I dati nel gestionale

Struttura e fornitore

Questa pagina descrive lo schema da completare per il trattamento dei dati nel gestionale. Non è un accordo già sottoscritto né una certificazione di conformità del servizio.

Per i dati degli ospiti trattati nel PMS secondo le decisioni della struttura, la struttura ricettiva opera normalmente come titolare e il fornitore come responsabile, sulla base di istruzioni documentate. I ruoli devono essere verificati per ciascun servizio e fornitore coinvolto.

Il fornitore può essere titolare autonomo per proprie finalità, come la gestione del rapporto commerciale e degli adempimenti di legge, da descrivere nella relativa informativa. Questa distinzione non autorizza a usare i dati degli ospiti per finalità proprie.

Dati, operazioni e durata

L’allegato al contratto deve specificare moduli attivi, interessati, categorie di dati, finalità, operazioni consentite e durata. Il perimetro può comprendere ospiti, referenti e operatori; recapiti, dati anagrafici, soggiorni, prenotazioni, conti e comunicazioni operative, nei limiti delle funzioni utilizzate.

Eventuali documenti identificativi, richieste particolari o ulteriori categorie richiedono una valutazione specifica: non devono essere inseriti indiscriminatamente nei campi liberi. I dati dei pagamenti devono essere distinti dai dati della carta gestiti dal relativo prestatore di pagamento.

Le operazioni possono includere registrazione, organizzazione, consultazione, aggiornamento, comunicazioni autorizzate, esportazione e cancellazione. Le istruzioni della struttura devono precisarne scopo e limiti, senza attribuire al fornitore un utilizzo illimitato.

Istruzioni e riservatezza

L’accordo deve prevedere che il responsabile tratti i dati solo su istruzioni documentate, salvo obblighi di legge applicabili, e segnali istruzioni ritenute in violazione della normativa. Le persone autorizzate devono essere vincolate alla riservatezza e accedere ai soli dati necessari alle attività assegnate.

La struttura determina presupposti e destinatari delle comunicazioni e gestisce le informative agli ospiti. Disporre di un indirizzo email nel CRM o di una prenotazione non equivale al consenso per campagne promozionali.

Misure di sicurezza

Il servizio utilizza controlli di accesso per account e struttura. L’allegato tecnico dovrà documentare le misure effettive e la loro verifica: separazione dei dati fra strutture, autorizzazioni, gestione credenziali, registrazione degli eventi, aggiornamenti, backup e ripristino.

La valutazione deve considerare rischi, categorie di dati e configurazione reale. Non vengono dichiarate certificazioni, cifratura universale o tempi garantiti di ripristino non accertati. Anche le procedure organizzative e gli accessi di assistenza devono essere descritti.

Sub-responsabili e paesi

Prima della sottoscrizione deve essere fornito l’elenco dei sub-responsabili effettivamente utilizzati, con servizio, ruolo, localizzazione dei trattamenti e garanzie applicabili. Il contratto deve disciplinare l’autorizzazione scritta, specifica o generale, la comunicazione delle variazioni, la possibilità di opposizione del titolare e gli obblighi imposti ai sub-responsabili.

La localizzazione di un database non dimostra da sola che assistenza, log, backup e altri fornitori operino esclusivamente nello stesso paese. Eventuali trasferimenti fuori dallo Spazio economico europeo richiedono una valutazione e una garanzia applicabile, documentate prima dell’attivazione.

Elenco e allegati da completare: non è ancora pubblicato un elenco verificato e contrattualmente approvato dei sub-responsabili. Autorità pubbliche e prestatori di servizi possono inoltre avere ruoli autonomi: non vanno classificati automaticamente come sub-responsabili.

Diritti e incidenti

L’accordo deve definire l’assistenza alla struttura per rispondere agli interessati, valutare i rischi e svolgere gli adempimenti applicabili, incluse le valutazioni d’impatto e la consultazione preventiva quando richieste. Devono essere concordati contatti, canali, contenuti e modalità delle comunicazioni operative.

In caso di violazione dei dati personali, il responsabile deve informare il titolare senza ingiustificato ritardo dalla conoscenza dell’evento, fornendo le informazioni disponibili e aggiornandole. Spetta al titolare valutare notifiche all’autorità e comunicazioni agli interessati secondo il GDPR.

Il fornitore deve mettere a disposizione le informazioni necessarie a dimostrare gli obblighi e consentire le verifiche previste dall’accordo. Modalità e responsabilità operative devono essere definite concretamente.

Restituzione e cancellazione

Alla cessazione, l’accordo deve prevedere la restituzione o cancellazione dei dati secondo la scelta e le istruzioni del titolare, fatti salvi gli obblighi di legge applicabili. Formati di esportazione, tempi, copie e backup devono essere specificati.

Non va applicato automaticamente lo stesso termine ai dati degli ospiti, ai documenti contabili, alle comunicazioni e ai log tecnici. Le scadenze devono essere coerenti con finalità, obblighi e sistemi di cancellazione effettivi.

Per completare l’accordo

• Identificare le parti e i referenti operativi e privacy.
• Definire oggetto, durata, istruzioni, interessati e categorie di dati.
• Allegare misure di sicurezza, sub-responsabili e garanzie per i trasferimenti.
• Concordare assistenza, incidenti, verifiche, restituzione e cancellazione.
• Verificare e sottoscrivere la versione applicabile prima di trattare dati per conto della struttura.

Riferimento: Regolamento (UE) 2016/679, in particolare artt. 28, 32, 33 e 44 e seguenti. Il contenuto definitivo dovrà riflettere il contratto e l’effettiva organizzazione del servizio.