# Informativa privacy DomusApp
- **Versione:** 1.0
- **Data:** 20 settembre 2026
- **Titolare dei trattamenti descritti in questa informativa:** MRC Project Srl, fornitrice della piattaforma software denominata DomusApp
> VERSIONE 1.0 — APPROVATA INTERNAMENTE DA MRC PROJECT SRL PER L’USO OPERATIVO. IL DOCUMENTO NON È STATO ANCORA SOTTOPOSTO A REVISIONE LEGALE ESTERNA E POTRÀ ESSERE AGGIORNATO.
L’approvazione interna di MRC Project Srl non equivale a revisione legale esterna. MRC potrà aggiornare il documento per esigenze normative, tecniche, organizzative o contrattuali. Le modifiche sostanziali saranno comunicate secondo le modalità previste dal contratto e, quando necessario, sottoposte a nuova accettazione.
Questa Informativa riguarda **solo i trattamenti di cui MRC Project Srl è titolare autonomo**. I dati delle pratiche, dei clienti, dei familiari, delle persone decedute e dei moduli dell’Agenzia sono trattati da MRC in qualità di **responsabile** ex art. 28 GDPR: si applica il DPA (`legal/03-DPA-GDPR.md`).
---
## 1. Identità del titolare
**MRC Project Srl**, fornitrice della piattaforma software denominata DomusApp.
- Sede legale: Via Regina Margherita, 14, 10090 Foglizzo (TO), Italia
- Partita IVA: 12013010017
- PEC: `mrcprojectsrl@pec.it`
DomusApp è il nome della piattaforma, non della società.
## 2. Contatti
Recapito per privacy e assistenza: `info@domusapp.eu`.
L’infrastruttura inbound attualmente rilevata per tale casella è Register.it, utilizzata come fornitore tecnico della posta di MRC. Il dettaglio non modifica l’identità del titolare.
MRC Project Srl non ha indicato nel presente documento un Responsabile della protezione dei dati. Eventuali aggiornamenti saranno pubblicati nei recapiti ufficiali.
## 3. Categorie di interessati
MRC, come titolare autonomo, tratta dati di:
- referenti e rappresentanti delle agenzie (contatto commerciale, prova, contratto, fatturazione);
- utenti che accedono al Servizio per conto dell’agenzia (account tecnico);
- operatori MRC autorizzati (log di accesso e sicurezza);
- mittenti di richieste di assistenza.
MRC **non** è titolare dei dati delle persone fisiche inserite nelle pratiche funebri, dei familiari, delle persone decedute o dei visitatori di eventuali profili commemorativi: di tali dati è titolare l’Agenzia.
## 4. Categorie di dati
A seconda della finalità:
- identità e recapiti (nome, e-mail, ruolo dichiarato);
- dati dell’agenzia (ragione sociale, partita IVA, piano, sedi);
- dati di fatturazione e pagamento del software (importi, causale; coordinate bancarie comunicate fuori applicazione);
- dati di account (credenziali in forma protetta, ruoli);
- log tecnici e di sicurezza (eventuali indirizzo IP, user agent, data e ora);
- contenuto delle richieste di assistenza, nei limiti di quanto l’interessato o l’Agenzia trasmettono;
- prove di accettazione dei documenti del Legal Pack.
I dati delle pratiche **non** rientrano in questa Informativa come trattamenti propri di MRC.
## 5. Finalità
MRC tratta i dati per:
1. valutare e gestire richieste commerciali e di prova gratuita;
2. concludere ed eseguire il contratto SaaS;
3. fatturare, contabilizzare e riscuotere i corrispettivi del software;
4. fornire assistenza;
5. garantire sicurezza, prevenzione abusi e continuità del Servizio;
6. registrare log tecnici;
7. conservare la prova delle accettazioni;
8. adempiere obblighi di legge propri;
9. difendere i propri diritti;
10. gestire i rapporti con i propri fornitori e sub-responsabili.
MRC **non** tratta i Dati del Cliente per procacciare funerali, assegnare famiglie o comparare agenzie.
Alla data di questo documento MRC **non** conduce campagne di marketing automatizzato né profilazione commerciale sui trattamenti propri.
## 6. Basi giuridiche
MRC non usa il consenso come base generale del SaaS. Il consenso è riservato a eventuali finalità realmente facoltative che lo richiedano; nessuna di tali finalità è attiva alla data del documento.
| Finalità | Base |
|---|---|
| Contratto, account, esecuzione del Servizio | Art. 6, par. 1, lett. b) GDPR (esecuzione del contratto) |
| Prova gratuita e contatto precontrattuale | Art. 6, par. 1, lett. b) GDPR (misure precontrattuali) |
| Fatturazione, scritture, obblighi fiscali | Art. 6, par. 1, lett. c) GDPR (obbligo legale) |
| Sicurezza, log, prevenzione abusi, continuità operativa | Art. 6, par. 1, lett. f) GDPR (legittimo interesse) e, ove coincidente, lett. b) |
| Prove di accettazione | Art. 6, par. 1, lett. b) GDPR e, ove richiesto per la prova del rapporto, lett. c) o lett. f) |
| Assistenza | Art. 6, par. 1, lett. b) GDPR |
| Difesa dei diritti | Art. 6, par. 1, lett. f) GDPR |
Il legittimo interesse riguarda la sicurezza del Servizio, la prevenzione degli abusi, la difesa in giudizio e la continuità operativa. L’interessato può opporsi nei limiti di legge.
