1. Titolare del Trattamento
Il Titolare del trattamento dei dati personali è:
AedisLabs LLC
Sede legale: Sharjah Media City, Sharjah, Emirati Arabi Uniti
Numero di registrazione (Trade License): 2646316.01
E-mail: privacy@abacus-ai.it
2. Rappresentante nell'Unione Europea
Ai sensi dell'art. 27 del GDPR, in considerazione del fatto che AedisLabs LLC ha sede al di fuori dell'Unione Europea ma offre il Servizio a Utenti residenti nell'UE, è stato designato un Rappresentante nell'Unione che funge da punto di contatto per le autorità di controllo e per gli interessati su tutte le questioni relative al trattamento dei dati personali:
Aniello Renato Pepe – Chief Technology Officer («CTO»)
Indirizzo: Via Renato Raiola 38, Angri 84012 (SA), Italia
E-mail: eu-rep@abacus-ai.it
Gli interessati possono rivolgersi al Rappresentante UE in alternativa al Titolare per esercitare i propri diritti.
3. Categorie di Dati Personali Trattati
AedisLabs tratta esclusivamente le seguenti categorie di dati personali:
3.1 Dati di registrazione e contatto
Nome, cognome, indirizzo e-mail, password (cifrata) e, ove fornite volontariamente, ulteriori informazioni di contatto.
3.2 Dati di pagamento
Per predisporre il checkout, AbacusTax comunica a Lemon Squeezy l'email dell'account e un identificativo tecnico del tentativo di acquisto. L'acquirente fornisce direttamente al provider i dati richiesti per il pagamento e la fatturazione, compresi paese, indirizzo e identificativo fiscale quando applicabile. I documenti delle pratiche e i relativi contenuti non sono inviati al provider di pagamento.
AedisLabs non riceve né conserva il numero completo della carta o il codice di sicurezza. Per gestire acquisti e accessi, registra gli identificativi della transazione e dell'abbonamento, l'offerta, valuta, importi, imposte, date, scadenze e stato del pagamento, inclusi gli eventuali rimborsi. Per i rapporti storici Dodo continua il trattamento necessario alla loro gestione e agli obblighi applicabili. Restano conservati i dati amministrativi già ricevuti per tali rapporti, incluse le ultime quattro cifre della carta ove presenti.
3.3 Dati di utilizzo e dati tecnici
Indirizzo IP, identificativo del dispositivo, tipo di browser, sistema operativo, pagine visitate, tempi di navigazione, log di accesso e di utilizzo del Servizio. Tali dati sono raccolti per finalità di sicurezza, prevenzione delle frodi, diagnostica e miglioramento del Servizio.
3.4 Cookie e tecnologie analoghe
Per le informazioni relative ai cookie utilizzati dal Sito si rimanda alla Cookie Policy disponibile su abacus-ai.it/cookie.
3.5 Contenuti inseriti dall'Utente
Eventuali testi, domande o input forniti dall'Utente nell'interazione con il Servizio. AedisLabs invita l'Utente a non inserire dati appartenenti a categorie particolari di cui all'art. 9 GDPR (dati relativi alla salute, opinioni politiche, ecc.) né dati di terzi senza valida base giuridica.
4. Finalità del Trattamento e Basi Giuridiche
| Finalità | Descrizione | Base giuridica (art. 6 GDPR) |
|---|---|---|
| Erogazione del Servizio | Registrazione, gestione dell'Account, accesso al Servizio, supporto. | Esecuzione del contratto – art. 6.1.b |
| Provenienza dell'Account | Alla registrazione associamo all'Account il solo canale da cui è arrivata la prima visita (es. «Google Ads», «ricerca Google», «Meta», «partner», «diretto»), per capire quali canali portano nuovi utenti. Non conserviamo identificativi dei click (es. gclid, fbclid), l'indirizzo della pagina di provenienza né l'IP; il dato non è ceduto a terzi né usato per profilazione. | Legittimo interesse del Titolare – art. 6.1.f |
| Gestione dei pagamenti | Elaborazione dell'Abbonamento e dei rinnovi tramite Lemon Squeezy (Merchant of Record) per i nuovi acquisti e Dodo per i rapporti storici; fatturazione e rimborsi. | Esecuzione del contratto e obbligo di legge – artt. 6.1.b e 6.1.c |
| Sicurezza e prevenzione frodi | Monitoraggio degli accessi, prevenzione di abusi e accessi non autorizzati. | Legittimo interesse – art. 6.1.f |
| Miglioramento del Servizio | Analisi statistiche aggregate sull'utilizzo del Servizio. | Legittimo interesse – art. 6.1.f |
| Adempimenti di legge | Obblighi contabili, fiscali, antiriciclaggio, risposta a richieste delle autorità. | Obbligo di legge – art. 6.1.c |
| Comunicazioni di servizio | Invio di comunicazioni essenziali (rinnovi, modifiche dei Termini, sicurezza). | Esecuzione del contratto – art. 6.1.b |
| Marketing diretto | Newsletter, aggiornamenti su nuove funzionalità o offerte. | Consenso – art. 6.1.a (revocabile in ogni momento) |
5. Natura del Conferimento
Il conferimento dei dati di registrazione, contatto e pagamento è necessario per l'attivazione e l'erogazione del Servizio: il rifiuto comporta l'impossibilità di sottoscrivere e utilizzare l'Abbonamento. Il conferimento dei dati per finalità di marketing è facoltativo: il rifiuto non incide sulla fruizione del Servizio.
