Informativa privacy

Informativa ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (GDPR). La presente informativa sulla privacy descrive le modalità con cui Borgia di Firenze tratta i dati personali raccolti tramite borgiadifirenze.it, nel rispetto del GDPR, del Codice in materia di protezione dei dati personali (Codice Privacy, D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018) e del provvedimento del Garante del 10 giugno 2021 in materia di cookie e altri strumenti di tracciamento.

1. Titolari del trattamento (art. 4, n. 7, e art. 26 GDPR, contitolari)

Il sito web borgiadifirenze.it promuove e raccoglie richieste per strutture gestite da due distinte società italiane, che agiscono in qualità di contitolari del trattamento ai sensi dell'art. 26 GDPR per i dati inviati tramite i moduli di contatto e il widget di prenotazione di questo sito:

Giglia S.R.L., P. IVA e Codice Fiscale IT07285610486, REA FI-692894, sede legale in Via del Parione 1, 50123 Firenze, Italy. PEC: giglia.fi@pec.it. Responsabile del B&B Borgia di Firenze (9 camere) a Firenze.

S. Trinita S.R.L., P. IVA e Codice Fiscale IT07055120484, REA FI-676281, sede legale in Via del Parione 1, 50123 Firenze, Italy. PEC: s.trinita.fi@pec.it. Responsabile degli appartamenti Giglio Borgia e Viola Borgia a Firenze.

Accordo di contitolarità (art. 26 GDPR): le due società hanno concordato per iscritto le rispettive responsabilità in merito all'osservanza del GDPR, in particolare per quanto riguarda l'esercizio dei diritti degli interessati e l'obbligo di fornire le informazioni di cui agli artt. 13 e 14. Il contenuto essenziale dell'accordo è il seguente: ciascuna società agisce in qualità di titolare del trattamento per i dati personali relativi alle proprie strutture; le due società agiscono congiuntamente quando una singola richiesta riguarda più di una struttura. Gli interessati possono rivolgersi indifferentemente all'una o all'altra società quale punto di contatto unico, che provvederà a inoltrare internamente la richiesta secondo necessità.

Contatto per le questioni relative alla protezione dei dati: info@borgia.net. I Titolari non hanno designato un Responsabile della protezione dei dati (RPD, DPO) ai sensi dell'art. 37 GDPR, poiché non ricorre alcuna delle condizioni previste da tale articolo (nessun trattamento su larga scala di categorie particolari di dati, nessun monitoraggio sistematico su larga scala).

2. Tipologie di dati personali raccolti

Forniti dall'Utente tramite i moduli di richiesta / prenotazione o via email: nome, cognome, indirizzo email, numero di telefono, paese di residenza, lingua, date del soggiorno, numero di ospiti, eventuali messaggi a testo libero o preferenze.

Raccolti automaticamente tramite il sito web e il widget di prenotazione 5stelle incorporato: indirizzo IP (in forma troncata ove possibile), tipo e versione del browser, sistema operativo, URL di provenienza, pagine visitate, data e ora degli accessi, localizzazione geografica approssimativa basata sull'IP, identificativi tecnici di sessione.

Raccolti al check-in (obbligatori per la legge italiana, art. 109 TULPS, Regio Decreto 773/1931 e successive modificazioni, e Decreto Ministeriale 7 gennaio 2013): tipo e numero del documento di identità, nome e cognome, data di nascita, luogo di nascita, cittadinanza, paese di residenza, di tutti gli ospiti di età pari o superiore a 14 anni. Tali dati sono trasmessi all'autorità di Pubblica Sicurezza entro 24 ore tramite il portale "Alloggiati Web". Si tratta di un obbligo di legge; non è facoltativo.

Dati di pagamento: i dati della carta di credito, ove forniti, sono trattati direttamente dal nostro fornitore di servizi di pagamento (Nexi, Stripe) e NON sono conservati sui nostri server. Possiamo conservare soltanto le ultime quattro cifre e l'identificativo della transazione per finalità contabili.

