In Stay Manager convivono due insiemi di dati con due responsabili diversi, ed è la distinzione da cui discende tutto il resto di questo testo.

I dati del tuo account — l’email con cui accedi, il profilo, le impostazioni dell’attività. Di questi il titolare del trattamento è chi pubblica Stay Manager, e questa informativa è il documento che li riguarda.

I dati che inserisci tu — prenotazioni, ospiti, movimenti finanziari. Di questi il titolare sei tu: li raccogli dai tuoi ospiti, decidi tu perché e per quanto conservarli, e sei tu a dover dare loro un’informativa. Stay Manager li tratta soltanto per farti funzionare il servizio, su tua istruzione, nel ruolo di responsabile del trattamento previsto dall’art. 28 GDPR. Le condizioni di quel rapporto sono nell’accordo sul trattamento dei dati, che accetti insieme a questa informativa.

Salvatore De Lellis, Via Bruno Cesana 10, 20132 Milano, Italia. Per qualsiasi richiesta relativa ai tuoi dati: info@staymanagerweb.com.

Accesso. L’indirizzo email e la password (conservata solo sotto forma di hash, mai in chiaro). Se accedi con Google, riceviamo da Google il tuo indirizzo email e nulla di più. Servono a farti entrare nel tuo account e a permetterti di recuperarlo: base giuridica è l’esecuzione del contratto di servizio con te.

Profilo e attività. Nome e cognome, telefono, foto profilo se la carichi (viene conservata a un indirizzo che non è indicizzato né indovinabile, ma che non chiede l’accesso: chi lo riceve da te può aprirlo), e i dati dell’attività: denominazione, indirizzo, partita IVA, codice fiscale, CIN, codice identificativo regionale, regime fiscale, valuta. Servono a compilare i documenti che l’app genera per te e ad adattare i calcoli fiscali alla tua situazione.

Raccogliamo anche alcuni dati facoltativi, ciascuno per una finalità precisa:

• Tipo di struttura — per adattare terminologia e preset fiscali a come è fatta la tua attività.
• Data di nascita — per la verifica della maggiore età e per i documenti fiscali che la richiedono.
• Genere — per la compilazione della modulistica che lo richiede.
• Nazionalità — per determinare il regime fiscale e gli adempimenti applicabili.
• Città e indirizzo — per indicare la sede dell’attività sui documenti generati.
• Come ci hai conosciuto — per capire, in forma aggregata, da dove arrivano gli host. Puoi non rispondere.

Nessuno di questi campi è obbligatorio per usare Stay Manager, e puoi svuotarli in qualsiasi momento da Impostazioni → Profilo.

Prenotazioni, nomi e contatti degli ospiti, importi, movimenti finanziari e foto delle ricevute restano tuoi. Stay Manager li conserva e li elabora solo per fornirti il servizio, non li usa per finalità proprie, non li incrocia con quelli di altri host e non li cede a nessuno.

Ricorda che, verso i tuoi ospiti, il titolare sei tu: l’informativa da dare a loro, la base giuridica su cui raccogli i loro dati e la risposta alle loro richieste sono responsabilità tua. Stay Manager ti assiste — l’export completo dei dati serve anche a questo — ma non può sostituirsi a te.

Se usi “Segnala un problema” conserviamo il testo che scrivi, la schermata da cui l’hai scritto e il browser che stai usando, per poter riprodurre il difetto e risponderti. Non alleghiamo nulla delle tue prenotazioni né dei tuoi ospiti: se ne citi i dati nel testo, lo fai tu — e ti consigliamo di non farlo.

Le segnalazioni le legge soltanto chi sviluppa il servizio, e restano finché la cosa segnalata non è chiusa e comunque non oltre la vita del tuo account.

Stay Manager è uno strumento di lavoro e si rivolge a chi gestisce un’attività ricettiva: per aprire un account devi essere maggiorenne. Non raccogliamo consapevolmente dati di minori. Se ci accorgiamo che un account è stato aperto da un minore, lo chiudiamo e cancelliamo i dati.