## 7. Gestione contrattuale
I dati necessari a intestare e amministrare il rapporto (anagrafica, piano, accettazioni, recapiti) sono trattati per il tempo necessario alla finalità, all’esecuzione del rapporto, agli obblighi di legge e alla tutela dei diritti.
## 8. Prova gratuita
I dati della prova (tenant creato da MRC, referenti, utilizzo durante il mese) sono trattati per concedere e amministrare la prova di un mese. Non vi è conversione automatica né addebito automatico.
In caso di mancata conversione, i dati residui sono conservati per il tempo necessario alla finalità, all’esecuzione del rapporto, agli obblighi di legge e alla tutela dei diritti, quindi cancellati in via operativa secondo l’Allegato B.
## 9. Fatturazione e pagamenti del software
La fatturazione dei corrispettivi DomusApp è trattata da MRC come titolare autonomo. Il pagamento del software avviene con bonifico. UniCredit riceve i dati necessari all’esecuzione del pagamento: è **destinatario** e **titolare autonomo** del trattamento bancario, non sub-responsabile del SaaS.
MRC **non** incassa i corrispettivi del funerale. I fondi della famiglia non transitano sui conti MRC.
Le coordinate IBAN **non** sono pubblicate in questa Informativa.
Fatture e scritture sono conservate per il tempo richiesto dagli obblighi fiscali e amministrativi applicabili.
## 10. Assistenza
Le richieste inviate a `info@domusapp.eu` o tramite gli strumenti di assistenza del Servizio sono trattate per evadere il ticket. Se l’Agenzia include Dati del Cliente nel ticket, MRC li tratta come responsabile, secondo il DPA, e non come titolare.
I ticket sono conservati per il tempo necessario alla gestione dell’assistenza, agli obblighi di legge e alla tutela dei diritti.
## 11. Sicurezza
MRC tratta dati tecnici (accessi, eventi di sicurezza, eventuali identificativi di sessione) per proteggere il Servizio, gli account e l’infrastruttura. L’accesso del personale MRC ai dati delle agenzie è consentito solo per assistenza, manutenzione, sicurezza, ripristino e gestione incidenti. MRC adotta le misure documentate nell’Allegato C, senza dichiarare una sicurezza totale o l’impossibilità di violazioni.
## 12. Log
Sono previsti log applicativi e registrazioni di accettazione. I log sono conservati per il tempo necessario alla sicurezza, alla prevenzione degli abusi e alla difesa dei diritti. Rotazione numerica e sistemi di monitoraggio avanzato non sono dichiarati come misure chiuse.
## 13. Accettazioni legali
MRC conserva la prova che l’Agenzia ha accettato i documenti contrattuali e preso visione delle informative, con versione, data, identità del dichiarante e recapito. Le prove sono conservate per il tempo necessario alla prova del rapporto e alla tutela dei diritti.
Hash e snapshot completi dei testi accettati non sono ancora implementati e non sono condizione di validità della registrazione già prevista.
## 14. Comunicazioni commerciali
Alla data di questo documento MRC **non** conduce, sui trattamenti propri, campagne di marketing automatizzato né profilazione commerciale. Eventuali comunicazioni future saranno disciplinate con base giuridica specifica e aggiornamento di questa Informativa.
## 15. Destinatari
Possono ricevere dati, nei limiti delle finalità:
- personale MRC autorizzato;
- fornitori indicati nelle sezioni 16–20;
- autorità e consulenti, ove obbligatorio;
- UniCredit, per il solo bonifico relativo al software.
I dati delle pratiche non sono comunicati a terzi da MRC per finalità proprie.
## 16. Fornitori
I fornitori rilevanti per i trattamenti propri di MRC e per l’erogazione del Servizio sono descritti di seguito. L’elenco dei **sub-responsabili dei Dati del Cliente** è l’**Allegato A**. I due elenchi non coincidono.
Non risultano fornitori attivi confermati: Stripe, Resend, Hetzner.
## 17. Register.it — posta
La posta inbound di `info@domusapp.eu` risulta instradata tramite **Register.it** (record MX rilevati). Register.it è descritto come fornitore tecnico della posta aziendale di MRC.
Register.it **non** è qualificato, in questo documento, come sub-responsabile dei Dati del Cliente. Non tratta le pratiche nel database. Se un messaggio di assistenza contiene Dati del Cliente, MRC li tratta come responsabile secondo il DPA.
## 18. Supabase
**Supabase Pte. Ltd.** (Singapore) fornisce database, autenticazione e storage del progetto DOMUSAPP, organizzazione MRC Project. Region primaria: **eu-west-1** (Irlanda). Restano possibili trattamenti e sub-processori extra SEE.
Ruolo: responsabile di MRC sui trattamenti propri; sub-responsabile sui Dati del Cliente.
MRC verifica periodicamente le condizioni contrattuali, le garanzie e i trasferimenti relativi ai fornitori. Le valutazioni interne sui trasferimenti sono aggiornate in funzione dei servizi effettivamente utilizzati.
## 19. Vercel
**Vercel Inc.** (USA) fornisce hosting e runtime del progetto `domusapp`, team `mrc-project`. Region osservata: **iad1** (USA). Il trasferimento verso gli Stati Uniti è confermato per il runtime.
Il DPA pubblico Vercel si applica come processore secondo le condizioni del provider e del piano effettivo. MRC **non** dichiara, in questo documento, che il rapporto con Vercel sia già conforme a tale DPA.
MRC verifica periodicamente le condizioni contrattuali, le garanzie e i trasferimenti relativi ai fornitori. Le valutazioni interne sui trasferimenti sono aggiornate in funzione dei servizi effettivamente utilizzati.
## 20. UniCredit
UniCredit non è sub-responsabile del Servizio. È destinatario dei dati del bonifico relativo al software e titolare autonomo del trattamento bancario.
## 21. Sviluppo e altri strumenti interni
GitHub è utilizzato per il repository e la CI di sviluppo. Sul perimetro verificato la CI non accede al database di produzione. GitHub **non** è sub-responsabile dei Dati del Cliente.
Microsoft 365 **non** risulta nel runtime del Servizio e **non** è elencato come sub-responsabile del runtime. L’eventuale uso interno di strumenti di ufficio non modifica il perimetro del Servizio.
## 22. Trasferimenti internazionali
MRC privilegia regioni UE/SEE ove disponibili. Alcune componenti tecniche possono comportare trattamenti o trasferimenti verso Paesi terzi, disciplinati mediante le garanzie applicabili e descritti nel DPA e nell’elenco dei sub-responsabili.
Fatti accertati:
- storage primario Supabase in **eu-west-1**;
- contraente Supabase a Singapore, con possibili sub-processori extra SEE;
- runtime Vercel in **iad1** (USA);
- trasferimento USA confermato per il runtime.
MRC **non** dichiara che i dati siano localizzati esclusivamente nell’Unione europea.
MRC verifica periodicamente le condizioni contrattuali, le garanzie e i trasferimenti relativi ai fornitori. Le valutazioni interne sui trasferimenti sono aggiornate in funzione dei servizi effettivamente utilizzati.
## 23. Conservazione
Durante il contratto, per i Dati del Cliente decide l’Agenzia: si veda il DPA e l’Allegato B.
Per i trattamenti propri di MRC, i dati sono conservati per il tempo necessario alla finalità, all’esecuzione del rapporto, agli obblighi di legge e alla tutela dei diritti.
Dopo la cessazione del SaaS: esportazione disponibile per 30 giorni, poi cancellazione operativa; i backup seguono il ciclo tecnico dei provider. Non è promessa una cancellazione immediata.
Il cestino recuperabile per 30 giorni riguarda i Dati del Cliente. Funzione pianificata e non disponibile nella versione operativa alla data del documento.
Nella configurazione iniziale non è prevista l’archiviazione di documentazione sanitaria completa (si veda il DPA).
## 24. Diritti
Per i trattamenti di cui MRC è titolare autonomo, l’interessato può esercitare i diritti di cui agli artt. 15–22 GDPR scrivendo a `info@domusapp.eu`.
Per i Dati del Cliente, compreso quanto concerne persone decedute, il referente principale è l’**Agenzia**. MRC collabora come responsabile, inoltra all’Agenzia competente le richieste ricevute direttamente ed esegue le operazioni tecniche richieste. La verifica della legittimazione del richiedente spetta al titolare competente. Le persone legittimate possono esercitare i diritti previsti dalla normativa italiana sui dati concernenti persone decedute.
Le richieste **non** si intendono esercitate esclusivamente «contro» l’Agenzia.
Memoria Aeterna, necrologi pubblici e aree famiglia non sono incluse nella versione operativa attuale e richiederanno, prima dell’attivazione, specifico adeguamento tecnico, contrattuale e informativo.
## 25. Reclamo al Garante
L’interessato può proporre reclamo al Garante per la protezione dei dati personali (https://www.garanteprivacy.it).
## 26. Natura obbligatoria o facoltativa dei dati
I dati contrattuali, fiscali e di account sono necessari all’esecuzione del rapporto. Il rifiuto impedisce l’attivazione o la prosecuzione del Servizio. I dati facoltativi (ad esempio contenuti extra in un ticket) possono essere omessi.
## 27. Processi decisionali automatizzati
MRC **non** adotta, sui trattamenti propri descritti in questa Informativa, processi decisionali automatizzati che producano effetti giuridici o analoghi sull’interessato, ai sensi dell’art. 22 GDPR.
## 28. Aggiornamenti dell’informativa
MRC potrà aggiornare il documento per esigenze normative, tecniche, organizzative o contrattuali. La versione e la data sono indicate in epigrafe. Si distinguono: approvazione interna MRC; revisione legale esterna futura; informativa agli interessati.
---