Privacy Policy

1. Chi tratta i tuoi dati

Il titolare del trattamento è:

Per qualsiasi questione relativa ai tuoi dati personali, compreso l'esercizio dei tuoi diritti, puoi scrivere a info@homerestauranthotel.com oppure contattarci su WhatsApp.

2. Che cosa fa Home Restaurant Hotel

Home Restaurant Hotel (di seguito HRH o la Piattaforma) mette in contatto quattro tipi di utenti:

• Ospiti: cercano un'esperienza culinaria o un soggiorno e contattano chi la offre.
• Homer: ospitano l'esperienza, spesso nella propria abitazione privata.
• Creator: pubblicano contenuti nella sezione Social Eating.
• Aziende: usano la Piattaforma per promuovere la propria attività.

HRH non organizza, non vende e non gestisce le esperienze: mette a disposizione lo spazio in cui gli Homer si presentano e in cui gli Ospiti li contattano. Questo ha una conseguenza diretta sui tuoi dati, spiegata al punto 4.

3. Quali dati raccogliamo

3.1 Dati di tutti gli utenti registrati

Quando crei un account raccogliamo:

• Nome e cognome: lo inserisci tu in registrazione, oppure arriva dal tuo profilo Google se scegli l'accesso con Google.
• Indirizzo email: dalla registrazione o da Google.
• Password: la scegli tu ed è conservata cifrata dal nostro fornitore di autenticazione. Non la vediamo mai in chiaro.
• Ruolo scelto: ospite, creator, homer o azienda.
• Foto profilo, città, telefono e biografia: facoltativi: li inserisci tu, oppure arrivano da Google.
• Stato dell'account: attivo o sospeso; lo impostiamo noi in caso di violazioni.
• Lingua dell'interfaccia: italiano o inglese, salvata in un cookie tecnico.
• Preferiti e annunci visti di recente: restano soltanto sul tuo dispositivo, nella memoria del browser. Non arrivano ai nostri server.

3.2 Se pubblichi un annuncio (Homer o Azienda)

L'annuncio contiene i dati che inserisci tu:

• Contenuti pubblici: titolo, sottotitolo, descrizione, categoria, città, regione, fotografie, numero massimo di ospiti, disponibilità e date bloccate.
• Il tuo nome, la tua foto e la data di iscrizione: mostrati sull'annuncio.
• Telefono e numero WhatsApp: non compaiono nella pagina pubblica; sono mostrati agli utenti registrati che sbloccano l'annuncio (punto 4).
• Indirizzo dell'esperienza e coordinate esatte: trattati come i recapiti; la mappa pubblica mostra soltanto una posizione approssimata, di circa un chilometro.
• La tua email: non è pubblica; la usiamo per avvisarti quando un annuncio viene approvato, sospeso o verificato.
• Visite e contatti ricevuti: conteggi che vedi nel tuo pannello.

3.3 Interazioni fra utenti

Quando usi la Piattaforma per entrare in contatto con altre persone raccogliamo:

• Richieste di prenotazione: data richiesta, numero di ospiti, messaggio e nome di chi la invia; visibili all'Homer destinatario e a chi le invia.
• Messaggi privati: testo, data e mittente; visibili ai due interlocutori. Il nostro personale tecnico può accedervi solo per necessità di manutenzione o su segnalazione di abuso.
• Recensioni: voto da 1 a 5, commento, nome e foto profilo; pubblici sull'annuncio.
• Contenuti Social Eating: post, foto, storie, eventi, commenti, mi piace e follow; pubblici nel feed dal momento in cui li pubblichi. Le storie durano 24 ore. Rimuoviamo i contenuti che violano i Termini quando li rileviamo o ci vengono segnalati.
• Notifiche in-app: titolo, testo e link delle notifiche che ricevi; visibili solo a te.

3.4 Sblocco dei contatti degli Homer

I recapiti di un Homer si ottengono solo se hai un account e scegli di sbloccarli. Ogni sblocco viene registrato: teniamo traccia di quale utente ha sbloccato quale annuncio e quando, senza copiare i recapiti. Serve a due cose: applicare la quota gratuita mensile (attualmente 3 annunci diversi ogni 30 giorni) e non farti riconsumare la quota se riapri un annuncio già sbloccato. Chi ha un abbonamento attivo non ha limiti. Questi dati sono cancellati automaticamente dopo 400 giorni.

