Informativa sulla privacy
Ultimo aggiornamento: 2 novembre 2026
La presente informativa descrive le modalità con cui Plinthos tratta i dati personali degli utenti dell'app mobile e del sito plinthos.app, ai sensi del Regolamento (UE) 2016/679 ("GDPR") e del D.lgs. 196/2003 ("Codice Privacy") come modificato dal D.lgs. 101/2018.
1. Titolare del trattamento
Il titolare del trattamento dei dati è Scalise Partecipazioni S.r.l., con sede legale in Via Spagna snc, Condominio C.da Cutura, 87036 Rende (CS), Italia, P.IVA e C.F. 04024040786, PEC scalisepartecipazioni@pec.it.
Per qualsiasi richiesta relativa al trattamento dei dati personali è possibile contattare il titolare all'indirizzo email support@plinthos.app.
2. Tipologie di dati raccolti
Plinthos raccoglie le seguenti categorie di dati personali:
2.1 Dati di registrazione e profilo
- Indirizzo email (obbligatorio)
- Nome e cognome
- Numero di telefono (opzionale)
- Codice fiscale (solo per i Proprietari, opzionale)
- Foto profilo (opzionale)
- Ruolo (Proprietario o Inquilino) e paese di operatività
2.2 Dati di autenticazione
- Password (memorizzata in forma cifrata tramite bcrypt — il titolare non ne ha accesso)
- In caso di accesso tramite Google: identificativo Google e indirizzo email associato
- Token di sessione e di refresh
2.3 Dati relativi all'utilizzo dell'app (Proprietari)
- Dati degli appartamenti gestiti (nome, città, indirizzo, metratura)
- Dati delle stanze e dei posti letto
- Dati anagrafici degli inquilini inseriti dal Proprietario (nome, telefono, email, codice fiscale opzionale, date di contratto, canone, deposito)
- Storico pagamenti e ricevute caricate
- Dati bollette (importi, periodi, foto)
- Messaggi inviati nelle chat
- Documenti caricati e condivisi
- Scadenze inserite
Per i dati degli inquilini che inserisce, il Proprietario è titolare autonomo del trattamento e ne risponde verso i propri inquilini; Plinthos li tratta per suo conto, come responsabile del trattamento (art. 28 GDPR), solo per fornire il servizio.
2.3-bis Promemoria via WhatsApp
Se il Proprietario attiva i promemoria WhatsApp, agli inquilini che non hanno collegato un account Plinthos inviamo messaggi di servizio (rata in arrivo o in ritardo, quota bolletta, conferma di un pagamento) al numero di telefono inserito dal Proprietario. Il messaggio contiene il nome dell'inquilino e del Proprietario, il mese o il tipo di bolletta, l'importo e la scadenza. Registriamo l'esito della consegna e, se il numero non è raggiungibile su WhatsApp, smettiamo di scrivergli. L'inquilino può chiedere di non ricevere più questi messaggi scrivendo a support@plinthos.app o al Proprietario.
2.4 Dati relativi all'utilizzo dell'app (Inquilini)
- Associazione alla stanza tramite codice invito
- Storico pagamenti dell'affitto e delle quote bollette di propria competenza
- Ricevute di pagamento caricate
- Messaggi inviati nelle chat
2.5 Dati di pagamento
Plinthos NON raccoglie né memorizza i dati delle carte di credito. Gli abbonamenti acquistati dall'app mobile sono gestiti tramite l'App Store di Apple e il Google Play Store, con RevenueCat per la validazione delle transazioni. Gli abbonamenti acquistati dall'app web sono gestiti da Paddle.com Market Limited in qualità di rivenditore responsabile della transazione (Merchant of Record). Plinthos riceve esclusivamente lo stato dell'abbonamento (attivo, scaduto, in prova) e limitati metadati della transazione.
2.6 Dati tecnici e di notifica
- Token per notifiche push (Expo Push Token / FCM)
- Identificativo del dispositivo (per anti-frode trial)
- Lingua dispositivo e preferenze di notifica
- Versione dell'app e del sistema operativo
- Pagina di ingresso sul sito plinthos.app (es. l'articolo del blog da cui è iniziata la visita), memorizzata nel browser per un massimo di 90 giorni al solo scopo di capire quali contenuti portano a una registrazione. Non contiene identificativi personali e non viene condivisa con terzi.
