Accordo sul trattamento dei dati

Quando inserisci in Stay Manager il nome di un ospite, il suo telefono o le date del suo soggiorno, stai trattando dati personali di cui il titolare sei tu. Noi quei dati li conserviamo ed elaboriamo per tuo conto, e questo ci rende responsabili del trattamento.

L’art. 28 del GDPR impone che questo rapporto sia regolato da un contratto scritto. Questo documento è quel contratto, e si perfeziona nel momento in cui lo accetti al primo accesso. La data e la versione accettate restano registrate nel tuo account.

Titolare del trattamento: tu, l’host titolare dell’account, con i dati identificativi che inserisci in Impostazioni → Profilo e Attività.

Responsabile del trattamento: Salvatore De Lellis, che pubblica Stay Manager. salvatoredelellis@icloud.com.

Oggetto: il trattamento dei dati personali che inserisci in Stay Manager o che vi confluiscono dai calendari esterni che colleghi.

Durata: per tutta la vita del tuo account, e termina con la sua cancellazione.

Natura e finalità: conservazione, organizzazione, consultazione, elaborazione e cancellazione dei dati al solo scopo di erogarti il servizio — gestione delle prenotazioni, contabilità, calcoli fiscali, grafici, esportazioni e, se la usi, l’assistenza dell’AI.

Categorie di interessati: i tuoi ospiti e le persone del tuo roster (soci, collaboratori) se ne configuri.

Tipi di dati: nome dell’ospite, telefono ed email quando li inserisci, date e dettagli del soggiorno, numero di ospiti, importi e stato dei pagamenti, note che scrivi tu, nomi delle persone del roster.

Stay Manager non è progettato per trattare categorie particolari di dati (salute, convinzioni religiose, e simili) né documenti di identità. Il campo delle note è libero: se ce li scrivi, lo fai sotto la tua responsabilità, e ti sconsigliamo di farlo.

Trattiamo i dati soltanto sulla base delle tue istruzioni documentate. Le istruzioni sono quelle che impartisci usando le funzioni dell’applicazione, integrate da questo accordo e dall’informativa privacy; istruzioni ulteriori vanno inviate per iscritto all’indirizzo di contatto.

Non usiamo i tuoi dati per finalità proprie, non li incrociamo con quelli di altri host, non li cediamo e non li usiamo per addestrare modelli di intelligenza artificiale.

Se riteniamo che una tua istruzione violi il GDPR o altre norme sulla protezione dei dati, te lo comunichiamo prima di darvi seguito.

Le persone autorizzate al trattamento — oggi il solo titolare del servizio — sono vincolate alla riservatezza.

Le misure tecniche e organizzative adottate ai sensi dell’art. 32:

• isolamento dei dati per account a livello di banca dati (Row Level Security): nessun host può leggere le righe di un altro, nemmeno per errore di programmazione;
• cifratura del traffico in transito;
• password conservate solo come hash, mai in chiaro;
• accesso amministrativo limitato e autenticato;
• anonimizzazione dei nomi degli ospiti prima dell’invio all’assistente AI, con telefono ed email mai trasmessi;
• copie di sicurezza gestite dal fornitore della banca dati.

Ci autorizzi in via generale a servirci dei sub-responsabili elencati qui sotto, ciascuno vincolato da obblighi di protezione dei dati non meno rigorosi di quelli di questo accordo:

• Supabase — banca dati, autenticazione, archiviazione dei file. Regione Nord Europa (Stoccolma): i dati restano nell’Unione europea.
• Vercel — hosting ed erogazione dell’applicazione web.
• OpenAI — elaborazione delle richieste dell’assistente AI, e solo quando lo usi.

Se intendiamo aggiungere o sostituire un sub-responsabile, te ne diamo comunicazione all’email dell’account prima che entri in funzione. Se non sei d’accordo, puoi cessare l’uso del servizio ed esportare i tuoi dati.

Rispondiamo dell’operato dei sub-responsabili come del nostro. I dati trattati per tuo conto sono conservati nell’Unione europea; escono dallo Spazio economico europeo soltanto nell’elaborazione dell’assistente AI e nell’erogazione delle pagine, e in quei casi il trasferimento si fonda sulle clausole contrattuali standard approvate dalla Commissione europea.

Se un tuo ospite esercita i propri diritti — accesso, rettifica, cancellazione, portabilità, opposizione — a rispondere sei tu. L’applicazione ti mette in condizione di farlo da solo: puoi cercare, modificare, cancellare ed esportare ogni singolo dato.

Se una richiesta arrivasse a noi per errore, non vi daremo seguito direttamente: te la inoltreremo senza ritardo. Per quanto in nostro potere, ti assistiamo con misure tecniche e organizzative adeguate.

Se veniamo a conoscenza di una violazione che riguarda i dati trattati per tuo conto, te ne diamo notizia senza ingiustificato ritardo all’email del tuo account, con le informazioni di cui disponiamo: natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, probabili conseguenze, misure adottate.

La notifica al Garante entro 72 ore e l’eventuale comunicazione agli interessati spettano a te, che sei il titolare: noi ti forniamo quanto serve per farle.

Ti assistiamo, nei limiti di quanto in nostro possesso, negli adempimenti degli artt. da 32 a 36 del GDPR — sicurezza del trattamento, notifica delle violazioni, valutazione d’impatto e consultazione preventiva.

Quando elimini l’account, i dati trattati per tuo conto sono cancellati in modo definitivo, senza conservarne copia, salvo obblighi di legge che impongano di trattenerne alcuni. Prima di cancellare, esporta ciò che ti serve: la cancellazione è immediata e non reversibile.

Su tua richiesta scritta e con ragionevole preavviso, mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi di questo accordo e contribuiamo alle verifiche che vorrai svolgere, purché non compromettano la riservatezza dei dati di altri host.

Questo accordo integra le condizioni d’uso. In caso di contrasto su ciò che riguarda il trattamento dei dati personali, prevale questo documento.