Accordo per il trattamento dei dati hotel (DPA Hotel)

Il presente accordo («DPA») è stipulato ai sensi dell’art. 28 del Regolamento (UE) 2016/679 fra il Cliente Struttura Ricettiva (hotel) («Titolare») ed Eativia («Responsabile»), e disciplina il trattamento dei dati personali degli Ospiti della struttura per conto del Titolare. Il DPA è parte integrante dei Termini di servizio e si intende accettato all’atto della sottoscrizione dell’abbonamento.

1. Oggetto e durata

Il Responsabile tratta, per conto del Titolare, i dati personali degli Ospiti della struttura ricettiva del Titolare, esclusivamente per le finalità descritte al paragrafo 3. Il trattamento ha la stessa durata del contratto principale e cessa alla risoluzione dell’abbonamento, salvo gli obblighi di restituzione e cancellazione di cui al paragrafo 8.

2. Categorie di interessati e dati

• Interessati: Ospiti della struttura ricettiva (clienti finali del Titolare).
• Dati trattati per conto del Titolare:
  • indirizzo e-mail dell’ospite;
  • hash bcrypt del PIN di accesso alla piattaforma;
  • numero di camera assegnato;
  • date di soggiorno (check-in / check-out);
  • eventuali note al check-in (campo facoltativo);
  • nome del cliente (campo facoltativo);
  • numero di telefono e registro dei messaggi WhatsApp inviati (campo facoltativo, trattato solo previo consenso dell’ospite ai promemoria d’ordine).

3. Finalità e istruzioni del Titolare

Il Responsabile tratta i dati esclusivamente per:

• consegna del PIN di accesso al cliente via e-mail al momento del check-in;
• gestione del pre-ordine dei pasti tramite la piattaforma Eativia per conto della struttura ricettiva;
• invio di promemoria d’ordine via WhatsApp al numero di telefono dell’ospite, esclusivamente previo consenso di quest’ultimo;
• produzione di statistiche aggregate per l’hotel (nessun dato nominativo incluso nell’output aggregato);
• sicurezza, disponibilità e integrità della piattaforma.

Le presenti finalità costituiscono le istruzioni documentate del Titolare ex art. 28, par. 3, lett. a) GDPR. Eventuali ulteriori istruzioni andranno comunicate per iscritto a support@eativia.com.

4. Riservatezza

Il Responsabile si impegna affinché ogni soggetto autorizzato al trattamento sia vincolato da idoneo obbligo di riservatezza, tramite contratti di lavoro, accordi di non divulgazione o atti equivalenti.

5. Misure di sicurezza

Il Responsabile adotta misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, fra cui:

• cifratura TLS 1.2+ in transito e at-rest sui database gestiti;
• hashing delle credenziali (bcrypt, cost 12) e degli indirizzi IP conservati per finalità anti-spam (SHA-256);
• hashing del PIN ospite (bcrypt, cost ≥10) con sale per riga;
• controllo degli accessi least-privilege, autenticazione MFA per il personale con accesso amministrativo;
• backup automatici giornalieri, RPO target 24h, RTO target 8h;
• rate-limiting e WAF a tutela degli endpoint della piattaforma;
• logging delle azioni amministrative e revisione periodica dei permessi.

6. Sub-responsabili

Il Titolare autorizza il Responsabile a designare i seguenti sub-responsabili, già parte dell’infrastruttura del Servizio:

• Supabase, Inc. (USA, regione EU) — database, storage, autenticazione.
• Resend, Inc. (USA) — invio email transazionali (consegna PIN, conferme).
• Vercel, Inc. (USA, regioni EU) — hosting, edge runtime, cron.
• Cloudflare, Inc. (USA, regioni EU) — storage R2 di asset statici.
• Upstash, Inc. (USA, regioni EU) — Redis per rate limiting e contatori.
• Stripe Payments Europe, Ltd. (Irlanda) — abbonamenti hotel.
• Twilio Ireland Limited (Irlanda) — provider di messaggistica (BSP) per l’invio dei promemoria d’ordine via WhatsApp (numero di telefono, nome, contenuto del messaggio), previo consenso dell’ospite.

L’elenco completo, aggiornato e con dettagli regolatori (sede legale, categorie dati, SCC) è pubblicato su /sub-processors e può variare indipendentemente dalla versione del presente DPA.

7. Trasferimenti extra-UE

I trasferimenti verso fornitori extra-UE sono coperti dalle Standard Contractual Clauses approvate dalla Commissione UE e, ove applicabile, dal EU-US Data Privacy Framework.

8. Restituzione e cancellazione dei dati

I dati personali degli ospiti (email, hash del PIN, eventuali note al check-in, nome facoltativo) sono cancellati automaticamente entro 24 ore dalla data di fine soggiorno (stay_end_date + 24h). I dati relativi agli ordini effettuati sono conservati in forma anonimizzata (numero camera, identificativo del piatto, quantità, fascia oraria del servizio) a tempo indeterminato per finalità statistiche, senza alcun riferimento identificativo all’ospite. Al termine del contratto principale, il Responsabile cancellerà o restituirà tutti i dati personali residui entro 30 giorni dalla richiesta scritta del Titolare.

9. Assistenza al Titolare

Il Responsabile assiste il Titolare, nella misura del possibile e tenuto conto della natura del trattamento, nell’adempimento degli obblighi di:

• riscontro alle richieste degli interessati (artt. 15-22 GDPR);
• notifica delle violazioni di dati personali da Eativia al Titolare entro 24 ore dalla conoscenza dell’evento (consentendo al Titolare di adempiere all’obbligo di notifica al Garante entro 72 ore ai sensi dell’art. 33 GDPR);
• valutazioni d’impatto e consultazioni preventive.

10. Audit

Il Titolare può richiedere, con preavviso scritto di almeno 30 giorni e non più di una volta l’anno (salvo casi di violazione conclamata), informazioni utili a verificare il rispetto degli obblighi del Responsabile. Eativia mette a disposizione, in alternativa ad audit in loco, le proprie certificazioni e i rapporti di audit dei sub-responsabili infrastrutturali.

11. Foro competente

Il presente DPA è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il foro indicato nei Termini di servizio.

Per ulteriori informazioni sul trattamento dei dati degli ospiti, consultare l’ Informativa Privacy Hotel.