Informativa privacy

Informativa ai sensi dell'art. 13 del Regolamento UE 2016/679 (GDPR) e dell'art. 122 del D.Lgs. 196/2003 (Codice Privacy). Versione preliminare, in attesa di revisione legale completa.

1. Titolare del trattamento

Il sito catastima.it è un progetto in fase sperimentale realizzato e pubblicato da:

Proteggimi S.r.l.
Sede legale: Via Fabio Rugiadi 59/D, 00054 Fiumicino (RM)
P.IVA / C.F.: 18387191002
REA: RM 1781544 — Capitale sociale: € 10.000,00 i.v.
E-mail: info@proteggimi.com

Per esercitare i diritti previsti dalla normativa privacy o per qualsiasi richiesta relativa al trattamento dei dati personali, scrivi all'indirizzo e-mail sopra indicato.

2. Dati trattati

• Analytics aggregate: per capire come viene usato il sito raccogliamo pageview anonime (path, timestamp, classe device, dominio referrer). Per le statistiche dashboard amministrative memorizziamo l'IP visitatore associato alla data e al conteggio di visite giornaliere; per ottenere paese, regione, città e coordinate approssimate usiamo un database di geolocalizzazione installato sul nostro server (DB-IP Lite, licenza CC BY 4.0): l'IP non viene inviato a terzi. L'IP è un dato personale: queste statistiche non sono anonime, e il log degli accessi con l'IP e la relativa geolocalizzazione sono cancellati dopo 90 giorni. Base giuridica: legittimo interesse del titolare (art. 6.1.f GDPR) per statistiche aggregate e sicurezza. Nessun cookie, nessun fingerprint, rispettato il Do Not Track.
• Indirizzo dell'immobile: fornito dall'utente per la valutazione. Trasformato in coordinate geografiche via OpenCage (UK — decisione di adeguatezza UK); solo le coordinate arrotondate (~11 m) sono conservate nella cache interna per resilienza operativa. L'indirizzo in chiaro non viene conservato.
• Dati dell'edificio: anno, tipologia, superficie, destinazione d'uso, stato di manutenzione. Non associati a identità personali; usati solo per il calcolo del profilo di vulnerabilità.
• Log valutazioni PAM: per ogni calcolo completato memorizziamo data, IP del richiedente (per arricchimento geo via lo stesso database locale delle analytics), città dell'immobile (ricavata dal geocoder OpenCage), risultato della valutazione (PAM p50/p05/p95, classe di rischio), tipologia strutturale e destinazione d'uso. Non conserviamo l'indirizzo in chiaro né le coordinate dell'edificio. Finalità: statistiche aggregate sulla distribuzione del rischio per la dashboard amministrativa e contatore attività per il monitor interno. Base giuridica: legittimo interesse del titolare (art. 6.1.f GDPR) per statistiche aggregate.
• Indirizzo e-mail: raccolto solo se l'utente richiede l'invio del report via email. Non condiviso con terze parti oltre al fornitore di invio email (sezione 4), usato per consegna del report e comunicazioni di servizio. Se alla registrazione scegli di ricevere aggiornamenti sul prodotto e comunicazioni commerciali, la stessa email è usata anche a quel fine, solo con il tuo consenso.
• Dati di pagamento e fatturazione: i dati della carta sono raccolti direttamente da Stripe e non transitano né vengono conservati sui nostri server; conserviamo l'identificativo cliente Stripe, lo storico degli acquisti e i dati di fatturazione (ragione sociale, P.IVA o codice fiscale, codice SDI/PEC, indirizzo). Base giuridica: esecuzione del contratto (art. 6.1.b GDPR) e obblighi fiscali (art. 6.1.c).
• Log tecnici: IP, user-agent, timestamp — conservati per 90 giorni ai fini di sicurezza e diagnostica.
• Messaggi del form contatti: se ci scrivi dal form contatti (pagina /contattio finestra «Contattaci») raccogliamo email, argomento, testo del messaggio e, se li indichi, nome e società; se sei loggato, associamo il messaggio al tuo account. Il messaggio è salvato sul nostro server e inoltrato via email al team tramite il fornitore di invio email (sezione 4), solo per rispondere e gestire la richiesta (assistenza, segnalazioni, proposte di nuove funzioni). L'IP è conservato 30 giorni per anti-abuso, il messaggio 24 mesi dalla ricezione; i messaggi legati al tuo account compaiono nell'export dei dati e sono cancellati insieme all'account. Base giuridica: esecuzione di misure richieste dall'interessato (art. 6.1.b GDPR) e legittimo interesse per la protezione anti-abuso (art. 6.1.f).
• Richiesta accesso programma periti (form /periti): se ti iscrivi al programma di validazione professionale (periti e tecnici abilitati) raccogliamo email, nome e cognome, Albo professionale e numero di iscrizione, comune di esercizio, eventuali note sui casi di interesse, opt-in pubblicazione aggregata. L'IP della richiesta è conservato 30 giorni per anti-abuso. I dati del perito sono conservati per 5 anni (coerente con gli obblighi di conservazione delle perizie professionali) e sono usati esclusivamente per la gestione del programma beta e per la calibrazione empirica del motore. Non raccogliamo né trattiamo dati dei clienti finali del perito.
• Account utente: la registrazione è self-service tramite il form /richiedi-accesso, oppure — se fai parte di un'organization con piano Business/Enterprise — tramite invito del proprietario (owner) dal suo pannello /manage. In entrambi i casi raccogliamo nome, cognome, indirizzo email e tipologia dichiarata di utilizzatore (privato / PMI-azienda / assicuratore-broker / perito-ingegnere / pubblica amministrazione / altro). L'IP della richiesta di registrazione è conservato 30 giorni per anti-abuso. Per autenticarti usiamo la tua email come identità e conserviamo l'hash bcrypt della password (mai la password in chiaro): l'hash serve solo a verificare il login. Alla creazione dell'account generiamo un token one-time per il primo setup della password (valido 7 giorni); per il reset il token ha validità 1 ora. Non richiediamo alcun dato finanziario (carte di credito, conto bancario, identificativi di pagamento) per registrarti. La sessione è gestita con un cookie catastima_session httpOnly, SameSite=Lax, durata 24 ore. I dati di account sono conservati per tutta la durata del rapporto; puoi chiedere in qualsiasi momento la cancellazione scrivendo a catastima@proteggimi.com. Base giuridica: esecuzione del rapporto contrattuale per la gestione dell'account (art. 6.1.b GDPR) e legittimo interesse per protezione anti-abuso (art. 6.1.f).