6. Localizzazione dei Dati e Trasferimenti Extra-SEE
6.1 Localizzazione dei dati
L'infrastruttura applicativa e i documenti delle pratiche sono ospitati nell'Unione Europea presso fornitori che offrono garanzie adeguate ai sensi degli artt. 28 e 32 del GDPR. Questa localizzazione non si estende indistintamente ai servizi esterni di pagamento. La distribuzione geografica è la seguente:
- Database (metadati, output analisi): Supabase su AWS Stoccolma (Svezia 🇸🇪);
- File documenti caricati dagli Utenti: AWS S3 Stoccolma (Svezia 🇸🇪);
- Indici vettoriali (RAG Banca Dati Studio): Pinecone Dublino (Irlanda 🇮🇪);
- Hosting applicativo: Render Francoforte (Germania 🇩🇪);
- Pagamenti dei nuovi acquisti: Lemon Squeezy (Sold through Link, LLC, già Lemon Squeezy LLC, Stati Uniti); Dodo Payments, Inc., Londra (Regno Unito) per i rapporti storici.
Lemon Squeezy dichiara che i dati possono essere conservati o trattati negli Stati Uniti e nelle sedi dei propri fornitori. Per i trasferimenti dal SEE, il provider dichiara di utilizzare garanzie adeguate, tra cui clausole standard di protezione dei dati o altri strumenti ammessi. I trattamenti e le garanzie del provider sono descritti nella sua informativa privacy. Questi trattamenti riguardano i dati di acquisto, non i documenti delle pratiche o l'inferenza AI.
Per l'inferenza di intelligenza artificiale, AedisLabs utilizza Google Cloud Vertex AI region europe-west4 (Olanda 🇳🇱): prompt, contenuti caricati e output generati sono elaborati esclusivamente all'interno dell'UE. Nessun trasferimento di dati verso gli Stati Uniti avviene per finalità di inferenza AI. I file multimodali sono caricati su un bucket Cloud Storage dedicato (anch'esso in Olanda). I file temporanei sono eliminati automaticamente a partire da un giorno dal loro caricamento. L'eliminazione è eseguita in modo asincrono dal fornitore e si completa di norma entro le 24 ore successive. Dopo l'eliminazione, i file restano recuperabili per 7 giorni ai soli fini di disaster recovery (soft delete), al termine dei quali sono distrutti definitivamente.
Per i soli documenti scansionati privi di testo leggibile, il riconoscimento del testo (OCR) è effettuato tramite Google Cloud Document AI, con elaborazione nell'Unione Europea; anche in questo caso non avviene alcun trasferimento verso gli Stati Uniti.
6.2 Possibile accesso dagli Emirati Arabi Uniti
Il Titolare AedisLabs LLC ha sede negli Emirati Arabi Uniti (UAE). Ai fini della gestione del Servizio (amministrazione, supporto, sicurezza, sviluppo), personale autorizzato di AedisLabs basato negli UAE può accedere ai dati personali memorizzati sui server europei. Tale accesso configura un trasferimento di dati personali verso un Paese terzo ai sensi del Capo V del GDPR.
