Informativa sulla privacy

1. Titolare del trattamento e responsabile della protezione dei dati

Il titolare del trattamento dei dati personali descritti in questa informativa è:

[DA CONFERMARE: ragione sociale completa del titolare, forma giuridica (ad esempio ditta individuale, libero professionista, studio associato o altra forma), indirizzo completo della sede legale/operativa, partita IVA e/o codice fiscale, indirizzo email dedicato alle richieste privacy, recapito telefonico se disponibile].

[DA CONFERMARE: indicare se è stato nominato un Responsabile della Protezione dei Dati (DPO/RPD) ai sensi dell'art. 37 GDPR. In caso affermativo, riportare nome e recapiti di contatto del DPO. In caso contrario, indicare espressamente che non è stato nominato un DPO e specificare la motivazione, ad esempio perché la nomina non è obbligatoria per l'attività svolta].

2. A chi si rivolge questa informativa

Questa informativa unica descrive come trattiamo i dati personali di due diverse categorie di persone che entrano in contatto con la nostra attività di gestione di pratiche immobiliari per l'acquisto di immobili in Italia da parte di cittadini stranieri:

• se sei un cliente (nel sistema indicato come "partner"): i tuoi dati vengono raccolti direttamente da te, e il trattamento è disciplinato dall'art. 13 del GDPR;
• se sei un notaio, un funzionario comunale, un addetto dell'Agenzia delle Entrate, del catasto, o un altro professionista o funzionario pubblico con cui collaboriamo per portare a termine una pratica (nel sistema indicato come "funzionario"/"official"): i tuoi dati non sono sempre raccolti direttamente da te, e il trattamento è disciplinato dall'art. 14 del GDPR. La sezione 4 spiega da dove otteniamo questi dati.

Per completezza, la sezione 5 descrive anche, brevemente, i dati del personale interno dello studio che utilizza l'applicativo gestionale.

Il trattamento descritto in questa informativa avviene nel rispetto del Regolamento (UE) 2016/679 (GDPR) e della normativa italiana in materia di protezione dei dati personali (d.lgs. 196/2003, "Codice Privacy", come modificato dal d.lgs. 101/2018).

Le sezioni successive indicano, dove necessario, a quale delle due categorie si riferiscono.

3. Dati che trattiamo se sei un cliente (partner)

Se ci affidi la gestione della tua pratica immobiliare, raccogliamo direttamente da te i seguenti dati (art. 13 GDPR):

Dati della scheda cliente:

• nome e cognome;
• paese/nazionalità: raccolto per finalità amministrative e legali connesse alla pratica (ad esempio l'attribuzione del codice fiscale italiano e la verifica dell'applicabilità della normativa italiana sull'acquisto di immobili da parte di cittadini stranieri) — vedi la sezione 7 per la precisazione su questo dato;
• tipologia (persona fisica o società);
• indirizzo email e numero di telefono;
• lingua preferita per le comunicazioni;
• fase di avanzamento della pratica;
• eventuali note relative alla pratica, inserite dal personale dello studio;
• codice fiscale italiano, se già disponibile o comunicato dal cliente;
• numero del documento d'identità (ad esempio passaporto o carta d'identità);
• indirizzo di residenza;
• professione;
• dettagli dell'immobile e della trattativa: descrizione dell'immobile, offerta, caparra, data del rogito, indicazione se si tratta di prima o seconda casa;
• origine dei fondi utilizzati per l'acquisto;
• eventuali note sullo stato di verifica della pratica, inserite dal personale dello studio;
• il notaio e, se assegnato, l'agente immobiliare collegati alla tua pratica (i relativi dati sono descritti nella sezione 4);
• base giuridica del trattamento applicabile al tuo caso e, se pertinente, data in cui hai prestato un consenso specifico (vedi sezione 6).

