Roomly · Informativa privacy
Informativa sul trattamento dei dati personali
In vigore dal 14 agosto 2026 · versione 1.0
Questa informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR»). È scritta per essere letta: dove una cosa è scomoda, è detta lo stesso.
1. Chi tratta i tuoi dati
Il titolare del trattamento è Nicola Palummo, che gestisce il servizio Roomly.click.
- Email: info@roomly.click
- Telefono e WhatsApp: +39 366 871 3339
Non è stato nominato un responsabile della protezione dei dati (DPO): non ricorrono i presupposti dell'art. 37 GDPR. Per qualunque questione sui dati si scrive agli indirizzi qui sopra.
2. Due ruoli diversi, ed è la parte che conta
Roomly tratta due categorie di dati con due ruoli giuridici distinti. Confonderli è il modo più comune di scrivere un'informativa che non descrive niente.
Sui tuoi dati di cliente (l'email con cui accedi, l'account, i pagamenti) Roomly è titolare del trattamento. Decide come e perché trattarli, e ne risponde. È l'oggetto di questa informativa.
Sui dati dei tuoi inquilini (nomi, telefoni, cauzioni, fotografie, firme, documenti) il titolare sei tu: sei tu che li raccogli, per una tua finalità, nel tuo rapporto di locazione. Roomly li ospita per tuo conto ed è responsabile del trattamento ai sensi dell'art. 28 GDPR. Le regole di quel rapporto stanno in un documento a parte, che è parte del contratto: Nomina a responsabile del trattamento.
3. Cosa raccogliamo, perché, e su quale base
3.1 Se lasci l'email sul sito
| Dato | Perché | Base giuridica |
|---|---|---|
| Indirizzo email | Farti entrare nella beta e avvisarti degli sviluppi | Misure precontrattuali su tua richiesta (art. 6.1.b) |
| Ruolo dichiarato (facoltativo: proprietario, agenzia, gestore) | Capire a chi serve il prodotto | Legittimo interesse a sviluppare il servizio (art. 6.1.f) |
| Data e ora della richiesta | Prova di quando è stata fatta | Legittimo interesse (art. 6.1.f) |
Il modulo non chiede altro. Il campo del ruolo si può saltare e l'accesso non cambia.
3.2 Se apri un account
| Dato | Perché | Base giuridica |
|---|---|---|
| Identificarti e farti rientrare | Esecuzione del contratto (art. 6.1.b) | |
| Password, conservata come impronta crittografica | Accesso senza Google. Non conserviamo la password in chiaro e non possiamo leggerla | Esecuzione del contratto (art. 6.1.b) |
| Codici di accesso a sei cifre | Verificare che la casella sia tua. Scadono dopo dieci minuti | Esecuzione del contratto (art. 6.1.b) |
| Sessioni attive (un identificativo per dispositivo, data dell'ultimo uso) | Tenerti connesso e permetterti di disconnettere tutto | Esecuzione del contratto e sicurezza (artt. 6.1.b, 6.1.f) |
| Se entri con Google: email e identificativo Google | Riconoscerti. Non chiediamo né riceviamo altro dal tuo profilo | Esecuzione del contratto (art. 6.1.b) |
| Stato dell'abbonamento e identificativo cliente del sistema di pagamento | Sapere se il servizio è attivo. I dati della carta non transitano mai da noi | Esecuzione del contratto e obblighi fiscali (artt. 6.1.b, 6.1.c) |
3.3 Se attivi la sincronizzazione
Roomly funziona senza inviarci niente: verbali, fotografie e firme vivono nella memoria del dispositivo con cui lavori, anche senza rete. La sincronizzazione è una scelta, e la puoi non fare mai.
Se la attivi, sui nostri server arrivano:
- l'archivio cifrato di ogni immobile: l'inventario, gli stati, le note, le fotografie, le firme, i dati degli inquilini e delle cauzioni;
- un registro delle modifiche, anch'esso cifrato, che serve a far comparire su un dispositivo quello che hai scritto sull'altro;
- i byte delle fotografie, cifrati, in una corsia separata che serve soltanto a farle arrivare in fretta.
Cosa significa «cifrato», con precisione.
L'archivio viene cifrato sul tuo dispositivo, prima di partire (AES-GCM a 256 bit), e sui nostri server resta cifrato. Chi intercettasse la rete o rubasse il database non leggerebbe nulla.
La chiave però è custodita insieme al tuo account, perché sincronizzare un dispositivo nuovo deve costare un click e non il recupero di una password che nessuno ricorda. È conservata a sua volta cifrata, con un segreto che sta fuori dal database. Ma la conseguenza va detta e non aggirata: la cifratura ti protegge dagli estranei, non da noi. Tecnicamente possiamo accedere ai tuoi archivi; contrattualmente non lo facciamo, se non nei casi elencati al punto 6.
Se vuoi una copia che non dipenda da nessuno, l'app esporta tutto in un file ZIP che resta tuo, in qualunque momento.
3.4 Se apri uno «spazio inquilino»
È il link che dai a chi abita l'immobile, per fargli trovare i documenti e mandare segnalazioni. Perché una pagina web possa mostrarli, quei contenuti stanno sul server in chiaro, non cifrati come gli archivi. Riguardano:
- il recapito che inserisci per l'inquilino (email e/o telefono) e la camera assegnata;
- i documenti che condividi con lui (contratti, ricevute, regolamenti);
- le segnalazioni che manda, comprese le fotografie allegate.
È una scelta di funzionamento, non una dimenticanza, e va tenuta presente prima di caricare lì documenti che contengono dati che non servono all'inquilino.
3.5 Dati tecnici
I fornitori che ospitano il sito e il server registrano, per motivi di sicurezza e diagnostica, indirizzo IP, data e ora della richiesta, pagina richiesta e tipo di browser. Sono i normali log di funzionamento (legittimo interesse, art. 6.1.f) e non li usiamo per profilare nessuno.
4. Cookie: non ce ne sono
Il sito non usa cookie di profilazione né strumenti di analisi di terze parti. Non c'è Google Analytics, non ci sono pixel pubblicitari, non c'è nulla che ti segua altrove. Per questo non vedi un banner: non c'è niente da farti accettare.
Il sito salva alcune informazioni nella memoria locale del tuo browser
(localStorage) per ricordare a che punto sei della pagina e l'email appena
lasciata. Non vengono trasmesse a noi e si cancellano svuotando i dati del
sito dal browser.
L'applicazione, allo stesso modo, conserva i tuoi verbali nella memoria del dispositivo (IndexedDB). Sono dati tuoi, sul tuo apparecchio: li cancelli tu.
5. Per quanto tempo restano
| Dato | Conservazione |
|---|---|
| Codici di accesso | 10 minuti, poi sono inutilizzabili |
| Registro delle modifiche della sincronizzazione | 30 giorni, poi cancellato |
| Corsia veloce delle fotografie | 7 giorni, poi cancellata |
| Immobili nel cestino | 30 giorni, poi cancellati definitivamente |
| Archivi sincronizzati | Finché l'account esiste, o finché non li elimini tu |
| Account e dati di fatturazione | Per la durata del rapporto; i documenti contabili 10 anni, per obbligo di legge |
| Email lasciata sul sito | Fino a tua richiesta di cancellazione, o al massimo 24 mesi dall'ultimo contatto |
| Log tecnici dei fornitori | Secondo le loro politiche, in genere non oltre 30 giorni |
Alla chiusura dell'account cancelliamo i dati entro 30 giorni, salvo quello che una legge ci obbliga a conservare più a lungo.
6. Chi altro vede i dati
Non vendiamo dati, non li cediamo a terzi per fini loro, non li usiamo per pubblicità. Li trattano solo i fornitori che rendono possibile il servizio, nominati responsabili ai sensi dell'art. 28 GDPR:
| Fornitore | A cosa serve | Dove |
|---|---|---|
| Vercel Inc. | Ospita il sito e l'applicazione | USA / UE |
| Railway Corp. | Ospita il server e il database della sincronizzazione | USA / UE |
| Neon Inc. | Conserva le email lasciate sul sito | UE |
| Google Ireland Ltd. | Accesso con Google, se scegli quello | UE / USA |
| Autorità di marca temporale (DigiCert, Sectigo, FreeTSA, Aruba) | Data certa sui verbali. Riceve solo l'impronta SHA-256 del documento: mai il documento, mai le foto, mai i nomi | USA / UE |
| Stripe Payments Europe Ltd. | Pagamenti, quando saranno attivi. I dati della carta vanno a loro, non a noi | UE / USA |
Alcuni di questi fornitori hanno sede o infrastrutture negli Stati Uniti. In quei casi il trasferimento avviene sulla base delle clausole contrattuali tipo approvate dalla Commissione europea (art. 46.2.c GDPR) e, dove applicabile, dell'adesione al EU–US Data Privacy Framework.
Oltre a questi, i dati possono essere comunicati soltanto: a un'autorità che ce lo imponga con un provvedimento; a un consulente legale o contabile vincolato al segreto professionale; e, per la sola parte tecnica strettamente necessaria, a chi ci aiuta a risolvere un guasto.
7. I tuoi diritti
Puoi in ogni momento chiedere:
- di sapere quali dati abbiamo e riceverne copia (artt. 15, 20);
- di correggerli, se sono sbagliati (art. 16);
- di cancellarli (art. 17);
- di limitarne l'uso od opporti a un trattamento fondato sul legittimo interesse (artt. 18, 21);
- di revocare il consenso, dove il trattamento si basa su quello, senza che ciò tolga validità a quanto fatto prima (art. 7.3).
Si scrive a info@roomly.click. Rispondiamo entro un mese. Molte di queste cose puoi farle da solo dall'app, che ti lascia esportare tutto in un file ZIP e cancellare quello che vuoi senza chiedere permesso a nessuno.
Se pensi che qualcosa non vada, puoi rivolgerti al Garante per la protezione dei dati personali (garanteprivacy.it), Piazza Venezia 11, 00187 Roma.
8. Come sono protetti
- Tutto il traffico viaggia su HTTPS.
- Gli archivi sincronizzati sono cifrati sul dispositivo prima di partire (AES-GCM 256 bit), con chiave derivata via PBKDF2 a 310.000 iterazioni.
- Le password sono conservate come impronta crittografica, mai in chiaro.
- I tentativi di accesso ripetuti sono frenati automaticamente.
- Ogni sessione può essere revocata da te, da tutti i dispositivi insieme.
Se dovesse verificarsi una violazione che comporta un rischio per i tuoi diritti, ti avvisiamo e informiamo il Garante nei termini dell'art. 33 GDPR.
9. Minori
Il servizio è rivolto a chi gestisce immobili in affitto e non è destinato a minori di 18 anni. Non raccogliamo consapevolmente dati di minori.
10. Se questa informativa cambia
La versione aggiornata sarà sempre a questo indirizzo, con la data in alto. Se il cambiamento è sostanziale te lo diciamo per email, prima che abbia effetto.
Ultimo aggiornamento: 14 agosto 2026.