Informativa sul trattamento dei dati personali
Indice
1. Titolare del trattamento
Il Titolare del trattamento dei dati personali raccolti tramite la piattaforma Locario (di seguito "Locario" o "il Servizio") è:
Giovanni Buzelli
Email: horseballitalia@gmail.com
Sito: locario.recapline.com
Per qualsiasi richiesta relativa al trattamento dei dati personali, comprese le richieste di esercizio dei diritti di cui all'articolo 7 della presente Informativa, è possibile scrivere all'indirizzo email sopra indicato.
2. Categorie di dati raccolti
2.1 Dati dell'utente titolare di account ("Tenant")
- Dati di identificazione: indirizzo email, ragione sociale, slug di sottodominio scelto.
- Dati di accesso: hash della password (bcrypt cost 12), data ultimo accesso, indirizzo IP di accesso (log temporaneo).
- Dati di fatturazione: gestiti direttamente da Stripe (vedi sezione 5); Locario conserva solo l'identificativo cliente Stripe e lo stato dell'abbonamento.
2.2 Dati gestiti dal Tenant relativi a soggetti terzi (inquilini)
- Nome, cognome, email, telefono degli inquilini.
- Dati di contratto: durata, canone, deposito cauzionale, codice fiscale, indirizzo dell'immobile, dati catastali.
- Dati delle bollette ricevute via email: fornitore, importo, scadenza, intestatario, POD/PDR, indirizzo di fornitura.
- PDF caricati o ricevuti via email forwarding.
Per i dati di cui al punto 2.2, il Tenant agisce come Titolare del trattamento e Locario opera come Responsabile del trattamento ai sensi dell'art. 28 GDPR, secondo i termini del Data Processing Agreement (DPA) accettato all'attivazione dell'account.
3. Finalità e basi giuridiche
| Finalità | Base giuridica (art. 6 GDPR) |
|---|---|
| Erogazione del Servizio (gestione account, login, salvataggio dati) | Esecuzione del contratto (art. 6.1.b) |
| Fatturazione e gestione pagamenti tramite Stripe | Esecuzione del contratto + obblighi di legge (art. 6.1.b + c) |
| OCR e parsing automatico di bollette e contratti caricati dal Tenant | Esecuzione del contratto (art. 6.1.b) |
| Log di sicurezza e prevenzione abusi | Legittimo interesse (art. 6.1.f) |
| Invio di comunicazioni di servizio (recupero password, notifiche operative) | Esecuzione del contratto (art. 6.1.b) |
| Risposta a richieste dell'interessato | Obbligo di legge (art. 6.1.c) + diritti GDPR |
Locario non effettua profilazione, marketing, retargeting o decisioni automatizzate ai sensi dell'art. 22 GDPR.
4. Periodo di conservazione
- Dati di account attivi: per tutta la durata dell'abbonamento.
- Dati post-cancellazione account: 30 giorni di grace period (per recupero), poi cancellazione definitiva entro 7 giorni lavorativi.
- Dati fiscali (fatture, ricevute pagamento): 10 anni come da normativa fiscale italiana.
- Log di sicurezza: 6 mesi.
- PDF caricati: cancellati insieme al tenant o quando il Tenant li elimina manualmente.
5. Destinatari e responsabili del trattamento
Per erogare il Servizio Locario si avvale dei seguenti fornitori, designati come Responsabili del trattamento o autonomi titolari:
| Fornitore | Funzione | Sede | Tipo |
|---|---|---|---|
| Hetzner Online GmbH | Hosting server + database | Germania | Responsabile |
| Cloudflare Inc. | DNS, CDN, Email Routing, Workers | USA (PoP UE) | Responsabile |
| Stripe Payments Europe Ltd. | Elaborazione pagamenti | Irlanda + USA | Titolare autonomo |
| Groq Inc. | Estrazione strutturata da testo (LLM) | USA | Responsabile |
| Porkbun LLC | Registrar dominio | USA | Titolare autonomo (solo metadata DNS) |
| Google LLC | SMTP outbound (notifiche) | USA | Responsabile |
L'elenco aggiornato dei Responsabili del trattamento è disponibile su richiesta.
6. Trasferimenti extra-UE
Alcuni dei fornitori di cui alla sezione 5 hanno sede negli Stati Uniti. I trasferimenti avvengono sulla base delle Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea (Decisione 2021/914/UE) e, ove applicabile, in adesione al EU-US Data Privacy Framework.
In particolare, quando un PDF di bolletta o contratto viene caricato sulla piattaforma, il testo estratto dall'OCR viene inviato al servizio Groq (USA) per l'estrazione strutturata. Il PDF originale rimane sui server UE di Locario (Hetzner).
7. Diritti dell'interessato
Ai sensi degli articoli 15-22 del GDPR l'interessato ha diritto di:
- Accesso ai propri dati (art. 15)
- Rettifica dei dati inesatti (art. 16)
- Cancellazione ("diritto all'oblio", art. 17). Esercitabile direttamente da
/account/delete.php. - Limitazione del trattamento (art. 18)
- Portabilità dei dati in formato leggibile (art. 20). Esercitabile da
/account/export.php. - Opposizione al trattamento (art. 21)
- Reclamo all'autorità di controllo: Garante per la Protezione dei Dati Personali (Italia).
Le richieste possono essere inviate a horseballitalia@gmail.com e saranno evase entro 30 giorni.
8. Misure di sicurezza
- Comunicazioni cifrate end-to-end via TLS 1.3 con certificati Let's Encrypt.
- Password utente memorizzate solo come hash bcrypt (cost 12).
- Isolamento dei dati tra tenant tramite Row Level Security (RLS) PostgreSQL.
- Sessioni con cookie
HttpOnly + Secure + SameSite=Lax. - Magic link di accesso con scadenza 15 minuti e validità singola.
- Webhook bollette autenticato con HMAC SHA-256.
- Backup giornalieri del database con retention 30 giorni.
- Accesso amministrativo al server limitato tramite SSH key.
9. Architettura multi-tenant e responsabilità
Locario è un servizio SaaS multi-tenant. Ogni Tenant gestisce uno spazio isolato (sottodominio dedicato) in cui può inserire dati di soggetti terzi (es. inquilini, conduttori di contratti, intestatari di bollette).
Per tali dati il Tenant è il Titolare autonomo del trattamento ed è tenuto a:
- Disporre di una propria informativa privacy verso gli inquilini.
- Avere una valida base giuridica per il trattamento.
- Garantire l'esercizio dei diritti GDPR degli interessati.
Locario, in qualità di Responsabile, mette a disposizione gli strumenti tecnici necessari (export, cancellazione, audit log) ma non risponde delle finalità di trattamento decise dal Tenant.
10. Cookie
Locario utilizza esclusivamente un cookie tecnico di sessione (LOCARIO_SID) con flag HttpOnly, Secure e SameSite=Lax. Non sono utilizzati cookie di profilazione, analisi o terze parti.
Per maggiori dettagli vedi la Cookie Policy.
11. Modifiche all'informativa
La presente informativa può essere aggiornata per riflettere modifiche al Servizio o alla normativa applicabile. Le modifiche sostanziali saranno comunicate via email all'indirizzo dell'utente. La data di ultimo aggiornamento è indicata in alto. Il testo storico è disponibile su richiesta.
Locario è gestito da Giovanni Buzelli · horseballitalia@gmail.com