Accordo sul Trattamento dei Dati (DPA)
Il presente Accordo sul trattamento dei dati personali ("DPA") costituisce parte integrante del contratto di servizi tra Stellar Tourism Innovations GmbH ("Responsabile del Trattamento") e i suoi clienti ("Titolare del Trattamento") e disciplina il trattamento dei dati personali in conformità all'Art. 28 GDPR.
Ultimo aggiornamento: 5 settembre 2026
Preambolo
Questo Contratto di Trattamento Dati regola il trattamento dei dati personali da parte di Stellar Tourism Innovations GmbH ("Xentra", "Responsabile del trattamento") per conto del Cliente ("Titolare del trattamento").
Xentra fornisce una piattaforma SaaS per la gestione degli affitti a breve termine, nell'ambito della quale vengono elaborati dati personali degli ospiti e dei contatti del Cliente.
§1 Oggetto e durata
Il Responsabile del trattamento tratta i dati personali per conto del Titolare nel contesto dei seguenti servizi:
- Gestione prenotazioni e check-in ospiti
- Comunicazione con gli ospiti (SMS, email, messaggistica)
- Gestione serrature intelligenti e accessi
- Generazione testi e analisi assistita da IA
- Elaborazione pagamenti (tramite Stripe)
- Verifica dell'identità e registrazione
§2 Categorie di interessati e dati
.h3DataSubjects
- Ospiti / viaggiatori del Titolare
- Contatti e partner commerciali del Titolare
- Proprietari e gestori degli immobili amministrati dal titolare
- Dipendenti e fornitori del titolare con accesso alla piattaforma
.h3DataTypes
- Dati anagrafici (nome, indirizzo, data di nascita)
- Dati di contatto (email, telefono)
- Dati di prenotazione (arrivo, partenza, prezzo, appartamento)
- Documenti d'identità (per check-in con verifica ID)
- Dati di pagamento (elaborati da Stripe)
- Contenuti delle comunicazioni (messaggi, email)
- Dati di accesso agli immobili (codici di accesso, assegnazione chiavi) e registri di accesso
- Firme, immagini di documenti caricate e foto delle attività
- Messaggi vocali e trascrizioni da essi generate
- Dati di pianificazione, orario di lavoro e retribuzione dei fornitori del titolare
§3 Obblighi del Responsabile del trattamento
- Trattamento dei dati esclusivamente sulla base di istruzioni documentate del Titolare
- Garanzia della riservatezza di tutte le persone incaricate del trattamento dei dati
- Adozione di tutte le misure tecniche e organizzative necessarie ai sensi dell'Art. 32 GDPR
- Supporto al Titolare nell'adempimento dei suoi obblighi nei confronti degli interessati
- Notifica immediata al Titolare in caso di violazioni dei dati
§4 Sub-responsabili
Il Titolare acconsente all'utilizzo dei seguenti sub-responsabili:
| Fornitore | Scopo | Ubicazione server |
|---|---|---|
| Supabase Inc. | .subSupabase | AWS eu-central-1 (Frankfurt) |
| Vercel Inc. | .subVercel | USA (SCC) |
| Google Cloud (Cloud Run) | .subGcloud | EU (Frankfurt) |
| Functional Software Inc. (Sentry) | .subSentry | EU / USA (SCC) |
| Digital Shift OÜ (Capgo) | .subCapgo | EU (Estland) |
| Google LLC (Gemini API) | .subGemini | USA (SCC) |
| Anthropic PBC | .subAnthropic | USA (SCC) |
| Stripe Inc. / Stripe Payments Europe Ltd. | .subStripe | EU / USA (SCC) |
| Chargebee Inc. | .subChargebee | USA (SCC) |
| Haufe-Lexware GmbH & Co. KG | .subLexware | EU (Deutschland) |
| Fatture in Cloud S.p.A. | .subFattureincloud | EU (Italien) |
| Resend Inc. | .subResend | USA (SCC) |