Documenti caricati nella pratica:

• tipologia del documento (ad esempio passaporto, carta d'identità, codice fiscale, prova di residenza, referenza bancaria, procura, contratto preliminare, atto notarile, modulo fiscale o altro documento pertinente alla pratica);
• stato del documento (in attesa, ricevuto, verificato, scaduto);
• il file caricato, conservato in forma cifrata (vedi sezione 12);
• nome del file originale, tipo di file e dimensione;
• date di rilascio e di scadenza del documento, ove applicabili;
• eventuali note relative al documento.

Non ti chiediamo, e non raccogliamo, dati ulteriori rispetto a quanto sopra indicato per finalità estranee alla gestione della tua pratica.

4. Dati che trattiamo se sei un funzionario pubblico o un professionista coinvolto in una pratica

Se sei un notaio, un agente immobiliare, un funzionario comunale, un addetto dell'Agenzia delle Entrate o del catasto, un geometra, un perito o un altro professionista con cui collaboriamo per una pratica immobiliare, trattiamo i seguenti dati che ti riguardano:

• nome e cognome;
• ruolo professionale (notaio, agente immobiliare, funzionario comunale, ufficio imposte, catasto, geometra/perito o altro);
• ente o istituzione di appartenenza, città, provincia/regione, indirizzo;
• indirizzo email e numero di telefono professionali;
• eventuali note operative relative alla pratica in cui sei coinvolto.

Fonte dei dati: nella maggior parte dei casi questi dati non ci vengono forniti direttamente da te, ma li otteniamo da: il cliente che ci fornisce i tuoi recapiti professionali per poter coordinare la pratica con te; corrispondenza precedente relativa ad altre pratiche gestite dallo studio; registri professionali pubblicamente accessibili (ad esempio elenchi e albi professionali, elenchi degli uffici pubblici competenti). Come richiesto dall'art. 14 GDPR, ti forniamo queste informazioni entro un mese dall'acquisizione dei tuoi dati oppure, se anteriore, al momento della nostra prima comunicazione con te o della prima comunicazione dei tuoi dati a un altro destinatario coinvolto nella pratica.

Questi dati sono utilizzati esclusivamente per coordinare la specifica pratica immobiliare in cui sei coinvolto (vedi sezione 6) e non vengono utilizzati per finalità commerciali, promozionali o di marketing.

5. Dati del personale interno dello studio

Per completezza informativa, l'applicativo gestionale conserva anche i dati degli account del personale dello studio che lo utilizza per svolgere il proprio lavoro (nome, email, ruolo assegnato — amministratore, operatore o sola consultazione —, lingua dell'interfaccia, data dell'ultimo accesso, credenziali di accesso conservate in forma protetta e, se attivata, la configurazione dell'autenticazione a due fattori, anch'essa conservata in forma cifrata). Questo trattamento riguarda un rapporto di lavoro/collaborazione interno allo studio e non è l'oggetto principale di questa informativa, rivolta a clienti e funzionari pubblici; è menzionato qui per trasparenza generale sul funzionamento del sistema. Quando un membro del personale imposta o modifica la propria password, l'account è inoltre soggetto, in ambiente di produzione, a un controllo automatico di robustezza tramite un servizio esterno, descritto nella sezione 12.

6. Finalità del trattamento e basi giuridiche

Se sei un cliente (partner), trattiamo i tuoi dati per le seguenti finalità:

• instaurare ed eseguire l'incarico professionale per la gestione della tua pratica immobiliare, compresa la raccolta, verifica e conservazione dei documenti necessari — base giuridica: art. 6, par. 1, lett. b) GDPR (esecuzione di un contratto o misure precontrattuali adottate su tua richiesta);
• adempiere a obblighi di legge connessi alla pratica, quando applicabili (ad esempio identificazione ai fini notarili o fiscali, conservazione documentale richiesta dalla normativa) — base giuridica: art. 6, par. 1, lett. c) GDPR;
• finalità specifiche per le quali ci hai prestato un consenso espresso, indicate di volta in volta nella tua scheda con la relativa data — base giuridica: art. 6, par. 1, lett. a) GDPR; puoi revocare il consenso in qualsiasi momento, con effetto per il futuro, senza pregiudicare la liceità del trattamento già effettuato prima della revoca;
• gestione ordinaria del rapporto, sicurezza dei sistemi informatici, prevenzione di usi impropri ed eventuale difesa di un diritto in sede giudiziaria — base giuridica: art. 6, par. 1, lett. f) GDPR (legittimo interesse dello studio).