3.5 Se attivi le notifiche push

Salviamo l'iscrizione push generata dal tuo browser: un indirizzo tecnico e due chiavi crittografiche. Non contengono il tuo nome e servono soltanto a recapitarti le notifiche.

3.6 Se sottoscrivi un abbonamento

I dati di pagamento (numero di carta, intestatario, indirizzo di fatturazione) sono raccolti e trattati direttamente da Stripe sulle sue pagine: non transitano dai nostri server e non li conserviamo. Di nostro conserviamo il tuo identificativo cliente e abbonamento Stripe, l'email, il piano scelto, lo stato dell'abbonamento e la data di scadenza del periodo pagato.

3.7 Dati tecnici di navigazione

Alcuni dati sono generati automaticamente mentre navighi:

• Log tecnici: indirizzo IP, tipo di browser e dispositivo, pagine richieste; trattati dai nostri fornitori di hosting per far funzionare e proteggere il servizio.
• Statistiche di navigazione: pagine viste, percorso ed eventi come il clic sul pulsante di contatto; raccolti con Google Analytics 4 solo se hai dato il consenso.
• Segnalazioni di errore: tipo di errore, pagina e browser; raccolti con Sentry per correggere i malfunzionamenti.
• Visite e contatti per annuncio: eventi datati usati per le statistiche dell'Homer; registriamo che una visita o un contatto è avvenuto, non chi l'ha fatto.

3.8 Dati che riceviamo da altri

Alcuni dati non ce li fornisci direttamente tu:

• Google: se scegli l'accesso con Google riceviamo email, nome e foto profilo.
• Stripe: riceviamo lo stato dei pagamenti e dell'abbonamento.
• Contenuti importati: circa 174 annunci e i relativi profili Homer provengono dal precedente sito di HRH, comprese le informazioni di contatto già pubblicate su quel sito.

4. I recapiti dell'Homer: chi li vede

Se pubblichi un annuncio, questo è il punto più importante dell'informativa.

• La pagina pubblica dell'annuncio non contiene il tuo telefono, il tuo numero WhatsApp, la tua email e l'indirizzo dell'esperienza: non vengono inviati al browser di chi non è autorizzato a vederli e non sono indicizzabili dai motori di ricerca.
• I recapiti e l'indirizzo esatto sono mostrati agli utenti registrati che scelgono di sbloccare l'annuncio, entro la quota gratuita mensile oppure con un abbonamento attivo.
• La mappa pubblica mostra una posizione approssimata di circa un chilometro, non il punto esatto.
• Il tuo nome, la tua foto e la data di iscrizione restano invece visibili a tutti sull'annuncio.

Base giuridica: la comunicazione dei recapiti è esecuzione del contratto che ci chiedi (art. 6.1.b GDPR), perché un annuncio senza un modo per contattarti non avrebbe senso. Avviene su tua richiesta e sotto il tuo controllo.

Di che cosa devi essere consapevole:

• una volta che una persona ha visto i tuoi recapiti può salvarli, copiarli o riutilizzarli: non abbiamo alcun controllo su ciò che accade dopo;
• potresti ricevere contatti non desiderati, comprese chiamate o messaggi promozionali;
• eliminare l'annuncio impedisce nuovi sblocchi, ma non cancella le copie già prese da chi li aveva ottenuti;
• se l'esperienza si svolge a casa tua, l'indirizzo che comunichi è quello della tua abitazione.

Che cosa puoi fare:

• usare un numero di telefono dedicato all'attività, diverso da quello personale;
• indicare nell'annuncio la via e la zona e comunicare l'indirizzo esatto solo agli ospiti confermati;
• archiviare o eliminare l'annuncio in qualsiasi momento dal tuo pannello;
• rimuovere il numero di telefono dal profilo: l'annuncio resta pubblicato, ma senza pulsante di contatto diretto.

