Accordo sul trattamento dei dati (DPA)

1. Ruoli

Il gestore è titolare del trattamento dei dati dei propri ospiti. [RAGIONE SOCIALE], [INDIRIZZO], P.IVA [P.IVA] è responsabile del trattamento e agisce solo su istruzioni documentate del titolare, incluse quelle impartite tramite le funzioni del pannello.

2. Oggetto, durata, natura

Oggetto: erogazione della piattaforma Welcozy. Durata: per tutta la durata dell'abbonamento. Natura: raccolta, registrazione, conservazione, consultazione, cancellazione.

Categorie di interessati: ospiti della struttura. Categorie di dati: nome, cognome, date del soggiorno, appartamento, lingua, identificativo dispositivo per le notifiche, segnalazioni con eventuali foto, registro delle aperture. Non sono previsti dati particolari ex art. 9.

3. Riservatezza

Chi accede ai dati per conto di Welcozy è vincolato a un obbligo di riservatezza e opera solo per le finalità del servizio.

4. Misure di sicurezza (art. 32)

Accesso al database riservato al backend con credenziali di servizio; regole del database chiuse a ogni accesso client diretto; sessioni ospite con token opaco che scade al check-out ed eliminato entro 7 giorni; segreti dei dispositivi di apertura cifrati AES-256-GCM con chiave fuori dal database; segreti mai esposti alle app né alle API di lettura; trasporto in TLS; limiti di frequenza sugli endpoint pubblici; registro delle aperture per tracciabilità.

5. Sub-responsabili

Il titolare autorizza in via generale i seguenti sub-responsabili:

Google Ireland Ltd — Firebase Authentication, Firestore, Cloud Storage (hosting dei dati, UE)

Vercel Inc. — hosting dell'applicazione web e delle API

Stripe Payments Europe Ltd — pagamenti e fatturazione (solo dati del gestore)

Expo (650 Industries Inc.) — invio delle notifiche push

Le modifiche all'elenco vengono comunicate con almeno 30 giorni di preavviso; il titolare può opporsi motivatamente e, in mancanza di soluzione, recedere.

6. Assistenza al titolare

Welcozy assiste il titolare nel rispondere alle richieste degli interessati, nella valutazione d'impatto e nella notifica di violazioni. Le violazioni di dati sono comunicate al titolare senza ingiustificato ritardo dalla scoperta.

7. Cancellazione e restituzione

Alla cessazione del contratto il titolare può esportare i propri dati; su richiesta, o comunque entro 90 giorni, i dati vengono cancellati salvo obblighi di conservazione di legge.

8. Audit

Welcozy mette a disposizione le informazioni necessarie a dimostrare la conformità e consente audit documentali; ispezioni in loco su preavviso ragionevole e a spese del titolare.