Informativa fornitori dello Studio · Studio Ristori Monaco

Documento fornito dallo Studio, con data aggiornata al 30 ottobre 2026. Eventuali campi tra parentesi quadre e sezioni da compilare sono mantenuti come nell’originale.

CF RSTFNC83S08D969P – P.I. 02469170993 – professione esercitata ai sensi della L. 14 gennaio 2013 n. 4

Regione La Rochere 1 – 11100 Aosta (AO) – Tel. 0165.187.57.00 / 0165.187.57.01 – Cell. 347.304.54.24

ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018

La presente informativa è rivolta ai fornitori e consulenti dello Studio persone fisiche (ditte individuali, professionisti) e ai legali rappresentanti, referenti e dipendenti dei fornitori costituiti in forma societaria. Per i fornitori dei Condomini amministrati è resa separata informativa per conto di ciascun Condominio.

Titolare del trattamento è il Dott. Francesco Ristori Monaco, professionista (C.F. RSTFNC83S08D969P – P.IVA 02469170993), con studio in Aosta – Regione La Rochere 1 (C.A.P. 11100), e-mail segreteria@studioristorimonaco.com, PEC ristorimonaco@pec.it, tel. 0165.187.57.01 (di seguito, il “Titolare” o lo “Studio”).

Il Titolare non ha designato un Responsabile della protezione dei dati (RPD/DPO), non ricorrendo i presupposti dell’art. 37 GDPR.

Sono trattati: dati identificativi e fiscali; dati di contatto; dati bancari; dati relativi a contratti, ordini, fatture e pagamenti; documentazione di valutazione del fornitore (es. certificazioni, garanzie in materia di protezione dei dati e sicurezza). I dati sono forniti dal fornitore o acquisiti da pubblici registri.

Finalità	Base giuridica
Richiesta di offerte, stipula ed esecuzione del contratto	Misure precontrattuali ed esecuzione del contratto – art. 6, par. 1, lett. b), GDPR
Adempimenti fiscali e contabili (fatturazione, pagamenti, ritenute)	Obbligo legale – lett. c)
Valutazione e monitoraggio dei fornitori che trattano dati per conto dello Studio (artt. 28 e 32 GDPR)	Obbligo legale – lett. c)
Gestione dei rapporti con referenti e dipendenti dei fornitori societari	Legittimo interesse – lett. f)
Tutela dei diritti del Titolare in sede giudiziale e stragiudiziale	Legittimo interesse – lett. f)

I dati sono trattati con strumenti cartacei e informatici, nel rispetto dei principi dell’art. 5 GDPR e con misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui:

autenticazione a più fattori sui servizi cloud e sul gestionale, conservazione dei dati nell’Unione europea (salvo quanto indicato al punto 8), backup periodici con copia offline;

utilizzo dei sistemi di intelligenza artificiale esclusivamente con account professionali nominativi protetti da autenticazione a più fattori, secondo istruzioni scritte che ne disciplinano l’uso e la verifica umana dei risultati;

accesso da remoto del personale di supporto esclusivamente tramite ambiente di lavoro remoto protetto, senza salvataggio dei dati in locale;

autorizzazione e istruzione scritta delle persone che trattano i dati sotto l’autorità del Titolare (art. 29 GDPR e art. 2-quaterdecies D.Lgs. 196/2003), vincolate alla riservatezza.

responsabili del trattamento ex art. 28 GDPR: fornitori di software gestionale e contabile, servizi di posta elettronica, PEC e cloud; funzioni di intelligenza artificiale «Gemini» del fornitore di posta e cloud Google Ireland Limited e, per la redazione di documenti, fornitori di servizi di intelligenza artificiale Anthropic Ireland, Limited e OpenAI Ireland Ltd (v. punto 8); collaboratore di supporto amministrativo e contabile stabilito in Indonesia (v. punto 7);

titolari autonomi: commercialista, istituti bancari, Amministrazione finanziaria e altre autorità nei casi previsti dalla legge.

