Politique de confidentialité

1. Qui traite les données

Le responsable du traitement est Gioacchino Scagliola, entreprise individuelle « Room in Bloom B&B di Scagliola Gioacchino », Via San Francesco 32, 70038 Terlizzi (BA), Italie, n° de TVA 09014100722.

Pour toute question sur les données personnelles, et pour exercer les droits décrits au point 7, le client peut écrire à info.roominbloom@gmail.com ou, par courrier électronique certifié (PEC), à gioacchino.scagliola@pec.it.

2. Quelles données, pour quoi faire et sur quelle base

Pour chaque finalité, la base juridique est indiquée, c'est-à-dire la raison pour laquelle la loi permet le traitement (art. 6 du RGPD).

2.1 Réservation et paiement sur le site

• Données : prénom, nom, e-mail, téléphone, dates du séjour, chambres, nombre de personnes, petit-déjeuner oui ou non, heure d'arrivée, langue, éventuelles demandes spéciales. Les données de la carte sont demandées et traitées uniquement par Stripe, sur sa page de paiement : le site ne les voit pas.
• Finalité : fournir le service demandé : bloquer la chambre, encaisser le paiement, enregistrer la réservation. Pendant que le client paie, le nom, l'e-mail et les dates servent à garder la chambre bloquée pendant un court moment, jusqu'à l'expiration de la page de paiement.
• Base juridique : exécution du contrat (art. 6.1.b du RGPD).

En réservant, le client accepte les conditions générales. Cette politique de confidentialité lui est indiquée par un lien à côté du bouton de paiement : il n'est pas nécessaire de l'accepter, car les données de la réservation sont traitées pour exécuter le contrat, et non sur la base d'un consentement.

2.2 E-mails de la réservation

• Données : e-mail, nom, données de la réservation.
• Finalité : envoyer la confirmation au client et la notification au responsable du traitement. Les e-mails partent de l'adresse noreply@roominbloom.it ; les réponses arrivent à info.roominbloom@gmail.com.
• Base juridique : exécution du contrat (art. 6.1.b du RGPD).

2.3 Demandes envoyées par le formulaire de contact

• Données : nom, téléphone, e-mail, dates d'arrivée et de départ, nombre de personnes, message.
• Finalité : répondre à une demande avant la réservation.
• Base juridique : mesures précontractuelles prises à la demande de la personne concernée (art. 6.1.b du RGPD).

2.4 La page « Mes données »

• Données : l'adresse e-mail avec laquelle le client se fait reconnaître, et les données du client trouvées avec cette adresse.
• Finalité : permettre au client de recevoir ses propres données ou d'en demander l'effacement (point 7).
• Base juridique : obligation légale : répondre à ceux qui exercent leurs droits (art. 12 et 15 à 22 du RGPD ; art. 6.1.c).

2.5 Sécurité de la réservation, du formulaire de contact et de « Mes données »

• Données : l'adresse IP de ceux qui réservent, écrivent par le formulaire de contact ou utilisent « Mes données », pour limiter les demandes répétées depuis la même adresse ; les données techniques du navigateur lues par Cloudflare Turnstile, le contrôle anti-bot de la dernière étape de la réservation.
• Finalité : protéger la réservation, le formulaire de contact et « Mes données » contre les abus.
• Base juridique : intérêt légitime du responsable du traitement (art. 6.1.f du RGPD) : la sécurité du site, c'est-à-dire protéger ces formulaires contre les bots et les demandes répétées (considérant 49 du RGPD). Seules l'adresse IP et quelques données techniques sont utilisées, uniquement sur ces pages et pendant peu de temps. L'évaluation faite par le responsable du traitement peut être demandée à info.roominbloom@gmail.com.

2.6 Fonctionnement du site

• Données : l'adresse IP et les données techniques de chaque visite, enregistrées par Cloudflare, qui héberge le site.
• Finalité : faire fonctionner le site.
• Base juridique : intérêt légitime du responsable du traitement (art. 6.1.f du RGPD) : afficher le site à ceux qui le visitent et le protéger contre les attaques et les dysfonctionnements (considérant 49 du RGPD). L'évaluation peut être demandée comme au point 2.5.

