Privacy Policy

Chi risponde dei vostri dati

Il titolare del trattamento — cioè chi decide come e perché i vostri dati vengono usati (art. 4, punto 7, GDPR) — è la società di famiglia dietro NOS e le camere di Palazzo Scotto:

Titolare

Palazzo Scotto S.r.l.

Sede legale

Corso Trieste e Trento 30, 70011 Alberobello (BA), Italia

Il ristorante

NOS Ristorante, unità locale della società: Corso Trieste e Trento 32, 70011 Alberobello (BA)

P.IVA / C.F.

07751560728

REA

BA-579682

Capitale sociale

€ 100.000,00 i.v.

PEC

palazzoscotto@pec.it

Contatto privacy

nosristorante@palazzoscotto.com

Non abbiamo un Responsabile della protezione dei dati (DPO): per una realtà come la nostra, l'art. 37 GDPR non lo richiede. Il punto di riferimento per tutto ciò che riguarda i vostri dati è Valerio Scotto, l'amministratore: lo trovate a nosristorante@palazzoscotto.com.

Cosa raccogliamo, e perché

Solo quello che serve a rispondervi e a far funzionare il sito. Eccolo, voce per voce, con la base giuridica che il GDPR ci chiede di indicare (art. 6(1); per i cookie, art. 5(3) della direttiva ePrivacy):

Un'unica eccezione merita un discorso a parte: il campo facoltativo su allergie e intolleranze nella pagina privata di prenotazione dei piccoli gruppi, che trattiamo solo con il vostro consenso esplicito (art. 9(2)(a) GDPR) — ne parliamo poco più avanti. Per il resto, il sito non raccoglie dati delle categorie particolari (art. 9 GDPR) né dati su condanne penali e reati (art. 10 GDPR). Vi chiediamo la cortesia di non inserire dati sensibili nei campi liberi dei moduli.

Quando ci scrivete da un modulo

Quando inviate una richiesta dal sito — per i piccoli gruppi o per NOS Open Air — i dati che scrivete (nome, email, telefono se lo lasciate, messaggio) fanno due strade, entrambe nostre. La prima: arrivano via email al team NOS attraverso Resend, il fornitore di posta transazionale, così possiamo rispondervi. La seconda: vengono salvati cifrati in un database Supabase — crittografia AES-256-GCM, illeggibili per chi non ha la chiave. La base giuridica è la vostra stessa richiesta (misure precontrattuali, art. 6(1)(b)) e, per la conservazione, il nostro legittimo interesse a darle seguito (art. 6(1)(f)). Prima dell'invio vi chiediamo una spunta di consenso informato — mai pre-selezionata — e i dati dei moduli non diventano marketing senza un vostro ulteriore sì.

Allergie e intolleranze: un capitolo delicato

La pagina privata di prenotazione per i piccoli gruppi — quella che vi inviamo dopo aver risposto alla vostra richiesta — ha un campo facoltativo per le allergie e intolleranze degli ospiti del gruppo; il modulo pubblico «Piccoli Gruppi» non le chiede. Se lo compilate, quelle informazioni possono dire qualcosa della salute: per il GDPR sono dati «particolari» (art. 9(1)) e godono di una tutela rafforzata. Li trattiamo esclusivamente sulla base del vostro consenso esplicito (art. 9(2)(a)): compilare il campo e spuntare l'apposita casella è il gesto con cui lo prestate. Servono a una cosa sola: permettere alla cucina di preparare un menù sicuro per il vostro gruppo e dare seguito alla vostra richiesta. Mai marketing, mai altro. Le categorie di allergeni che selezionate, e l'eventuale testo libero, arrivano via email al team perché la cucina possa organizzarsi, e riposano cifrati nel database (AES-256-GCM), visibili solo a chi segue la vostra richiesta; li cancelliamo entro 30 giorni dalla data del servizio. Indicarle è del tutto facoltativo: potete lasciare il campo vuoto e dircele in un secondo momento, per telefono o via email, senza che la vostra richiesta ne risenta. E potete revocare il consenso quando volete (art. 7(3) GDPR), scrivendo a nosristorante@palazzoscotto.com: la revoca non tocca la liceità di quanto fatto prima.

