Informativa privacy per i gestori di struttura

1. Titolare del trattamento

Massimo Terminiello, titolare della ditta individuale operante con i marchi A Web Design e CameraBooking.

DPO: non nominato, non ricorrendo le condizioni dell’art. 37, par. 1, GDPR.

2. Di cosa parla questa informativa (e di cosa non parla)

Questa informativa descrive come CameraBooking tratta i dati personali che riguardano te, in quanto gestore, referente o utente del pannello di gestione: i dati del tuo account, i tuoi dati di contatto e fiscali, i log dei tuoi accessi, i dati dell’abbonamento.

Non riguarda i dati dei tuoi ospiti. Di quelli il titolare del trattamento sei tu: CameraBooking li tratta per tuo conto, in qualità di responsabile del trattamento ai sensi dell’art. 28 GDPR, con l’eccezione della fase di prenotazione sul portale, in cui le due parti sono contitolari ai sensi dell’art. 26. Il rapporto è regolato dall’Allegato A alle Condizioni generali di utilizzo e vendita, che accetti al momento della registrazione e che puoi scaricare in qualsiasi momento dalla sezione Privacy del pannello.

Ai tuoi ospiti si rivolge un documento diverso: CameraBooking — Informativa privacy per gli ospiti del portale.

3. Quali dati trattiamo

3.1 Dati di registrazione e di account

Nome e cognome del referente, denominazione della struttura, città, tipologia della struttura, indirizzo email, numero di telefono, password (conservata esclusivamente in forma cifrata con bcrypt), lingua dell’interfaccia.

• Finalità: creare e gestire il tuo account, verificare l’indirizzo email, valutare e approvare la richiesta di registrazione, erogare il servizio.
• Base giuridica: esecuzione del contratto e misure precontrattuali (art. 6, par. 1, lett. b, GDPR).
• Conferimento: necessario. Senza questi dati l’account non può essere creato.
• Conservazione: per tutta la durata del rapporto e per 12 mesi dalla cessazione, salvo i termini più lunghi indicati ai punti seguenti.

3.2 Dati fiscali e di fatturazione

Ragione sociale, partita IVA, codice fiscale, indirizzo completo, CAP, città, provincia, nazione, codice destinatario SDI o PEC per la fatturazione elettronica.

• Finalità: emissione delle fatture, adempimenti contabili e fiscali, gestione dell’abbonamento.
• Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) e adempimento di obblighi di legge in materia fiscale e contabile (art. 6, par. 1, lett. c).
• Conferimento: necessario per attivare un abbonamento a pagamento.
• Conservazione: 10 anni dalla registrazione dell’operazione, ai sensi dell’art. 2220 c.c. e dell’art. 22 del D.P.R. 600/1973.

3.3 Dati relativi all’abbonamento e al pagamento

Piano sottoscritto, numero di camere per cui è calcolato il canone, periodicità, stato dell’abbonamento, date di rinnovo, importi fatturati, identificativi Stripe (cliente, abbonamento, sessione di pagamento, fattura), esito dei pagamenti.

• Finalità: gestire l’abbonamento, incassare il canone, gestire insoluti, rinnovi e disdette.
• Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) e obblighi di legge (lett. c).
• Conservazione: 10 anni, come al punto precedente.

I dati della tua carta non transitano dai nostri sistemi. L’inserimento avviene su pagine ospitate direttamente da Stripe (Checkout e Portale clienti). Nel database di CameraBooking restano soltanto gli identificativi della transazione, lo stato del pagamento e l’importo. Stripe è certificato PCI-DSS Level 1.

3.4 Log di attività e dati tecnici

Data e ora, indirizzo IP, user agent, tipo di azione compiuta nel pannello, esito dei tentativi di accesso.

• Finalità: sicurezza, tracciabilità, prevenzione e accertamento degli abusi, limitazione dei tentativi di accesso e delle registrazioni automatizzate.
• Base giuridica: legittimo interesse alla sicurezza della rete e dell’informazione (art. 6, par. 1, lett. f, GDPR; cons. 49).
• Conservazione: 12 mesi. Fanno eccezione le righe che documentano un accesso dell’assistenza tecnica autorizzato dal tuo codice di supporto, conservate per un periodo maggiore in quanto prova a tua tutela dell’accesso avvenuto.

3.5 Comunicazioni con l’assistenza

Contenuto delle email, delle segnalazioni e delle richieste di supporto che ci invii, con i relativi allegati.

• Finalità: erogare l’assistenza, ricostruire i malfunzionamenti, migliorare il servizio.
• Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) e legittimo interesse alla difesa dei propri diritti (lett. f).
• Conservazione: 24 mesi dalla chiusura della richiesta, salvo contenzioso in corso.

3.6 Comunicazioni commerciali

Se acconsenti, o se sei già nostro cliente, potremo inviarti comunicazioni su novità, funzionalità e condizioni del servizio.

• Base giuridica: consenso (art. 6, par. 1, lett. a) per i non clienti; per i clienti, in relazione a servizi analoghi a quelli già acquistati, si applica il regime del soft spam previsto dall’art. 130, comma 4, del D.lgs. 196/2003, con possibilità di opporsi al momento della raccolta e in ogni comunicazione successiva.
• Conservazione: fino a revoca del consenso o opposizione; in ogni caso riesame periodico dell’elenco.
• Ogni messaggio contiene un link di disiscrizione immediato.

3.7 Referenze commerciali

Denominazione, marchio e sito della struttura possono comparire tra le referenze di CameraBooking, salvo tua opposizione scritta, sulla base del legittimo interesse alla promozione dell’attività (art. 6, par. 1, lett. f). La pubblicazione di dati economici o di casi di studio dettagliati richiede il tuo consenso.

4. Come accede l’assistenza ai tuoi dati

Per il modo in cui è costruito l’isolamento fra le strutture, un amministratore di sistema potrebbe tecnicamente vedere i dati di tutte. CameraBooking ha scelto di non lasciare quell’accesso aperto.

Chi ti dà assistenza vede, in condizioni normali, solo dati aggregati della tua struttura. Per vedere i dati in chiaro deve inserire un codice temporaneo che generi tu dal tuo pannello, valido per un numero limitato di ore. Ogni accesso così autorizzato è registrato nel log delle attività e resta consultabile.

Il controllo è procedurale, non crittografico: rende l’accesso deliberato, consensuale e tracciabile, ma non sostituisce una barriera tecnica nei confronti di chi amministra direttamente il database. Te lo diciamo esplicitamente perché tu possa valutarlo: è una misura di minimizzazione e di accountability ai sensi degli artt. 5, par. 2, e 25 GDPR, non una garanzia di impossibilità tecnica di accesso.

5. Nessun uso dei tuoi dati per l’addestramento di modelli di IA

CameraBooking non utilizza i tuoi dati, né quelli dei tuoi ospiti, per l’addestramento, il fine-tuning o lo sviluppo di modelli di intelligenza artificiale, propri o di terzi, salvo tuo consenso scritto. Possono essere utilizzati dati aggregati e anonimi, non riconducibili a te né ai tuoi ospiti, per statistiche e per il miglioramento del servizio.

6. Destinatari e sub-responsabili

L’elenco aggiornato dei sub-responsabili del trattamento designati per l’esecuzione del servizio è pubblicato all’indirizzo https://camerabooking.it/sub-responsabili ed è richiamato dall’art. A.6 dell’Allegato A alle Condizioni generali. Ogni sostituzione o aggiunta ti è comunicata con almeno 15 giorni di preavviso, con diritto di opposizione motivata.

Le pagine del pannello di gestione non contengono strumenti di analisi o di marketing di terze parti: Google Analytics, Google Ads e Meta Pixel sono presenti unicamente sul sito vetrina e sul portale pubblico, e solo previo consenso.

7. Trasferimenti fuori dall’Unione europea

Hosting, database e posta restano in Italia.

I trattamenti connessi all’incasso degli abbonamenti comportano trasferimenti verso gli Stati Uniti nell’ambito del gruppo Stripe. Tali trasferimenti sono fondati sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa all’EU-U.S. Data Privacy Framework — cui Stripe, Inc. aderisce — la cui validità è stata confermata dal Tribunale dell’Unione europea il 3 settembre 2025 (causa T-553/23, Latombe), nonché, in via integrativa, sulle Clausole Contrattuali Standard adottate con decisione di esecuzione (UE) 2021/914.

8. I tuoi diritti

Ti spettano i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione previsti dagli artt. 15-22 GDPR, oltre al diritto di revocare in qualsiasi momento i consensi prestati (art. 7, par. 3), senza che ciò pregiudichi la liceità del trattamento svolto in precedenza.

Le richieste vanno inviate a privacy@awebdesign.it oppure via PEC a massimoterminiello@pec.it. Il riscontro è fornito senza ingiustificato ritardo e comunque entro un mese, prorogabile di due mesi in casi complessi (art. 12, par. 3, GDPR).

Il diritto di cancellazione incontra i limiti degli obblighi di conservazione fiscale e contabile: i documenti soggetti a conservazione decennale non possono essere cancellati prima della scadenza del termine di legge (art. 17, par. 3, lett. b, GDPR).

Reclamo. Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — garante@gpdp.it — protocollo@pec.gpdp.it (art. 77 GDPR). Resta impregiudicata la tutela giurisdizionale (art. 79 GDPR).

9. Sicurezza

Le misure tecniche e organizzative adottate sono descritte in dettaglio nell’art. A.7 e nell’Allegato B delle Condizioni generali. In sintesi: HTTPS/TLS su tutto il traffico; password con bcrypt a costo 12; token conservati in forma hashata; protezione CSRF su tutte le operazioni di scrittura; Content Security Policy con nonce; cookie con prefisso __Host-; prepared statement su tutte le interrogazioni al database; limitazione dei tentativi di accesso; permessi minimi sull’utenza di database; separazione degli ambienti di sviluppo, test e produzione; isolamento strutturale dei dati per struttura; backup periodici; accesso dell’assistenza subordinato al tuo codice temporaneo.

Violazioni dei dati personali. In caso di violazione che riguardi dati trattati per tuo conto, riceverai comunicazione entro 24 ore dalla conoscenza dell’evento, con le informazioni disponibili ai sensi dell’art. 33, par. 3, GDPR. Resta a te, in qualità di titolare, la notifica al Garante entro 72 ore (art. 33) e l’eventuale comunicazione agli interessati (art. 34); CameraBooking ti presta la ragionevole assistenza necessaria.

10. Modifiche

La versione vigente di questa informativa è sempre pubblicata su camerabooking.it, con numero di versione e data di entrata in vigore. Le modifiche sostanziali sono comunicate via email con almeno 30 giorni di preavviso.

11. Contatti

Massimo Terminiello — Viale Di Augusto, 42 — 80125 Napoli (NA) Email: privacy@awebdesign.it · PEC: massimoterminiello@pec.it

Fonti

Normativa dell’Unione europea

1. Regolamento (UE) 2016/679 (GDPR) — artt. 5, 6, 7, 12-22, 25, 26, 28, 32-34, 37, 77, 79; cons. 49. https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32016R0679
2. Decisione di esecuzione (UE) 2021/914 — Clausole Contrattuali Standard. https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32021D0914
3. Decisione di esecuzione (UE) 2023/1795 — adeguatezza dell’EU-U.S. Data Privacy Framework. https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32023D1795
4. Tribunale UE, 3 settembre 2025, causa T-553/23, Latombe c. Commissione. https://curia.europa.eu/juris/liste.jsf?num=T-553/23

Linee guida

1. EDPB, Linee guida 07/2020 sui concetti di titolare e responsabile del trattamento. https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_it.pdf

Normativa italiana

1. D.lgs. 30 giugno 2003 n. 196, art. 130, comma 4 (soft spam). https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2003-06-30;196
2. Codice civile, art. 2220 — conservazione decennale delle scritture contabili. https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1942-03-16;262
3. D.P.R. 29 settembre 1973 n. 600, art. 22 — conservazione delle scritture ai fini fiscali. https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.del.presidente.della.repubblica:1973-09-29;600

Fornitori

1. Stripe — Privacy Center e ruoli ai sensi del GDPR: https://stripe.com/privacy-center/legal
2. Stripe — Data Processing Agreement: https://stripe.com/legal/dpa
3. Stripe — Data Privacy Framework Policy: https://stripe.com/legal/data-privacy-framework
4. Stripe — elenco dei fornitori di servizi e sub-responsabili: https://stripe.com/service-providers/legal
5. Serverplan S.r.l. — informativa privacy: https://www.serverplan.com/privacy-policy