01 Titolare del trattamento

Il Titolare del trattamento dei dati personali è Umberto Coppola Bottazzi, gestore del Bed & Breakfast a conduzione familiare (non imprenditoriale) denominato «B&B Sunny's House».

La nomina di un Responsabile della protezione dei dati (DPO) non è richiesta in quanto non ricorrono le condizioni previste dall'art. 37 del GDPR: la struttura non è un ente pubblico, non effettua un monitoraggio regolare e sistematico degli interessati su larga scala e non tratta categorie particolari di dati su larga scala.

Per qualsiasi chiarimento relativo alla presente informativa o per l'esercizio dei diritti descritti alla sezione 08, è possibile contattare il Titolare all'indirizzo email info@bnbsunnyshouse.it.

02 Navigazione sul sito web

Assenza di cookie e strumenti di profilazione

Questo sito web non impiega cookie tecnici, analitici, di profilazione o di terze parti. Non sono presenti pixel pubblicitari, tag manager o moduli compilabili. La rilevazione statistica descritta più avanti è effettuata senza cookie e senza identificatori persistenti. La verifica dell'assenza di tali componenti può essere effettuata in qualsiasi momento con le modalità descritte nella Cookie Policy.

Dati tecnici memorizzati nel dispositivo

L'unica informazione salvata riguarda la preferenza della lingua (IT/EN) selezionata dall'utente. Tale parametro è conservato nel localStorage del browser alla voce sunny-lang con valore fisso it oppure en. Si tratta di un dato privo di capacità identificativa che non viene inviato ai nostri server né ceduto a terzi.

Infrastruttura di hosting

I contenuti del sito sono erogati tramite file statici ospitati sull'infrastruttura Amazon Web Services (Amazon S3 con distribuzione CloudFront) all'interno dell'Unione Europea. AWS opera in qualità di Responsabile del trattamento ex art. 28 GDPR. La registrazione dei log di accesso IP sui server è disattivata. Il sito adotta esclusivamente il protocollo sicuro HTTPS.

Statistiche di traffico

Al fine di conoscere l'affluenza al sito e le pagine di maggiore interesse, è impiegato il servizio Umami, fornito da Umami Software, Inc. Il servizio non impiega cookie, non genera identificatori persistenti e non consente di seguire l'utente attraverso siti diversi. Per ciascuna pagina consultata sono trasmessi l'indirizzo e il titolo della pagina, l'eventuale sito di provenienza, la lingua del browser, la risoluzione dello schermo e il paese. Quest'ultimo è dedotto dall'indirizzo IP dell'utente, che raggiunge pertanto i server del fornitore unitamente alla richiesta: l'indirizzo non è registrato da questo sito, i cui log di accesso sono disattivati, e non compare tra le statistiche consultabili dal Titolare, il quale visualizza il solo paese di provenienza. I dati sono conservati per sei mesi, decorsi i quali vengono eliminati.

La base giuridica del trattamento è il legittimo interesse del Titolare a conoscere in forma aggregata l'andamento del proprio sito (art. 6.1.f GDPR). Poiché il trattamento non comporta né l'archiviazione di informazioni nel dispositivo dell'utente né l'accesso a informazioni ivi archiviate, non ricorre il presupposto del consenso di cui all'art. 122 del Codice in materia di protezione dei dati personali. Il fornitore opera in qualità di Responsabile del trattamento ex art. 28 GDPR e i dati sono trattati su server situati nell'Unione Europea.

Lo script di rilevazione e l'indirizzo di raccolta delle statistiche sono erogati dal dominio di questo sito, sicché il browser dell'utente non contatta alcun dominio di terze parti; le richieste sono poi inoltrate dall'infrastruttura del Titolare ai server del fornitore, con l'indirizzo IP dell'utente. La rilevazione è disattivata per gli utenti il cui browser trasmetta il segnale «Do Not Track»; le modalità di esclusione volontaria sono indicate nella Cookie Policy.

Integrazione mappe esterne

Nella sezione «Il quartiere» è presente una mappa interattiva realizzata con i dati e i riquadri grafici di OpenStreetMap (OpenStreetMap Foundation). La base giuridica del trattamento è il legittimo interesse del Titolare nell'indicare la posizione esatta della struttura (art. 6.1.f GDPR).

La mappa e i relativi riquadri grafici sono erogati dal dominio di questo sito, sicché il browser dell'utente non contatta i server di OpenStreetMap. I riquadri sono conservati temporaneamente dall'infrastruttura del Titolare; quando un riquadro non vi è disponibile o deve essere aggiornato, la richiesta è inoltrata ai server di OpenStreetMap con l'indirizzo IP dell'utente. Non sono trasmessi cookie, la pagina di provenienza, la lingua né altre informazioni sul browser dell'utente.

