Privacy Policy

1. Titolare del trattamento

Il titolare del trattamento dei dati personali è Ospite Smart, con sede in Italia.

Per esercitare i diritti previsti dal GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso) o per qualsiasi domanda sulla privacy puoi scriverci tramite la pagina Contatti.

2. Tipi di dati raccolti e finalità

Raccogliamo e trattiamo i seguenti dati in base alle tue interazioni con il sito e il servizio.

2.1 Registrazione e account utente

Dati raccolti: nome (o ragione sociale), indirizzo email, password (memorizzata in forma crittografata con algoritmo bcrypt).

Finalità: creazione e gestione dell’account, autenticazione al login, comunicazioni di servizio.

Base giuridica: esecuzione del contratto (fornitura del servizio richiesto).

2.2 Sessione e sicurezza

Dati raccolti: il sito utilizza cookie di sessione (es. identificativo di sessione) e meccanismi di protezione contro le falsificazioni (CSRF). I dati di sessione possono includere identificativo utente, indirizzo IP e user agent del browser, conservati sul server per la durata della sessione (circa 2 ore di inattività).

Finalità: garantire il funzionamento dell’area riservata (login, dashboard, gestione piattaforma) e la sicurezza delle operazioni (protezione da accessi non autorizzati e da attacchi CSRF).

Base giuridica: legittimo interesse (sicurezza e corretto funzionamento del servizio).

2.3 Acquisto e pagamento (pagamento una tantum)

Dati raccolti: in fase di checkout memorizziamo in sessione l’importo da pagare, l’eventuale codice sconto applicato e l’identificativo utente. Il pagamento con carta viene gestito da Stripe (redirect alla pagina Stripe); il pagamento con account PayPal viene gestito da PayPal (redirect alla pagina PayPal). Noi non memorizziamo né abbiamo accesso ai dati della carta o alle credenziali PayPal: tali dati sono trattati direttamente da Stripe e PayPal secondo le rispettive informative privacy.

Dopo la conferma del pagamento registriamo: identificativo utente, identificativo abbonamento, gateway utilizzato (stripe, paypal, coupon o manual), identificativo transazione del gateway (ove disponibile), importo pagato, valuta, stato (completato/fallito), data e ora del pagamento.

Finalità: attivazione del servizio (guida digitale), adempimento contrattuale, conservazione delle prove di pagamento e adempimento di obblighi fiscali e contabili.

Base giuridica: esecuzione del contratto; obbligo di legge (conservazione documenti relativi a transazioni).

2.4 Configurazione della piattaforma (guida digitale)

Dati raccolti: sottodominio scelto dall’utente, nome della struttura/piattaforma, logo (file immagine, formato JPG/PNG/GIF/WebP, max 200 KB), colore primario della guida, email di contatto (opzionale), telefono (opzionale), sito web (opzionale), link a profili social (Instagram, Facebook, X, LinkedIn, YouTube). Inoltre titoli e testi personalizzabili (es. titolo pagina, messaggio di benvenuto, testo “Chi siamo”) in lingua italiana e inglese.

Finalità: creazione e personalizzazione della guida digitale pubblica associata all’utente (pagina accessibile tramite sottodominio univoco), gestione dei contenuti e delle impostazioni visualizzate agli ospiti della struttura.

Base giuridica: esecuzione del contratto.

2.5 Sezioni/pagine della guida (contenuti)

Dati raccolti: per ogni sezione (fino a 10 per piattaforma): slug (identificativo URL), nome icona, titolo in italiano e in inglese, contenuto testuale in HTML (italiano e inglese) inserito tramite editor, eventuale documento allegato (un file per sezione, formato PDF/JPG/PNG, max 1 MB). I contenuti HTML vengono sanitizzati dal sistema per evitare script o link pericolosi.

Finalità: pubblicazione e aggiornamento dei contenuti informativi della guida digitale (WiFi, orari, regole, contatti, ecc.) in modalità multilingue.

Base giuridica: esecuzione del contratto.

2.6 Form di contatto (sito pubblico)

Dati raccolti: nome e cognome, indirizzo email, oggetto del messaggio, testo del messaggio.

Finalità: rispondere alle richieste inviate tramite form, fornire assistenza e gestire le comunicazioni precontrattuali o di supporto.

Base giuridica: legittimo interesse (risposta alle richieste degli utenti) e, ove applicabile, esecuzione di misure precontrattuali.

