Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali raccolti tramite il sito welcomepasscloud.org, tramite l'area riservata «Il mio account» e nell'ambito dell'esecuzione dei contratti di abbonamento ai moduli editoriali è WelcomePassCloud S.r.l., con sede legale in Via dei Cerchi 12, 50122 Firenze (FI), Italia, partita IVA IT 09284517048, iscritta al Registro delle Imprese di Firenze al numero REA Firenze FI-618937, capitale sociale interamente versato di EUR 10.000. Legale rappresentante: Chiara Bianchi (Amministratrice Unica).

Contatti operativi del Titolare: telefono +39 055 217 340, email assistenza@welcomepasscloud.org, posta elettronica certificata welcomepasscloud@legalmail.it. Le richieste relative al trattamento dei dati possono essere inoltrate anche al Responsabile della Protezione dei Dati (Data Protection Officer), designato ai sensi dell'articolo 37 GDPR, all'indirizzo dpo@welcomepasscloud.org.

2. Categorie di dati trattati

WelcomePassCloud tratta le seguenti categorie di dati personali: (a) dati anagrafici e di contatto del referente aziendale del Cliente (nome, cognome, ruolo, email, telefono); (b) dati di fatturazione della struttura ricettiva Cliente (ragione sociale, partita IVA, codice fiscale, sede legale, codice destinatario SDI, PEC); (c) dati tecnici di connessione all'API Welcome Passepartout Cloud (chiave API, hostname, credenziali di sistema in forma cifrata); (d) dati operativi letti dall'API Welcome Cloud in esecuzione dei moduli (identificativi prenotazione, tipologia camera, tariffa, stato, dati anagrafici degli ospiti veicolati dai moduli specifici); (e) dati di navigazione raccolti tramite cookie tecnici e analitici (indirizzo IP anonimizzato, user agent, pagine visitate, timestamp).

WelcomePassCloud non tratta di regola dati appartenenti alle categorie particolari di cui all'articolo 9 GDPR (dati sanitari, biometrici, genetici, orientamento sessuale, opinioni religiose, ecc.). Nel caso in cui un modulo specifico dovesse trattare tali dati (ad esempio nel modulo Passgo Cloud check-in mobile per la registrazione di documenti di identità contenenti dati biometrici), il trattamento avviene sulla base del consenso esplicito dell'ospite, raccolto tramite web-form dedicato prima dell'invio dei dati alla Questura ai sensi della normativa Alloggiati Web.

3. Finalità del trattamento e base giuridica

I dati personali sono trattati per le seguenti finalità:

• Esecuzione del contratto di abbonamento e fornitura dei moduli (art. 6, par. 1, lett. b, GDPR): trattamento di dati anagrafici, di fatturazione, tecnici e operativi necessari a erogare i moduli sottoscritti e a mantenere attiva la connessione con l'account Welcome Passepartout Cloud del Cliente.
• Adempimento di obblighi di legge (art. 6, par. 1, lett. c, GDPR): emissione e conservazione delle fatture ai sensi del D.P.R. 633/1972 e del D.Lgs. 127/2015; conservazione dei registri contabili ai sensi del Codice civile; adempimenti fiscali ai sensi del D.P.R. 600/1973; comunicazioni obbligatorie all'Alloggiati Web ai sensi dell'articolo 109 del TULPS.
• Legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR): sicurezza dei sistemi informatici, prevenzione delle frodi, gestione dei ticket di assistenza tecnica, elaborazione di statistiche aggregate sull'utilizzo dei moduli in forma anonimizzata.
• Consenso dell'interessato (art. 6, par. 1, lett. a, GDPR): invio di comunicazioni commerciali relative a nuovi moduli o a evoluzioni del marketplace; installazione di cookie analitici o di profilazione.

4. Modalità del trattamento

Il trattamento è effettuato con strumenti informatici e telematici, con logiche strettamente correlate alle finalità indicate. I dati sono conservati su server ubicati in data-center italiani certificati ISO 27001, di proprietà di fornitori qualificati dall'AGID quali Cloud Service Provider (CSP) di livello adeguato al trattamento di dati personali di aziende private. Non è previsto alcun trasferimento di dati verso Paesi terzi al di fuori dello Spazio Economico Europeo.

