Informativa privacy per gli ospiti del portale

1. Chi tratta i tuoi dati

Titolare del trattamento: Massimo Terminiello, titolare dell’omonima ditta individuale, operante con i marchi A Web Design e CameraBooking.

Responsabile della protezione dei dati (DPO): non nominato. Non ricorrono le condizioni di designazione obbligatoria previste dall’art. 37, par. 1, GDPR: il trattamento non è svolto da un’autorità pubblica, non consiste in un monitoraggio regolare e sistematico su larga scala, e non ha ad oggetto su larga scala categorie particolari di dati. Per ogni richiesta privacy puoi scrivere agli indirizzi indicati sopra.

Punto di contatto per la contitolarità (art. 26, par. 1, GDPR): privacy@awebdesign.it. Puoi rivolgerti a questo indirizzo per esercitare i tuoi diritti relativi alla prenotazione, indipendentemente dal riparto di responsabilità tra CameraBooking e la struttura ricettiva, come consente l’art. 26, par. 3, GDPR.

2. A chi si rivolge questa informativa

Questa informativa riguarda chi visita il portale camerabooking.it e chi vi effettua una prenotazione presso una delle strutture ricettive pubblicate.

Se sei un gestore di struttura abbonato al servizio, l’informativa che ti riguarda è un’altra: CameraBooking — Informativa privacy per i gestori di struttura.

3. Tre trattamenti, tre ruoli distinti

Questo è il punto che distingue CameraBooking da un normale gestionale alberghiero e merita di essere spiegato prima di tutto il resto: a seconda di cosa stai facendo sul portale, il titolare dei tuoi dati cambia.

3.1 Il portale: CameraBooking è titolare autonomo

Quando navighi sul portale, cerchi una struttura, apri una scheda, crei un account ospite, salvi un filtro di ricerca o consulti lo storico delle tue prenotazioni, il titolare del trattamento è esclusivamente CameraBooking. È CameraBooking a decidere quali dati raccogliere, per quanto tempo conservarli, quali strumenti di analisi utilizzare e quali strutture mettere in evidenza. Le singole strutture non hanno alcun ruolo in questi trattamenti e non vi accedono.

3.2 La prenotazione: contitolarità con la struttura (art. 26 GDPR)

Quando invii una richiesta di prenotazione, CameraBooking e la struttura ricettiva scelta agiscono come contitolari del trattamento ai sensi dell’art. 26 GDPR, limitatamente alla raccolta dei dati di prenotazione, alla conferma e alla trasmissione dei dati alla struttura.

La ragione è che i mezzi essenziali del trattamento — quali campi raccogliere, in che forma, con quale flusso, verso chi trasmetterli — sono determinati da CameraBooking, mentre la finalità (concludere il soggiorno) è condivisa con la struttura, che riceve i dati e li usa per erogare il servizio. Le Linee guida EDPB 07/2020 qualificano espressamente come contitolarità l’ipotesi di più operatori turistici che si servano di “una piattaforma comune su internet” concordandone i mezzi essenziali (§ 3.2.2.2 delle Linee guida).

Riparto delle responsabilità (contenuto essenziale dell’accordo di contitolarità, reso disponibile ai sensi dell’art. 26, par. 2, GDPR):

Resta fermo che, ai sensi dell’art. 26, par. 3, GDPR, puoi esercitare i tuoi diritti nei confronti di ciascuno dei contitolari, a prescindere da questo riparto.

3.3 Il soggiorno: la struttura è titolare autonomo

Dopo la prenotazione, tutto ciò che la struttura fa con i tuoi dati per il soggiorno — check-in, comunicazione dei dati alle autorità di pubblica sicurezza ai sensi dell’art. 109 del T.U.L.P.S., imposta di soggiorno, fatturazione, comunicazioni commerciali proprie — è un trattamento di cui la struttura è titolare autonomo e sul quale CameraBooking non ha alcun potere decisionale. Per questi trattamenti devi fare riferimento all’informativa della struttura.

Quando CameraBooking gestisce, conserva o elabora quei dati all’interno del pannello di gestione della struttura, lo fa in qualità di responsabile del trattamento ai sensi dell’art. 28 GDPR, sulla base di un contratto scritto stipulato con ciascuna struttura all’atto dell’abbonamento.

