1. Ruoli nel Trattamento dei Dati

1.1 Per i dati degli Host (proprietari strutture)
Hosty Lab di Silvia Cesarini è Titolare autonomo del trattamento per i dati raccolti durante la registrazione, l'uso della piattaforma e la gestione degli abbonamenti.

1.2 Per i dati degli Ospiti (utilizzatori assistente AI)
L'Host è il Titolare autonomo del trattamento per le conversazioni, le richieste di prenotazione/extra e gli altri dati raccolti tramite l'assistente AI. Hosty Lab di Silvia Cesarini agisce come Responsabile del trattamento su istruzione dell'Host, fornendo l'infrastruttura tecnologica per l'erogazione del servizio.

L'Host è quindi responsabile di fornire agli ospiti adeguata informativa privacy e di rispettare tutti gli obblighi GDPR relativi ai dati raccolti tramite il proprio assistente AI.

2. Tipologie di Dati Raccolti

3. Finalità del Trattamento

I tuoi dati personali sono trattati per le seguenti finalità:

4. Base Giuridica del Trattamento

Il trattamento dei dati personali è basato sulle seguenti basi giuridiche previste dall'art. 6 GDPR:

• Esecuzione del contratto (art. 6.1.b GDPR) - per fornire il servizio richiesto, gestire l'account, elaborare pagamenti, gestire richieste di prenotazione/extra e fornire supporto tecnico
• Consenso (art. 6.1.a GDPR) - per attività di marketing, comunicazioni promozionali e utilizzo di strumenti analytics o marketing non essenziali
• Interesse legittimo (art. 6.1.f GDPR) - per migliorare affidabilità e qualità del servizio tramite dati aggregati, prevenire frodi e abusi e garantire la sicurezza della piattaforma
• Obbligo legale (art. 6.1.c GDPR) - per adempimenti fiscali (conservazione fatture 10 anni), contabili, risposta a richieste autorità competenti

5. Condivisione con Terze Parti e Responsabili del Trattamento

Per erogare il servizio, i dati personali possono essere trattati da fornitori selezionati. In base al servizio svolto, tali soggetti operano come Responsabili del trattamento ai sensi dell'art. 28 GDPR oppure come Titolari autonomi per le finalità determinate direttamente da loro.

Categorie di fornitori e destinatari:

• Infrastruttura cloud, hosting, archiviazione, database, caching e distribuzione dei contenuti
• Servizi di intelligenza artificiale per generare e mantenere il contesto delle risposte; Cohosty usa le API di OpenAI per questa funzione
• Servizi di pagamento, fatturazione e gestione degli abbonamenti; i pagamenti online sono gestiti tramite Stripe
• Invio di email, assistenza clienti e gestione delle relazioni con i clienti
• Analytics, misurazione delle conversioni e pubblicità, esclusivamente nei limiti delle preferenze espresse dall'utente
• Servizi tecnici di sicurezza, monitoraggio e manutenzione della piattaforma

Altri destinatari legittimi:

• Host della struttura interessata, per gestire richieste degli ospiti, servizi extra e comunicazioni operative
• Consulenti legali, commercialisti e revisori contabili per adempimenti professionali
• Autorità giudiziarie, forze dell'ordine, autorità fiscali quando richiesto dalla legge
• Istituti bancari per gestione transazioni finanziarie
• Fornitori di servizi di assistenza tecnica e manutenzione (sotto accordo di riservatezza)

Nota importante: I tuoi dati non vengono mai venduti, affittati o ceduti a terzi per finalità commerciali diverse da quelle indicate nella presente informativa.

6. Conservazione dei Dati

I dati personali sono conservati per il tempo strettamente necessario alle finalità per cui sono stati raccolti, secondo i seguenti criteri di retention:

• Dati account Host: per la durata dell'account e, dopo la richiesta di cancellazione, limitatamente a quanto necessario per obblighi di legge, sicurezza, prevenzione abusi, gestione di contestazioni e difesa dei diritti
• Dati di fatturazione e pagamento: conservati per 10 anni dalla data di emissione per obblighi fiscali e contabili (art. 2220 c.c.)
• Conversazioni ospiti con AI: per il tempo necessario a fornire la chat, consentire all'Host di gestire le comunicazioni e tutelare sicurezza e diritti. La durata tiene conto dell'ultima interazione, del ciclo di vita dell'account e delle richieste di cancellazione
• Richieste di prenotazione e servizi extra: per il tempo necessario a gestire la richiesta, le relative comunicazioni e le eventuali contestazioni
• Cache dati marketing (Facebook Pixel): conservati per 45 giorni per ottimizzazione tracking conversioni, poi automaticamente eliminati
• Statistiche realmente anonime: possono essere conservate senza un termine specifico quando non costituiscono più dati personali
• Log di sicurezza: secondo criteri basati sul rischio, sulla necessità di individuare abusi e di investigare incidenti
• Comunicazioni di supporto: per il tempo necessario a gestire la richiesta e le eventuali contestazioni

Quando i dati non sono più necessari rispetto alle finalità e non sussistono ulteriori basi di conservazione, vengono cancellati o resi anonimi secondo le procedure applicabili.

