Accordo sul Trattamento dei Dati (DPA)
Il presente Accordo sul trattamento dei dati personali ("DPA") costituisce parte integrante del contratto di servizi tra Stellar Tourism Innovations GmbH ("Responsabile del Trattamento") e i suoi clienti ("Titolare del Trattamento") e disciplina il trattamento dei dati personali in conformità all'Art. 28 GDPR.
Ultimo aggiornamento: 5 settembre 2026
Preambolo
Questo Contratto di Trattamento Dati regola il trattamento dei dati personali da parte di Stellar Tourism Innovations GmbH ("Xentra", "Responsabile del trattamento") per conto del Cliente ("Titolare del trattamento").
Xentra fornisce una piattaforma SaaS per la gestione degli affitti a breve termine, nell'ambito della quale vengono elaborati dati personali degli ospiti e dei contatti del Cliente.
§1 Oggetto e durata
Il Responsabile del trattamento tratta i dati personali per conto del Titolare nel contesto dei seguenti servizi:
- Gestione prenotazioni e check-in ospiti
- Comunicazione con gli ospiti (SMS, email, messaggistica)
- Gestione serrature intelligenti e accessi
- Generazione testi e analisi assistita da IA
- Elaborazione pagamenti (tramite Stripe)
- Verifica dell'identità e registrazione
§2 Categorie di interessati e dati
Interessati
- Ospiti / viaggiatori del Titolare
- Contatti e partner commerciali del Titolare
- Proprietari e gestori degli immobili amministrati dal titolare
- Dipendenti e fornitori del titolare con accesso alla piattaforma
Categorie di dati
- Dati anagrafici (nome, indirizzo, data di nascita)
- Dati di contatto (email, telefono)
- Dati di prenotazione (arrivo, partenza, prezzo, appartamento)
- Documenti d'identità (per check-in con verifica ID)
- Dati di pagamento (elaborati da Stripe)
- Contenuti delle comunicazioni (messaggi, email)
- Dati di accesso agli immobili (codici di accesso, assegnazione chiavi) e registri di accesso
- Firme, immagini di documenti caricate e foto delle attività
- Messaggi vocali e trascrizioni da essi generate
- Dati di pianificazione, orario di lavoro e retribuzione dei fornitori del titolare
§3 Obblighi del Responsabile del trattamento
- Trattamento dei dati esclusivamente sulla base di istruzioni documentate del Titolare
- Garanzia della riservatezza di tutte le persone incaricate del trattamento dei dati
- Adozione di tutte le misure tecniche e organizzative necessarie ai sensi dell'Art. 32 GDPR
- Supporto al Titolare nell'adempimento dei suoi obblighi nei confronti degli interessati
- Notifica immediata al Titolare in caso di violazioni dei dati
§4 Sub-responsabili
Il Titolare acconsente all'utilizzo dei seguenti sub-responsabili:
| Fornitore | Scopo | Ubicazione server |
|---|---|---|
| Supabase Inc. | Hosting database, autenticazione, archiviazione file | AWS eu-central-1 (Frankfurt) |
| Vercel Inc. | Hosting dell'interfaccia web, delle pagine ospite e del percorso di prenotazione | USA (SCC) |
| Google Cloud (Cloud Run) | Generazione dei PDF delle fatture e dei formati di fattura elettronica | EU (Frankfurt) |
| Functional Software Inc. (Sentry) | Diagnostica degli errori e monitoraggio della stabilità | EU / USA (SCC) |
| Digital Shift OÜ (Capgo) | Distribuzione degli aggiornamenti dell'app mobile | EU (Estland) |
| Google LLC (Gemini API) | Elaborazione testo IA (dati anonimizzati) | USA (SCC) |
| Anthropic PBC | Elaborazione testi con IA (assistente, agente di onboarding, analisi delle conversazioni) | USA (SCC) |
| Stripe Inc. / Stripe Payments Europe Ltd. | Elaborazione pagamenti, depositi, assicurazioni | EU / USA (SCC) |
| Chargebee Inc. | Gestione abbonamenti e fatturazione | USA (SCC) |
| Haufe-Lexware GmbH & Co. KG | Trasferimento dei documenti di fattura alla contabilità del titolare | EU (Deutschland) |
| Fatture in Cloud S.p.A. | Trasmissione delle fatture elettroniche al Sistema di Interscambio italiano (SdI) | EU (Italien) |
| Resend Inc. | Invio email (conferme, notifiche) | USA (SCC) |
| Twilio Inc. | Invio SMS agli ospiti | USA (SCC) |
| Meta Platforms Ireland Ltd. | Invio e ricezione di messaggi tramite WhatsApp Business | EU / USA (SCC) |
| HostU | Canale tecnico di trasmissione dei messaggi WhatsApp (cancellazione presso il fornitore dopo 48 ore) | EU (DE/AT) |
| Apple Distribution International Ltd. | Notifiche push verso dispositivi iOS | EU / USA |
| Google Ireland Ltd. (FCM) | Notifiche push verso dispositivi Android e browser | EU / USA (SCC) |
| Chekin S.L. | Registrazione ospiti, verifica ID, modulo di registrazione | EU (Spanien) |
| AVS GmbH | Scheda di notifica elettronica e carte ospite | EU (Deutschland) |
| Feratel Media Technologies AG | Notifiche di soggiorno e gestione dell'imposta di soggiorno, carte ospite | EU (Österreich) |
