Ultimo aggiornamento: 17 ottobre 2026 | Ai sensi del Reg. UE 2016/679 (GDPR) e del D.Lgs. 196/2003
MASTER ACADEMY SRLS
Sede legale: Via Costantino Corvisieri n. 10, 00162 Roma (RM)
P.IVA / C.F.: 17698961004
REA: RM – 1735710
PEC (contatto per ogni richiesta): masteracademysrls@legalmail.it
Legale rappresentante: Loretta Mura (Amministratrice Unica)
Il Titolare del Trattamento è responsabile della protezione dei dati personali raccolti tramite la piattaforma Business Tool Box (startapptoolbox.it).
Il Titolare raccoglie le seguenti categorie di dati personali:
A. Dati di Registrazione e Profilo:
B. Dati Aziendali e di Progetto:
C. Dati di Pagamento:
Il pagamento avviene sulla pagina di checkout ospitata da Stripe (Stripe Checkout): i dati della carta sono inseriti direttamente su Stripe (certificata PCI-DSS Level 1) e non transitano né vengono memorizzati sui server del Titolare, che non conosce il numero completo della carta né il CVC.
D. Dati Generati dall'AI:
E. Dati di Navigazione e Telemetria:
F. Dati di Comunicazione:
Il Titolare tratta i dati personali per le seguenti finalità, con le corrispondenti basi giuridiche:
A. Esecuzione del Contratto (Art. 6(1)(b) GDPR):
B. Interesse Legittimo (Art. 6(1)(f) GDPR):
C. Consenso (Art. 6(1)(a) GDPR):
Il consenso può essere revocato in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente: per i cookie tramite il pulsante (presente anche nel piè di pagina della home page e nella Cookie Policy), per la newsletter tramite il link di disiscrizione presente in ogni email, per il resto scrivendo a masteracademysrls@legalmail.it.
D. Obbligo Legale (Art. 6(1)(c) GDPR):
A. Trattamento dei Dati tramite Anthropic Claude (AI):
Quando l'Utente genera documenti, usa il consulente AI, l'assistente dei campi o l'estrazione dati da file, i dati necessari vengono inviati all'API Claude di Anthropic, PBC (USA) per l'elaborazione. In particolare:
B. Destinatari dei Dati (Sub-processori):
I dati personali possono essere comunicati ai seguenti soggetti, che agiscono come Responsabili del Trattamento o Sub-processori. Il dettaglio aggiornato (entità, finalità, ubicazione, garanzie e link ai DPA) è nella pagina Lista Sub-processor.
1. Supabase (Database, Autenticazione e Archiviazione File):
2. Vercel (Hosting dell'Applicazione):
3. Anthropic (Elaborazione AI):
4. Stripe (Pagamenti):
5. Resend (Email Transazionali):
6. Google (Accesso con Google e Google Analytics 4):
7. Autorità Pubbliche:
Nessuna Condivisione Non Autorizzata: Il Titolare NON vende, affitta, condivide o trasferisce i dati personali a terze parti per finalità di marketing, profilazione pubblicitaria o altre finalità commerciali senza il consenso esplicito e separato dell'Utente. Qualsiasi condivisione diversa da quelle sopra indicate è esclusa.
Gli Utenti possono pubblicare, a un indirizzo del dominio di Business Tool Box (startapptoolbox.it/v/…), una pagina pubblica relativa al proprio progetto ("Landing di validazione") con un modulo di iscrizione a una lista d'attesa. I testi della pagina sono generati dall'AI a partire dal profilo del progetto e sono modificabili dall'Utente, che ne risponde come previsto dai Termini.
Ruoli: i dati che i visitatori inseriscono nel modulo (indirizzo email, eventuale nome, data e ora dell'iscrizione, indirizzo IP e browser a prova del consenso, canale di provenienza ed eventuali parametri di campagna) sono raccolti per conto dell'Utente che ha pubblicato la pagina, il quale ne è Titolare del Trattamento ai sensi dell'art. 4 n. 7 GDPR. Per tali dati MASTER ACADEMY SRLS agisce come Responsabile del Trattamento ai sensi dell'art. 28 GDPR, secondo le Condizioni per il trattamento dei dati per conto dell'Utente, che l'Utente accetta al momento della pubblicazione.
Cosa fa il Responsabile: ospita la pagina, riceve e conserva le iscrizioni, le conta (e mostra il numero sulla pagina se l'Utente lo sceglie), le rende visibili all'Utente nel suo pannello e gli consente di esportarle in CSV o di cancellarle, singolarmente, quando vuole. Il Responsabile non invia email agli iscritti (né di conferma né di altro tipo: è l'Utente a ricontattarli con i propri mezzi), non usa i loro dati per finalità proprie, non li inserisce nei documenti generati e non li trasmette ai servizi di intelligenza artificiale: ai documenti e ai punteggi arriva soltanto il numero degli iscritti.
Diritti degli iscritti: gli iscritti esercitano i propri diritti verso l'Utente, i cui nome, indirizzo ed email di contatto compaiono in fondo alla pagina insieme a un'informativa sintetica. Le richieste che pervengono al Responsabile (ad esempio tramite la PEC indicata come contatto per segnalare un abuso) sono trasmesse all'Utente senza ingiustificato ritardo; il Responsabile può sospendere o rimuovere la pagina nei casi previsti dai Termini.
Conservazione: i dati degli iscritti sono conservati finché l'Utente non li cancella dal pannello del progetto e, in ogni caso, finché esiste l'account dell'Utente: vengono eliminati, immediatamente e definitivamente, con la cancellazione dell'account (che elimina i progetti e i loro dati) oppure quando il Responsabile rimuove la pagina nei casi previsti dai Termini. Riportare la pagina in bozza non li cancella. Sono inclusi nell'esportazione dei dati dell'Utente (sezione 7.E).
Sub-responsabili coinvolti: Supabase (conservazione nel database, UE) e Vercel (hosting della pagina e ricezione del modulo), con le garanzie indicate nella Lista Sub-processor. Anthropic, Resend, Stripe e Google non trattano i dati degli iscritti.
Visitatori della pagina: la Landing di validazione è una pagina del sito di Business Tool Box. Per i dati di navigazione dei visitatori (log tecnici, limiti di frequenza e protezione da abusi, statistiche aggregate senza cookie e, solo con il consenso espresso tramite il banner presente anche sulla pagina, Google Analytics 4) il Titolare è MASTER ACADEMY SRLS, con le finalità, le basi giuridiche e le durate descritte nelle sezioni 2.E, 3 e 6 e nella Cookie Policy. Le Landing di validazione non possono essere rivolte a minori di 18 anni.
Alcuni Sub-processori sono società con sede negli Stati Uniti o possono trattare dati negli Stati Uniti (Anthropic, Vercel, Resend, Stripe, Google). Qualsiasi trasferimento di dati personali al di fuori dello Spazio Economico Europeo (SEE) avviene sulla base delle seguenti garanzie:
I dati sono sempre trasmessi su connessioni cifrate. Gli Utenti possono richiedere informazioni sui meccanismi di trasferimento scrivendo a masteracademysrls@legalmail.it.
Catena di notifica data breach: in caso di violazione presso un Sub-processore: (a) il Sub-processore informa il Titolare senza ingiustificato ritardo, secondo i termini del proprio DPA; (b) il Titolare notifica il Garante per la protezione dei dati personali entro 72 ore da quando ne è venuto a conoscenza (art. 33 GDPR); (c) il Titolare informa gli Utenti interessati senza ingiustificato ritardo quando la violazione comporta un rischio elevato per i loro diritti e libertà (art. 34 GDPR).
Il Titolare conserva i dati personali secondo i seguenti periodi:
A. Dati di Account e Profilo: Per tutta la durata dell'account. Quando l'Utente elimina l'account da Impostazioni > Account, la cancellazione è immediata e definitiva: non è previsto un periodo di grazia e i dati non possono essere recuperati.
B. Dati di Progetto, Documenti Generati e File Caricati: Per tutta la durata dell'account, salvo eliminazione anticipata da parte dell'Utente. Sono cancellati immediatamente insieme all'account. Se l'organizzazione ha altri membri, i contenuti condivisi dell'organizzazione restano disponibili per loro e vengono eliminati solo i dati personali dell'Utente che chiude l'account. Prima della cancellazione l'Utente può scaricare una copia dei propri dati da Impostazioni > Account > Esporta i miei dati.