Salvo quanto indicato al punto 8 per i servizi di intelligenza artificiale, i dati sono conservati su server situati nell’Unione europea. Costituiscono tuttavia trasferimento verso Paesi terzi ai sensi del Capo V GDPR:

Indonesia – il Titolare si avvale di un collaboratore stabilito in Indonesia, nominato responsabile del trattamento ex art. 28 GDPR, che svolge attività di supporto amministrativo e contabile accedendo da remoto ai dati ospitati nell’UE. L’Indonesia non beneficia di una decisione di adeguatezza: il trasferimento avviene sulla base delle Clausole contrattuali tipo adottate con Decisione di esecuzione (UE) 2021/914, Modulo 2 (da titolare a responsabile), ai sensi dell’art. 46, par. 2, lett. c), GDPR, integrate da una valutazione d’impatto sul trasferimento (TIA) e da misure supplementari: accesso solo tramite desktop remoto senza salvataggio locale, autenticazione a più fattori, cifratura in transito, minimizzazione dei dati accessibili, registrazione degli accessi;

fornitori di servizi cloud appartenenti a gruppi statunitensi – i dati sono conservati nell’UE; eventuali trasferimenti residui avvengono sulla base della decisione di adeguatezza UE-USA (Data Privacy Framework, 10 luglio 2023) per i fornitori certificati e, in ogni caso, delle Clausole contrattuali tipo;

Stati Uniti d’America – funzioni di intelligenza artificiale «Gemini» di Google Workspace, che possono essere elaborate anche fuori dall’UE: il trasferimento avviene sulla base della decisione di adeguatezza UE-USA (Data Privacy Framework), cui aderisce Google LLC, e delle Clausole contrattuali tipo (Decisione di esecuzione (UE) 2021/914); per i servizi di Anthropic e OpenAI, sulla base delle Clausole contrattuali tipo incorporate nei rispettivi accordi sul trattamento dei dati, come descritto al punto 8;

Svizzera – eventuali servizi di posta/archiviazione cifrata con dati in Svizzera sono coperti da decisione di adeguatezza (art. 45 GDPR).

L’interessato può ottenere copia delle garanzie adottate scrivendo ai recapiti del Titolare.

8. Utilizzo di sistemi di intelligenza artificiale e trasferimento dei dati extra UE

Lo Studio si avvale di strumenti informatici e di intelligenza artificiale a supporto della gestione della corrispondenza, dell’agenda e della documentazione, inclusa la casella segreteria@studioristorimonaco.com: a) una procedura automatica interna a Google Workspace registra nel protocollo i soli dati identificativi dei messaggi selezionati dal personale, in arrivo e in partenza (data, mittente o destinatario, oggetto), senza leggerne il contenuto; le comunicazioni ricevute per telefono, WhatsApp o in riunione possono essere annotate in sintesi in registri interni collegati al protocollo; b) le funzioni di intelligenza artificiale «Gemini», integrate nello stesso servizio Google Workspace che ospita la casella, sono utilizzate per predisporre note di protocollo a partire da tali registri e, su richiesta del personale, per sintetizzare singoli messaggi e predisporre bozze di risposta; c) altri sistemi di intelligenza artificiale (Claude di Anthropic, ChatGPT di OpenAI) sono utilizzati per ricerche e per la redazione di documenti, senza accesso alla posta e agli archivi, con i soli dati necessari al documento. Tali strumenti sono utilizzati esclusivamente come supporto operativo, sotto la costante supervisione del personale dello Studio, al quale restano riservate tutte le decisioni e le comunicazioni: nessuna comunicazione è inviata automaticamente. Le presenti informazioni sono rese anche ai sensi dell’art. 13 della Legge 23 settembre 2025, n. 132.

L’impiego di tali strumenti non introduce finalità ulteriori rispetto a quelle indicate nella presente informativa e si fonda sulle medesime basi giuridiche. In applicazione del principio di minimizzazione (art. 5, par. 1, lett. c), GDPR), il personale è istruito a non sottoporre ai sistemi di intelligenza artificiale dati appartenenti a categorie particolari o relativi a condanne penali e reati (artt. 9 e 10 GDPR), salvo che ciò sia strettamente indispensabile; i dati dei mittenti non sono integrati con informazioni ricercate in rete e sono utilizzati esclusivamente servizi in versione professionale, regolati da condizioni contrattuali commerciali.