2.7 Dati d'uso e di diagnostica
Per capire dove il servizio va migliorato registriamo come vengono usati il gestionale web e l'app:
- Gestionale web (PostHog, server UE): le pagine aperte e i passi completati, ad esempio registrazione, configurazione iniziale, creazione di un appartamento o di un inquilino, invio di un invito, apertura della pagina dell'abbonamento ed esito del pagamento. Negli eventi non inseriamo nomi, indirizzi, email, importi delle locazioni, messaggi né documenti; dagli indirizzi delle pagine togliamo codici e parametri. Dopo l'accesso gli eventi sono collegati al codice interno del tuo account, non al tuo nome o alla tua email. Non usiamo cookie né memorizziamo nulla sul tuo dispositivo per questo scopo, e l'indirizzo IP non viene conservato.
- Registrazioni di sessione: nei primi 14 giorni dall'apertura dell'account registriamo anche come ci si muove nella pagina (clic, scorrimento, cambi di schermata) per vedere dove ci si blocca. Tutti i testi e tutti i campi sono mascherati prima di lasciare il browser: la registrazione mostra la struttura della pagina, non i tuoi dati.
- App per smartphone (Google Firebase Analytics): le schermate aperte e i passi principali (registrazione, creazione di appartamenti, stanze e locazioni, inviti, pagamenti segnati o confermati, bollette, abbonamento), collegati al codice interno del tuo account. Firebase Analytics sarà sostituito da PostHog con le stesse regole del gestionale web.
- Diagnostica degli errori (Sentry): in caso di errore, il codice interno dell'account, la pagina e i dati tecnici necessari a correggerlo.
Puoi opporti in qualsiasi momento spegnendo «Dati d'uso» nelle Impostazioni del gestionale, oppure scrivendo a support@plinthos.app: da quel momento non registriamo più eventi né sessioni del tuo account.
2.8 Dati di iscrizione alla newsletter
Se ti iscrivi alla newsletter dal sito plinthos.app, Plinthos raccoglie il tuo indirizzo email e la lingua di navigazione, al solo scopo di inviarti comunicazioni informative e promozionali. Questi dati sono conservati fino alla tua disiscrizione, possibile in qualsiasi momento, e sono memorizzati sul database Supabase (server UE, Francoforte). Non vengono ceduti a terzi.
2.9 Dati delle candidature sul portale annunci
Quando ti candidi per una stanza tramite il portale annunci di Plinthos, raccogliamo e trattiamo i seguenti dati:
- Nome e cognome forniti in candidatura
- Età (se indicata)
- Occupazione (se indicata)
- Il messaggio di presentazione allegato alla candidatura
- I messaggi scambiati con il proprietario nella chat associata alla candidatura
Per questi dati il titolare del trattamento è quello indicato alla sezione 1. I dati della candidatura sono visibili al proprietario dell'annuncio a cui ti sei candidato, ai soli fini della selezione dell'inquilino. Puoi in qualsiasi momento esportare una copia di tutti i tuoi dati sul portale o richiedere la cancellazione immediata del tuo account e dei relativi dati (diritto all'oblio) dalle impostazioni del tuo account sul portale — la cancellazione è irreversibile e non richiede di attendere i termini di conservazione descritti alla sezione 5.
2.10 Profilo condiviso con un link privato
Se hai un profilo sul portale annunci, puoi condividerlo con un proprietario tramite un link privato, ad esempio incollandolo nel messaggio che gli mandi su un altro sito di annunci. Il link si crea solo quando lo chiedi tu, è uno solo per tutti gli annunci a cui lo mandi ed è valido per il periodo che scegli (7, 30 o 90 giorni).
Chi apre il link vede la tua scheda così come la vedono i proprietari a cui ti candidi sul portale, compresa la fascia di reddito che hai indicato, oltre a budget, durata del soggiorno, occupazione e garanzie, se le hai dichiarate. Chiunque riceva il link può aprirlo finché è valido: condividilo solo con chi vuoi.
