Privacy Policy

1. Titolare del trattamento

Lorale Stays Srl — Sede legale: Via Nicostrato Castellini 7, 20161 Milano (MI), Italia. P.IVA / C.F. 14745630963 · PEC: lorale.stays.srl@pec.it · Capitale sociale € 10.000 i.v. · Email: loralestays@gmail.com.

Il Titolare non ha nominato un Data Protection Officer (DPO) in quanto non ricorrono i presupposti dell'art. 37 GDPR; resta disponibile un Referente Privacy contattabile agli indirizzi sopra indicati.

2. Categorie di dati trattati

• Dati di contatto: nome, cognome, email, numero di telefono.
• Dati relativi all'immobile (proprietari): indirizzo, tipologia, metratura, foto, eventuali documenti catastali.
• Dati relativi al soggiorno (ospiti): documento d'identità, date di soggiorno, numero di ospiti, dati di pagamento (gestiti dai relativi PSP, es. Stripe/Airbnb).
• Dati di navigazione: indirizzo IP, user agent, log di accesso, identificativi cookie (vedi Cookie Policy).
• Comunicazioni: contenuto dei messaggi via email, WhatsApp, form.

Non trattiamo categorie particolari di dati (art. 9 GDPR) salvo strettamente necessario per adempiere agli obblighi di registrazione alloggiati (es. comunicazioni alla Questura ex art. 109 TULPS).

3. Finalità e basi giuridiche

• a) Riscontro a richieste e preventivi — base: misure precontrattuali (art. 6.1.b GDPR).
• b) Gestione di prenotazioni, contratti di property management e relativi adempimenti — base: esecuzione del contratto (art. 6.1.b).
• c) Adempimenti di legge (fiscali, antiriciclaggio, comunicazioni alla Questura, CIN, ISTAT) — base: obbligo legale (art. 6.1.c).
• d) Cookie analitici e statistiche aggregate — base: consenso (art. 6.1.a) raccolto tramite cookie banner.
• e) Marketing diretto via email (newsletter) — base: consenso revocabile in qualsiasi momento.
• f) Tutela in giudizio e prevenzione frodi — base: legittimo interesse del Titolare (art. 6.1.f).

4. Periodi di conservazione

• Richieste informative non concretizzatesi: 24 mesi dall'ultimo contatto.
• Dati contrattuali e fiscali: 10 anni dalla chiusura del rapporto (art. 2220 c.c.).
• Dati per comunicazioni di soggiorno: 5 anni (D.M. 7/01/2013).
• Log tecnici: massimo 6 mesi.
• Cookie: durate indicate nella Cookie Policy.
• Newsletter: fino a revoca del consenso.

5. Destinatari e categorie di responsabili

I dati possono essere comunicati a soggetti che agiscono come autonomi titolari o responsabili del trattamento, nominati ex art. 28 GDPR, tra cui:

• Piattaforme OTA (Airbnb Ireland UC, Booking.com B.V., Vrbo/Expedia, ecc.).
• Fornitori di self check-in e gestione chiavi (es. Vikey S.r.l.).
• Fornitori di pagamento (Stripe, banche).
• Provider di infrastruttura cloud e backend (Supabase, Cloudflare).
• Strumenti di analytics (Google Ireland Ltd — Google Analytics 4 con IP-anonymization).
• Commercialista, legali e consulenti.
• Autorità pubbliche su richiesta legittima (Questura, Agenzia delle Entrate, Garante Privacy).

L'elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scrivendo a loralestays@gmail.com.

6. Trasferimenti extra-UE

Alcuni fornitori (es. Google, Stripe, Cloudflare) possono trasferire dati al di fuori dello Spazio Economico Europeo. In tali casi il trasferimento avviene sulla base di: (i) decisioni di adeguatezza della Commissione UE (es. EU-US Data Privacy Framework per fornitori certificati), oppure (ii) Clausole Contrattuali Standard ex art. 46.2 GDPR integrate da misure tecniche supplementari, in coerenza con le linee guida EDPB.

7. Diritti dell'interessato (artt. 15-22 GDPR)

Hai il diritto di: accesso, rettifica, cancellazione (oblio), limitazione, portabilità, opposizione e di non essere sottoposto a decisioni automatizzate. Puoi revocare in qualsiasi momento i consensi prestati senza pregiudicare la liceità dei trattamenti precedenti. Per esercitare tali diritti scrivi a loralestays@gmail.com o a mezzo PEC a lorale.stays.srl@pec.it. Risponderemo entro 30 giorni.

Hai inoltre il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma — garanteprivacy.it).

8. Processi decisionali automatizzati e profilazione

Non effettuiamo trattamenti basati esclusivamente su processi decisionali automatizzati produttivi di effetti giuridici o significativi sull'interessato (art. 22 GDPR). Eventuali strumenti di pricing dinamico utilizzati per la gestione degli annunci non producono effetti sugli utenti del sito.

9. Sicurezza

Adottiamo misure tecniche e organizzative adeguate (cifratura TLS, controllo degli accessi basato sui ruoli, logging, backup cifrati, hardening dei fornitori) per garantire un livello di sicurezza adeguato al rischio, ai sensi degli artt. 25 e 32 GDPR. In caso di data breach con rischio per i diritti e le libertà degli interessati, ti informeremo senza ingiustificato ritardo come previsto dall'art. 34 GDPR.

10. Minori

I servizi non sono rivolti a minori di 16 anni. Non raccogliamo consapevolmente dati di minori senza il consenso dell'esercente la responsabilità genitoriale.

11. Modifiche

Eventuali modifiche sostanziali a questa informativa saranno comunicate sul sito con almeno 15 giorni di preavviso. La versione corrente è sempre quella pubblicata su loralestays.com/privacy.