La newsletter

In fondo al sito potete lasciarci la vostra email per ricevere le novità di NOS. È un trattamento a sé, distinto dai moduli di richiesta: la base giuridica è il vostro consenso (art. 6(1)(a) GDPR), che date spontaneamente iscrivendovi, e la finalità è una sola — scrivervi. L'email è salvata cifrata (AES-256-GCM) e non è ceduta a terzi per il loro marketing. Potete revocare il consenso in ogni momento (art. 7(3)), con il link di disiscrizione presente in ogni messaggio o scrivendo a nosristorante@palazzoscotto.com: la conserviamo finché restate iscritti e la cancelliamo quando ve ne andate. La revoca non tocca ciò che è stato inviato prima.

Quando prenotate un tavolo

Le prenotazioni e alcune funzioni del sito passano da Plateform, la piattaforma di prenotazione di cui ci serviamo, che tratta i dati necessari secondo la propria informativa, come responsabile del trattamento o titolare autonomo. Il suo widget può comparire in una pagina del sito dentro un iframe e impostare i propri cookie tecnici — quelli che gli servono per funzionare. In alcune pagine trovate anche un modulo di prenotazione integrato nel sito: quello che scrivete viene inviato in modo sicuro a Plateform per creare la prenotazione, con la protezione anti-bot di Cloudflare Turnstile a tenere lontani gli invii automatici e gli abusi.

Se condividete l'invito

Quando create un invito da condividere dopo la prenotazione, salviamo i nomi di battesimo che scrivete, le scelte fatte (motivo, frase, foto e lingua) e un riferimento alla prenotazione, conservato in forma cifrata. Chiunque abbia il link vede la card con i nomi di battesimo, la data, l'ora e il numero di persone: condividetelo solo con i vostri ospiti. L'invito smette di funzionare se la prenotazione viene annullata e lo cancelliamo automaticamente 30 giorni dopo la cena. La base giuridica è la vostra richiesta (art. 6(1)(b) GDPR).

Chi ci dà una mano

Non vendiamo e non cediamo i vostri dati a nessuno. Li conoscono il personale autorizzato della società — per il ristorante e, nei limiti descritti in «Due marchi, una sola società», per le camere di Palazzo Scotto, che sono un marchio della stessa società e non un destinatario esterno — e i fornitori elencati qui sotto. Alcuni fornitori tecnici trattano i dati per nostro conto, ciascuno nominato responsabile del trattamento dove serve (artt. 13(1)(e) e 28 GDPR). La colonna «Stato» dice le cose come stanno: alcuni strumenti lavorano sempre, altri — statistiche e marketing — restano fermi finché non dite di sì dal banner (per la misura degli annunci su una prenotazione vale anche la casella facoltativa del modulo). Fa eccezione Meta: per la raccolta dei dati con il suo pixel è contitolare con noi, come spiega la sua riga.

Una parola in più sul modulo «Chiedi disponibilità» della pagina «Oltre la tavola»: è quello con cui chiedete una camera a Palazzo Scotto. Quando lo inviate, i dati che inserite (date, numero di ospiti, i vostri recapiti) sono raccolti e trattati tramite Mr PRENO, il sistema di prenotazione fornito da Titanka di cui Palazzo Scotto si avvale, al solo scopo di rispondervi sulla disponibilità. Il consenso e l'informativa specifici di quel modulo vivono al suo interno, secondo l'informativa di Mr PRENO / Titanka. Accanto c'è anche il riquadro «Prenota subito»: usa il widget ufficiale di Bedzzle, il motore di prenotazione di Palazzo Scotto, che non si carica finché non iniziate a usarlo. Le date e il numero di ospiti che indicate vanno a Bedzzle per mostrarvi prezzi e disponibilità; l'eventuale prenotazione prosegue sui sistemi di Bedzzle, secondo la sua informativa.

Per quanto tempo li conserviamo

Niente resta per sempre. Ogni dato ha la sua scadenza, come vuole il principio di limitazione della conservazione (art. 5(1)(e) GDPR):

Passato quel tempo, i dati vengono cancellati o resi anonimi in modo irreversibile.

