Come trattiamo i dati personali

Il servizio Ospitia e' gestito da Elite Properties SRL, con sede a Genova, Italia (di seguito « noi » o « il fornitore »). Per ogni questione relativa alla protezione dei dati puoi contattarci all'indirizzo privacy@ospitia.it.

Non abbiamo attualmente l'obbligo di nominare un Responsabile della protezione dei dati (DPO) ai sensi dell'art. 37 GDPR. Se e quando la scala del trattamento lo rendera' obbligatorio, ne pubblicheremo qui i contatti.

Il modo in cui trattiamo i dati dipende da di chi sono i dati. Le situazioni sono due e non vanno confuse, perche' cambiano chi risponde davanti al Garante.

• I dati del tuo account. Per i dati che riguardano te come cliente (nome, email, dati di fatturazione, impostazioni, dati d'uso del prodotto) siamo noi il titolare del trattamento: decidiamo finalita' e strumenti, nei limiti descritti qui.
• I dati dei tuoi ospiti. Per i dati delle persone che alloggiano nei tuoi appartamenti (documenti d'identita', dati di check-in, messaggi, pagamenti) sei tu il titolare del trattamento e noi agiamo come responsabile del trattamento ai sensi dell'art. 28 GDPR: trattiamo quei dati solo per farti funzionare il servizio e solo secondo le tue istruzioni documentate.

Il rapporto di responsabile del trattamento e' regolato dall'[accordo sul trattamento dei dati](/dpa) previsto dall'art. 28 GDPR, che accetti insieme ai termini di servizio prima di attivare l'account. Il DPA disciplina istruzioni, riservatezza, misure di sicurezza, sub-responsabili, assistenza nell'esercizio dei diritti degli interessati, notifica delle violazioni e cancellazione o restituzione dei dati al termine del rapporto.

• Dati di registrazione e account: nome, email, password (conservata solo in forma cifrata e non reversibile), organizzazione, ruolo, preferenze.
• Dati di fatturazione e abbonamento: ragione sociale, partita IVA, indirizzo, stato dell'abbonamento. I dati completi delle carte non transitano dai nostri sistemi: li gestisce direttamente il fornitore di pagamenti.
• Dati operativi che inserisci tu: appartamenti, prenotazioni, costi, turni di pulizia, inventario, documenti fiscali.
• Dati degli ospiti (in qualita' di responsabile): anagrafica della prenotazione, recapiti, documenti di identita' caricati al check-in online, dati necessari agli adempimenti di legge, conversazioni con l'ospite, eventi di apertura porta se usi le serrature connesse.
• Dati d'uso e diagnostici: registri tecnici, errori, tempi di risposta e metriche di funzionamento, usati per tenere il servizio stabile e sicuro.
• Registri di accesso e audit: chi ha fatto cosa e quando sulle operazioni sensibili, per poter ricostruire eventuali incidenti.

Il prodotto include funzioni di assistenza basate su modelli di intelligenza artificiale: bozze di risposta agli ospiti, suggerimenti di prezzo, lettura assistita dei documenti caricati al check-in. Riteniamo tu debba sapere esattamente come funzionano.

• Le risposte agli ospiti sono bozze. Nella configurazione predefinita nessun messaggio viene inviato automaticamente: una persona lo rivede e lo approva. L'invio automatico esiste come funzione, ma va attivato consapevolmente da te e resta sotto la tua responsabilita'.
• Nessuna decisione automatizzata con effetti giuridici. L'AI non decide prezzi definitivi, non accetta o rifiuta prenotazioni e non produce da sola effetti significativi sulle persone ai sensi dell'art. 22 GDPR.
• I dati non addestrano i modelli dei fornitori. I fornitori AI trattano i contenuti solo per generare la singola risposta, in base ad accordi che escludono l'addestramento sui dati dei clienti.
• Miglioramento interno del servizio. Possiamo usare conversazioni in forma aggregata o anonimizzata per misurare e migliorare la qualita' delle risposte. Se un miglioramento richiedesse dati identificabili, te lo chiederemmo prima.
• Trasparenza verso l'ospite. Sei tenuto a non presentare come umane interazioni interamente generate dall'AI: la trasparenza e' un obbligo del regolamento europeo sull'intelligenza artificiale.
• Chi risponde di cosa. Sotto il regolamento europeo sull'intelligenza artificiale noi siamo il fornitore del sistema e rispondiamo degli obblighi che spettano al fornitore; tu sei l'utilizzatore e rispondi di come lo impieghi verso i tuoi ospiti. Nessuna clausola contrattuale sposta su di te gli obblighi che la legge mette in capo a noi, e viceversa.

Per le funzioni AI applicate ai documenti di check-in abbiamo redatto una valutazione d'impatto sulla protezione dei dati (DPIA, art. 35 GDPR), disponibile ai clienti su richiesta.

Non vendiamo i dati e non li cediamo a terzi per finalita' di marketing. Ci appoggiamo a fornitori tecnologici selezionati, che trattano i dati solo per conto nostro, con contratti che impongono le stesse garanzie che ci siamo assunti verso di te. Questa e' la lista completa e aggiornata:

Alcuni dati escono dal servizio perche' la legge lo impone. Sono tre casi diversi e vale la pena tenerli separati.

• Adempimenti che trasmettiamo per tuo conto: comunicazioni di pubblica sicurezza alla Questura, statistiche regionali e ISTAT, tassa di soggiorno al Comune, fatture elettroniche allo SDI. In questi casi il titolare sei tu e noi siamo lo strumento: la ripartizione delle responsabilita' e' nella manleva sugli adempimenti.
• Comunicazioni fiscali che riguardano te come nostro cliente (DAC7): vedi il paragrafo qui sotto.
• Richieste dell'autorita' giudiziaria o di polizia rivolte a noi: pretendiamo un atto formale, verifichiamo che sia legittimo e limitato, consegniamo solo cio' che e' richiesto e te ne informiamo, salvo che la legge ce lo vieti.

DAC7 — quando scattera'. La direttiva europea 2021/514 (in Italia D.Lgs. 32/2023) obbliga i gestori di piattaforma che facilitano pagamenti trattenendo una commissione a comunicare ogni anno all'Agenzia delle Entrate i dati dei venditori che superano 30 operazioni o 2.000 euro di ricavi nell'anno.

I dati principali (database, documenti, foto e video) sono conservati all'interno dell'Unione Europea. Alcuni fornitori di assistenza AI hanno sede negli Stati Uniti: in quei casi il trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione Europea, accompagnate da una valutazione del contesto normativo del paese di destinazione e da misure aggiuntive (cifratura in transito, minimizzazione dei contenuti inviati, nessuna conservazione a lungo termine lato fornitore).

Hai diritto di accedere ai tuoi dati, correggerli, chiederne la cancellazione, limitarne o opporti al trattamento, e riceverli in un formato leggibile da una macchina per portarli altrove (artt. 15-22 GDPR). Dove il trattamento si basa sul consenso, puoi revocarlo in ogni momento senza che cio' pregiudichi la liceita' del trattamento gia' svolto.

Puoi esercitare questi diritti dalle impostazioni del tuo account o scrivendo a privacy@ospitia.it. Rispondiamo entro 30 giorni, prorogabili di altri 60 per richieste complesse, dandotene avviso. Non chiediamo alcun costo, salvo richieste manifestamente infondate o ripetitive.

Se la richiesta riguarda i dati di un ospite, il titolare sei tu: girala a noi come tuo responsabile e ti assisteremo tecnicamente, ma la risposta all'interessato spetta a te.

Se ritieni che il trattamento violi la normativa hai diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorita' di controllo del tuo Stato di residenza, e di rivolgerti all'autorita' giudiziaria.

Se sei un ospite arrivato qui dal check-in online: i tuoi dati sono trattati dalla struttura che ti ospita, che ne e' il titolare. Noi forniamo alla struttura il software e trattiamo i dati solo per suo conto.

• I dati identificativi e il documento servono all'obbligo di comunicazione all'autorita' di pubblica sicurezza (art. 109 TULPS) e agli adempimenti statistici e fiscali locali.
• La foto del documento e' conservata per un periodo breve (in via predefinita 30 giorni dal check-out) e poi cancellata automaticamente.
• Se l'appartamento usa una serratura connessa, le aperture della porta sono registrate per sicurezza: data, ora e dispositivo, non immagini.
• Le conversazioni con la struttura possono essere elaborate da un assistente AI per preparare le risposte; la risposta finale e' rivista da una persona salvo diversa scelta della struttura.
• Per esercitare i tuoi diritti rivolgiti alla struttura che ti ospita; se non ottieni risposta puoi scrivere anche a noi e faremo da tramite tecnico.

Proteggiamo i dati con cifratura in transito e a riposo, controllo degli accessi basato sui ruoli, isolamento fra le organizzazioni, registri di audit non modificabili sulle operazioni sensibili e cancellazione automatica dei dati quando la loro finestra di conservazione scade. Nessun sistema e' invulnerabile, ma trattiamo la sicurezza come parte del prodotto, non come un accessorio.

Se si verifica una violazione dei dati personali che ti riguarda come cliente, ti informiamo senza ingiustificato ritardo e comunque entro 72 ore dal momento in cui ne veniamo a conoscenza, con quanto sappiamo: cosa e' successo, quali dati sono coinvolti, cosa stiamo facendo e cosa conviene fare a te. Quando la violazione riguarda dati dei tuoi ospiti, la notifica all'autorita' spetta a te come titolare: ti forniamo tutte le informazioni necessarie per farla nei termini.

Il servizio si rivolge a professionisti e non e' destinato a minori. I dati di ospiti minorenni possono essere presenti nelle comunicazioni obbligatorie: sono trattati solo per tale finalita' e sotto la responsabilita' della struttura, che li raccoglie dall'adulto accompagnatore.

Possiamo aggiornare questa informativa. La data in cima indica l'ultima revisione. Per i cambiamenti rilevanti ti avvisiamo prima che diventino efficaci e, quando incidono sui tuoi diritti, ti chiediamo di prenderne atto al primo accesso successivo.

Per contattarci sulla privacy: privacy@ospitia.it.