1. Oggetto e durata
Varco tratta i dati personali che l'Agenzia inserisce o riceve tramite il Servizio solo per fornire il Servizio, secondo le istruzioni documentate dell'Agenzia, che sono costituite da questo accordo, dai Termini di servizio e dalle impostazioni e azioni che l'Agenzia esegue nel Servizio. L'accordo dura quanto il contratto e, dopo, fino alla cancellazione dei dati prevista al punto 10.
2. Descrizione del trattamento
| Natura e finalità | conservazione, organizzazione, consultazione, elaborazione e visualizzazione dei dati nel gestionale; pubblicazione degli annunci scelti dall'Agenzia; ricezione delle richieste dal portale e dal sito dell'agenzia; generazione di testi con intelligenza artificiale; invio delle email di servizio |
| Interessati | clienti e potenziali clienti dell'Agenzia (acquirenti, venditori, inquilini, proprietari); persone incontrate nel porta a porta; visitatori che scrivono dal portale o dal sito dell'agenzia; dipendenti e collaboratori dell'Agenzia |
| Categorie di dati | dati anagrafici e di contatto (nome, telefono, email, indirizzo); preferenze di ricerca immobiliare e budget; note e cronologia dei contatti; esito delle visite porta a porta con indirizzo; dati degli immobili e del proprietario inseriti dall'Agenzia |
| Dati particolari | il Servizio non è pensato per categorie particolari di dati (art. 9) o dati relativi a reati (art. 10): l'Agenzia si impegna a non inserirli |
3. Obblighi di Varco
Varco si impegna a:
- trattare i dati solo su istruzione documentata dell'Agenzia, anche per i trasferimenti verso Paesi terzi, salvo obblighi di legge (che comunica prima, se consentito); informare l'Agenzia se ritiene che un'istruzione violi la normativa;
- garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
- adottare le misure di sicurezza del punto 5;
- rispettare le condizioni del punto 6 per ricorrere ad altri responsabili;
- assistere l'Agenzia, con misure tecniche e organizzative adeguate, nel rispondere alle richieste degli interessati (artt. 15-22), anche tramite le funzioni di modifica, cancellazione ed esportazione del Servizio, e inoltrarle senza ritardo le richieste ricevute direttamente;
- assistere l'Agenzia negli adempimenti degli articoli 32-36 (sicurezza, violazioni, valutazioni d'impatto, consultazione preventiva), tenuto conto delle informazioni disponibili;
- cancellare o restituire i dati alla fine del servizio (punto 10);
- mettere a disposizione le informazioni necessarie a dimostrare il rispetto di questi obblighi e consentire verifiche (punto 9);
- tenere il registro delle attività di trattamento svolte per conto dei titolari (art. 30.2).
4. Obblighi dell'Agenzia
- Raccogliere i dati in modo lecito, con una base giuridica adeguata, e fornire agli interessati la propria informativa (artt. 13 e 14), indicando Varco come fornitore del software.
- Per il porta a porta: informare le persone incontrate prima di registrare nome e telefono, e non registrare dati di chi non lo desidera.
- Decidere i tempi di conservazione dei propri dati e cancellare quelli non più necessari, usando le funzioni del Servizio.
- Verificare e, se serve, integrare l'informativa privacy generata automaticamente sul sito dell'agenzia.
- Non inserire nelle funzioni di intelligenza artificiale dati personali non necessari.
- Gestire gli Account del proprio team, rimuovendo subito chi non deve più accedere.
5. Misure di sicurezza
- Cifratura dei dati in transito (HTTPS/TLS) su dashboard, portale e siti.
- Password conservate come hash bcrypt; verifica dell'email con codice a tempo; cookie di sessione protetto (HttpOnly, Secure, SameSite).
- Separazione logica dei dati per agenzia, con controllo dell'appartenenza su ogni richiesta; gestione degli Account riservata all'amministratore.
- Server e database in Italia presso un fornitore certificato ISO/IEC 27001; backup periodici.
- Accesso ai sistemi limitato al personale autorizzato, con credenziali personali.
- Nessuna risorsa di terze parti caricata nelle pagine; servizi cartografici interrogati dal server senza dati degli interessati.
- Limiti anti abuso sui moduli pubblici, con indirizzi IP conservati solo come impronta giornaliera non reversibile.
- Registrazione dei dispositivi collegati, visibile all'amministratore, e rimozione automatica dopo 30 giorni di inattività.
Le misure vengono riviste periodicamente in base al rischio e all'evoluzione tecnica; Varco può aggiornarle purché il livello di protezione non diminuisca.
6. Altri responsabili (sub-responsabili)
L'Agenzia autorizza in via generale Varco a ricorrere ai sub-responsabili elencati sotto. Varco impone loro per contratto obblighi di protezione dei dati equivalenti a questo accordo e resta responsabile del loro operato.
| Sub-responsabile | Attività | Dati | Luogo e garanzie |
|---|---|---|---|
| Aruba S.p.A. | hosting, database, invio email | tutti i dati del Servizio | Italia |
| OpenAI | descrizioni degli annunci, Match AI | dati e foto degli immobili; descrizione del cliente scritta dall'agente (senza nomi e recapiti) | Stati Uniti: Data Privacy Framework UE-USA o clausole contrattuali standard; dati non usati per l'addestramento, conservazione massima 30 giorni presso il fornitore |
Varco comunica all'Agenzia, via email o nella dashboard, l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di anticipo. Entro quel termine l'Agenzia può opporsi per motivi ragionevoli legati alla protezione dei dati; se non si trova una soluzione, può recedere senza penali con rimborso della parte già pagata e non goduta.
Per mappe e indirizzi Varco interroga dal proprio server servizi basati su OpenStreetMap, inviando solo coordinate, zone o indirizzi senza nomi degli interessati, e conserva le risposte in cache.
7. Trasferimenti extra UE
I dati sono conservati in Italia. Eventuali trasferimenti fuori dallo Spazio economico europeo avvengono solo verso i sub-responsabili indicati al punto 6 e con le garanzie del Capo V del GDPR.
8. Violazioni dei dati
Varco informa l'Agenzia senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati personali trattati per suo conto. La comunicazione indica, per quanto noto: natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, probabili conseguenze, misure adottate o proposte, e un contatto per ulteriori informazioni. Varco collabora con l'Agenzia per le notifiche al Garante e agli interessati.
9. Verifiche
Su richiesta scritta Varco fornisce le informazioni necessarie a dimostrare il rispetto di questo accordo. L'Agenzia, o un revisore da essa incaricato e vincolato alla riservatezza, può svolgere una verifica con un preavviso di almeno 30 giorni, non più di una volta l'anno salvo violazioni o richieste dell'autorità, con modalità che non compromettano la sicurezza e la riservatezza dei dati di altre agenzie. I costi della verifica sono a carico dell'Agenzia.
10. Restituzione e cancellazione
Alla fine del contratto l'Agenzia può esportare i dati per 30 giorni (Impostazioni → Dati e privacy, file JSON). Trascorso questo termine Varco cancella i dati, compresi foto e copie di backup, entro i successivi 60 giorni, salvo che la legge ne imponga la conservazione, e su richiesta lo conferma per iscritto.
11. Disposizioni finali
In caso di contrasto tra questo accordo e i Termini di servizio, per quanto riguarda la protezione dei dati prevale questo accordo. Le limitazioni di responsabilità dei Termini si applicano nei limiti consentiti dal GDPR (art. 82). Per legge applicabile e foro valgono i Termini di servizio.
Contatti per la protezione dei dati: info@varco.pro.