Accordo sul trattamento dei dati (DPA)

Versione 1.3, in vigore dal 29/10/2026

---

Accordo sul trattamento dei dati personali

Nomina a Responsabile del trattamento ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR). Ultimo aggiornamento: 29/10/2026.

1. Le parti

Titolare del trattamento: l'utente titolare dell'account, che inserisce nella piattaforma i dati personali dei propri inquilini e degli altri soggetti coinvolti nella gestione delle locazioni.

Responsabile del trattamento:

Globus Srl (Srl)
Sede: Via Pertini, Rizziconi 89016
P.IVA: 08232251002
Email: info@gestionaleaffitti.com

Con l'accettazione del presente accordo il Titolare nomina il Responsabile ai sensi dell'art. 28 GDPR, e il Responsabile accetta l'incarico alle condizioni che seguono.

2. Oggetto, durata, natura e finalità

Oggetto: il trattamento dei dati personali necessari all'erogazione del servizio GestionaleAffitti.

Durata: per tutta la durata del rapporto contrattuale, fino alla chiusura dell'account e alla cancellazione dei dati prevista all'articolo 7.

Natura e finalità: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, estrazione e cancellazione dei dati, al solo scopo di fornire le funzionalità del servizio secondo le istruzioni del Titolare.

Istruzioni del Titolare: sono costituite dal presente accordo, dai Termini e condizioni e dall'uso che il Titolare fa delle funzioni della piattaforma (per esempio inserire, modificare, esportare o cancellare dati). Ulteriori istruzioni scritte sono concordate tra le parti. Il Responsabile non tratta i dati per finalità proprie: in particolare non li usa per profilazione, pubblicità o per addestrare modelli di intelligenza artificiale. Per l'assistenza al Titolare e per le statistiche di funzionamento del servizio usa soltanto conteggi (per esempio quanti immobili, inquilini, contratti e canoni registrati), senza consultare né estrarre i dati identificativi degli interessati.

Area inquilino. Quando il Titolare invita un inquilino all'area inquilino, istruisce il Responsabile a rendere accessibili a quell'inquilino, in sola lettura e con accesso protetto da credenziali personali, i dati del suo contratto (immobile, condizioni economiche, canoni e pagamenti), i dati di contatto del Titolare, il conto indicato per i pagamenti e i soli documenti che il Titolare condivide espressamente. Il Titolare garantisce che questa comunicazione all'interessato è lecita e pertinente e può revocarla in qualsiasi momento; l'account dell'inquilino (credenziali e accessi) è trattato dal gestore come titolare autonomo.

Calendario e WhatsApp. La piattaforma offre collegamenti che aprono, sul dispositivo del Titolare, Google Calendar o WhatsApp con i dati già compilati (per WhatsApp il numero di cellulare dell'inquilino e un testo modificabile), e file .ics che il Titolare scarica per il proprio calendario. Il Responsabile non comunica dati a questi servizi: se il Titolare salva l'evento o invia il messaggio, è il Titolare a comunicare i dati, sotto la propria responsabilità, e garantisce di usare il numero dell'inquilino in modo lecito e pertinente al rapporto di locazione.

3. Tipi di dati e categorie di interessati

Categorie di interessati: inquilini, conduttori, garanti, legali rappresentanti e referenti delle imprese conduttrici, e altri soggetti i cui dati siano inseriti dal Titolare.

Tipi di dati: dati anagrafici e di contatto, codice fiscale, estremi del documento d'identità, dati contrattuali ed economici (canoni, pagamenti, morosità), documenti caricati dal Titolare; per i conduttori imprese, ragione sociale, partita IVA, codice fiscale, sede, PEC e codice destinatario della società, eventuali valutazioni di affidabilità generate su richiesta del Titolare.

Il Titolare si impegna a non inserire categorie particolari di dati (art. 9 GDPR, es. dati sanitari) né dati relativi a condanne penali e reati (art. 10 GDPR) se non strettamente necessario e in presenza di idonea base giuridica, in particolare nei campi di testo libero (note, chat con l'Assistente AI).

4. Obblighi del Responsabile

Il Responsabile si impegna a:

• trattare i dati solo su istruzione documentata del Titolare, anche per i trasferimenti verso Paesi terzi, salvo obblighi di legge, informando in tal caso il Titolare prima del trattamento salvo divieto di legge;
• informare immediatamente il Titolare se, a suo parere, un'istruzione viola il GDPR o altre norme sulla protezione dei dati (art. 28 par. 3, ultimo comma);
• garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• adottare le misure di sicurezza di cui all'art. 32 GDPR, descritte all'articolo 6;
• rispettare le condizioni sul ricorso a sub-responsabili di cui all'articolo 5;
• assistere il Titolare nel dare seguito alle richieste di esercizio dei diritti degli interessati, mettendo a disposizione le funzioni di esportazione, rettifica e cancellazione presenti nella piattaforma;
• assistere il Titolare, tenendo conto della natura del trattamento e delle informazioni disponibili, nel garantire il rispetto degli obblighi di sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva (artt. 32-36 GDPR);
• su scelta del Titolare, cancellare o restituire tutti i dati al termine del servizio, come previsto all'articolo 7;
• mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire audit, secondo l'articolo 8.

5. Sub-responsabili

Il Titolare autorizza in via generale il Responsabile a ricorrere ai sub-responsabili elencati di seguito, necessari all'erogazione del servizio. Il Responsabile impone a ciascuno, con contratto scritto, obblighi di protezione dei dati equivalenti a quelli del presente accordo e risponde nei confronti del Titolare del loro operato (art. 28 par. 4).

I fornitori di pagamento (Stripe, PayPal) e di fatturazione non sono sub-responsabili: non ricevono i dati degli inquilini ma solo quelli dell'acquisto dell'utente, che il gestore tratta come titolare.

Sub-responsabile	Attività	Ubicazione
Hostinger International Ltd	Infrastruttura server e database	Francia (UE)
Wasabi Technologies	Archiviazione dei documenti caricati	Italia (Milano), UE
Requesty (instrada verso fornitori di modelli terzi)	Elaborazione delle richieste alle funzioni di intelligenza artificiale (contratti importati, bozze, valutazioni, domande), senza uso per l'addestramento	Regno Unito — Decisione di adeguatezza UE per il Regno Unito
Microsoft Azure	Esecuzione del modello AI scelto, ricevendo le richieste tramite il gateway	UE o USA secondo la regione — Decisione di adeguatezza UE-USA (Data Privacy Framework) se il fornitore è certificato, altrimenti clausole contrattuali tipo (art. 46)
Fornitore del servizio email (smtp.hostinger.com)	Invio delle comunicazioni di servizio	secondo contratto

In caso di aggiunta o sostituzione di un sub-responsabile, il Responsabile ne dà preavviso al Titolare con almeno 30 giorni di anticipo tramite comunicazione nella piattaforma o via email. Il Titolare può opporsi per motivi ragionevoli e documentati; in caso di mancato accordo può recedere dal servizio con rimborso della quota non fruita.

6. Misure di sicurezza (art. 32)

Il Responsabile adotta, tra le altre:

• cifratura a riposo del codice fiscale e del numero del documento d'identità degli interessati, con algoritmo AES-256-GCM;
• trasmissione dei dati su canale cifrato (HTTPS/TLS);
• hashing delle password con algoritmo bcrypt a costo elevato;
• segregazione logica dei dati: ogni Titolare accede esclusivamente ai propri dati;
• controllo degli accessi con blocco automatico dopo ripetuti tentativi falliti;
• registro degli accessi e delle operazioni rilevanti (audit log);
• copie di sicurezza periodiche e cifrate in transito, ruotate: le ultime 7 sul server e le ultime 30 nell'archivio cloud;
• protezione dei file caricati: accesso mediato dall'applicazione con verifica della titolarità, nessun collegamento pubblico diretto;

7. Cancellazione o restituzione dei dati

Il Titolare può in ogni momento esportare tutti i propri dati in formato strutturato e leggibile, e scaricare in un file ZIP i documenti e le foto caricati, dalla sezione Profilo (restituzione), e cancellare definitivamente l'account con tutti i dati collegati, compresi documenti e file. Alla cessazione del servizio i dati trattati per conto del Titolare vengono cancellati, salvo che il diritto dell'Unione o italiano ne imponga la conservazione; le copie di sicurezza vengono sovrascritte a rotazione (le ultime 7 sul server e le ultime 30 nell'archivio cloud) e fino ad allora restano protette e non vengono usate.

8. Audit e verifiche

Il Responsabile mette a disposizione del Titolare, su richiesta motivata, le informazioni necessarie a dimostrare il rispetto degli obblighi del presente accordo, comprese le attestazioni e le certificazioni dei sub-responsabili. Eventuali verifiche in loco sono concordate con ragionevole preavviso, durante l'orario lavorativo, senza pregiudizio per la sicurezza e la riservatezza degli altri clienti, e con oneri a carico del Titolare richiedente.

9. Violazioni dei dati personali

Il Responsabile informa il Titolare senza ingiustificato ritardo, e di norma entro 48 ore, dopo essere venuto a conoscenza di una violazione dei dati personali, così che il Titolare possa rispettare il termine di 72 ore per la notifica al Garante. La comunicazione indica, nei limiti di quanto noto: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le probabili conseguenze, le misure adottate o proposte e un contatto per informazioni (art. 33 par. 3). Le informazioni non ancora disponibili vengono fornite in fasi successive. Il Responsabile documenta ogni violazione nel proprio registro.

10. Trasferimenti extra-UE

I dati sono trattati preferibilmente su infrastrutture situate nello Spazio economico europeo. Ove un sub-responsabile comporti un trasferimento verso Paesi terzi, questo avviene solo con una decisione di adeguatezza della Commissione europea (per gli Stati Uniti, l'adesione del fornitore all'EU-U.S. Data Privacy Framework) o con le garanzie del Capo V del GDPR, in particolare le Clausole contrattuali tipo, con le eventuali misure supplementari.

11. Responsabilità e legge applicabile

Ciascuna parte risponde delle violazioni a essa imputabili secondo quanto previsto dall'art. 82 GDPR. Il presente accordo è regolato dalla legge italiana e integra i Termini e Condizioni del servizio, che restano validi per quanto non espressamente derogato.

Accettando questo accordo dichiari di averne compreso il contenuto e di conferire la nomina a Responsabile del trattamento. L'accettazione elettronica è valida ai sensi dell'art. 28(9) GDPR, che ammette la forma scritta anche in formato elettronico. Data, ora e indirizzo IP dell'accettazione vengono registrati come prova.