Adeguamento al quadro GDPR italiano

1. Quadro normativo di riferimento

Oltre al Regolamento UE 2016/679 («GDPR»), applicabile direttamente in tutta l'Unione europea, WelcomePassCloud osserva le seguenti fonti normative italiane: il D.Lgs. 30 giugno 2003 n. 196 («Codice in materia di protezione dei dati personali»), come profondamente modificato dal D.Lgs. 10 agosto 2018 n. 101 di adeguamento al GDPR; i provvedimenti generali adottati dal Garante per la protezione dei dati personali; le Linee guida cookie del 10 giugno 2021; il Provvedimento sugli amministratori di sistema del 27 novembre 2008; l'articolo 109 del Testo Unico delle Leggi di Pubblica Sicurezza (TULPS) sull'obbligo di comunicazione delle generalità degli alloggiati.

2. Nomina del DPO e comunicazione al Garante

WelcomePassCloud ha designato un Responsabile della Protezione dei Dati (Data Protection Officer, DPO) ai sensi dell'articolo 37 GDPR, in ragione del trattamento sistematico di dati relativi a ospiti di strutture ricettive e al trattamento di dati identificativi tramite il modulo Passgo Cloud check-in mobile. Il DPO è raggiungibile all'indirizzo dpo@welcomepasscloud.org. La nomina è stata comunicata al Garante secondo la procedura del portale istituzionale.

3. Registro dei trattamenti

WelcomePassCloud mantiene aggiornato il Registro dei trattamenti previsto dall'articolo 30 GDPR, sia in qualità di Titolare (per i dati di navigazione del sito, i dati del referente aziendale del Cliente e i dati di fatturazione) sia in qualità di Responsabile (per i dati veicolati dai moduli attivi sull'account Welcome Passepartout Cloud dei Clienti). Il Registro è disponibile per la consultazione del Garante su richiesta.

4. Valutazione d'impatto (DPIA)

Ai sensi dell'articolo 35 GDPR e del provvedimento del Garante dell'11 ottobre 2018 sull'elenco dei trattamenti soggetti a DPIA, WelcomePassCloud ha condotto una Valutazione d'impatto sulla protezione dei dati per il modulo Passgo Cloud check-in mobile, che tratta dati identificativi di ospiti su larga scala e comporta comunicazione obbligatoria alla Questura. La DPIA è aggiornata annualmente e in caso di modifiche rilevanti del trattamento.

5. Notifica delle violazioni

In caso di violazione dei dati personali, WelcomePassCloud notifica il Garante ai sensi dell'articolo 33 GDPR entro 72 ore dalla presa di conoscenza dell'evento, tramite la procedura telematica del portale del Garante (servizi.gpdp.it). Il Titolare Cliente è notificato entro 24 ore ai sensi del DPA. Se la violazione presenta un rischio elevato per i diritti e le libertà degli Interessati, WelcomePassCloud collabora con il Titolare all'obbligo di comunicazione agli Interessati ai sensi dell'articolo 34 GDPR.

6. Adempimenti Alloggiati Web

Il modulo Passgo Cloud check-in mobile veicola alla Questura, tramite il canale ufficiale Passgo, la schedina alloggiati prevista dall'articolo 109 del TULPS entro 24 ore dall'arrivo dell'ospite, o entro 6 ore per soggiorni di durata inferiore. La base giuridica del trattamento è l'obbligo di legge di cui all'articolo 6, paragrafo 1, lettera c) GDPR. I dati trasmessi alla Questura sono conservati dal Ministero dell'Interno secondo le disposizioni del Codice dei Beni Culturali e archivistiche.

7. Amministratori di sistema

Il personale di WelcomePassCloud con privilegi di amministratore di sistema sui server di produzione è nominato per iscritto ai sensi del Provvedimento del Garante del 27 novembre 2008. L'attività di ciascun amministratore è tracciata su log immodificabili conservati per 12 mesi, verificati annualmente in occasione dell'audit di sicurezza. L'elenco degli amministratori è aggiornato entro 15 giorni da ogni variazione.

8. Trasferimenti extra-SEE

WelcomePassCloud non effettua alcun trasferimento di dati personali verso Paesi terzi al di fuori dello Spazio Economico Europeo. Tutti i sub-responsabili sono stabiliti in Italia, come dettagliato nel Data Processing Agreement. In caso di modifiche future dell'assetto tecnico che comportino trasferimenti extra-SEE, saranno applicate esclusivamente le garanzie adeguate previste dagli articoli 45 e 46 GDPR.

9. Diritti degli Interessati e sportello Cliente

Le richieste di esercizio dei diritti previsti dagli articoli da 15 a 22 GDPR possono essere presentate dall'Interessato direttamente al DPO WelcomePassCloud all'indirizzo dpo@welcomepasscloud.org. La richiesta è evasa entro 30 giorni dalla ricezione, con possibilità di proroga di 60 giorni in caso di richieste particolarmente complesse. In caso di richieste manifestamente infondate o eccessive, WelcomePassCloud può addebitare un contributo spese o rifiutare di soddisfare la richiesta, dandone motivata comunicazione all'Interessato.

10. Riferimenti al Garante

Il Garante per la protezione dei dati personali ha sede in Piazza Venezia 11, 00187 Roma. Contatti: tel. +39 06 69677 1, email garante@gpdp.it, PEC protocollo@pec.gpdp.it. Il portale istituzionale è www.garanteprivacy.it. L'Interessato può proporre reclamo al Garante in qualsiasi momento, anche in via cumulativa con l'azione giudiziaria.