Informativa sul trattamento dei dati personali — Piattaforma Millesia

1.Premessa: i due distinti trattamenti

1.1 La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») da Millesia Srl e riguarda l'utilizzo della piattaforma Millesia (la «Piattaforma»).

1.2 Nell'ambito della Piattaforma si distinguono due trattamenti, con ruoli differenti:

1.3 Il § 2 riguarda il primo trattamento. I §§ 3 e seguenti descrivono le modalità con cui Millesia tratta i dati relativi ai condomìni per conto del Cliente; le relative obbligazioni sono contenute nell'ACCORDO SUL TRATTAMENTO, che ne costituisce la sede vincolante.

1.4 Millesia non utilizza i dati relativi ai condomìni per finalità proprie, non li comunica ad altri Clienti, non li cede a terzi, non li impiega per l'addestramento di modelli di intelligenza artificiale e non ne ricava statistiche commerciali.

2.Dati del Cliente trattati da Millesia in qualità di titolare

2.1 Titolare del trattamento: Millesia Srl, via Giulio Uberti 34, 20900 Monza (MB), partita IVA e codice fiscale 92639039996, PEC amministrazione@pec.millesia.net. Contatto per la protezione dei dati: privacy@millesia.net. Millesia non ha designato un responsabile della protezione dei dati, non ricorrendo i casi previsti dall'art. 37 GDPR.

2.2 Finalità, dati e basi giuridiche:

2.3 Destinatari. I dati sono trattati da Supabase e Vercel per la banca dati e l'esecuzione della Piattaforma, da Resend per l'invio delle comunicazioni di servizio, da Stripe per la gestione dei pagamenti e da Google per le comunicazioni di assistenza e la documentazione interna. I dati sono inoltre comunicati ai consulenti contabili e fiscali di Millesia e, su richiesta, alle autorità competenti. Resend e Stripe non trattano i dati relativi ai condomìni.

2.4 Trasferimenti verso Paesi terzi. Resend tratta i dati negli Stati Uniti; i trasferimenti effettuati dagli altri fornitori sono indicati nella pagina CHI TOCCA I TUOI DATI. I trasferimenti sono disciplinati dalle clausole contrattuali tipo adottate dalla Commissione europea con decisione di esecuzione (UE) 2021/914 — art. 46, par. 2, lett. c, GDPR. Resend, Stripe e Google hanno inoltre aderito al quadro UE-Stati Uniti per la protezione dei dati, oggetto della decisione di esecuzione (UE) 2023/1795, in vigore e impugnata con ricorso pendente dinanzi alla Corte di giustizia. Per quanto riguarda Stripe, le entità contraenti sono società di diritto irlandese e un'affiliata statunitense partecipa al trattamento dei dati personali.

2.5 Conferimento. Il conferimento dei dati indicati al § 2.2 è necessario per la conclusione e l'esecuzione del contratto; il rifiuto impedisce l'attivazione dell'abbonamento.

2.6 Decisioni automatizzate. Millesia non effettua profilazione del Cliente né decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sulla sua persona.

3.Dati relativi ai condomìni, trattati per conto del Cliente

3.1 Si tratta dei dati inseriti dal Cliente o acquisiti dalla casella di posta collegata: anagrafiche dei condòmini e dei fornitori, dati catastali e millesimali, quote e saldi, corrispondenza, verbali, preventivi e documenti del condominio.

3.2 Il titolare del trattamento è il Cliente o, ove il ruolo gli spetti, il condominio amministrato. Il Garante per la protezione dei dati personali, con provvedimento n. 209 del 10 aprile 2025, ha avviato una consultazione pubblica sulle «Linee guida sul trattamento dei dati personali nell'ambito del condominio»; ove le linee guida siano adottate in via definitiva con una diversa ripartizione dei ruoli, si applica l'art. 3.4 dell'Accordo sul trattamento.

3.3 Millesia tratta tali dati esclusivamente sulla base delle istruzioni documentate del Cliente e, in particolare:

a)li conserva in un'area separata da quella degli altri Clienti, con separazione imposta a livello di banca dati;

b)li rende accessibili al Cliente e ai soggetti da questi autorizzati, secondo i permessi che il Cliente stesso assegna;

c)ne effettua copie di sicurezza, conservate nel medesimo ambito e cancellate a rotazione;

d)consente l'accesso del proprio personale soltanto per fornire assistenza su segnalazione del Cliente o per un intervento tecnico indifferibile, registrando ogni accesso in un registro consultabile dal Cliente.

3.4 Le condizioni complete del trattamento, comprese le misure di sicurezza, i Sub-responsabili, la gestione delle Violazioni e la cancellazione al termine del rapporto, sono contenute nell'Accordo sul trattamento.

3.5 Il Cliente, per affidare tali dati a Millesia, deve essere legittimato a ricorrere a un responsabile del trattamento — art. 28 GDPR. La Piattaforma genera, per ciascun condominio amministrato, l'atto di nomina precompilato; la raccolta delle sottoscrizioni resta a carico del Cliente.

3.6 Millesia mette a disposizione del Cliente l'elenco aggiornato dei Sub-responsabili, affinché il Cliente possa a sua volta assolvere agli obblighi di informazione e di preavviso verso i condomìni amministrati.

4.Funzioni che impiegano l'intelligenza artificiale

4.1 La Piattaforma impiega un modello linguistico di intelligenza artificiale per tre funzioni: lo smistamento della corrispondenza in arrivo, la redazione di bozze di risposta e l'assistente sui dati dello studio, che risponde indicando le fonti utilizzate.

4.2 Il modello non è impiegato per il calcolo di millesimi, riparti, adeguamenti ISTAT, saldi e chiusure, effettuati con procedure deterministiche.

4.3 Nessuna comunicazione è inviata senza l'approvazione di una persona incaricata dal Cliente. Le proposte e le bozze sono verificabili e correggibili.

4.4 I dati trasmessi al modello non sono utilizzati per l'addestramento. Sono conservati dal fornitore secondo i termini standard del medesimo, che ne prevedono la cancellazione entro trenta giorni, salvo i casi previsti dalle condizioni del fornitore.

4.5 Al modello sono trasmessi i soli dati necessari alla singola operazione. Per lo smistamento della corrispondenza la trasmissione comprende il contenuto del messaggio ricevuto, prima che ne sia individuato il condominio di riferimento.

4.6 I contenuti generati mediante intelligenza artificiale sono contrassegnati come tali.

4.7 Il fornitore del modello tratta i dati negli Stati Uniti e in altri Paesi in cui dispone di infrastrutture; il servizio utilizzato non offre, alla data dell'ultima verifica, un'opzione che circoscriva l'elaborazione al territorio dell'Unione europea. Il trasferimento è disciplinato dalle clausole contrattuali tipo adottate dalla Commissione europea; il fornitore non risulta tra le organizzazioni aderenti al quadro UE-Stati Uniti per la protezione dei dati. Ulteriori informazioni sono contenute nella pagina CHI TOCCA I TUOI DATI.

5.Casella di posta collegata

5.1 Il Cliente può autorizzare Millesia ad accedere alla casella di posta del proprio studio, fornita da Google Workspace o da Microsoft, ai fini dello smistamento dei messaggi e della predisposizione delle bozze.

5.2 L'autorizzazione è conferita dal Cliente nel pannello del proprio fornitore di posta e può essere revocata dal Cliente in qualsiasi momento, direttamente da tale pannello.

5.3 Millesia accede esclusivamente alla casella collegata. Non sposta, non cancella e non archivia messaggi, salvo su richiesta del Cliente impartita mediante la Piattaforma.

5.4 Il Cliente informa i propri collaboratori del collegamento della casella e valuta, quale titolare del trattamento, gli effetti dell'accesso sui dati di terzi contenuti nella corrispondenza.

6.Luoghi del trattamento

6.1 La banca dati e l'esecuzione della Piattaforma sono situate a Francoforte (Germania). I fornitori possono trattare i dati anche in altri Paesi, nei limiti indicati nella pagina CHI TOCCA I TUOI DATI, che riporta per ciascuno il luogo del trattamento e le garanzie applicabili.

6.2 I trasferimenti verso Paesi terzi sono disciplinati dalle clausole contrattuali tipo adottate dalla Commissione europea. Alcuni fornitori hanno inoltre aderito al quadro UE-Stati Uniti per la protezione dei dati, oggetto della decisione di esecuzione (UE) 2023/1795, in vigore e impugnata con ricorso pendente dinanzi alla Corte di giustizia; per tali fornitori l'adesione si aggiunge alle clausole contrattuali tipo, sulle quali Millesia fonda in ogni caso i trasferimenti. Millesia ha documentato, per ciascun trasferimento, la valutazione del livello di protezione assicurato nel Paese di destinazione e le misure supplementari adottate; il Cliente può richiederne copia scrivendo a privacy@millesia.net.

7.Periodi di conservazione

7.1 Alla cessazione del contratto il Cliente dispone di trenta giorni per esportare i dati in formati strutturati, di uso comune e leggibili da dispositivo automatico, senza costi aggiuntivi. Decorso tale termine, i dati attivi sono cancellati e le copie di sicurezza sono eliminate entro i trenta giorni successivi. I termini e le condizioni sono indicati nell'art. 11 dell'Accordo sul trattamento e nelle CONDIZIONI DI SERVIZIO.

8.Misure di sicurezza

8.1 Millesia adotta, tra le altre, le misure seguenti:

• cifratura del traffico tra il dispositivo del Cliente e la Piattaforma;
• cifratura dei dati a riposo;
• separazione dei dati tra i Clienti imposta a livello di banca dati e verificata mediante prove automatiche dedicate;
• autenticazione a due fattori per il personale con accesso ai sistemi;
• copie di sicurezza giornaliere, con prove di ripristino documentate;
• registrazione degli accessi e delle operazioni.

8.2 L'elenco completo è contenuto nell'Allegato B dell'Accordo sul trattamento.

9.Violazioni dei dati personali

9.1 Millesia comunica al Cliente ogni Violazione dei dati trattati per suo conto senza ingiustificato ritardo e comunque entro ventiquattro ore dal momento in cui ne acquisisce conoscenza, indicando la natura della Violazione, le categorie di dati, le categorie e il numero approssimativo di Interessati e di registrazioni, le probabili conseguenze e le misure adottate. Qualora non tutte le informazioni siano disponibili, la prima comunicazione è comunque effettuata entro il predetto termine e le informazioni mancanti sono trasmesse senza ulteriore ingiustificato ritardo.

9.2 Il termine di ventiquattro ore è convenuto affinché il Cliente possa rispettare il termine di settantadue ore previsto dall'art. 33, par. 1, GDPR, che decorre dalla sua conoscenza della Violazione.

9.3 Le Violazioni relative ai dati di cui Millesia è titolare sono gestite secondo la procedura interna di Millesia, che prevede la notifica al Garante e, nei casi previsti, la comunicazione agli Interessati.

10.Diritti degli Interessati

10.1 In relazione ai dati di cui al § 2, il Cliente e i suoi collaboratori possono esercitare i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità previsti dagli artt. 15-22 GDPR, scrivendo a privacy@millesia.net. Millesia risponde entro un mese dalla ricezione della richiesta, prorogabile di due mesi nei casi previsti dall'art. 12, par. 3, GDPR.

10.2 Ove il trattamento si fondi sul legittimo interesse, l'Interessato può opporsi in qualsiasi momento — art. 21 GDPR.

10.3 In relazione ai dati di cui al § 3, i diritti sono esercitati nei confronti del titolare del trattamento, ossia del Cliente o del condominio. Qualora un Interessato si rivolga a Millesia, questa non risponde nel merito, trasmette la richiesta al Cliente senza ingiustificato ritardo e ne informa l'Interessato.

10.4 L'Interessato può proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, o ricorso all'autorità giudiziaria.

11.Modifiche dell'informativa

11.1 Millesia può aggiornare la presente informativa. Le modifiche rilevanti sono comunicate al Cliente all'indirizzo di posta elettronica associato all'account, con l'indicazione della data a decorrere dalla quale si applicano.