Due ruoli diversi, da non confondere
Quando visiti nidera.it, il titolare del trattamento è Stefano Carloni, Loc. Dom 6, 38066 Riva del Garda (TN), codice fiscale CRLSFN72R23H330U, info@nidera.it.
Quando chi ospita usa Nidèra per gestire la propria casa, i dati dei suoi ospiti sono suoi: il titolare è lui, e Nidèra li tratta per suo conto, come responsabile del trattamento ai sensi dell'articolo 28 del Regolamento (UE) 2016/679. In pratica: noi forniamo lo strumento e custodiamo i dati, ma chi decide cosa farne è la struttura presso cui hai soggiornato.
Se sei stato ospite di una struttura e vuoi sapere che fine hanno fatto i tuoi dati, il primo interlocutore è quella struttura. Se non sai come contattarla, scrivi a noi: giriamo la richiesta.
Chi visita il sito
Il sito è fatto di pagine statiche. Non c'è un solo cookie di tracciamento, non c'è un servizio di analytics esterno, non ci sono pixel pubblicitari e non ci sono moduli da compilare: per scrivere si usa l'email, che è un collegamento normale.
Resta il registro del server web, che per ogni pagina servita annota indirizzo IP, data e ora, pagina richiesta e browser. Serve a tenere in piedi il servizio e ad accorgersi degli abusi (legittimo interesse, art. 6.1.f). Si conserva per il tempo tecnico e non si incrocia con nient'altro.
Contiamo anche i clic sui pulsanti per la demo, WhatsApp, telefono, email e accesso, per capire quali pagine funzionano: per questi clic il server annota solo il tipo di pulsante, la pagina e l'ora, senza indirizzo IP e senza cookie.
Chi apre un account
Di chi ospita trattiamo: nome, indirizzo email, password (mai in chiaro: se ne conserva solo un'impronta), le strutture e i loro dati, i dati necessari a emettere le fatture, e le credenziali dei servizi che decide di collegare (Beds24, Alloggiati Web, Stripe e gli altri), cifrate nel database.
La base giuridica è il contratto (art. 6.1.b) e, per gli obblighi contabili e fiscali, la legge (art. 6.1.c).
Gli ospiti
Dentro Nidèra, per conto della struttura, passano i dati degli ospiti:
- prenotazione: nome, email, telefono, nazionalità, date, importo — arrivano dal portale (Beds24, Booking.com) o dal modulo di prenotazione del sito della struttura;
- documento d'identità: tipo, numero, luogo e data di rilascio, data di nascita, cittadinanza. Servono per la schedina alloggiati, che la legge impone di trasmettere alla Polizia di Stato entro 24 ore (art. 109 TULPS), e per le statistiche ISTAT;
- foto del documento, quando l'ospite o la struttura la carica: viene letta da un servizio di intelligenza artificiale (Anthropic, USA) per compilare la schedina e poi cancellata 30 giorni dopo l'invio o, se la schedina non parte, dopo la partenza o l'annullamento. La legge chiede di trasmettere la schedina, non di conservare la fotografia.
Base giuridica: obbligo di legge per schedine e statistiche (art. 6.1.c), contratto per tutto ciò che riguarda il soggiorno (art. 6.1.b).
Chi collabora con la struttura
Di chi pulisce o dà una mano trattiamo nome, telefono, email e, se usato, l'identificativo della conversazione Telegram: servono a mandare i turni. Se la struttura usa WhatsApp, i messaggi scambiati restano nella conversazione dentro Nidèra, in modo che la struttura possa rileggerli. Di foto e messaggi vocali si segna solo che sono arrivati: il contenuto non viene scaricato.
A chi arrivano i dati
Solo a chi serve davvero, e solo se la struttura ha collegato quel servizio. Questi, e nessun altro:
| A chi | Perché |
|---|---|
| Polizia di Stato — Alloggiati Web | La schedina degli ospiti, come impone la legge |
| ISTAT e gli uffici statistici provinciali | Le presenze turistiche, come impone la legge |
| Beds24 | Sincronizzare prenotazioni e disponibilità con i portali |
| Stripe | Incassare i pagamenti delle prenotazioni dirette |
| Meta — WhatsApp Business | Mandare e ricevere i messaggi con chi collabora e con gli ospiti |
| Telegram | Mandare i turni a chi pulisce, se si usa quel canale |
| Brevo | Spedire le email del servizio |
| Aruba | La posta di info@nidera.it |
| Anthropic | Leggere la foto del documento, le recensioni e le ricevute, e preparare testi come bozze da approvare |
| OpenAI | Greta, la guida per gli ospiti, dove la struttura la attiva e solo col consenso di chi la usa: testo dei messaggi (senza il numero di telefono) e voce. Le foto d'atmosfera per le campagne, senza dati personali |
| Meta e Google Analytics | Misurare le prenotazioni arrivate dalle campagne, se la struttura lo ha attivato e l'ospite ha accettato i cookie |
| Le campagne pubblicitarie e la scheda Google della struttura, se le usa. I caratteri tipografici delle pagine del programma e del check-in online, che il browser scarica da Google | |
| Apify | Leggere prezzi e recensioni pubblici dei portali |
La misurazione delle campagne funziona così: quando una prenotazione viene pagata sul sito della struttura, a Google Analytics arrivano un identificativo del browser e i dati dell'acquisto; a Meta arrivano i dati dell'acquisto, gli identificativi del browser e l'impronta (hash) di email, telefono e paese. Senza consenso non parte niente.
Nessun dato viene venduto o ceduto, e Nidèra non usa i dati degli ospiti per scopi propri. I trasferimenti fuori dall'Unione Europea si basano sul Data Privacy Framework UE-USA, se il fornitore vi aderisce, o sulle clausole contrattuali standard della Commissione europea.
Dove stanno i dati, e per quanto
I dati stanno su un server in Spagna, a Barcellona (fornitore Clouding), quindi dentro l'Unione Europea.
- foto dei documenti: cancellate da sole 30 giorni dopo l'invio della schedina o, se non parte, dopo la partenza o l'annullamento;
- dati di prenotazione e soggiorno: finché la struttura ha un account attivo, e comunque per il tempo richiesto dagli obblighi fiscali;
- messaggi WhatsApp: finché la struttura non li cancella o chiude l'account;
- chat del sito: 30 giorni;
- account: finché resta aperto. Alla chiusura si cancella tutto, salvo ciò che la legge impone di conservare;
- copie di sicurezza: 14 giorni sul server, accessibili solo all'amministratore, e 30 giorni in una copia cifrata su una seconda macchina. Un dato cancellato sparisce anche da lì alla fine di questo giro.
I tuoi diritti
Puoi chiedere di vedere i tuoi dati, di correggerli, di cancellarli, di limitarne l'uso, di portarli altrove e di opporti al trattamento (artt. 15-22 GDPR). Come si fa è spiegato nella pagina cancellazione dei dati.
Puoi anche rivolgerti al Garante per la protezione dei dati personali (garanteprivacy.it).
Se questa pagina cambia
Le modifiche sostanziali vengono comunicate a chi ha un account. La data in fondo dice quando è stata rivista l'ultima volta.