Accordo sul trattamento dei dati personali (DPA)

1. Ruoli e oggetto

Il Titolare decide finalità e mezzi del trattamento dei dati dei propri ospiti e nomina BEMAWAY Responsabile del trattamento per la sola fornitura del Servizio: gestione dello storico ospiti, conversazione con l'assistente AI, ordini e servizi extra, notifiche all'Host, assistenza e, se il Titolare la usa, la funzione di check-in online (raccolta dei dati del documento degli ospiti tramite un link personale, registro del soggiorno, calcolo e richiesta della tassa di soggiorno).

Per i dati dell'Host stesso e dei visitatori del sito BEMAWAY è titolare autonomo, come descritto nell'informativa privacy.

2. Natura, durata, tipi di dati e interessati

• Natura e finalità: raccolta, registrazione, conservazione, consultazione, elaborazione automatizzata (anche tramite intelligenza artificiale), comunicazione all'Host, cancellazione, esclusivamente per fornire il Servizio.
• Durata: dalla creazione dell'account alla sua chiusura, più il tempo necessario a restituire o cancellare i dati (sezione 8).
• Categorie di interessati: ospiti delle strutture dell'Host e relativi accompagnatori, compresi i minori, citati in conversazione o indicati nel check-in online.
• Tipi di dati: nome, numero di telefono, date di soggiorno, piattaforma di prenotazione, richieste speciali e preferenze, contenuto dei messaggi scambiati con l'assistente, ordini, lingua, stato del pagamento della tassa di soggiorno e altri dati che l'ospite sceglie di comunicare. Con il check-in online, inoltre: dati del documento d'identità dell'ospite principale e dati anagrafici degli accompagnatori (cognome, nome, sesso, data e luogo di nascita, cittadinanza; tipo, numero e luogo di rilascio del documento), raccolti per l'obbligo del Titolare di comunicarli alla Questura; numero di persone e di esenti per età, usati per la tassa di soggiorno; registro del soggiorno (passaggi, data, ora e autore, dichiarazioni del Titolare). Con i calendari delle piattaforme collegati dal Titolare: date delle prenotazioni, piattaforma di prenotazione e, quando il calendario le contiene, le ultime 4 cifre del telefono dell'ospite, usate solo per riconoscerlo e cancellate 30 giorni dopo la partenza. Le immagini dei documenti non sono mai conservate: sono lette sul dispositivo dell'ospite. Il Servizio non richiede dati di categorie particolari (art. 9 GDPR); se l'ospite comunica spontaneamente esigenze che riguardano la salute (ad esempio allergie, intolleranze alimentari o mobilità ridotta), l'assistente le annota nella scheda dell'ospite e le segnala al Titolare, al solo fine di soddisfarle e di non proporre servizi incompatibili. [DA VERIFICARE: con il consulente la base giuridica (art. 9.2 GDPR) e le eventuali misure aggiuntive]

3. Obblighi del Responsabile

BEMAWAY si impegna a:

• trattare i dati solo su istruzione documentata del Titolare, rappresentata dai Termini, da questo DPA e dall'uso della piattaforma, anche in caso di trasferimento verso paesi terzi, salvo obbligo di legge (nel qual caso avvisa il Titolare, se consentito);
• garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• adottare le misure di sicurezza della sezione 5;
• rispettare le condizioni dell'art. 28.2 e 28.4 GDPR per il ricorso a sub-responsabili (sezione 6);
• assistere il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione): le richieste ricevute direttamente da un ospite sono inoltrate al Titolare senza ritardo;
• assistere il Titolare negli obblighi degli artt. 32-36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto, consultazione preventiva), tenendo conto della natura del trattamento;
• avvisare il Titolare senza ingiustificato ritardo, e di norma entro 48 ore dalla conoscenza, di una violazione dei dati personali, fornendo le informazioni disponibili per la notifica;
• cancellare o restituire i dati alla fine del Servizio (sezione 8);
• mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consentire verifiche, anche ispettive, del Titolare, con ragionevole preavviso, in orari lavorativi e senza compromettere la riservatezza e la sicurezza degli altri clienti. In alternativa possono essere forniti rapporti e certificazioni dei fornitori. I costi vivi sostenuti da BEMAWAY per verifiche in loco o straordinarie sono a carico del Titolare, previa presentazione di un preventivo;
• informare il Titolare se ritiene che un'istruzione violi la normativa sulla protezione dei dati.

