INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

ai sensi dell'art. 13 del Regolamento UE 2016/679 (GDPR)

1. TITOLARE DEL TRATTAMENTO

   
   

   DOMOPAY S.r.l.

   Sede legale: Via Durini, 9, 20122, Milano (MI) P.IVA/C.F.: 14180190960

   REA: MI-2765385

   eMail privacy: privacy@domopay.com

   
   

   L’ambito di applicazione della presente informativa è la piattaforma www.domopay.com e le applicazioni mobile iOS e Android correlate, accessibili da qualsiasi dispositivo (di seguito indicati complessivamente anche come “Piattaforma”).

   
   

   I principali riferimenti normativi sono rappresentati dal Regolamento UE 2016/679 (GDPR) e dal D.Lgs. 10 agosto 2018 n. 101.

   Ultimo aggiornamento: 15/11/2025

   
   

2. DATI PERSONALI RACCOLTI E FINALITÀ DEL TRATTAMENTO

   
   

   Tabella riepilogativa dei trattamenti

   
   

   Categoria Dati	Punto di Raccolta	Finalità	Base Giuridica
   Dati di navigazione (IP, browser, sistema operativo, pagine visitate, eventi app)	Navigazione Piattaforma Web/App	Funzionamento tecnico e analisi statistiche	Legittimo interesse (Art. 6.1, lett. f, GDPR)
   Dati di registrazione (nome, cognome, eMail, password)	Form registrazione / Sign-in Google	Creazione e gestione account utente	Contratto (Art. 6.1, lett. b, GDPR)
   Dati di autenticazione Google (nome, eMail, foto profilo, token OAuth)	Sign-up/Sign-in con Google	Autenticazione rapida tramite account Google	Contratto + Consenso (Art. 6.1 lett. a e b, GDPR)
   Dati pagamenti (importi, date, destinatari, causali)	Operazioni di pagamento	Gestione e archivio dei pagamenti	Contratto (Art. 6.1, lett. b, GDPR)
   Messaggi chat (nome, eMail, contenuto conversazione, allegati)	Live chat Tawk.to	Assistenza clienti e supporto tecnico	Legittimo interesse (Art. 6.1, lett. f, GDPR)

   Categoria Dati Dati analytics web (eventi, click, scroll, comportamento)	Punto di Raccolta Firebase Analytics, Contentsquare	Finalità Miglioramento UX e performance piattaforma	Base Giuridica Legittimo interesse o Consenso (Art. 6.1, lett. f o a, GDPR)
   Dati analytics mobile (eventi app, IDFA/GAID, device info)	Firebase Analytics Mobile	Analisi utilizzo app iOS/Android	Legittimo interesse o Consenso (Art. 6.1, lett. f o a, GDPR)
   Log crash e errori (stack trace, device info, OS version)	Crashlytics, TestFlight, App Store Connect, Google Play	Rilevazione bug e miglioramento stabilità	Legittimo interesse (Art. 6.1, lett. f, GDPR)
   Dati eMail transazionali (eMail, nome, contenuto notifiche)	Resend	Invio comunicazioni operative (conferme, alert)	Contratto (Art. 6.1, lett. b, GDPR)
   Dati aggregati BigQuery (metriche, eventi, transazioni pseudonimizzate)	Google BigQuery	Analisi avanzata dati e business intelligence	Legittimo interesse (Art. 6.1, lett. f, GDPR)

   
   

   Dettaglio finalità principali

   
   

   1. REGISTRAZIONE E GESTIONE ACCOUNT UTENTE

      
      

      Dati trattati: nome, cognome, indirizzo eMail, password, data di registrazione, preferenze account, immagine profilo (se caricata o importata da Google), lingua preferita.

      
      

      Finalità:

      
      

      • creazione e gestione account personale sulla Piattaforma;

      • autenticazione e accesso ai servizi Domopay;

      • personalizzazione esperienza utente;

      • comunicazioni relative al servizio.

      
      

      Base giuridica: esecuzione del contratto di servizio (Art. 6.1, lett. b, GDPR).

      
      

      Modalità di registrazione:

      1. registrazione diretta: compilazione form con nome, cognome, eMail e password;

      2. sign-in con Google (OAuth 2.0): importazione automatica di nome, eMail, foto profilo da account Google.

         
         

         Come acquisiamo il consenso in fase di registrazione?

         
         

         Durante la registrazione (via eMail o tramite Google, ove disponibile) chiediamo all’utente di:

         • leggere l’Informativa Privacy e i Termini di utilizzo;

         • accettare entrambi per creare l’account.

           
           

           Conservazione documenti caricati

           
           

           I documenti caricati dall’utente (a titolo meramente esemplificativo e non esaustivo: documento di identità, contratto di affitto, codice fiscale, foto richieste intervento, ricevute, registrazioni, ecc.) sono:

         • cifrati su Firebase Storage (con codificaAES-256);

         • accessibili unicamente a:

           • il proprietario dell’immobile;

           • l’eventuale agenzia incaricata con mandato;

           • il personale DomoPay autorizzato per attività di supporto, sicurezza o audit;

         • sottoposti a controlli di accesso (c.d. “principle of least privilege”);

         • conservati per il tempo indicato nella seguente sezione 6.

           
           

           Conservazione: per tutta la durata dell'account attivo + 12 mesi dalla cancellazione (per la gestione di ogni eventuale contestazione). Obbligo conservazione documenti identità: 10 anni dalla fine del rapporto continuativo.

           
           

   2. ARCHIVIO PAGAMENTI E TRANSAZIONI

      
      

      Dati trattati: dati anagrafici (nome, cognome, data di nascita, luogo di nascita), dati di pagamento (IBAN, intestatario conto), dati transazione (importo, data/ora, beneficiario, causale, valuta, commissioni), dati fiscali (codice fiscale, partita IVA ove applicabile) e metadati (device utilizzato, IP transazione, geolocalizzazione ove autorizzata).

      
      

      Finalità:

      
      

      • archivio incassi e bonifici;

      • archivio rimborsi e contestazioni.

        
        

        Base giuridica: esecuzione contratto (Art. 6.1, lett. b), GDPR).

        Conservazione: per tutta la durata dell'account attivo + 12 mesi dalla cancellazione (per la gestione di ogni eventuale contestazione).

        
        

   3. ASSISTENZA CLIENTI E SUPPORTO TECNICO

      
      

      Dati trattati: nome e eMail (se forniti volontariamente in chat), contenuto messaggi e conversazioni, allegati, screenshot o file inviati dall'utente, dati tecnici (IP, browser/device, sistema operativo, lingua, dati di sessione (pagine visitate, durata sessione, orario contatto) e geolocalizzazione approssimativa (città, nazione).

      Finalità:

      
      

      • fornire supporto tecnico in tempo reale;

      • risolvere problemi e bug segnalati;

      • raccolta feedback e suggerimenti;

      • miglioramento qualità del servizio.

        
        

        Base giuridica: legittimo interesse (Art. 6.1, lett. f) GDPR) per l’avvio volontario della chat e la gestione del supporto. L’avvio volontario della chat da parte dell’utente costituisce manifestazione attiva della volontà di ottenere assistenza.

        
        

        Strumento utilizzato: Tawk.to Inc. (USA) - Privacy: https://www.tawk.to/privacy-policy/.

        Disponibilità: chat live su web e app mobile (iOS/Android).

        
        

        Conservazione: 24 mesi dall'ultima interazione (per lo storico delle conversazioni e l’analisi della qualità del servizio).

        
        

   4. ANALISI COMPORTAMENTALE E MIGLIORAMENTO ESPERIENZA UTENTE

      
      

      Piattaforma Web:

      
      

      • Firebase Analytics (Web):

        
        

        • eventi di navigazione, pagine visitate, durata sessione;

        • cookie, IP anonimizzato, device info;

        • finalità: analisi statistica utilizzo sito web;

        • privacy: https://firebase.google.com/support/privacy.

          
          

      • Contentsquare:

        
        

        • comportamento utente: click, scroll, heatmap, zone calde;

        • dati anonimi e aggregati (non viene effettuata una identificazione individuale);

        • finalità: ottimizzazione UX, identificazione criticità interfaccia;

        • privacy: https://contentsquare.com/privacy-center/.

          
          

          Applicazioni Mobile (iOS/Android):

          
          

      • Firebase Analytics (versione Mobile):

        • eventi app, schermate visitate, funzionalità utilizzate;

        • IDFA (iOS) / GAID (Android) - ove autorizzati;

        • device info: modello, versione OS, risoluzione schermo;

        • finalità: analisi utilizzo app, comportamento utenti, retention;

        • privacy: https://firebase.google.com/support/privacy.

          
          

          Base giuridica: legittimo interesse (Art. 6.1, lett. f), GDPR) per analytics con dati anonimi, consenso (Art. 6.1, lett. a), GDPR) per cookie/tracker di profilazione/identificatori pubblicitari

          
          

          Conservazione: dati identificativi 24 mesi, statistiche aggregate senza limiti.

          
          

          Nota: si specifica che non viene effettuata profilazione commerciale o decisioni automatizzate che producono effetti giuridici sull'utente.

          
          

   5. RILEVAZIONE CRASH E MONITORAGGIO PERFORMANCE

      
      

      Dati trattati: log errori e stack trace, modello dispositivo, sistema operativo, versione app, memoria disponibile, utilizzo CPU, azioni utente prima del crash, ID dispositivo anonimizzato, posizione approssimativa (solo ove l'app è in uso).

      
      

      Finalità:

      
      

      • identificazione e risoluzione bug;

      • miglioramento stabilità app;

      • monitoraggio performance e velocità;

      • debug e ottimizzazione codice.

        
        

        Strumenti utilizzati:

        
        

      • Crashlytics (Google LLC) - app mobile - Privacy: https://firebase.google.com/support/privacy;

      • TestFlight (Apple Inc.) - beta testing iOS - Privacy: https://www.apple.com/legal/privacy/;

      • App Store Connect (Apple Inc.) - gestione iOS - Privacy: https://www.apple.com/legal/privacy/;

      • Google Play Console (Google LLC) - gestione Android - Privacy: https://policies.google.com/privacy.

        
        

        Base giuridica: legittimo interesse (Art. 6.1, lett. f), GDPR) per garantire il corretto funzionamento del servizio.

        Conservazione: 90 giorni (log automaticamente eliminati dopo risoluzione).

        
        

   6. COMUNICAZIONI TRANSAZIONALI E NOTIFICHE

      
      

      Dati trattati: eMail, nome, contenuto comunicazione, metadati eMail (timestamp, stato consegna, aperture).

      Finalità:

      • conferma registrazione e attivazione account;

      • alert sicurezza (accesso da nuovo device, modifica password);

      • comunicazioni obbligatorie per legge;

      • assistenza e supporto operativo;

      • notifiche push su app mobile (ove autorizzate).

        
        

        Strumento utilizzato: Resend Inc. (USA) - Privacy: https://resend.com/privacy.

        
        

        Modalità invio:

        
        

      • eMail transazionali (obbligatorie, non disattivabili);

      • notifiche push mobile (disattivabili dalle impostazioni app);

      • messaggi in-app.

        
        

        Base giuridica: esecuzione contratto (Art. 6.1, lett. b), GDPR).

        
        

        Conservazione: 12 mesi per i log eMail, notifiche push cancellate dopo la visualizzazione o massimo entro 30 giorni.

        
        

   7. ARCHIVIAZIONE CLOUD E DATA WAREHOUSE

      
      

      Firebase (Google LLC):

      
      

      • autenticazione utenti (Firebase Authentication);

      • database applicativo (Firestore);

      • storage file e documenti (Firebase Storage);

      • hosting web (Firebase Hosting);

      • cloud Functions per logica backend;

      • remote Config per configurazioni dinamiche;

      • performance Monitoring.

        
        

        Google Cloud Console:

        
        

      • gestione infrastruttura cloud (Compute, Functions, Storage, IAM);

      • log di sistema, monitoring, sicurezza;

      • backup e disaster recovery.

        
        

        Google BigQuery:

        
        

      • data warehouse per analisi avanzate;

      • dati aggregati e pseudonimizzati da Firebase, Stripe, analytics;

      • business intelligence e reportistica;

      • metriche di utilizzo, transazioni, eventi.

        
        

        Finalità: gestione infrastruttura tecnica della Piattaforma, archiviazione sicura dati, analisi aggregate.

        Privacy Google Cloud: https://cloud.google.com/security/privacy.

        Base giuridica: esecuzione contratto (Art. 6.1, lett. b), GDPR) e legittimo interesse (Art. 6.1, lett. f), GDPR).

        Conservazione: secondo specifiche politiche di retention per tipologia di dato.

        
        

   8. GESTIONE TRADUZIONI MULTILINGUA

Dati trattati: lingua preferita utente, contenuti testuali app, log sincronizzazione traduzioni.

Finalità:

• fornire interfaccia app in più lingue;

• aggiornamento dinamico traduzioni;

• miglioramento localizzazione.

  
  

  Strumento: Lokalise Ltd. (Regno Unito) - Privacy: https://lokalise.com/privacy-policy/.

  
  

  Base giuridica: legittimo interesse (Art. 6.1, lett. f), GDPR).

  
  

  Conservazione: preferenza lingua per la durata dell’account, log sincronizzazione per 30 giorni.

  
  

  I) DISTRIBUZIONE E TESTING APP MOBILE

  
  

  TestFlight (Apple Inc.):

  
  

• distribuzione versioni beta iOS;

• raccolta feedback tester;

• dati: Apple ID, eMail, log crash, feedback;

• privacy: https://www.apple.com/legal/privacy/.

  
  

  Apple Developer Program:

  
  

• gestione certificati sviluppatore;

• distribuzione su App Store;

• dati identificativi sviluppatore.

  
  

  Google Play Console:

  
  

• pubblicazione app Android;

• statistiche download, crash, performance;

• account sviluppatore.

  
  

  Finalità: testing, distribuzione, monitoraggio app store.

  
  

  Base giuridica: legittimo interesse (Art. 6.1, lett. f), GDPR) per la gestione tecnica dell’app.

  1. Affordability Check - verifica inquilini (opzionale e su richiesta)

     
     

     Si tratta della valutazione della capacità finanziaria dell'inquilino di sostenere l'affitto utilizzando tecnologie di open banking (accesso sicuro ai dati bancari con consenso) e algoritmi di A.I..

     Nel complesso delle finalità sotto descritte, verranno trattati i seguenti dati personali:

• accesso open banking (con consenso inquilino): movimenti conto corrente ultimi 3-6 mesi, entrate/uscite, saldo medio, transazioni ricorrenti;

• dati anagrafici: nome, cognome, data nascita, codice fiscale;

• dati  creditizi: consultazione registri crediti da agenzia autorizzata Banca d'Italia;

• documento identità: per verifica identità digitale;

• score calcolato: valutazione capacità pagamento (basso/medio/alto rischio).

  
  

  Finalità Experian (come Titolare autonomo):

  
  

• valutazione solvibilità e capacità di credito;

• prevenzione frodi e antiriciclaggio;

• conformità normativa settore creditizio;

• miglioramento algoritmi scoring;

• statistiche aggregate

  
  

  Finalità Domopay (sul report ricevuto):

  
  

• supportare proprietari nella selezione inquilini;

• ridurre rischio morosità;

• velocizzare processo di valutazione;

• tracciabilità e trasparenza processo locativo.

  
  

  Base giuridica:

  
  

• consenso esplicito inquilino (Art. 6.1, lett. a) GDPR) per accesso ai dati bancari via open banking;

• misure  precontrattuali (Art. 6.1., lett. b) GDPR) per la valutazione della locazione;

• obbligo legale (Art. 6.1, lett. c), GDPR) per la consultazione dei registri crediti da agenzie autorizzate. L’eventuale consultazione dei registri creditizi avviene esclusivamente tramite l’agenzia creditizia autorizzata, che agisce come titolare autonomo per i trattamenti di sua competenza.

  Chi vede i dati:

• inquilino: vede il proprio score e feedback;

• proprietario: vede solo score finale (basso/medio/alto) e raccomandazione;

• proprietario non vede: reddito esatto, saldo conto, movimenti dettagliati, informazioni sensibili;

• agenzia creditizia autorizzata: l’agenzia creditizia (Experian Italia S.p.a.) opera come Responsabile del trattamento ex art. 28 GDPR per l’avvio tecnico della procedura (ad es. ricezione dell’eMail dell’inquilino). Successivamente, dopo che l’utente accede all’ambiente Experian, visualizza la loro informativa e accetta i relativi consensi, Experian agisce come Titolare autonomo del trattamento per tutte le attività di analisi, scoring e open banking.

  Privacy:

  
  

• i dati bancari dell’inquilino non sono condivisi con proprietario;

• la consultazione dei registri crediti viene effettuata solo tramite agenzia autorizzata Banca d'Italia;

• conformità alla direttiva PSD2 (Payment Services Directive) per l’utilizzo di tecnologie open banking;

• accesso ai dati bancari limitato nel tempo (solo per l’attività di calcolo dello score);

• Domopay non accede, conserva né elabora i dati bancari grezzi dell’inquilino.

  
  

  Conservazione:

  
  

• score finale: conservato per durata contratto + 24 mesi;

• dati creditizi: secondo normativa agenzia (generalmente 12-36 mesi).

  
  

  Diritti dell’inquilino:

  
  

• rifiutare l’Affordability Check;

• richiedere la spiegazione dello score ottenuto;

• contestare un presunto score errato o basato su dati non aggiornati;

• cancellare lo score se non più interessato all'immobile o se non l’ha ottenuto.

  
  

  Provider tecnologico: Domopay utilizza i servizi Experian per effettuare l’Affordability Check sull’inquilino, tale soggetto svolge un duplice ruolo, a seconda della fase del trattamento:

  
  

  1. Responsabile del trattamento (art. 28 GDPR): quando Domopay trasmette a Experian i dati strettamente necessari ad avviare la procedura (ad es. l’indirizzo eMail dell’inquilino), Experian tratta tali dati esclusivamente per conto di Domopay, secondo le istruzioni fornite e nel rispetto del contratto di nomina a Responsabile.

     
     

  2. Titolare autonomo del trattamento: quando l’inquilino, dopo aver cliccato sul link riportato nella mail ricevuta in seguito al punto 1. che precede, accede al portale Experian, riceve l’informativa privacy Experian e accetta i relativi Termini. In quel momento Experian diventa titolare autonomo del trattamento dei dati forniti direttamente dall’utente (es. dati identificativi, informazioni bancarie open banking, transazioni finanziarie, analisi e scoring). Tali trattamenti sono svolti per finalità determinate da Experian (ad es. valutazione solvibilità, antifrode, analisi del rischio, obblighi normativi del settore creditizio, ecc.) e sono disciplinati esclusivamente dall’informativa Experian.

  3. Trasmissione del report a Domopay: una volta completata l’analisi, Experian trasmette a Domopay l’esito dell’Affordability Check. In questa fase il trasferimento avviene tra titolari autonomi. Domopay utilizza il report come titolare autonomo, ai soli fini di:

     
     

     • mostrare l’esito all’inquilino;

     • farlo visualizzare (nei limiti descritti) al proprietario/agenzia ai sensi del mandato ricevuto;

     • documentare la procedura ai fini della gestione del processo di locazione.

  Il report non viene utilizzato per finalità di profilazione commerciale o decisioni automatizzate che producano effetti giuridici senza intervento umano.

  
  

  Nota sulla trasparenza e l’intervento umano

  
  

  L’Affordability Check fornisce una valutazione preliminare, ma non assume decisioni vincolanti. Il proprietario/agenzia decide autonomamente se accettare o meno l’inquilino. L’agenzia creditizia opera come Responsabile esterno ex art. 28 GDPR in quanto riceve la richiesta dell’inquilino dalla piattaforma Domopay, successivamente l’inquilino accetterà i consensi privacy e i termini di servizio dell’agenzia creditizia che sarà titolare autonoma del trattamento dei dati. L’accesso ai dati bancari avviene una sola volta, esclusivamente al momento dell’Affordability Check, tramite canale PSD2 sicuro. Domopay non ha accesso ai conti, non effettua monitoraggio periodico e non riceve aggiornamenti automatici successivi, né ai saldi né ad alcuna informazione finanziaria dettagliata trattata da Experian.

  
  

  1. Gestione Pagamenti Affitti

     
     

     Dati trattati:

     
     

• dati inquilino: nome, eMail, indirizzo immobile locato;

• dati proprietario: nome/ragione sociale, IBAN ricezione, P.IVA;

• dati transazione: importo affitto mensile, data scadenza, commissioni, causale;

• dati immobile: indirizzo, contratto affitto (caricato come documento);

• storico dei pagamenti: puntualità, ritardi, rate mancate, solleciti inviati.

  
  

  Finalità del trattamento:

  
  

• archivio e gestione;

• notifiche scadenze e promemoria.

  
  

  Base giuridica: esecuzione contratto (Art. 6.1, lett. b, GDPR).

  
  

  Conservazione: per tutta la durata dell'account attivo + 12 mesi dalla cancellazione (per la gestione di ogni eventuale contestazione).

  
  

  1. Richieste di intervento e manutenzione

     Dati trattati:

• descrizione problema per la manutenzione (testo libero);

• foto dell'anomalia/danno (tali contenuti possono contenere dettagli abitazione dell’inquilino);

• disponibilità oraria inquilino per l’accesso del tecnico;

• assegnazione manutentore (nome, contatti, azienda);

• stato richiesta (aperta/in corso/risolta);

• feedback post-intervento.

  
  

  Finalità del trattamento:

  
  

• facilitare la comunicazione proprietario-inquilino per quanto riguarda le manutenzioni;

• automatizzare l’assegnazione dei task ai manutentori;

• monitorare tutte le richieste e i tempi di risoluzione;

• migliorare la soddisfazione degli inquilini.

  
  

  Si specifica come manutentore incaricato opera come autonomo titolare del trattamento limitatamente ai dati necessari per effettuare l’intervento tecnico e sono tenuti alla conformità GDPR per i dati trattati nel contesto del proprio intervento.

  Base giuridica: esecuzione contratto (Art. 6.1, lett. b) GDPR) - servizio accessorio gestione locazione.

  Conservazione:

  
  

• richieste aperte/in corso: fino a chiusura + 12 mesi;

• foto: cancellate dopo 24 mesi dalla chiusura richiesta;

• storico statistico: in forma aggregata anonima.

  
  

  Le foto possono mostrare interni abitazione inquilino e saranno trattate con massima riservatezza e non condivise con terzi non autorizzati.

  
  

  1. Archivio documenti locazione

     
     

     Dati trattati:

• contratto di affitto contenente i dati personali dell’inquilino e del proprietario;

• regolamento condominiale;

• inventario dell’immobile;

• documentazione tecnica (ad es. certificazioni, manuali elettrodomestici, ecc.);

• date chiave (ad es. scadenze, preavvisi, rinnovi, ecc.).

  
  

  Finalità del trattamento:

  
  

• fornire un più comodo accesso ai documenti importanti per l’inquilino;

• evitare lo smarrimento di documentazione;

• reminder automatici per le scadenze contrattuali.

  
  

  Base giuridica: esecuzione contratto (Art. 6.1, lett. b) GDPR).

  
  

  Conservazione:

  
  

• per tutta la durata dell'account attivo + 12 mesi dalla cancellazione (per la gestione di ogni eventuale contestazione).

  Sicurezza: documenti archiviati su Firebase Storage con cifratura AES-256.

  
  

  1. Spese, contabilità e KPI per i Proprietari

     
     

     Dati trattati:

     
     

• spese immobile (ad es. manutenzione, tasse, utenze, condominio, ecc.) categorizzate per tipologia;

• entrate (ad es. affitti, depositi cauzionali, ecc.);

• dati fiscali (ad es. fatture, ricevute, F24, ecc.);

• KPI settore immobiliare;

• performance portafoglio immobiliare.

  
  

  Finalità del trattamento:

  
  

• tracking finanziario immobili in affitto;

• contabilità automatizzata per proprietari/agenzie;

• reportistica fiscale e dichiarazioni;

• valutazione ROI investimenti immobiliari.

  
  

  Base giuridica: esecuzione contratto (Art. 6.1, lett. b) GDPR) + obblighi fiscali (Art. 6.1, lett. c), GDPR).

  Conservazione: per tutta la durata dell'account attivo + 12 mesi dalla cancellazione (per la gestione di ogni eventuale contestazione).

  
  

  Chi può accedere:

  
  

• proprietario: vede solo dati propri immobili;

• agenzia immobiliare: vede immobili gestiti (con mandato proprietario);

• commercialista (se autorizzato da proprietario): export dati per dichiarazioni.

  
  

  1. Collaborazione con agenzie immobiliari

  
  

  Dati trattati:

  
  

• dati agenzia: ad es. ragione sociale, P.IVA, rappresentante legale, iscrizione albo, ecc.;

• mandato gestione: ad es. documento che autorizza agenzia a gestire immobile per conto proprietario, ecc.;

• provvigioni: ad es. percentuale/importo commissioni agenzia, ecc.

  Finalità del trattamento:

• permettere alle agenzie immobiliari di gestire proprietà di clienti su DomoPay (il proprietario mantiene visibilità completa anche se delega la gestione).

  Base giuridica: esecuzione contratto (Art. 6.1, lett. b) GDPR).

  Privacy:

  
  

• l’agenzia accede solo a dati degli immobili per cui ha eventualmente mandato;

• il proprietario può revocare l’accesso all’agenzia in qualunque momento;

• viene tracciato e conservato il log di tutte le azioni effettuate dall’agenzia (per finalità di c.d. “audit trail”).

  
  

  1. MODALITÀ E SICUREZZA DEL TRATTAMENTO

     
     

     Il trattamento è realizzato attraverso operazioni di raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modifica, selezione, estrazione, utilizzo, interconnessione, comunicazione, cancellazione e distruzione dei dati.

     Le operazioni sono compiute con l'ausilio di:

     
     

• infrastruttura cloud: Google Cloud Platform, Firebase;

• database: Firestore (NoSQL), BigQuery (data warehouse);

• sistemi di comunicazione: Resend (eMail), Tawk.to (chat), Firebase Cloud Messaging (push);

• analytics: Firebase Analytics, Contentsquare;

• app Store: Apple App Store, Google Play Store.

  
  

  Soggetti autorizzati: il trattamento è effettuato da dipendenti e collaboratori di Domopay autorizzati e formati e da responsabili esterni del trattamento (vedi sezione 4)

  Tutti i soggetti operano con istruzioni specifiche, livelli di accesso differenziati per ruolo (c.d. “principle of least privilege”), e sono vincolati da obblighi di riservatezza.

  Misure di sicurezza implementate: Domopay adotta misure tecniche e organizzative adeguate a garantire sicurezza adeguata al rischio:

  
  

  Misure tecniche:

  
  

• cifratura end-to-end: TLS 1.3 per comunicazioni, AES-256 per storage;

• firewall e WAF (Web Application Firewall);

• autenticazione multi-fattore (MFA) per accessi sensibili;

• OAuth 2.0 / OpenID Connect per autenticazione Google;

• password hashing: bcrypt/Argon2 con salt;

• rate limiting e protezione DDoS;

• backup crittografati con retention policy;

• vulnerability scanning e penetration testing periodici;

• logging e monitoring 24/7 con alert automatici;

• segregazione ambienti: produzione, staging, development isolati.

  Misure organizzative:

  
  

• procedure interne gestione dati e incident response;

• data breach notification entro 72 ore al Garante Privacy (Art. 33 GDPR);

• formazione periodica personale su privacy, sicurezza e frodi;

• contratti di riservatezza con dipendenti e collaboratori;

• Domopay richiede ai partner esterni evidenza delle misure di valutazione e mitigazione del rischio adottate per i servizi che comportano trattamenti ad alto rischio (ad es. Affordability Check)”;

• registro attività di trattamento (Art. 30 GDPR);

• privacy by design e by default;

• audit interni di sicurezza e compliance.

  
  

  Certificazioni dei fornitori: i servizi cloud utilizzati da Domopay (Google Cloud Platform, Firebase, Stripe) adottano certificazioni internazionali come ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 o SOC 2 Type II.

  
  

  Conformità GDPR: Domopay ha adottato un sistema di gestione della privacy e della sicurezza dei dati in linea con i principi del GDPR, implementando misure tecniche e organizzative adeguate ai sensi degli artt. 24, 25 e 32 GDPR.

  
  

  1. DESTINATARI E COMUNICAZIONE DEI DATI

     
     

     I dati personali possono essere comunicati o resi accessibili ai seguenti soggetti:

     
     

     • personale interno: dipendenti e collaboratori di Domopay autorizzati al trattamento;

     • responsabili esterni del trattamento (Art. 28 GDPR): fornitori che, a seconda dei casi, operano come Responsabili esterni ex art. 28 GDPR o come titolari autonomi, come meglio descritto di seguito;

     • Resend Inc. (USA): per l’invio eMail transazionali e comunicazioni operative - Privacy: https://resend.com/privacy;

     • Experian Italia S.p.a.: come descritto nella presente informativa ai punti che precedono (opera come Responsabile esterno per l'invio iniziale dell'eMail di invito all'Affordability Check e come titolare autonomo per i trattamenti svolti direttamente sulla propria piattaforma (si veda paragrafo L)) – Privacy: https://www.experian.it/legale/informazioni-legali:

     • Cloud G Backend Services

       • Google LLC (USA - EU-US Data Privacy Framework): Firebase (Authentication, Firestore, Storage, Functions, Hosting, Cloud Messaging, Remote Config, Analytics, Crashlytics, Performance Monitoring) - Google Cloud Console (gestione infrastruttura cloud) - Google BigQuery (data warehouse e analytics avanzate) - Privacy: https://firebase.google.com/support/privacy | https://cloud.google.com/security/privacy

Google LLC opera come responsabile esterno solo per i servizi Firebase/Google Cloud espressamente utilizzati da Domopay. Per tutte le attività relative agli store digitali (App Store, Google Play), Google LLC e Apple Inc. operano invece come titolari autonomi del trattamento (si veda la sezione successiva). Per tali trattamenti Apple Inc. e Google LLC determinano autonomamente finalità, mezzi e tempi di conservazione, senza che Domopay possa influire su tali scelte.

Soggetti che agiscono come titolari autonomi del trattamento: alcuni soggetti trattano i dati personali dell’utente in qualità di titolari autonomi, e non come responsabili per conto di Domopay. In particolare, Apple Inc. e Google LLC trattano i dati personali necessari per utilizzo degli account Apple ID e Google, download e aggiornamento della app tramite App Store e Google Play Store, gestione dei pagamenti in app eventualmente effettuati tramite i rispettivi store, raccolta di statistiche e reportistica relativi alla distribuzione e all’utilizzo della app all’interno degli store, recensioni, classifiche e suggerimenti di contenuti.

Per tali trattamenti Apple e Google operano come titolari autonomi, secondo le rispettive informative privacy, disponibili ai seguenti indirizzi:

• Apple Privacy: https//www.apple.com/legal/privacy;

• Google Privacy: https//policies.google.com/privacy.

  
  

  Quando l’utente scarica o utilizza la app tramite gli store digitali, i dati trattati da Apple e Google sono gestiti direttamente da questi soggetti secondo le loro condizioni d’uso e le loro privacy policy. Domopay non controlla né determina tali trattamenti ed è responsabile esclusivamente dei trattamenti effettuati tramite la propria Piattaforma e i propri sistemi. Per le attività di gestione degli store digitali, delle recensioni e delle statistiche di App Store e Google Play, Apple Inc. e Google LLC operano in qualità di titolari autonomi del trattamento.

  Si ricorda quindi come tali trattamenti sono separati e indipendenti rispetto a quelli effettuati da Domopay; Apple Inc. e Google LLC non trattano i dati personali degli utenti per conto di Domopay ma per proprie finalità istituzionali connesse alla gestione e sicurezza dei rispettivi store.

  
  

  • Web App Services:

    • Contentsquare SAS (Francia): per l’analisi delcomportamento utenti web (ad es. heatmap, click,

      scroll, ecc.) - Privacy: https://contentsquare.com/privacy-center/;

      o Tawk.to Inc. (USA): per quanto riguarda il servizio live chat per l’assistenza ai clienti - Privacy: https://www.tawk.to/privacy-policy/.

  • Mobile App Services:

    • Lokalise Ltd. (Regno Unito): per la gestione delle traduzioni multilingua app - Privacy: https://lokalise.com/privacy-policy/;

    • Apple Inc. (USA): per l’utilizzo di TestFlight (beta testing iOS), App Store Connect (gestione pubblicazione iOS), Apple Developer Program (certificati sviluppatore) - Privacy: https://www.apple.com/legal/privacy/;

    • Google LLC (USA): per l’utilizzo di Firebase Analytics Mobile, Google Play Console (gestione pubblicazione Android) - Privacy: https://policies.google.com/privacy.

  • Soggetti pubblici e autorità:

    • obbligatoriamente per legge:

      • Agenzia delle Entrate: per gli adempimenti fiscali;

      • Autorità Giudiziaria: su ordine dell'autorità competente;

      • Forze dell'Ordine: indagini su frodi, riciclaggio, terrorismo;

      • Garante Privacy: in caso di data breach o su richiesta.

    • altri soggetti:

      • professionisti e consulenti: commercialisti, consulenti fiscali, consulenti legali (privacy, antiriciclaggio, contratti), revisori contabili, consulenti IT e cybersecurity.

    • partner commerciali:

      • istituti di credito per servizi bancari;

      • provider servizi finanziari integrati

Nota: l'elenco completo e aggiornato dei Responsabili del Trattamento è disponibile su richiesta scritta a privacy@domopay.com.

I dati non sono:

• venduti a broker di dati o terze parti;

• ceduti per finalità di marketing diretto di terzi;

• oggetto di diffusione generalizzata pubblica.

1. TRASFERIMENTI INTERNAZIONALI DI DATI

   
   

   Ambito territoriale: i dati personali sono trattati principalmente su server ubicati nell'Unione Europea (data center Google Cloud in UE). Tuttavia, alcuni fornitori di

   servizi essenziali comportano trasferimenti di dati verso Paesi extra Spazio Economico Europeo (SEE), principalmente Stati Uniti.

   
   

   Fornitori USA con trasferimenti extra-UE

   
   

   Fornitore	Servizio	Paese	Garanzie
   Google LLC	Firebase, Cloud, BigQuery, Analytics	USA	EU-US Data Privacy Framework + SCC
   Resend Inc.	eMail transazionali	USA	Clausole Contrattuali Standard (SCC)
   Tawk.to Inc.	Live chat	USA	Clausole Contrattuali Standard (SCC)
   Apple Inc.	TestFlight, App Store Connect	USA	EU-US Data Privacy Framework

   
   

   Garanzie adottate (Art. 44-50 GDPR)

   
   

   Domopay garantisce che i trasferimenti extra-UE avvengano nel rispetto del GDPR attraverso le seguenti specifiche:

   • EU-US Data Privacy Framework (decisione adeguatezza UE 2023/1795):

     • Google, Stripe, Apple sono certificati nel Framework - verifica su: https://www.dataprivacyframework.gov/list;

   • Clausole Contrattuali Standard (SCC) approvate dalla Commissione (Art.

     46.2, lett. c) GDPR):

     • per fornitori non certificati nel Framework;

     • SCC implementate nei contratti con responsabili esterni;

   • Transfer Impact Assessment (TIA):

     • valutazione rischi specifici per ogni trasferimento;

     • misure supplementari quando necessarie (ad es. cifratura, pseudonimizzazione, ecc.);

   • Binding Corporate Rules (BCR) per gruppi multinazionali (ad es. Google, Apple)

     Diritti dell'interessato: in caso di trasferimenti extra-UE, mantieni tutti i diritti previsti dal GDPR (accesso, cancellazione, portabilità, ecc.). Puoi opporti al trasferimento esercitando i diritti descritti nella sezione 7. Maggiori informazioni sui trasferimenti internazionali, garanzie specifiche e TIA sono disponibili su richiesta a privacy@domopay.com.

     
     

2. PERIODO DI CONSERVAZIONE

   
   

   Il Titolare conserva i dati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti, nel rispetto dei principi di minimizzazione e limitazione della conservazione (Art. 5.1, lett. e) GDPR).

   
   

   Riepilogo tempi di conservazione

   Tipologia Dati	Periodo di Conservazione	Motivo
   Account utente (eMail, nome, password)	Durata account + 12 mesi	Gestione contestazioni post-cancellazione
   Dati di navigazione (log server)	24 mesi	Sicurezza, troubleshooting, analytics
   Dati transazioni	Durata account + 12 mesi	Gestione contestazioni post-cancellazione
   Dati fiscali e fatturazione	10 anni	Obblighi contabili e fiscali (questi dati non possono essere cancellati su richiesta prima della scadenza legale, anche in caso di esercizio del diritto alla cancellazione (Art. 17.3, lett. b) GDPR)
   Messaggi chat supporto	24 mesi da ultima interazione	Qualità servizio e storico assistenza
   eMail transazionali (log)	12 mesi	Tracciabilità comunicazioni
   Notifiche push mobile	30 giorni o visualizzazione	Gestione operativa
   Log crash e errori	90 giorni	Debug e risoluzione bug
   Dati analytics identificativi	24 mesi	Analisi comportamento, retention
   Statistiche aggregate anonime	Illimitato	Dati anonimi non personali (non GDPR)
   Backup di sicurezza	90 giorni rotativi	Disaster recovery
   Dati in contenzioso/procedimenti	Fino a definizione + prescrizione	Tutela diritti in sede giudiziaria

   
   

   Cancellazione automatica

   
   

   Al termine del periodo di conservazione i dati sono cancellati definitivamente dai sistemi attivi, i backup contenenti dati scaduti sovrascritti nel ciclo di rotazione e i dati anonimizzati irreversibilmente ove utilizzati per statistiche aggregate.

   
   

   Conservazione prolungata

   
   

   I dati possono essere conservati oltre i termini solo se:

   
   

   • necessario per obblighi di legge;

   • in caso di contenzioso o procedimenti in corso (fino a definizione + termini prescrizione);

   • su richiesta di autorità competenti (magistratura, Guardia di Finanza, ecc.).

   
   

3. DIRITTI DELL'INTERESSATO

   
   

   In qualità di interessato, hai diritto di esercitare i seguenti diritti previsti dagli articoli 15-22 del GDPR.

   Diritto di accesso (Art. 15)

   
   

   Ottenere dal Titolare:

   
   

   • conferma che sia o meno in corso un trattamento di dati personali che ti riguardano;

   • accesso ai dati personali e alle seguenti informazioni:

     • finalità del trattamento;

     • categorie di dati personali trattati;

     • destinatari o categorie di destinatari (inclusi trasferimenti extra-UE);

     • periodo di conservazione previsto;

     • diritti esercitabili (ad es. rettifica, cancellazione, limitazione, opposizione);

     • diritto di proporre reclamo al Garante;

     • origine dei dati (se non raccolti direttamente da te);

     • esistenza di processi decisionali automatizzati (inclusa profilazione);

     • garanzie per trasferimenti extra-UE;

   • copia dei dati in formato leggibile e strutturato (la prima copia è fornita gratuitamente).

     Come richiedere: inviare una eMail a privacy@domopay.com specificando "Richiesta di accesso ai dati personali".

     
     

     Diritto di rettifica (Art. 16)

     
     

     Ottenere senza ingiustificato ritardo:

     
     

   • rettifica dei dati personali inesatti o errati;

   • integrazione dei dati personali incompleti (anche mediante dichiarazione integrativa).

     Ad es: correggere l’indirizzo eMail, il nome scritto in maniera errata, ecc.

     
     

     Come richiedere: accedere al proprio account e modificare i dati dal pannello "Impostazioni", oppure contattare privacy@domopay.com.

     
     

     Diritto alla cancellazione / "Diritto all'oblio" (Art. 17)

     
     

     Ottenere la cancellazione dei dati personali quando sussiste uno dei seguenti motivi:

     
     

   • i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti;

   • hai revocato il consenso su cui si basa il trattamento e non sussiste altro fondamento giuridico;

   • ti opponi al trattamento e non sussistono motivi legittimi prevalenti;

   • i dati sono stati trattati illecitamente;

   • i dati devono essere cancellati per normativa e/o obbligo di legge UE o nazionale.

     Si ricorda che non è possibile cancellare dati quando il trattamento è necessario per obblighi di legge fiscali e antiriciclaggio (Art. 17.3, lett. b) GDPR), per accertamento, esercizio o difesa diritti in sede giudiziaria (Art. 17.3, lett. e) GDPR) e per dati aggregati anonimi.

     Cancellazione account: puoi eliminare il tuo account dalla sezione "Impostazioni" dell'app/piattaforma. I dati verranno cancellati secondo i tempi sopra indicati.

     
     

     Diritto di limitazione del trattamento (Art. 18)

     
     

     Ottenere la limitazione del trattamento (ovvero i dati sono conservati ma non utilizzati attivamente) quando:

   • contesti l'esattezza dei dati con una limitazione per il tempo necessario alla verifica da parte del Titolare;

   • il trattamento è illecito ma preferisci la limitazione alla cancellazione;

   • I dati non sono più necessari al Titolare ma ti servono per la difesa in giudizio;

   • hai esercitato opposizione (Art. 21 GDPR) e vuoi la limitazione in attesa della verifica sui motivi legittimi prevalenti.

     Cosa comporta: il tuo account può essere "sospeso" temporaneamente e i dati conservati ma non elaborati (salvo consenso o altri motivi legittimi).

     
     

     Come richiedere: eMail a privacy@domopay.com specificando il motivo della limitazione.

     
     

     Diritto alla portabilità dei dati (Art. 20)

     
     

     Ricevere i dati personali che ti riguardano in formato strutturato, di uso comune e leggibile da dispositivo automatico (ad es. JSON, CSV, XML) e trasmetterli ad altro titolare (ad es. altra piattaforma on-line, ecc.), quando:

   • il trattamento si basa sul consenso (Art. 6.1, lett. a), GDPR) o sul contratto (Art. 6.1, lett. b), GDPR);

   • il trattamento è effettuato con mezzi automatizzati.

     
     

     Per dati portabili si intendono, ad es. i dati dell’account (ad es. nome e cognome, indirizzo eMail, preferenze), lo storico dei pagamenti effettuati e i dati di utilizzo del servizio.

     
     

     Non sono considerati dati portabili i dati trattati per obblighi di legge e i dati necessari per difesa diritti in giudizio.

     
     

     Hai inoltre il diritto di ottenere la trasmissione diretta dei dati da Domopay ad altro titolare, se tecnicamente fattibile, con un formato JSON o CSV.

     Come richiedere: eMail a privacy@domopay.com specificando "Richiesta portabilità dati" e indicando eventuale destinatario.

     Diritto di opposizione (Art. 21)

     
     

     Opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare, al trattamento dei dati quando si basa su:

   • legittimo interesse del Titolare (Art. 6.1, lett. f), GDPR) - ad es. analytics, profilazione interna, ecc.;

   • interesse pubblico o esercizio pubblici poteri (Art. 6.1, lett. e), GDPR).

     
     

     Il Titolare deve cessare il trattamento, salvo dimostri l'esistenza di motivi legittimi cogenti per procedere che prevalgono sui tuoi interessi, diritti e libertà, oppure per l'accertamento, l'esercizio o la difesa di diritti in sede giudiziaria.

     Opposizione assoluta al marketing diretto (Art. 21.2 e 21.3, GDPR): hai il diritto assoluto di opporti in qualsiasi momento al trattamento dei tuoi dati per finalità di marketing diretto, vendita diretta o profilazione commerciale. Domopay attualmente NON effettua marketing diretto né profilazione commerciale. Se in futuro verrá implementato, potrai opporti immediatamente.

     Come esercitare: eMail a privacy@domopay.com o disattivazione dalle impostazioni account.

     
     

     Diritto di revoca del consenso (Art. 7.3)

     
     

     Revocare in qualsiasi momento il consenso prestato per:

     
     

   • ricezione notifiche push su mobile;

   • utilizzo cookie di profilazione (ad es. tramite banner/impostazioni);

   • altri trattamenti basati sul consenso.

     
     

     La revoca non pregiudica la liceità del trattamento basata sul consenso prestato prima della revoca.

     Effetti della revoca:

   • notifiche push: non riceverai più alert su transazioni (tranne eMail obbligatorie);

   • cookie analytics: nessun tracciamento comportamentale (solo cookie tecnici);

   • account: se revochi consenso essenziale, potrebbe essere necessario chiudere l'account.

     Come revocare:

     
     

   • notifiche push: attraverso le impostazioni del tuo dispositivo e/o dell’app;

   • cookie: attraverso il banner cookie o le impostazioni del browser;

   • altri consensi: privacy@domopay.com specificando quale consenso si intende revocare.

     
     

     Diritto di proporre reclamo (Art. 77)

     Proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali se ritieni che il trattamento dei tuoi dati violi il GDPR.

     
     

     Garante per la Protezione dei Dati Personali

     Piazza Venezia 11, 00187 Roma (RM)

     Tel: +39 06.696771

     Fax: +39 06.69677.3785

     eMail: garante@gpdp.it PEC: protocollo@pec.gpdp.it

     Sito web: www.garanteprivacy.it Modulo reclamo online:

     https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb

     /1089696

     
     

     Puoi anche proporre reclamo all'autorità di controllo dello Stato membro UE in cui:

     
     

   • risiedi abitualmente;

   • lavori;

   • si è verificata la presunta violazione.

     
     

     Prima di presentare reclamo ti invitiamo a contattarci a privacy@domopay.com per risolvere eventuali problematiche in modo diretto e rapido.

     La richiesta deve contenere:

     
     

   • nome e cognome completi;

   • eMail utilizzata per registrazione account;

   • diritto che si intende esercitare (ad es. accesso, cancellazione, rettifica, ecc.);

   • descrizione chiara della richiesta;

   • documento d'identità (per verifiche di sicurezza - obbligatorio per richieste sensibili);

   • firma (anche digitale o eMail dall’indirizzo registrato).

     
     

     Tempi di risposta:

     
     

   • 1 mese dalla ricezione della richiesta (termine ordinario GDPR);

   • estensibile a 3 mesi in casi di particolare complessità o volume richieste (con comunicazione motivata entro 1 mese);

   • richieste urgenti (ad es. violazioni sicurezza, minorenni): 48-72 ore.

     
     

     Costi:

     
     

   • l'esercizio dei diritti è gratuito;

   • in caso di richieste manifestamente infondate o eccessive (carattere ripetitivo), il Titolare può:

     • addebitare un contributo spese ragionevole (costi amministrativi)

     • rifiutare di soddisfare la richiesta (con motivazione scritta).

       Prima copia dati: gratuita

       Copie ulteriori: possibile addebito costi amministrativi

       
       

       Per garantire la sicurezza dei tuoi dati, prima di dare seguito alla richiesta

       potremmo chiederti:

       
       

   • copia documento d'identità valido;

   • conferma via eMail/SMS al contatto registrato;

   • risposta a domande di sicurezza;

   • accesso temporaneo all'account per verifica.

     
     

     Questo per evitare che terzi non autorizzati possano accedere ai tuoi dati.

     
     

4. CONFERIMENTO DEI DATI

   
   

   Dati obbligatori

   
   

   Per registrazione account:

   
   

   • conferimento: necessario per creare account e utilizzare la Piattaforma;

   • dati obbligatori: eMail, password (o autenticazione Google);

   • conseguenza rifiuto: impossibilità di registrarsi e utilizzare i servizi Domopay.

     
     

     Per adempimenti fiscali:

     
     

   • conferimento: obbligatorio per legge per emissione fatture e documentazione fiscale;

   • dati obbligatori: codice fiscale o P.IVA, dati fatturazione;

   • conseguenza rifiuto: impossibilità legale di completare transazioni o formalizzare rapporto.

     
     

     Dati facoltativi

     
     

     Notifiche push mobile:

     
     

   • conferimento: facoltativo (attivabile/disattivabile da impostazioni app);

   • conseguenza rifiuto: non riceverai alert in tempo reale su transazioni, ma potrai consultarle nell'app.

     
     

     Live chat assistenza:

     
     

   • conferimento: volontario (avvio chat da parte utente);

   • conseguenza rifiuto: dovrai usare canali alternativi (eMail supporto).

     
     

     Cookie analytics e profilazione:

     
     

   • conferimento: facoltativo (gestibile da banner cookie);

   • conseguenza rifiuto: nessun impatto sulla funzionalità della Piattaforma; solo cookie tecnici necessari.

     
     

     Foto profilo:

     
     

   • conferimento: facoltativo;

   • conseguenza rifiuto: verrà usata icona predefinita.

     
     

     Conseguenze del rifiuto di conferire dati obbligatori

     
     

     Se rifiuti di fornire dati obbligatori per legge o necessari per il contratto (dati pagamento):

     
     

   • account sospeso o limitato nelle funzionalità;

   • chiusura account se inadempienza persiste.

     
     

5. PROCESSI DECISIONALI AUTOMATIZZATI

   
   

   Domopay utilizza sistemi automatizzati per l’Affordability Check (attraverso partner terzi), ma nessuna decisione che produca effetti giuridici o incida significativamente sull’utente viene presa unicamente tramite trattamento automatizzato (a rispetto dell’art. 22 GDPR). Ogni decisione rilevante comporta sempre intervento umano, supervisione e possibilità di contestazione.

   
   

   Credit scoring / Valutazione rischio cliente

   
   

   I servizi di credit scoring o valutazione rischio cliente, forniti da Domopay attraverso partner terzi, al fine di determinare limiti transazionali o approvazione servizi:

   • sono basati sullo storico delle transazioni, sulla puntualità dei pagamenti, sul volume delle operazioni e sull’anzianità dell’account;

   • la decisione finale è sempre effettuata con supervisione umana;

   • è sempre previsto un diritto di contestazione e revisione.

   
   

   L’Affordability Check genera uno score di rischio (basso/medio/alto) basato su dati open banking e parametri oggettivi. Lo score non determina mai automaticamente l’accettazione o il rifiuto dell’inquilino. La decisione finale spetta sempre e solo al proprietario/agenzia, sulla base della valutazione umana del profilo dell’inquilino.

   Hai il diritto di:

   
   

   1. non essere sottoposto a decisioni basate unicamente su trattamento automatizzato che producono effetti giuridici o ti incidono significativamente;

   2. ottenere intervento umano da parte del Titolare;

   3. esprimere la tua opinione sulla decisione automatizzata;

   4. contestare la decisione e richiedere revisione manuale.

   Come esercitare: contatta immediatamente privacy@domopay.com o assistenza clienti se ritieni di essere stato oggetto di decisione automatizzata ingiusta.

   
   

6. DATI DI MINORI

   I servizi di Domopay e la Piattaforma NON sono destinati a minori di 18 anni. Requisito: per registrarsi e utilizzare servizi di pagamento è necessario essere

   maggiorenni (18 anni compiuti in Italia).

   
   

   Domopay non raccoglie consapevolmente dati personali di minori di 18 anni senza il consenso del titolare della responsabilità genitoriale.