Se sei un Ospite: quando contatti un Homer via WhatsApp o al telefono, il tuo numero diventa visibile a lui. Quella conversazione avviene fuori dalla Piattaforma: non la vediamo, non la conserviamo e non ne rispondiamo. Se preferisci non condividere il tuo numero, usa la messaggistica interna.

5. Perché trattiamo i tuoi dati

Ogni trattamento ha una finalità e una base giuridica precisa (art. 6 GDPR):

• Creare e gestire il tuo account: esecuzione del contratto (art. 6.1.b).
• Pubblicare il tuo annuncio e mostrarne i recapiti a chi li sblocca: esecuzione del contratto (art. 6.1.b).
• Farti inviare e ricevere richieste di prenotazione e messaggi: esecuzione del contratto (art. 6.1.b).
• Pubblicare recensioni e contenuti Social Eating: esecuzione del contratto (art. 6.1.b).
• Inviarti le email di servizio (registrazione, recupero password, esito della moderazione): esecuzione del contratto (art. 6.1.b).
• Gestire abbonamenti, pagamenti e fatture: esecuzione del contratto (art. 6.1.b) e obbligo di legge fiscale (art. 6.1.c).
• Inviarti notifiche push: consenso (art. 6.1.a), che dai dal browser e puoi revocare quando vuoi.
• Raccogliere statistiche di navigazione con Google Analytics 4: consenso (art. 6.1.a).
• Applicare la quota gratuita dei contatti e prevenire gli abusi: legittimo interesse (art. 6.1.f) a un uso corretto del servizio.
• Moderare i contenuti, sospendere account, prevenire frodi, correggere errori tecnici: legittimo interesse (art. 6.1.f) alla tutela degli utenti e della Piattaforma.
• Rispondere alle richieste di assistenza e difendere un nostro diritto in sede giudiziaria: esecuzione del contratto e legittimo interesse (art. 6.1.b e 6.1.f).

I dati indicati come necessari servono a erogare il servizio: senza di essi non possiamo creare l'account o pubblicare l'annuncio. Gli altri sono facoltativi.

6. A chi comunichiamo i dati

Non vendiamo i tuoi dati e non li cediamo a terzi per finalità di marketing. Li trattano il nostro personale autorizzato e i fornitori tecnici che ci permettono di far funzionare il servizio; salvo diversa indicazione questi agiscono come responsabili del trattamento (art. 28 GDPR), vincolati per contratto alle nostre istruzioni.

• Supabase Inc. — autenticazione, database dei profili, archiviazione delle foto degli annunci e dei contenuti social, invio delle email di autenticazione. Società con sede negli Stati Uniti.
• MongoDB, Inc. (MongoDB Atlas) — database dei contenuti: annunci, recensioni, richieste di prenotazione, messaggi privati, notifiche, dati dell'abbonamento e statistiche. I dati sono ospitati negli Stati Uniti, su AWS nella regione Oregon (us-west-2).
• Railway Corp. — hosting del server applicativo che espone le nostre API. Società con sede negli Stati Uniti.
• Vercel Inc. — hosting del sito e rete di distribuzione dei contenuti. Società con sede negli Stati Uniti, rete globale.
• Stripe Payments Europe Ltd (Irlanda) e società del gruppo Stripe — incasso degli abbonamenti, rinnovo, disdetta, fatturazione e antifrode. Stripe è titolare autonomo per gli obblighi di legge e antifrode che gravano su di essa.
• Google Ireland Ltd e Google LLC — Google Analytics 4 — statistiche di navigazione, solo con il tuo consenso. Proprietà G-3HTRJD7Z3C.
• Google Ireland Ltd e Google LLC — accesso con Google — autenticazione tramite il tuo account Google; Google è titolare autonomo dei dati di quell'account.
• Functional Software, Inc. (Sentry) — monitoraggio degli errori tecnici dell'app. I dati sono raccolti su server nell'Unione Europea (Germania).
• Resend, Inc. — invio delle email di servizio. Società con sede negli Stati Uniti.
• Servizi di notifica push dei browser (Google, Mozilla, Apple, Microsoft) — recapito materiale delle notifiche al tuo dispositivo; sono titolari autonomi per la propria infrastruttura.
• OpenStreetMap Foundation, comprese le mappe e il servizio di geocodifica Nominatim — visualizzazione della mappa e ricerca degli indirizzi; titolare autonomo.
• unpkg (Cloudflare, Inc.) e Unsplash Inc. — rete da cui il browser scarica la libreria della mappa e alcune immagini segnaposto; titolari autonomi.
• Consulenti e autorità pubbliche — commercialista e legali per gli adempimenti contabili e la difesa in giudizio; autorità quando la legge lo impone.