La mappa non legge né scrive alcuna informazione nella memoria del browser dell'utente. L'informativa completa di OpenStreetMap è consultabile su osmfoundation.org.

Collegamenti verso piattaforme esterne

I collegamenti a Booking.com, Airbnb, Google Maps e WhatsApp costituiscono meri link ipertestuali esterni. Il trattamento dei dati su tali piattaforme decorre esclusivamente dal momento dell'accesso da parte dell'utente ed è regolato dalle rispettive privacy policy.

03 Contatti e comunicazioni

L'invio facoltativo e volontario di messaggi tramite posta elettronica, WhatsApp o contatto telefonico comporta l'acquisizione dei dati forniti dal richiedente (nome, recapiti, date richieste, numero di ospiti ed eventuali note contenute nella comunicazione).

• Finalità: Riscontro alle richieste di informazione, elaborazione dei preventivi ed evasione della prenotazione.
• Base giuridica: Esecuzione di misure precontrattuali o contrattuali adottate su richiesta dell'interessato (art. 6.1.b GDPR).
• Conservazione: Le comunicazioni che non sfociano in una prenotazione vengono eliminate entro dodici mesi. Le richieste connesse a prenotazioni concluse seguono i tempi indicati alla sezione 04.

Note informative sui canali di contatto:

• WhatsApp: Il servizio è gestito da Meta Platforms Ireland Ltd. Sebbene il contenuto sia protetto da cifratura end-to-end, il fornitore tratta i metadati di connessione secondo la propria informativa, anche tramite infrastrutture situate al di fuori dello Spazio Economico Europeo.
• Posta elettronica: Il servizio email è gestito tramite la piattaforma fornita da OVH SAS (OVHcloud), con archiviazione dei messaggi su server situati nell'Unione europea.

04 Trattamento dati durante il soggiorno

a) Gestione della prenotazione e dell'accoglienza

Trattamento dei dati identificativi e di contatto per l'organizzazione ed erogazione dei servizi di soggiorno. Base giuridica: esecuzione del contratto (art. 6.1.b GDPR).

b) Comunicazione obbligatoria alla Questura

In adempimento a quanto disposto dall'art. 109 del T.U.L.P.S., le generalità complete degli ospiti ed i dettagli del documento di identità vengono trasmessi all'Autorità di Pubblica Sicurezza tramite il portale «Alloggiati Web» del Ministero dell'Interno entro 24 ore dall'arrivo (o entro 6 ore per soggiorni inferiori ad una giornata). Base giuridica: adempimento di un obbligo legale (art. 6.1.c GDPR). Tale comunicazione ha natura obbligatoria.

Si precisa che non viene effettuata né conservata alcuna fotocopia, scansione o riproduzione digitale dei documenti di identità. I dati vengono acquisiti previa presa visione del documento originale e trasmessi direttamente al portale ministeriale.

c) Rilevazione statistica del movimento turistico

Trasmissione alla Regione Emilia-Romagna (tramite applicativo Ross1000) e all'ISTAT dei dati aggregati ed anagrafici relativi al movimento degli ospiti. Base giuridica: obbligo di legge (art. 6.1.c GDPR).

d) Adempimenti di natura fiscale e contabile

Emissione e conservazione della documentazione contabile e fiscale inerente al soggiorno. Base giuridica: obbligo di legge (art. 6.1.c GDPR).

e) Gestione dell'Imposta di Soggiorno

Riscossione e riversamento dell'Imposta di Soggiorno al Comune di Bologna con rendicontazione periodica. Base giuridica: obbligo di legge e regolamento comunale vigente.

In adempimento all'art. 9 del Regolamento comunale, la documentazione informativa del Comune di Bologna in materia di imposta di soggiorno — tariffe, durata dell'applicazione e casi di esenzione — è esposta all'interno della struttura ed è consultabile sul sito istituzionale dell'ente all'indirizzo comune.bologna.it.

In caso di richiesta di esenzione dall'imposta per motivi sanitari (assistenza o cure presso strutture ospedaliere), il regolamento comunale impone l'acquisizione della idonea certificazione medica. Tali documentazioni, contenenti dati relativi alla salute, sono trattate esclusivamente per motivi di interesse pubblico rilevante in materia tributaria (art. 9.2.g GDPR e art. 2-sexies del Codice Privacy). La certificazione è custodita dal Titolare per il solo tempo che separa la consegna da parte dell'ospite dalla trasmissione al Comune, che ha luogo in occasione della comunicazione trimestrale. Nessuna copia della documentazione medica viene archiviata dal Titolare a seguito della sua trasmissione all'ente comunale.

