Informativa Privacy per gli Utenti della Piattaforma

Informativa sul trattamento dei dati personali ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018

Ultimo aggiornamento: 29 settembre 2026 — versione 2026-09-27

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali degli utenti della piattaforma e Valerio Baudo Consulting, operante come primacasa.ai. I riferimenti amministrativi sono riportati nella documentazione contrattuale dell'Organizzazione.

Contatto privacy: [email protected]

Per i dati dei clienti finali e degli altri interessati trattati all'interno delle pratiche di mutuo, il titolare del trattamento resta l'Organizzazione che utilizza la piattaforma; primacasa.ai opera come responsabile del trattamento secondo il DPA.

2. Categorie di dati personali trattati

Il Titolare tratta le seguenti categorie di dati personali degli utenti professionali della piattaforma (mediatori creditizi, agenti immobiliari, consulenti e relativi collaboratori):

Categoria Dati specifici Fonte
Dati identificativi Nome, cognome, indirizzo email Registrazione (Google OAuth o magic link)
Dati professionali Numero telefono, qualifica professionale (opzionali) Compilazione profilo utente
Dati regolamentari Codice OAM dell'organizzazione, ove applicabile Creazione organizzazione
Immagine del profilo Fotografia (opzionale) Caricamento da parte dell'utente
Dati di autenticazione Token OAuth di Google Accesso tramite Google Sign-In
Dati di sessione Token di sessione, scadenza, indirizzo IP Utilizzo della piattaforma
Log di audit Registrazioni di accesso/uscita, azioni eseguite sulla piattaforma Utilizzo della piattaforma
Dati di utilizzo Eventi analytics minimizzati: sul sito pubblico categoria di pagina e click CTA, senza URL; nell'area broker la sezione aperta come modello di route, senza indirizzo della pratica, query o valori digitati. Il Portale Cliente non e' misurato. Sito pubblico, pagine legali e area broker
Messaggi chat Messaggi inviati ai clienti tramite la piattaforma Utilizzo della piattaforma
Dati di fatturazione Dati di pagamento gestiti tramite Stripe Stripe Checkout
Registrazioni di sessione Replay della sessione con tutti gli input mascherati, nell'area broker testi e attributi degli elementi oscurati e immagini/documenti/media bloccati; nessuna cattura di console, corpi o header di rete; nessuna associazione a email o identita' dell'utente Pagine pubbliche e area broker, solo previo consenso

Non vengono trattate categorie particolari di dati personali (art. 9 GDPR) ne dati relativi a condanne penali e reati (art. 10 GDPR) degli utenti della piattaforma.

3. Finalita e basi giuridiche del trattamento

I dati personali degli utenti sono trattati per le seguenti finalita, ciascuna fondata su una specifica base giuridica ai sensi dell'art. 6 GDPR:

Finalita Base giuridica Riferimento
Creazione e gestione dell'account, inclusa l'autenticazione e l'identificazione dell'utente Esecuzione del contratto Art. 6, par. 1, lett. b) GDPR
Erogazione del servizio, inclusa la comunicazione con l'utente e l'invio di messaggi ai clienti tramite la piattaforma Esecuzione del contratto Art. 6, par. 1, lett. b) GDPR
Fatturazione e gestione dei pagamenti, inclusa l'elaborazione degli abbonamenti tramite Stripe Esecuzione del contratto Art. 6, par. 1, lett. b) GDPR
Sicurezza della piattaforma e registrazione dei log di audit, incluso il monitoraggio degli accessi e delle azioni per la prevenzione di abusi e frodi Legittimo interesse del Titolare Art. 6, par. 1, lett. f) GDPR
Miglioramento del servizio tramite analytics essenziale e misurazione minimizzata del sito pubblico, delle pagine legali e delle sezioni aperte nell'area broker Legittimo interesse del Titolare Art. 6, par. 1, lett. f) GDPR
Miglioramento dell'esperienza d'uso e debugging tramite registrazione di sessione opt-in su pagine pubbliche e area broker Consenso dell'interessato Art. 6, par. 1, lett. a) GDPR; art. 122 D.Lgs. 196/2003
Adempimento degli obblighi di legge applicabili al fornitore, inclusi quelli contabili e fiscali Obbligo legale Art. 6, par. 1, lett. c) GDPR

Per i trattamenti fondati sul legittimo interesse (art. 6, par. 1, lett. f) GDPR), la piattaforma limita i dati alle finalita indicate: controllo degli accessi e tracciabilita per la sicurezza; eventi minimizzati per le statistiche del sito pubblico e delle sezioni dell'area broker. La registrazione di sessione, a fini di usabilita' e debugging, e' attivata solo previo consenso esplicito, mai come condizione per l'accesso al servizio, il caricamento di documenti o qualsiasi elaborazione, e puo' essere rifiutata o revocata in qualsiasi momento dal link Preferenze cookie. L'interessato puo esercitare il diritto di opposizione secondo la Sezione 7.

