Informativa sulla privacy

1. Titolare del trattamento e contatti

Titolare del trattamento è [DA COMPILARE: ragione sociale], con sede legale in [DA COMPILARE: sede legale], partita IVA [DA COMPILARE: partita IVA] (di seguito “BEMAWAY”, “noi”).

Per qualsiasi richiesta sui tuoi dati, incluso l'esercizio dei diritti di cui alla sezione 10, scrivi a [DA COMPILARE: email per le richieste privacy].

Non è stato nominato un Responsabile della protezione dei dati (DPO), non ricorrendo i presupposti di legge.

2. Cosa fa BEMAWAY e in che ruolo tratta i dati

BEMAWAY è una piattaforma per chi gestisce alloggi turistici: un gestionale web per strutture, ordini, servizi extra e storico ospiti, con un assistente basato su intelligenza artificiale che risponde agli ospiti dell'Host e propone i servizi che l'Host ha scelto di vendere.

• Titolare: per i dati dell'Host e dei visitatori del sito (account, abbonamento, assistenza, sicurezza) decidiamo noi finalità e mezzi del trattamento.
• Responsabile del trattamento: per i dati degli ospiti degli Host (nome, telefono, messaggi, ordini e, con il check-in online, dati del documento d'identità) il titolare è l'Host, che ci incarica di trattarli per fornirgli il servizio. Il rapporto è regolato dal DPA.

3. Dati che trattiamo come titolare

• Dati dell'account: nome, cognome, indirizzo email, numero di telefono, password (conservata in forma cifrata dal nostro fornitore di autenticazione, non leggibile da noi), contatti di riferimento indicati nel profilo.
• Dati di fatturazione e fiscali inseriti nelle Impostazioni: codice fiscale, partita IVA, IBAN, indirizzo di residenza o sede.
• Dati di abbonamento: piano scelto, stato dell'abbonamento, date di prova e scadenza, identificativi del cliente e dell'abbonamento presso il fornitore di pagamenti. I dati completi della carta di pagamento sono trattati solo dal fornitore di pagamenti e non transitano dai nostri sistemi.
• Dati delle strutture e dei servizi inseriti dall'Host (indirizzi, descrizioni, istruzioni, foto, prodotti, servizi, collaborazioni): sono contenuti dell'Host e possono contenere dati personali di terzi; vedi sezione 4.
• Richieste di assistenza: messaggi e informazioni scambiati nei ticket.
• Dati tecnici e di sicurezza: log di accesso e di errore, indirizzo IP, tipo di dispositivo e browser, registro delle modifiche effettuate dal personale di assistenza sui dati di un cliente.
• Dati di navigazione del sito: statistiche aggregate e anonime sulle visite e sulle prestazioni delle pagine (vedi la Cookie Policy).

4. Dati degli ospiti degli Host

Quando un ospite scrive all'assistente o apre il link o il QR code della struttura, la piattaforma tratta, per conto dell'Host: nome (se comunicato), numero di telefono, date di arrivo e partenza, piattaforma di prenotazione, richieste speciali, messaggi scambiati con l'assistente, ordini di prodotti e servizi, lingua, interessi e preferenze emersi dalla conversazione, stato del pagamento della tassa di soggiorno.

Se l'ospite comunica spontaneamente esigenze di cui tenere conto durante il soggiorno (ad esempio allergie, intolleranze o diete alimentari, mobilità ridotta, presenza di bambini piccoli o animali), l'assistente le annota nella scheda dell'ospite e le segnala all'Host. Alcune di queste informazioni possono riguardare la salute (dati di categorie particolari, art. 9 GDPR): sono usate solo per soddisfare le esigenze dell'ospite e per non proporgli servizi incompatibili, sono visibili solo all'Host della struttura, non sono usate per altri scopi e sono cancellate o rese anonime insieme alla scheda dell'ospite. L'assistente non chiede mai informazioni sulla salute. [DA VERIFICARE: con il consulente la base giuridica (art. 9.2 GDPR) e le eventuali misure aggiuntive per questi dati]

Se l'Host usa il check-in online, la piattaforma tratta inoltre, sempre per suo conto:

• i dati del documento d'identità dell'ospite e i dati anagrafici di chi viaggia con lui, compresi eventuali minori (cognome, nome, sesso, data e luogo di nascita, cittadinanza; per l'ospite principale anche tipo, numero e luogo di rilascio del documento), che l'Host deve comunicare alla Questura per legge (art. 109 del Testo unico delle leggi di pubblica sicurezza);
• il numero di persone del soggiorno e quello delle persone esenti per età, ricavato dalle date di nascita, che servono a calcolare la tassa di soggiorno quando l'Host la prevede; il numero di persone soggette dichiarato dall'ospite;
• il registro del soggiorno: i passaggi del percorso (ad esempio link inviato, dati ricevuti, identificazione, codici inviati, comunicazione alla Questura, tassa richiesta o pagata), con data, ora e chi li ha eseguiti, comprese le dichiarazioni dell'Host. Il registro non contiene i dati del documento né dati di pagamento.

Se l'Host collega alla struttura il calendario di una piattaforma di prenotazione (ad esempio Airbnb, Booking.com o Vrbo, tramite il link iCal dell'annuncio), la piattaforma tratta per suo conto le date delle prenotazioni e, quando il calendario le contiene (ad esempio Airbnb), le ultime 4 cifre del numero di telefono dell'ospite. Le ultime 4 cifre servono solo a riconoscere l'ospite quando scrive all'assistente e non sono mostrate a nessuno; la piattaforma di prenotazione serve anche a sapere se la tassa di soggiorno è già stata riscossa. Le prenotazioni lette dal calendario sono cancellate in modo automatico 30 giorni dopo la data di partenza, e subito se l'Host scollega il calendario. Il link del calendario è conservato cifrato.

La foto del documento, se l'ospite la usa per compilare i campi, viene letta solo sul suo dispositivo e non viene mai inviata ai nostri sistemi né conservata. I dati del documento sono conservati cifrati, sono visibili solo all'Host della struttura e sono cancellati automaticamente 48 ore dopo che l'Host ha segnato la comunicazione alla Questura, e comunque entro 30 giorni dall'arrivo.

Il titolare di questi dati è l'Host, che deve informare i propri ospiti (nel documento allegato al DPA trovi un modello di informativa) e rispondere alle loro richieste. Noi li trattiamo solo secondo le istruzioni dell'Host e per fornire il servizio. Se sei un ospite e vuoi esercitare i tuoi diritti, rivolgiti per primo alla struttura che ti ospita; possiamo comunque assisterti scrivendo a [DA COMPILARE: email per le richieste privacy].

5. Finalità e basi giuridiche

• Creare e gestire l'account, fornire la piattaforma e l'assistente AI, gestire prova gratuita, abbonamento e blocco/riattivazione dell'account. Base giuridica: esecuzione del contratto (art. 6.1.b GDPR).
• Gestire pagamenti, fatturazione, adempimenti contabili e fiscali. Base giuridica: contratto e obbligo di legge (art. 6.1.b e 6.1.c).
• Fornire assistenza e rispondere alle richieste. Base giuridica: contratto e, per le richieste precontrattuali, misure precontrattuali richieste dall'interessato (art. 6.1.b).
• Sicurezza della piattaforma, prevenzione di abusi e frodi, moderazione dei contenuti caricati (testi e immagini), tutela dei nostri diritti anche in sede giudiziale. Base giuridica: legittimo interesse (art. 6.1.f), valutato tenendo conto dei tuoi diritti.
• Miglioramento del servizio tramite statistiche aggregate. Base giuridica: legittimo interesse.
• Comunicazioni commerciali o newsletter, se mai le attiveremo. Base giuridica: consenso (art. 6.1.a), sempre revocabile. Le comunicazioni di servizio (scadenza della prova, rinnovo, sospensione) non sono commerciali e sono necessarie al contratto.

6. Intelligenza artificiale

L'assistente di BEMAWAY usa modelli di intelligenza artificiale forniti da terzi per comprendere i messaggi degli ospiti e scrivere le risposte, a partire dai dati inseriti dall'Host. L'assistente è chiaramente un sistema automatizzato e può sbagliare: per questo prezzi, ordini e orari sono inseriti e verificati dal sistema, ogni risposta è confrontata con i dati inseriti dall'Host prima dell'invio e l'Host può intervenire in qualsiasi momento.

• Nessuna decisione basata unicamente su un trattamento automatizzato produce effetti giuridici o incide in modo analogo significativamente sulle persone (art. 22 GDPR).
• L'assistente raccoglie interessi e preferenze degli ospiti solo per personalizzare le proposte dei servizi e dei prodotti che l'Host ha scelto di offrire, per conto dell'Host. Le esigenze comunicate dall'ospite (ad esempio un'intolleranza alimentare) servono anche a non proporgli servizi incompatibili.
• I testi e le immagini caricati dagli Host sono controllati in automatico per impedire contenuti illeciti o inappropriati.
• L'assistente non riceve mai i dati del documento degli ospiti né i codici di accesso della struttura: i codici li inserisce il sistema nei messaggi, solo quando l'Host lo consente. Gli importi della tassa di soggiorno li calcola il sistema con le regole impostate dall'Host, non l'intelligenza artificiale.
• I contenuti inviati ai fornitori di AI sono limitati a quanto serve a generare la risposta. Secondo le condizioni del fornitore per l'uso tramite interfaccia di programmazione (API), tali contenuti non sono usati per addestrare i suoi modelli e possono essere conservati dal fornitore per un periodo limitato (fino a 30 giorni) al solo fine di individuare e prevenire abusi.

7. A chi comunichiamo i dati

Non vendiamo i dati personali. Li comunichiamo solo ai fornitori che ci servono per erogare il servizio, nominati responsabili del trattamento (o titolari autonomi quando previsto dalla legge), e alle autorità quando richiesto dalla legge:

• Supabase: database e autenticazione (dati ospitati a Zurigo, in Svizzera, paese per il quale la Commissione europea ha adottato una decisione di adeguatezza).
• Google Cloud: esecuzione del servizio (Cloud Run, regione di Milano) e controllo automatico delle immagini; Google Maps per la ricerca degli indirizzi.
• Vercel: pubblicazione del sito e dell'applicazione web, e statistiche anonime di utilizzo.
• OpenAI: modelli di intelligenza artificiale per l'assistente e per il controllo dei testi.
• Stripe: gestione dei pagamenti e degli abbonamenti.
• Meta (WhatsApp): canale di messaggistica con gli ospiti, quando attivato per la struttura.
• jsDelivr (rete di distribuzione di contenuti): fornisce al dispositivo dell'ospite il programma che legge la foto del documento sul dispositivo stesso; riceve solo i dati tecnici della connessione (ad esempio l'indirizzo IP), mai la foto né i dati del documento. [DA VERIFICARE: con il consulente se indicarlo come fornitore o se ospitare questi file sui nostri server]
• Consulenti e professionisti (legali, fiscali, contabili) vincolati da obbligo di riservatezza.

L'elenco aggiornato dei fornitori è riportato anche nel DPA.

8. Trasferimenti fuori dallo Spazio Economico Europeo

I dati del database sono ospitati in Svizzera (Zurigo), paese con decisione di adeguatezza della Commissione europea (Decisione 2000/518/CE, confermata dalla Commissione nel gennaio 2024). Alcuni fornitori (in particolare OpenAI, Stripe, Google e Vercel) possono inoltre trattare dati in altri paesi extra-UE, tra cui gli Stati Uniti. Questi trasferimenti avvengono solo se il fornitore aderisce a un meccanismo riconosciuto dalla Commissione europea (decisione di adeguatezza, ad esempio l'EU-US Data Privacy Framework) oppure con le Clausole contrattuali standard e misure supplementari, come previsto dagli artt. 44 e seguenti del GDPR. Puoi chiederci copia delle garanzie adottate scrivendo a [DA COMPILARE: email per le richieste privacy].

9. Per quanto tempo conserviamo i dati

Conserviamo i dati solo per il tempo necessario alle finalità indicate:

• Dati dell'account e delle strutture, prodotti, servizi, ordini e impostazioni: finché l'account è attivo. L'Host può eliminare l'account in qualsiasi momento dalle Impostazioni: in quel momento tutti questi dati, compresi ospiti, conversazioni, ordini e foto, sono cancellati, salvo quanto indicato sotto. Possono restare per un periodo limitato nelle copie di backup, poi eliminate. Prima di eliminare l'account l'Host può scaricare i propri ordini in formato CSV.
• Dati degli ospiti e conversazioni con l'assistente: finché l'Host mantiene l'account e comunque non oltre 24 mesi dalla data di partenza dell'ospite (o dalla creazione della scheda, se la partenza non è mai stata comunicata), dopo i quali le conversazioni sono cancellate e i dati identificativi dell'ospite (nome, telefono, note e preferenze) sono resi anonimi in modo automatico. Restano gli ordini confermati, senza dati identificativi dell'ospite, per la contabilità dell'Host.
• Dati del documento raccolti con il check-in online: cifrati e cancellati in modo automatico 48 ore dopo che l'Host ha segnato la comunicazione alla Questura, e comunque entro 30 giorni dall'arrivo dell'ospite. La foto del documento non viene mai conservata. Il file per il portale Alloggiati Web è generato dalla piattaforma ma lo carica l'Host sul portale, con le proprie credenziali. La ricevuta del portale la conserva l'Host: la piattaforma non la archivia.
• Storico dei file generati per Alloggiati Web (struttura, data di arrivo, ospiti inclusi, data del caricamento sul portale, senza i dati del documento): 24 mesi dalla generazione, poi cancellato in modo automatico; con l'eliminazione dell'account è cancellato subito.
• Registro del soggiorno e numeri usati per la tassa di soggiorno (persone, esenti, persone soggette): come la scheda dell'ospite, fino a 24 mesi dalla partenza, quando il registro è cancellato insieme all'anonimizzazione. Link personali di check-in online: cancellati 30 giorni dopo la scadenza.
• Ordini confermati: finché l'account è attivo, anche dopo l'anonimizzazione dell'ospite. La conservazione dei documenti contabili e fiscali relativi alle vendite agli ospiti (10 anni, art. 2220 c.c. e norme fiscali) è un obbligo dell'Host, che può esportare gli ordini in qualsiasi momento.
• Dati di abbonamento e fatturazione, e dati contrattuali minimi di un account eliminato (piano, date, identificativi di pagamento, versione dei termini accettata): 10 anni dalla chiusura del rapporto, per gli obblighi contabili e per difendere un diritto in giudizio.
• Richieste di assistenza e registro delle modifiche effettuate dall'assistenza: 24 mesi dalla chiusura della richiesta.
• Log tecnici e di sicurezza: fino a 12 mesi.
• Dati necessari a difendere un diritto in giudizio: per il tempo della controversia e, in assenza di controversie, nel limite della prescrizione ordinaria di 10 anni (art. 2946 c.c.), limitatamente ai dati strettamente contrattuali indicati sopra.

10. Sicurezza

Adottiamo misure tecniche e organizzative adeguate: connessioni cifrate, controllo degli accessi per ruolo, separazione dei dati di ciascun Host, accesso del personale di assistenza limitato e registrato, backup, aggiornamenti e monitoraggio. I dati del documento degli ospiti sono inoltre cifrati dall'applicazione con una chiave conservata separatamente dal database, e il link di check-in online è personale, casuale, a scadenza e utilizzabile una sola volta. In caso di violazione dei dati personali che presenti un rischio per le persone, la notifica all'autorità e agli interessati avviene nei casi e nei termini previsti dagli artt. 33 e 34 GDPR.

11. I tuoi diritti

Puoi in ogni momento esercitare i diritti previsti dagli artt. 15-22 GDPR:

• accesso ai tuoi dati e copia;
• rettifica dei dati inesatti e integrazione di quelli incompleti;
• cancellazione (“diritto all'oblio”), nei casi previsti;
• limitazione del trattamento;
• portabilità dei dati forniti, in formato strutturato;
• opposizione ai trattamenti basati sul legittimo interesse;
• revoca del consenso, ove il trattamento si basi sul consenso, senza effetto sui trattamenti già effettuati.

Scrivi a [DA COMPILARE: email per le richieste privacy]. Rispondiamo entro un mese, prorogabile di due in caso di richieste complesse (art. 12 GDPR). Per verificare la tua identità potremmo chiederti informazioni aggiuntive.

12. Reclamo all'autorità di controllo

Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del paese UE in cui risiedi o lavori, oppure agire davanti all'autorità giudiziaria.

13. Conferimento dei dati

Fornire i dati dell'account e di pagamento è necessario per usare il servizio e per gli obblighi di legge: senza di essi non possiamo creare l'account né gestire l'abbonamento. I dati indicati come facoltativi nei moduli (es. dati fiscali, finché non servono per fatturare) possono essere omessi.

14. Minori

Il servizio è rivolto a persone maggiorenni. Non raccogliamo consapevolmente dati direttamente da minori. Se un ospite minorenne scrive all'assistente di una struttura, i dati sono trattati per conto dell'Host, titolare del trattamento.

15. Modifiche all'informativa

Possiamo aggiornare questa informativa, ad esempio per nuove funzionalità o fornitori. La versione in vigore è sempre quella pubblicata qui, con data e numero di versione. In caso di modifiche sostanziali avvisiamo gli Utenti via email o nell'applicazione.