Versione 1.3, in vigore dal 20 ottobre 2026 per la fase di test. Le parti evidenziate sono in revisione legale o in verifica tecnica: le modifiche saranno pubblicate come nuova versione, da accettare di nuovo.
Accordo sul trattamento dei dati personali (DPA)
1. Parti e rapporto con le condizioni generali
Il presente accordo, di seguito «DPA», disciplina il trattamento dei dati personali effettuato attraverso OspitoFacile da:
MEDINORA S.R.L.
Via Vitale 1/C, 70016 Noicàttaro (BA), Italia
Codice fiscale e partita IVA: 08570260722 · REA: BA-635459
Capitale sociale: € 10.000,00 interamente versato
Email: info@ospitofacile.it · PEC:
medinorasrl@pec.it
di seguito «MEDINORA» o «Responsabile», per conto del cliente identificato attraverso i dati dell'account e dei titolari della locazione o gestori registrati nell'account per ciascuna struttura, di seguito «Cliente».
Il DPA è parte integrante delle Condizioni generali di utilizzo e vendita di OspitoFacile. In caso di contrasto sulle modalità di trattamento dei dati personali per conto del Cliente, prevale il presente accordo.
2. Ruoli delle parti
Quando il Cliente determina finalità e mezzi essenziali del trattamento dei dati degli ospiti, opera come Titolare del trattamento e designa MEDINORA quale Responsabile del trattamento, ai sensi dell'art. 28 GDPR.
Quando il Cliente opera come responsabile per conto di un altro titolare, ad esempio un property manager per conto del titolare della locazione, MEDINORA opera come sub-responsabile. Il Cliente deve disporre dell'autorizzazione necessaria e trasmettere istruzioni compatibili con quelle ricevute dal titolare.
La titolarità dell'account, la proprietà dell'immobile e i ruoli privacy non coincidono necessariamente. Il Cliente identifica, per ogni struttura, il titolare della locazione o il gestore per conto del quale opera.
Il presente DPA non disciplina i trattamenti per i quali MEDINORA opera come titolare autonomo, come la gestione degli account, degli acquisti, della fatturazione e dei rapporti commerciali, descritti nell'Informativa privacy.
3. Oggetto, natura e finalità
MEDINORA tratta i dati esclusivamente per fornire al Cliente le funzionalità del servizio:
- inserimento manuale dei dati degli ospiti;
- lettura automatica dei documenti d'identità, facoltativa;
- gestione dei soggiorni e dei partecipanti;
- riconoscimento degli ospiti già registrati nell'account;
- preparazione del file TXT e invio delle comunicazioni al servizio Alloggiati Web della Polizia di Stato, con la gestione degli esiti e il download delle ricevute;
- statistiche di presenze e occupazione;
- esportazione e cancellazione dei dati secondo le istruzioni del Cliente;
- assistenza tecnica, protezione e manutenzione del servizio.
Le operazioni comprendono raccolta, registrazione, organizzazione, consultazione, elaborazione, conservazione, trasmissione, restituzione e cancellazione. Il presente DPA non autorizza MEDINORA a utilizzare i dati degli ospiti per finalità proprie, comprese quelle promozionali. Nuove funzionalità che comportino ulteriori trattamenti saranno descritte in una nuova versione del DPA.
4. Interessati e categorie di dati
Gli interessati sono gli ospiti delle strutture del Cliente: capigruppo, familiari, membri di gruppi, compresi i minori.
I dati trattati sono:
- nome, cognome, sesso, data e luogo di nascita, cittadinanza e, se inseriti, codice fiscale e residenza;
- tipo, numero, luogo e date di rilascio e di scadenza del documento d'identità;
- struttura, date e tipologia del soggiorno;
- esiti degli invii ad Alloggiati Web e ricevute rilasciate dal servizio;
- immagini dei documenti, trattate solo per la lettura automatica e mai archiviate da MEDINORA (Allegato A.1).