4. Destinatari dei dati

I dati personali degli utenti possono essere comunicati alle seguenti categorie di destinatari, nella misura strettamente necessaria per le finalita sopra indicate:

Destinatario Tipologia Finalita Ruolo
Stripe, Inc. Fornitore di servizi di pagamento Elaborazione pagamenti e gestione abbonamenti Titolare autonomo
Plus Five Five, Inc. (Resend) Fornitore di servizi email transazionali Invio di email di servizio (magic link, notifiche) Responsabile del trattamento
Google LLC Fornitore di servizi di autenticazione Autenticazione tramite Google OAuth Titolare autonomo
Supabase, Inc. Fornitore di servizi di database (PostgreSQL) Hosting e gestione del database relazionale Responsabile del trattamento
Cloudflare, Inc. (R2) Fornitore di servizi di archiviazione cloud Archiviazione documenti caricati Responsabile del trattamento
PostHog Fornitore analytics Misurazione essenziale di eventi minimizzati sul sito pubblico, sulle pagine legali e sulle sezioni dell'area broker, e registrazioni di sessione previo consenso Responsabile del trattamento

Nota sui fornitori di intelligenza artificiale: La piattaforma utilizza Google Gemini API a pagamento, fornito da Google Cloud EMEA Limited, esclusivamente per l'elaborazione dei documenti caricati nell'ambito delle pratiche. Anthropic e OpenAI non sono attualmente utilizzati per il trattamento dei dossier in produzione. I dati personali degli utenti della piattaforma (mediatori creditizi) non vengono trasmessi ai fornitori di IA, salvo quando siano contenuti nei documenti caricati per conto del Titolare.

I dati non vengono diffusi ne comunicati a soggetti diversi da quelli sopra indicati, salvo che cio sia richiesto dalla legge o da un'autorita giudiziaria o amministrativa.

5. Trasferimenti internazionali di dati

Alcuni dei destinatari sopra indicati hanno sede al di fuori dello Spazio Economico Europeo (SEE). Il trasferimento dei dati avviene nel rispetto del Capo V del GDPR (artt. 44-49), sulla base delle seguenti garanzie:

Destinatario Paese Garanzia per il trasferimento
Stripe, Inc. Stati Uniti EU-US Data Privacy Framework (decisione di adeguatezza della Commissione europea del 10 luglio 2023)
Plus Five Five, Inc. (Resend) Stati Uniti Clausole contrattuali tipo (SCCs) adottate dalla Commissione europea ai sensi dell'art. 46, par. 2, lett. c) GDPR
Google LLC Stati Uniti EU-US Data Privacy Framework
Supabase, Inc. Stati Uniti EU-US Data Privacy Framework / SCC
Cloudflare, Inc. Stati Uniti EU-US Data Privacy Framework
PostHog Stati Uniti/SEE, secondo configurazione contrattuale Clausole contrattuali tipo o altra garanzia applicabile ai sensi del Capo V GDPR

Il Titolare verifica periodicamente la permanenza delle garanzie di cui sopra e adotta misure supplementari ove necessario, conformemente alle indicazioni della Corte di Giustizia dell'Unione Europea (sentenza Schrems II, causa C-311/18).

6. Periodo di conservazione dei dati

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalita per le quali sono stati raccolti, nel rispetto dei seguenti periodi:

Categoria di dati Periodo di conservazione Motivazione
Dati dell'account (nome, email, dati professionali) Durata dell'account; alla cessazione, cancellazione o anonimizzazione, salvo i dati necessari a obblighi di legge o specifiche contestazioni Gestione del servizio e adempimenti applicabili
Log di audit (accessi, azioni, eventi di sicurezza) 10 anni dalla data di creazione; indirizzi IP rimossi dopo 24 mesi Tracciabilita delle operazioni, sicurezza e documentazione delle contestazioni
Dati di sessione (token, IP) Fino alla scadenza della sessione, rinnovabile con l'uso; sessioni scadute eliminate dalla pulizia programmata Autenticazione e sicurezza
Dati analytics essenziali e registrazioni di sessione Tempo necessario alla misurazione aggregata secondo la configurazione del servizio analytics; registrazioni di sessione conservate per 30 giorni Miglioramento del servizio, usabilita' e debugging
Dati di fatturazione 10 anni dalla data della transazione Obblighi fiscali (art. 2220 c.c., D.P.R. 600/1973)
Messaggi chat Secondo le istruzioni del Titolare della pratica e la procedura di restituzione o cancellazione del DPA Comunicazioni della pratica trattate per conto dell'Organizzazione
Immagine del profilo Fino alla cancellazione da parte dell'utente o alla cessazione dell'account Personalizzazione del servizio

Decorsi i termini, i dati sono cancellati o resi anonimi. Gli eventuali dati conservati per obblighi di legge o contestazioni sono limitati a quelli necessari. I dati delle pratiche, comprese le comunicazioni, seguono le istruzioni dell'Organizzazione e il DPA; gli obblighi antiriciclaggio del mediatore non comportano una conservazione automatica di tutti i dati dell'account da parte di primacasa.ai.

