Accordo sul trattamento dei dati

Allegato ai Termini di servizio · art. 28 del Regolamento (UE) 2016/679 ("GDPR") · Versione 2026-10-30

In breve. I dati dei tuoi ospiti sono tuoi: tu sei il titolare del trattamento. RGM li usa solo per far funzionare Ospitalk per te, li protegge, non li usa per addestrare modelli di intelligenza artificiale, ti avvisa se cambia un fornitore e li cancella 90 giorni dopo il check-out o alla fine del contratto.

1. Parti e ruoli

Questo accordo è concluso tra l'host che usa Ospitalk ("titolare") e RGM S.r.l., Via Giuseppe Garibaldi 23, 95010 Santa Venerina (CT), P.IVA 05047840870 ("RGM" o "responsabile"). Fa parte dei Termini di servizio e si accetta insieme a essi rispondendo ACCETTO su WhatsApp.

Per i dati personali degli ospiti trattati con Ospitalk l'host è titolare del trattamento e RGM è responsabile del trattamento ai sensi dell'art. 28 GDPR. Per i dati dell'host (iscrizione, fatturazione, assistenza) RGM è invece titolare autonomo, come spiegato nell'informativa privacy.

2. Oggetto, natura e finalità del trattamento

RGM tratta i dati degli ospiti al solo fine di erogare Ospitalk al titolare, e in particolare per:

ricevere i messaggi che gli ospiti inviano al numero WhatsApp di Ospitalk e associarli alla struttura;
generare risposte automatiche sulla base delle informazioni fornite dal titolare, anche trascrivendo le note vocali e leggendo le immagini inviate;
inoltrare al titolare le domande a cui l'assistente non sa rispondere e consegnare all'ospite le risposte del titolare;
inviare all'ospite il codice di accesso nel periodo del soggiorno registrato dal titolare;
conservare la cronologia delle conversazioni per il titolare e garantire la sicurezza e il corretto funzionamento del servizio.

Il trattamento avviene con strumenti elettronici e comprende raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione automatizzata (incluse elaborazioni con sistemi di intelligenza artificiale), comunicazione ai sub-responsabili e cancellazione. Non comprende decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sugli ospiti.

3. Durata

Questo accordo dura quanto il contratto per l'uso di Ospitalk e, dopo la sua fine, fino alla completa cancellazione o restituzione dei dati prevista all'articolo 11.

4. Categorie di interessati e di dati

Interessati: ospiti della struttura e persone che scrivono al numero WhatsApp di Ospitalk per una struttura del titolare (per esempio chi chiede informazioni prima di prenotare); persone eventualmente nominate nei contenuti forniti dal titolare (per esempio collaboratori o addetti alle pulizie).

Dati:

numero di telefono WhatsApp e nome del profilo;
contenuto dei messaggi, note vocali e loro trascrizioni, immagini e altri file inviati;
lingua della conversazione, data e ora dei messaggi, stato di consegna;
dati del soggiorno registrati dal titolare (per esempio date di check-in e check-out, nome dell'ospite);
dati dei collaboratori del titolare inseriti nei contenuti della struttura (nome, numero di telefono).

Ospitalk non è pensato per trattare categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali (art. 10 GDPR). Il titolare non deve chiedere agli ospiti questi dati, né documenti d'identità, tramite Ospitalk. Se un ospite li comunica spontaneamente, RGM li tratta solo come parte della conversazione e con le stesse misure di sicurezza.

5. Istruzioni del titolare

RGM tratta i dati solo su istruzione documentata del titolare. Le istruzioni sono costituite da questo accordo, dai Termini di servizio e dalle impostazioni che il titolare sceglie in Ospitalk (per esempio i contenuti della struttura, i soggiorni registrati, le risposte inviate). Il titolare può dare istruzioni ulteriori scrivendo a info@ospitalk.com; se comportano costi o modifiche del servizio, RGM le concorda prima con il titolare.

RGM informa subito il titolare se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati. RGM può trattare i dati anche senza istruzione solo se lo richiede il diritto dell'Unione o italiano; in tal caso informa il titolare prima del trattamento, salvo che la legge lo vieti.

Nessun addestramento. RGM non usa i dati degli ospiti per finalità proprie, non li vende e non li usa, né consente ai sub-responsabili di usarli, per addestrare o migliorare modelli di intelligenza artificiale.

6. Obblighi del titolare

Il titolare garantisce di avere una base giuridica per il trattamento, di fornire agli ospiti l'informativa prevista dagli artt. 13 e 14 GDPR (Ospitalk mette a disposizione una pagina informativa per ciascuna struttura, il cui link è inviato all'ospite nel primo messaggio, che il titolare deve verificare e completare) e di non inserire in Ospitalk dati che non è autorizzato a trattare.

7. Riservatezza

RGM garantisce che le persone autorizzate a trattare i dati si sono impegnate alla riservatezza o hanno un obbligo legale di riservatezza, ricevono istruzioni adeguate e accedono ai dati solo quando serve per erogare il servizio, dare assistenza su richiesta del titolare o risolvere problemi tecnici.

8. Sicurezza (art. 32 GDPR)

RGM adotta misure tecniche e organizzative adeguate al rischio, tra cui:

cifratura dei dati in transito (HTTPS/TLS) tra ospite, WhatsApp, fornitori e server;
server situati nell'Unione europea, accessibili solo tramite chiavi di autenticazione personali e con aggiornamenti di sicurezza regolari;
separazione logica dei dati di ciascun titolare e accesso del titolare tramite link personale;
codici di accesso inviati solo agli ospiti con soggiorno in corso;
verifica della firma dei messaggi ricevuti dal fornitore WhatsApp;
copie di backup e procedure di ripristino;
riesame periodico delle misure.

RGM aggiorna le misure nel tempo in base all'evoluzione tecnica e ai rischi, senza ridurre il livello di protezione complessivo.

9. Sub-responsabili

Il titolare concede a RGM un'autorizzazione generale a ricorrere ad altri responsabili ("sub-responsabili"). L'elenco aggiornato, con servizio, dati trattati, sede e garanzie per i trasferimenti, è pubblicato nella pagina sub-responsabili.

Prima di aggiungere o sostituire un sub-responsabile, RGM avvisa il titolare su WhatsApp con almeno 15 giorni di anticipo, salvo urgenze motivate di sicurezza o continuità del servizio, nel qual caso avvisa appena possibile. Entro questo termine il titolare può opporsi per motivi ragionevoli legati alla protezione dei dati scrivendo a info@ospitalk.com o rispondendo su WhatsApp. Se RGM non può evitare il cambiamento, il titolare può recedere dal contratto senza costi e ottenere il rimborso della parte del pacchetto non goduta.

RGM impone a ciascun sub-responsabile, con un contratto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli di questo accordo, e resta responsabile verso il titolare del loro adempimento.

10. Assistenza al titolare

Diritti degli interessati

Tenendo conto della natura del trattamento, RGM assiste il titolare con misure adeguate per rispondere alle richieste degli ospiti che esercitano i diritti degli artt. 15-22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Se un ospite si rivolge direttamente a RGM, RGM inoltra la richiesta al titolare senza ritardo e non risponde nel merito senza istruzioni, salvo indicare all'ospite a chi rivolgersi.

Violazioni dei dati (data breach)

RGM notifica al titolare, su WhatsApp e via email, senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuta a conoscenza, ogni violazione dei dati personali che riguarda i dati del titolare. La notifica descrive, per quanto noto, la natura della violazione, le categorie e il numero approssimativo di interessati e di dati, le probabili conseguenze, le misure adottate o proposte e un contatto per ulteriori informazioni; le informazioni non ancora disponibili sono fornite appena possibile. RGM aiuta il titolare a valutare se notificare il Garante entro 72 ore e se comunicare la violazione agli interessati (artt. 33 e 34 GDPR).

Altri obblighi

RGM fornisce al titolare le informazioni ragionevolmente necessarie per eventuali valutazioni d'impatto (art. 35 GDPR) e consultazioni preventive del Garante (art. 36 GDPR) relative a Ospitalk.

11. Conservazione, cancellazione e restituzione

Durante il contratto: le conversazioni e i dati di ciascun ospite sono cancellati automaticamente 90 giorni dopo il check-out registrato; se non è registrato alcun soggiorno, 90 giorni dopo l'ultimo messaggio dell'ospite. Il titolare può chiedere una cancellazione anticipata.
Alla fine del contratto: il titolare può chiedere entro 30 giorni una copia dei dati in un formato leggibile. Poi RGM cancella tutti i dati degli ospiti del titolare, al più tardi entro 90 giorni dalla fine del contratto, compresi i backup, che vengono sovrascritti a rotazione entro lo stesso termine.
Restano salvi gli obblighi di conservazione imposti dalla legge a RGM; in tal caso i dati sono conservati solo per il tempo e la finalità richiesti e protetti come previsto da questo accordo.

Su richiesta, RGM conferma per iscritto l'avvenuta cancellazione.

12. Informazioni e audit

RGM mette a disposizione del titolare le informazioni necessarie a dimostrare il rispetto di questo accordo e dell'art. 28 GDPR, rispondendo per iscritto alle domande del titolare entro 30 giorni. Il titolare, direttamente o tramite un revisore vincolato alla riservatezza e non concorrente di RGM, può svolgere un audit, anche con ispezione, con un preavviso di almeno 30 giorni, durante l'orario di lavoro, senza compromettere la sicurezza degli altri clienti e non più di una volta all'anno, salvo violazioni dei dati o richieste di un'autorità. Gli audit si svolgono di norma prima in forma documentale. I costi dell'audit sono a carico di chi lo richiede.

13. Trasferimenti di dati fuori dallo Spazio economico europeo

I server di Ospitalk sono nell'Unione europea. Alcuni sub-responsabili sono stabiliti negli Stati Uniti o possono trattare dati al di fuori dello Spazio economico europeo. RGM trasferisce dati fuori dallo SEE solo se è presente una garanzia prevista dal Capo V del GDPR: la decisione di adeguatezza della Commissione europea relativa all'EU-U.S. Data Privacy Framework, per i fornitori certificati, oppure le clausole contrattuali standard approvate dalla Commissione (Decisione (UE) 2021/914), con le eventuali misure supplementari. La garanzia usata per ciascun fornitore è indicata nella pagina sub-responsabili.

14. Responsabilità e disposizioni finali

Ciascuna parte risponde dei danni causati dalla violazione degli obblighi che il GDPR le attribuisce, secondo l'art. 82 GDPR. Per quanto non previsto valgono i Termini di servizio; in caso di contrasto sulla protezione dei dati prevale questo accordo. Le modifiche a questo accordo seguono le regole dell'articolo 16 dei Termini di servizio.