4. Obblighi del Titolare

• avere una base giuridica per il trattamento dei dati degli ospiti e fornire loro l'informativa prevista dagli artt. 13-14 GDPR, indicando che l'assistente è un sistema automatizzato (nell'Allegato A trovi un modello);
• non inserire nella piattaforma dati che non servano al Servizio, né dati di categorie particolari oltre alle esigenze comunicate dall'ospite e necessarie al soggiorno (ad esempio un'allergia), che il Titolare usa solo per soddisfarle; i dati dei documenti d'identità vanno raccolti solo con la funzione di check-in online o inseriti dal Titolare nell'apposita sezione della scheda dell'ospite, mai nei campi liberi o in chat;
• invitare gli ospiti a non inviare documenti d'identità, foto di documenti o altri dati non necessari nelle conversazioni con l'assistente, ma a usare il link di check-in online. Se un ospite li invia spontaneamente in chat, il Titolare è responsabile di gestirli e di eliminarli senza ritardo dal canale di messaggistica e dallo storico: il Servizio non è progettato per trattare tali contenuti e l'assistente non li richiede [DA VERIFICARE: gestione degli allegati ricevuti quando il canale WhatsApp sarà attivo];
• dare seguito alle richieste degli interessati, con l'assistenza di BEMAWAY;
• rispettare le norme applicabili alla sua attività ricettiva. In particolare verificare personalmente l'identità degli ospiti e comunicarne i dati alla Questura nei termini di legge (art. 109 TULPS): la comunicazione avviene fuori dalla piattaforma, sotto la sua esclusiva responsabilità. La piattaforma raccoglie e mostra i dati forniti dall'ospite ma non ne verifica la correttezza né li comunica alle autorità; la conferma “Identificazione effettuata” e le altre conferme manuali sono dichiarazioni del Titolare;
• comunicare i dati alla Questura prima della loro cancellazione automatica (sezione 8), anche usando il file per il portale Alloggiati Web generato dalla piattaforma, che il Titolare controlla e carica sul portale con le proprie credenziali; scaricare dal portale e conservare la ricevuta della comunicazione per il tempo previsto dalla legge (la piattaforma non la archivia);
• raccogliere dagli ospiti i consensi o le autorizzazioni necessari all'invio di messaggi tramite i canali di messaggistica (ad esempio WhatsApp, ove attivato), nel rispetto delle policy dei relativi fornitori. Nei limiti consentiti dalla legge, BEMAWAY non risponde del blocco o della limitazione del canale dovuti a segnalazioni o violazioni di tali policy, salvo dolo o colpa grave;
• tenere aggiornati i propri recapiti per ricevere le comunicazioni previste da questo accordo.

5. Misure di sicurezza

BEMAWAY adotta misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui:

• connessioni cifrate tra utenti, applicazione e fornitori;
• autenticazione degli utenti e controllo degli accessi per ruolo, con separazione dei dati di ciascun Host a livello di database;
• accesso del personale di assistenza limitato al necessario, con registro delle modifiche effettuate sui dati dei clienti e notifica al cliente interessato;
• chiavi e credenziali di servizio conservate fuori dal codice, con accesso ristretto;
• backup e ripristino, aggiornamenti periodici e monitoraggio degli errori;
• controlli automatici sui contenuti caricati e verifiche di coerenza sulle risposte dell'assistente;
• per il check-in online: cifratura applicativa dei dati del documento con chiave separata dal database; tabelle accessibili solo dal servizio, non dal browser; link personale casuale, a scadenza e utilizzabile una volta sola, con limiti ai tentativi; nessuna immagine del documento trasmessa o conservata; dati del documento e codici di accesso mai inviati ai fornitori di intelligenza artificiale;
• formazione e vincoli di riservatezza delle persone che accedono ai dati.

6. Sub-responsabili e trasferimenti

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, vincolati da obblighi equivalenti a quelli di questo accordo:

• Supabase, Inc.: database e autenticazione (dati ospitati a Zurigo, in Svizzera, paese per il quale la Commissione europea ha adottato una decisione di adeguatezza).
• Google Cloud (Google Ireland Ltd / Google LLC): esecuzione del servizio (Cloud Run, regione di Milano) e controllo automatico delle immagini.
• Vercel Inc.: pubblicazione dell'applicazione web e statistiche anonime.
• OpenAI (OpenAI Ireland Ltd / OpenAI, L.L.C.): modelli di intelligenza artificiale per le risposte e per il controllo dei testi. Secondo le condizioni contrattuali del fornitore per l'uso tramite API, i dati inviati non sono usati per addestrare i suoi modelli.
• Meta Platforms Ireland Ltd: canale WhatsApp con gli ospiti, quando attivato per la struttura.

La lettura della foto del documento avviene sul dispositivo dell'ospite con un programma scaricato dalla rete di distribuzione jsDelivr, che riceve solo i dati tecnici della connessione e nessun dato del documento. [DA VERIFICARE: con il consulente se jsDelivr va elencato tra i sub-responsabili]

Stripe, che tratta i dati di pagamento dell'Host, agisce come titolare autonomo per i propri obblighi di legge e non è sub-responsabile per i dati degli ospiti.

Se un sub-responsabile tratta dati fuori dallo Spazio Economico Europeo, il trasferimento avviene solo con decisione di adeguatezza (ad esempio EU-US Data Privacy Framework) o con le Clausole contrattuali standard e misure supplementari. BEMAWAY risponde nei confronti del Titolare dell'operato dei sub-responsabili. Comunicheremo ogni aggiunta o sostituzione con almeno 15 giorni di preavviso (email o avviso nell'applicazione): il Titolare può opporsi per giustificati motivi relativi alla protezione dei dati e, se non si trova un'alternativa, recedere dal contratto senza penali.

7. Violazioni dei dati personali

In caso di violazione, BEMAWAY adotta senza ritardo le misure per contenerla e ne informa il Titolare come previsto alla sezione 3. La decisione e l'onere di notificare l'autorità di controllo e gli interessati spettano al Titolare, che BEMAWAY assiste con le informazioni in suo possesso.

8. Cancellazione e restituzione dei dati

Il Titolare può eliminare l'account in qualsiasi momento dalle Impostazioni, dopo aver scaricato gli ordini in formato CSV (e può chiedere ulteriori esportazioni scrivendoci). Con l'eliminazione BEMAWAY cancella subito i dati degli ospiti e tutti gli altri dati dell'account, compresi gli ordini: la conservazione dei documenti contabili e fiscali relativi alle vendite agli ospiti resta un obbligo del Titolare. Restano solo i dati contrattuali minimi dell'account, di cui BEMAWAY è titolare, come indicato nell'informativa privacy. Le copie di backup sono eliminate nei tempi ordinari di rotazione. Durante il Servizio, le conversazioni con l'assistente e il registro del soggiorno sono cancellati e i dati identificativi degli ospiti resi anonimi in modo automatico non oltre 24 mesi dalla data di partenza dell'ospite (gli ordini confermati restano, senza dati identificativi dell'ospite, finché l'account è attivo).

I dati del documento raccolti con il check-in online sono cancellati in modo automatico 48 ore dopo che il Titolare ha segnato la comunicazione alla Questura (entro questo termine il Titolare può ancora annullare la conferma), e comunque entro 30 giorni dall'arrivo dell'ospite, anche se la comunicazione non è stata segnata. Dopo la cancellazione i dati non sono più recuperabili. La piattaforma non archivia le ricevute del portale Alloggiati Web: le conserva il Titolare. Lo storico dei file generati (senza i dati del documento) è conservato 24 mesi e poi cancellato; con l'eliminazione dell'account è cancellato subito.

9. Responsabilità, legge e contatti

La responsabilità delle parti per violazioni di questo accordo segue la disciplina dei Termini e Condizioni di Servizio e dell'art. 82 GDPR. Per quanto non previsto valgono i Termini; in caso di contrasto sul trattamento dei dati prevale questo accordo. È regolato dalla legge italiana.

Per qualsiasi comunicazione relativa a questo accordo: [DA COMPILARE: email per le richieste privacy].

10. Allegato A: modello di informativa per gli ospiti

Testo che l'Host può adattare e fornire ai propri ospiti (ad esempio nel messaggio di benvenuto, sulla scheda della struttura o nel modulo di prenotazione). Sostituisci le parti tra parentesi quadre con i tuoi dati.

“[Nome e cognome o ragione sociale dell'Host], titolare del trattamento, tratta i tuoi dati personali (nome, numero di telefono, date di soggiorno, messaggi, ordini, eventuali preferenze e le esigenze che ci comunichi, ad esempio allergie o intolleranze, usate solo per soddisfarle) per gestire il tuo soggiorno, risponderti, consegnarti i servizi e i prodotti che richiedi e adempiere agli obblighi di legge. Per rispondere ai tuoi messaggi usiamo un assistente automatizzato basato su intelligenza artificiale: quando scrivi a questo numero stai dialogando con un sistema automatico, non con una persona; per questioni importanti puoi chiedere di parlare con noi. I tuoi dati sono trattati per nostro conto dalla piattaforma BEMAWAY e dai suoi fornitori tecnici, anche fuori dall'Unione Europea con le garanzie previste dalla legge. Li conserviamo per la durata del soggiorno e, per gestire eventuali richieste, fino a 24 mesi dopo la partenza; gli ordini e i documenti contabili sono conservati per 10 anni. Hai diritto di accedere ai tuoi dati, rettificarli, chiederne la cancellazione, limitare od opporti al trattamento e ottenerne la portabilità, scrivendo a [email dell'Host]. Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).”

Da aggiungere se usi il check-in online (il testo compare anche, in breve, nella pagina del link personale dell'ospite):

“Prima dell'arrivo ti chiediamo di compilare, da un link personale, i dati del tuo documento d'identità e i dati anagrafici di chi viaggia con te. La legge (art. 109 del Testo unico delle leggi di pubblica sicurezza) ci obbliga a verificare l'identità di ogni ospite e a comunicarne i dati alla Questura: senza questi dati non possiamo ospitarti. Se è prevista la tassa di soggiorno, le date di nascita servono anche a calcolare le esenzioni per età. Se fotografi il documento, la foto è letta solo sul tuo telefono e non viene inviata né conservata. I dati del documento sono conservati cifrati e cancellati entro 48 ore dalla comunicazione alla Questura e comunque entro 30 giorni dal tuo arrivo; conserviamo solo la ricevuta della comunicazione, come prevede la legge. Se preferisci, puoi fornirci i dati all'arrivo.”