Privacy Policy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è NRC Company S.r.l., con sede legale in Via degli Ottoboni 16, Milano (MI), Italia, capitale sociale euro 10.000, C.F. e P.IVA IT14804430966, REA MI-2808600, iscritta al Registro delle Imprese di Milano. Per qualsiasi richiesta relativa al trattamento dei dati è possibile scrivere a: privacy@nrc.company.

Il Titolare non ha nominato un Responsabile della protezione dei dati (DPO): il trattamento non rientra tra i casi che ne impongono la designazione obbligatoria ai sensi dell'art. 37 GDPR (il Titolare non è un'autorità pubblica e l'attività principale non consiste nel monitoraggio regolare e sistematico su larga scala né nel trattamento su larga scala di categorie particolari di dati). Per ogni questione privacy è comunque disponibile il recapito privacy@nrc.company.

2. Tipologie di dati raccolti

Il servizio AmministraPro raccoglie e tratta le seguenti categorie di dati:

• Dati anagrafici (nome, cognome, codice fiscale)
• Dati di contatto (email, telefono, indirizzo)
• Dati di accesso al servizio (credenziali, log di accesso, indirizzo IP)
• Dati gestionali condominiali inseriti dall'Utente (rate, spese, documenti, comunicazioni)
• Dati di pagamento gestiti tramite Stripe (PCI-DSS compliant)
• Dati tecnici di osservabilità: log applicativi (errorLogs - stack trace, URL, user-agent, severità) e log di azioni amministrative (adminAuditLog - chi ha modificato cosa, quando, da quale IP), tutti archiviati su Firestore Europa.

3. Finalità del trattamento

• Erogazione del servizio SaaS di gestione condominiale
• Adempimento di obblighi contrattuali e fiscali
• Sicurezza informatica e prevenzione frodi (rate limiting, audit log, error tracking)
• Comunicazioni di servizio (consenso non richiesto - art. 6.1.b GDPR)
• Email di benvenuto inviata al primo accesso (consenso non richiesto - art. 6.1.b GDPR, esecuzione del contratto)
• Comunicazioni commerciali (solo previo consenso esplicito)

4. Base giuridica

Il trattamento è fondato su: esecuzione di un contratto (art. 6.1.b GDPR), obbligo legale (art. 6.1.c GDPR), legittimo interesse (art. 6.1.f GDPR) e, ove richiesto, consenso esplicito dell'Utente (art. 6.1.a GDPR).

5. Conservazione dei dati

I dati sono conservati per il tempo necessario alle finalità del trattamento e, comunque, non oltre i termini imposti da norme civilistiche e fiscali (10 anni per documenti contabili). Al termine del rapporto contrattuale i dati vengono cancellati o anonimizzati salvo obblighi di conservazione.

• errorLogs: 30 giorni (pulizia bulk dal pannello super-admin).
• adminAuditLog: minimo 1 anno per accountability GDPR e audit fiscali.
• Backup Firestore: 30 giorni di retention via Lifecycle Policy bucket.
• Rate limit counters: TTL automatico al termine della finestra (max 24 ore).
• Registri contabili dei condomini: fino a 10 anni per obblighi civilistici e fiscali.

6. Trasferimento extra-UE

I dati sono ospitati su infrastruttura Google Firebase (regione europe-west). Eventuali trasferimenti verso paesi terzi avvengono esclusivamente sulla base di clausole contrattuali standard approvate dalla Commissione Europea.

7. Diritti dell'interessato

In conformità agli artt. 15-22 GDPR l'Utente può esercitare i diritti di: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso. Le richieste vanno inviate a privacy@nrc.company. È sempre possibile proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

8. Sicurezza

Il servizio adotta misure tecniche e organizzative adeguate (cifratura in transito e a riposo, controllo accessi role-based, audit log, backup giornalieri, autenticazione multi-fattore opzionale) per garantire un livello di sicurezza proporzionato al rischio.

• Audit log: ogni mutazione amministrativa (delete organization, restore backup, modifica add-on, cleanup errori) viene registrata in adminAuditLog con attore, target, IP, user-agent.
• Rate limiting: protezione anti-spam con counter persistente Firestore (es. /api/demo/start: max 3/IP/ora + 50/giorno globali).
• Error tracking: cattura automatica eccezioni server e client con sanitizzazione payload (stack clipped a 8000 char, URL/UA clipped a 500).
• Health check: endpoint pubblico /api/health con probe Firestore + Auth per uptime monitoring esterno.
• Backup: snapshot Firestore giornaliero verso bucket dedicato, retention 30gg via Lifecycle Policy. Restore con conferma esplicita.

9. Sub-responsabili del trattamento

Il Titolare si avvale dei seguenti sub-responsabili per l'erogazione del servizio:

• Google Cloud Platform (Firebase): hosting, database, autenticazione, backup. Regione europe-west1 (Belgio).
• Stripe: gestione pagamenti (PCI-DSS Level 1).
• Provider PEC selezionato dal Cliente (es. Aruba, ItaltelePost) per invio comunicazioni con valore legale.
• Provider SMTP transazionale per email di benvenuto e notifiche (configurazione opzionale del Cliente).
• Provider AI selezionato per add-on AI (OpenAI, Anthropic, Google Gemini, Mistral AI, Mammouth AI), solo se add-on attivo. Dettagli nell'Informativa AI.

10. Decisioni automatizzate e intelligenza artificiale

Il Servizio include funzioni di intelligenza artificiale (assistenti AI, OCR di fatture e bollettini, classificazione di movimenti contabili, bozze di verbali e sintesi di assemblea, trascrizione audio). Tali funzioni hanno natura di supporto: l'output è sempre sottoposto alla verifica e all'approvazione di un operatore umano prima di produrre effetti. Il Titolare non adotta decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativo sull'interessato ai sensi dell'art. 22 GDPR.

Le funzioni AI sono attive solo se il Cliente sottoscrive il relativo add-on. I dati trattati, i provider coinvolti come sub-responsabili e gli impegni di non addestramento dei modelli sono descritti nell' Informativa sull'uso dell'intelligenza artificiale.

11. Cookies e tracker

Vedi la pagina dedicata Cookie Policy per dettagli su cookies tecnici e di sessione utilizzati dal servizio.

12. DPIA - Valutazione d'impatto

Una valutazione d'impatto sulla protezione dei dati (DPIA, art. 35 GDPR) è stata condotta per il trattamento di dati anagrafici condominiali, dati di pagamento ricorrente e log di accesso. Il documento è disponibile su richiesta scritta a privacy@nrc.company previa identificazione dell'Utente come legittimo interessato.

13. Ruolo del Cliente come Titolare e DPA

Quando il Cliente (Studio di amministrazione condominiale) utilizza AmministraPro per gestire i dati dei propri condomini e residenti, il Cliente agisce come Titolare del trattamento e NRC Company come Responsabileai sensi dell'art. 28 GDPR. I rapporti sono disciplinati dall'Accordo di nomina a Responsabile (DPA), parte integrante dei Termini di Servizio.

14. Modifiche

La presente informativa può essere aggiornata. Le modifiche sostanziali verranno comunicate via email almeno 30 giorni prima dell'entrata in vigore. Storico versioni disponibile su richiesta.