7. Diritti dell'interessato

Ai sensi degli artt. 15-22 del GDPR, l'utente ha il diritto di:

  • Accesso (art. 15 GDPR): ottenere conferma dell'esistenza di un trattamento dei propri dati personali e l'accesso agli stessi, nonche alle informazioni previste dall'art. 15 GDPR.
  • Rettifica (art. 16 GDPR): ottenere la rettifica dei dati personali inesatti o l'integrazione dei dati incompleti.
  • Cancellazione (art. 17 GDPR): ottenere la cancellazione dei propri dati personali, nei casi previsti dall'art. 17 GDPR, salvo che il trattamento sia necessario per l'adempimento di un obbligo legale.
  • Limitazione (art. 18 GDPR): ottenere la limitazione del trattamento nei casi previsti dall'art. 18 GDPR.
  • Portabilita (art. 20 GDPR): ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare, ove tecnicamente fattibile.
  • Opposizione (art. 21 GDPR): opporsi in qualsiasi momento al trattamento dei propri dati personali fondato sul legittimo interesse (art. 6, par. 1, lett. f) GDPR), per motivi connessi alla propria situazione particolare.
  • Revoca del consenso (art. 7, par. 3 GDPR): revocare in qualsiasi momento il consenso prestato, incluse le registrazioni di sessione dal link Preferenze cookie, senza pregiudicare la liceita' del trattamento basato sul consenso prima della revoca.

Come esercitare i diritti

L'utente puo esercitare i propri diritti inviando una richiesta scritta all'indirizzo email: [email protected]

Il Titolare rispondera alla richiesta entro un mese dal ricevimento, prorogabile di ulteriori due mesi in caso di richieste complesse o numerose, previa comunicazione all'interessato (art. 12, par. 3, GDPR).

Reclamo all'Autorita di controllo

L'utente ha inoltre il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali, autorita di controllo italiana:

8. Processo decisionale automatizzato

Ai sensi dell'art. 22 GDPR, si informa che i dati personali degli utenti della piattaforma non sono soggetti a decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o che incidano in modo analogo significativamente sulla persona dell'interessato.

L'intelligenza artificiale integrata nella piattaforma e utilizzata esclusivamente come strumento di supporto per l'analisi documentale, sotto la supervisione e la responsabilita del mediatore creditizio. Nessuna decisione creditizia viene presa in modo automatizzato dal sistema.

9. Cookie

Per informazioni sull'utilizzo dei cookie e di tecnologie analoghe, inclusa la misurazione PostHog, senza cookie salvo consenso, e la registrazione di sessione attivabile solo previo consenso, si prega di consultare la Cookie Policy disponibile sul sito web della piattaforma.

10. Sicurezza dei dati

Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio, ai sensi dell'art. 32 GDPR, tra cui:

  • Crittografia dei dati in transito tramite protocollo TLS/HTTPS.
  • Crittografia dei dati a riposo per i dati archiviati nei sistemi di storage.
  • Controlli di accesso basati su ruoli, con autenticazione sicura e gestione delle sessioni.
  • Registrazione degli eventi di sicurezza (audit log) per il monitoraggio degli accessi e delle operazioni.
  • Revisioni periodiche della sicurezza dei sistemi e delle procedure.
  • Separazione logica dei dati tra le diverse organizzazioni presenti sulla piattaforma.

11. Modifiche all'informativa

Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento, nel rispetto della normativa vigente.

In caso di modifiche sostanziali, il Titolare informera gli utenti con un preavviso di almeno 30 giorni tramite comunicazione via email o avviso all'interno della piattaforma, indicando le modifiche apportate e la data di decorrenza.

L'utilizzo continuativo della piattaforma successivamente all'entrata in vigore delle modifiche costituisce presa d'atto delle stesse. Qualora l'utente non intenda accettare le modifiche, potra esercitare il diritto di recesso dal contratto secondo le modalita ivi previste.

12. Contatti

Per qualsiasi domanda, richiesta o comunicazione relativa al trattamento dei dati personali:

Per reclami all'autorita di controllo: