1. Titolare del trattamento
Il Titolare del trattamento dei dati personali è:
Colleverde SAS di Cangiotti Carlo & C
Via Bocca Trabaria Ovest, 96 — 61029 Urbino (PU) · Marche · Italy
P. IVA 02705160410
Email: info@colleverde-urbino.it
Telefono: +39 0722 339213
2. Categorie di dati trattati
Il Titolare tratta le seguenti categorie di dati personali:
- Dati anagrafici e di contatto: nome, cognome, data e luogo di nascita, indirizzo, email, numero di telefono, documento di identità (necessario per la registrazione obbligatoria di Pubblica Sicurezza ex art. 109 TULPS);
- Dati di prenotazione: date soggiorno, tipologia camera, numero ospiti, richieste particolari, preferenze alimentari/dietetiche;
- Dati di pagamento: dati della carta di credito o di altri strumenti di pagamento (gestiti tramite gateway certificati PCI-DSS; il Titolare non conserva le coordinate complete della carta);
- Dati di navigazione del Sito: indirizzo IP, user-agent, pagine visitate, durata sessione, fonte del traffico, dati raccolti tramite cookie (vedi Cookie Policy);
- Dati relativi a comunicazioni: contenuto di email, form di contatto, messaggi WhatsApp, recensioni e feedback;
- Dati relativi alla newsletter: email, eventuale nome, preferenze, log di consenso, dati di apertura/click;
- Dati relativi alla SPA (se applicabile): età/data di nascita per verifica accesso minorenni, eventuali dichiarazioni di salute volontariamente rese per fini di sicurezza.
3. Finalità del trattamento e basi giuridiche
I dati sono trattati per le seguenti finalità:
| Finalità | Base giuridica | Conservazione |
|---|---|---|
| Esecuzione del contratto alberghiero, gestione prenotazione e soggiorno | Art. 6(1)(b) GDPR. esecuzione contratto | Durata del soggiorno + 10 anni (obblighi fiscali) |
| Adempimento obblighi di legge (Pubblica Sicurezza, fiscali, sanitari) | Art. 6(1)(c) GDPR. obbligo legale | Secondo i termini di legge specifici |
| Risposta a richieste di informazioni e form di contatto | Art. 6(1)(b) GDPR. misure precontrattuali | 24 mesi salvo prosecuzione rapporto |
| Newsletter e comunicazioni promozionali | Art. 6(1)(a) GDPR. consenso esplicito | Fino a revoca del consenso |
| Analisi statistiche e miglioramento del Sito | Art. 6(1)(f) GDPR. legittimo interesse | 26 mesi |
| Marketing personalizzato, profilazione | Art. 6(1)(a) GDPR. consenso | Fino a revoca |
| Difesa in giudizio | Art. 6(1)(f) GDPR. legittimo interesse | Termini di prescrizione applicabili |
4. Natura del conferimento
Il conferimento dei dati richiesti per la prenotazione e per gli adempimenti di legge è obbligatorio: il rifiuto comporta l'impossibilità di confermare il soggiorno. Il conferimento dei dati per finalità di marketing e newsletter è facoltativo: il rifiuto non pregiudica in alcun modo l'accesso ai servizi della Struttura.
5. Destinatari dei dati
I dati possono essere comunicati a:
- Personale della Struttura (camerieri, receptionist, manutentori), autorizzato al trattamento e formato sulla riservatezza;
- Fornitori di servizi IT, gestionali alberghieri (PMS Passepartout Welcome), gateway di pagamento, piattaforme di prenotazione, OTA. tutti nominati Responsabili del trattamento ex art. 28 GDPR;
- Piattaforme pubblicitarie e di analytics (Meta Platforms Ireland Ltd., Google Ireland Ltd., Microsoft Ireland, Cloudflare, Brevo) per la misurazione delle conversioni e l'eventuale erogazione di campagne (vedi sez. 5-bis e Cookie Policy);
- Autorità di Pubblica Sicurezza, autorità fiscali, autorità sanitarie (per gli adempimenti obbligatori di legge);
- Consulenti professionali (commercialista, legale) per esigenze gestionali e di difesa;
- Compagnie assicurative in caso di sinistri.
5-bis. Tracciamento server-side e misurazione conversioni
Per misurare l'efficacia delle proprie campagne pubblicitarie il Titolare utilizza tecnologie di tracciamento server-side che inviano informazioni relative alle prenotazioni confermate alle piattaforme pubblicitarie tramite API dedicate (Meta Conversions API e Google Analytics 4 Measurement Protocol), in aggiunta al tradizionale tracciamento via cookie.
- Dati trasmessi: codice prenotazione pseudonimizzato, valore della transazione, date soggiorno, ed eventuali dati di contatto cliente cifrati SHA-256 prima dell'invio (hashing irreversibile). Le piattaforme non ricevono mai dati in chiaro.
- Con consenso marketing pieno: dati cifrati abbinati al profilo utente per misurazione, ottimizzazione e lookalike audience.
- Senza consenso marketing: attivato Limited Data Use Meta + omessi identificatori GA4. Solo misurazione aggregata, niente profilazione/retargeting.
- Opt-out totale: nessun tracciamento, neppure aggregato (flag PMS isEscludiDaAutomatismi o richiesta diretta).
Basi giuridiche: art. 6.1.b (contratto), art. 6.1.f (legittimo interesse misurazione aggregata, LDU), art. 6.1.a (consenso marketing). Audit trail interno per accountability art. 5.2 GDPR.
6. Trasferimenti extra-UE
Alcuni servizi terzi comportano trasferimento di dati verso paesi extra-UE, in particolare USA (Meta, Google, Microsoft Clarity, Cloudflare). Garanzie adottate:
- EU-US Data Privacy Framework (decisione 10/07/2023): Meta Platforms, Google LLC e Microsoft Corporation hanno aderito;
- Clausole contrattuali tipo (SCC) della Commissione + misure tecniche supplementari (hashing SHA-256, pseudonimizzazione, IP truncation);
- Per prenotazioni senza consenso marketing: Limited Data Use Meta + tracciamento anonimizzato Google.
6-bis. Periodi di conservazione dei dati
Il Titolare conserva i dati personali per il tempo strettamente necessario alle finalità del trattamento, secondo il seguente prospetto (art. 5.1.e e art. 13.2.a GDPR):
| Tipologia di dato | Conservazione | Base normativa |
|---|---|---|
| Lead generici (richieste contatto, preventivi non concretizzati) | 6 mesi | art. 6.1.b GDPR |
| Lead in lavorazione / clienti effettivi | 10 anni | art. 2220 cod. civ. (obbligo fiscale) |
| Indirizzo IP e User-Agent dei visitatori | 6 mesi (poi anonimizzati) | art. 6.1.f (sicurezza) |
| Iscritti newsletter | Fino a revoca + 12 mesi log | art. 6.1.a (consenso) |
| Cookie consent banner | 12 mesi | Linee guida Garante 10/06/2021 |
| Tracking server-side con consenso pieno | 24 mesi (poi anonimizzato) | art. 6.1.a |
| Tracking server-side LDU/anonimo | 6 mesi | art. 6.1.f |
| Audit trail consensi | 24 mesi | art. 5.2 (accountability) |
| Registrazioni check-in (art. 109 R.D. 773/1931) | 10 anni | obbligo legge |
| Firma digitale di consenso (check-in) | 10 anni | obbligo legge + accountability |
| Log accessi admin / security events | 12 mesi | art. 32 (sicurezza) |
Decorsi i termini, i dati sono automaticamente cancellati o anonimizzati da una procedura schedulata giornaliera. L'interessato può richiedere copia del proprio audit trail di conservazione scrivendo al Titolare.
7. Diritti dell'interessato
L'interessato può in qualsiasi momento esercitare i diritti di cui agli artt. 15-22 GDPR (accesso, rettifica, cancellazione/oblio, limitazione, opposizione, portabilità). In particolare:
- Diritto di accesso (art. 15) — visualizza in autonomia i tuoi dati: colleverde-urbino.it/i-miei-dati-richiedi (riceverai un link sicuro via email, valido 24 ore);
- Diritto di cancellazione (art. 17) — scrivi a info@colleverde-urbino.it, evadiamo entro 30 giorni (rispettati gli obblighi di legge di conservazione fiscale);
- Diritto di rettifica, limitazione, opposizione, portabilità — scrivi a info@colleverde-urbino.it;
- Revoca del consenso — modifica le tue preferenze dal banner cookies (link "Modifica preferenze" nel footer) o per la newsletter tramite link unsubscribe in ogni email;
- Reclamo — al Garante per la protezione dei dati personali (www.garanteprivacy.it).
L'interessato ha diritto in ogni momento di:
- accedere ai propri dati (art. 15 GDPR);
- chiederne rettifica (art. 16 GDPR);
- chiederne cancellazione, ove non sussista obbligo di conservazione (art. 17 GDPR);
- chiedere limitazione del trattamento (art. 18 GDPR);
- opporsi al trattamento per legittimo interesse o marketing (art. 21 GDPR);
- ricevere i propri dati in formato strutturato e portarli a un altro titolare (art. 20 GDPR);
- revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente (art. 7 GDPR);
- proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).
Per esercitare tali diritti, l'interessato può scrivere a info@colleverde-urbino.it, con copia di un documento di identità.
8. Sicurezza dei dati
Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio: crittografia HTTPS sul Sito, accesso ai sistemi con autenticazione a più fattori per il personale amministrativo, backup regolari, log di accesso, formazione del personale, contratti di Responsabile del trattamento con i fornitori.
9. Trattamento dati di minori
La Struttura non raccoglie consapevolmente dati di minori di 16 anni senza il consenso di chi esercita la responsabilità genitoriale, fatta eccezione per i dati strettamente necessari alla registrazione del soggiorno (forniti dal genitore/tutore al check-in). I form online del Sito sono destinati a persone maggiorenni.
10. Cookie
Il Sito utilizza cookie tecnici, analitici e di marketing nei termini descritti nella Cookie Policy, parte integrante della presente Informativa.
11. Modifiche all'informativa
Il Titolare si riserva il diritto di modificare la presente Informativa in qualsiasi momento, dando notizia della modifica mediante pubblicazione sul Sito. Si invita l'interessato a consultare periodicamente la presente pagina.
Ultimo aggiornamento: 13/10/2026