Non sono adottate decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sull’interessato ai sensi dell’art. 22 del Regolamento UE 2016/679.

Il fornitore delle funzioni Gemini, Google Ireland Limited – con sede a Dublino (Irlanda), società del gruppo statunitense Google LLC – è il medesimo fornitore dei servizi di posta e cloud e opera in qualità di Responsabile del trattamento ai sensi dell’art. 28 del Regolamento, sulla base delle condizioni di Google Workspace e del relativo accordo sul trattamento dei dati (Cloud Data Processing Addendum); i dati sono trattati unicamente per l’erogazione del servizio e non sono utilizzati per l’addestramento dei modelli. Anthropic Ireland, Limited e OpenAI Ireland Ltd, che ricevono soltanto i documenti caricati dal personale per la redazione di testi, operano in qualità di Responsabili del trattamento sulla base delle rispettive condizioni commerciali e degli accordi sul trattamento dei dati, che escludono l’uso dei dati per l’addestramento dei modelli.

L’elaborazione può avvenire anche su infrastrutture situate negli Stati Uniti d’America. Il trasferimento avviene nel rispetto degli artt. 44 e seguenti del Regolamento, sulla base della decisione di adeguatezza UE-USA del 10 luglio 2023 (Data Privacy Framework), cui aderisce Google LLC, e delle Clausole Contrattuali Standard approvate con Decisione di esecuzione (UE) 2021/914 (art. 46, par. 2, lett. c), GDPR), incorporate nell’accordo sul trattamento dei dati. I documenti elaborati con Claude e ChatGPT sono trasferiti negli Stati Uniti sulla base delle Clausole Contrattuali Standard incorporate negli accordi con Anthropic e OpenAI.

Copia delle garanzie adottate può essere richiesta allo Studio ai recapiti indicati nella presente informativa.

Dati / documenti	Conservazione
Contratti, ordini, fatture e documentazione contabile e fiscale	10 anni (art. 2220 c.c.; D.P.R. 600/1973)
Documentazione di valutazione dei fornitori	Durata del rapporto + 10 anni
Offerte non accettate	24 mesi dalla ricezione

Il conferimento dei dati è necessario per la stipula e l’esecuzione del contratto e per gli adempimenti di legge: il mancato conferimento impedisce l’instaurazione del rapporto.

I dati non sono oggetto di decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, ai sensi dell’art. 22 GDPR. L’impiego di sistemi di intelligenza artificiale descritto al punto 8 non comporta decisioni di tale natura.

L’interessato può esercitare, ove ne ricorrano i presupposti, i diritti di cui agli artt. 15–22 GDPR:

cancellazione (art. 17), salvi gli obblighi di conservazione previsti dalla legge;

portabilità (art. 20), limitatamente ai dati forniti dall’interessato e trattati con mezzi automatizzati sulla base di un contratto o del consenso;

opposizione (art. 21) ai trattamenti fondati sul legittimo interesse, per motivi connessi alla propria situazione particolare;

revoca del consenso eventualmente prestato, senza pregiudizio per la liceità del trattamento precedente (art. 7, par. 3).

Le richieste possono essere inviate via e-mail (segreteria@studioristorimonaco.com), PEC (ristorimonaco@pec.it) o posta all’indirizzo dello Studio. Il riscontro è fornito entro un mese dal ricevimento, prorogabile di ulteriori due mesi in caso di particolare complessità, dandone comunicazione motivata entro il primo mese (art. 12, par. 3, GDPR).

L’interessato ha inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it – art. 77 GDPR) o di adire l’Autorità giudiziaria (art. 79 GDPR).

La presente informativa sostituisce integralmente le versioni precedenti e può essere aggiornata; la versione vigente è disponibile presso lo Studio. Versione 2.2 del 30 ottobre 2026.

Presa visione dell’informativa (la firma attesta la sola ricezione e non costituisce consenso al trattamento)