2.7 Preferenze sui cookie

Dati raccolti: la scelta espressa dall’utente in merito ai cookie (accettazione totale, rifiuto dei non necessari, blocco di tutti) viene memorizzata in locale nel browser (localStorage) con chiave cookie_consent. Non si tratta di un cookie ma di una tecnologia simile per memorizzare una preferenza.

Finalità: rispettare la scelta dell’utente e non ripetere la richiesta di consenso a ogni visita.

Base giuridica: legittimo interesse (rispetto delle preferenze) e, ove richiesto dalla normativa, consenso.

3. Conservazione dei dati

• Account e dati di registrazione: conservati per tutta la durata dell’account. In caso di chiusura account o richiesta di cancellazione, i dati vengono eliminati o anonimizzati nei tempi tecnici necessari, salvo obblighi di legge.
• Dati di sessione: la sessione scade dopo un periodo di inattività (circa 2 ore); i file di sessione sul server possono essere eliminati periodicamente dal sistema.
• Dati di pagamento e abbonamento: conservati per il tempo necessario all’erogazione del servizio e per l’adempimento di obblighi legali, fiscali e contabili (in Italia generalmente almeno 10 anni per documenti rilevanti ai fini fiscali).
• Contenuti della piattaforma (guida digitale): conservati per tutta la durata del rapporto contrattuale; in caso di cessazione, possono essere eliminati o conservati in backup per un periodo limitato secondo le policy interne.
• Messaggi dal form di contatto: conservati per il tempo necessario a evadere la richiesta e per eventuali follow-up; possono essere archiviati per un periodo ragionevole (es. 24 mesi) per riferimento, salvo richiesta di cancellazione.

4. Destinatari e trasferimenti dei dati

I dati possono essere comunicati a:

• Fornitori di servizi di pagamento: Stripe (Stripe, Inc.) e PayPal (PayPal Europe S.à r.l. e/o entità correlate) per l’elaborazione dei pagamenti. Tali soggetti operano in conformità alle rispettive informative e, per trasferimenti extra-UE, alle clausole contrattuali tipo o adeguate garanzie previste dal GDPR.
• Hosting e infrastruttura: i dati sono ospitati su server gestiti dal titolare o da fornitori di hosting (in UE o con garanzie adeguate).
• Risorse esterne caricate dalle pagine: le pagine del sito possono includere risorse (font, icone, script) da domini terzi (es. Google Fonts, Cloudflare CDN per Font Awesome e librerie JavaScript). L’accesso a tali risorse può comportare l’invio del tuo indirizzo IP e di informazioni sul browser al fornitore terzo; per i dettagli si rimanda alle informative di Google e Cloudflare. Non utilizziamo cookie di profilazione o analitici di terze parti senza il tuo consenso.

Non vendiamo né cediamo i tuoi dati personali a terzi per finalità di marketing senza il tuo consenso esplicito.

5. Diritti dell’interessato

In base al GDPR hai diritto a:

• Accesso: ottenere conferma dell’esistenza di dati che ti riguardano e riceverne copia.
• Rettifica: ottenere la correzione di dati inesatti o incompleti.
• Cancellazione: ottenere la cancellazione dei dati nei casi previsti dalla legge (es. revoca del consenso, dati non più necessari).
• Limitazione: ottenere che il trattamento sia limitato in determinate circostanze.
• Portabilità: ricevere i dati in formato strutturato e di uso comune e trasmetterli ad altro titolare ove tecnicamente possibile.
• Opposizione: opporti al trattamento fondato su legittimo interesse, per motivi legittimi.
• Revoca del consenso: ove il trattamento sia basato sul consenso, revocarlo in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.

Puoi esercitare i diritti contattandoci tramite la pagina Contatti. Hai inoltre il diritto di proporre reclamo all’Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).

6. Sicurezza

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati da accessi non autorizzati, perdita, distruzione o alterazione, tra cui: cifratura delle password (bcrypt), protezione delle form con token anti-CSRF, validazione e sanitizzazione degli input (inclusa la sanitizzazione dell’HTML nei contenuti pubblicati), limitazione degli accessi agli ambienti di gestione, utilizzo di connessioni sicure (HTTPS) ove configurato.

7. Minori

Il servizio non è destinato a minori di 16 anni. Non raccogliamo consapevolmente dati di minori; in caso di accertata raccolta di dati di minori senza consenso del genitore/tutore, provvederemo alla cancellazione.

8. Modifiche all’informativa

Questa informativa può essere aggiornata per riflettere modifiche del servizio o della normativa. La versione corrente è sempre disponibile su questa pagina con indicazione della data di ultimo aggiornamento. In caso di modifiche rilevanti ti informeremo tramite avviso sul sito o, ove possibile, tramite email.