Informativa Privacy — Piattaforma e Servizi AI

StudioAgent S.r.l.

Via Martin Lutero 5 — 20126 Milano (MI) · P. IVA / C.F. 14642270962

Email: privacy@studioagent.it — PEC: studioagent@pec-mail.it

Ultimo aggiornamento: 26 giugno 2026

Indice

1. Definizioni
2. Sezione 1 — StudioAgent come Titolare del Trattamento
3. Sezione 2 — StudioAgent come Responsabile del Trattamento
4. Trasferimenti Internazionali dei Dati
5. Politica "No-Training" — Blindatura dei Dati
6. Pseudonimizzazione e Minimizzazione all'Ingresso
7. Tempi di Conservazione (Data Retention)
8. Diritti degli Interessati
9. Sicurezza dei Dati
10. Modifiche alla presente Informativa
11. Contatti

1. Definizioni

Sezione 1 — StudioAgent come Titolare del Trattamento

Questa sezione riguarda i dati dei Clienti diretti di StudioAgent (studi di amministrazione condominiale e professionisti che sottoscrivono un abbonamento).

1.1 Dati Personali Trattati

1.2 Finalità e Basi Giuridiche

1.3 Tempi di Conservazione

1.4 Destinatari dei Dati

I dati dei Clienti potranno essere comunicati esclusivamente a:

• —Stripe Payments Europe, Ltd. / Stripe, Inc.: per l'elaborazione sicura dei pagamenti e la gestione degli abbonamenti.
• —Resend, Inc.: per l'invio di email transazionali e comunicazioni operative (conferme d'ordine, notifiche di sistema, report e notifiche di handoff). Il contenuto di tali email può includere dati personali relativi agli utenti finali — ad esempio il nominativo e l'oggetto della segnalazione di un condòmino in una notifica di handoff.
• —Google Ireland Ltd.: per l'hosting dell'infrastruttura cloud e l'integrazione con i servizi Google (Gmail, Calendar) autorizzata dal Cliente tramite OAuth.
• —Iubenda S.r.l.: per la gestione del consenso ai cookie e la generazione della privacy policy del sito web.
• —Commercialista e consulenti fiscali: per l'assolvimento degli obblighi contabili e tributari.
• —Autorità competenti: ove richiesto da un obbligo di legge inderogabile.

L'elenco completo e aggiornato dei fornitori tecnologici è consultabile alla pagina Sub-Responsabili (Subprocessors).

Sezione 2 — StudioAgent come Responsabile del Trattamento

Questa sezione riguarda i dati degli Utenti Finali (condòmini, proprietari, inquilini, portinai, fornitori) le cui comunicazioni vengono elaborate dalla Piattaforma per conto del Cliente (l'amministratore di condominio).

2.1 Dichiarazione del Ruolo (Art. 28 GDPR)

Quando un Utente Finale invia un messaggio WhatsApp, effettua una chiamata telefonica o scrive un'email al recapito configurato dal Cliente sulla Piattaforma StudioAgent, il Titolare del Trattamento dei dati personali è e resta esclusivamente l'Amministratore di Condominio (il Cliente), il quale determina le finalità e i mezzi del trattamento nell'ambito del proprio mandato di gestione condominiale.

StudioAgent S.r.l. agisce esclusivamente in qualità di Responsabile del Trattamento ai sensi dell'Art. 28 del GDPR, trattando i dati degli Utenti Finali:

• —unicamente sulla base delle istruzioni documentate del Titolare, così come risultano dalla configurazione delle funzionalità nella dashboard e dal DPA sottoscritto;
• —per le sole finalità strettamente necessarie all'erogazione del servizio contrattuale;
• —senza alcun rapporto giuridico diretto con gli Utenti Finali e senza determinare autonomamente finalità proprie per il trattamento dei loro dati.

2.2 Dati Personali degli Utenti Finali Trattati

2.3 Funzionamento dell'Intelligenza Artificiale — Trasparenza

Ai sensi del Regolamento (UE) 2024/1689 (AI Act, Art. 50) e dei principi di trasparenza del GDPR (Artt. 13-14), informiamo che la Piattaforma utilizza sistemi di intelligenza artificiale secondo il flusso di elaborazione di seguito descritto.

