Informativa sul trattamento dei dati personali

ai sensi degli artt. 13–14 del Regolamento UE 2016/679 (GDPR)

1. Titolare del trattamento

Il Titolare del trattamento è il soggetto che ha stipulato un contratto di licenza con D&J Corporate s.r.l.s per l'utilizzo di Nexus Domus (tipicamente l'amministratore di condominio o la società di gestione condominiale).

D&J Corporate s.r.l.s agisce in qualità di Responsabile del trattamento (art. 28 GDPR) per conto del Titolare, fornendo la piattaforma tecnologica e i servizi connessi.

Per i dati trattati nell'ambito della propria attività commerciale (es. gestione account amministratori, fatturazione), D&J Corporate s.r.l.s agisce come Titolare autonomo.

2. Categorie di dati trattati

3. Finalità e basi giuridiche

4. Periodi di conservazione

5. Destinatari e sub-responsabili

I dati personali possono essere comunicati ai seguenti soggetti, nominati sub-responsabili del trattamento ai sensi dell'art. 28(2) GDPR:

I dati non vengono ceduti a terzi per finalità di marketing, profilazione commerciale o rivendita.

5-bis. Intelligenza artificiale (Reg. UE 2024/1689 — AI Act)

Nexus Domus impiega sistemi di intelligenza artificiale. Ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 informiamo che:

• L'assistente che risponde ai messaggi è un sistema di intelligenza artificiale, non una persona. L'informazione viene ripetuta all'inizio di ogni conversazione ed è sempre visibile nella chat del portale.
• Le risposte possono contenere errori e non sostituiscono le decisioni dell'amministratore né costituiscono consulenza legale.
• Nessuna decisione è presa in modo automatizzato. Il sistema registra e categorizza; approvazioni, invii e delibere restano atti di una persona fisica. Non ricorre pertanto l'art. 22 GDPR.
• È sempre possibile chiedere di essere ricontattati da una persona, scrivendolo nella conversazione.
• I testi generati dal sistema sono marcati in formato leggibile dall'elaboratore. I documenti trasmessi ai condòmini (verbali, solleciti, comunicazioni) sono comunque revisionati e approvati dall'amministratore, che ne assume la responsabilità.
• Non svolgiamo riconoscimento delle emozioni, categorizzazione biometrica, identificazione della persona dalla voce né attribuzione di punteggi comportamentali. La trascrizione dei messaggi vocali converte il parlato in testo e nulla più.

Il sistema è classificato a rischio limitato: non rientra fra le pratiche vietate (art. 5) né fra i sistemi ad alto rischio (Allegato III). La valutazione documentata è disponibile su richiesta all'indirizzo indicato in calce.

6. Diritti degli interessati

Gli interessati (residenti e amministratori) hanno il diritto di:

• Accesso (art. 15) — ottenere conferma del trattamento e copia dei dati
• Rettifica (art. 16) — correggere dati inesatti o incompleti
• Cancellazione (art. 17) — chiedere l'eliminazione dei dati ("diritto all'oblio")
• Limitazione (art. 18) — richiedere la sospensione del trattamento
• Portabilità (art. 20) — ricevere i propri dati in formato strutturato (CSV/JSON)
• Opposizione (art. 21) — opporsi al trattamento basato su legittimo interesse
• Reclamo — proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it)

Come esercitare i diritti

Le richieste vanno indirizzate al Titolare del trattamento (l'amministratore di condominio). Per questioni relative all'infrastruttura tecnica, contattare D&J Corporate s.r.l.s all'indirizzo [email protected]. Il riscontro viene fornito entro 30 giorni dalla ricezione.

7. Trasferimenti internazionali

Il database principale (Supabase) è ospitato in Irlanda (eu-west-1), nell'Unione Europea. I dati non escono dall'UE per la loro conservazione primaria.

Alcuni servizi ausiliari (Railway, Anthropic, OpenAI, Resend, Twilio, Cloudflare, Sentry, i servizi push dei browser e la componente statunitense di Meta) operano negli Stati Uniti. I trasferimenti avvengono sulla base delle Clausole Contrattuali Standard adottate dalla Commissione Europea (Decisione 2021/914/UE) e, per i fornitori che vi aderiscono, del Data Privacy Framework UE-USA.

OpenStreetMap Foundation ha sede nel Regno Unito, coperto dalla decisione di adeguatezza della Commissione Europea.

Per Telegram, il trasferimento verso Dubai avviene anch'esso sulla base di clausole contrattuali standard e limitatamente al contenuto dei messaggi di notifica.

8. Cookie e tracciamento

Nexus Domus non imposta cookie propri e non utilizza cookie di profilazione, di marketing o di analisi. Per questo motivo non viene richiesto alcun consenso: l'avviso mostrato alla prima visita è puramente informativo (Linee guida del Garante del 10 giugno 2021, § 6). L'applicazione utilizza esclusivamente la memoria tecnica del browser, che non viene trasmessa a terzi:

• sessionStorage — token di autenticazione, eliminato alla chiusura della scheda
• localStorage — preferenze di visualizzazione (tema, scheda aperta, bozze non inviate) e la presa visione di questo avviso
• Service Worker — per l'uso offline dell'app e per le notifiche push (queste ultime solo con consenso esplicito, revocabile dalle impostazioni del browser)

Il proxy di protezione (Cloudflare) può impostare cookie tecnici strettamente necessari alla difesa da attacchi automatici (ad esempio __cf_bm), esenti da consenso.

Non vengono utilizzati strumenti di analisi comportamentale di terze parti (es. Google Analytics). I caratteri tipografici sono serviti dal nostro dominio e non da Google Fonts: nessuna risorsa della pagina viene caricata da Google. L'unica risorsa esterna sono le immagini della mappa dei condomìni (OpenStreetMap), caricate solo quando l'amministratore apre la mappa.

9. Sicurezza dei dati

Le misure tecniche e organizzative adottate includono:

• Comunicazioni cifrate HTTPS/TLS su tutti i canali
• Autenticazione JWT con meccanismo di revoca del token
• Row Level Security (RLS) sul database — accesso ai dati solo tramite il backend autenticato
• Storage foto manutenzioni in bucket privato (accesso tramite URL firmato)
• Rate limiting sulle API pubbliche
• Log di audit per ogni operazione sensibile (accessi, approvazioni, modifiche dati)
• Build frontend minificato senza source map (protezione codice)
• Content Security Policy che impedisce il caricamento di script e caratteri da domini terzi
• Cancellazione automatica dei dati oltre i periodi di conservazione dichiarati (§ 4)

10. Modifiche alla presente informativa

Eventuali aggiornamenti a questa informativa saranno pubblicati su questa pagina con la data di revisione aggiornata. In caso di modifiche sostanziali, gli interessati saranno informati tramite email.