7. I Tuoi Diritti (GDPR)

In qualità di interessato, hai diritto di esercitare i seguenti diritti previsti dagli articoli 15-22 del GDPR:

• Accesso (art. 15) - ottenere conferma dell'esistenza dei tuoi dati e riceverne copia
• Rettifica (art. 16) - correggere dati inesatti o integrare dati incompleti
• Cancellazione (art. 17) - richiedere l'eliminazione dei dati ("diritto all'oblio"), salvo obblighi di legge che ne impongano la conservazione
• Limitazione (art. 18) - ottenere la limitazione del trattamento in specifiche circostanze
• Portabilità (art. 20) - ricevere i dati in formato strutturato, leggibile da dispositivo automatico e trasmetterli ad altro titolare
• Opposizione (art. 21) - opporti al trattamento basato su interesse legittimo o per finalità di marketing diretto
• Revoca consenso (art. 7.3) - revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento precedente
• Reclamo (art. 77) - presentare reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it)

Per esercitare i tuoi diritti o per maggiori informazioni, invia richiesta scritta via email a team@cohosty.it o PEC a silvia.cesarini2@postecert.it con oggetto "Richiesta Esercizio Diritti GDPR - [TUO NOME]". Risponderemo entro 30 giorni dalla ricezione della richiesta.

8. Misure di Sicurezza

Abbiamo implementato misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato ai rischi, in conformità all'art. 32 GDPR, tra cui:

• Protezione delle comunicazioni: connessioni HTTPS/TLS durante il transito dei dati
• Protezione dei dati sensibili: cifratura applicativa di specifici campi, come le credenziali WiFi, e misure di protezione at-rest offerte dai fornitori infrastrutturali
• Autenticazione: gestione protetta delle sessioni e password conservate mediante hashing
• Controlli di accesso: verifiche di autenticazione, autorizzazione e proprietà delle risorse
• Prevenzione abusi: validazione degli input, rate limiting, log tecnici e controlli di sicurezza dove applicabili
• Minimizzazione: limitazione dei dati comunicati ai fornitori alle informazioni necessarie alla funzione richiesta

In caso di violazione dei dati personali (data breach) che presenti un rischio per i tuoi diritti e libertà, ti informeremo senza ingiustificato ritardo come previsto dall'art. 34 GDPR.

9. Cookie e Tecnologie Simili

La piattaforma Cohosty utilizza cookie e tecnologie simili per garantire il corretto funzionamento del servizio e, previo tuo consenso, per finalità di marketing e analytics.

Tipologie di cookie utilizzati:
• Cookie tecnici (necessari): essenziali per il funzionamento della piattaforma, gestione sessioni, autenticazione utente. Non richiedono consenso.
• Strumenti analytics: Vercel Analytics e Google Analytics si attivano solo con consenso analytics
• Strumenti marketing: le funzioni pubblicitarie di Google Ads e Meta Pixel/Conversions API si attivano con consenso marketing per misurare conversioni e ottimizzare le campagne pubblicitarie

Puoi gestire le tue preferenze cookie in qualsiasi momento tramite le impostazioni del tuo browser o tramite il banner cookie presente sulla piattaforma. Per informazioni dettagliate consulta la nostra Cookie Policy.

10. Modifiche alla Privacy Policy

Ci riserviamo il diritto di modificare o aggiornare la presente informativa privacy per adeguarla a evoluzioni normative, tecnologiche o organizzative. In caso di modifiche sostanziali, ti informeremo tramite email o notifica sulla piattaforma con almeno 30 giorni di preavviso. La versione più recente sarà sempre disponibile su questa pagina con indicazione della data di ultimo aggiornamento.

11. Intelligenza Artificiale e AI Act

Trattamento dei dati tramite AI: per fornire le risposte dell’assistente, i contenuti inseriti dagli utenti (es. domande degli ospiti e informazioni configurate dall’Host) possono essere inviati al nostro fornitore di modelli linguistici (OpenAI) esclusivamente per generare la risposta richiesta e per finalità di sicurezza e prevenzione abusi.

Uso dei dati per addestramento: Cohosty non utilizza i contenuti delle conversazioni per addestrare modelli di intelligenza artificiale “general purpose”. Inoltre, secondo quanto dichiarato dal fornitore, i modelli non vengono addestrati sui dati delle API/servizi business salvo opt-in esplicito del cliente.

Conservazione e logging: Cohosty conserva le conversazioni secondo i criteri indicati nella sezione “Conservazione dei dati”. Il fornitore AI applica periodi diversi in base alla funzione API utilizzata: alcuni dati tecnici e output possono essere conservati per finalità di sicurezza e conformità, mentre gli oggetti conversazionali con stato possono rimanere disponibili fino alla loro cancellazione. Cohosty è responsabile di richiedere tale cancellazione quando i dati non sono più necessari.

Minimizzazione: invitiamo Host e Ospiti a non inserire nelle conversazioni dati particolari (es. dati sanitari) o informazioni non necessarie. Lo stesso invito vale per le note delle richieste di prenotazione o servizi extra. L’Host può configurare contenuti e regole dell’assistente per ridurre l’inserimento di dati personali non pertinenti.

Decisioni automatizzate: l’assistente fornisce risposte informative e non effettua decisioni automatizzate che producano effetti giuridici o impatti analogamente significativi sugli utenti. Se in futuro venissero introdotte funzionalità diverse, sarà garantita trasparenza e possibilità di intervento umano.

Trasparenza (art. 50 AI Act): gli utenti vengono informati che stanno interagendo con un sistema di AI. Le risposte possono contenere imprecisioni: l’Host resta responsabile dell’accuratezza delle informazioni pubblicate e può correggere/aggiornare i contenuti in qualunque momento.

12. Contatti Privacy