La base giuridica effettivamente applicabile al trattamento dei tuoi dati è registrata nella tua scheda cliente e ti viene comunicata su richiesta. Il conferimento dei dati necessari all'esecuzione dell'incarico (in particolare i documenti richiesti dalla pratica) è necessario per poter portare a termine la pratica stessa: senza tali dati non è possibile procedere.

Se sei un funzionario pubblico o un professionista coinvolto in una pratica, trattiamo i tuoi dati per:

• coordinare la pratica immobiliare con gli uffici e i professionisti coinvolti (comunicazioni relative ad appuntamenti, richieste di documenti, scambi di informazioni necessari alla pratica) — base giuridica: art. 6, par. 1, lett. f) GDPR (legittimo interesse dello studio a portare a termine, per conto del cliente, l'incarico ricevuto). Riteniamo che questo interesse non prevalga in modo sproporzionato sui tuoi diritti e le tue libertà, trattandosi di soli dati di contatto professionale, utilizzati esclusivamente nell'ambito della pratica specifica e mai per finalità di marketing o promozionali.

Se intendessimo trattare ulteriormente i tuoi dati per una finalità diversa da quella per cui sono stati raccolti, ti forniremo prima le informazioni su tale diversa finalità e ogni altra informazione pertinente, come previsto dagli artt. 13, par. 3, e 14, par. 4, GDPR.

7. Categorie particolari di dati (dati "sensibili")

Non trattiamo alcuna categoria particolare di dati ai sensi dell'art. 9 GDPR: non raccogliamo dati relativi a origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, dati biometrici per finalità di identificazione, dati relativi alla salute, o dati relativi alla vita sessuale o all'orientamento sessuale.

Due precisazioni su campi che potrebbero, a prima vista, sembrare riconducibili a questa categoria:

• il campo "paese/nazionalità" presente nella scheda cliente è raccolto esclusivamente per finalità amministrative e legali connesse alla pratica (attribuzione del codice fiscale, verifica dell'applicabilità della normativa italiana sull'acquisto di immobili da parte di cittadini stranieri). Secondo la prassi prevalente del Garante e delle linee guida dell'EDPB, il dato relativo alla cittadinanza o nazionalità, se trattato per queste finalità amministrative, non costituisce di per sé un dato che rivela l'origine razziale o etnica ai sensi dell'art. 9 GDPR, categoria concettualmente distinta;
• i numeri dei documenti d'identità (ad esempio passaporto o carta d'identità) sono dati personali ordinari, seppur particolarmente delicati, e vengono trattati con misure di sicurezza rafforzate descritte nella sezione 12 (cifratura, accesso riservato al solo personale autorizzato).

Se in futuro dovesse rendersi necessario trattare una categoria particolare di dati, aggiorneremo questa informativa indicando la specifica base giuridica (art. 6 GDPR), l'eccezione applicabile (art. 9, par. 2 GDPR) e le ulteriori garanzie adottate, prima di iniziare tale trattamento.

8. Nessun processo decisionale automatizzato né intelligenza artificiale

Non utilizziamo alcuna forma di intelligenza artificiale, apprendimento automatico o processo decisionale interamente automatizzato nella gestione della tua pratica. L'avanzamento delle fasi della pratica, la verifica dei documenti e ogni altra valutazione sono sempre il risultato di un'azione manuale e consapevole del personale dello studio, non di un algoritmo che profila o decide autonomamente nei tuoi confronti.