2.3.1 Trascrizione e Sintesi Vocale (STT / TTS)

Quando un Utente Finale effettua una chiamata telefonica al centralino configurato dal Cliente:

• —Registrazione audio: la chiamata viene registrata per consentirne l'elaborazione automatizzata.
• —Speech-To-Text (STT): l'audio vocale viene trasmesso in tempo reale al servizio di ElevenLabs Inc. (Sub-Responsabile con sede negli USA), che effettua la trascrizione automatica del parlato in testo.
• —Text-To-Speech (TTS): le risposte generate dall'assistente vocale AI vengono convertite in voce sintetizzata tramite il medesimo servizio di ElevenLabs Inc., producendo la "voce" dell'assistente che l'utente ascolta.
• —Conservazione: la trascrizione testuale viene conservata per la gestione del ticket. L'audio originale viene conservato secondo i tempi indicati alla Sezione 7.

2.3.2 Elaborazione Semantica (LLM)

Il testo ottenuto — sia dalla trascrizione vocale, sia dai messaggi WhatsApp, sia dalle email — viene analizzato tramite i modelli di linguaggio di grandi dimensioni (LLM) forniti dai seguenti Sub-Responsabili:

• —Google Cloud AI (Vertex AI) — Google Ireland Ltd. (infrastruttura EU): per l'elaborazione semantica primaria, la categorizzazione delle richieste e la generazione delle bozze di risposta.
• —Anthropic, PBC — (API Claude, sede USA): per l'analisi semantica avanzata, la classificazione delle segnalazioni e la redazione automatica delle risposte per conto dell'amministratore.

Il sistema di intelligenza artificiale:

• —categorizza la segnalazione per tipologia (es. guasto urgente, richiesta documentale, comunicazione generica) e livello di priorità;
• —prepara una bozza di risposta coerente con i regolamenti condominiali, lo storico e le preferenze configurate dal Cliente;
• —non assume decisioni autonome: ogni azione sostanziale (invio di risposte definitive, attivazione di fornitori, approvazione di interventi) resta sotto il controllo e la supervisione umana dell'Amministratore e dei collaboratori dello Studio, salvo diversa configurazione esplicita del Cliente.

2.3.3 Canali di Comunicazione — Instradamento

4. Trasferimenti Internazionali dei Dati

4.1 Localizzazione Primaria dei Dati

I database di produzione della Piattaforma e lo storage primario dei dati risiedono all'interno dell'Unione Europea:

4.2 Trasferimenti verso Paesi Terzi (USA)

Per l'elaborazione attraverso le API di intelligenza artificiale, alcune categorie di dati vengono trasmesse a fornitori con sede negli Stati Uniti d'America. Tali trasferimenti sono presidiati dalle seguenti garanzie, conformi al Capo V del GDPR (Artt. 44-49) e alla giurisprudenza della Corte di Giustizia UE (Schrems II, Causa C-311/18):

Le Clausole Contrattuali Standard (SCC) utilizzate sono quelle adottate dalla Commissione Europea con Decisione di Esecuzione (UE) 2021/914 del 4 giugno 2021. Il Data Privacy Framework (DPF) è il quadro di adeguatezza UE-USA riconosciuto dalla Commissione Europea con Decisione di Adeguatezza del 10 luglio 2023.

L'elenco completo e sempre aggiornato dei Sub-Responsabili è disponibile alla pagina: Sub-Responsabili del Trattamento (Subprocessors).

5. Politica "No-Training" — Blindatura dei Dati

StudioAgent S.r.l. dichiara formalmente e garantisce contrattualmente che:

• —Nessun dato personale, trascrizione testuale, email, traccia vocale o qualsiasi altro contenuto generato dagli Utenti Finali o dai Clienti viene utilizzato da StudioAgent per addestrare, migliorare, fare fine-tuning o comunque perfezionare modelli di intelligenza artificiale propri o di terze parti.
• —StudioAgent ha stipulato accordi commerciali vincolanti con ciascuno dei propri fornitori di modelli AI che escludono tassativamente l'utilizzo dei dati dei Clienti per l'addestramento dei modelli: Anthropic, PBC (i dati inviati tramite le API commerciali non sono utilizzati per il training); ElevenLabs Inc. (i dati audio e testuali elaborati tramite le API enterprise non sono utilizzati per il training); Google Cloud (Vertex AI) (i dati elaborati non sono utilizzati per addestrare i modelli fondazionali di Google).
• —I dati degli Utenti Finali vengono elaborati in modalità stateless (senza persistenza) dai modelli LLM: il contenuto della richiesta viene processato, la risposta viene restituita e il prompt non viene conservato dai sistemi del fornitore AI al termine dell'elaborazione.