2.7 Statistiques, uniquement avec le consentement

• Données : pages vues ; événements (les étapes de la réservation, l'envoi du formulaire de contact, la langue choisie, les clics sur les liens externes) ; les mesures de vitesse des pages ; pour une réservation conclue, le numéro de réservation, le montant, les chambres et les nuits ; les cookies de Google Analytics (voir la politique des cookies).
• Finalité : comprendre comment se porte le site.
• Base juridique : consentement (art. 6.1.a du RGPD et art. 122 du Code italien de la protection des données), donné via le bandeau des cookies. Google Analytics ne se charge qu'après le « oui » : sans consentement, il ne démarre pas.
• Changer d'avis : le consentement peut être retiré à tout moment depuis le lien « Préférences cookies » en bas des pages du site.

2.8 La carte

Sur la page d'accueil se trouve une carte Google Maps. Elle ne se charge que lorsque le client appuie sur le bouton « Afficher la carte » : à côté du bouton, il est écrit ce qui se passe. Lorsque la carte se charge, Google reçoit des données techniques du navigateur (comme l'adresse IP) et peut utiliser ses cookies, y compris aux États-Unis. Sans la carte, l'adresse et le lien pour ouvrir Google Maps restent disponibles.

Base juridique : consentement (art. 6.1.a du RGPD et art. 122 du Code italien de la protection des données), donné en appuyant sur le bouton. Le choix ne vaut que tant que l'onglet reste ouvert ; il se retire avec le bouton « Masquer la carte ». Les cookies déjà déposés par Google se suppriment dans les paramètres du navigateur.

2.9 Documents à l'arrivée et communication à la Questura

• Données : les données de la pièce d'identité des clients.
• Finalité : communiquer à la Questura (autorité de police) les personnes hébergées dans l'établissement, avec le service Alloggiati Web.
• Base juridique : obligation légale (art. 109 du TULPS, la loi italienne sur la sécurité publique ; art. 6.1.c du RGPD). Présenter la pièce d'identité à l'arrivée est obligatoire selon la loi.
• Comment elles sont recueillies : le responsable du traitement vérifie toujours en personne que le document correspond au client, et en saisit les données sur le portail Alloggiati Web de la Police d'État italienne. Pour organiser l'arrivée, par exemple avec l'arrivée autonome (self check-in), le responsable du traitement peut demander les documents à l'avance, en indiquant comment les envoyer ; dans ce cas, peu après l'arrivée, il se rend tout de même dans l'établissement pour vérifier en personne qu'ils correspondent aux clients.
• Copies : le responsable du traitement ne conserve pas de copies des documents : celles qu'il reçoit sont supprimées dès que le portail délivre le reçu. Il en va de même pour les éventuelles notes sur papier. Seul le reçu d'Alloggiati Web est conservé, pendant 5 ans (décret du ministère italien de l'Intérieur du 7 janvier 2013, art. 4-bis, alinéa 2). La Police d'État conserve elle aussi les données communiquées pendant 5 ans.

2.10 Statistiques du tourisme

Chaque mois, le responsable du traitement communique à la Région des Pouilles (agence Pugliapromozione, système SPOT) les arrivées et les départs du mois précédent, pour la statistique officielle du tourisme. Pour chaque client, seules des données sans nom sont saisies : provenance, sexe, tranche d'âge, dates d'arrivée et de départ. Base juridique : obligation légale (loi régionale des Pouilles n° 49/2017 ; art. 6.1.c du RGPD).

2.11 Factures

• Données : nom et données fiscales du client (code fiscal ; pour les entreprises, n° de TVA et PEC ou code destinataire), montant et date.
• Finalité : émettre la facture électronique, qui est toujours émise, et remplir les autres obligations fiscales.
• Base juridique : obligation légale (art. 6.1.c du RGPD). Les factures sont préparées avec le service en ligne FlexTax et transmises à l'administration fiscale italienne (Agenzia delle Entrate).

2.12 Messages directs, téléphone et WhatsApp

Ceux qui écrivent ou téléphonent directement (e-mail, téléphone, WhatsApp, SMS) fournissent leur numéro ou leur adresse, leur nom et le contenu des messages. Ces données servent à répondre et, pour ceux qui ont réservé, à gérer le séjour. Base juridique : mesures précontractuelles ou exécution du contrat (art. 6.1.b du RGPD).

Les e-mails arrivent dans la boîte info.roominbloom@gmail.com, qui reçoit aussi les messages du formulaire de contact, les notifications de réservation et les demandes faites depuis « Mes données » ; la boîte est un service de Google. Le responsable du traitement peut enregistrer le nom et le numéro du client dans les contacts du téléphone, qui, avec les conversations, peuvent avoir une copie de sauvegarde chez Google.