Di conseguenza, l'art. 22 GDPR (diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato) e le disposizioni in materia di trasparenza sui sistemi di intelligenza artificiale del Regolamento (UE) 2024/1689 (AI Act) non trovano applicazione al trattamento descritto in questa informativa. Se in futuro dovessimo introdurre strumenti di questo tipo, aggiorneremo questa informativa prima di attivarli, spiegandone la logica, la finalità e i tuoi diritti al riguardo.

9. A chi comunichiamo i tuoi dati

I tuoi dati non vengono venduti, ceduti a fini commerciali né condivisi con soggetti terzi per finalità pubblicitarie o di profilazione. Possono venire a conoscenza dei tuoi dati:

• qualunque persona del personale dello studio in possesso di un account nell'applicativo (amministratore, operatore o sola consultazione): chiunque abbia effettuato l'accesso può consultare i dati di qualsiasi pratica attiva nel sistema, non solo di quelle a cui è direttamente assegnato — il sistema non applica, allo stato attuale, una restrizione "per pratica" o "per necessità" alla sola consultazione. Il ruolo assegnato determina invece quali azioni ciascuna persona può compiere (creare o modificare una pratica, caricare o eliminare un documento, procedere a una cancellazione definitiva): vedi la sezione 12 per il dettaglio;
• se sei un cliente: i notai, gli uffici comunali, l'Agenzia delle Entrate, gli uffici del catasto, i geometri/periti e gli altri funzionari pubblici o professionisti coinvolti nella tua specifica pratica immobiliare, nella misura in cui la loro partecipazione è necessaria per portarla a termine;
• se sei un funzionario pubblico o un professionista: il cliente per conto del quale collabori con noi e gli altri soggetti direttamente coinvolti nella medesima pratica (ad esempio un altro professionista che deve contattarti per lo stesso atto), esclusivamente nell'ambito di tale pratica;
• il fornitore del servizio di hosting che ospita l'infrastruttura tecnica dell'applicativo (server, database e archiviazione dei documenti — vedi sezione 10), che tratta i dati per nostro conto e secondo le nostre istruzioni, in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR. [DA CONFERMARE: risulta ancora da sottoscrivere il relativo accordo sul trattamento dei dati (Data Processing Agreement/AV-Vertrag) con il fornitore di hosting; questa sezione presuppone che tale accordo venga firmato prima che dati personali reali vengano trattati nel sistema];
• le autorità pubbliche, quando la comunicazione sia obbligatoria per legge.

Non utilizziamo strumenti di marketing, pubblicità, tracciamento statistico né servizi di terze parti che comportino la condivisione dei tuoi dati al di fuori di quanto sopra descritto. La sezione 12 descrive un ulteriore, distinto flusso verso un servizio esterno, limitato alla sola verifica delle password del personale interno e che non riguarda in alcun modo i tuoi dati.

10. Trasferimento dei dati fuori dall'Unione Europea

I dati relativi alla tua pratica (i tuoi dati come cliente o come funzionario pubblico/professionista) sono trattati e conservati esclusivamente all'interno dell'Unione Europea. L'infrastruttura tecnica attualmente utilizzata per ospitare l'applicativo (server, database e archiviazione dei documenti caricati) è fornita da Hetzner Online GmbH, con server ubicato in Germania. [DA CONFERMARE: verificare la sede esatta del server nel pannello di controllo Hetzner Cloud (Norimberga, Falkenstein o Helsinki: tutte le opzioni disponibili restano comunque all'interno dell'Unione Europea). Si segnala inoltre che questa infrastruttura è, al momento, quella di un ambiente di test/avvio attività: è previsto un trasferimento futuro a un'infrastruttura definitiva (eventualmente un diverso account o fornitore), che potrà comunque restare nell'ambito Hetzner/UE; questa sezione dovrà essere aggiornata prima che il nuovo ambiente tratti dati personali reali].

Per i dati della tua pratica non utilizziamo alcun fornitore, servizio cloud, strumento di analisi o servizio di terze parti situato al di fuori dello Spazio Economico Europeo. Di conseguenza, per questi dati non avviene alcun trasferimento verso paesi terzi, e non è necessario ricorrere agli strumenti di trasferimento previsti dal Capo V del GDPR (come le clausole contrattuali standard o le norme vincolanti d'impresa).