Le misure di sicurezza adottate includono: cifratura in transito (TLS 1.3 con perfect forward secrecy); cifratura a riposo (AES-256) per i database; controllo degli accessi basato su ruoli con revoca automatica dopo 90 giorni di inattività; logging integrale delle operazioni sensibili con conservazione a 12 mesi; backup giornaliero con conservazione a 30 giorni e test di ripristino trimestrale; vulnerability assessment semestrale condotto da soggetto terzo iscritto all'ACN.

5. Periodo di conservazione

I dati sono conservati per i seguenti periodi:

• Dati anagrafici e di contatto del referente Cliente: per la durata del contratto e per i 24 mesi successivi alla cessazione, ai fini di gestione contabile e contenzioso.
• Dati di fatturazione e documenti fiscali: 10 anni dall'emissione, ai sensi dell'articolo 2220 del Codice civile.
• Dati tecnici di connessione API: per la durata del contratto e per 60 giorni successivi, per finalità di rollback e ripristino.
• Dati operativi letti dall'API Welcome Cloud: elaborati in tempo reale e non conservati oltre il tempo strettamente necessario all'esecuzione del modulo (di regola 30 giorni per i log, 12 mesi per gli aggregati statistici anonimizzati).
• Log di sicurezza: 12 mesi ai sensi del Provvedimento del Garante del 27 novembre 2008 sui log degli amministratori di sistema.
• Dati di navigazione: massimo 26 mesi, come da linee guida del Garante sui cookie.

6. Comunicazione e diffusione dei dati

I dati non sono oggetto di diffusione. Possono essere comunicati esclusivamente ai seguenti soggetti, ove necessario e nel rispetto della base giuridica applicabile: (i) commercialisti e consulenti fiscali per gli adempimenti di legge; (ii) istituto bancario (Intesa Sanpaolo) e intermediario di pagamento per l'incasso dei corrispettivi; (iii) fornitore di posta elettronica certificata e di firma digitale; (iv) fornitori di servizi cloud per l'hosting dell'infrastruttura, designati Responsabili del trattamento ai sensi dell'articolo 28 GDPR; (v) Autorità giudiziarie e amministrative in caso di richiesta legalmente fondata.

WelcomePassCloud non trasferisce dati personali a Passepartout S.p.A. né ad altri soggetti terzi commerciali. La lista completa e aggiornata dei Responsabili esterni è disponibile su richiesta all'indirizzo del DPO.

7. Diritti dell'interessato

L'interessato ha il diritto di ottenere dal Titolare, nei casi previsti, l'accesso ai propri dati personali (art. 15 GDPR), la rettifica (art. 16), la cancellazione (art. 17), la limitazione del trattamento (art. 18), la portabilità dei dati (art. 20), l'opposizione al trattamento (art. 21). Ha inoltre diritto di revocare in qualsiasi momento il consenso prestato, ferma restando la liceità dei trattamenti effettuati prima della revoca. Le richieste vanno indirizzate al DPO all'indirizzo dpo@welcomepasscloud.org e sono evase entro 30 giorni.

L'interessato ha altresì diritto di proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, tel. +39 06 69677 1, email garante@gpdp.it, PEC protocollo@pec.gpdp.it, in caso di ritenuta violazione della normativa in materia di protezione dei dati personali. Il diritto di ricorso alla Autorità giudiziaria è comunque impregiudicato.

8. Processi decisionali automatizzati

WelcomePassCloud non adotta processi decisionali interamente automatizzati che producano effetti giuridici o incidano in modo analogamente significativo sull'interessato ai sensi dell'articolo 22 GDPR. Il modulo «Analisi ricavi + yield per SmartCloud» produce suggerimenti tariffari, ma la decisione finale di applicazione delle tariffe resta di competenza del revenue manager della struttura Cliente, senza automatismi vincolanti.

9. Cookie

Il sito utilizza cookie tecnici necessari al funzionamento (sessione di autenticazione, mantenimento del carrello, preferenza lingua) e cookie analitici anonimizzati per misurare l'utilizzo aggregato del marketplace. Non sono utilizzati cookie di profilazione né cookie di terze parti pubblicitari. La disciplina completa dei cookie e le modalità di gestione delle preferenze sono descritte nella Cookie Policy.

10. Modifiche all'informativa

WelcomePassCloud si riserva la facoltà di modificare la presente informativa a seguito di novità normative, adeguamenti giurisprudenziali, evoluzioni tecniche del marketplace. Le modifiche sono comunicate agli interessati tramite avviso in evidenza sull'area riservata «Il mio account» e via email al referente Cliente con almeno 15 giorni di preavviso rispetto all'entrata in vigore.