| WINTOP Software | Scheda di notifica elettronica | EU (DE/AT) |
| Nuki Home Solutions GmbH | Integrazione serrature intelligenti | EU (Österreich) |
| Seam Labs Inc. | Integrazione serrature intelligenti | USA (SCC) |
| Salto Systems S.L. | Integrazione serrature intelligenti | EU (Spanien) |
| Ring LLC (Amazon.com Inc.) | Integrazione serrature intelligenti e citofoni | USA (SCC) |
| Tedee sp. z o.o. | Integrazione smart lock, codici di accesso | EU (Polen) |
| Sciener / TTLock | Integrazione smart lock, codici di accesso | China (SCC) |
| igloocompany Pte Ltd | Integrazione smart lock, codici di accesso | Singapur (SCC) |
| Wonderlabs (SwitchBot) | Comando dei dispositivi di accesso | Hongkong (SCC) |
| Channex Ltd. | Integrazione channel manager | EU |
| Smoobu GmbH | PMS, sincronizzazione prenotazioni, comunicazione ospiti | EU (Deutschland) |
| iLoca Services GmbH | Integrazione PMS, sincronizzazione delle prenotazioni, comunicazione con gli ospiti | EU (Deutschland) |
| V-Office (Ferienhausmiete GmbH) | Integrazione PMS, sincronizzazione di prenotazioni e disponibilità | EU (Deutschland) |
| Beds24 (Cousins Online Ltd.) | Integrazione PMS, sincronizzazione prenotazioni | EU / UK |
| Lodgify S.L. | Integrazione PMS, sincronizzazione prenotazioni | EU (Spanien) |
| Octorate S.r.l. | Integrazione PMS, sincronizzazione prenotazioni | EU (Italien) |
| Smily (BookingSync S.A.S.) | Integrazione PMS, sincronizzazione prenotazioni, messaggistica | EU (Frankreich) |
| Hostfully Inc. | Integrazione PMS, sincronizzazione prenotazioni | USA (SCC) |
| Hospitable Inc. | Integrazione PMS, sincronizzazione prenotazioni | USA (SCC) |
| Hostaway Pty Ltd | Integrazione PMS, sincronizzazione prenotazioni | USA (SCC) |
| Guesty Inc. | Integrazione PMS, risposte automatiche | USA (SCC) |
| PriceLabs | Prezzi dinamici sulla base di dati di occupazione e prenotazione | USA / Indien (SCC) |
| Google LLC (Drive) | Archiviazione e gestione documenti | USA (SCC) |
| Google LLC (OAuth) | Autenticazione tramite Google OAuth | USA (SCC) |
| Google LLC (Maps Geocoding) | Conversione degli indirizzi degli immobili in coordinate | USA (SCC) |
Per i sub-responsabili situati al di fuori dello SEE, sono state concordate le Clausole Contrattuali Standard (SCC) della Commissione Europea.
Il responsabile del trattamento può coinvolgere ulteriori sub-responsabili o sostituirli. Lo annuncia in forma testuale con almeno quattro settimane di anticipo. Entro tale termine il titolare può opporsi a un nuovo sub-responsabile per un rilevante motivo di protezione dei dati; se la funzione interessata non può quindi essere erogata, il titolare può recedere dalla parte di prestazione corrispondente. Fa fede la versione vigente della presente tabella.
Per la gestione delle richieste di assistenza e la rimozione dei malfunzionamenti, il personale del responsabile del trattamento può accedere all'account del titolare. Tali accessi sono legati a un'occasione specifica, limitati nel tempo e registrati. Registrazioni dello schermo e audio avvengono solo su iniziativa o con la partecipazione del titolare.
§5 Misure tecniche e organizzative
Il Responsabile del trattamento ha implementato le seguenti misure:
- Crittografia di tutti i dati in transito (TLS 1.2+) e a riposo (AES-256)
- Row-Level Security (RLS) — ogni utente può vedere solo i propri dati
- Anonimizzazione dei dati personali prima della trasmissione ai servizi IA (Google Gemini)
- Registro di audit di tutte le operazioni di elaborazione IA (senza PII nei log)
- Autenticazione multi-fattore per accessi amministrativi
- Revisioni di sicurezza e aggiornamenti regolari
- Crittografia delle chiavi API con pgcrypto per tutte le integrazioni esterne
§6 Cancellazione e restituzione
Al termine del rapporto contrattuale, il responsabile del trattamento cancella i dati personali del titolare, salvo obblighi legali di conservazione. Singoli insiemi di dati sono soggetti a termini propri già durante la vigenza: i dati di notifica nei log di trasmissione verso i portali sono cancellati 30 giorni dopo la trasmissione confermata, le registrazioni di supporto dopo 30 giorni e i log tecnici di accesso e interfaccia dopo 7-30 giorni.
Il Titolare può richiedere in qualsiasi momento l'esportazione dei propri dati in formato leggibile da macchina.
§7 Diritti di audit
Il Titolare ha il diritto di verificare la conformità al presente contratto tramite misure appropriate, comprese ispezioni.
Il Responsabile del trattamento fornirà al Titolare tutte le informazioni necessarie per dimostrare la conformità su richiesta.
§8 Contatto
Per domande sul trattamento dei dati, contattare:
Stellar Tourism Innovations GmbH
Torstrasse 105-107
10119 Berlin
E-Mail: datenschutz@myxentra.com