2.13 Codes d'accès

Pour entrer dans l'établissement, le client reçoit un code personnel, valable uniquement pour son séjour, que le responsable du traitement envoie par WhatsApp ou par SMS au numéro indiqué ; le responsable du traitement vérifie en tout cas toujours l'identité du client en personne (point 2.9). Base juridique : exécution du contrat (art. 6.1.b du RGPD). La serrure n'enregistre pas les entrées.

2.14 Vidéosurveillance

• Où : la porte d'entrée de l'immeuble. Les caméras ne filment ni les chambres ni les espaces intérieurs, et la rue seulement dans la mesure où c'est inévitable. Un panneau les signale avant la zone filmée.
• Finalité : protéger l'établissement, les clients et leurs affaires contre les vols, les intrusions et les dommages, et avoir une preuve si quelque chose se produit.
• Base juridique : intérêt légitime du responsable du traitement (art. 6.1.f du RGPD) : la sécurité de l'établissement et de ceux qui y séjournent. L'évaluation faite par le responsable du traitement peut être demandée à info.roominbloom@gmail.com.
• Qui voit les images : uniquement le responsable du traitement, et seulement si quelque chose se produit. Elles ne sont remises aux forces de l'ordre ou au juge que s'ils les demandent, ou avec une plainte. Les images sont enregistrées sur la carte mémoire de la caméra ; le responsable du traitement les regarde avec l'application du fabricant, Imou, et lorsqu'il les regarde depuis le téléphone, elles peuvent passer par les serveurs d'Imou.
• Combien de temps : 72 heures, puis elles s'effacent automatiquement. Plus longtemps uniquement pour un fait précis, à la demande de la police ou du juge.
• Droits : comme au point 7, y compris le droit d'opposition.

2.15 Réservations via Booking.com et Airbnb

Ceux qui réservent sur Booking.com ou Airbnb reçoivent la politique de confidentialité de la plateforme, qui traite leurs données en tant que responsable du traitement indépendant. Les données que le responsable du traitement utilise pour la Questura et pour les factures suivent les points 2.9 et 2.11.

2.16 Paiements en dehors du site

Si le client paie en dehors du site (par exemple en espèces ou par virement), le responsable du traitement traite les données nécessaires au paiement : nom de la personne qui paie, montant, date et, pour le virement, les coordonnées bancaires qui figurent dans le virement reçu. Elles servent à encaisser et à tenir la comptabilité. Base juridique : exécution du contrat (art. 6.1.b du RGPD) et obligations comptables (art. 6.1.c). La banque et les autres prestataires de paiement les traitent en tant que responsables du traitement indépendants.

2.17 La liste des séjours

Le responsable du traitement tient sur son ordinateur une liste des séjours : nom, dates, chambre, nombre de personnes, téléphone et e-mail, montants et paiements. Elle sert à organiser les réservations et à tenir les comptes. Base juridique : exécution du contrat (art. 6.1.b du RGPD) et obligations comptables (art. 6.1.c). La liste se trouve uniquement sur l'ordinateur du responsable du traitement, sans copies en ligne, et ne contient pas de données des pièces d'identité.

2.18 Avis

Si le client laisse un avis sur Google, Booking.com, Airbnb ou d'autres plateformes, le responsable du traitement le lit et peut y répondre sur la même plateforme, en utilisant au plus le nom avec lequel le client a signé. Base juridique : intérêt légitime du responsable du traitement à répondre à ce qui est écrit sur son activité (art. 6.1.f du RGPD). Les plateformes sont des responsables du traitement indépendants et traitent l'avis selon leur politique de confidentialité.

3. Fournir les données est-il obligatoire ?

• Réservation : prénom, nom, e-mail et téléphone sont obligatoires : sans eux, il n'est pas possible de réserver. L'heure d'arrivée et les demandes spéciales sont facultatives.
• Pièce d'identité : oui, c'est une obligation légale (point 2.9) ; si le responsable du traitement la demande avant l'arrivée, l'envoyer est aussi une condition de la réservation (conditions générales, section 5).
• Formulaire de contact, e-mail, WhatsApp : les utiliser est un choix du client ; sans coordonnées, il n'est pas possible de répondre.
• Statistiques et carte : non, elles ne démarrent que si le client les accepte ou ouvre la carte.

4. À qui vont les données

Les données sont traitées par le responsable du traitement et par les prestataires suivants : pour son compte (sous-traitants, art. 28 du RGPD) ou, lorsque c'est indiqué, aussi pour leurs propres finalités (responsables du traitement indépendants, avec leur propre politique de confidentialité).