Stay Manager usa soltanto cookie tecnici: quelli di sessione, che mantengono l’accesso fra una pagina e l’altra e senza i quali il servizio non funzionerebbe, e uno che ricorda per un anno la lingua che hai scelto, così la pagina di accesso te la ripropone anche prima che tu entri. Non ci sono cookie di profilazione, né di analisi statistica, né di terze parti pubblicitarie.

È il motivo per cui non vedi un banner di consenso: i cookie strettamente necessari a fornire un servizio richiesto dall’utente non lo richiedono. Cancellandoli dalle impostazioni del browser esci semplicemente dall’account.

Su Supabase, in una base dati ospitata nell’Unione europea (regione Nord Europa, Stoccolma) e protetta da Row Level Security: ogni riga è legata al tuo account e nessun altro utente del servizio può leggerla. Le password non sono mai conservate in chiaro e il traffico viaggia cifrato.

Per far funzionare il servizio ci appoggiamo a un numero volutamente ridotto di fornitori, ciascuno vincolato da un contratto che gli vieta di usare i dati per finalità proprie:

• Supabase — banca dati, autenticazione e archiviazione dei file: la foto profilo e le foto delle ricevute che alleghi alle spese.
• Vercel — hosting dell’applicazione web e consegna delle pagine.
• OpenAI — le risposte dell’assistente AI (vedi la sezione “Assistente AI”).
• Resend — invio delle sole email di servizio: conferma dell’indirizzo e reimpostazione della password. Nessuna email promozionale. Le email partono dall’area europea (Irlanda) di Resend.

L’elenco aggiornato dei fornitori è anche nell’accordo sul trattamento. Se cambia, te lo comunichiamo prima che il nuovo fornitore entri in funzione.

I tuoi dati sono conservati nell’Unione europea. La banca dati, le credenziali di accesso e i file caricati stanno su Supabase nella regione Nord Europa (Stoccolma) e non escono dallo Spazio economico europeo.

Restano fuori tre casi. L’assistente AI: i dati descritti più sotto vengono elaborati da OpenAI negli Stati Uniti. L’hosting dell’applicazione: Vercel serve le pagine da una rete distribuita, e il server che risponde può trovarsi fuori dall’Unione. Le email di servizio: Resend ha sede negli Stati Uniti, anche se le invia dall’area europea e vi passano solo l’indirizzo email e il testo del messaggio. In tutti i casi il trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione europea, integrate dalla cifratura del traffico e dall’isolamento per account.

Una sola funzione usa OpenAI: la sezione AI, e solo quando fai una domanda. In quel momento un estratto dei tuoi dati dell’anno (date, importi, canale, unità, stato) viene inviato per generare la risposta. Se non la usi, a OpenAI non arriva nulla. I nomi degli ospiti sono sostituiti da codici del tipo “Ospite 1”, e numeri di telefono ed email non vengono mai trasmessi.

I contenuti inviati tramite l’API di OpenAI non vengono usati per addestrare i loro modelli.

In caso di crash dell’app iOS, il sistema operativo raccoglie un rapporto tecnico (traccia dello stack, modello del dispositivo, versione dell’app e di iOS) che l’app invia per capire cosa si è rotto. Non contiene prenotazioni, ospiti né importi. Sul web non raccogliamo dati di navigazione e non usiamo strumenti di tracciamento o di analisi statistica.

Per tutta la durata dell’account. Alla cancellazione dell’account i dati vengono eliminati definitivamente, salvo obblighi di legge che impongano tempi diversi. Le registrazioni delle accettazioni dei documenti legali restano per il tempo necessario a dimostrare il consenso prestato.

I dati sono isolati per account a livello di banca dati, il traffico è cifrato e l’accesso amministrativo è limitato a chi gestisce il servizio. Le foto delle ricevute stanno in un archivio privato: si aprono solo dal tuo account, con un collegamento che scade dopo pochi minuti. Prima del caricamento le riduciamo nel tuo browser, quindi l’originale a piena risoluzione non lascia mai il tuo dispositivo.

Un’eccezione la decidi tu. Se in Impostazioni → Calendari attivi l’esportazione del calendario di un’unità, quell’indirizzo risponde senza chiedere l’accesso: è l’unico modo perché Booking.com o Airbnb possano leggerlo. Chi conosce l’indirizzo vede soltanto quali date sono occupate — nessun nome, nessun importo, nessun contatto — ma l’indirizzo va trattato come una password: condividilo solo con i portali, e se pensi che sia finito in mano ad altri rigeneralo dallo stesso pannello, il vecchio smette immediatamente di funzionare.

Se si verificasse una violazione dei dati personali, te ne daremo notizia senza ingiustificato ritardo all’indirizzo email del tuo account, descrivendo cosa è successo, quali dati sono coinvolti e cosa stiamo facendo. La segnalazione ti serve anche per adempiere, a tua volta, verso i tuoi ospiti.

Accesso e portabilità: puoi scaricare una copia completa dei tuoi dati in qualsiasi momento da Impostazioni → Dati e account, in formato JSON, CSV ed Excel.

Rettifica: puoi modificare o eliminare singole prenotazioni, movimenti e anagrafiche direttamente dall’app.

Cancellazione: puoi eliminare account e dati da Impostazioni → Dati e account. La cancellazione è immediata e definitiva: non esiste una copia da cui recuperare, quindi esporta prima ciò che ti serve. In alternativa scrivi a info@staymanagerweb.com.

Limitazione e opposizione: puoi chiederci di limitare o interrompere trattamenti specifici scrivendo allo stesso indirizzo.

Reclamo: se ritieni che i tuoi dati non siano trattati correttamente, puoi rivolgerti al Garante per la protezione dei dati personali (garanteprivacy.it).

Se cambiamo questo testo in modo sostanziale, la data in cima cambia e ti viene chiesto di prenderne visione al primo accesso successivo. Le modifiche puramente redazionali non fanno ricomparire quella richiesta.

Your account data — the email you sign in with, your profile and business settings. The data controller is the publisher of Stay Manager, Salvatore De Lellis, Via Bruno Cesana 10, 20132 Milano, Italia (info@staymanagerweb.com).

The data you enter — bookings, guests, financial movements. Here you are the controller and Stay Manager acts as a processor under Art. 28 GDPR, on your documented instructions. Those terms are set out in the data processing agreement.

Only what you enter, plus the email address of your account. Optional profile fields (date of birth, gender, nationality, property type, city and address, how you heard about us) each serve a stated purpose and can be left empty.

We use strictly necessary cookies only — the session ones, plus one that remembers your chosen language for a year. No profiling, no analytics, no advertising, and therefore no consent banner. We collect no browsing data.

Supabase (database, authentication, storage), Vercel (hosting), OpenAI (AI assistant, only while you use it), and Resend for service emails (sign-up confirmation and password reset only, sent from its European region). Your data is stored in the European Union — Supabase’s North EU (Stockholm) region. Where data does leave the EEA (the AI assistant, page serving via Vercel’s distributed network, and service emails through Resend, a US company), transfers rely on the European Commission’s standard contractual clauses. No data is ever sold or shared for commercial purposes.

When you use the AI section, an extract of your data is sent to OpenAI. Guest names are replaced with codes such as “Guest 1”; phone numbers and emails are never transmitted. API content is not used to train their models.

Access and portability: download a full copy of your data at any time from Settings → Data and account, as JSON, CSV or Excel.

Rectification: edit or delete individual bookings, movements and records directly in the app.

Erasure: delete your account and all its data from Settings → Data and account. The deletion is immediate and permanent — there is no copy to recover from. Alternatively, write to info@staymanagerweb.com.

Complaint: you may lodge a complaint with your national data protection authority.

Data is isolated per account at the database level and encrypted in transit. Should a personal data breach occur, we will notify you at your account email address without undue delay, so that you can in turn meet your own obligations towards your guests.