4. Quali dati trattiamo, perché e per quanto

4.1 Dati di navigazione

Raccolti automaticamente dai sistemi che fanno funzionare il sito: indirizzo IP, tipo e versione del browser, sistema operativo, lingua, pagine richieste, codici di risposta HTTP, data e ora, pagina di provenienza.

• Finalità: sicurezza, diagnostica, prevenzione degli abusi, corretto funzionamento del portale.
• Base giuridica: legittimo interesse del titolare a garantire la sicurezza della rete e dell’informazione (art. 6, par. 1, lett. f, GDPR; cons. 49).
• Conservazione: 12 mesi, salvo necessità di accertare reati informatici.

4.2 Dati della prenotazione

Nome, cognome, indirizzo email, numero di telefono, numero di ospiti, date di check-in e check-out, camera e struttura scelte, importo del soggiorno, eventuali note che inserisci nel modulo, lingua di compilazione.

• Finalità: dare seguito alla tua richiesta di prenotazione, trasmetterla alla struttura, inviarti la conferma e gestire eventuali modifiche o annullamenti.
• Base giuridica: esecuzione di un contratto o di misure precontrattuali adottate su tua richiesta (art. 6, par. 1, lett. b, GDPR). Non ti viene chiesto un consenso: un consenso obbligatorio per ottenere un servizio non sarebbe libero, e quindi non sarebbe valido (cons. 43 GDPR). La casella che accompagna il modulo di prenotazione serve unicamente a darti atto di aver preso visione di questa informativa.
• Conferimento: obbligatorio. Senza questi dati la prenotazione non può essere gestita.
• Conservazione: 18 mesi dalla data di check-out. Decorso il termine, nome, cognome, email, telefono e note vengono cancellati automaticamente; della prenotazione resta un record privo di dati identificativi, utilizzato per statistiche e per la contabilità della struttura. Il termine tiene conto della gestione di contestazioni, recensioni e obblighi amministrativi, in applicazione del principio di limitazione della conservazione (art. 5, par. 1, lett. e, GDPR).
• Nota: CameraBooking non raccoglie, non chiede e non conserva copia dei tuoi documenti di identità. L’identificazione avviene presso la struttura, al momento del check-in, secondo le indicazioni del Garante privacy del 29 aprile 2026, che vietano alle strutture ricettive di conservare copia dei documenti degli ospiti dopo la trasmissione alle autorità.

4.3 Account ospite e filtri salvati

Se scegli di creare un account: indirizzo email, password (conservata esclusivamente in forma cifrata con algoritmo bcrypt, mai in chiaro), storico delle prenotazioni effettuate tramite il portale, filtri di ricerca che decidi di salvare, lingua preferita.

• Finalità: consentirti di accedere allo storico e di non reinserire ogni volta gli stessi criteri di ricerca.
• Base giuridica: esecuzione del contratto di utilizzo del portale che concludi accettando le Condizioni d’uso (art. 6, par. 1, lett. b, GDPR).
• Conservazione: fino alla cancellazione dell’account da parte tua; in mancanza, 24 mesi dall’ultimo accesso, dopodiché l’account è cancellato e le prenotazioni collegate anonimizzate.
• La creazione dell’account è facoltativa: si può prenotare anche senza registrarsi.

4.4 Log di attività

Data, ora, indirizzo IP, user agent e tipo di azione compiuta sulle aree riservate.

• Finalità: sicurezza, tracciabilità degli accessi, accertamento di abusi.
• Base giuridica: legittimo interesse alla sicurezza del servizio (art. 6, par. 1, lett. f, GDPR).
• Conservazione: 12 mesi. Fanno eccezione le righe che documentano un accesso dell’assistenza tecnica ai dati di una struttura, conservate più a lungo in quanto prova dell’accesso stesso.

4.5 Dati di pagamento

Il portale non incassa nulla dagli ospiti. Il pagamento del soggiorno avviene direttamente presso la struttura, secondo le modalità che la struttura stessa indica. CameraBooking non tratta quindi dati di carte di credito o di altri strumenti di pagamento degli ospiti.

Il gateway Stripe è utilizzato esclusivamente per l’incasso degli abbonamenti dei gestori di struttura, trattamento estraneo a questa informativa.

4.6 Categorie particolari di dati

CameraBooking non richiede né tratta consapevolmente dati appartenenti alle categorie particolari di cui all’art. 9 GDPR (salute, convinzioni religiose, orientamento sessuale, ecc.) né dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR. Ti invitiamo a non inserire dati di questo tipo nel campo note del modulo di prenotazione: se hai esigenze particolari da comunicare alla struttura (per esempio in materia di accessibilità o di alimentazione), è preferibile contattarla direttamente.

