Política de privacidad

1. Quién trata los datos

El responsable del tratamiento es Gioacchino Scagliola, empresa individual «Room in Bloom B&B di Scagliola Gioacchino», Via San Francesco 32, 70038 Terlizzi (BA), Italia, N.º de IVA 09014100722.

Para cualquier pregunta sobre los datos personales, y para ejercer los derechos descritos en el punto 7, el huésped puede escribir a info.roominbloom@gmail.com o, por correo electrónico certificado (PEC), a gioacchino.scagliola@pec.it.

2. Qué datos, para qué y con qué base jurídica

Para cada finalidad se indica la base jurídica, es decir, la razón por la que la ley permite el tratamiento (art. 6 del RGPD).

2.1 Reserva y pago en el sitio

• Datos: nombre, apellidos, correo electrónico, teléfono, fechas de la estancia, habitaciones, número de huéspedes, desayuno sí o no, horario de check-in, idioma, posibles solicitudes especiales. Los datos de la tarjeta los solicita y los trata solo Stripe, en su página de pago: el sitio no los ve.
• Finalidad: prestar el servicio solicitado: bloquear la habitación, cobrar, registrar la reserva. Mientras el huésped paga, el nombre, el correo electrónico y las fechas sirven para mantener bloqueada la habitación durante poco tiempo, hasta que caduque la página de pago.
• Base jurídica: ejecución del contrato (art. 6.1.b del RGPD).

Al reservar, el huésped acepta los términos y condiciones. Esta política de privacidad se le indica con un enlace junto al botón de pago: no es necesario aceptarla, porque los datos de la reserva se tratan para ejecutar el contrato, no sobre la base de un consentimiento.

2.2 Correos electrónicos de la reserva

• Datos: correo electrónico, nombre, datos de la reserva.
• Finalidad: enviar la confirmación al huésped y el aviso al responsable. Los correos se envían desde la dirección noreply@roominbloom.it; las respuestas llegan a info.roominbloom@gmail.com.
• Base jurídica: ejecución del contrato (art. 6.1.b del RGPD).

2.3 Solicitudes desde el formulario de contacto

• Datos: nombre, teléfono, correo electrónico, fechas de llegada y salida, número de huéspedes, mensaje.
• Finalidad: responder a una solicitud antes de la reserva.
• Base jurídica: medidas precontractuales solicitadas por el interesado (art. 6.1.b del RGPD).

2.4 La página «Mis datos»

• Datos: el correo electrónico con el que el huésped se identifica, y los datos del huésped encontrados con ese correo.
• Finalidad: permitir al huésped recibir sus propios datos o solicitar su supresión (punto 7).
• Base jurídica: obligación legal: responder a quien ejerce sus derechos (arts. 12 y 15-22 del RGPD; art. 6.1.c).

2.5 Seguridad de la reserva, del formulario de contacto y de «Mis datos»

• Datos: la dirección IP de quien reserva, escribe desde el formulario de contacto o usa «Mis datos», para limitar las solicitudes repetidas desde la misma dirección; los datos técnicos del navegador leídos por Cloudflare Turnstile, el control antibots del último paso de la reserva.
• Finalidad: proteger la reserva, el formulario de contacto y «Mis datos» frente a abusos.
• Base jurídica: interés legítimo del responsable (art. 6.1.f del RGPD): la seguridad del sitio, es decir, proteger estos formularios frente a bots y solicitudes repetidas (considerando 49 del RGPD). Solo se usan la dirección IP y unos pocos datos técnicos, solo en estas páginas y durante poco tiempo. La evaluación realizada por el responsable puede solicitarse en info.roominbloom@gmail.com.

2.6 Funcionamiento del sitio

• Datos: la dirección IP y los datos técnicos de cada visita, registrados por Cloudflare, que aloja el sitio.
• Finalidad: hacer funcionar el sitio.
• Base jurídica: interés legítimo del responsable (art. 6.1.f del RGPD): mostrar el sitio a quien lo visita y protegerlo frente a ataques y fallos (considerando 49 del RGPD). La evaluación puede solicitarse como en el punto 2.5.

2.7 Estadísticas, solo con el consentimiento

• Datos: páginas vistas; eventos (los pasos de la reserva, el envío del formulario de contacto, el idioma elegido, los clics en enlaces externos); las mediciones de velocidad de las páginas; en una reserva completada, el número de reserva, el importe, las habitaciones y las noches; las cookies de Google Analytics (véase la política de cookies).
• Finalidad: entender cómo va el sitio.
• Base jurídica: consentimiento (art. 6.1.a del RGPD y art. 122 del Código italiano de protección de datos), dado con el banner de cookies. Google Analytics solo se carga después del «sí»: sin consentimiento no se activa.
• Cambiar de opinión: el consentimiento puede retirarse en cualquier momento desde el enlace «Preferencias de cookies» en el pie de las páginas del sitio.

2.8 El mapa

En la página principal hay un mapa de Google Maps. Solo se carga cuando el huésped pulsa el botón «Mostrar mapa»: junto al botón se explica qué ocurre. Cuando el mapa se carga, Google recibe datos técnicos del navegador (como la dirección IP) y puede usar sus cookies, también en Estados Unidos. Sin el mapa siguen disponibles la dirección y el enlace para abrir Google Maps.

Base jurídica: consentimiento (art. 6.1.a del RGPD y art. 122 del Código italiano de protección de datos), dado al pulsar el botón. La elección solo vale mientras la pestaña siga abierta; se retira con el botón «Ocultar mapa». Las cookies que Google ya haya guardado se borran desde la configuración del navegador.

2.9 Documentos a la llegada y comunicación a la Questura

• Datos: los datos del documento de identidad de los huéspedes.
• Finalidad: comunicar a la Questura (jefatura de policía) quién se aloja en el establecimiento, con el servicio Alloggiati Web.
• Base jurídica: obligación legal (art. 109 del TULPS, la ley italiana de seguridad pública; art. 6.1.c del RGPD). Presentar el documento a la llegada es obligatorio por ley.
• Cómo se recogen: el responsable comprueba siempre en persona que el documento corresponde al huésped, e introduce sus datos en el portal Alloggiati Web de la Policía del Estado italiana. Para organizar la llegada, por ejemplo con el check-in autónomo, el responsable puede pedir los documentos antes, indicando cómo enviarlos; en este caso, poco después de la llegada, acude igualmente al establecimiento para comprobar en persona que corresponden a los huéspedes.
• Copias: el responsable no guarda copias de los documentos: las que recibe se borran en cuanto el portal emite el recibo. Lo mismo vale para las posibles notas en papel. Solo se conserva el recibo de Alloggiati Web, durante 5 años (decreto del Ministerio del Interior italiano de 7 de enero de 2013, art. 4-bis, apartado 2). También la Policía del Estado conserva los datos comunicados durante 5 años.

2.10 Estadísticas de turismo

Cada mes el responsable comunica a la Región de Puglia (agencia Pugliapromozione, sistema SPOT) las llegadas y salidas del mes anterior, para la estadística oficial del turismo. Para cada huésped se introducen solo datos sin nombre: procedencia, sexo, franja de edad, fechas de llegada y salida. Base jurídica: obligación legal (ley regional de Puglia n.º 49/2017; art. 6.1.c del RGPD).

2.11 Facturas

• Datos: nombre y datos fiscales del huésped (código fiscal; para las empresas, NIF-IVA y PEC o Código de Destinatario), importe y fecha.
• Finalidad: emitir la factura electrónica, que se hace siempre, y cumplir las demás obligaciones fiscales.
• Base jurídica: obligación legal (art. 6.1.c del RGPD). Las facturas se preparan con el servicio en línea FlexTax y se envían a la Agencia Tributaria italiana (Agenzia delle Entrate).

2.12 Mensajes directos, teléfono y WhatsApp

Quien escribe o llama directamente (correo electrónico, teléfono, WhatsApp, SMS) facilita su número o dirección, su nombre y el contenido de los mensajes. Sirven para responder y, para quien ha reservado, para gestionar la estancia. Base jurídica: medidas precontractuales o ejecución del contrato (art. 6.1.b del RGPD).

Los correos llegan al buzón info.roominbloom@gmail.com, que recibe también los mensajes del formulario de contacto, los avisos de las reservas y las solicitudes hechas desde «Mis datos»; el buzón es un servicio de Google. El responsable puede guardar el nombre y el número del huésped en la agenda del teléfono, que, junto con los chats, puede tener una copia de seguridad en Google.

2.13 Códigos de acceso

Para entrar en el establecimiento, el huésped recibe un código personal, válido solo para su estancia, que el responsable envía por WhatsApp o SMS al número indicado; en cualquier caso, el responsable comprueba siempre en persona la identidad del huésped (punto 2.9). Base jurídica: ejecución del contrato (art. 6.1.b del RGPD). La cerradura no registra las entradas.

2.14 Videovigilancia

• Dónde: el portal de entrada. Las cámaras no graban las habitaciones ni los espacios interiores, y la calle solo en la medida en que es inevitable. Un cartel las señala antes de la zona grabada.
• Finalidad: proteger el establecimiento, a los huéspedes y sus pertenencias frente a robos, intrusiones y daños, y tener una prueba si ocurre algo.
• Base jurídica: interés legítimo del responsable (art. 6.1.f del RGPD): la seguridad del establecimiento y de quienes se alojan en él. La evaluación realizada por el responsable puede solicitarse en info.roominbloom@gmail.com.
• Quién ve las imágenes: solo el responsable, y solo si ocurre algo. Se entregan a las fuerzas del orden o al juez solo si las solicitan, o con una denuncia. Las imágenes se graban en la tarjeta de memoria de la cámara; el responsable las ve con la aplicación del fabricante, Imou, y mientras se ven desde el teléfono pueden pasar por los servidores de Imou.
• Cuánto tiempo: 72 horas, después se borran solas. Más tiempo solo por un hecho concreto, a petición de la policía o del juez.
• Derechos: como en el punto 7, incluido el derecho de oposición.

2.15 Reservas desde Booking.com y Airbnb

Quien reserva en Booking.com o Airbnb recibe la política de privacidad del portal, que trata sus datos como responsable independiente. Los datos que el responsable usa para la Questura y para las facturas siguen los puntos 2.9 y 2.11.

2.16 Pagos fuera del sitio

Si el huésped paga fuera del sitio (por ejemplo, en efectivo o por transferencia), el responsable trata los datos necesarios para el pago: nombre de quien paga, importe, fecha y, en las transferencias, los datos bancarios que aparecen en el abono. Sirven para cobrar y llevar la contabilidad. Base jurídica: ejecución del contrato (art. 6.1.b del RGPD) y obligaciones contables (art. 6.1.c). El banco y los demás gestores de pagos los tratan como responsables independientes.

2.17 La lista de estancias

El responsable guarda en su ordenador una lista de las estancias: nombre, fechas, habitación, número de huéspedes, teléfono y correo electrónico, importes y pagos. Sirve para organizar las reservas y llevar las cuentas. Base jurídica: ejecución del contrato (art. 6.1.b del RGPD) y obligaciones contables (art. 6.1.c). La lista está solo en el ordenador del responsable, sin copias en línea, y no contiene datos de los documentos de identidad.

2.18 Reseñas

Si el huésped deja una reseña en Google, Booking.com, Airbnb u otros portales, el responsable la lee y puede responder en el mismo portal, usando como mucho el nombre con el que el huésped ha firmado. Base jurídica: interés legítimo del responsable en responder a lo que se escribe sobre su actividad (art. 6.1.f del RGPD). Los portales son responsables independientes y tratan la reseña según su política de privacidad.

3. ¿Es obligatorio facilitar los datos?

• Reserva: nombre, apellidos, correo electrónico y teléfono son obligatorios: sin ellos no se puede reservar. El horario de check-in y las solicitudes especiales son opcionales.
• Documento: sí, es una obligación legal (punto 2.9); si el responsable lo pide antes de la llegada, enviarlo es también una condición de la reserva (términos y condiciones, sección 5).
• Formulario de contacto, correo electrónico, WhatsApp: usarlos es una elección del huésped; sin un dato de contacto no se puede responder.
• Estadísticas y mapa: no, solo se activan si el huésped las acepta o abre el mapa.

