Accordo sul Trattamento dei Dati (DPA)

Versione 1.3, in vigore dal 4 novembre 2026. L'istante di accettazione e la versione accettata sono registrati sull'account dell'agenzia e consultabili in Impostazioni.

Dal 4 novembre 2026 sostituisce la versione 1.2, che si applica fino al giorno prima e differisce da questa solo nei punti seguenti:

• §3, Oggetto: si aggiunge la gestione delle opportunità di acquisizione di incarichi, compresi gli annunci di immobili pubblicati da privati e inseriti dall'Agenzia.
• §3, Categorie di dati: si aggiungono i dati degli annunci immobiliari pubblicati da privati e inseriti dall'Agenzia.
• §7, Anthropic PBC: fra le finalità si aggiunge la lettura degli annunci immobiliari inseriti dall'Agenzia.

L'Agenzia è il titolare del trattamento: determina finalità e mezzi, e risponde della base giuridica verso i propri contatti. PropertyTech è il responsabile del trattamento e agisce esclusivamente su istruzione documentata dell'Agenzia.

Per i dati dell'account dell'Agenzia (email, credenziali, fatturazione) PropertyTech agisce invece in qualità di titolare autonomo, come descritto nell'Informativa Privacy.

I dati caricati dall'Agenzia e quelli generati per suo conto restano di esclusiva proprietà dell'Agenzia. PropertyTech non acquisisce su di essi alcun diritto ulteriore rispetto a quanto strettamente necessario a erogare il servizio.

• Oggetto: erogazione delle funzionalità di qualificazione lead, estrazione dati documentali, generazione di contenuti, reportistica post-visita e gestione delle opportunità di acquisizione di incarichi, compresi gli annunci di immobili pubblicati da privati e inseriti dall'Agenzia.
• Durata: per tutta la vigenza del contratto di servizio.
• Categorie di interessati: potenziali acquirenti, proprietari e venditori di immobili, agenti dell'Agenzia.
• Categorie di dati: dati identificativi e di contatto, codici fiscali, quote di proprietà e riferimenti catastali, contenuto delle conversazioni, trascrizioni delle note vocali, dati di annunci immobiliari pubblicati da privati e inseriti dall'Agenzia (collegamento all'annuncio, ubicazione, caratteristiche e prezzo dell'immobile; recapiti del proprietario solo se inseriti dall'Agenzia con il suo consenso).

Il servizio non è destinato al trattamento di categorie particolari di dati ex art. 9 GDPR. L'Agenzia si impegna a non caricare tali dati.

PropertyTech tratta i dati unicamente per erogare il servizio e per le finalità impartite dall'Agenzia tramite l'uso della piattaforma. I dati non vengono utilizzati per finalità proprie del fornitore, né per addestrare modelli di intelligenza artificiale pubblici o di terzi.

L'infrastruttura applicativa e il database sono collocati in Unione Europea. Eventuali trattamenti da parte di sub-responsabili al di fuori dello Spazio Economico Europeo avvengono solo in presenza di garanzie adeguate ex artt. 44 e seguenti GDPR, come indicato per ciascun fornitore al punto 7.

Le misure elencate qui sotto sono quelle effettivamente implementate nella piattaforma, non un elenco di intenzioni. Sono descritte con la specificità che serve a renderle verificabili in sede di audit.

• Cifratura in transito: tutte le comunicazioni avvengono su TLS. La piattaforma non espone endpoint in chiaro.
• Cifratura a riposo dei segreti: il token di accesso WhatsApp e le chiavi API dei gestionali sono cifrati in AES-256-GCM prima di essere scritti. Un valore non cifrato viene rifiutato in lettura e non usato come ripiego: la protezione non è aggirabile ripristinando un backup precedente.
• Password: conservate solo come hash bcrypt. I token di invito e di recupero password esistono nel database unicamente come impronta SHA-256, non ricostruibile.
• Isolamento multi-tenant: ogni tabella con dati di agenzia porta la colonna organizationId, e il filtro è applicato nella clausola di interrogazione, non con un controllo a valle. Un identificativo appartenente a un'altra agenzia semplicemente non restituisce righe, invece di restituirle e affidarsi a un controllo che qualcuno potrebbe dimenticare.
• Separazione dei ruoli: le operazioni che riguardano l'agenzia nel suo insieme (abbonamento, identità, scheda agenzia, feed verso i portali) sono riservate al Titolare dell'account. I collaboratori operano su lead, immobili, documenti e report.
• Prevenzione dell'enumerazione degli account: la richiesta di recupero password restituisce sempre la stessa risposta, che l'indirizzo esista o meno, così l'endpoint non può essere usato per accertare quali email siano registrate. Nemmeno un guasto interno modifica la risposta.
• Autenticazione delle integrazioni: i webhook in ingresso sono autenticati con confronto a tempo costante e sono fail-closed: in assenza del segreto configurato rifiutano chiunque, invece di restare aperti.
• Registrazioni audio: elaborate in memoria ed eliminate al termine della trascrizione. Non vengono mai scritte su disco.
• Minimizzazione nei log: non registriamo il testo dei messaggi, il contenuto dei documenti né le credenziali. I numeri di telefono compaiono troncati; gli indirizzi IP sono troncati e trasformati in impronta prima di essere conservati.
• Avviso di accesso: un accesso da un dispositivo mai visto genera una notifica all'indirizzo dell'utente.
• Il personale autorizzato al trattamento è vincolato alla riservatezza.

L'Agenzia autorizza il ricorso ai sub-responsabili elencati qui sotto, tutti vincolati da obblighi di protezione dei dati non meno onerosi di quelli previsti dal presente accordo. Le variazioni sono comunicate con ragionevole preavviso e l'Agenzia può opporsi recedendo dal servizio.