Fa eccezione un solo flusso tecnico, distinto e limitato agli account del personale interno dello studio, descritto in dettaglio nella sezione 12: quando un membro del personale imposta o modifica la propria password, l'applicativo interroga un servizio esterno (Have I Been Pwned / Pwned Passwords) per verificare che la password scelta non compaia in elenchi noti di credenziali compromesse. Questo controllo non riguarda in alcun modo i dati di clienti o funzionari pubblici e non trasmette la password in chiaro né altri dati personali identificativi. [DA CONFERMARE: far confermare da un professionista della protezione dei dati se questo specifico flusso tecnico richieda comunque una qualificazione formale come trasferimento ai sensi del Capo V GDPR o un'annotazione nel registro dei trattamenti, tenuto conto della sua natura tecnica, non identificativa e limitata agli account del personale].

11. Cookie e tecnologie di tracciamento

Il nostro applicativo utilizza esclusivamente due tipi di cookie, entrambi tecnicamente necessari al funzionamento del servizio:

• un cookie di sessione, che ti mantiene autenticato dopo l'accesso (la sessione si chiude automaticamente dopo un periodo di inattività e comunque non oltre un limite massimo di ore dall'accesso, per motivi di sicurezza);
• un token di protezione dalla falsificazione delle richieste (CSRF), che protegge i moduli e le operazioni dell'applicativo da un tipo comune di attacco informatico.

Entrambi questi cookie sono di tipo tecnico/strettamente necessario: non vengono utilizzati per profilazione, pubblicità o statistiche, e non trasmettono dati a soggetti terzi. Ai sensi della normativa ePrivacy e delle Linee guida cookie e altri strumenti di tracciamento del Garante, i cookie strettamente necessari al funzionamento del servizio non richiedono il tuo consenso preventivo: per questo motivo l'applicativo non presenta un banner di richiesta di consenso ai cookie.

Non utilizziamo strumenti di analisi statistica (ad esempio Google Analytics), strumenti pubblicitari, pixel di tracciamento, né plug-in o widget di social network.

12. Come proteggiamo i tuoi dati

Adottiamo misure tecniche e organizzative concrete per proteggere i tuoi dati, tra cui:

• cifratura dei dati più sensibili conservati nel database (i tuoi recapiti di contatto e le note relative alla pratica) e cifratura separata dei file dei documenti caricati (ad esempio le scansioni di passaporti o carte d'identità), decifrati solo al momento della consultazione, del download o dell'esportazione autorizzata;
• rimozione dei metadati (inclusi eventuali dati di geolocalizzazione) dalle immagini caricate, prima della loro cifratura e archiviazione;
• collegamento sempre cifrato (HTTPS) con protezione aggiuntiva che impone ai browser di utilizzare sempre la connessione sicura, oltre a intestazioni di sicurezza che riducono il rischio di attacchi comuni (ad esempio clickjacking o iniezione di contenuti);
• accesso all'applicativo protetto da credenziali personali, con autenticazione a due fattori disponibile per ogni account e limitazione dei tentativi di accesso per contrastare tentativi di accesso non autorizzato;
• sistema di ruoli differenziati (amministratore, operatore, sola consultazione) che regola quali azioni ciascuna persona può compiere: la consultazione dei dati di una pratica è disponibile a chiunque abbia effettuato l'accesso all'applicativo, indipendentemente dal ruolo assegnato e dalla pratica specifica — il sistema non applica, allo stato attuale, una restrizione "per pratica" o "per necessità" alla sola visualizzazione. Sono invece riservate a operatori e amministratori la creazione, la modifica e l'eliminazione ordinaria dei dati, ed è riservata esclusivamente agli amministratori, previa riconferma della password, la cancellazione definitiva e irreversibile dei dati di un cliente o di un funzionario;
• sessioni di accesso a tempo limitato, con disconnessione automatica dopo un periodo di inattività e comunque entro un limite massimo di ore, indipendentemente dall'attività svolta;
• controlli sui documenti caricati: sono ammessi solo formati specifici (PDF, JPEG, PNG), con un limite massimo di dimensione, nomi di file generati automaticamente in modo casuale (il nome del file originale è conservato solo come informazione accessoria) e archiviazione dei file al di fuori dell'area del sito accessibile direttamente dal web, quindi mai raggiungibili con un collegamento diretto; l'applicativo prevede inoltre una scansione antivirus automatica di ogni file caricato (tramite ClamAV) prima che venga salvato: se la scansione rileva un file infetto, il caricamento viene respinto; soprattutto, se lo strumento di scansione non è configurato, non è raggiungibile o restituisce un errore, il caricamento viene comunque respinto, e non accettato senza controllo ("fail closed"); l'effettivo funzionamento della scansione antivirus nell'ambiente di produzione è stato verificato concretamente il 10 luglio 2026;
• password del personale conservate esclusivamente in forma crittograficamente protetta (hash), mai in chiaro. Quando un membro del personale imposta o modifica la propria password, in ambiente di produzione l'applicativo verifica inoltre che la password scelta non compaia in elenchi noti di credenziali compromesse, interrogando il servizio esterno Have I Been Pwned (Pwned Passwords) con la tecnica della "k-anonymity": viene trasmessa solo una porzione (i primi caratteri di un'impronta crittografica, o hash) della password scelta — mai la password in chiaro, né alcun altro dato personale identificativo — e il confronto finale avviene localmente, sul nostro server. Si tratta dell'unico flusso di dati verso un servizio esterno situato al di fuori dell'infrastruttura descritta nella sezione 10, e riguarda esclusivamente gli account del personale interno, non i dati di clienti o funzionari pubblici (vedi anche la sezione 10);
• registro interno (audit log) che traccia chi ha esportato o cancellato definitivamente i dati di un cliente, quando e da quale postazione, consultabile solo dagli amministratori. Come spiegato nella sezione 13, questo registro non viene azzerato da una cancellazione: conserva una traccia pseudonimizzata delle operazioni, con i campi contenenti dati personali sovrascritti;
• accesso al database riservato a un utente tecnico dedicato, con privilegi limitati esclusivamente a quanto necessario al funzionamento dell'applicativo.

13. Per quanto tempo conserviamo i tuoi dati

Conserviamo i tuoi dati per la durata della pratica e del rapporto professionale, e comunque per il tempo necessario alle finalità descritte nella sezione 6.

Il periodo esatto di conservazione dei dati di un cliente dopo la chiusura o la cancellazione di una pratica è attualmente in fase di definizione con il titolare del trattamento: [DA CONFERMARE: periodo di conservazione specifico da concordare con il titolare, ad esempio in numero di anni dalla chiusura della pratica, tenendo conto degli obblighi di legge applicabili — ad esempio il termine decennale di conservazione delle scritture contabili previsto dall'art. 2220 del codice civile, ove pertinente]. Questa informativa sarà aggiornata con il periodo definitivo prima che dati personali reali vengano trattati nel sistema.

L'applicativo prevede comunque, già oggi, i seguenti strumenti per la gestione della conservazione e della cancellazione dei dati:

• una cancellazione ordinaria, reversibile, che sospende la visibilità del record senza eliminarlo definitivamente e ne consente il ripristino;
• una cancellazione definitiva e irreversibile ("cancellazione GDPR"), riservata agli amministratori e soggetta a riconferma della password, che elimina in modo permanente il record, i documenti e i relativi file. Il registro interno di audit (sezione 12) non viene invece eliminato: le voci storiche che lo riguardano (creazione, modifiche, esportazioni e la cancellazione stessa, con data, ora e — se disponibile — postazione da cui è stata effettuata) restano nel registro, ma i campi che contenevano dati personali (ad esempio nome, email, telefono, note, nome dei file) vengono sovrascritti con la dicitura tecnica "[redacted]" prima che il record venga eliminato. Nel registro resta quindi una traccia pseudonimizzata — che consente di verificare che una pratica è esistita ed è stata cancellata, da chi e quando — ma non più i tuoi dati personali. Questo meccanismo serve a garantire la verificabilità delle operazioni di cancellazione (principio di responsabilizzazione, art. 5, par. 2, GDPR) e non consente di ricostruire i dati cancellati a partire dal registro di audit;
• una funzione automatica di eliminazione definitiva dei dati conservati oltre il periodo di conservazione concordato, predisposta nel sistema ma non ancora attivata in attesa che il periodo esatto venga definito come indicato sopra.

Per i dati dei funzionari pubblici e dei professionisti con cui collaboriamo, la conservazione è limitata alla durata della pratica e del rapporto di collaborazione con lo studio; anche in questo caso è disponibile una funzione di cancellazione del record da parte del personale autorizzato.

14. I tuoi diritti

In qualità di soggetto interessato, hai diritto a:

• accesso (art. 15 GDPR): ottenere conferma che i tuoi dati sono trattati e riceverne una copia;
• rettifica (art. 16 GDPR): ottenere la correzione di dati inesatti o l'integrazione di dati incompleti;
• cancellazione (art. 17 GDPR): ottenere la cancellazione dei tuoi dati quando non sono più necessari, quando revochi il consenso su cui si basava il trattamento, o negli altri casi previsti dalla legge, salvo che sussista un obbligo di legge o altro motivo legittimo che ne imponga la conservazione. Come spiegato nella sezione 13, questa cancellazione elimina in modo permanente il tuo record e i relativi documenti, ma lascia nel registro di audit una traccia pseudonimizzata dell'operazione, con i campi contenenti dati personali sostituiti da una dicitura di redazione;
• limitazione di trattamento (art. 18 GDPR): ottenere che i tuoi dati vengano trattati solo in modi limitati, ad esempio mentre verifichiamo l'esattezza di un dato che contesti;
• portabilità (art. 20 GDPR): ricevere in un formato strutturato e di uso comune i dati che ci hai fornito sulla base del contratto o del tuo consenso;
• revoca del consenso (art. 7, par. 3 GDPR): revocare in ogni momento un consenso prestato, senza pregiudicare la liceità del trattamento già effettuato prima della revoca.

Puoi esercitare questi diritti in qualsiasi momento; la sezione 16 spiega come.

15. Il tuo diritto di opposizione

Hai il diritto di opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare, al trattamento dei tuoi dati personali basato sul legittimo interesse dello studio (art. 6, par. 1, lett. f) GDPR — ad esempio la gestione ordinaria del rapporto con te, se sei un cliente, o il coordinamento della pratica, se sei un funzionario pubblico o un professionista).

Se ti opponi, cesseremo di trattare i tuoi dati per tali finalità, a meno che dimostriamo l'esistenza di motivi legittimi cogenti che prevalgono sui tuoi interessi, diritti e libertà, oppure che il trattamento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria (art. 21, par. 1 GDPR).

Questo diritto si affianca, in modo distinto, ai diritti elencati nella sezione 14 ed è particolarmente rilevante perché una parte del trattamento descritto in questa informativa (in particolare quello relativo ai dati dei funzionari pubblici) si fonda proprio sul legittimo interesse.

16. Come esercitare i tuoi diritti e come presentare reclamo

Per esercitare uno qualsiasi dei diritti descritti nelle sezioni 14 e 15, puoi contattare il titolare del trattamento ai recapiti indicati nella sezione 1. Per verificare la tua identità prima di dare seguito alla richiesta, potremmo chiederti alcune informazioni proporzionate allo scopo, senza richieste eccessive.