• Supabase : base de données et fonctions du site (réservations, formulaire de contact, « Mes données », limites par adresse IP, registre des choix relatifs aux cookies). Sous-traitant.
• Stripe : paiement par carte. Sous-traitant pour exécuter le paiement pour le compte du responsable du traitement ; responsable du traitement indépendant pour ses propres finalités (prévention de la fraude, obligations de lutte contre le blanchiment, relations avec les banques et les réseaux de paiement, amélioration de ses services), selon sa politique de confidentialité.
• Cloudflare : héberge le site et fournit le contrôle anti-bot Turnstile. Sous-traitant ; responsable du traitement indépendant pour améliorer ses services et Turnstile, selon sa politique de confidentialité.
• Resend : e-mails de la réservation, du formulaire de contact et de « Mes données ». Sous-traitant.
• Google : statistiques (uniquement avec le consentement), carte (uniquement si elle est ouverte), boîte e-mail et copies de sauvegarde du téléphone du responsable du traitement. Pour Google Analytics, sous-traitant. Pour la carte, le site et Google décident ensemble uniquement du chargement (responsables conjoints du traitement, arrêt Fashion ID de la Cour de justice de l'UE) ; pour l'usage que Google fait ensuite des données, Google est responsable du traitement indépendant, selon sa politique de confidentialité. Google fournit la boîte e-mail et les copies de sauvegarde selon ses conditions et sa politique de confidentialité, en tant que responsable du traitement indépendant.
• WhatsApp (WhatsApp Ireland, groupe Meta) : messages et codes d'accès, si le client utilise WhatsApp. Responsable du traitement indépendant, selon sa politique de confidentialité. Les messages sont chiffrés de bout en bout : WhatsApp ne les lit pas.
• Vodafone, opérateur téléphonique : appels et SMS, y compris les codes d'accès. Responsable du traitement indépendant des données nécessaires au service (numéros, horaires).
• Imou, fabricant des caméras : l'application avec laquelle le responsable du traitement regarde les images de la caméra de l'entrée. Sous-traitant.
• FlexTax : factures électroniques. Sous-traitant.

Reçoivent aussi des données, en vertu de la loi, la Questura (Alloggiati Web, point 2.9), l'administration fiscale italienne (factures, point 2.11) et la Région des Pouilles (Pugliapromozione : uniquement des données statistiques sans nom, point 2.10). Sont aussi responsables du traitement indépendants Booking.com et Airbnb (point 2.15), la banque et les autres prestataires de paiement (point 2.16) et les plateformes d'avis (point 2.18).

5. Données hors de l'Union européenne

La base de données du site se trouve dans l'Union européenne, à Francfort (Allemagne). Certains prestataires traitent aussi des données hors de l'Union européenne, avec les garanties suivantes (art. 45 et 46 du RGPD) :

• Data Privacy Framework, décision d'adéquation de la Commission européenne pour les entreprises américaines certifiées (décision 2023/1795) : Cloudflare, Google, Stripe, Resend et WhatsApp/Meta figurent comme certifiées dans la liste officielle (dataprivacyframework.gov, vérifiée le 20 octobre 2026).
• Clauses contractuelles types approuvées par la Commission européenne : Supabase, pour d'éventuels accès depuis l'extérieur de l'Union européenne ; Stripe et Resend les utilisent en plus du Data Privacy Framework.

Imou et FlexTax traitent les données en tant que sous-traitants, selon leurs politiques de confidentialité : pour FlexTax la politique de confidentialité de FlexTax, pour Imou la politique de confidentialité dans l'application Imou Life. S'ils transfèrent des données hors de l'Union européenne, ils le font avec les garanties prévues par le RGPD (art. 46, par exemple les clauses contractuelles types de la Commission).