Periodo di conservazione dei dati

• Documentazione contabile e fiscale: 10 anni (art. 2220 del Codice Civile).
• Atti relativi all'imposta di soggiorno: 5 anni (termini di accertamento del regolamento comunale).
• Ricevute di trasmissione al portale Alloggiati Web: 5 anni.

05 Prenotazioni tramite terze parti

Qualora la prenotazione sia effettuata tramite portali intermediari (es. Booking.com, Airbnb), tali soggetti agiscono in qualità di Titolari autonomi del trattamento per le attività svolte sulle rispettive piattaforme. I dati trasmessi al B&B a seguito della conferma vengono trattati secondo quanto indicato nelle sezioni 03 e 04 della presente informativa.

06 Destinatari dei dati

I dati raccolti potranno essere comunicati a:

• Ministero dell'Interno e Questura di Bologna (adempimento obblighi di pubblica sicurezza);
• Regione Emilia-Romagna ed ISTAT (rilevazioni statistiche ufficiali);
• Comune di Bologna — Ufficio Imposta di Soggiorno (gestione e controllo tributario);
• Amazon Web Services (fornitore dei servizi di hosting statico del sito);
• Umami Software, Inc. (fornitore del servizio di statistiche di traffico del sito);
• OVH SAS (fornitore dei servizi di posta elettronica);
• Meta Platforms Ireland Ltd. (gestore del canale di comunicazione WhatsApp, se utilizzato dall'utente);
• Consulenti fiscali e contabili, per lo svolgimento delle attività amministrative di legge.

I dati non saranno in alcun caso oggetto di diffusione, vendita o cessione a terzi a fini commerciali, né sottoposti a processi decisionale automatizzati o profilazione.

07 Trasferimenti extra UE

I servizi di web hosting e la rilevazione statistica sono erogati su server collocati all'interno dell'Unione Europea. Alcuni fornitori (Meta, Umami Software) hanno tuttavia sede al di fuori dello Spazio Economico Europeo e possono accedere ai dati dall'estero o trasferirli: tali trattamenti avvengono sulla base delle Decisioni di Adeguatezza della Commissione Europea ovvero mediante l'adozione di Clausole Contrattuali Standard (Standard Contractual Clauses).

08 Diritti dell'interessato

Gli interessati possono esercitare i diritti previsti dagli artt. 15-22 del GDPR, tra cui:

• Chiedere l'accesso ai propri dati personali e l'estrazione di copia degli stessi;
• Ottenere la rettifica dei dati inesatti o l'integrazione di quelli incompleti;
• Richiedere la cancellazione dei dati nei casi previsti dall'art. 17 GDPR;
• Richiedere la limitazione del trattamento o opporsi allo stesso;
• Richiedere la portabilità dei dati in formato strutturato e di uso comune.

Si precisa che il diritto alla cancellazione non potrà essere esercitato per i dati la cui conservazione è imposta da vincoli di legge (es. obblighi fiscali e comunicazioni di pubblica sicurezza).

Le richieste vanno rivolte a info@bnbsunnyshouse.it. Il Titolare fornisce riscontro senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, ai sensi dell'art. 12.3 del GDPR; tale termine può essere prorogato di due mesi in caso di particolare complessità, dandone comunicazione motivata all'interessato entro il primo mese. Gli interessati hanno altresì il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (garanteprivacy.it).

09 Misure di sicurezza

Ai sensi dell'art. 32 GDPR, il Titolare adotta idonee misure di sicurezza tecniche ed organizzative, tra cui:

• Autenticazione informatica a due fattori ed adozione di credenziali di accesso complesse;
• Cifratura dei dispositivi di custodia dei dati;
• Limitazione dell'accesso ai dati al solo personale preposto alla gestione dell'ospitalità;
• Assenza di archivi cartacei o copie digitali non necessarie dei documenti di identità;
• Cancellazione sistematica dei dati al termine dei periodi di conservazione previsti.

10 Modifiche all'informativa

La presente informativa può essere soggetta ad aggiornamenti. La versione pubblicata su questo sito è quella attualmente in vigore.

01 Data controller

The Data Controller is Umberto Coppola Bottazzi, operator of the family-run (non-professional) Bed & Breakfast named «B&B Sunny's House».

A Data Protection Officer (DPO) has not been appointed as the criteria under Article 37 GDPR are not applicable: the business is not a public body, does not carry out large-scale systematic monitoring, and does not process special categories of data on a large scale.