L'elenco è mantenuto in un unico registro, da cui leggono sia il presente accordo sia l' Informativa Privacy: i due documenti non possono divergere.

• Vercel Inc. (Stati Uniti): hosting dell'applicazione ed esecuzione delle funzioni applicative. Ubicazione dei dati: esecuzione vincolata alla regione di Francoforte (fra1): il calcolo avviene nell'Unione Europea. Base del trasferimento extra-SEE: EU-U.S. Data Privacy Framework (art. 45 GDPR) e clausole contrattuali standard (art. 46 GDPR).
• Supabase (Stati Uniti): database PostgreSQL che custodisce lead, immobili, conversazioni e documenti, e archiviazione dei file caricati (fotografie e video degli immobili, documenti del fascicolo). Ubicazione dei dati: regione eu-central-1 (Francoforte, Germania). Base del trasferimento extra-SEE: clausole contrattuali standard (art. 46 GDPR).
• Anthropic PBC (Stati Uniti): modelli linguistici di grandi dimensioni (LLM) per la qualificazione dei contatti su WhatsApp, il filtro di pertinenza dei messaggi, l'estrazione dei dati dai documenti catastali e notarili, la generazione degli annunci, la redazione dei report post-visita e la lettura degli annunci immobiliari inseriti dall'Agenzia. Base del trasferimento extra-SEE: clausole contrattuali standard (art. 46 GDPR). I contenuti trasmessi non sono utilizzati per addestrare i modelli del fornitore.
• OpenAI, L.L.C. (Stati Uniti): due trattamenti distinti: la trascrizione in testo delle note vocali (quelle ricevute dai contatti su WhatsApp e quelle dettate dall'agente dopo una visita) e la generazione delle immagini di corredo ai post social. Base del trasferimento extra-SEE: EU-U.S. Data Privacy Framework (art. 45 GDPR) e clausole contrattuali standard (art. 46 GDPR). I contenuti trasmessi non sono utilizzati per addestrare i modelli del fornitore. Solo la trascrizione comporta il trattamento di dati personali. La generazione delle immagini riceve una descrizione concettuale del tema del post e mai i dati di un contatto o l'immagine di un immobile reale. L'audio non viene conservato dalla piattaforma: resta in memoria per la durata della chiamata ed e' eliminato una volta ottenuto il testo, di cui si conserva il solo contenuto testuale.
• Meta Platforms Ireland Ltd. (Irlanda): WhatsApp Cloud API per ricevere e inviare i messaggi di qualificazione, e pubblicazione dei contenuti sulle pagine Facebook e sui profili Instagram che l'agenzia collega.
• Render (Stati Uniti): microservizio che tiene aperta la sessione WhatsApp quando l'agenzia collega il proprio numero tramite codice QR. Attivo solo se l'agenzia sceglie il collegamento tramite codice QR. Ubicazione dei dati: regione di Francoforte. Base del trasferimento extra-SEE: clausole contrattuali standard (art. 46 GDPR). Il microservizio mantiene la connessione e le credenziali di sessione; non conserva il contenuto dei messaggi.
• Twilio (Stati Uniti): canale alternativo per l'invio e la ricezione dei messaggi WhatsApp, con il numero e le credenziali dell'agenzia. Attivo solo se l'agenzia configura questo canale al posto degli altri due. Base del trasferimento extra-SEE: clausole contrattuali standard (art. 46 GDPR).
• Resend (Stati Uniti): spedizione delle email di servizio: benvenuto, invito ai collaboratori, avviso di lead qualificato, soglie di consumo, scadenza dei documenti, recupero della password. Base del trasferimento extra-SEE: clausole contrattuali standard (art. 46 GDPR). Il corpo di questi messaggi puo' contenere nome, recapito e budget di un contatto.
• Stripe Payments Europe Ltd. (Irlanda): pagamenti, abbonamenti e fatturazione. Nessun dato di carta di pagamento transita dai nostri sistemi: conserviamo solo identificativi opachi (stripeCustomerId, stripeSubscriptionId).
• Sentry (Stati Uniti): raccolta dei report di errore applicativo, per diagnosticare i malfunzionamenti. Attivo solo quando la chiave di monitoraggio e' configurata. Base del trasferimento extra-SEE: clausole contrattuali standard (art. 46 GDPR). Un report di errore puo' contenere in via incidentale l'identificativo di un'agenzia o di un record coinvolto nel malfunzionamento. Non vi sono inviati deliberatamente dati dei contatti.
• Jina AI (Germania): lettura della pagina di un annuncio pubblico, come ripiego quando l'importazione diretta non riesce. Attivo solo all'importazione di un annuncio da un indirizzo web. Riceve il solo indirizzo di una pagina pubblicamente accessibile. Non vi transitano dati dei contatti dell'agenzia.

PropertyTech assiste l'Agenzia nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione) e nel rispetto degli obblighi di sicurezza, valutazione d'impatto e consultazione preventiva, nella misura in cui tali adempimenti dipendano dai dati trattati sulla piattaforma.

In caso di violazione che coinvolga i dati dell'Agenzia, PropertyTech la informa senza ingiustificato ritardo, fornendo le informazioni necessarie all'eventuale notifica all'autorità di controllo.

Alla cessazione del servizio l'Agenzia può richiedere l'esportazione dei dati. Su richiesta, o decorsi i termini di conservazione, i dati vengono cancellati salvo obblighi di legge che ne impongano la conservazione.

Su richiesta motivata, PropertyTech mette a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall'art. 28 GDPR e consente verifiche concordate, con modalità che non compromettano la sicurezza degli altri clienti.