C. Dati di Fatturazione e Pagamento: Le fatture e le scritture contabili sono conservate per 10 anni, come previsto dall'art. 2220 del Codice Civile e dalla normativa fiscale. Tale periodo è obbligatorio per legge e si applica anche dopo la cancellazione dell'account; alla cancellazione il profilo cliente presso Stripe viene eliminato.
D. Log AI (Agent Run): Input e output delle elaborazioni AI sono conservati per 90 giorni a scopi di assistenza e risoluzione dei problemi. Dopo 90 giorni una procedura automatica quotidiana li pseudonimizza: il contenuto di input e output viene rimosso e restano soltanto i metadati tecnici (tipo di elaborazione, token utilizzati, durata, esito), che rimangono collegati al progetto, e quindi all'account, per tutta la durata dell'account. I log sono cancellati insieme all'account. Per la conservazione presso Anthropic vedi la sezione 4.A.
E. Dati di Navigazione e Statistiche: I dati raccolti con Google Analytics 4 (solo con consenso) sono conservati per il periodo impostato nella proprietà Google Analytics, al massimo 14 mesi. Le statistiche aggregate di Vercel Analytics non contengono identificativi personali. I log tecnici delle richieste sono conservati dal fornitore di hosting per il periodo limitato previsto dal suo servizio.
F. Email e Comunicazioni di Supporto: Conservate per 3 anni a scopo di gestione di eventuali contestazioni e di assistenza clienti. Successivamente eliminate.
G. Newsletter: L'indirizzo email e la prova del consenso sono conservati finché l'Utente resta iscritto; dopo la disiscrizione l'indirizzo non riceve più comunicazioni.
H. Cookie e Memoria Locale del Browser: Vedi la Cookie Policy per durata e gestione.
I. Iscritti alle Liste d'Attesa delle Landing di Validazione (dati trattati per conto dell'Utente, sezione 4-bis): finché l'Utente non li cancella, singolarmente, dal pannello del progetto e, in ogni caso, per la durata dell'account: sono eliminati immediatamente con la cancellazione dell'account (che elimina i progetti e i loro dati) oppure con la rimozione della pagina da parte di MASTER ACADEMY SRLS nei casi previsti dai Termini; riportare la pagina in bozza non li cancella. L'Utente può esportarli in CSV dal pannello del progetto in qualsiasi momento e li ritrova nell'esportazione completa dei propri dati.
Eccezioni per Obblighi Legali: Qualora il Titolare sia obbligato da legge, autorità giudiziaria o altra autorità pubblica a conservare dati per periodi superiori, la conservazione continuerà fino al venir meno dell'obbligo. L'Utente sarà informato ove possibile.
L'Utente ha i seguenti diritti sulla base del GDPR, esercitabili contattando il Titolare:
A. Diritto di Accesso (Art. 15 GDPR): Ottenere conferma che sia o meno in corso un trattamento, accedere ai dati personali e alle informazioni su finalità, destinatari e periodo di conservazione. Una copia dei dati è scaricabile in autonomia da Impostazioni > Account > Esporta i miei dati.
B. Diritto di Rettifica (Art. 16 GDPR): Correggere dati personali inesatti, incompleti o obsoleti. La maggior parte dei dati è modificabile direttamente dall'Account e dalle schede di progetto.
C. Diritto di Cancellazione / Diritto all'Oblio (Art. 17 GDPR): L'Utente può eliminare in autonomia il proprio account da Impostazioni > Account: la cancellazione è immediata e definitiva, salvo i dati che il Titolare deve conservare per legge (es. dati fiscali per 10 anni). Le richieste inviate per iscritto sono evase entro i termini indicati più sotto.
D. Diritto di Limitazione del Trattamento (Art. 18 GDPR): Richiedere di limitare il trattamento dei dati mentre vengono verificate contestazioni o esercitati altri diritti.
E. Diritto di Portabilità dei Dati (Art. 20 GDPR): Ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico. L'esportazione in formato JSON è disponibile in Impostazioni > Account > Esporta i miei dati e comprende profilo, organizzazione, progetti (incluse le prove di trazione, la Landing di validazione e i relativi iscritti), documenti generati con le relative versioni, abbonamenti e l'elenco dei file caricati con link di download validi 24 ore.
F. Diritto di Opposizione (Art. 21 GDPR): Opporsi al trattamento dei dati basato sull'interesse legittimo o svolto per finalità di marketing. L'opposizione al marketing ha effetto immediato.
G. Diritto di Revoca del Consenso (Art. 7 GDPR): Revocare il consenso in qualsiasi momento, senza pregiudizio per la liceità del trattamento effettuato prima della revoca: per i cookie con il pulsante "Preferenze cookie", per la newsletter con il link di disiscrizione presente in ogni email.
H. Diritti Relativi al Processo Decisionale Automatizzato (Art. 22 GDPR): Il Servizio non adotta decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente sull'Utente. I contenuti e i punteggi generati sono suggerimenti che l'Utente è libero di valutare.
Modalità di Esercizio dei Diritti: Per esercitare qualsiasi diritto, inviare una richiesta scritta a:
PEC: masteracademysrls@legalmail.it
Indirizzo postale: MASTER ACADEMY SRLS, Via Costantino Corvisieri n. 10, 00162 Roma (RM)
Nella richiesta, specificare il diritto da esercitare e fornire informazioni sufficienti per identificare l'interessato.
Risposta Entro 30 Giorni: Il Titolare fornirà una risposta entro un mese dalla ricezione della richiesta (art. 12 GDPR). In caso di richieste complesse o numerose, il termine può essere prorogato di ulteriori due mesi, con comunicazione motivata al richiedente.
Diritto di Reclamo: L'Utente ha diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (Piazza Venezia n. 11, 00187 Roma) se ritiene che il trattamento violi il GDPR. Informazioni e modalità: www.garanteprivacy.it.
Il Titolare adotta misure tecniche e organizzative adeguate a proteggere i dati personali da distruzione, perdita, alterazione, divulgazione o accesso non autorizzati, in conformità all'art. 32 GDPR:
Misure Tecniche:
Misure Organizzative:
Responsabilità dell'Utente: L'Utente è responsabile di mantenere la riservatezza delle proprie credenziali di accesso e di notificare immediatamente il Titolare in caso di accesso non autorizzato al proprio account.
Per informazioni sull'utilizzo dei cookie, consulta la nostra Cookie Policy.
Il Servizio non è destinato a persone di età inferiore a 18 anni. Il Titolare non raccoglie consciamente dati da minori. Se viene a conoscenza che dati di minori sono stati raccolti senza consenso del genitore/tutore, provvederà a eliminarli entro 30 giorni. I genitori che ritengono che dati dei loro figli siano stati raccolti possono contattare masteracademysrls@legalmail.it.
Il Titolare si riserva il diritto di aggiornare la presente Informativa sulla Privacy. Le modifiche sostanziali saranno comunicate agli Utenti registrati via email e/o tramite avviso sulla piattaforma con almeno 30 giorni di preavviso. Modifiche minori (correzioni grammaticali, chiarimenti non sostanziali, aggiornamenti legali di scarso impatto) possono essere applicate senza preavviso.
La data dell'ultimo aggiornamento è indicata in cima al documento. L'utilizzo continuato del Servizio dopo la comunicazione di modifiche costituisce accettazione della Informativa aggiornata.
Per domande, richieste, lagnanze o comunicazioni relative alla presente Informativa sulla Privacy e al trattamento dei dati personali:
Titolare del Trattamento:
MASTER ACADEMY SRLS
Via Costantino Corvisieri n. 10, 00162 Roma (RM)
P.IVA / C.F.: 17698961004
REA: RM – 1735710
PEC: masteracademysrls@legalmail.it
Contatto per la protezione dei dati: per ogni questione relativa al trattamento dei dati personali scrivere alla PEC sopra indicata.
Il Titolare risponde alle richieste relative ai diritti dell'interessato nei termini indicati alla sezione 7.