5. Cookie e strumenti di misurazione

Il portale utilizza:

• cookie tecnici e di sessione, necessari al funzionamento (autenticazione, carrello di prenotazione, preferenza di lingua, protezione CSRF): non richiedono consenso ai sensi dell’art. 122, comma 1, del D.lgs. 196/2003;
• cookie e strumenti di misurazione e marketing di terze parti — Google Analytics 4, Google Ads, Google Tag Manager e Meta Pixel — attivati soltanto previo tuo consenso, raccolto tramite il banner al primo accesso.

Gli script di terze parti sono sottoposti a blocco preventivo: non vengono eseguiti né impostano cookie finché non presti il consenso, come richiesto dalle Linee guida del Garante privacy sull’uso dei cookie del 10 giugno 2021. È implementata la modalità Consent Mode v2 di Google. Puoi modificare o revocare le tue scelte in qualsiasi momento dal link Preferenze cookie presente in ogni pagina; la revoca è agevole quanto il consenso (art. 7, par. 3, GDPR).

Nessun dato relativo alla prenotazione viene trasmesso a Google o a Meta. La pagina di conferma della prenotazione non contiene tag di conversione: né il tuo nominativo né i dettagli del soggiorno raggiungono questi fornitori.

6. A chi comunichiamo i tuoi dati

I dati non sono diffusi e non sono ceduti a terzi per finalità commerciali proprie di questi ultimi.

Piattaforme di prenotazione esterne (Airbnb, Booking.com e simili). Le strutture possono sincronizzare la propria disponibilità con altri portali tramite calendari iCal. Questo scambio contiene soltanto l’indicazione che una data è occupata: il calendario esportato riporta la dicitura “Occupied” e nessun dato personale. Il tuo nominativo non raggiunge mai queste piattaforme attraverso CameraBooking.

Autorità pubbliche. Le comunicazioni previste dalla normativa turistica italiana — trasmissione dei dati degli ospiti alle autorità di pubblica sicurezza (art. 109 T.U.L.P.S.), rilevazioni statistiche, imposta di soggiorno — sono eseguite dalla struttura ricettiva in qualità di titolare autonomo, non dal portale. Resta ferma l’eventuale applicabilità al portale del Regolamento (UE) 2024/1028 sulla raccolta e condivisione dei dati relativi ai servizi di locazione di alloggi a breve termine, applicabile dal 20 maggio 2026: gli obblighi che ne derivassero sarebbero adempiuti trasmettendo al punto di ingresso digitale unico i dati previsti dall’art. 9 di tale Regolamento, sulla base dell’art. 6, par. 1, lett. c, GDPR.

7. Trasferimenti fuori dall’Unione europea

Hosting, posta elettronica e database restano in Italia.

Trasferimenti verso gli Stati Uniti possono avvenire, solo se hai prestato il consenso ai cookie di misurazione e marketing, nell’ambito dei servizi di Google e Meta. Tali trasferimenti si fondano sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa al EU-U.S. Data Privacy Framework, la cui validità è stata confermata dal Tribunale dell’Unione europea con sentenza del 3 settembre 2025 nella causa T-553/23 (Latombe c. Commissione), e in via integrativa sulle Clausole Contrattuali Standard adottate con decisione di esecuzione (UE) 2021/914.

8. I tuoi diritti

Puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR:

Come esercitarli

• Se hai un account: dall’area riservata, dove trovi le funzioni di esportazione dei tuoi dati e di cancellazione dell’account.
• Se hai prenotato senza registrarti: dal modulo pubblico di richiesta presente sul portale, con verifica tramite l’indirizzo email e il codice della prenotazione, oppure scrivendo a privacy@awebdesign.it.

Rispondiamo senza ingiustificato ritardo e comunque entro un mese dal ricevimento, prorogabile di due mesi in casi di particolare complessità (art. 12, par. 3, GDPR).

Reclamo. Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — garante@gpdp.it — protocollo@pec.gpdp.it (art. 77 GDPR), oppure ricorrere all’autorità giudiziaria (art. 79 GDPR).

9. Sicurezza

Le misure adottate comprendono, tra le altre: cifratura del traffico in transito (HTTPS/TLS); password conservate con algoritmo bcrypt a costo 12; token di sessione e di reimpostazione password conservati in forma hashata; protezione contro la falsificazione delle richieste (CSRF) su tutte le operazioni che modificano dati; Content Security Policy con nonce; cookie con prefisso __Host-; interrogazioni al database esclusivamente tramite prepared statement; limitazione dei tentativi di accesso; permessi minimi sull’utenza di database; isolamento strutturale dei dati di ciascuna struttura, che impedisce a una struttura di vedere i dati di un’altra; caricamento dei file con percorsi separati per struttura, verifica del tipo reale del file e rinomina con identificativo casuale.

Accesso dell’assistenza tecnica. Il personale di assistenza non ha accesso permanente ai dati degli ospiti: per vedere i dati di una struttura deve ricevere un codice temporaneo generato dal gestore della struttura, valido per un tempo limitato; senza quel codice vede solo dati aggregati. Ogni accesso così autorizzato resta tracciato nel registro delle attività. È un’applicazione concreta del principio di protezione dei dati fin dalla progettazione (art. 25 GDPR).

Nessun sistema informatico può dirsi totalmente immune da rischi. In caso di violazione dei dati personali che comporti un rischio elevato per i tuoi diritti e libertà, riceverai comunicazione senza ingiustificato ritardo ai sensi dell’art. 34 GDPR.

10. Modifiche

Questa informativa può essere aggiornata. La versione vigente è sempre pubblicata su camerabooking.it con indicazione del numero di versione e della data di entrata in vigore. Le modifiche sostanziali ti saranno segnalate con evidenza sul portale e, se hai un account, via email.

11. Contatti

Massimo Terminiello — Viale Di Augusto, 42 — 80125 Napoli (NA) Email: privacy@awebdesign.it · PEC: massimoterminiello@pec.it

Fonti

Normativa dell’Unione europea

1. Regolamento (UE) 2016/679 (GDPR) — artt. 5, 6, 7, 9, 10, 12-22, 25, 26, 28, 32-34, 37, 77, 79; cons. 43 e 49. https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32016R0679
2. Regolamento (UE) 2024/1028 sulla raccolta e condivisione dei dati relativi ai servizi di locazione di alloggi a breve termine — applicabile dal 20 maggio 2026. https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=OJ:L_202401028
3. Decisione di esecuzione (UE) 2021/914 della Commissione, 4 giugno 2021 — Clausole Contrattuali Standard. https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32021D0914
4. Decisione di esecuzione (UE) 2023/1795 della Commissione, 10 luglio 2023 — adeguatezza dell’EU-U.S. Data Privacy Framework. https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32023D1795
5. Tribunale UE, sentenza 3 settembre 2025, causa T-553/23, Latombe c. Commissione — conferma della validità del Data Privacy Framework. Sintesi: https://www.altalex.com/documents/2025/09/05/trasferimento-dati-ue-usa-conferma-decisione-adeguatezza-data-privacy-framework

Linee guida e provvedimenti

1. EDPB, Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento nel GDPR, versione 2.1 del 7 luglio 2021 — in particolare § 3.2.2.2 (esempio della piattaforma comune di operatori turistici). https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_it.pdf
2. Garante per la protezione dei dati personali, Linee guida sull’uso dei cookie e di altri strumenti di tracciamento, 10 giugno 2021, doc. web n. 9677876. https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876
3. Garante per la protezione dei dati personali, comunicato stampa 29 aprile 2026, “No alla conservazione di copia dei documenti degli ospiti”, doc. web n. 10244195. https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10244195
4. Garante per la protezione dei dati personali, Nota di chiarimento in materia di trattamento dei documenti di identità degli ospiti di esercizi alberghieri o di altre strutture ricettive, 29 aprile 2026, doc. web n. 10244289. https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10244289

Normativa italiana

1. D.lgs. 30 giugno 2003 n. 196 (Codice in materia di protezione dei dati personali), art. 122. https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2003-06-30;196
2. R.D. 18 giugno 1931 n. 773 (T.U.L.P.S.), art. 109 — comunicazione delle generalità degli alloggiati alle autorità di pubblica sicurezza. https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1931-06-18;773

Fornitori citati

1. Serverplan S.r.l. — informativa privacy: https://www.serverplan.com/privacy-policy
2. Google — Informativa sulla privacy e Consent Mode v2: https://policies.google.com/privacy · https://support.google.com/analytics/answer/9976101
3. Meta Platforms Ireland Ltd — Informativa sulla privacy: https://www.facebook.com/privacy/policy