6. Pseudonimizzazione e Minimizzazione all'Ingresso

In conformità ai principi di Privacy by Design e by Default (Art. 25 GDPR) e di minimizzazione dei dati (Art. 5(1)(c) GDPR), la Piattaforma implementa i seguenti meccanismi automatici prima di trasmettere il contenuto delle comunicazioni alle API dei modelli di intelligenza artificiale esterni:

• —PII Masking / Redaction automatico: algoritmi di riconoscimento e mascheramento dei dati personali identificativi (es. codici fiscali, IBAN, numeri di carte di credito, indirizzi completi). I dati mascherati vengono sostituiti con token non riconducibili all'interessato prima dell'invio all'API LLM.
• —Limitazione al contesto necessario: il prompt inviato al modello AI contiene esclusivamente le informazioni strettamente correlate alla comprensione e alla classificazione della segnalazione condominiale.
• —Segregazione per tenant: ogni istanza dell'assistente AI è logicamente isolata: i dati di un condominio non sono accessibili dall'assistente configurato per un condominio diverso, neppure se gestiti dallo stesso studio.

7. Tempi di Conservazione (Data Retention)

7.1 Durante il Rapporto Contrattuale

7.2 Alla Cessazione del Contratto (Disdetta o Risoluzione)

Restano fermi i tempi di conservazione più lunghi previsti dalla legge per i dati contabili e fiscali del Cliente (cfr. Sezione 1, § 1.3).

8. Diritti degli Interessati

8.1 Per i Clienti (Amministratori)

In qualità di Titolare del Trattamento dei dati degli Amministratori Clienti, StudioAgent garantisce l'esercizio di tutti i diritti previsti dal GDPR:

Modalità di esercizio: scrivendo a privacy@studioagent.it o tramite la sezione dedicata nella dashboard.

8.2 Per gli Utenti Finali (Condòmini, Fornitori)

Poiché StudioAgent tratta i dati degli Utenti Finali esclusivamente in qualità di Responsabile del Trattamento, le richieste relative all'esercizio dei diritti (accesso, rettifica, cancellazione, opposizione, portabilità) devono essere rivolte al proprio Amministratore di Condominio, che è il Titolare del Trattamento.

StudioAgent, ricevuta l'istruzione dal Titolare, fornirà al Cliente tutta l'assistenza tecnica e organizzativa necessaria per evadere la richiesta (Art. 28(3)(e) GDPR), inclusa l'esportazione dei dati dell'interessato, la cancellazione selettiva dei messaggi e delle trascrizioni e la rettifica di eventuali dati anagrafici errati.

In ogni caso, l'Utente Finale conserva il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali — Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it.

9. Sicurezza dei Dati

StudioAgent adotta misure tecniche e organizzative conformi all'Art. 32 del GDPR per garantire un livello di sicurezza adeguato al rischio. Il dettaglio completo delle misure implementate è riportato nell'Allegato 2 del Data Processing Agreement (DPA). Le misure comprendono, a titolo esemplificativo e non esaustivo:

• —Cifratura in transito (TLS 1.3) e a riposo (AES-256) di tutti i dati personali;
• —Tenant isolation (segregazione logica multi-tenant) a livello di database e applicazione;
• —Autenticazione forte con supporto nativo alla 2FA;
• —Backup giornalieri cifrati con ridondanza geografica all'interno dell'Unione Europea;
• —Principio del privilegio minimo per l'accesso del personale ai dati in produzione;
• —Vulnerability assessment periodici e audit logging completo.

10. Modifiche alla presente Informativa

StudioAgent si riserva il diritto di modificare o aggiornare la presente Informativa in qualsiasi momento. In caso di modifiche sostanziali, i Clienti saranno informati tramite notifica nella dashboard e/o email con un preavviso di almeno 15 giorni prima dell'entrata in vigore. La versione aggiornata sarà pubblicata su questa pagina con l'indicazione della data di ultimo aggiornamento. L'uso continuato della Piattaforma dopo l'entrata in vigore delle modifiche costituirà accettazione della nuova versione.

11. Contatti

Per qualsiasi domanda, richiesta di chiarimento o esercizio dei diritti relativi al trattamento dei dati personali:

Informativa redatta ai sensi degli Artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e dell'Art. 50 del Regolamento (UE) 2024/1689 (AI Act). Data di ultimo aggiornamento: 26 giugno 2026.