3. Base giuridica

Esecuzione di un servizio richiesto dall'utente (art. 6(1)(b) GDPR) per il calcolo del rischio, la gestione dell'account e l'invio dei report; adempimento di obblighi di legge (art. 6(1)(c)) per fatturazione e conservazione contabile; consenso (art. 6(1)(a)) per l'iscrizione al programma periti e, ai sensi anche dell'art. 130 del D.Lgs. 196/2003, per le comunicazioni commerciali, revocabile in ogni momento (art. 7(3) GDPR) da /account o dal link di disiscrizione; legittimo interesse (art. 6(1)(f)) per log tecnici, statistiche aggregate e protezione anti-abuso.

4. Responsabili del trattamento (processors)

Ci avvaliamo dei seguenti fornitori, con cui è stato stipulato un accordo di nomina a responsabile del trattamento ex art. 28 GDPR:

• Aruba S.p.A. (Italia) — hosting VPS + archivio report PDF. Infrastruttura UE, no trasferimenti extra-UE.
• OpenCage GmbH (UK / Germania) — geocoding indirizzi. UK coperta da decisione di adeguatezza della Commissione Europea.
• Anthropic PBC (Stati Uniti) — generazione narrativa AI del report. Trasferimento extra-UE basato su Standard Contractual Clauses (SCC) ex art. 46 GDPR.
• Sendinblue SAS (Brevo) (Francia) — invio email transazionali (inviti, reset password, consegna report, notifiche contatto). Infrastruttura UE.

I pagamenti e le sottoscrizioni sono gestiti da Stripe Payments Europe, Limited (Irlanda), che tratta i dati di pagamento in parte come responsabile per nostro conto e in parte come titolare autonomo (prevenzione delle frodi, obblighi di legge propri). Gli eventuali trasferimenti verso Stripe, Inc. (Stati Uniti) si basano sulla decisione di adeguatezza EU-US Data Privacy Framework (decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023) e, in via sussidiaria, sulle clausole contrattuali standard ex art. 46 GDPR.

L'elenco viene aggiornato al variare dei fornitori.

5. Retention (tempi di conservazione)

6. Cookie e localStorage

catastima.it utilizza esclusivamente cookie tecnici necessari al funzionamento del servizio. Nessun cookie di profilazione, nessun tracker di terze parti, nessuna tecnologia di fingerprinting. Le Linee guida cookie e altri strumenti di tracciamento del Garante Privacy (10 giugno 2021, G.U. n. 163 del 9 luglio 2021) non richiedono consenso per i cookie strettamente necessari; il banner di benvenuto è meramente informativo. Vedi anche la cookie policy completa.

• Cookie catastima_session (httpOnly, SameSite=Lax, Secure in produzione): conserva il riferimento alla tua sessione autenticata per 24 ore. Contiene un JWT firmato con chiave server, nessun dato personale in chiaro. Essenziale per l'autenticazione.
• localStorage catastima:check:v1: conserva lo stato del flusso di valutazione (indirizzo, parametri edificio, opzioni avanzate) perché tu non perda il lavoro al refresh. Si cancella svuotando il sito dai dati del browser oppure cliccando "Nuova valutazione" in alto a destra in /check.
• localStorage catastima.cookie-notice-ack: ricorda che hai già visto il banner informativo, per non mostrartelo ad ogni visita. Nessun dato personale.

Rispettiamo l'header Do Not Track: se il tuo browser lo invia, non registriamo l'evento di pageview anonimo nella tabella interna di analytics (già cookie-less).