For any questions regarding this policy or to exercise the rights outlined in section 08, please contact the Data Controller at info@bnbsunnyshouse.it.

02 Website browsing

Absence of cookies and profiling

This website does not deploy technical, analytics, profiling, or third-party cookies. It carries no marketing pixels, tag managers, or user input forms. The traffic measurement described below is carried out without cookies and without persistent identifiers. Technical verification of cookie absence is detailed in the Cookie Policy.

Stored technical data

The only stored parameter is the user's language selection (IT/EN). This preference is stored locally in the browser's localStorage under the key sunny-lang containing either it or en. This value carries no personal identifier, is never transmitted to our servers, and is not shared with third parties.

Hosting infrastructure

Website files are served statically via Amazon Web Services (Amazon S3 and CloudFront CDN) within European regions. AWS acts as a Data Processor under Article 28 GDPR. Server access log registration is disabled. Communications are secured via HTTPS.

Traffic statistics

In order to establish the volume of visits to this website and which pages are of greatest interest, we employ the Umami service, provided by Umami Software, Inc. The service uses no cookies, generates no persistent identifier, and cannot follow a user across different websites. For each page visited, the following are transmitted: the address and title of the page, the referring site where present, the browser language, the screen resolution, and the country. The latter is inferred from the user's IP address, which therefore reaches the provider's servers along with the request: the address is not recorded by this website, whose access logs are disabled, and does not appear among the statistics available to the Controller, who sees the country of origin alone. The data is retained for six months, after which it is deleted.

The legal basis for this processing is the Controller's legitimate interest in understanding, in aggregate form, how the website performs (Article 6(1)(f) GDPR). Since the processing involves neither the storing of information in the user's device nor access to information already stored therein, the condition triggering consent under Article 122 of the Italian Data Protection Code does not arise. The provider acts as a Data Processor under Article 28 GDPR, and the data is processed on servers located within the European Union.

The measurement script and the statistics collection address are both served from this website's own domain, so the user's browser contacts no third-party domain; the requests are then forwarded by the Controller's infrastructure to the provider's servers, carrying the user's IP address. Measurement is disabled for users whose browser transmits the "Do Not Track" signal; opt-out arrangements are set out in the Cookie Policy.

Embedded maps

An interactive map built with OpenStreetMap data and map tiles (OpenStreetMap Foundation) is integrated in the location section. The legal basis is our legitimate interest in providing location details (Article 6(1)(f) GDPR).

The map and its tiles are served from this website's own domain, so the user's browser does not contact OpenStreetMap's servers. Tiles are held temporarily by the Controller's infrastructure; when a tile is not available there or needs refreshing, the request is forwarded to OpenStreetMap's servers, carrying the user's IP address. No cookies, referring page, language or other information about the user's browser are transmitted.

The map neither reads nor writes any information in the user's browser storage. OpenStreetMap's policy is available at osmfoundation.org.

External platform links

Links to Booking.com, Airbnb, Google Maps and WhatsApp constitute plain external hyperlinks. Data processing on those platforms commences exclusively upon the user's access and is governed by their respective privacy policies.

03 Contact and communications

The optional and voluntary submission of messages by email, WhatsApp or telephone entails the acquisition of the data supplied by the sender (name, contact details, requested dates, number of guests and any notes contained in the communication).

• Purpose: responding to requests for information, preparing quotations and processing the booking.
• Legal basis: performance of pre-contractual or contractual measures adopted at the data subject's request (Article 6(1)(b) GDPR).
• Retention: communications that do not result in a booking are erased within twelve months. Requests connected to concluded bookings follow the periods indicated in section 04.

Information notes on the contact channels:

• WhatsApp: the service is operated by Meta Platforms Ireland Ltd. Although message content is protected by end-to-end encryption, the provider processes connection metadata in accordance with its own policy, including by means of infrastructure located outside the European Economic Area.
• Email: the email service is operated through the platform provided by OVH SAS (OVHcloud), with messages stored on servers located within the European Union.

04 Data processing during guest stay

a) Booking and hospitality management

Processing of identification and contact data for the organisation and provision of accommodation services. Legal basis: performance of the contract (Article 6(1)(b) GDPR).

b) Mandatory report to the Questura

In compliance with Article 109 of the Italian Consolidated Public Security Act (T.U.L.P.S.), the full personal details of guests and their identity document particulars are transmitted to the Public Security Authority through the Ministry of the Interior's «Alloggiati Web» portal within 24 hours of arrival (or within 6 hours for stays shorter than one day). Legal basis: compliance with a legal obligation (Article 6(1)(c) GDPR). This report is mandatory in nature.

It is hereby specified that no photocopy, scan or digital reproduction of identity documents is made or retained. The data is acquired upon inspection of the original document and transmitted directly to the ministerial portal.

c) Tourism movement statistics

Transmission to the Emilia-Romagna Region (through the Ross1000 application) and to ISTAT of aggregate and personal data relating to guest movements. Legal basis: legal obligation (Article 6(1)(c) GDPR).

d) Tax and accounting obligations

Issuance and retention of the accounting and tax documentation pertaining to the stay. Legal basis: legal obligation (Article 6(1)(c) GDPR).

e) Administration of the tourist tax

Collection of the tourist tax and its remittance to the Municipality of Bologna, with periodic reporting. Legal basis: legal obligation and the municipal regulation in force.

In compliance with Article 9 of the municipal regulation, the Municipality of Bologna's informative material on the tourist tax — rates, the period over which it applies, and the grounds for exemption — is displayed within the property and may also be consulted on the Municipality's own website at comune.bologna.it.

Where exemption from the tax is claimed on health grounds (assistance to, or receipt of, hospital care), the municipal regulation requires the acquisition of the appropriate medical certification. Such documentation, containing health-related data, is processed exclusively for reasons of substantial public interest in tax matters (Article 9(2)(g) GDPR and Article 2-sexies of the Italian Data Protection Code). The certification is held by the Data Controller only for the period between its delivery by the guest and its transmission to the municipality, which takes place with the quarterly return. No copy of the medical documentation is retained by the Data Controller following its transmission to the municipal authority.

Data retention periods

• Accounting and tax documentation: 10 years (Article 2220 of the Italian Civil Code).
• Records relating to the tourist tax: 5 years (assessment periods under the municipal regulation).
• Alloggiati Web transmission receipts: 5 years.

05 Bookings via third-party platforms

Where a booking is made through intermediary portals (e.g. Booking.com, Airbnb), those parties act as independent Data Controllers in respect of the activities carried out on their own platforms. Data transmitted to the B&B upon confirmation is processed in accordance with sections 03 and 04 of this policy.

06 Data recipients

The data collected may be disclosed to:

• the Ministry of the Interior and the Questura of Bologna (compliance with public security obligations);
• the Emilia-Romagna Region and ISTAT (official statistical surveys);
• the Municipality of Bologna — Tourist Tax Office (tax administration and control);
• Amazon Web Services (provider of the website's static hosting services);
• Umami Software, Inc. (provider of the website's traffic statistics service);
• OVH SAS (provider of the email services);
• Meta Platforms Ireland Ltd. (provider of the WhatsApp communication channel, where used by the user);
• tax and accounting advisers, for the performance of administrative activities required by law.

The data shall under no circumstances be disseminated, sold or transferred to third parties for commercial purposes, nor subjected to automated decision-making processes or profiling.

07 Data transfers outside the EU

Web hosting services and traffic measurement are provided on servers located within the European Union. Certain providers (Meta, Umami Software) are nonetheless established outside the European Economic Area and may access the data from abroad or transfer it: such processing takes place on the basis of European Commission Adequacy Decisions or through the adoption of Standard Contractual Clauses.

08 Data subject rights

Data subjects may exercise the rights provided for by Articles 15–22 GDPR, including:

• to request access to their personal data and to obtain a copy of it;
• to obtain the rectification of inaccurate data or the completion of incomplete data;
• to request the erasure of the data in the cases provided for by Article 17 GDPR;
• to request the restriction of processing or to object to it;
• to request the portability of the data in a structured, commonly used format.

It is specified that the right to erasure may not be exercised in respect of data whose retention is imposed by legal requirements (e.g. tax obligations and public security reports).

Requests should be addressed to info@bnbsunnyshouse.it. The Controller shall respond without undue delay and in any event within one month of receiving the request, pursuant to Article 12(3) GDPR; that period may be extended by two further months where the request is particularly complex, in which case the data subject will be informed, with reasons, within the first month. Data subjects further have the right to lodge a complaint with the Italian Data Protection Authority (garanteprivacy.it).

09 Security measures

Pursuant to Article 32 GDPR, the Data Controller adopts appropriate technical and organisational security measures, including:

• two-factor authentication and the use of complex access credentials;
• encryption of the devices on which data is held;
• restriction of access to the data to the personnel responsible for managing the accommodation;
• absence of paper archives and of unnecessary digital copies of identity documents;
• systematic erasure of the data at the end of the retention periods provided for.

10 Policy updates

This policy may be subject to updates. The version published on this website is the one currently in force.