Categorie particolari di dati (art. 9 GDPR): non richiediamo né trattiamo categorie particolari di dati personali (salute, religione, orientamento sessuale, ecc.). Qualora gli ospiti comunichino volontariamente esigenze alimentari o necessità di accessibilità nei campi a testo libero, li trattiamo con il medesimo livello di cura e li utilizziamo esclusivamente per erogare il servizio richiesto.

3. Fonti dei dati personali

I dati personali che trattiamo provengono dalle seguenti fonti:
• direttamente dall'interessato (Lei), tramite i moduli di questo sito, le email, le telefonate o di persona al check-in;
• da piattaforme di prenotazione di terzi (OTA) quando la prenotazione avviene tramite esse, tra cui Booking.com, Expedia, Airbnb (solo appartamenti). In questi casi l'OTA agisce in qualità di titolare autonomo del trattamento per la propria piattaforma e ci trasferisce un insieme limitato di dati (nome, date, email di contatto, numero di conferma della prenotazione) nella nostra qualità di titolari del trattamento relativo al soggiorno effettivo;
• da pubblici registri, solo ove strettamente necessario (ad es. verifica della denominazione sociale per le fatture B2B).

4. Finalità e base giuridica del trattamento (art. 6 GDPR)

Misure precontrattuali ed esecuzione del contratto, art. 6, par. 1, lett. b) GDPR: gestione delle richieste, conferme di prenotazione, gestione dei pagamenti, check-in / check-out, fatturazione, comunicazioni successive al soggiorno strettamente connesse alla prenotazione.

Obbligo legale, art. 6, par. 1, lett. c) GDPR: comunicazione dei dati degli ospiti all'autorità di Pubblica Sicurezza (Alloggiati Web, art. 109 TULPS); trasmissione dei dati alle autorità comunali per l'imposta di soggiorno (tassa di soggiorno, delibera del Comune di Firenze); tenuta delle scritture contabili e fiscali (art. 2220 del Codice Civile, Decreto del Presidente della Repubblica 633/1972); fatturazione elettronica (D.Lgs. 127/2015).

Legittimo interesse, art. 6, par. 1, lett. f) GDPR: statistiche anonimizzate sull'utilizzo del sito web per il miglioramento del servizio; log di sicurezza e di prevenzione degli abusi; difesa di diritti in sede giudiziaria; prevenzione delle frodi sulle prenotazioni. Lei può opporsi a tale trattamento in qualsiasi momento (si veda la Sezione 9).

Consenso, art. 6, par. 1, lett. a) GDPR: eventuali cookie non essenziali (statistici, di marketing), la newsletter e le comunicazioni di marketing diretto sono trattati soltanto con il Suo consenso esplicito, liberamente revocabile in qualsiasi momento senza pregiudicare la liceità del trattamento effettuato prima della revoca.

5. Conseguenze del rifiuto di fornire i dati

Il conferimento dei dati contrassegnati come obbligatori nei moduli di prenotazione è necessario per effettuare una prenotazione; il rifiuto rende impossibile completare la prenotazione. Il conferimento dei dati del documento di identità al check-in è un obbligo di legge ai sensi della normativa italiana di pubblica sicurezza; il rifiuto rende impossibile accogliere l'ospite. Il conferimento dei dati facoltativi (ad es. consenso al marketing, richieste particolari) non ha alcuna conseguenza sulla prenotazione in sé, ma soltanto sul corrispondente servizio accessorio.

6. Periodo di conservazione

Scritture contabili e fiscali: 10 anni dalla chiusura del periodo d'imposta di riferimento (art. 2220 del Codice Civile e DPR 633/1972).
Registro degli ospiti e comunicazioni Alloggiati Web: come richiesto dalla normativa di pubblica sicurezza (art. 109 TULPS), conservati per il periodo prescritto dalla legge.
Conferme di prenotazione e corrispondenza relativa alle prenotazioni: 10 anni (in linea con la conservazione contabile).
Moduli di richiesta che non hanno dato luogo a una prenotazione: 24 mesi dall'invio, poi cancellati.
Dati di marketing (ove sia stato prestato il consenso): fino alla revoca del consenso o dopo 24 mesi di inattività, a seconda di quale evento si verifichi per primo.
Registrazione del consenso ai cookie: 6 mesi dalla data dell'ultima azione di consenso (indicazioni del Garante).
Log di accesso al server: 6 mesi per finalità tecniche; più a lungo soltanto se necessario per l'accertamento di incidenti ai sensi dell'art. 6, par. 1, lett. f) GDPR o su richiesta di un'autorità competente.

7. Destinatari e responsabili del trattamento

I dati possono essere comunicati alle seguenti categorie di destinatari, che agiscono in qualità di responsabili del trattamento designati ai sensi dell'art. 28 GDPR oppure di titolari autonomi ove indicato:

• 5stelle / Simple Booking (motore di prenotazione e PMS, ospitato nell'UE), responsabile del trattamento. Informativa sulla privacy: simplebooking.travel/privacy-policy.
• Aruba S.p.A. (hosting web, Italia), responsabile del trattamento.
• Site5 / Endurance International Group (hosting di posta elettronica per la casella che riceve i moduli del sito, USA), responsabile del trattamento sulla base delle Clausole Contrattuali Tipo (art. 46 GDPR).
• Nexi S.p.A. e / o Stripe Payments Europe Ltd (gestione dei pagamenti, UE), titolari autonomi del trattamento per la prevenzione delle frodi e il rispetto della normativa sui pagamenti.
• Agenzie di viaggio online (OTA) (Booking.com, Expedia, Airbnb), che agiscono in qualità di titolari autonomi quando la prenotazione proviene dalla loro piattaforma.
• Autorità italiana di Pubblica Sicurezza (portale Alloggiati Web) e Comune di Firenze / quali destinatari dei dati in adempimento di obblighi di legge.
• Commercialista, consulente fiscale, consulenti legali esterni, nei limiti di quanto strettamente necessario, vincolati dal segreto professionale e da accordi sul trattamento dei dati.

I dati personali non sono mai venduti, ceduti in locazione o concessi in licenza a terzi per finalità commerciali o di marketing.

8. Trasferimenti al di fuori dell'UE/SEE

Qualora i fornitori di servizi trattino i dati al di fuori dello Spazio Economico Europeo (ad esempio il nostro fornitore di hosting negli USA, alcuni servizi di analisi statistica), i trasferimenti sono tutelati dalle Clausole Contrattuali Tipo adottate dalla Commissione Europea ai sensi dell'art. 46 GDPR, integrate da misure supplementari ove si applichino le indicazioni dell'EDPB successive alla sentenza Schrems II (cifratura dei dati in transito e a riposo, trasparenza contrattuale sulle richieste di accesso da parte di autorità governative). Una copia delle garanzie applicabili è disponibile su richiesta ai contatti indicati nella Sezione 1.

9. I Suoi diritti in qualità di interessato (artt. da 15 a 22 GDPR)

Lei ha il diritto di:
• Accedere ai Suoi dati personali (art. 15);
• Ottenere la rettifica dei dati inesatti o incompleti (art. 16);
• Ottenere la cancellazione dei Suoi dati ("diritto all'oblio"), ove applicabile (art. 17);
• Ottenere la limitazione del trattamento (art. 18);
• Ricevere i Suoi dati in un formato strutturato, leggibile da dispositivo automatico e portabile (art. 20);
• Opporsi al trattamento fondato sul legittimo interesse (art. 21);
• Non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato (art. 22);
• Revocare il consenso in qualsiasi momento, qualora il trattamento sia basato sul consenso (art. 7, par. 3).

Per esercitare tali diritti, scriva a info@borgia.net, indicando il diritto o i diritti che intende esercitare e allegando copia di un documento di identità per la verifica della Sua identità (la copia sarà cancellata non appena la Sua richiesta sarà stata evasa). Risponderemo entro 30 giorni (prorogabili di ulteriori 60 giorni per le richieste complesse, previa comunicazione), gratuitamente (art. 12 GDPR).

10. Diritto di proporre reclamo al Garante

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, qualora Lei ritenga che il trattamento dei Suoi dati personali violi il GDPR, ha il diritto di proporre reclamo all'autorità italiana di controllo per la protezione dei dati (Garante per la protezione dei dati personali):
Piazza Venezia 11, 00187 Roma. Tel: +39 06 696771. Email: protocollo@gpdp.it. PEC: protocollo@pec.gpdp.it. Sito web: www.garanteprivacy.it.

11. Minori

I servizi di prenotazione e di richiesta informazioni presenti su questo sito sono rivolti a persone maggiorenni, di età pari o superiore a 18 anni. I dati personali dei minori (minori di 14 anni, in conformità all'art. 8 GDPR e all'art. 2-quinquies del Codice Privacy) sono trattati soltanto quando forniti da un genitore o da chi esercita la responsabilità genitoriale nell'ambito di una prenotazione familiare, e al solo fine di erogare il servizio di alloggio.

12. Processo decisionale automatizzato e profilazione

I Titolari del trattamento non adottano processi decisionali interamente automatizzati che producano effetti giuridici sull'interessato (art. 22 GDPR). I prezzi mostrati sul sito sono determinati su base aggregata e non personalizzata; non viene utilizzata alcuna profilazione del singolo utente per variare prezzi, disponibilità delle camere o offerta di servizi.

13. Cookie e tecnologie simili

In linea con il provvedimento del Garante del 10 giugno 2021, questo sito distingue tra cookie tecnici e cookie non tecnici (statistici / di profilazione / di marketing).

I cookie tecnici sono necessari al corretto funzionamento del sito e del widget di prenotazione; non richiedono il consenso ai sensi dell'art. 122 del Codice Privacy. Comprendono la registrazione del consenso ai cookie (bdf_consent), i cookie di sessione del widget di prenotazione (5stelle) e gli identificativi standard di sessione HTTPS (PHPSESSID).

I cookie non tecnici (statistici, pubblicitari, dei social media) sono attivati soltanto previo consenso esplicito acquisito tramite il banner dei cookie mostrato alla prima visita. Lei può prestare, negare o modificare le Sue preferenze in qualsiasi momento riaprendo il banner dal link presente nel piè di pagina del sito. Il rifiuto dei cookie non tecnici non ha alcun effetto sulla disponibilità o sul funzionamento del sito.

Cookie attualmente in uso:

14. Misure di sicurezza e procedure in caso di violazione dei dati

I Titolari del trattamento adottano misure tecniche e organizzative adeguate (art. 32 GDPR) per proteggere i dati personali da accesso non autorizzato, alterazione, divulgazione o distruzione. Il sito è servito tramite HTTPS con cifratura TLS 1.2+ e applicazione di HSTS; l'accesso agli strumenti amministrativi è limitato, protetto da password e registrato; i backup del database sono cifrati a riposo. Nell'improbabile eventualità di una violazione dei dati personali che comporti un rischio per i diritti e le libertà delle persone fisiche, i Titolari notificheranno la violazione al Garante entro 72 ore dal momento in cui ne sono venuti a conoscenza (art. 33 GDPR) e, qualora il rischio sia elevato, comunicheranno la violazione agli interessati coinvolti senza ingiustificato ritardo (art. 34 GDPR).

15. Modifiche alla presente informativa

La presente informativa può essere aggiornata per tenere conto di modifiche normative o delle nostre operazioni di trattamento. La data di "ultimo aggiornamento" riportata di seguito indica la revisione più recente; le modifiche sostanziali saranno segnalate mediante un banner ben visibile nella parte superiore del sito per almeno 30 giorni. Si raccomanda di consultare periodicamente questa pagina.

Ultimo aggiornamento: 18 settembre 2026.
Versione: 2.1.
Riferimenti normativi: Regolamento (UE) 2016/679 (GDPR); D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 (Codice Privacy); provvedimento del Garante del 10 giugno 2021 in materia di cookie e altri strumenti di tracciamento; art. 109 TULPS (Regio Decreto 773/1931 e successive modificazioni); DPR 633/1972 (IVA e contabilità).