Informativa clienti · Studio Ristori Monaco

Documento fornito dallo Studio, con data aggiornata al 30 ottobre 2026. Eventuali campi tra parentesi quadre e sezioni da compilare sono mantenuti come nell’originale.

CF RSTFNC83S08D969P – P.I. 02469170993 – professione esercitata ai sensi della L. 14 gennaio 2013 n. 4

Regione La Rochere 1 – 11100 Aosta (AO) – Tel. 0165.187.57.00 / 0165.187.57.01 – Cell. 347.304.54.24

ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018

La presente informativa è rivolta ai clienti persone fisiche dello Studio e ai legali rappresentanti e referenti dei clienti costituiti in forma di ente o società, in relazione agli incarichi professionali di revisione, consulenza amministrativa e alle altre prestazioni rese dallo Studio. Per l’attività di amministrazione condominiale, i dati dei condomini sono trattati per conto dei singoli Condomini, che rendono una propria separata informativa.

Titolare del trattamento è il Dott. Francesco Ristori Monaco, professionista (C.F. RSTFNC83S08D969P – P.IVA 02469170993), con studio in Aosta – Regione La Rochere 1 (C.A.P. 11100), e-mail segretaria@studioristorimonaco.com, PEC ristorimonaco@pec.it, tel. 0165.187.57.01 (di seguito, il “Titolare” o lo “Studio”).

Il Titolare non ha designato un Responsabile della protezione dei dati (RPD/DPO), non ricorrendo i presupposti dell’art. 37 GDPR.

Sono trattati: dati identificativi e anagrafici; dati di contatto; dati fiscali e bancari; documentazione contabile, fiscale e patrimoniale necessaria all’incarico; dati di adeguata verifica, ove richiesta dalla normativa antiriciclaggio; corrispondenza.

I dati sono forniti dal cliente. Dati di terzi (es. dipendenti, soci, controparti del cliente) contenuti nella documentazione affidata sono trattati per le sole finalità dell’incarico; il cliente, quando li trasmette, si impegna a informarne gli interessati.

Finalità	Base giuridica
Attività precontrattuali, conferimento ed esecuzione dell’incarico professionale	Misure precontrattuali ed esecuzione del contratto – art. 6, par. 1, lett. b), GDPR
Gestione amministrativa del rapporto: preventivi, fatturazione, incassi	Esecuzione del contratto – lett. b); obbligo legale – lett. c)
Adempimenti fiscali, contabili e deontologici del professionista (D.P.R. 633/1972; D.P.R. 600/1973; art. 2220 c.c.)	Obbligo legale – lett. c)
Adeguata verifica e conservazione ai fini antiriciclaggio (D.Lgs. 231/2007), ove il Titolare rientri tra i soggetti obbligati per la prestazione richiesta	Obbligo legale – lett. c)
Recupero crediti e tutela dei diritti del Titolare in sede giudiziale e stragiudiziale	Legittimo interesse – lett. f)

Lo Studio non richiede dati di cui agli artt. 9 e 10 GDPR. Qualora siano presenti nella documentazione necessaria all’incarico, sono trattati nella misura strettamente indispensabile, sulla base dell’art. 9, par. 2, lett. f), GDPR (accertamento, esercizio o difesa di un diritto) o di altra condizione prevista dalla legge ovvero, in mancanza, del consenso esplicito dell’interessato; i dati relativi a condanne penali e reati sono trattati solo nei casi consentiti dall’art. 2-octies D.Lgs. 196/2003.

I dati sono trattati con strumenti cartacei e informatici, nel rispetto dei principi dell’art. 5 GDPR e con misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui:

autenticazione a più fattori sui servizi cloud e sul gestionale, conservazione dei dati nell’Unione europea (salvo quanto indicato al punto 8), backup periodici con copia offline;

utilizzo dei sistemi di intelligenza artificiale esclusivamente con account professionali nominativi protetti da autenticazione a più fattori, secondo istruzioni scritte che ne disciplinano l’uso e la verifica umana dei risultati;

accesso da remoto del personale di supporto esclusivamente tramite ambiente di lavoro remoto protetto, senza salvataggio dei dati in locale;

autorizzazione e istruzione scritta delle persone che trattano i dati sotto l’autorità del Titolare (art. 29 GDPR e art. 2-quaterdecies D.Lgs. 196/2003), vincolate alla riservatezza.

I dati sono trattati dal Titolare e dai collaboratori autorizzati. Possono essere comunicati, nei limiti necessari:

a responsabili del trattamento ex art. 28 GDPR: fornitori di software gestionale e contabile, servizi di posta elettronica, PEC, archiviazione e cloud; funzioni di intelligenza artificiale «Gemini» del fornitore di posta e cloud Google Ireland Limited e, per la redazione di documenti, fornitori di servizi di intelligenza artificiale Anthropic Ireland, Limited e OpenAI Ireland Ltd (v. punto 8); collaboratore di supporto amministrativo e contabile stabilito in Indonesia (v. punto 7);

a titolari autonomi: professionisti incaricati di concerto con il cliente (commercialisti, avvocati, notai, consulenti del lavoro), istituti bancari e assicurativi, Amministrazione finanziaria e altre autorità pubbliche e giudiziarie nei casi previsti dalla legge.

Salvo quanto indicato al punto 8 per i servizi di intelligenza artificiale, i dati sono conservati su server situati nell’Unione europea. Costituiscono tuttavia trasferimento verso Paesi terzi ai sensi del Capo V GDPR:

Indonesia – il Titolare si avvale di un collaboratore stabilito in Indonesia, nominato responsabile del trattamento ex art. 28 GDPR, che svolge attività di supporto amministrativo e contabile accedendo da remoto ai dati ospitati nell’UE. L’Indonesia non beneficia di una decisione di adeguatezza: il trasferimento avviene sulla base delle Clausole contrattuali tipo adottate con Decisione di esecuzione (UE) 2021/914, Modulo 2 (da titolare a responsabile), ai sensi dell’art. 46, par. 2, lett. c), GDPR, integrate da una valutazione d’impatto sul trasferimento (TIA) e da misure supplementari: accesso solo tramite desktop remoto senza salvataggio locale, autenticazione a più fattori, cifratura in transito, minimizzazione dei dati accessibili, registrazione degli accessi;

fornitori di servizi cloud appartenenti a gruppi statunitensi – i dati sono conservati nell’UE; eventuali trasferimenti residui avvengono sulla base della decisione di adeguatezza UE-USA (Data Privacy Framework, 10 luglio 2023) per i fornitori certificati e, in ogni caso, delle Clausole contrattuali tipo;

Stati Uniti d’America – funzioni di intelligenza artificiale «Gemini» di Google Workspace, che possono essere elaborate anche fuori dall’UE: il trasferimento avviene sulla base della decisione di adeguatezza UE-USA (Data Privacy Framework), cui aderisce Google LLC, e delle Clausole contrattuali tipo (Decisione di esecuzione (UE) 2021/914); per i servizi di Anthropic e OpenAI, sulla base delle Clausole contrattuali tipo incorporate nei rispettivi accordi sul trattamento dei dati, come descritto al punto 8;

Svizzera – eventuali servizi di posta/archiviazione cifrata con dati in Svizzera sono coperti da decisione di adeguatezza (art. 45 GDPR).

L’interessato può ottenere copia delle garanzie adottate scrivendo ai recapiti del Titolare.

8. Utilizzo di sistemi di intelligenza artificiale e trasferimento dei dati extra UE

Lo Studio si avvale di strumenti informatici e di intelligenza artificiale a supporto della gestione della corrispondenza, dell’agenda e della documentazione, inclusa la casella segreteria@studioristorimonaco.com: a) una procedura automatica interna a Google Workspace registra nel protocollo i soli dati identificativi dei messaggi selezionati dal personale, in arrivo e in partenza (data, mittente o destinatario, oggetto), senza leggerne il contenuto; le comunicazioni ricevute per telefono, WhatsApp o in riunione possono essere annotate in sintesi in registri interni collegati al protocollo; b) le funzioni di intelligenza artificiale «Gemini», integrate nello stesso servizio Google Workspace che ospita la casella, sono utilizzate per predisporre note di protocollo a partire da tali registri e, su richiesta del personale, per sintetizzare singoli messaggi e predisporre bozze di risposta; c) altri sistemi di intelligenza artificiale (Claude di Anthropic, ChatGPT di OpenAI) sono utilizzati per ricerche e per la redazione di documenti, senza accesso alla posta e agli archivi, con i soli dati necessari al documento. Tali strumenti sono utilizzati esclusivamente come supporto operativo, sotto la costante supervisione del personale dello Studio, al quale restano riservate tutte le decisioni e le comunicazioni: nessuna comunicazione è inviata automaticamente. Le presenti informazioni sono rese anche ai sensi dell’art. 13 della Legge 23 settembre 2025, n. 132.

L’impiego di tali strumenti non introduce finalità ulteriori rispetto a quelle indicate nella presente informativa e si fonda sulle medesime basi giuridiche. In applicazione del principio di minimizzazione (art. 5, par. 1, lett. c), GDPR), il personale è istruito a non sottoporre ai sistemi di intelligenza artificiale dati appartenenti a categorie particolari o relativi a condanne penali e reati (artt. 9 e 10 GDPR), salvo che ciò sia strettamente indispensabile; i dati dei mittenti non sono integrati con informazioni ricercate in rete e sono utilizzati esclusivamente servizi in versione professionale, regolati da condizioni contrattuali commerciali.

Non sono adottate decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sull’interessato ai sensi dell’art. 22 del Regolamento UE 2016/679.

Il fornitore delle funzioni Gemini, Google Ireland Limited – con sede a Dublino (Irlanda), società del gruppo statunitense Google LLC – è il medesimo fornitore dei servizi di posta e cloud e opera in qualità di Responsabile del trattamento ai sensi dell’art. 28 del Regolamento, sulla base delle condizioni di Google Workspace e del relativo accordo sul trattamento dei dati (Cloud Data Processing Addendum); i dati sono trattati unicamente per l’erogazione del servizio e non sono utilizzati per l’addestramento dei modelli. Anthropic Ireland, Limited e OpenAI Ireland Ltd, che ricevono soltanto i documenti caricati dal personale per la redazione di testi, operano in qualità di Responsabili del trattamento sulla base delle rispettive condizioni commerciali e degli accordi sul trattamento dei dati, che escludono l’uso dei dati per l’addestramento dei modelli.

L’elaborazione può avvenire anche su infrastrutture situate negli Stati Uniti d’America. Il trasferimento avviene nel rispetto degli artt. 44 e seguenti del Regolamento, sulla base della decisione di adeguatezza UE-USA del 10 luglio 2023 (Data Privacy Framework), cui aderisce Google LLC, e delle Clausole Contrattuali Standard approvate con Decisione di esecuzione (UE) 2021/914 (art. 46, par. 2, lett. c), GDPR), incorporate nell’accordo sul trattamento dei dati. I documenti elaborati con Claude e ChatGPT sono trasferiti negli Stati Uniti sulla base delle Clausole Contrattuali Standard incorporate negli accordi con Anthropic e OpenAI.

Copia delle garanzie adottate può essere richiesta allo Studio ai recapiti indicati nella presente informativa.

Dati / documenti	Conservazione
Documentazione dell’incarico e corrispondenza	10 anni dalla conclusione dell’incarico (prescrizione ordinaria, art. 2946 c.c.)
Documenti contabili e fiscali dello Studio (fatture, registrazioni)	10 anni (art. 2220 c.c.; D.P.R. 600/1973)
Documentazione antiriciclaggio, ove dovuta	10 anni dalla cessazione del rapporto (art. 31 D.Lgs. 231/2007)
Preventivi non accettati	24 mesi dall’invio
Documentazione relativa a contenziosi	Fino alla definizione del procedimento e al decorso dei termini di prescrizione

Al termine dell’incarico, la documentazione originale del cliente gli viene restituita; lo Studio conserva le sole copie necessarie agli obblighi sopra indicati.

Il conferimento dei dati è necessario per il conferimento e l’esecuzione dell’incarico e per gli adempimenti di legge: il mancato conferimento impedisce, in tutto o in parte, l’esecuzione della prestazione.

I dati non sono oggetto di decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, ai sensi dell’art. 22 GDPR. L’impiego di sistemi di intelligenza artificiale descritto al punto 8 non comporta decisioni di tale natura.

L’interessato può esercitare, ove ne ricorrano i presupposti, i diritti di cui agli artt. 15–22 GDPR:

cancellazione (art. 17), salvi gli obblighi di conservazione previsti dalla legge;

portabilità (art. 20), limitatamente ai dati forniti dall’interessato e trattati con mezzi automatizzati sulla base di un contratto o del consenso;

opposizione (art. 21) ai trattamenti fondati sul legittimo interesse, per motivi connessi alla propria situazione particolare;

revoca del consenso eventualmente prestato, senza pregiudizio per la liceità del trattamento precedente (art. 7, par. 3).

Le richieste possono essere inviate via e-mail (segreteria@studioristorimonaco.com), PEC (ristorimonaco@pec.it) o posta all’indirizzo dello Studio. Il riscontro è fornito entro un mese dal ricevimento, prorogabile di ulteriori due mesi in caso di particolare complessità, dandone comunicazione motivata entro il primo mese (art. 12, par. 3, GDPR).

L’interessato ha inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it – art. 77 GDPR) o di adire l’Autorità giudiziaria (art. 79 GDPR).

La presente informativa sostituisce integralmente le versioni precedenti e può essere aggiornata; la versione vigente è disponibile presso lo Studio. Versione 2.2 del 30 ottobre 2026.

Presa visione dell’informativa (la firma attesta la sola ricezione e non costituisce consenso al trattamento)