Quando il tuo browser carica la mappa, la libreria della mappa o un'immagine segnaposto, il tuo indirizzo IP è tecnicamente comunicato a OpenStreetMap, Cloudflare e Unsplash, che possono conservarlo nei propri log per finalità di sicurezza. Su questi trattamenti non abbiamo controllo.

Puoi chiedere l'elenco completo e aggiornato dei nostri fornitori scrivendo a info@homerestauranthotel.com.

7. Dove sono i dati e trasferimenti fuori dall'Unione Europea

Una parte dei tuoi dati è conservata negli Stati Uniti e vogliamo dirlo chiaramente. Il database dei contenuti — che comprende annunci, recensioni, richieste di prenotazione, messaggi privati, notifiche e dati dell'abbonamento — è ospitato su MongoDB Atlas in Oregon, Stati Uniti. Anche Supabase, Railway, Vercel, Resend, Stripe e Google sono società con sede negli Stati Uniti e possono trattare dati al di fuori dell'Unione Europea.

Il trasferimento avviene sulla base delle garanzie previste dal Capo V del GDPR: le clausole contrattuali standard approvate dalla Commissione Europea con decisione 2021/914, integrate dalle misure adottate dai fornitori (cifratura in transito e a riposo, controllo degli accessi, trasparenza sulle richieste delle autorità) e, per i fornitori che vi aderiscono, la certificazione nell'ambito del EU-U.S. Data Privacy Framework.

Hai diritto di ricevere una copia delle garanzie applicate: scrivi a info@homerestauranthotel.com e te la forniremo.

8. Per quanto tempo conserviamo i dati

Questi sono i tempi realmente configurati nei nostri sistemi. Alcune cancellazioni sono automatiche, altre avvengono su tua richiesta.

• Account e profilo: per tutta la durata del rapporto. Se chiedi la cancellazione eliminiamo i dati senza indebito ritardo e comunque entro 30 giorni.
• Annunci: finché non li elimini tu o non chiudi l'account. Un annuncio eliminato è rimosso definitivamente.
• Recensioni pubblicate: restano pubblicate a beneficio degli altri utenti; dopo la cancellazione del tuo account sono private del tuo nome e della tua foto.
• Contenuti Social Eating: finché non li elimini tu o non chiudi l'account. Le storie restano visibili 24 ore.
• Richieste di prenotazione e messaggi privati: restano disponibili nel tuo account finché non ne chiedi la cancellazione o non chiudi l'account.
• Notifiche in-app: 120 giorni, poi eliminate automaticamente.
• Statistiche di visita e contatto degli annunci: circa 13 mesi (400 giorni), poi eliminate automaticamente; restano solo i conteggi complessivi.
• Registro degli sblocchi dei contatti: 400 giorni, poi eliminato automaticamente.
• Iscrizioni alle notifiche push: 365 giorni dall'ultimo utilizzo; quelle non più valide sono cancellate al primo invio fallito.
• Dati dell'abbonamento e documenti fiscali: 10 anni, per obbligo di legge.
• Log tecnici di hosting e segnalazioni di errore: per il periodo di ritenzione previsto dai fornitori che li raccolgono, di norma breve.
• Copie di sicurezza: esportazioni periodiche del database, sovrascritte a rotazione.

In ogni caso possiamo conservare più a lungo i dati strettamente necessari per accertare, esercitare o difendere un diritto in sede giudiziaria e per il tempo imposto da un obbligo di legge.

