ruoli distinti

• Per i dati degli utenti dello studio (account, fatturazione, log di utilizzo, comunicazioni di servizio) FiscalBot è Titolare del trattamento.
• Per i dati dei contribuenti (documenti fiscali, anagrafiche dei clienti dello studio, messaggi inviati via WhatsApp o Telegram) il Titolare è lo studio professionale o il CAF che utilizza FiscalBot; FiscalBot agisce come Responsabile del trattamento (art. 28 GDPR) sulla base dell'accordo di trattamento dati incluso nei Termini di Servizio, e tratta tali dati solo per erogare il servizio allo studio.

Se sei un contribuente che invia documenti al proprio commercialista tramite FiscalBot, il tuo interlocutore per l'esercizio dei diritti è lo studio che ti segue; FiscalBot collabora con lo studio per dare seguito alle richieste.

2. Base Giuridica e Finalità del Trattamento

I dati personali vengono trattati in conformità al Regolamento UE 2016/679 (GDPR) per le seguenti finalità:

• Erogazione del servizio (Art. 6.1.b GDPR - Esecuzione contrattuale):
  Gestione dell'account dello studio, ricezione dei documenti via WhatsApp, Telegram o caricamento web, lettura automatica (OCR) e classificazione tramite intelligenza artificiale, calcolo della completezza della pratica, archiviazione dei documenti, comunicazioni di servizio.
• Adempimenti legali (Art. 6.1.c GDPR - Obbligo legale):
  Conservazione dei dati di fatturazione per gli obblighi fiscali e contabili previsti dalla legislazione italiana ed europea.
• Legittimo interesse (Art. 6.1.f GDPR):
  Sicurezza informatica, prevenzione di abusi, monitoraggio tecnico del servizio.
• Consenso (Art. 6.1.a GDPR):
  Cookie analitici sul sito pubblico e invio di comunicazioni marketing (revocabile in qualsiasi momento).

2.1 Categorie particolari di dati (Art. 9 GDPR)

I documenti fiscali necessari alla dichiarazione dei redditi possono contenere dati appartenenti a categorie particolari, in primo luogo dati relativi alla salute (spese mediche, ticket, farmaci, dispositivi). FiscalBot tratta questi dati esclusivamente come Responsabile, per conto dello studio Titolare, che li raccoglie nell'ambito del mandato professionale con il contribuente e che è tenuto ad acquisire dal contribuente il consenso o altra condizione di liceità ai sensi dell'art. 9.2 GDPR. FiscalBot non ne fa alcun uso proprio.

Le scelte di destinazione dell'8, 5 e 2 per mille (che possono rivelare convinzioni religiose o opinioni politiche) non vengono raccolte né precompilate da FiscalBot: restano una decisione firmata dal contribuente con lo studio.

3. Tipologie di Dati Raccolti

3.1 Dati Identificativi degli utenti dello studio

• Nome, cognome, email, password (conservata in forma cifrata)
• Ragione sociale, Partita IVA, Codice Fiscale, indirizzo, PEC e codice destinatario SDI dello studio (per la fatturazione)
• Numero di telefono (opzionale, per supporto)

3.2 Dati dei contribuenti seguiti dallo studio

• Anagrafica del cliente inserita dallo studio (nome, codice fiscale, numero di telefono o identificativo Telegram usato per il collegamento, profilo fiscale)
• Contenuto dei documenti caricati o inviati via chat (fatture, ricevute, scontrini, certificazioni, ecc.), inclusi eventuali dati relativi alla salute (Sezione 2.1)
• Metadati dei documenti (data di ricezione, canale, dimensione, formato) e dati estratti automaticamente (categoria, importi, date, codici fiscali)
• Messaggi scambiati con l'assistente automatico su WhatsApp e Telegram, limitatamente a quanto necessario per collegare il contribuente allo studio e ricevere i documenti
• Annotazioni, correzioni e approvazioni apportate dallo studio

3.3 Dati Tecnici e di Navigazione

• Indirizzo IP, user agent, tipo di dispositivo
• Log applicativi e telemetria del servizio (senza contenuto dei documenti)
• Cookie tecnici e, previo consenso, analitici (Sezione 9)

3.4 Dati della candidatura al pilota

Se candidi il tuo studio tramite il modulo /pilota raccogliamo nome dello studio, tipologia (commercialista, consulente del lavoro, CAF o altro), città e provincia, fascia del numero di clienti persone fisiche seguiti ogni anno, gestionale utilizzato (facoltativo), nome e cognome del referente, email, telefono e messaggio (facoltativo). Registriamo inoltre la scelta sul consenso necessario per essere ricontattati e, separatamente e facoltativamente, quella sul consenso alle comunicazioni commerciali.

Usiamo i dati della candidatura per valutare la richiesta e ricontattarti in merito al pilota. La base giuridica del contatto è l'esecuzione di misure precontrattuali adottate su tua richiesta (art. 6.1.b GDPR); le comunicazioni commerciali si basano sul consenso separato e facoltativo (art. 6.1.a GDPR), revocabile in qualsiasi momento. Conserviamo i dati per 24 mesi dalla candidatura, poi li cancelliamo. Non adottiamo decisioni automatizzate, compresa la profilazione, sulla candidatura.

3.5 Dati di Pagamento

• I pagamenti sono gestiti da Stripe (provider esterno certificato PCI-DSS)
• Non conserviamo i dati completi delle carte di pagamento
• Riceviamo da Stripe identificativi del cliente e dell'abbonamento, esito delle transazioni e fatture

4. Modalità di Trattamento

I dati sono trattati con strumenti automatizzati e, per la revisione dei documenti, dagli operatori dello studio. Misure adottate:

• Cifratura: comunicazioni cifrate in transito (TLS, versione minima 1.2) e dati cifrati a riposo dai servizi di archiviazione Microsoft Azure
• Isolamento per studio: ogni studio (tenant) accede esclusivamente ai propri dati; le query sono vincolate all'identificativo dello studio
• Accesso controllato: autenticazione con sessione a breve durata e ruoli (titolare, amministratore, collaboratore) all'interno dello studio; accesso del personale FiscalBot ai documenti solo su richiesta di supporto dello studio
• Backup: backup automatici del database gestito Azure con conservazione di 35 giorni; in produzione, backup settimanali a lungo termine del database conservati per 90 giorni con ridondanza geografica nella regione UE appaiata; versioni e cancellazioni dei file recuperabili per 90 giorni
• Registro delle operazioni: le richieste di esportazione e cancellazione dei dati sono registrate in un registro di audit GDPR

4.1 Intelligenza artificiale e decisione umana

La classificazione dei documenti e l'estrazione dei dati sono effettuate da modelli di intelligenza artificiale. Nessuna decisione fiscale è presa automaticamente: ogni classificazione è una proposta che lo studio rivede e approva, e le regole fiscali (aliquote, massimali, righi dichiarativi) sono applicate da regole deterministiche del software, non dal modello. L'assistente su WhatsApp e Telegram dichiara di essere un sistema automatico al primo contatto (art. 50 AI Act). Resta in capo allo studio il dovere di informare i propri clienti che l'intelligenza artificiale supporta, senza sostituirla, la sua prestazione professionale (art. 13 L. 132/2025): il messaggio del bot lo affianca, non lo sostituisce.

5. Conservazione dei Dati

FiscalBot non applica cancellazioni automatiche ai documenti di uno studio con abbonamento attivo: la durata di conservazione dei documenti dei contribuenti è definita dallo studio Titolare in base ai propri obblighi professionali, e lo studio può eliminare documenti e clienti in qualsiasi momento dal backoffice. Le cancellazioni gestite automaticamente dal software sono le seguenti:

• Cancellazione dell'account richiesta dallo studio: tutti i dati dello studio (documenti, clienti, utenti) vengono eliminati definitivamente 30 giorni dopo la richiesta, o alla fine del periodo di abbonamento già pagato se successivo; nel frattempo la richiesta è revocabile e i dati sono esportabili. Promemoria via email 7 giorni e 1 giorno prima della cancellazione.
• Account sospeso (ad esempio per abbonamento cessato): i documenti vengono contrassegnati come eliminati dopo 90 giorni dalla sospensione e cancellati definitivamente 30 giorni dopo.
• Documenti eliminati dallo studio: cancellazione definitiva 30 giorni dopo l'eliminazione.
• Log delle email di notifica: 90 giorni.
• Codici di collegamento (FB-XXXXXX): validi 30 minuti; una volta scaduti non sono più utilizzabili e lo studio ne genera uno nuovo.
• Dati di fatturazione: per la durata prevista dagli obblighi fiscali e contabili di legge.
• Dati marketing: fino a revoca del consenso.

I backup del database (35 giorni per i backup continui, 90 giorni per i backup settimanali a lungo termine in produzione) e le versioni dei file (90 giorni) possono conservare copie dei dati anche dopo la cancellazione: i dati possono quindi persistere nei backup fino a 90 giorni dalla cancellazione, e vengono poi sovrascritti.

6. Comunicazione e Condivisione dei Dati

I dati personali possono essere comunicati a:

6.1 Fornitori di Servizi (Sub-responsabili del Trattamento)

• Microsoft Azure: hosting dell'applicazione (Azure Container Apps), database (Azure Database for PostgreSQL), archiviazione dei documenti (Azure Blob Storage), cache, email transazionali (Azure Communication Services) e monitoraggio tecnico (Application Insights). Regione: North Europe (Dublino, Irlanda).
• Microsoft Azure AI Foundry e Azure AI Content Understanding: lettura automatica (OCR) e classificazione dei documenti con modelli OpenAI erogati da Microsoft Azure. I documenti non vengono utilizzati da Microsoft per addestrare i modelli. I dati a riposo restano nell'Unione Europea; le elaborazioni (inferenza) usano attualmente la modalità "Global Standard" di Azure OpenAI e possono quindi essere eseguite in qualsiasi regione Azure nel mondo, con le garanzie della Sezione 7. È pianificato il passaggio alla modalità con elaborazione limitata all'UE ("EU Data Zone"), senza una data definita.
• Meta Platforms Ireland (WhatsApp Business Platform): ricezione e invio dei messaggi WhatsApp tra il contribuente e lo studio, quando il canale WhatsApp è attivo.
• Telegram (Telegram Bot API): ricezione e invio dei messaggi Telegram, quando il canale Telegram è attivo.
• Stripe: gestione dei pagamenti e delle fatture esclusivamente per gli abbonamenti già esistenti.
• Resend: invio delle email del modulo di contatto e delle candidature al pilota, con i dati inseriti nei rispettivi moduli.
• Google (Google Analytics 4): statistiche di utilizzo del sito pubblico, solo previo consenso (Sezione 9).

I fornitori trattano i dati in base ai rispettivi accordi di trattamento dati (DPA) e alle Clausole Contrattuali Standard ove necessario. L'elenco è aggiornato a ogni modifica dell'infrastruttura.

6.2 Autorità Competenti

I dati possono essere comunicati ad autorità giudiziarie, fiscali o di polizia in caso di richieste legittime o obblighi di legge.

7. Trasferimenti Internazionali

Documenti, database e backup sono conservati nella regione Microsoft Azure North Europe (Dublino, Irlanda); i backup settimanali a lungo termine sono replicati nella regione UE appaiata (West Europe, Paesi Bassi). Possono comportare trasferimenti o elaborazioni fuori dall'Unione Europea:

• l'inferenza dei modelli di intelligenza artificiale in modalità "Global Standard" (Sezione 6.1), coperta dai Data Processing Terms di Microsoft e dalle Clausole Contrattuali Standard UE;
• la messaggistica tramite WhatsApp (Meta) e Telegram, che operano infrastrutture globali secondo le rispettive informative;
• i servizi di Stripe, Resend e Google, con sede o infrastrutture negli Stati Uniti, che aderiscono al EU-US Data Privacy Framework o applicano le Clausole Contrattuali Standard UE.

8. Diritti dell'Interessato

In conformità agli articoli 15-22 del GDPR, hai diritto a:

• Accesso (Art. 15): Ottenere conferma dell'esistenza dei tuoi dati e riceverne copia
• Rettifica (Art. 16): Correggere dati inesatti o incompleti
• Cancellazione (Art. 17): Richiedere la cancellazione dei dati ("diritto all'oblio")
• Limitazione (Art. 18): Limitare il trattamento in casi specifici
• Portabilità (Art. 20): Ricevere i dati in formato strutturato e leggibile (esportazione JSON/CSV e ZIP dei documenti dal backoffice)
• Opposizione (Art. 21): Opporti al trattamento per marketing o legittimo interesse
• Revoca consenso (Art. 7.3): Revocare il consenso senza pregiudicare la liceità passata
• Reclamo (Art. 77): Presentare reclamo al Garante Privacy italiano

Come esercitare i diritti:

• Utenti dello studio: Impostazioni → Gestione Dati nel backoffice (esportazione e cancellazione dell'account), oppure email a owner@mediaversetechnology.com
• Contribuenti: rivolgiti allo studio che ti segue (Titolare); in alternativa scrivi a owner@mediaversetechnology.com e inoltreremo la richiesta allo studio
• Posta: Mediaverse Technology S.r.l. ICC, Corso di Porta Romana 6, 20122 Milano

Risponderemo entro 30 giorni dalla richiesta (estendibili a 60 giorni per richieste complesse, con notifica entro i primi 30 giorni).

9. Cookie e Tecnologie di Tracciamento

9.1 Cookie Tecnici (sempre attivi)

• fiscalbot_access_token: sessione dell'utente autenticato nel backoffice (cookie HttpOnly, scadenza 15 minuti)
• fiscalbot_refresh_token: rinnovo della sessione (cookie HttpOnly, scadenza 7 giorni)
• cookie-consent (memoria locale del browser): registra la scelta espressa nel banner cookie del sito pubblico

9.2 Cookie Analitici (previo consenso)

• Google Analytics 4: statistiche di utilizzo del sito pubblico. Il consenso è negato per impostazione predefinita (Consent Mode) e viene attivato solo se accetti i cookie analitici nel banner.

Non utilizziamo cookie di profilazione pubblicitaria né strumenti di registrazione delle sessioni.

9.3 Gestione Cookie

Puoi modificare le preferenze cookie in qualsiasi momento tramite:

• Banner cookie alla prima visita del sito (la scelta è conservata nel browser; cancellando i dati del sito il banner viene riproposto)
• Impostazioni del browser (vedi guide per Chrome, Firefox, Safari, Edge)

9.4 Servizio di chat live (Chatwoot)

Quando attivo, il sito pubblico utilizza il servizio di chat live Chatwoot, installato su infrastruttura Microsoft Azure nella regione North Europe (Dublino, Irlanda). Per il funzionamento del servizio vengono utilizzati cookie funzionali (cw_conversation_*, cw_widget_*) necessari a mantenere lo stato della conversazione tra le pagine del sito. Questi cookie sono classificati come tecnici/funzionali ai sensi dell'art. 122 D.Lgs. 196/2003 e non richiedono consenso preventivo. Le conversazioni e i dati personali eventualmente forniti dall'utente (nome, email) sono trattati secondo la presente Privacy Policy e cancellabili su richiesta all'indirizzo owner@mediaversetechnology.com.

10. Sicurezza dei Dati

Misure tecniche e organizzative in essere:

10.1 Misure Tecniche

• Cifratura TLS (versione minima 1.2) per tutte le comunicazioni
• Cifratura a riposo di database e file gestita da Microsoft Azure
• Segreti e chiavi conservati in Azure Key Vault
• Isolamento dei dati per studio a livello applicativo, con test automatici che verificano il vincolo
• Autenticazione tra i servizi interni con chiave dedicata; log applicativi senza dati personali dei documenti
• Limiti di frequenza sulle richieste e protezione contro abusi

10.2 Misure Organizzative

• Accesso all'infrastruttura limitato al team di sviluppo, con principio del minimo privilegio
• Registro di audit delle richieste GDPR (esportazione, cancellazione)
• Notifica al Garante delle violazioni dei dati personali entro 72 ore, ove richiesto dall'art. 33 GDPR, e allo studio Titolare senza ingiustificato ritardo

FiscalBot non dichiara certificazioni (es. ISO 27001) né penetration test di terzi che non siano stati effettivamente eseguiti; eventuali attestazioni saranno indicate qui quando disponibili.

11. Minori

FiscalBot è un servizio B2B destinato a professionisti e CAF. I documenti fiscali trattati per conto dello studio possono riguardare familiari a carico, anche minori: in tal caso il trattamento avviene nell'ambito del mandato tra lo studio e il contribuente. Non raccogliamo consapevolmente dati di minori al di fuori di questo contesto.

12. Modifiche alla Privacy Policy

Questa informativa può essere aggiornata per adeguamenti normativi, nuove funzionalità o cambi di fornitori. Le modifiche sostanziali saranno notificate via email agli studi con 30 giorni di preavviso. La versione aggiornata sarà sempre disponibile su questa pagina con data di aggiornamento.

13. Contatti

Per qualsiasi domanda, richiesta o reclamo riguardante il trattamento dei tuoi dati personali:

• Privacy e questioni legali: owner@mediaversetechnology.com
• Titolare: Mediaverse Technology S.r.l. ICC, Corso di Porta Romana 6, 20122 Milano, P. IVA IT12630450968
• Supporto tecnico: support@fiscal.bot
• Garante Privacy (Italia): www.garanteprivacy.it