Puoi revocare il link in qualsiasi momento da «Le mie candidature»: da quel momento la scheda non è più visibile e non si possono avviare nuove conversazioni dal link. Le conversazioni già avviate restano aperte finché non le chiudi tu.
Per ogni link registriamo soltanto quante volte è stato aperto e l'ora dell'ultima apertura. Non registriamo l'indirizzo IP, il browser né altri dati di chi lo apre. Le anteprime generate dalle app di messaggistica (ad esempio WhatsApp o Telegram) non vengono contate e non mostrano la scheda né il reddito.
2.11 Risposte dei proprietari e account con codice email
Se ricevi il link a un profilo e vuoi rispondere, ti chiediamo un messaggio e il tuo indirizzo email. Ti inviamo un codice per confermare che l'indirizzo è tuo; non serve una password. Con il codice creiamo per te un account leggero su Plinthos, che usiamo solo per farti rientrare nella conversazione e per avvisarti via email delle risposte.
Trattiamo l'indirizzo email, il nome che scegli di mostrare (facoltativo: se non lo indichi, l'altra parte vede il tuo indirizzo email parzialmente nascosto), i messaggi della conversazione e le date di invio e lettura. Per proteggere il servizio da abusi limitiamo il numero di richieste di codice per indirizzo email e per indirizzo IP, conservando questi dati solo in forma cifrata (hash) e per non più di 30 minuti, e usiamo una verifica anti-robot (Cloudflare Turnstile).
Nei messaggi non sono ammessi numeri di telefono né indirizzi email: il sistema li blocca. Ogni proprietario che risponde ha la propria conversazione e nessuno vede quelle degli altri.
2.12 Pubblicare su Plinthos un annuncio già presente
Se hai un annuncio pubblicato altrove e vuoi pubblicarlo su Plinthos, puoi cercarlo dal portale e sceglierlo: ritrovi già città, zona, prezzo e stanze, e completi tu foto e descrizione. Trattiamo il tuo account, gli annunci che hai scelto, il collegamento fra questi e il tuo nuovo annuncio, l'esito della verifica e le eventuali segnalazioni che invii se un annuncio risulta già collegato a un altro account. Per evitare abusi registriamo l'ora di ogni ricerca (al massimo 30 al minuto) e la cancelliamo dopo 10 minuti.
Il tuo annuncio esce subito. La versione precedente dell'annuncio viene tolta dal portale solo dopo una verifica manuale del nostro staff.
3. Finalità e basi giuridiche del trattamento
I dati sono trattati per le seguenti finalità:
- Fornitura del servizio (esecuzione del contratto — art. 6.1.b GDPR): creazione e gestione dell'account, gestione di appartamenti, stanze, locazioni, pagamenti, bollette, messaggi.
- Gestione delle candidature sul portale annunci (misure precontrattuali adottate su richiesta dell'interessato — art. 6.1.b GDPR): raccolta e messa a disposizione del proprietario dei dati della candidatura, ai soli fini della selezione dell'inquilino.
- Condivisione del profilo con un link privato (misure precontrattuali adottate su richiesta dell'interessato — art. 6.1.b GDPR): mostrare la tua scheda a chi riceve il link che hai scelto di creare e condividere.
- Conversazioni con i proprietari che rispondono al link (misure precontrattuali — art. 6.1.b GDPR): permettere a te e al proprietario di scrivervi e di ricevere avviso delle risposte.
- Pubblicazione di un annuncio a partire da uno già presente (esecuzione del contratto — art. 6.1.b GDPR): proporti i dati dell'annuncio scelto e verificare il collegamento.
- Prevenzione degli abusi su codici email, conversazioni e ricerche (legittimo interesse alla sicurezza del servizio — art. 6.1.f GDPR).
- Adempimenti contabili e fiscali (obbligo di legge — art. 6.1.c GDPR): conservazione delle ricevute di pagamento e dei dati contrattuali nei termini previsti dalla normativa.
- Gestione abbonamenti (esecuzione del contratto — art. 6.1.b GDPR): tramite RevenueCat e Paddle per la validazione di acquisti e rinnovi.
- Notifiche operative (esecuzione del contratto e legittimo interesse — art. 6.1.b e f GDPR): invio di notifiche push e email transazionali (es. nuovo pagamento, scadenza in arrivo).
