Accordo sul trattamento dei dati personali

Data Processing Agreement ai sensi dell'art. 28 del Regolamento (UE) 2016/679 · Versione del 15 settembre 2026

1. Parti e ruoli

Il presente accordo è concluso tra il Cliente, che utilizza il servizio Roomio per la gestione della propria struttura ricettiva, in qualità di Titolare del trattamento, e la Ditta di Gabriele Fabio Ditaranto, Via Matera, 5, 74028 Sava (TA), P.IVA 03488810734, in qualità di Responsabile del trattamento (di seguito «Roomio»). Con l'accettazione della Proposta il Titolare nomina Roomio responsabile del trattamento ai sensi dell'art. 28 del Regolamento.

2. Oggetto, natura e finalità del trattamento

Roomio tratta i dati personali per conto del Titolare al solo fine di erogare il Servizio descritto nelle Condizioni: raccolta e gestione delle prenotazioni dirette e da portali, check-in online, gestione degli ospiti e delle comunicazioni, incasso dei pagamenti tramite Stripe, trasmissione delle schedine al Portale Alloggiati e dei dati ISTAT al portale regionale, statistiche, assistenza tecnica e copie di sicurezza. Il trattamento consiste in raccolta, registrazione, conservazione, consultazione, comunicazione per trasmissione, cancellazione, effettuati con strumenti elettronici.

3. Durata

L'accordo ha la stessa durata del contratto di servizio e resta efficace finché Roomio tratta dati personali per conto del Titolare, compreso il periodo di restituzione e cancellazione di cui all'art. 9.

4. Categorie di interessati e di dati

Interessati

• ospiti della struttura e persone che viaggiano con loro, compresi minori accompagnati;
• persone che effettuano richieste o prenotazioni per conto di altri;
• titolare e collaboratori del Cliente con accesso al gestionale.

Dati

• dati identificativi e di contatto: nome, cognome, data e luogo di nascita, cittadinanza, residenza, email, telefono;
• dati del documento di identità richiesti dalla normativa sulle comunicazioni alla Questura: tipo, numero, luogo di rilascio;
• dati del soggiorno: date, unità, numero di ospiti, servizi richiesti, preferenze e comunicazioni con la struttura;
• dati di pagamento in forma di riferimenti e stati delle transazioni Stripe: Roomio non conserva i numeri completi delle carte;
• dati tecnici: indirizzo IP, log di accesso e di utilizzo del check-in online e del portale di prenotazione.

Non è previsto il trattamento di categorie particolari di dati (art. 9). Il Titolare si impegna a non inserirne nel Servizio, salvo che sia strettamente necessario e lecito.

5. Obblighi del Titolare

Il Titolare garantisce di avere una base giuridica per il trattamento, di fornire agli ospiti l'informativa prevista dagli artt. 13 e 14, di impartire a Roomio istruzioni lecite e di custodire le credenziali di accesso proprie e dei collaboratori. Le istruzioni documentate del Titolare sono costituite dalle Condizioni di servizio, dal presente accordo e dalle configurazioni che il Titolare imposta nel gestionale.

6. Obblighi di Roomio

Ai sensi dell'art. 28, par. 3, Roomio si impegna a:

• a) trattare i dati soltanto su istruzione documentata del Titolare, anche per quanto riguarda eventuali trasferimenti verso Paesi terzi, salvo che lo richieda il diritto dell'Unione o nazionale; in tal caso informa il Titolare prima del trattamento, se la legge lo consente;
• b) garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza e abbiano ricevuto istruzioni adeguate;
• c) adottare le misure di sicurezza di cui all'art. 32, descritte nell'Allegato A;
• d) rispettare le condizioni sui sub-responsabili di cui all'art. 7;
• e) assistere il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità e altri diritti): le richieste ricevute direttamente da Roomio vengono inoltrate al Titolare entro 5 giorni lavorativi;
• f) assistere il Titolare nel garantire il rispetto degli obblighi di cui agli artt. 32-36 (sicurezza, notifica delle violazioni, valutazione d'impatto), tenendo conto della natura del trattamento e delle informazioni a disposizione;
• g) al termine della prestazione, restituire o cancellare i dati secondo l'art. 9;
• h) mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire verifiche, come previsto dall'art. 10;
• i) informare immediatamente il Titolare se, a suo parere, un'istruzione viola il Regolamento o altre disposizioni in materia di protezione dei dati.

7. Sub-responsabili

Il Titolare autorizza in via generale Roomio a ricorrere a sub-responsabili per l'erogazione del Servizio, appartenenti alle seguenti categorie: fornitori di hosting e infrastruttura con data center nell'Unione europea; Stripe, per l'elaborazione dei pagamenti; fornitori di servizi di invio email e notifiche. L'elenco aggiornato dei sub-responsabili è disponibile su richiesta a chiedi@getroomio.it. Roomio informa il Titolare di ogni aggiunta o sostituzione con almeno 30 giorni di anticipo; il Titolare può opporsi per motivi legittimi e, in caso di mancato accordo, recedere dal contratto senza penali. Roomio impone ai sub-responsabili, per contratto, gli stessi obblighi di protezione dei dati previsti dal presente accordo e resta responsabile nei confronti del Titolare del loro adempimento.

8. Ubicazione dei dati e trasferimenti

I dati sono conservati ed elaborati su server situati nell'Unione europea. Eventuali trasferimenti verso Paesi terzi da parte di sub-responsabili (ad esempio per l'elaborazione dei pagamenti) avvengono esclusivamente nel rispetto del capo V del Regolamento, sulla base di decisioni di adeguatezza o di clausole contrattuali standard integrate da misure supplementari ove necessario.

9. Restituzione e cancellazione

Alla cessazione del contratto il Titolare può esportare dal gestionale, per 30 giorni, prenotazioni, anagrafiche degli ospiti, pagamenti e ricevute in formato leggibile da elaboratore. Trascorso tale termine, Roomio cancella i dati dai sistemi in produzione e dalle copie di sicurezza secondo i cicli di rotazione, entro ulteriori 30 giorni, salvo che il diritto dell'Unione o nazionale imponga la conservazione. Su richiesta, Roomio conferma per iscritto l'avvenuta cancellazione.

10. Verifiche

Roomio fornisce al Titolare, su richiesta scritta e non più di una volta l'anno salvo violazioni accertate, la documentazione utile a dimostrare il rispetto del presente accordo. Se le informazioni non sono sufficienti, il Titolare può svolgere una verifica, anche tramite un revisore indipendente vincolato alla riservatezza, con preavviso di almeno 30 giorni, in orario lavorativo e senza compromettere la sicurezza degli altri clienti.

11. Violazioni dei dati personali

Roomio informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne ha avuto conoscenza, di ogni violazione dei dati personali che riguardi i dati trattati per suo conto, fornendo le informazioni disponibili di cui all'art. 33, par. 3: natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, probabili conseguenze, misure adottate o proposte. Roomio collabora con il Titolare nelle eventuali notifiche all'autorità e comunicazioni agli interessati.

12. Trasmissioni ad Alloggiati Web e ISTAT

Le trasmissioni al Portale Alloggiati della Polizia di Stato e ai portali statistici regionali sono effettuate da Roomio in nome e per conto del Titolare, con le credenziali da lui fornite e sui dati da lui raccolti, in esecuzione di un obbligo legale che grava sul Titolare. Le ricevute rilasciate dalle autorità sono conservate nel gestionale a disposizione del Titolare.

13. Responsabilità e disposizioni finali

Ciascuna parte risponde dei danni causati dal trattamento nei limiti dell'art. 82 del Regolamento. Per quanto non previsto si applicano le Condizioni di servizio, compresi la legge applicabile e il foro competente. In caso di contrasto tra il presente accordo e le Condizioni, prevale il presente accordo per le sole materie di protezione dei dati. Roomio può aggiornare l'accordo per adeguarlo a modifiche normative o del Servizio, informando il Titolare con almeno 30 giorni di anticipo.

Allegato A — Misure di sicurezza

• Cifratura: tutte le connessioni avvengono tramite TLS; i dati e le copie di sicurezza sono cifrati a riposo.
• Controllo degli accessi: accessi personali per ogni utente, password conservate con algoritmi di hashing, separazione dei dati tra clienti, autenticazione a più fattori per il personale di Roomio, principio del minimo privilegio.
• Check-in online: link personale associato alla singola prenotazione, privo di dati personali, con scadenza.
• Pagamenti: i dati delle carte sono gestiti direttamente da Stripe; Roomio conserva solo riferimenti alle transazioni.
• Continuità: copie di sicurezza giornaliere conservate nell'Unione europea, procedure di ripristino verificate periodicamente.
• Monitoraggio: registrazione degli accessi e delle operazioni rilevanti, aggiornamento tempestivo dei componenti software, ambienti di sviluppo e produzione separati.
• Organizzazione: personale istruito e vincolato alla riservatezza, procedura di gestione degli incidenti, revisione periodica delle misure.