Tu non disponi di un accesso diretto (login) all'applicativo gestionale: per rispondere alla tua richiesta, è il personale autorizzato dello studio a utilizzare gli strumenti previsti dal sistema per tuo conto, dopo aver verificato la tua identità. In particolare, l'applicativo consente al personale autorizzato di:

• generare un'esportazione completa dei tuoi dati (compresi, se sei un cliente, i documenti caricati in formato leggibile), utile per rispondere alle richieste di accesso e di portabilità;
• procedere a una cancellazione sicura e irreversibile dei tuoi dati, riservata agli amministratori e soggetta a riconferma della password, quando la richiesta di cancellazione è accolta (vedi la sezione 13 per la spiegazione di cosa resta, in forma pseudonimizzata e non più riconducibile a te, nel registro di audit dopo questa operazione).

Per i dati dei funzionari pubblici e dei professionisti con cui collaboriamo, le richieste di rettifica o cancellazione vengono gestite direttamente dal personale autorizzato dello studio, che modifica o elimina il record corrispondente all'interno dell'applicativo.

Rispondiamo alla tua richiesta senza ingiustificato ritardo e comunque entro un mese dal ricevimento, termine prorogabile di ulteriori due mesi in caso di richieste particolarmente complesse o numerose (in tal caso te ne daremo comunque comunicazione entro il primo mese, indicandone i motivi). L'esercizio dei tuoi diritti è gratuito, salvo il caso di richieste manifestamente infondate o eccessive.

Se ritieni che il trattamento dei tuoi dati violi la normativa sulla protezione dei dati personali, hai diritto di proporre reclamo all'autorità di controllo italiana:

Garante per la protezione dei dati personali Piazza Venezia, 11 — 00187 Roma Email: garante@gpdp.it PEC: protocollo@pec.gpdp.it Sito web: www.garanteprivacy.it

Questo non pregiudica il tuo diritto di proporre ricorso giurisdizionale.

17. Minori

Questo servizio non è rivolto a minori. Si tratta di un servizio professionale, di natura contrattuale, relativo a pratiche di compravendita immobiliare, riservato a soggetti maggiorenni con piena capacità di agire, sia lato clienti sia lato funzionari pubblici e professionisti con cui collaboriamo. Non raccogliamo consapevolmente dati di persone minori di età (l'età di riferimento per il consenso ai sensi dell'art. 2-quinquies del d.lgs. 196/2003 è 14 anni) né di persone che non abbiano la capacità di stipulare un contratto di acquisto immobiliare. Se dovessimo venire a conoscenza di aver raccolto, per errore, dati riferiti a un minore, provvederemo a cancellarli tempestivamente.

18. Comunicazioni via email

L'applicativo può prevedere, in alcune circostanze, l'invio automatico di email (ad esempio email di reset delle credenziali per il personale dello studio). Al momento, in produzione, non è attivo alcun fornitore reale di posta elettronica: il sistema è configurato in modalità di solo registro interno, il che significa che queste email non vengono effettivamente recapitate ad alcun indirizzo reale, ma solo annotate internamente a fini tecnici.

[DA CONFERMARE: nome del fornitore di posta elettronica transazionale che verrà scelto per l'invio effettivo di queste email, la sua sede/area geografica e, se rilevante, la base giuridica dell'eventuale trasferimento di dati]. Questa informativa sarà aggiornata non appena un fornitore verrà attivato in produzione.

19. Modifiche a questa informativa

Possiamo aggiornare questa informativa nel tempo, ad esempio per riflettere modifiche nelle finalità di trattamento, nei fornitori tecnici utilizzati, o per adeguamenti normativi. In caso di modifiche sostanziali, ne daremo comunicazione con mezzi adeguati (ad esempio pubblicando una versione aggiornata su questa stessa pagina, con indicazione della data di ultimo aggiornamento). Ti invitiamo a consultare periodicamente questa pagina.

Come indicato in apertura, il testo attuale di questa informativa è stato redatto in vista della messa in produzione del servizio e deve essere revisionato e validato da un professionista della protezione dei dati, con la risoluzione di tutte le indicazioni "[DA CONFERMARE: ...]" ancora presenti nel testo (sezioni 1, 9, 10, 12, 13 e 18), prima che dati personali reali vengano trattati nel sistema.