- Comunicazioni di servizio (legittimo interesse — art. 6.1.f GDPR): comunicazioni relative all'utilizzo dell'app, inclusi promemoria via email per completare la registrazione o la configurazione dell'account, scadenza del periodo di prova e problematiche di pagamento. È possibile opporsi in qualsiasi momento tramite il link di disiscrizione presente in ogni email.
- Miglioramento del prodotto (legittimo interesse — art. 6.1.f GDPR): analisi dell'utilizzo del gestionale e dell'app, con dati pseudonimizzati e registrazioni mascherate (sezione 2.7), per capire dove gli utenti si bloccano e migliorare funzionalità ed esperienza. Puoi opporti in qualsiasi momento dalle Impostazioni («Dati d'uso») o scrivendo al Titolare.
- Sicurezza e prevenzione frodi (legittimo interesse — art. 6.1.f GDPR): protezione da abusi del periodo di prova e da utilizzi malevoli del servizio.
- Newsletter e comunicazioni di marketing (consenso — art. 6.1.a GDPR): invio di novità, consigli e offerte agli utenti che prestano il consenso, iscrivendosi alla newsletter dal sito oppure, nell'app, in fase di registrazione o successivamente dalle impostazioni. Il consenso è facoltativo e revocabile in qualsiasi momento dalle impostazioni dell'app o tramite il link di disiscrizione presente in ogni email.
- Adempimenti legali (obbligo di legge — art. 6.1.c GDPR): risposta a richieste di autorità competenti.
4. Modalità di trattamento
I dati sono trattati con strumenti elettronici e su server con accesso protetto. Le password sono memorizzate cifrate (bcrypt). Le comunicazioni client-server avvengono via TLS 1.3. L'accesso ai dati è regolato tramite Row Level Security (RLS) a livello di database: ogni utente accede esclusivamente ai propri dati.
5. Periodo di conservazione
- Account attivi: i dati sono conservati per tutta la durata del rapporto contrattuale.
- Cancellazione account: in caso di richiesta di cancellazione, i dati vengono cancellati immediatamente con flag soft-delete; dopo 30 giorni viene effettuata la cancellazione definitiva (hard-delete). Entro questo periodo è possibile richiedere l'esportazione dei dati in formato JSON.
- Ex inquilini: una volta terminato il contratto, i dati di accesso restano disponibili per 30 giorni in modalità sola lettura. Dopo 12 mesi dalla fine del rapporto, i dati personali identificativi (nome, telefono, email) vengono anonimizzati, mantenendo i soli dati contabili come previsto dagli obblighi fiscali.
- Candidature sul portale annunci: i dati della candidatura sono conservati per 12 mesi dalla chiusura della candidatura (rifiuto, ritiro da parte del candidato, o chiusura dell'annuncio per posti esauriti). Trascorso questo periodo, i dati identificativi e il messaggio di presentazione vengono anonimizzati e i messaggi della chat associata vengono cancellati. Se la candidatura porta a un contratto di locazione, i dati proseguono nel fascicolo del contratto secondo i tempi di conservazione previsti per quel rapporto.
- Link al profilo: finché è valido, poi resta visibile a te per 90 giorni dopo la scadenza o la revoca; trascorso questo periodo viene cancellato insieme al contatore delle aperture.
- Conversazioni nate da un link: seguono gli stessi tempi delle candidature (12 mesi dalla chiusura, poi anonimizzazione e cancellazione dei messaggi). Una conversazione su un link non più valido e senza messaggi da 90 giorni viene chiusa e da lì decorre lo stesso periodo. La fascia di reddito non viene copiata nella conversazione: resta visibile solo dalla scheda, finché il link è valido.
- Account creati con il codice email: se per 90 giorni non vengono usati (nessuna conversazione, annuncio, candidatura, avviso, preferito o altro servizio, e nessuna password impostata), vengono cancellati automaticamente. Altrimenti valgono le regole degli account attivi.
- Annunci scelti per la pubblicazione su Plinthos: le scelte mai usate vengono cancellate dopo 30 giorni; le altre restano finché esiste il tuo annuncio o il tuo account. Le ore delle ricerche vengono cancellate dopo 10 minuti.
- Dati contabili e fiscali: conservati per 10 anni come previsto dalla normativa italiana (art. 2220 c.c.).
- Dati d'uso (PostHog): eventi per 12 mesi, registrazioni di sessione per 30 giorni.
- Dati d'uso dell'app (Firebase Analytics): 2 mesi.
- Dati di diagnostica degli errori (Sentry): 90 giorni.
- Log di sicurezza: 180 giorni.
6. Destinatari dei dati e responsabili del trattamento
I dati sono trattati esclusivamente dal Titolare e dai seguenti fornitori, designati responsabili del trattamento ex art. 28 GDPR:
- Supabase Inc. (USA, server EU — Francoforte) — infrastruttura di backend, database, autenticazione, storage e realtime. supabase.com/privacy
- RevenueCat, Inc. (USA) — gestione e validazione abbonamenti. revenuecat.com/privacy
- Paddle.com Market Limited (UK/UE) — rivenditore (Merchant of Record) e gestione pagamenti per gli acquisti effettuati dall'app web. paddle.com/legal/privacy
- Apple Inc. (USA / Irlanda) — App Store, autenticazione Apple Sign In, notifiche APNS. apple.com/legal/privacy
- Google LLC (USA / Irlanda) — Google Play Store, Google Sign In, Firebase Cloud Messaging (FCM) per le notifiche push, Firebase Analytics per l'analisi dell'utilizzo dell'app (sezione 2.7). policies.google.com/privacy
- Google LLC / Google Ireland Ltd. (USA / Irlanda) — Google Gemini API per la lettura automatica delle bollette caricate dal proprietario (estrazione di importo, date e tipo di fornitura tramite la funzione "Scansiona bolletta"). Attivata esclusivamente su azione del proprietario; i contenuti inviati non vengono utilizzati per addestrare i modelli (termini dell'API a pagamento). ai.google.dev/gemini-api/terms
- Meta Platforms Ireland Ltd. (Irlanda / USA) — WhatsApp Business Platform (Cloud API) per l'invio dei promemoria WhatsApp agli inquilini descritti alla sezione 2.3-bis. whatsapp.com/legal/business-data-processing-terms
- Expo Inc. (USA) — servizio di delivery delle notifiche push. expo.dev/privacy
- Zoho Corporation B.V. (UE / India) — invio delle email di servizio e delle comunicazioni dell'app (casella mail.plinthos.app). zoho.com/privacy
- Resend (Plus Five Five, Inc.) (USA) — invio di email transazionali e di recupero. resend.com/legal/privacy-policy
- PostHog Inc. (server UE) — analisi dell'utilizzo del gestionale web e registrazioni di sessione mascherate (sezione 2.7). posthog.com/privacy
- Sentry / Functional Software Inc. (USA, opzione EU) — monitoraggio crash, se abilitato. sentry.io/privacy
- Cloudflare, Inc. (USA) — hosting del sito web plinthos.app, protezione DDoS e CDN, verifica anti-robot (Turnstile) nei moduli del portale annunci. cloudflare.com/privacypolicy
- Google Ireland Ltd. (Irlanda / USA) — Google Analytics 4, statistiche di utilizzo del sito web plinthos.app. Attivato solo previo consenso tramite banner cookie (Consent Mode v2). policies.google.com/privacy
- Meta Platforms Ireland Ltd. (Irlanda / USA) — Meta Pixel, misurazione delle conversioni pubblicitarie (es. registrazione completata) sul sito e sull'app web. Attivato solo previo consenso tramite banner cookie (sito) o all'atto di una registrazione volontaria (app web). facebook.com/privacy/policy
- Microsoft Ireland Operations Ltd. (Irlanda / USA) — Microsoft Clarity, analisi anonima dell'utilizzo del sito plinthos.app (mappe di calore e registrazioni di sessione aggregate per migliorare l'usabilità). I campi sensibili sono mascherati automaticamente. Attivato solo previo consenso tramite banner cookie. privacy.microsoft.com/privacystatement
Se condividi il tuo profilo con un link, i dati della scheda (compresa la fascia di reddito) sono visibili a chiunque apra il link mentre è valido. Plinthos non conosce né verifica l'identità di chi lo apre finché non ti risponde.
7. Trasferimento dati extra-UE
Alcuni dei fornitori sopra elencati hanno sede negli Stati Uniti. I trasferimenti di dati personali al di fuori dello Spazio Economico Europeo (SEE) avvengono nel rispetto di una delle seguenti garanzie previste dal GDPR:
- Decisione di adeguatezza della Commissione Europea (es. EU-US Data Privacy Framework per i fornitori certificati);
- Clausole Contrattuali Standard ("SCC") approvate dalla Commissione Europea;
- Misure tecniche supplementari di cifratura.
I dati strutturati (database principale, ricevute, documenti) sono memorizzati su server localizzati nell'Unione Europea (Supabase regione Francoforte).
8. Diritti dell'interessato
In qualunque momento l'utente può esercitare i diritti previsti dagli artt. 15-22 del GDPR:
- Diritto di accesso (art. 15): ottenere conferma dei dati trattati e una copia degli stessi;
- Diritto di rettifica (art. 16): correzione di dati inesatti o incompleti;
- Diritto alla cancellazione / "diritto all'oblio" (art. 17): cancellazione dei dati nei casi previsti;
- Diritto di limitazione (art. 18): limitazione del trattamento in casi specifici;
- Diritto alla portabilità (art. 20): ricezione dei dati in formato strutturato (JSON), leggibile da dispositivo automatico, e trasmissione ad altro titolare;
- Diritto di opposizione (art. 21): opposizione al trattamento basato su legittimo interesse;
- Diritto di revocare il consenso: ove il trattamento sia basato sul consenso, in qualsiasi momento, senza pregiudicare la liceità dei trattamenti effettuati prima della revoca.
Plinthos non prende decisioni basate unicamente su un trattamento automatizzato, compresa la profilazione, che producano effetti giuridici o incidano in modo analogo sull'utente (art. 22 GDPR). La scelta dell'inquilino resta sempre al Proprietario.
Modalità di esercizio dei diritti
Le funzioni di esportazione dati e di cancellazione account sono disponibili direttamente nell'app, nella sezione Impostazioni. È inoltre sempre possibile esercitare i propri diritti scrivendo al titolare all'indirizzo support@plinthos.app. Il titolare risponde entro 30 giorni dalla ricezione della richiesta.
L'esportazione dei dati dalle impostazioni del portale comprende i tuoi link al profilo (senza il codice del link) e, se sei un proprietario che ha risposto a un link, le conversazioni che hai avviato. Anche chi ha un account creato con il codice email può esportare i propri dati ed eliminare l'account dalle impostazioni del portale.
9. Reclamo all'Autorità di controllo
L'utente ha sempre il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it) ai sensi dell'art. 77 del GDPR, oppure all'autorità di controllo del Paese in cui risiede o lavora, qualora ritenga che il trattamento dei propri dati personali avvenga in violazione del Regolamento.
10. Sicurezza dei dati
Plinthos adotta misure tecniche e organizzative adeguate per proteggere i dati personali da accessi non autorizzati, perdita, distruzione o modifica:
- Cifratura in transito (TLS 1.3) e a riposo per i dati sensibili;
- Row Level Security (RLS) a livello di database per garantire isolamento dei dati tra utenti;
- Autenticazione tramite token con scadenza e refresh;
- Accesso ristretto ai sistemi di produzione tramite credenziali individuali e MFA;
- Logging delle operazioni sensibili (audit log);
- Monitoraggio degli eventi di sicurezza e alert su attività anomale.
11. Minori
Plinthos non è destinato a soggetti di età inferiore ai 16 anni e non raccoglie consapevolmente dati personali di minori. Qualora un genitore o tutore venga a conoscenza del fatto che un minore abbia fornito dati personali, è pregato di contattare il titolare per la cancellazione.
12. Modifiche all'informativa
Il titolare si riserva il diritto di modificare la presente informativa in qualunque momento, dandone notizia agli utenti tramite notifica nell'app o pubblicazione su plinthos.app/privacy. Le modifiche sostanziali saranno comunicate con preavviso ragionevole. La data dell'ultimo aggiornamento è indicata in testa al presente documento.
13. Contatti
Per qualunque informazione, richiesta o chiarimento relativo alla presente informativa è possibile scrivere a support@plinthos.app.