9. I tuoi diritti

In qualunque momento puoi esercitare i diritti previsti dal GDPR:

• Accesso (art. 15): sapere se trattiamo tuoi dati e ottenerne copia.
• Rettifica (art. 16): correggere dati errati o incompleti; molti li puoi correggere da solo in Profilo, Modifica profilo.
• Cancellazione (art. 17): chiedere che i tuoi dati siano cancellati, salvo quelli che dobbiamo conservare per legge.
• Limitazione (art. 18): chiedere di sospendere il trattamento in determinati casi.
• Portabilità (art. 20): ricevere i dati che ci hai fornito in un formato leggibile da un computer.
• Opposizione (art. 21): opporti ai trattamenti fondati sul nostro legittimo interesse.
• Revoca del consenso (art. 7.3): revocare i consensi prestati, per esempio ai cookie analitici o alle notifiche push, senza che ciò tolga validità al trattamento già svolto.
• Reclamo (art. 77): rivolgerti all'autorità di controllo.

Come esercitarli: scrivi a info@homerestauranthotel.com oppure contattaci su WhatsApp, indicando quale diritto vuoi esercitare. Rispondiamo entro un mese, prorogabile di due mesi nei casi complessi, dandotene avviso. L'esercizio dei diritti è gratuito; per tutelarti potremmo chiederti di confermare la tua identità.

Se ritieni che il trattamento violi il GDPR puoi presentare reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, oppure rivolgerti all'autorità giudiziaria.

10. Minori

Il servizio è riservato a chi ha almeno 18 anni e non raccogliamo consapevolmente dati di minori. Non effettuiamo verifiche automatiche dell'età: ci basiamo su quanto dichiari in fase di registrazione. Se veniamo a sapere che un account appartiene a un minore lo chiudiamo e cancelliamo i dati. Se sei un genitore o un tutore e ritieni che un minore si sia registrato, scrivici a info@homerestauranthotel.com: interverremo subito.

11. Decisioni automatizzate e profilazione

Non prendiamo decisioni automatizzate che producano effetti giuridici o che ti riguardino in modo analogamente significativo (art. 22 GDPR) e non facciamo profilazione a fini pubblicitari. Le decisioni sulla pubblicazione o sulla sospensione di annunci e contenuti sono prese da persone. L'ordine degli annunci nella lista dipende da criteri oggettivi come la data di pubblicazione, la valutazione media e lo stato di verifica, non da un profilo di chi sta guardando.

12. Come proteggiamo i dati

Adottiamo misure tecniche e organizzative adeguate al rischio (art. 32 GDPR). In concreto:

• tutto il traffico viaggia cifrato con HTTPS, con intestazioni di sicurezza che limitano ciò che il browser può caricare ed eseguire;
• le password non sono mai visibili a noi: le gestisce e le conserva cifrate il fornitore di autenticazione;
• ogni richiesta alle funzioni riservate è verificata sul server tramite token firmati;
• i recapiti degli Homer non escono dall'API pubblica: si ottengono solo da un endpoint autenticato, con controllo della quota;
• controlli di proprietà e regole di accesso al database: ciascuno può modificare solo i propri contenuti;
• limiti di frequenza sulle richieste e validazione dei dati in ingresso contro abusi e input malevoli;
• l'accesso al pannello di amministrazione è riservato a due sole caselle email nominative;
• cancellazione automatica dei dati non più necessari e monitoraggio degli errori per intercettare rapidamente le anomalie.

Nessun sistema informatico è sicuro al cento per cento. Se si verificasse una violazione dei dati con rischio elevato per i tuoi diritti te lo comunicheremmo e informeremmo il Garante nei termini di legge (artt. 33 e 34 GDPR).

13. Cookie

Usiamo cookie tecnici necessari al funzionamento del sito e, solo se ci dai il consenso, i cookie analitici di Google Analytics 4. Il dettaglio è nella nostra Cookie Policy

14. Modifiche a questa informativa

Possiamo aggiornare questa informativa. Se le modifiche sono sostanziali te lo comunicheremo via email o con un avviso sulla Piattaforma prima che diventino efficaci. La data dell'ultimo aggiornamento è indicata in cima alla pagina.

15. Contatti

Per qualsiasi domanda su questa informativa o per esercitare i tuoi diritti: