Informativa sul trattamento dei dati personali — Ospiti della struttura ricettiva

La presente informativa è resa, ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 («Codice Privacy»), agli ospiti delle strutture ricettive (hotel, B&B, agriturismi) che utilizzano Eativia per la gestione del pre-ordine dei pasti tramite PIN. La struttura ricettiva è il titolare del trattamento; Eativia opera come responsabile del trattamento ai sensi dell’art. 28 GDPR. Il Data Processing Agreement (DPA) è pubblicato su /dpa-hotel.

1. Titolare del trattamento

1.1 Struttura ricettiva (titolare)

Il titolare del trattamento dei dati degli ospiti è la struttura ricettiva (hotel, B&B, agriturismo) presso cui l’ospite ha effettuato o ha prenotato il soggiorno. Per i dati di contatto del titolare consultare la documentazione fornita dalla reception al check-in.

1.2 Eativia (responsabile del trattamento ex art. 28 GDPR)

Eativia, nella persona di Marco Carletti (ditta individuale in regime forfettario), con sede in Via della Liberazione 25, 64032 Atri (TE), P.IVA 02191610670, opera come responsabile esterno del trattamento ai sensi dell’art. 28 GDPR, trattando i dati degli ospiti esclusivamente per conto della struttura ricettiva e secondo le istruzioni documentate nel DPA.

• Email: support@eativia.com
• Responsabile della Protezione dei Dati (DPO): non designato — designazione non obbligatoria ai sensi dell’art. 37 GDPR per l’attuale dimensione del trattamento.

2. Categorie di dati trattati

Nell’ambito del servizio di pre-ordine pasti, Eativia tratta, per conto della struttura ricettiva, le seguenti categorie di dati personali degli ospiti:

• Indirizzo e-mail dell’ospite — utilizzato per l’invio del PIN di accesso al portale di pre-ordine.
• Hash bcrypt del PIN di accesso — il PIN non viene mai conservato in chiaro; solo il valore hash (algoritmo bcrypt, cost 12) è memorizzato nel database.
• Numero di camera — utilizzato per abbinare l’ospite al soggiorno in corso e aggregare gli ordini per il servizio di sala.
• Date di soggiorno (check-in / check-out) — utilizzate per determinare la finestra temporale di validità del PIN e la data di cancellazione automatica dei dati (cfr. §4).
• Eventuali note al check-in (testo libero, facoltativo) — intolleranze alimentari o preferenze comunicate dalla reception.
• Nome dell’ospite (facoltativo) — se comunicato dalla reception per personalizzare la comunicazione.
• Lingua preferita dell’ospite (guest_locale: it/en) — utilizzata per inviare la PIN delivery e-mail nella lingua dell’ospite.
• Numero di telefono (facoltativo, previo consenso) — raccolto alla reception solo se l’ospite acconsente a ricevere i promemoria d’ordine via WhatsApp. Utilizzato esclusivamente per l’invio del promemoria tramite il provider di messaggistica WhatsApp (cfr. §5).

Eativia non raccoglie: documenti di identità, codice fiscale, dati sanitari, dati di pagamento, coordinate bancarie o qualsiasi altra categoria particolare di dati ai sensi dell’art. 9 GDPR.

3. Finalità e basi giuridiche

4. Modalità del trattamento e tempi di conservazione

Il trattamento è effettuato con strumenti automatizzati e con misure di sicurezza adeguate (cifratura TLS 1.2+ in transito, bcrypt per il PIN a riposo, controllo degli accessi least-privilege).

• Dati personali dell’ospite (e-mail, hash PIN, note, nome, numero di telefono) e registro dei messaggi WhatsApp inviati: cancellati automaticamente entro la finestra di conservazione impostata dalla struttura (stay_end_date + retention_days, per impostazione predefinita 7 giorni). Il task di cancellazione viene eseguito da un processo automatizzato quotidiano che elimina il soggiorno e, in cascata, il numero di telefono e i record dei messaggi collegati. Non è prevista alcuna conservazione aggiuntiva dei dati personali. (D-13)
• Dati di ordine (righe di pre-ordine): dopo la cancellazione dei dati identificativi, le righe d’ordine sono conservate a tempo indeterminato in forma anonimizzata (numero camera, identificativo del piatto, quantità, fascia oraria) esclusivamente per finalità statistiche. Nessun dato riconducibile all’ospite persiste dopo la cancellazione. (D-14)
• Log di consenso al primo accesso (fase di pre-ordine): conservati per 10 anni ai sensi del principio di accountability (art. 5, par. 2 e art. 7, par. 1 GDPR), al solo fine di dimostrare l’avvenuta raccolta del consenso nel caso di accertamento da parte del Garante. Questi log non contengono dati di contenuto dell’ordine.
• Log di audit della reception (lettura PIN, rigenerazione, revoca, check-in, check-out): conservati per 12 mesi dalla creazione, ai fini di tracciabilità interna e sicurezza operativa. I log contengono: identificativo dell’operatore, identificativo del soggiorno, azione, timestamp, indirizzo IP — nessun valore di PIN in chiaro. (D-16)

5. Destinatari e responsabili esterni del trattamento

I dati degli ospiti vengono comunicati ai seguenti fornitori, ciascuno designato come sub-responsabile del trattamento ai sensi dell’art. 28 GDPR sulla base di accordi DPA pubblicati dai rispettivi fornitori:

• Supabase, Inc. (USA — dati conservati nella regione eu-central-1, Francoforte) — hosting del database PostgreSQL, storage dei file di configurazione e gestione della sessione. I dati degli ospiti (e-mail, hash PIN, numero camera, date soggiorno) sono conservati in questa infrastruttura per l’intera durata del soggiorno più 24h.
• Resend, Inc. (USA) — invio di e-mail transazionali, compresa la PIN delivery e-mail inviata all’ospite al check-in. Trasferimento extra-UE coperto da Standard Contractual Clauses.
• Vercel, Inc. (USA — edge regions EU) — hosting delle applicazioni web (portale ricettività, portale di pre-ordine, landing page) e funzioni serverless. I dati transitano attraverso l’infrastruttura Vercel per l’erogazione del servizio.
• Cloudflare, Inc. (USA — data center EU) — storage degli asset statici tramite Cloudflare R2 (immagini dei piatti, contenuti del menu). Non tratta dati personali degli ospiti direttamente, ma fa parte dell’infrastruttura di erogazione.
• Upstash, Inc. (USA — region EU) — cache Redis distribuita utilizzata per il rate limiting sull’immissione del PIN. Elabora dati di sessione tecnici (IP hash, contatori di tentativi) in forma non identificativa.
• Stripe Payments Europe, Ltd. (Irlanda) — gestione degli abbonamenti della struttura ricettiva a Eativia. Non tratta direttamente i dati personali degli ospiti; i dati di fatturazione riguardano esclusivamente il rapporto commerciale fra la struttura ricettiva e Eativia.
• Twilio Ireland Limited (Irlanda) — provider di messaggistica (BSP) per l’invio dei promemoria d’ordine via WhatsApp. Tratta il numero di telefono dell’ospite, il nome e il contenuto del messaggio, solo se l’ospite ha prestato il consenso. La consegna sulla rete WhatsApp può comportare un trasferimento verso Meta Platforms Ireland, coperto da apposite clausole contrattuali.

L’elenco completo, aggiornato e con i riferimenti regolatori (sede legale, categorie di dati trattati, clausole contrattuali standard) è pubblicato su /sub-processors.

6. Trasferimenti extra-UE

Alcuni dei fornitori indicati hanno sede o infrastruttura negli Stati Uniti. I trasferimenti sono coperti dalle Standard Contractual Clauses (decisione di esecuzione UE 2021/914) e, ove applicabili, dal EU-US Data Privacy Framework. Misure supplementari: cifratura in transito (TLS 1.2+) e a riposo, minimizzazione dei dati, hashing degli identificatori sensibili (PIN via bcrypt, IP via SHA-256 ove applicabile). I dati degli ospiti sono conservati preferibilmente nelle regioni europee dei fornitori (eu-central-1 per Supabase, EU edge per Vercel e Upstash).

7. Diritti dell’interessato

L’ospite può, in qualsiasi momento, esercitare i diritti previsti dagli articoli 15-22 del GDPR: accesso, rettifica, cancellazione (diritto all’oblio), limitazione, portabilità, opposizione e revoca del consenso. Le richieste possono essere inviate:

• Alla struttura ricettiva (titolare del trattamento) — rivolgendosi direttamente alla reception o ai contatti indicati al momento del check-in. Il titolare è tenuto a rispondere entro 30 giorni.
• Ad Eativia (responsabile del trattamento) all’indirizzo support@eativia.com — Eativia inoltrerà la richiesta al titolare (struttura ricettiva) entro 7 giorni per ogni aspetto di competenza del titolare, e darà diretto riscontro per gli aspetti tecnici di propria competenza.

La revoca del consenso non pregiudica la liceità del trattamento svolto anteriormente alla revoca.

8. Reclamo all’Autorità di controllo

È sempre possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità dello Stato membro UE di residenza abituale, del luogo di lavoro o del luogo della presunta violazione.

9. Modifiche

La presente informativa può essere aggiornata per riflettere modifiche normative, tecniche o organizzative. Le modifiche sostanziali saranno comunicate tramite aggiornamento di questa pagina e, ove applicabile, tramite notifica alla struttura ricettiva (titolare del trattamento) che provvederà a informare gli ospiti interessati. La versione corrente del documento è 1.1.0.