Accordo sul trattamento dei dati personali (DPA)
1. Parti e ruoli
- Titolare del trattamento: il Cliente (agenzia immobiliare o altra impresa) che utilizza Rentodo, come identificato nel modulo d'ordine o nell'account.
- Responsabile del trattamento: Home Booster, S.L., NIF B93770246, Calle Triana 66 p.4, Las Palmas de Gran Canaria (Spagna), marchio 21BiT (il "Fornitore").
Questo accordo disciplina i trattamenti che il Fornitore esegue per conto del Titolare nell'erogazione del Servizio e prevale sui Termini di servizio in caso di contrasto in materia di dati personali.
2. Oggetto, durata, natura e finalità
| Oggetto | Erogazione del Servizio Rentodo: archiviazione dei documenti, lettura automatica dei contratti, gestione di scadenze, rate, incassi, comunicazioni, spese condominiali e canone concordato, assistenza tecnica. |
| Durata | Per tutta la durata dell'abbonamento e fino alla restituzione o cancellazione dei dati (art. 8). |
| Natura | Raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione automatizzata (inclusa l'estrazione con intelligenza artificiale), comunicazione ai destinatari indicati dal Titolare (proprietari, inquilini), cancellazione. |
| Finalità | Esclusivamente l'esecuzione del Servizio secondo le istruzioni del Titolare. Nessun uso per finalità proprie del Fornitore, nessuna cessione, nessun addestramento di modelli. |
| Interessati | Locatori, conduttori, garanti, rappresentanti, amministratori di condominio e altre parti dei contratti; dipendenti e collaboratori del Titolare che usano il Servizio. |
| Categorie di dati | Dati anagrafici e di contatto, codice fiscale e partita IVA, dati catastali e degli immobili, dati economici dei contratti (canoni, depositi, spese, incassi), coordinate bancarie, copie di documenti d'identità quando allegate dal Titolare, contenuto delle comunicazioni. Nessuna categoria particolare (art. 9) è richiesta dal Servizio; se presente nei documenti caricati, è trattata solo come parte del documento. |
3. Istruzioni del Titolare
Il Fornitore tratta i dati solo su istruzione documentata del Titolare. Costituiscono istruzioni: i Termini di servizio, questo accordo e le configurazioni e azioni effettuate dagli Utenti nel Servizio (caricamento, conferma dei dati, approvazione e invio delle comunicazioni, automazioni attivate). Se un'istruzione appare in contrasto con la normativa, il Fornitore informa il Titolare.
4. Obblighi del Fornitore
- Garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza e formate.
- Adottare le misure di sicurezza dell'art. 32 GDPR descritte all'art. 6.
- Assistere il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione) entro 10 giorni lavorativi dalla richiesta del Titolare; inoltrare al Titolare le richieste ricevute direttamente.
- Assistere il Titolare negli adempimenti degli artt. 32-36 (sicurezza, violazioni, valutazione d'impatto), tenuto conto delle informazioni a disposizione.
- Notificare al Titolare ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza, con le informazioni necessarie alla notifica all'autorità (natura, interessati e dati coinvolti, conseguenze probabili, misure adottate).
- Tenere il registro delle categorie di attività di trattamento svolte per conto del Titolare e metterlo a disposizione su richiesta.
- Mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire verifiche, anche ispettive, da parte del Titolare o di un revisore da lui incaricato, una volta l'anno o dopo una violazione, con preavviso di 15 giorni e nel rispetto della riservatezza degli altri clienti.
5. Sub-responsabili
Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, vincolati da accordi che impongono gli stessi obblighi di questo accordo. Il Fornitore resta responsabile verso il Titolare del loro operato.
| Sub-responsabile | Attività | Luogo del trattamento |
|---|---|---|
| Supabase, Inc. | Database, archiviazione documenti, autenticazione, funzioni applicative | Unione Europea (Francoforte, AWS eu-central-1) |
| Cloudflare, Inc. | Pubblicazione dell'applicazione web, rete di distribuzione, DNS, protezione del traffico | Rete globale con sede UE; dati applicativi non conservati |
| Anthropic, PBC | Lettura automatica dei documenti con modelli di intelligenza artificiale (Claude) | Stati Uniti; trasferimento con Data Privacy Framework e clausole contrattuali standard; i contenuti non sono usati per addestrare i modelli |
| Google LLC | Autenticazione "Accedi con Google" (solo nome, email e identificativo dell'account) | Unione Europea e Stati Uniti; Data Privacy Framework |
Il Fornitore comunica al Titolare, con almeno 15 giorni di anticipo, l'aggiunta o la sostituzione di un sub-responsabile (ad esempio per l'invio di email, messaggi WhatsApp o pagamenti). Il Titolare può opporsi per motivi legittimi entro tale termine; in mancanza di soluzione, può disdire il Servizio senza penali.
6. Misure di sicurezza
- Cifratura dei dati in transito (TLS) e a riposo; documenti archiviati in uno spazio privato, accessibile solo tramite il Servizio.
- Separazione dei dati tra clienti a livello di database (politiche di sicurezza per riga: ogni Utente vede solo i dati della propria agenzia).
- Accessi solo su invito, con credenziali personali e ruoli; registrazione delle operazioni rilevanti; possibilità di disattivare un Utente immediatamente.
- Nessun dato legale viene reso operativo senza conferma di un Utente; le estrazioni dell'intelligenza artificiale restano in stato "da verificare".
- Copie di sicurezza periodiche e procedure di ripristino; aggiornamento continuo dei componenti software; segreti e chiavi gestiti fuori dal codice.
- Invio ai fornitori di intelligenza artificiale dei soli documenti necessari all'estrazione, senza conservazione a fini di addestramento.
7. Trasferimenti fuori dall'Unione Europea
I dati sono conservati nell'Unione Europea. Trasferimenti verso gli Stati Uniti avvengono solo verso i sub-responsabili dell'art. 5, sulla base della decisione di adeguatezza per il Data Privacy Framework o delle clausole contrattuali standard della Commissione europea, con le misure supplementari necessarie.
8. Fine del trattamento
Alla cessazione dell'abbonamento, il Titolare può esportare tutti i dati e i documenti in formato leggibile (CSV o JSON e file originali) per 90 giorni. Trascorso questo periodo, salvo diversa istruzione scritta del Titolare o obblighi di legge, il Fornitore cancella i dati e le copie esistenti, confermandolo per iscritto su richiesta. I log tecnici e di sicurezza sono conservati per 12 mesi.
9. Responsabilità, legge e foro
Ciascuna parte risponde dei danni causati dalle proprie violazioni di questo accordo e del GDPR, secondo l'art. 82 del Regolamento. Si applicano la legge italiana e il Foro di Milano, come previsto dai Termini di servizio.
10. Accettazione e firma
L'accordo si accetta al primo accesso al Servizio da parte di un Utente con ruolo di titolare o amministratore oppure con la sottoscrizione che segue. Una copia firmata può essere richiesta a [email protected].
| Il Titolare Ragione sociale: ______________________ Sede: ______________________ Partita IVA / CF: ______________________ Nome e ruolo del firmatario: ______________________ Data e firma: ______________________ |
Il Responsabile Home Booster, S.L. (21BiT) Calle Triana 66 p.4, Las Palmas de Gran Canaria NIF B93770246 Umberto Gallo, amministratore Data e firma: ______________________ |