6.3 Garanzie adeguate per il trasferimento extra-SEE
Gli Emirati Arabi Uniti non sono attualmente oggetto di una decisione di adeguatezza della Commissione Europea ai sensi dell'art. 45 GDPR. Il trasferimento dei dati verso AedisLabs è pertanto effettuato sulla base delle seguenti garanzie adeguate (art. 46 GDPR):
- Clausole Contrattuali Tipo (Standard Contractual Clauses – SCC) approvate dalla Commissione Europea con Decisione 2021/914, modulo da titolare a titolare e/o da titolare a responsabile, sottoscritte tra il Rappresentante UE e AedisLabs LLC;
- Misure supplementari tecniche, contrattuali e organizzative individuate sulla base di una valutazione d'impatto sui trasferimenti (Transfer Impact Assessment – TIA), tra cui: cifratura dei dati in transito (TLS) e a riposo, controlli di accesso basati sul principio del minimo privilegio, registrazione degli accessi, obblighi contrattuali di riservatezza per il personale autorizzato.
Una copia delle SCC e ulteriori informazioni sulle garanzie adottate possono essere richieste scrivendo a privacy@abacus-ai.it.
6.4 Inferenza AI e riconoscimento del testo su Google Cloud (UE)
L'inferenza di intelligenza artificiale che alimenta le funzionalità del Servizio è erogata da Google Cloud Vertex AI in region europe-west4 (Olanda 🇳🇱). Tutti i prompt, i contenuti caricati e gli output generati sono trattati esclusivamente all'interno dell'Unione Europea, senza alcun trasferimento verso gli Stati Uniti.
Garanzie applicate:
- rapporto contrattuale regolato dal Google Cloud Data Processing Addendum e dalle Clausole Contrattuali Standard (SCC) di cui alla Decisione (UE) 2021/914, per gli accessi residuali del personale Google a fini di supporto tecnico, sicurezza o adempimento di obblighi legali;
- Service Account dedicato con principio del privilegio minimo per l'autenticazione delle chiamate a Vertex;
- Vertex AI Service Specific Terms di Google impediscono l'utilizzo di prompt e output dei clienti per l'addestramento dei modelli;
- file multimodali caricati su un bucket Cloud Storage dedicato (region europe-west4). I file temporanei sono eliminati automaticamente a partire da un giorno dal loro caricamento. L'eliminazione è eseguita in modo asincrono dal fornitore e si completa di norma entro le 24 ore successive. Dopo l'eliminazione, i file restano recuperabili per 7 giorni ai soli fini di disaster recovery (soft delete), al termine dei quali sono distrutti definitivamente.
- riconoscimento del testo dei documenti scansionati tramite Google Cloud Document AI (località UE): il documento è inviato direttamente al servizio per la sola elaborazione, senza archiviazione su Cloud Storage; il testo riconosciuto è conservato nel nostro database insieme al documento, usato solo per la verifica delle citazioni e delle prove, e cancellato con il documento. Anche per Document AI i dati non sono utilizzati da Google per l'addestramento dei modelli.
7. Destinatari dei Dati
I dati personali possono essere comunicati alle seguenti categorie di destinatari, ciascuno per le finalità di rispettiva competenza:
- Lemon Squeezy (Sold through Link, LLC, già Lemon Squeezy LLC) (Stati Uniti) — Merchant of Record per i nuovi acquisti. Per le finalità proprie di vendita, incasso e adempimenti fiscali tratta i dati secondo la propria informativa; per eventuali attività svolte per conto di AedisLabs si applicano gli accordi di trattamento pertinenti. Il ruolo dipende dalla specifica attività, come indicato nell'informativa del provider;
- Dodo Payments, Inc. (Londra, Regno Unito) — Merchant of Record per la gestione dei rapporti storici, autonomo titolare per i dati di pagamento e gli adempimenti fiscali;
- Supabase Inc. (database PostgreSQL gestito, regione Stoccolma) — responsabile del trattamento ai sensi dell'art. 28 GDPR;
- Amazon Web Services EMEA SARL (object storage S3, regione Stoccolma) — responsabile del trattamento;
- Render Services, Inc. (hosting applicativo, regione Francoforte) — responsabile del trattamento;
- Pinecone Systems, Inc. (database vettoriale per la Banca Dati Studio, regione Dublino) — responsabile del trattamento;
- Google Cloud EMEA Limited (Madrid, Spagna) — inferenza AI Vertex AI Gemini + buffer Cloud Storage, region europe-west4 (Olanda), e riconoscimento del testo dei documenti scansionati tramite Document AI (località UE); responsabile del trattamento;
- Fornitori di servizi tecnici accessori (e-mail transazionali, monitoraggio, sicurezza, supporto), ove utilizzati — responsabili del trattamento;
- Consulenti e professionisti (legali, fiscali, contabili) di AedisLabs, vincolati a obbligo di riservatezza;
- Autorità giudiziarie e amministrative competenti, ove richiesto da norma di legge o provvedimento.
L'elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scritta a privacy@abacus-ai.it. I dati personali non sono ceduti né venduti a terzi per finalità commerciali proprie di tali soggetti.
8. Periodo di Conservazione
AedisLabs conserva i dati personali per il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti e nel rispetto degli obblighi di legge:
- Dati di Account e di utilizzo del Servizio: per tutta la durata del rapporto contrattuale e per i 12 mesi successivi alla cessazione, salvo diverso obbligo di legge;
- Dati di pagamento e di fatturazione: per 10 anni dalla data della transazione, ai fini degli obblighi contabili e fiscali;
- Log di sicurezza e di sistema: di regola per un periodo non superiore a 12 mesi, salvo diverse esigenze di sicurezza o richiesta dell'autorità;
- Dati trattati per finalità di marketing: fino alla revoca del consenso e comunque non oltre 24 mesi dalla raccolta, salvo rinnovo del consenso.
Decorsi i termini sopra indicati, i dati sono cancellati o resi anonimi in modo irreversibile.
9. Diritti dell'Interessato
In qualità di interessato, l'Utente ha il diritto, in ogni momento, di esercitare nei confronti del Titolare i seguenti diritti previsti dagli artt. 15-22 GDPR:
- Accesso (art. 15) — ottenere conferma dell'esistenza del trattamento e copia dei dati;
- Rettifica (art. 16) — chiedere la correzione di dati inesatti o incompleti;
- Cancellazione (art. 17) — chiedere la rimozione dei dati nei casi previsti dalla legge;
- Limitazione (art. 18) — chiedere la sospensione temporanea del trattamento;
- Portabilità (art. 20) — ricevere i propri dati in formato strutturato e di uso comune e trasmetterli ad altro titolare;
- Opposizione (art. 21) — opporsi al trattamento basato su legittimo interesse o per finalità di marketing;
- Revoca del consenso — in qualsiasi momento, senza pregiudicare la liceità del trattamento svolto prima della revoca;
- Decisioni automatizzate (art. 22) — non essere sottoposto a decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici significativi.
Le richieste di esercizio dei diritti possono essere inviate a privacy@abacus-ai.it o al Rappresentante UE all'indirizzo eu-rep@abacus-ai.it. AedisLabs risponderà entro 30 giorni dalla ricezione della richiesta, salvo proroga giustificata.
10. Diritto di Reclamo all'Autorità di Controllo
L'Utente che ritenga che il trattamento dei propri dati personali violi il GDPR ha diritto di proporre reclamo all'Autorità di controllo competente. Per gli Utenti residenti in Italia, l'Autorità competente è il Garante per la protezione dei dati personali (www.garanteprivacy.it).
11. Misure di Sicurezza
AedisLabs adotta misure tecniche e organizzative adeguate, ai sensi dell'art. 32 GDPR, per proteggere i dati personali da perdita, accesso non autorizzato, divulgazione, alterazione o distruzione. In particolare:
- cifratura dei dati in transito (TLS) e a riposo;
- controlli di accesso basati su autenticazione e principio del minimo privilegio;
- registrazione degli accessi e monitoraggio degli eventi di sicurezza;
- backup periodici e procedure di disaster recovery;
- formazione del personale autorizzato e obblighi di riservatezza.
12. Minori
Il Servizio non è destinato a minori di 18 anni. AedisLabs non raccoglie consapevolmente dati personali di minori. Qualora venga rilevata la raccolta di dati di un minore, AedisLabs provvederà alla loro tempestiva cancellazione.
13. Modifiche all'Informativa
La presente Informativa potrà essere aggiornata per adeguarla a evoluzioni normative o organizzative. Le modifiche saranno comunicate via e-mail e/o tramite avviso all'interno del Servizio. Si invita l'Utente a consultare periodicamente la versione più aggiornata, disponibile su abacus-ai.it/privacy.
Prima di accedere o utilizzare il Servizio, l'Utente è invitato a leggere attentamente questa Informativa, prendendo atto delle modalità di raccolta, elaborazione, archiviazione e utilizzo dei propri dati personali come descritto.