   
   

   Al momento della registrazione:

   
   

   • l'utente dichiara di essere maggiorenne (clausola termini di servizio);

   • se emerge che l'utente è minorenne, l'account viene immediatamente sospeso.

     Se Domopay viene a conoscenza che:

     
     

   • un minore si è registrato fornendo dati falsi

   • un genitore segnala utilizzo non autorizzato da parte di minore verranno messe in atto, le seguenti azioni immediate:

   1. sospensione account;

   2. blocco transazioni;

   3. contatto con titolare responsabilità genitoriale;

   4. cancellazione dati del minore.

   
   

7. LINK A SITI DI TERZE PARTI

   
   

   La Piattaforma Domopay può contenere link verso siti web di terze parti (partner, fornitori, risorse esterne, social media). La presente informativa NON si applica ai siti web di terze parti raggiungibili tramite link dalla Piattaforma.

   Domopay:

   
   

   • non controlla i contenuti e le pratiche di privacy dei siti terzi;

   • non è responsabile per il trattamento dei dati effettuato da tali siti;

   • non garantisce l'accuratezza, completezza, sicurezza o liceità dei contenuti esterni;

   • non può essere ritenuta responsabile per danni derivanti dalla visita di siti terzi.

     Prima di fornire dati personali a siti di terze parti:

   • consulta le loro informative privacy

   • verifica le loro pratiche di sicurezza

   • valuta l'affidabilità del sito

     
     

     Ricorda: quando clicchi su link esterni, lasci la Piattaforma Domopay e la nostra informativa privacy non si applica più.

     
     

8. MODIFICHE E AGGIORNAMENTI DELL'INFORMATIVA

   
   

   Domopay si riserva il diritto di modificare, aggiornare, integrare o sostituire parti della presente informativa privacy in qualsiasi momento.

   Le modifiche possono essere apportate per:

   
   

   • cambiamenti normativi (ad es. nuove leggi, regolamenti, linee guida Garante o Banca d'Italia);

   • evoluzioni tecnologiche (ad es. nuovi strumenti, servizi, sistemi di pagamento);

   • modifiche operative (ad es. nuove funzionalità, nuovi responsabili del trattamento);

   • nuove partnership (ad es. accordi con agenzie immobiliari, fornitori servizi);

   • miglioramenti della chiarezza e completezza informativa;

   • lancio nuove funzionalità (es. credit building, report creditizi, ecc.).

     
     

     Comunicazione modifiche

     
     

     Modifiche non sostanziali (ad es. correzioni formali, chiarimenti, aggiornamenti tecnici):

     
     

   • pubblicazione versione aggiornata sulla Piattaforma con nuova data;

   • notifica in-app alla prima apertura dopo modifica.

     
     

     Modifiche sostanziali (ad es. nuove finalità, nuovi destinatari, trasferimenti extra-UE, nuovi servizi):

     
     

   • pubblicazione versione aggiornata sulla Piattaforma;

   • notifica via eMail a tutti gli utenti registrati;

   • notifica push su app mobile;

   • pop-up informativo al login successivo alla modifica;

   • evidenziazione delle modifiche nel testo (sezioni aggiornate in grassetto o colore);

   • richiesta di nuovo consenso se necessario (per trattamenti basati su consenso);

   • periodo di transizione per permettere agli utenti di valutare e, se del caso, cancellare l'account.

     Ti invitiamo a consultare periodicamente questa pagina per rimanere informato sulle pratiche di privacy di DomoPay. La data dell’ultimo aggiornamento è sempre indicata in testa e in fondo al documento.

     Se non accetti modifiche sostanziali all'informativa:

     
     

   • puoi cancellare l'account entro 30 giorni dalla comunicazione;

   • i dati cancellati secondo tempi indicati (salvo obblighi legali).

     
     

     Per le modifiche che richiedono un consenso, questo verrà richiesto esplicitamente all’utente. Per le altre modifiche sostanziali non basate sul consenso, l’uso continuato della Piattaforma dopo la comunicazione sarà considerato come accettazione delle nuove condizioni, nei limiti consentiti dalla legge.

     Le versioni precedenti dell'informativa privacy sono conservate e disponibili su richiesta a privacy@domopay.com per un periodo di 10 anni.

     
     

9. CONTATTI E INFORMAZIONI

Per qualsiasi richiesta, informazione, chiarimento, segnalazione o esercizio dei diritti relativi al trattamento dei dati personali, puoi contattare:

DOMOPAY S.r.l.

Sede legale e operativa: Via Durini, 9

20122 Milano (MI) Italia

Dati fiscali: P.IVA/CF: 14180190960

REA: MI-2765385

Contatti privacy:

• eMail privacy: privacy@domopay.com (per esercizio diritti GDPR e questioni privacy);

• eMail generale: info@domopay.com (per informazioni generali e supporto);

• supporto clienti: support@domopay.com (per assistenza tecnica e operativa);

• sito web: www.domopay.com.

Tempi di risposta

• richieste privacy (accesso, cancellazione, rettifica) entro 1 mese (GDPR);

• richieste generali entro 5-7 giorni lavorativi;

• richieste urgenti (data breach, sicurezza, minori, frodi) entro 48 ore.

  
  

  xxx

  LINGUE E LOCALIZZAZIONE

  
  

  Piattaforma disponibile in:

• Italiano (lingua principale)

• Inglese (alternativa.)

  Informativa privacy:

• versione italiana: ufficiale e legalmente vincolante;

• versioni altre lingue: fornite per comodità, in caso di discrepanze prevale la versione italiana.

TERMINI E CONDIZIONI

La presente Informativa Privacy è complementare ai Termini e Condizioni di Servizio di Domopay. Per utilizzare la Piattaforma devi accettare:

1. termini e Condizioni di Servizio;

2. informativa Privacy (questo documento);

3. cookie Policy;

4. Affordability Check Terms (per inquilini che intendono effettuare la verifica).

   
   

   Legge applicabile: legge italiana.

   
   

   Foro competente: foro di Milano (salvo consumatori dove il foro sarà quello di residenza del consumatore).

   
   

   NEWSLETTER E COMUNICAZIONI MARKETING

   
   

   Attualmente Domopay NON invia newsletter marketing o comunicazioni promozionali.

   Comunicazioni transazionali (sempre inviate, non disattivabili):

   
   

   • conferma registrazione;

   • notifiche pagamenti affitto;

   • alert sicurezza account;

   • scadenze e reminder contrattuali;

   • comunicazioni obbligatorie per legge.

RISOLUZIONE CONTROVERSIE

Reclami privacy:

1. Primo step - Contatto diretto: contatta privacy@domopay.com descrivendo il problema. Risponderemo entro 1 mese con soluzione o spiegazione;

2. Secondo step - Garante Privacy: se sei insoddisfatto, presenta reclamo al Garante:

3. Terzo step - Autorità giudiziaria: puoi infine rivolgerti al Tribunale competente.

Mediazione: prima di ricorrere a giudizio, le parti possono tentare il meccanismo della mediazione (D.Lgs. 28/2010) presso un organismo accreditato.

Online Dispute Resolution (ODR): per controversie on-line i consumatori EU possono utilizzare la piattaforma ODR della Commissione Europea: https://ec.europa.eu/consumers/odr

Ultimo aggiornamento: 15/11/2025

Versione: 1.0

Documento: Informativa Privacy - www.domopay.com

© 2025 DomoPay S.r.l. - Tutti i diritti riservati