| Twilio Inc. | .subTwilio | USA (SCC) |
| Meta Platforms Ireland Ltd. | .subMeta | EU / USA (SCC) |
| HostU | .subHostu | EU (DE/AT) |
| Apple Distribution International Ltd. | .subApns | EU / USA |
| Google Ireland Ltd. (FCM) | .subFcm | EU / USA (SCC) |
| Chekin S.L. | .subChekin | EU (Spanien) |
| AVS GmbH | .subAvs | EU (Deutschland) |
| Feratel Media Technologies AG | .subFeratel | EU (Österreich) |
| WINTOP Software | .subWintop | EU (DE/AT) |
| Nuki Home Solutions GmbH | .subNuki | EU (Österreich) |
| Seam Labs Inc. | .subSeam | USA (SCC) |
| Salto Systems S.L. | .subSalto | EU (Spanien) |
| Ring LLC (Amazon.com Inc.) | .subRing | USA (SCC) |
| Tedee sp. z o.o. | .subTedee | EU (Polen) |
| Sciener / TTLock | .subTtlock | China (SCC) |
| igloocompany Pte Ltd | .subIgloohome | Singapur (SCC) |
| Wonderlabs (SwitchBot) | .subSwitchbot | Hongkong (SCC) |
| Channex Ltd. | .subChannex | EU |
| Smoobu GmbH | .subSmoobu | EU (Deutschland) |
| iLoca Services GmbH | .subIloca | EU (Deutschland) |
| V-Office (Ferienhausmiete GmbH) | .subVoffice | EU (Deutschland) |
| Beds24 (Cousins Online Ltd.) | .subBeds24 | EU / UK |
| Lodgify S.L. | .subLodgify | EU (Spanien) |
| Octorate S.r.l. | .subOctorate | EU (Italien) |
| Smily (BookingSync S.A.S.) | .subSmily | EU (Frankreich) |
| Hostfully Inc. | .subHostfully | USA (SCC) |
| Hospitable Inc. | .subHospitable | USA (SCC) |
| Hostaway Pty Ltd | .subHostaway | USA (SCC) |
| Guesty Inc. | .subGuesty | USA (SCC) |
| PriceLabs | .subPricelabs | USA / Indien (SCC) |
| Google LLC (Drive) | .subGoogleDrive | USA (SCC) |
| Google LLC (OAuth) | .subGoogleOauth | USA (SCC) |
| Google LLC (Maps Geocoding) | .subGmaps | USA (SCC) |
.subprocessorsScc
.subprocessorsChange
.supportAccess
§5 Misure tecniche e organizzative
Il Responsabile del trattamento ha implementato le seguenti misure:
- Crittografia di tutti i dati in transito (TLS 1.2+) e a riposo (AES-256)
- Row-Level Security (RLS) — ogni utente può vedere solo i propri dati
- Anonimizzazione dei dati personali prima della trasmissione ai servizi IA (Google Gemini)
- Registro di audit di tutte le operazioni di elaborazione IA (senza PII nei log)
- Autenticazione multi-fattore per accessi amministrativi
- Revisioni di sicurezza e aggiornamenti regolari
- Crittografia delle chiavi API con pgcrypto per tutte le integrazioni esterne
§6 Cancellazione e restituzione
Al termine del rapporto contrattuale, il responsabile del trattamento cancella i dati personali del titolare, salvo obblighi legali di conservazione. Singoli insiemi di dati sono soggetti a termini propri già durante la vigenza: i dati di notifica nei log di trasmissione verso i portali sono cancellati 30 giorni dopo la trasmissione confermata, le registrazioni di supporto dopo 30 giorni e i log tecnici di accesso e interfaccia dopo 7-30 giorni.
Il Titolare può richiedere in qualsiasi momento l'esportazione dei propri dati in formato leggibile da macchina.
§7 Diritti di audit
Il Titolare ha il diritto di verificare la conformità al presente contratto tramite misure appropriate, comprese ispezioni.
Il Responsabile del trattamento fornirà al Titolare tutte le informazioni necessarie per dimostrare la conformità su richiesta.
§8 Contatto
Per domande sul trattamento dei dati, contattare:
Stellar Tourism Innovations GmbH
Torstrasse 105-107
10119 Berlin
E-Mail: datenschutz@myxentra.com