Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Mind Lab Hotel S.r.l. — P.IVA 01127600458, con sede in [indirizzo completo, Versilia], e-mail amministrazione@mindlabhotel.com (di seguito il "Titolare" o "noi"), in qualità di fornitore del software gestionale per strutture ricettive CUE.

Eventuale Responsabile della Protezione dei Dati (DPO), ove nominato: [nome / e-mail DPO — facoltativo].

2. Doppio ruolo: Titolare e Responsabile

È importante distinguere due contesti di trattamento:

• Come Titolare — quando trattiamo i dati dei nostri clienti B2B (le strutture ricettive che sottoscrivono CUE) e dei visitatori del nostro sito: dati di contatto, account, fatturazione dell'abbonamento, comunicazioni commerciali. La presente informativa disciplina questo trattamento.
• Come Responsabile del trattamento (art. 28 GDPR) — quando trattiamo, per conto della struttura ricettiva, i dati degli ospiti finali inseriti nel gestionale (prenotazioni, anagrafiche, documenti). In questo caso il Titolare è la struttura ricettiva e i rapporti sono regolati dall'Accordo sul Trattamento dei Dati (DPA). L'ospite deve rivolgersi alla struttura presso cui ha soggiornato per esercitare i propri diritti.

3. Categorie di dati trattati

3.1 Clienti e visitatori (ruolo Titolare)

• Dati anagrafici e di contatto: nome, cognome, ragione sociale, e-mail, telefono.
• Dati di fatturazione: P.IVA, codice fiscale, indirizzo, codice destinatario SDI/PEC.
• Dati di account e utilizzo: credenziali (in forma cifrata), log di accesso, azioni nel gestionale.
• Dati di pagamento dell'abbonamento (gestiti tramite provider di pagamento; non conserviamo il numero completo della carta).

3.2 Ospiti finali (ruolo Responsabile, per conto della struttura)

• Dati anagrafici e di contatto dell'ospite, dati della prenotazione e del soggiorno, importi e documenti fiscali.
• Eventuali richieste/preferenze inserite dalla struttura. Non richiediamo categorie particolari di dati (art. 9 GDPR); la struttura è tenuta a non inserirne se non necessario.
• Per gli adempimenti di legge (es. Alloggiati Web, imposta di soggiorno, fatturazione) i dati richiesti dalla normativa sono trattati per conto della struttura.

4. Finalità e basi giuridiche

5. Modalità del trattamento e sicurezza

Il trattamento avviene con strumenti elettronici, adottando misure tecniche e organizzative adeguate (art. 32 GDPR), tra cui:

• cifratura dei dati in transito (HTTPS/TLS);
• isolamento dei dati per singola struttura tramite Row Level Security e autenticazione con ruoli;
• gestione delle credenziali dei servizi (API key) esclusivamente come secret lato server, mai nel codice cliente;
• i dati completi delle carte di pagamento non transitano né sono conservati dal gestionale (si conservano solo brand, ultime 4 cifre e scadenza), essendo gestiti da provider certificati PCI-DSS;
• backup e limitazione degli accessi al personale autorizzato.

6. Destinatari e responsabili esterni (sub-responsabili)

Per erogare il servizio ci avvaliamo di fornitori che agiscono come Responsabili del trattamento, con cui sono in essere (o in via di sottoscrizione) appositi accordi ex art. 28 GDPR. L'elenco aggiornato è riportato nel DPA. Principali categorie:

I dati possono inoltre essere comunicati ad autorità e organi di controllo quando previsto dalla legge, e ai consulenti (es. commercialista) nei limiti necessari.

7. Trasferimenti extra-UE

Alcuni fornitori possono trattare dati al di fuori dello Spazio Economico Europeo. In tali casi il trasferimento è garantito da adeguate garanzie, quali le Clausole Contrattuali Standard approvate dalla Commissione Europea e misure supplementari, ove necessarie.

8. Periodo di conservazione

• Dati di account e contratto: per la durata del rapporto e successivamente per il tempo necessario ad adempimenti di legge.
• Dati fiscali e contabili: 10 anni come da normativa civilistica/fiscale.
• Dati di marketing: fino a revoca del consenso o [24] mesi di inattività.
• Dati degli ospiti (ruolo Responsabile): per il periodo definito dalla struttura Titolare; il gestionale prevede un parametro di conservazione configurabile. Al termine del rapporto i dati sono restituiti e/o cancellati secondo il DPA.

9. Diritti dell'interessato

Puoi esercitare in ogni momento i diritti di cui agli artt. 15–22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, e revoca del consenso (senza pregiudicare i trattamenti già svolti). Per i dati di cui siamo Titolare, scrivi a amministrazione@mindlabhotel.com. Per i dati trattati come Responsabile per conto di una struttura, rivolgiti direttamente alla struttura ricettiva.

Hai inoltre diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (garanteprivacy.it).

10. Natura del conferimento

Il conferimento dei dati necessari all'erogazione del servizio e agli adempimenti di legge è obbligatorio: il mancato conferimento impedisce l'attivazione o la prosecuzione del servizio. Il conferimento per finalità di marketing è facoltativo.

11. Processi decisionali automatizzati

Non effettuiamo processi decisionali interamente automatizzati che producano effetti giuridici sull'interessato ai sensi dell'art. 22 GDPR.

12. Modifiche

Ci riserviamo di aggiornare la presente informativa. La versione vigente è sempre pubblicata a questo indirizzo, con indicazione della data di ultimo aggiornamento.