6. Combien de temps les données sont conservées

• Blocage temporaire de la chambre pendant le paiement : jusqu'à l'expiration de la page de paiement. Si le paiement n'est pas finalisé, les données saisies dans le formulaire de réservation restent chez Stripe jusqu'à 12 mois après le départ prévu, puis elles sont supprimées. Restent chez Stripe, pendant les durées décidées par Stripe selon sa politique de confidentialité, le nom, qui figure sur la ligne de la chambre de la page de paiement, l'e-mail, si le client l'a saisi sur cette page, et une copie dans les journaux techniques de Stripe.
• Réservations : 10 ans à compter de la date d'arrivée, car elles justifient l'encaissement (art. 2220 du Code civil italien) ; ensuite, une procédure automatique du site les rend anonymes. Le téléphone, les demandes spéciales et l'heure d'arrivée sont supprimés plus tôt, 12 mois après le départ, y compris chez Stripe. Restent chez Stripe, pendant les durées décidées par Stripe selon sa politique de confidentialité, le nom et l'e-mail avec les données du paiement, et une copie dans les journaux techniques de Stripe.
• Factures, encaissements et autres documents comptables, y compris la liste des séjours (point 2.17) : 10 ans (art. 2220 du Code civil italien) ; plus longtemps uniquement si un contrôle fiscal sur cette année est alors en cours.
• Pièces d'identité : le responsable du traitement n'en conserve pas de copies ; celles reçues et les éventuelles notes sont supprimées dès que le reçu d'Alloggiati Web arrive.
• Reçus d'Alloggiati Web : 5 ans.
• Messages (formulaire de contact, e-mail, WhatsApp, SMS) : 13 mois au maximum. Chaque année, en janvier, les messages de l'année précédente sont supprimés, sauf ceux qui servent pour une facture ou pour une contestation encore ouverte.
• Téléphone et e-mail des clients dans la liste des séjours et dans les contacts du téléphone : 13 mois au maximum après le départ, avec le même nettoyage de janvier.
• E-mails envoyés avec Resend : 30 jours.
• Demandes d'exercice des droits (depuis « Mes données » ou par e-mail) et réponses : 5 ans à compter de la réponse, pour pouvoir prouver qu'une réponse a été donnée.
• Adresses IP pour les limites de demandes : 2 jours au maximum.
• Données techniques de Turnstile et journaux des visites de Cloudflare : aussi longtemps que Cloudflare en a besoin pour fournir le service, et en tout cas pas au-delà de la fin du contrat ; pour l'usage que Cloudflare en fait pour lui-même, sa politique de confidentialité s'applique.
• Statistiques de Google Analytics : 2 mois.
• Carte et avis : c'est Google et les plateformes qui en décident.
• Journaux techniques de synchronisation des réservations : 12 mois, puis ils sont supprimés automatiquement.
• Images des caméras : 72 heures, puis elles sont supprimées automatiquement ; plus longtemps uniquement à la demande de la police ou du juge.
• Preuve du choix fait dans le bandeau des cookies : dans le navigateur, 6 mois, puis le bandeau réapparaît ; dans le registre des choix sur le serveur, 12 mois à compter du choix, puis elle est supprimée automatiquement.

7. Les droits du client

Le client peut demander à tout moment :

• d'accéder à ses données et d'en recevoir une copie ;
• de les corriger (rectification) ;
• de les effacer ;
• d'en limiter le traitement ;
• de les recevoir dans un format lisible par un ordinateur pour les transmettre ailleurs (portabilité) ;
• de s'opposer au traitement ;
• de retirer le consentement donné, à tout moment : pour les statistiques depuis le lien « Préférences cookies » en bas des pages du site, pour la carte avec le bouton « Masquer la carte ». Le retrait vaut à partir de ce moment : il ne rend pas illicite ce qui a été fait auparavant.

Droit d'opposition. Pour les traitements fondés sur l'intérêt légitime (points 2.5, 2.6, 2.14 et 2.18), le client peut s'opposer à tout moment, pour des raisons tenant à sa situation particulière, en écrivant à info.roominbloom@gmail.com. Le responsable du traitement cesse le traitement, sauf motifs légitimes et impérieux qui prévalent sur les droits du client, ou pour la défense de droits en justice (art. 21 du RGPD).

Comment : depuis la page « Mes données », qui envoie ses propres données par e-mail ou enregistre une demande d'effacement, ou en écrivant à info.roominbloom@gmail.com. La réponse arrive dans un délai d'un mois, gratuitement ; dans les cas complexes, le délai peut être prolongé de deux mois supplémentaires, en informant le client.

Une limite : l'effacement ne peut pas porter sur les données que la loi oblige à conserver, comme les factures et les reçus d'Alloggiati Web.

Réclamation : le client peut introduire une réclamation auprès de l'autorité italienne de protection des données, le Garante per la protezione dei dati personali (garanteprivacy.it).

8. Décisions automatisées

Room in Bloom ne prend pas de décisions automatisées concernant les clients et ne fait pas de profilage.

9. Cookies

Quels outils le site utilise dans le navigateur et comment choisir : politique des cookies.