Allegato A – Accordo sul trattamento dei dati personali

ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR)

Versione 1.0 – in vigore dal 21/10/2026 – Allegato alle Condizioni Generali di Contratto Cloud Hotel

Art. A.1 – Parti e ruoli

A.1.1 Il Cliente, in qualità di gestore della struttura ricettiva, è Titolare del trattamento dei dati personali dei propri ospiti, prenotanti, accompagnatori, dipendenti, collaboratori e fornitori inseriti nel Servizio Cloud Hotel o generati dal Servizio per suo conto ("Dati Personali del Cliente").

A.1.2 HSweb di Angelo Bugliari Armenio, viale della Libertà 4, 87020 Sangineto (CS), P.IVA 03662160781, PEC bugliariangelo@pec.it ("Responsabile") tratta i Dati Personali del Cliente esclusivamente in qualità di Responsabile del trattamento, per conto e su istruzione del Cliente.

A.1.3 Per i dati di registrazione, fatturazione e contatto del Cliente e dei suoi referenti, HSweb agisce come Titolare autonomo secondo la propria informativa privacy.

A.1.4 I termini non definiti hanno il significato loro attribuito dall'art. 4 GDPR e dalle Condizioni Generali.

Art. A.2 – Oggetto, durata, natura e finalità del trattamento

A.2.1 Il trattamento ha ad oggetto l'erogazione del Servizio e dei moduli attivati dal Cliente: gestione di prenotazioni, soggiorni, anagrafiche, check-in e check-out, pagina di profilo e booking engine, channel manager, fatturazione e corrispettivi, invio dei dati ad Alloggiati Web e alle rilevazioni statistiche, integrazioni con gateway di pagamento, portali di prenotazione e dispositivi di accesso.

A.2.2 Le operazioni di trattamento comprendono raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, trasmissione ai destinatari indicati dal Cliente, backup, ripristino e cancellazione.

A.2.3 Il trattamento dura quanto il Contratto, più il periodo di esportazione e cancellazione previsto dall'art. A.11.

Art. A.3 – Categorie di interessati e di dati

A.3.1 Il Servizio non è progettato per trattare categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali e reati (art. 10 GDPR). Il Cliente si impegna a: (a) inserire nei campi di testo libero e nei tag informazioni sanitarie, come allergie o intolleranze alimentari, solo se strettamente necessarie al servizio richiesto dall'ospite e su idonea base giuridica; (b) utilizzare la funzione "Segnalazioni e Blacklist" esclusivamente per fatti oggettivi, documentati e di natura contrattuale, come un mancato pagamento o un danno accertato, senza inserire accuse, sospetti di reato o giudizi personali, e cancellando le segnalazioni quando non più necessarie.

A.3.2 Il Responsabile non verifica il contenuto dei campi compilati dal Cliente e non risponde del loro contenuto.

Art. A.4 – Istruzioni del Titolare

A.4.1 Il Responsabile tratta i Dati Personali del Cliente solo su istruzione documentata del Cliente. Costituiscono istruzioni documentate: le Condizioni Generali, il presente Allegato, le configurazioni e le operazioni effettuate dal Cliente nel Servizio (ad esempio l'attivazione di un canale di vendita, di un gateway di pagamento o dell'invio automatico ad Alloggiati Web) e le richieste scritte del Cliente.

A.4.2 Il Responsabile informa immediatamente il Cliente se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, e può sospenderne l'esecuzione fino a conferma o modifica.

A.4.3 Se il diritto dell'Unione o italiano impone al Responsabile un trattamento ulteriore, il Responsabile ne informa il Cliente prima del trattamento, salvo che la legge lo vieti.

Art. A.5 – Riservatezza del personale

Il Responsabile autorizza al trattamento solo il personale e i collaboratori che ne hanno necessità per l'erogazione del Servizio, vincolati da un obbligo di riservatezza contrattuale o legale, istruiti sul trattamento e con accesso limitato ai dati necessari.

Art. A.6 – Sicurezza del trattamento

A.6.1 Il Responsabile adotta le misure tecniche e organizzative descritte nell'Appendice A.1, adeguate al rischio ai sensi dell'art. 32 GDPR.

A.6.2 Il Responsabile può aggiornare tali misure in funzione dell'evoluzione tecnica, a condizione che il livello complessivo di sicurezza non diminuisca. La versione aggiornata dell'Appendice A.1 è disponibile su richiesta.

A.6.3 Il Cliente è responsabile delle misure di sicurezza di sua competenza: gestione degli account e dei profili di autorizzazione dei propri Utenti, attivazione dell'autenticazione a due fattori, sicurezza dei propri dispositivi e reti.

Art. A.7 – Sub-responsabili

A.7.1 Il Cliente concede al Responsabile un'autorizzazione scritta generale a ricorrere a ulteriori responsabili del trattamento ("Sub-responsabili"). L'elenco aggiornato è riportato nell'Appendice A.2 e pubblicato all'indirizzo https://cloud-hotel.it/it/site/page/view/sub-responsabili.html.

A.7.2 Il Responsabile comunica al Cliente via email, con almeno 30 giorni di preavviso, l'aggiunta o la sostituzione di un Sub-responsabile. Entro tale termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati. Se le parti non trovano una soluzione, il Cliente può recedere senza penali dal Servizio o dal modulo interessato, con rimborso della quota di corrispettivo non goduta.

A.7.3 Il Responsabile impone a ciascun Sub-responsabile, con contratto scritto, obblighi di protezione dei dati non meno tutelanti di quelli del presente Allegato, e risponde verso il Cliente dell'adempimento del Sub-responsabile ai sensi dell'art. 28, par. 4, GDPR.

A.7.4 Non sono Sub-responsabili del Responsabile, ma destinatari individuati dal Cliente o dalla legge, verso i quali i dati sono trasmessi su istruzione del Cliente: i portali di prenotazione online, i channel manager di terze parti con cui il Cliente ha un proprio contratto (ad esempio SiteMinder, Roomcloud, Nobeds, Beds24, Booking Expert), i gateway di pagamento in qualità di titolari autonomi, il servizio Alloggiati Web della Polizia di Stato, il Sistema di Interscambio dell'Agenzia delle Entrate, gli enti competenti per le rilevazioni statistiche e l'imposta di soggiorno, i fornitori di serrature elettroniche e dispositivi di accesso e, in generale, qualsiasi altro partner, software applicativo o servizio esterno che il Cliente decida di collegare al Servizio tramite integrazioni, API, connettori o esportazioni (ad esempio CRM, sistemi di revenue management, strumenti di messaggistica, software contabili, di check-in online o di gestione delle pulizie). Tali soggetti sono scelti dal Cliente, che conclude con essi i relativi accordi, anche in materia di protezione dei dati. Il Responsabile si limita a trasmettere i dati secondo la configurazione impostata dal Cliente e non risponde dei trattamenti svolti da tali soggetti.

Art. A.8 – Trasferimenti al di fuori dello Spazio Economico Europeo

I Dati Personali del Cliente sono conservati e trattati nello Spazio Economico Europeo. Il Responsabile non li trasferisce verso paesi terzi o organizzazioni internazionali, salvo previa comunicazione al Cliente secondo l'art. A.7.2 e solo in presenza di una decisione di adeguatezza della Commissione europea o di altre garanzie adeguate ai sensi degli artt. 46-49 GDPR, come le Clausole Contrattuali Tipo.

Art. A.9 – Assistenza al Titolare

A.9.1 Tenuto conto della natura del trattamento, il Responsabile assiste il Cliente con misure tecniche e organizzative adeguate per dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR). A tal fine il Servizio mette a disposizione funzioni di ricerca, rettifica, esportazione e cancellazione dei dati.

A.9.2 Se il Responsabile riceve direttamente una richiesta da un interessato, la inoltra al Cliente entro 5 giorni lavorativi senza rispondere nel merito, salvo diversa istruzione del Cliente.

A.9.3 Il Responsabile assiste il Cliente nel garantire il rispetto degli obblighi degli artt. 32-36 GDPR, fornendo le informazioni disponibili utili alla valutazione d'impatto e alla consultazione preventiva.

A.9.4 L'assistenza che richieda attività eccedenti le funzioni standard del Servizio può essere addebitata a costi ragionevoli, preventivamente comunicati.

Art. A.10 – Violazioni dei dati personali

A.10.1 Il Responsabile notifica al Cliente, senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuto a conoscenza, ogni violazione di sicurezza che comporti accidentalmente o illecitamente la distruzione, perdita, modifica, divulgazione non autorizzata o l'accesso ai Dati Personali del Cliente.

A.10.2 La notifica è inviata all'indirizzo email del Cliente e contiene, nella misura disponibile: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni, le probabili conseguenze, le misure adottate o proposte, un referente per ulteriori informazioni. Le informazioni non disponibili sono fornite in fasi successive senza ingiustificato ritardo.

A.10.3 Spettano al Cliente, quale Titolare, la valutazione della violazione, la notifica al Garante per la protezione dei dati personali e l'eventuale comunicazione agli interessati. Il Responsabile collabora fornendo le informazioni in suo possesso.

A.10.4 La notifica di una violazione non costituisce riconoscimento di responsabilità del Responsabile.

Art. A.11 – Restituzione e cancellazione dei dati

A.11.1 Alla cessazione del Contratto per qualsiasi causa, il Cliente può esportare i Dati Personali del Cliente per 90 giorni, secondo l'art. 20 delle Condizioni Generali. Tale esportazione costituisce restituzione dei dati ai sensi dell'art. 28, par. 3, lett. g, GDPR.

A.11.2 Il Responsabile invia un avviso all'email del Cliente almeno 15 giorni prima della scadenza di tale termine.

A.11.3 Decorso il termine, il Responsabile cancella i Dati Personali del Cliente dai sistemi di produzione e, al termine del ciclo di rotazione e comunque entro 35 giorni, dalle copie di backup, salvo che il diritto dell'Unione o italiano ne imponga la conservazione.

A.11.4 Su richiesta scritta del Cliente, il Responsabile rilascia un'attestazione dell'avvenuta cancellazione.

Art. A.12 – Informazioni, verifiche e audit

A.12.1 Il Responsabile mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR, in primo luogo tramite la presente documentazione, risposte a questionari di sicurezza e certificazioni o rapporti di audit dei propri Sub-responsabili.

A.12.2 Se tali informazioni non sono sufficienti, il Cliente può effettuare un'ispezione, direttamente o tramite un revisore indipendente vincolato alla riservatezza e non concorrente del Responsabile, alle seguenti condizioni: preavviso scritto di almeno 30 giorni; non più di una volta per anno solare, salvo una violazione dei dati o una richiesta dell'autorità di controllo; in orario lavorativo e senza interferire con l'operatività; senza accesso ai dati di altri clienti né alle infrastrutture dei Sub-responsabili oltre quanto da essi consentito.

A.12.3 I costi dell'ispezione sono a carico del Cliente, salvo che emerga una violazione sostanziale del presente Allegato imputabile al Responsabile.

Art. A.13 – Responsabilità

La responsabilità delle parti per i danni derivanti dalla violazione del presente Allegato è regolata dall'art. 82 GDPR e dall'art. 14 delle Condizioni Generali, fermo restando che nessuna limitazione opera in caso di dolo o colpa grave né per la violazione di obblighi derivanti da norme di ordine pubblico.

Art. A.14 – Durata e prevalenza

A.14.1 Il presente Allegato produce effetti per tutta la durata del trattamento dei Dati Personali del Cliente da parte del Responsabile, anche oltre la cessazione del Contratto.

A.14.2 In caso di contrasto tra il presente Allegato e le Condizioni Generali in materia di protezione dei dati personali, prevale il presente Allegato.

Appendice A.1 – Misure tecniche e organizzative di sicurezza

Appendice A.2 – Elenco dei Sub-responsabili

Aggiornato al 21/10/2026.