4. A quién se comunican los datos

Los datos los tratan el responsable y estos proveedores: por su cuenta (encargados del tratamiento, art. 28 del RGPD) o, donde se indica, también para fines propios (responsables independientes, con su propia política de privacidad).

• Supabase: base de datos y funciones del sitio (reservas, formulario de contacto, «Mis datos», límites por dirección IP, registro de las elecciones sobre cookies). Encargado del tratamiento.
• Stripe: pago con tarjeta. Encargado para ejecutar el pago por cuenta del responsable; responsable independiente para sus propios fines (prevención del fraude, obligaciones contra el blanqueo de capitales, relaciones con bancos y redes de pago, mejora de sus servicios), según su política de privacidad.
• Cloudflare: aloja el sitio y proporciona el control antibots Turnstile. Encargado; responsable independiente para mejorar sus servicios y Turnstile, según su política de privacidad.
• Resend: correos de la reserva, del formulario de contacto y de «Mis datos». Encargado.
• Google: estadísticas (solo con el consentimiento), mapa (solo si se abre), buzón de correo y copias de seguridad del teléfono del responsable. Para Google Analytics, encargado. Para el mapa, el sitio y Google deciden juntos solo la carga (corresponsables del tratamiento, sentencia Fashion ID del Tribunal de Justicia de la UE); para el uso que Google hace después de los datos, Google es responsable independiente, según su política de privacidad. El buzón de correo y las copias de seguridad Google los presta según sus condiciones y su política de privacidad, como responsable independiente.
• WhatsApp (WhatsApp Ireland, grupo Meta): mensajes y códigos de acceso, si el huésped usa WhatsApp. Responsable independiente, según su política de privacidad. Los mensajes están cifrados de extremo a extremo: WhatsApp no los lee.
• Vodafone, operador telefónico: llamadas y SMS, incluidos los códigos de acceso. Responsable independiente de los datos necesarios para el servicio (números, horarios).
• Imou, fabricante de las cámaras: la aplicación con la que el responsable ve las imágenes de la cámara de la entrada. Encargado.
• FlexTax: facturas electrónicas. Encargado.

También reciben datos, por obligación legal, la Questura (Alloggiati Web, punto 2.9), la Agencia Tributaria italiana (facturas, punto 2.11) y la Región de Puglia (Pugliapromozione: solo datos estadísticos sin nombre, punto 2.10). Son también responsables independientes Booking.com y Airbnb (punto 2.15), el banco y los demás gestores de pagos (punto 2.16) y los portales de reseñas (punto 2.18).

5. Datos fuera de la Unión Europea

La base de datos del sitio está en la Unión Europea, en Fráncfort (Alemania). Algunos proveedores tratan datos también fuera de la Unión Europea, con estas garantías (arts. 45 y 46 del RGPD):

• Data Privacy Framework, la decisión de adecuación de la Comisión Europea para empresas estadounidenses certificadas (Decisión 2023/1795): Cloudflare, Google, Stripe, Resend y WhatsApp/Meta figuran como certificadas en la lista oficial (dataprivacyframework.gov, comprobada el 20 de octubre de 2026).
• Cláusulas contractuales tipo aprobadas por la Comisión Europea: Supabase, para posibles accesos desde fuera de la Unión Europea; Stripe y Resend las usan además del Data Privacy Framework.

Imou y FlexTax tratan los datos como encargados del tratamiento, según sus políticas de privacidad: para FlexTax la política de privacidad de FlexTax, para Imou la política de privacidad en la app Imou Life. Si transfieren datos fuera de la Unión Europea, lo hacen con las garantías previstas por el RGPD (art. 46, por ejemplo las cláusulas contractuales tipo de la Comisión).

6. Durante cuánto tiempo se conservan los datos

• Bloqueo temporal de la habitación durante el pago: hasta que caduca la página de pago. Si el pago no se completa, los datos escritos en el formulario de reserva permanecen en Stripe hasta 12 meses después de la salida prevista y después se borran. Permanecen en Stripe, durante los plazos que decide Stripe según su política de privacidad, el nombre, que aparece en la línea de la habitación de la página de pago, el correo electrónico, si el huésped lo escribió en esa página, y una copia en los registros técnicos de Stripe.
• Reservas: 10 años desde la fecha de llegada, porque documentan el cobro (art. 2220 del Código Civil italiano); después, un procedimiento automático del sitio las anonimiza. El teléfono, las solicitudes especiales y el horario de check-in se borran antes, 12 meses después de la salida, también de Stripe. Permanecen en Stripe, durante los plazos que decide Stripe según su política de privacidad, el nombre y el correo electrónico junto con los datos del pago, y una copia en los registros técnicos de Stripe.
• Facturas, cobros y demás documentos contables, incluida la lista de estancias (punto 2.17): 10 años (art. 2220 del Código Civil italiano); más tiempo solo si en ese momento hay en curso una inspección fiscal sobre ese año.
• Documentos de identidad: el responsable no guarda copias; las recibidas y las posibles notas se borran en cuanto llega el recibo de Alloggiati Web.
• Recibos de Alloggiati Web: 5 años.
• Mensajes (formulario de contacto, correo electrónico, WhatsApp, SMS): como máximo 13 meses. Cada año, en enero, se borran los mensajes del año anterior, salvo los que sirven para una factura o para una disputa aún abierta.
• Teléfono y correo electrónico de los huéspedes en la lista de estancias y en la agenda del teléfono: como máximo 13 meses después de la salida, con la misma limpieza de enero.
• Correos enviados con Resend: 30 días.
• Solicitudes para ejercer los derechos (desde «Mis datos» o por correo electrónico) y las respuestas: 5 años desde la respuesta, para poder demostrar que se respondió.
• Direcciones IP para los límites de solicitudes: como máximo 2 días.
• Datos técnicos de Turnstile y registros de visitas de Cloudflare: mientras Cloudflare los necesite para prestar el servicio, y en todo caso no más allá del fin del contrato; para el uso que Cloudflare hace de ellos para sí, rige su política de privacidad.
• Estadísticas de Google Analytics: 2 meses.
• Mapa y reseñas: lo deciden Google y los portales.
• Registros técnicos de sincronización de las reservas: 12 meses, después se borran automáticamente.
• Imágenes de las cámaras: 72 horas, después se borran automáticamente; más tiempo solo a petición de la policía o del juez.
• Prueba de la elección hecha en el banner de cookies: en el navegador 6 meses, después el banner vuelve a aparecer; en el registro de elecciones en el servidor 12 meses desde la elección, después se borra automáticamente.

7. Los derechos del huésped

El huésped puede solicitar en cualquier momento:

• acceder a sus datos y recibir una copia;
• corregirlos (rectificación);
• suprimirlos;
• limitar su tratamiento;
• recibirlos en un formato legible por ordenador para llevarlos a otro lugar (portabilidad);
• oponerse al tratamiento;
• retirar el consentimiento dado, en cualquier momento: para las estadísticas desde el enlace «Preferencias de cookies» en el pie de las páginas del sitio, para el mapa con el botón «Ocultar mapa». La retirada vale desde ese momento: no convierte en ilícito lo que se hizo antes.

Derecho de oposición. En los tratamientos basados en el interés legítimo (puntos 2.5, 2.6, 2.14 y 2.18), el huésped puede oponerse en cualquier momento, por motivos relacionados con su situación particular, escribiendo a info.roominbloom@gmail.com. El responsable deja de tratarlos, salvo que existan motivos legítimos imperiosos que prevalezcan sobre los derechos del huésped, o para la defensa de reclamaciones (art. 21 del RGPD).

Cómo: desde la página «Mis datos», que envía los propios datos por correo electrónico o registra una solicitud de supresión, o escribiendo a info.roominbloom@gmail.com. La respuesta llega en el plazo de un mes, gratis; en los casos complejos el plazo puede ampliarse otros dos meses, avisando al huésped.

Un límite: la supresión no puede afectar a los datos que la ley obliga a conservar, como las facturas y los recibos de Alloggiati Web.

Reclamación: el huésped puede presentar una reclamación ante la autoridad italiana de protección de datos, el Garante per la protezione dei dati personali (garanteprivacy.it).

8. Decisiones automatizadas

Room in Bloom no toma decisiones automatizadas sobre los huéspedes ni elabora perfiles.

9. Cookies

Qué herramientas usa el sitio en el navegador y cómo elegir: política de cookies.