Informativa Privacy — Piattaforma e Servizi AI

StudioAgent S.r.l.

Via Martin Lutero 5 — 20126 Milano (MI) · P. IVA / C.F. 14642270962

Email: privacy@studioagent.it — PEC: studioagent@pec-mail.it

Ultimo aggiornamento: 17 ottobre 2026 · In vigore dal: 2 novembre 2026

Indice

1. Definizioni
2. StudioAgent come Titolare del trattamento
3. StudioAgent come Responsabile del trattamento
4. Dati degli utenti Google (Gmail e Google Calendar)
5. Trasferimenti internazionali dei dati
6. Nessun addestramento dei modelli di intelligenza artificiale
7. Minimizzazione e limitazione del contesto
8. Tempi di conservazione
9. Accesso del personale di StudioAgent ai dati
10. Diritti degli interessati
11. Sicurezza dei dati
12. Modifiche alla presente Informativa
13. Contatti

1. Definizioni

2. StudioAgent come Titolare del trattamento

Questa sezione riguarda i dati dei Clienti diretti di StudioAgent (studi di amministrazione condominiale e professionisti che sottoscrivono un abbonamento).

2.1 Dati personali trattati

2.2 Finalità e basi giuridiche

2.3 Tempi di conservazione

2.4 Destinatari dei dati

I dati dei Clienti potranno essere comunicati esclusivamente a:

• —Stripe Payments Europe, Ltd. / Stripe, Inc.: per l'elaborazione dei pagamenti e la gestione degli abbonamenti.
• —Resend, Inc.: per l'invio di email transazionali e operative (conferme, notifiche di sistema, report e avvisi di passaggio a un operatore). Il contenuto di tali email può includere dati personali degli Utenti Finali, per esempio il nome e l'oggetto della segnalazione di un condòmino.
• —Brevo (Sendinblue SAS): per la gestione dei contatti dei Clienti e l'invio di comunicazioni sul servizio.
• —Supabase Inc. e Railway Corp.: per il database e l'hosting della Piattaforma.
• —Google Ireland Ltd.: per i servizi di intelligenza artificiale (Vertex AI), le notifiche della posta (Pub/Sub) e l'integrazione con Gmail e Google Calendar autorizzata dal Cliente (vedi Sezione 4).
• —Iubenda S.r.l.: per la gestione del consenso ai cookie e della privacy policy del sito web.
• —Commercialista e consulenti fiscali: per gli obblighi contabili e tributari.
• —Autorità competenti: ove richiesto da un obbligo di legge.

L'elenco completo e aggiornato dei fornitori è consultabile alla pagina Sub-Responsabili (Subprocessors).

3. StudioAgent come Responsabile del trattamento

Questa sezione riguarda i dati degli Utenti Finali (condòmini, proprietari, inquilini, portieri, fornitori) le cui comunicazioni vengono elaborate dalla Piattaforma per conto del Cliente (l'amministratore di condominio).

3.1 Dichiarazione del ruolo (Art. 28 GDPR)

Quando un Utente Finale invia un messaggio WhatsApp, effettua una chiamata telefonica o scrive un'email al recapito configurato dal Cliente sulla Piattaforma, il Titolare del trattamento dei dati personali è e resta esclusivamente l'Amministratore di Condominio (il Cliente), il quale determina le finalità e i mezzi del trattamento nell'ambito del proprio mandato di gestione condominiale.

StudioAgent S.r.l. agisce esclusivamente in qualità di Responsabile del trattamento ai sensi dell'Art. 28 GDPR, trattando i dati degli Utenti Finali:

• —unicamente sulla base delle istruzioni documentate del Titolare, così come risultano dalla configurazione delle funzionalità nella dashboard e dal DPA sottoscritto;
• —per le sole finalità strettamente necessarie all'erogazione del servizio contrattuale;
• —senza alcun rapporto giuridico diretto con gli Utenti Finali e senza determinare autonomamente finalità proprie per il trattamento dei loro dati.

3.2 Dati personali degli Utenti Finali trattati

3.3 Funzionamento dell'intelligenza artificiale — Trasparenza

Ai sensi del Regolamento (UE) 2024/1689 (AI Act, Art. 50) e dei principi di trasparenza del GDPR (Artt. 13-14), informiamo che la Piattaforma utilizza sistemi di intelligenza artificiale secondo il flusso descritto di seguito.

3.3.1 Assistente vocale

Quando un Utente Finale chiama il numero configurato dal Cliente:

• —Trascrizione e voce: l'audio viene trasmesso in tempo reale a ElevenLabs Inc. (Sub-Responsabile con sede negli USA), che trascrive il parlato e produce la voce sintetica dell'assistente.
• —Comprensione della conversazione: è affidata a modelli di linguaggio di OpenAI e, come riserva, di Google, dei quali ElevenLabs si avvale come propri sub-responsabili.
• —Informazioni usate per rispondere: l'assistente può usare i dati della Piattaforma che riguardano chi chiama e il suo condominio, per esempio il titolo e lo stato delle sue pratiche (anche nate da una email) e gli appuntamenti e le assemblee in calendario.
• —Conservazione: ElevenLabs conserva l'audio e la trascrizione della chiamata nell'account di StudioAgent per 90 (novanta) giorni. Nella Piattaforma restano la trascrizione e il riepilogo collegati alla pratica. L'audio non è disponibile nella dashboard: in casi particolari, su richiesta del Cliente, StudioAgent può fornirlo entro 30 giorni dalla chiamata.

3.3.2 Elaborazione dei testi (LLM)

Il testo delle email, dei messaggi WhatsApp e delle trascrizioni delle chiamate, e le richieste fatte nella Chat AI, sono elaborati dai modelli Gemini di Google Cloud (Vertex AI) — Google Ireland Ltd., nella regione dell'Unione Europea, per:

• —classificare la segnalazione per tipologia (es. guasto urgente, richiesta documentale, comunicazione generica) e priorità, e collegarla al condominio e al condòmino;
• —preparare bozze di risposta coerenti con i regolamenti condominiali, lo storico e le preferenze configurate dal Cliente;
• —rispondere alle domande dei collaboratori dello studio nella Chat AI.

Il sistema non assume decisioni autonome sulle azioni sostanziali (risposte definitive, attivazione di fornitori, approvazione di interventi), che restano sotto il controllo dell'Amministratore e dei collaboratori dello studio, salvo le funzioni automatiche configurate per il Cliente (per esempio la prenotazione degli appuntamenti da parte dell'assistente, i promemoria e l'inoltro delle pratiche ai fornitori), che possono essere disattivate su sua richiesta.

3.3.3 Canali di comunicazione

4. Dati degli utenti Google (Gmail e Google Calendar)

Questa sezione descrive come la Piattaforma tratta i dati ottenuti tramite le API di Google quando il Cliente, o un suo collaboratore, collega una casella Gmail o un calendario Google. Prima di ogni collegamento la Piattaforma mostra un avviso con queste informazioni e chiede di accettarlo; solo dopo si apre la schermata di consenso di Google.

4.1 Dati a cui accediamo

La Piattaforma non chiede il permesso di eliminare definitivamente le email: dalla posta di StudioAgent le email si possono solo spostare nel cestino di Gmail.

4.2 Come usiamo questi dati

I dati degli utenti Google sono usati solo per fornire al Cliente le funzioni visibili nella Piattaforma:

• —mostrare la posta nella Piattaforma, smistarla, collegarla ai condòmini e ai condomìni, aprire e aggiornare le pratiche;
• —preparare bozze di risposta e inviare email dalla casella del Cliente, quando lo chiede un utente dello studio e per gli invii automatici della Piattaforma (per esempio promemoria e riepiloghi delle pratiche, moduli e documenti chiesti dai condòmini, avvisi ai collaboratori e ai fornitori);
• —segnare le email come lette, cambiarne le etichette, archiviarle o spostarle nel cestino quando un utente lo fa dalla Piattaforma; l'assistente segna come lette le richieste che ha già gestito (per esempio le richieste di appuntamento);
• —mostrare il calendario nella Piattaforma, controllare la disponibilità, creare, spostare o annullare appuntamenti (anche quelli presi dall'assistente vocale o via WhatsApp) e riconoscere assemblee e interventi;
• —consentire all'assistente vocale di rispondere a chi chiama sullo stato delle sue pratiche e sugli appuntamenti (vedi § 3.3.1).

4.3 Con chi condividiamo questi dati

I dati degli utenti Google non sono venduti, non sono usati per pubblicità e non sono trasferiti a terzi, se non nella misura necessaria a fornire le funzioni descritte al § 4.2, con il consenso dato dall'utente al momento del collegamento:

• —Google Cloud (Vertex AI), nella regione UE: elaborazione del testo delle email da parte dell'intelligenza artificiale;
• —ElevenLabs Inc. e i modelli di linguaggio di cui si avvale (OpenAI e Google): le informazioni sulle pratiche e sugli appuntamenti che l'assistente vocale usa durante una chiamata;
• —Supabase Inc. (database, UE) e Railway Corp. (hosting): conservazione ed elaborazione tecnica dei dati.

Possono inoltre essere comunicati per motivi di sicurezza (per esempio per indagare un abuso), per adempiere a obblighi di legge o, con il consenso esplicito preventivo degli utenti, nell'ambito di una fusione, acquisizione o cessione di StudioAgent.

4.4 Uso limitato (Limited Use)

L'uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, compresi i requisiti di Limited Use.

StudioAgent's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

I dati delle API di Google Workspace non sono usati per sviluppare, migliorare o addestrare modelli generalizzati o non personalizzati di intelligenza artificiale o di apprendimento automatico.

Google Workspace APIs are not used to develop, improve, or train generalized or non-personalized AI and/or ML models.

4.5 Chi può leggere questi dati

Il personale di StudioAgent non legge i dati degli utenti Google, salvo:

• —con il consenso esplicito e documentato del Cliente, per elementi specifici (per esempio una email da cui è nato un problema segnalato all'assistenza);
• —quando è necessario per motivi di sicurezza (per esempio per indagare un malfunzionamento o un abuso);
• —per adempiere a obblighi di legge;
• —per le operazioni interne, solo su dati aggregati e anonimizzati.

Durante le sessioni di assistenza (Sezione 9) il contenuto delle email e degli eventi provenienti da Google resta oscurato: gli eventi compaiono solo come «Occupato».

4.6 Conservazione e cancellazione

Il Cliente può in qualsiasi momento:

• —scollegare Gmail o Google Calendar da Impostazioni → Integrazioni;
• —ritirare il permesso anche dal proprio account Google, alla pagina myaccount.google.com/connections;
• —chiedere la cancellazione o una copia dei dati da Impostazioni → Email, nel riquadro «I dati dello studio», o scrivendo a privacy@studioagent.it.

La posta e gli eventi restano comunque nell'account Google del Cliente: la Piattaforma ne cancella solo le proprie copie.

4.7 Protezione

I dati degli utenti Google sono protetti con cifratura in transito (TLS) e a riposo; i token di accesso sono cifrati con chiavi conservate separatamente dal database. L'accesso del personale ai sistemi di produzione è limitato a chi ne ha bisogno ed è registrato (Sezioni 9 e 11).

5. Trasferimenti internazionali dei dati

5.1 Localizzazione primaria dei dati

5.2 Trasferimenti verso Paesi terzi (USA)

Alcune categorie di dati vengono trasmesse a fornitori con sede negli Stati Uniti d'America. Tali trasferimenti sono presidiati dalle garanzie del Capo V del GDPR (Artt. 44-49), nel rispetto della giurisprudenza della Corte di Giustizia UE (Schrems II, Causa C-311/18):

Le Clausole Contrattuali Standard sono quelle adottate dalla Commissione Europea con Decisione di Esecuzione (UE) 2021/914 del 4 giugno 2021. Il Data Privacy Framework è il quadro di adeguatezza UE-USA riconosciuto dalla Commissione Europea con decisione del 10 luglio 2023.

L'elenco completo e aggiornato dei Sub-Responsabili è disponibile alla pagina Sub-Responsabili del Trattamento (Subprocessors).

6. Nessun addestramento dei modelli di intelligenza artificiale

StudioAgent non usa i dati dei Clienti e degli Utenti Finali (email, eventi, messaggi, trascrizioni, registrazioni o qualsiasi altro contenuto) per sviluppare, migliorare, fare fine-tuning o addestrare modelli di intelligenza artificiale, propri o di terzi. Per ciascun fornitore di modelli:

• —Google Cloud (Vertex AI): per contratto (Termini specifici dei servizi Google Cloud), Google non usa i dati elaborati per addestrare i propri modelli.
• —ElevenLabs Inc.: nelle impostazioni dell'account di StudioAgent è disattivato l'uso dei dati per l'addestramento dei modelli.
• —OpenAI, L.L.C. (tramite ElevenLabs): i dati trasmessi tramite le API commerciali non sono usati per addestrare i modelli, secondo i termini di OpenAI.
• —Anthropic, PBC (strumenti di sviluppo e assistenza tecnica): l'uso dei dati per l'addestramento dei modelli è disattivato.

I fornitori conservano i dati elaborati solo per il tempo previsto dai rispettivi termini, per esempio per il monitoraggio degli abusi, e mai per addestrare modelli.

Per i dati degli utenti Google vale inoltre quanto indicato al § 4.4.

7. Minimizzazione e limitazione del contesto

In conformità ai principi di Privacy by Design e by Default (Art. 25 GDPR) e di minimizzazione dei dati (Art. 5(1)(c) GDPR), prima di trasmettere il contenuto delle comunicazioni ai modelli di intelligenza artificiale la Piattaforma applica i seguenti meccanismi:

• —Esclusione dei dati di terzi: quando l'interlocutore è un Utente Finale, i contenuti riferiti a soggetti diversi da lui (anagrafiche, posizioni di morosità, diffide, decreti ingiuntivi) sono esclusi dalla selezione dei documenti prima che questa raggiunga il modello.
• —Limitazione al contesto necessario: il modello riceve solo le informazioni necessarie a comprendere e gestire la richiesta.
• —Segregazione per studio: i dati di ogni studio sono logicamente isolati e l'assistente di uno studio non può accedere ai dati di un altro.

8. Tempi di conservazione

8.1 Durante il rapporto contrattuale

8.2 Sospensione e cessazione del contratto (disdetta, risoluzione, fine della prova)

Restano fermi i tempi di conservazione più lunghi previsti dalla legge per i dati contabili e fiscali del Cliente (§ 2.3).

9. Accesso del personale di StudioAgent ai dati

Il personale di StudioAgent accede alla dashboard di uno studio solo per l'assistenza richiesta dal Cliente o necessaria all'erogazione del servizio:

• —le sessioni di assistenza si aprono solo dopo una nuova verifica dell'identità del membro del personale, durano al massimo 2 (due) ore e restano registrate (chi, quando, quale studio);
• —durante l'assistenza il contenuto delle email e degli eventi provenienti da Google resta oscurato (§ 4.5); il resto dei dati dello studio è visibile per poter risolvere il problema;
• —l'accesso ai sistemi di produzione è limitato al personale che ne ha bisogno, secondo il principio del privilegio minimo.

10. Diritti degli interessati

10.1 Per i Clienti (Amministratori)

In qualità di Titolare del trattamento dei dati dei Clienti, StudioAgent garantisce l'esercizio di tutti i diritti previsti dal GDPR:

Modalità di esercizio: dalla dashboard, in Impostazioni → Email, riquadro «I dati dello studio» (richiesta di copia o di cancellazione dei dati dello studio), oppure scrivendo a privacy@studioagent.it. Rispondiamo entro 30 giorni.

10.2 Per gli Utenti Finali (condòmini, fornitori)

Poiché StudioAgent tratta i dati degli Utenti Finali esclusivamente in qualità di Responsabile del trattamento, le richieste relative all'esercizio dei diritti (accesso, rettifica, cancellazione, opposizione, portabilità) devono essere rivolte al proprio Amministratore di Condominio, che è il Titolare del trattamento.

StudioAgent, ricevuta l'istruzione dal Titolare, fornirà al Cliente l'assistenza tecnica e organizzativa necessaria per evadere la richiesta (Art. 28(3)(e) GDPR), inclusa l'esportazione dei dati dell'interessato, la cancellazione selettiva dei messaggi e delle trascrizioni e la rettifica di eventuali dati anagrafici errati.

In ogni caso l'interessato conserva il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali — Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it.

11. Sicurezza dei dati

StudioAgent adotta misure tecniche e organizzative conformi all'Art. 32 GDPR per garantire un livello di sicurezza adeguato al rischio. Il dettaglio delle misure è riportato nell'Allegato 2 del DPA. Le misure comprendono, a titolo esemplificativo:

• —cifratura dei dati in transito (TLS) e a riposo; token di accesso ai servizi collegati e chiavi dei fornitori cifrati, con chiavi conservate separatamente dai dati;
• —segregazione logica dei dati di ciascuno studio a livello di database e di applicazione;
• —password conservate solo come hash unidirezionale e verifica aggiuntiva dell'identità per le operazioni più delicate del personale (sessioni di assistenza, modifiche delle chiavi, cancellazioni);
• —backup giornalieri cifrati all'interno dell'Unione Europea;
• —principio del privilegio minimo per l'accesso del personale ai dati di produzione, con registro delle operazioni;
• —verifiche periodiche di sicurezza delle applicazioni e delle dipendenze.

12. Modifiche alla presente Informativa

StudioAgent si riserva il diritto di modificare o aggiornare la presente Informativa. In caso di modifiche sostanziali, i Clienti saranno informati tramite notifica nella dashboard e/o email con un preavviso di almeno 15 giorni prima dell'entrata in vigore. La versione aggiornata sarà pubblicata su questa pagina con l'indicazione della data di ultimo aggiornamento. L'uso continuato della Piattaforma dopo l'entrata in vigore delle modifiche costituirà accettazione della nuova versione.

13. Contatti

Per qualsiasi domanda, richiesta di chiarimento o esercizio dei diritti relativi al trattamento dei dati personali:

Informativa redatta ai sensi degli Artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e dell'Art. 50 del Regolamento (UE) 2024/1689 (AI Act). Data di ultimo aggiornamento: 17 ottobre 2026.