Non sono trattati recapiti degli ospiti, dati relativi alla salute o altre categorie particolari di dati, dati biometrici di identificazione o dati relativi a condanne penali e reati. Il Cliente non inserisce tali dati nei campi liberi del servizio.
5. Istruzioni del Cliente
MEDINORA tratta i dati soltanto su istruzioni documentate del Cliente, comprese quelle relative a eventuali trasferimenti internazionali. Costituiscono istruzioni le Condizioni generali, il presente DPA, le impostazioni configurate dal Cliente nell'app, come il periodo di conservazione delle schede degli ospiti, e le operazioni che il Cliente esegue nell'app.
Se una disposizione di legge impone un trattamento diverso, MEDINORA ne informa preventivamente il Cliente, salvo che la legge lo vieti per rilevanti motivi di interesse pubblico.
MEDINORA informa immediatamente il Cliente se ritiene che un'istruzione violi la normativa sulla protezione dei dati. Le parti collaborano per correggerla; l'operazione interessata può essere sospesa quando necessario.
6. Obblighi del Cliente
Il Cliente deve:
- individuare i presupposti di liceità del trattamento;
- fornire agli ospiti l'informativa prevista dagli artt. 13 e 14 GDPR, anche usando il modello messo a disposizione da OspitoFacile;
- limitare i dati a quelli necessari e verificarne la correttezza;
- configurare un periodo di conservazione delle schede degli ospiti per il quale disponga di un presupposto di liceità, in particolare per conservarle dopo la comunicazione ad Alloggiati Web;
- verificare i dati letti automaticamente prima di confermarli e inviarli;
- utilizzare credenziali di Alloggiati Web delle quali abbia legittimamente la disponibilità;
- comunicare tempestivamente a MEDINORA le richieste degli interessati o le circostanze che richiedono interventi sul trattamento.
Questi obblighi non escludono quelli direttamente posti dalla legge a carico di MEDINORA.
7. Riservatezza e sicurezza
MEDINORA garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza e ricevano istruzioni adeguate. L'accesso ai dati per assistenza è limitato a quanto necessario e viene registrato.
MEDINORA adotta misure tecniche e organizzative adeguate al rischio, ai sensi dell'art. 32 GDPR, descritte nell'Allegato A.2. Le misure sono verificate e aggiornate periodicamente; le modifiche non riducono il livello complessivo di protezione.
8. Sub-responsabili
Il Cliente autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato A.3. MEDINORA impone loro obblighi di protezione sostanzialmente equivalenti a quelli del presente accordo, verifica che forniscano garanzie sufficienti e resta responsabile verso il Cliente del loro operato, nei termini previsti dal GDPR. Un sub-responsabile può ricorrere a sua volta ad altri sub-responsabili solo se indicati nell'Allegato A.3 e alle stesse condizioni.
Aggiunte o sostituzioni sono comunicate con almeno 30 giorni di preavviso, salvo necessità urgenti adeguatamente motivate. Entro questo termine il Cliente può opporsi per motivi legati alla protezione dei dati. Le parti ricercano una soluzione alternativa; se non è disponibile, il Cliente può recedere dopo aver scaricato i propri dati, con il rimborso dei crediti acquistati, non utilizzati e non scaduti.
9. Localizzazione e trasferimenti internazionali
La localizzazione dei dati e gli eventuali accessi da Paesi terzi sono descritti nell'Allegato A.3. La scelta di una regione di hosting europea non esclude da sola ogni trasferimento internazionale. Gli eventuali trasferimenti avvengono nel rispetto del capo V GDPR, sulla base di una decisione di adeguatezza, come l'EU-U.S. Data Privacy Framework, o delle clausole contrattuali standard della Commissione europea, con le misure supplementari eventualmente necessarie.
10. Violazioni dei dati personali
MEDINORA informa il Cliente senza ingiustificato ritardo, e comunque entro 24 ore dalla scoperta, di ogni violazione dei dati personali trattati per suo conto. La comunicazione comprende, per quanto disponibile:
- natura della violazione e dati coinvolti;
- categorie e numero approssimativo degli interessati e delle registrazioni;
- conseguenze probabili;
- misure adottate o proposte;
- contatto per gli aggiornamenti.
Le informazioni possono essere fornite progressivamente: la comunicazione non attende la conclusione delle indagini. MEDINORA collabora al contenimento, alla valutazione e alla documentazione dell'incidente. Il Cliente decide le notifiche all'autorità e agli interessati previste dagli artt. 33 e 34 GDPR.
11. Diritti degli interessati e assistenza
L'app consente al Cliente di consultare, correggere, esportare e cancellare la scheda di ogni ospite. MEDINORA assiste il Cliente, tenendo conto della natura del trattamento, nel rispondere alle richieste di esercizio dei diritti.
Se riceve direttamente una richiesta relativa a dati trattati per conto del Cliente, MEDINORA la inoltra al Cliente entro 5 giorni lavorativi e non risponde nel merito senza istruzioni, salvo obbligo di legge.
MEDINORA assiste inoltre il Cliente negli obblighi di sicurezza, nelle valutazioni d'impatto e nelle eventuali consultazioni preventive (artt. 32–36 GDPR), con le informazioni a propria disposizione.
12. Informazioni e verifiche
MEDINORA mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consente e contribuisce alle verifiche del Cliente o di un revisore da questo incaricato e vincolato alla riservatezza.
Le verifiche si svolgono di regola attraverso documentazione e controlli a distanza. Eventuali ispezioni sono richieste con almeno 30 giorni di preavviso, non più di una volta l'anno, a spese del Cliente e nel rispetto della sicurezza e della riservatezza dei dati degli altri clienti. Questi limiti non si applicano in presenza di violazioni, fondati sospetti o richieste dell'autorità.
13. Durata, restituzione e cancellazione
Il DPA opera per tutto il periodo in cui MEDINORA tratta dati per conto del Cliente. Durante il rapporto le schede degli ospiti sono cancellate secondo il periodo di conservazione configurato dal Cliente (Allegato A.1).
Il Cliente può scaricare tutti i dati dalla pagina Account. Chiesta la chiusura dell'account, i dati restano consultabili ed esportabili per 7 giorni, durante i quali la richiesta può essere annullata; poi i dati trattati per conto del Cliente sono cancellati dai sistemi attivi e le copie di sicurezza sono sovrascritte entro 30 giorni.
La scadenza dei crediti non modifica i termini di conservazione dei dati personali.
14. Accettazione e contatti
Il DPA è concluso elettronicamente con le Condizioni generali. MEDINORA conserva evidenza dell'accettazione, dell'utente che l'ha prestata, della data e della versione applicabile. Per comunicazioni relative al presente accordo: info@ospitofacile.it o PEC medinorasrl@pec.it.
Allegato A.1 · Conservazione e cancellazione
| Dati | Regola |
|---|---|
| Immagini dei documenti | Mai archiviate da MEDINORA: restano in memoria il tempo della lettura e sono scartate anche in caso di errore. Il fornitore della lettura automatica le riceve senza memorizzazione dell'applicazione; in attesa dell'attivazione della conservazione zero richiesta da MEDINORA, il fornitore può conservarle fino a 30 giorni per il controllo degli abusi, poi le cancella. |
| Schede degli ospiti | Cancellate automaticamente alla scadenza del periodo configurato dal Cliente, da 0 a 60 mesi dall'ultimo soggiorno (predefinito 12 mesi), e comunque non prima che si chiuda la finestra di invio ad Alloggiati Web. Con le schede sono cancellate le impronte usate per riconoscere gli ospiti già registrati. Da verificare con il legale: periodo predefinito e base giuridica per la conservazione dopo la comunicazione ad Alloggiati Web. |
| Statistiche | Alla cancellazione della scheda restano, collegati a date e struttura del soggiorno, la fascia d'età al soggiorno (0–13, 14–17, 18–24, 25–34, 35–44, 45–54, 55–64, 65 e oltre, mai l'età esatta), sesso, cittadinanza e Stato di residenza, senza dati identificativi. |
| Storico degli invii e ricevute di Alloggiati Web | Conservati finché l'account è attivo. Termine massimo di conservazione da definire. |
| Registro attività | Utente, data, operazione ed esito, senza il contenuto inserito: cancellato dopo 60 giorni. |
| Registri tecnici | Privi di dati degli ospiti. |
| Chiusura dell'account | 7 giorni per esportare o annullare la richiesta, poi cancellazione dai sistemi attivi. |
| Copie di sicurezza | Cifrate e sovrascritte entro 30 giorni; un ripristino non riporta in uso dati già cancellati. Da verificare sul piano del database. |
Allegato A.2 · Misure di sicurezza
- Autenticazione obbligatoria per ogni accesso al servizio, con verifica del token a ogni richiesta e revoca delle sessioni.
- Separazione dei dati per account: ogni richiesta è limitata all'account autenticato; le regole di accesso ai file sono verificate con test automatici.
- Comunicazioni cifrate (HTTPS) e cifratura dei dischi presso i fornitori.
- Credenziali di Alloggiati Web cifrate con AES-256-GCM, con chiave conservata fuori dal database e mai inviate al browser.
- Riconoscimento degli ospiti già registrati tramite impronte crittografiche (HMAC) invece dei dati in chiaro.
- Immagini dei documenti mai salvate; registri tecnici privi di dati degli ospiti.
- Registro attività di ogni modifica, consultabile dal Cliente, che traccia anche gli accessi del personale MEDINORA all'area di amministrazione.
- Ambienti di test separati dalla produzione. Da definire: regole per l'uso di dati reali in ambienti diversi dalla produzione.
- In programma: autenticazione a due fattori obbligatoria per il personale, prove periodiche di ripristino dei backup, procedura documentata di gestione delle vulnerabilità e degli incidenti.
Allegato A.3 · Sub-responsabili e localizzazioni
| Fornitore | Servizio e dati | Localizzazione | Garanzie |
|---|---|---|---|
| COMPOSING STUDIO SRL | sviluppo e gestione tecnica del servizio; acquista per conto di MEDINORA i servizi di Google (Firebase) e Heroku indicati sotto, che sono quindi suoi sub-responsabili | Italia | accordo sul trattamento con MEDINORA (art. 28, par. 4, GDPR) da formalizzare |
| Google (Firebase), tramite COMPOSING STUDIO SRL entità Google da indicare | archiviazione delle ricevute di Alloggiati Web; autenticazione e hosting del sito, che non trattano dati degli ospiti | Unione Europea per l'archiviazione; servizio globale per l'autenticazione (solo dati del Cliente) | EU-U.S. Data Privacy Framework, clausole contrattuali standard |
| Salesforce (Heroku), tramite COMPOSING STUDIO SRL entità Salesforce da indicare | server applicativo e database: tutti i dati degli ospiti | Unione Europea | accordo sul trattamento del fornitore |
| OpenAI, contratto diretto con MEDINORA entità contrattuale da verificare | lettura automatica dei documenti: immagine del documento | Stati Uniti o Unione Europea, secondo la residenza dei dati attivata | EU-U.S. Data Privacy Framework, clausole contrattuali standard |
| Brevo, contratto diretto con MEDINORA entità contrattuale da verificare | invio delle email del servizio: ricevute della tassa di soggiorno agli ospiti (nome, indirizzo email e PDF della ricevuta) con l'eventuale invito al consenso della struttura; copie e ricevute di Alloggiati Web inviate al Cliente | Unione Europea da verificare | accordo sul trattamento del fornitore |
Il servizio Alloggiati Web della Polizia di Stato non è un sub-responsabile: è il destinatario della comunicazione prevista dalla legge, effettuata su richiesta del Cliente. Il fornitore dei pagamenti (Stripe, contratto diretto con MEDINORA) non tratta dati degli ospiti e non è un sub-responsabile.