7. I tuoi diritti (artt. 15-22 GDPR)

Puoi esercitare in qualsiasi momento i seguenti diritti:

• Accesso (art. 15) e portabilità (art. 20): dalla pagina /account → "Scarica i miei dati" ottieni un JSON machine-readable con tutti i dati riferibili al tuo account.
• Rettifica (art. 16): anagrafica modificabile dal pannello admin (per ora via email al titolare); in sviluppo un'interfaccia self-service.
• Cancellazione (art. 17, "diritto all'oblio"): da /account → "Cancella definitivamente il mio account". Richiede conferma via password.
• Limitazione (art. 18) e opposizione (art. 21): scrivi a catastima@proteggimi.com indicando la base del trattamento a cui ti opponi.
• Reclamo: hai diritto di proporre reclamo al Garante per la Protezione dei Dati Personali italiano (Piazza Venezia 11, 00187 Roma; PEC protocollo@pec.gpdp.it) se ritieni che il trattamento violi il GDPR.

8. Decisioni automatizzate e AI (art. 22 GDPR e AI Act)

Il calcolo della PAM è un'elaborazione automatica di dati tecnici dell'edificio e di dataset pubblici (INGV, ISPRA) che non produce effetti giuridici nei tuoi confronti. La narrativa del report PDF è generata da un sistema di intelligenza artificiale (Claude Opus 4.8 di Anthropic). Per trasparenza (art. 50 del Regolamento UE 2024/1689 sull'AI, i cui obblighi si applicano dal 2 agosto 2026) tutti i contenuti AI-generati sono etichettati come tali nel report; puoi segnalare errori nella narrativa tramite i contatti sopra indicati. Nessuna decisione assicurativa, creditizia o professionale viene presa automaticamente sulla base dei nostri output: il report è uno strumento di supporto, non una decisione.

8-bis. Misure di sicurezza (art. 32 GDPR)

Adottiamo misure tecniche e organizzative adeguate al rischio:

• Crittografia in transito: tutto il traffico è servito esclusivamente via HTTPS (TLS 1.2+) con HSTS attivo; i certificati sono Let's Encrypt rinnovati automaticamente sul reverse proxy (Plesk).
• Crittografia a riposo: il server VPS Aruba (Italia) sul quale risiede il database PostgreSQL e lo storage dei PDF utilizza dischi cifrati a livello infrastrutturale dal provider; le password utente sono hashate con bcrypt (cost factor 12), i token di sessione/setup/reset sono memorizzati in DB come hash SHA-256.
• Controllo accessi: pannello amministrativo protetto da HTTP Basic + IP allowlist opzionale per organization Enterprise; tutte le mutazioni admin sono tracciate in admin_audit_log.
• Minimizzazione: nessun cookie di profilazione, nessun tracker di terze parti, indirizzi salvati solo con consenso esplicito (le valutazioni anonime usano lat/lon arrotondati a ~11 m); cleanup automatico giornaliero dei log tecnici a 90 giorni e degli IP a 30 giorni.
• Backup: snapshot giornalieri del database e dei PDF su sistema di backup separato del provider VPS, ritenzione 7 giorni rolling.
• Risposta a incidenti: in caso di data breach notifichiamo il Garante entro 72 ore (art. 33 GDPR) e, se la violazione presenta un rischio elevato per i tuoi diritti, ti informiamo senza ingiustificato ritardo (art. 34) all'email di registrazione, indicando categorie di dati coinvolti e misure adottate.

9. Minori

Il servizio è rivolto ad adulti, professionisti e imprese. Non è previsto l'utilizzo da parte di minori di 18 anni. Non raccogliamo consapevolmente dati di minori; se vieni a conoscenza di un account riconducibile a un minore, ti invitiamo a segnalarcelo al più presto ai contatti sopra indicati e provvederemo alla cancellazione.

10. Data Protection Officer (DPO)

Allo stato attuale, Proteggimi Srl non è obbligata alla nomina di un Data Protection Officer ai sensi dell'art. 37 GDPR (non svolge trattamenti su larga scala di dati particolari o giudiziari, né di monitoraggio sistematico). Il riferimento unico per qualsiasi questione privacy è catastima@proteggimi.com, monitorato dall'amministrazione. Ci impegniamo a rispondere alle richieste degli interessati entro un mese, prorogabile di due mesi nei casi complessi, con comunicazione motivata entro il primo mese (art. 12(3) GDPR). Se la struttura o il volume dei trattamenti in futuro imporranno la nomina del DPO, aggiorneremo la presente informativa.

11. Modifiche a questa informativa

Potremo aggiornare la presente informativa per riflettere cambiamenti nei trattamenti, nei fornitori o nella normativa applicabile. Le modifiche sostanziali saranno comunicate via email agli utenti registrati; la versione vigente è sempre consultabile a questa URL con data di ultimo aggiornamento in fondo alla pagina.

Ultimo aggiornamento: ottobre 2026 (versione 2026-10). Versione in attesa di revisione legale completa; per questioni urgenti contatta direttamente il titolare.