Se i dati viaggiano fuori dall'Europa

Alcuni fornitori — in particolare Resend, Google LLC, Meta Platforms Inc., OpenAI e Cloudflare — possono trattare dati su server negli Stati Uniti o comunque fuori dallo Spazio Economico Europeo. Quando succede, non succede alla leggera (artt. 44 e ss. GDPR): con ciascuno valgono le Clausole Contrattuali Standard adottate dalla Commissione europea (Decisione di esecuzione (UE) 2021/914 del 4 giugno 2021), accompagnate da misure supplementari tecniche (cifratura), organizzative (accessi limitati) e contrattuali, in linea con le Raccomandazioni 01/2020 dell'EDPB; e dove il fornitore aderisce all'EU-US Data Privacy Framework vale anche la decisione di adeguatezza della Commissione del 10 luglio 2023. I trasferimenti legati a statistiche o marketing, poi, partono solo se avete detto sì dal banner cookie oppure, per la sola misura degli annunci sulla vostra prenotazione, se avete spuntato la casella facoltativa del modulo. Le copie delle statistiche in BigQuery restano in data center nell'Unione europea.

Come li proteggiamo

Con misure tecniche e organizzative adeguate al rischio, come chiede l'art. 32 GDPR — e con un po' di puntiglio in più. I dati identificativi dei moduli e le eventuali informazioni su allergie e intolleranze sono cifrati a riposo con AES-256-GCM: senza la chiave, custodita separata dai dati e con accesso ristretto, restano illeggibili. Tutto ciò che viaggia tra il vostro browser e i nostri server passa in HTTPS/TLS. Le chiavi che permettono di leggere il database non toccano mai il browser e restano lato server, secondo il principio del minimo privilegio; teniamo un registro degli accessi e procedure per gestire eventuali incidenti. E quando il marketing è attivo e avete dato il consenso, email e telefono usati per misurare le conversioni partono solo in forma hashata (SHA-256): le piattaforme ricevono un'impronta, mai il dato in chiaro. Lo stesso vale per l'IP nel limite anti-abuso dei moduli.

I vostri diritti, tutti

Il GDPR (artt. 15–22) vi riconosce una serie di diritti sui vostri dati. Sono vostri, e potete esercitarli nei nostri confronti in qualsiasi momento:

• Sapere quali dati abbiamo su di voi e riceverne copia (accesso, art. 15);
• Far correggere ciò che è inesatto o integrare ciò che è incompleto (rettifica, art. 16);
• Chiederci di cancellarli, nei casi previsti — il «diritto all'oblio» (cancellazione, art. 17);
• Chiederci di sospenderne l'uso, nei casi previsti (limitazione, art. 18);
• Riceverli in un formato strutturato e leggibile da una macchina, e portarli altrove (portabilità, art. 20);
• Opporvi ai trattamenti basati sul nostro legittimo interesse (opposizione, art. 21);
• Ritirare un consenso già dato, quando volete e senza effetti su quanto fatto prima (revoca, art. 7);
• Non subire decisioni basate unicamente su un trattamento automatizzato (art. 22).

Per esercitarli, basta scriverci: nosristorante@palazzoscotto.com, oppure via PEC a palazzoscotto@pec.it, o per posta alla sede legale (Corso Trieste e Trento 30, 70011 Alberobello). Per proteggere i vostri dati potremmo prima chiedervi una conferma d'identità. Rispondiamo senza ingiustificato ritardo, e comunque entro un mese; per richieste particolarmente complesse o numerose il termine può allungarsi di due mesi, ma ve lo diremo entro il primo. È tutto gratuito, salvo richieste manifestamente infondate o eccessive. Per cookie e newsletter fate prima da soli: il banner e il link di disiscrizione sono lì apposta.

Se qualcosa non vi torna

Parlatene prima con noi, se vi va — nosristorante@palazzoscotto.com — e cercheremo una soluzione amichevole. Resta comunque intatto il vostro diritto di rivolgervi all'autorità di controllo: per l'Italia è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — tel. (+39) 06.696771, email protocollo@gpdp.it, PEC protocollo@pec.gpdp.it, www.garanteprivacy.it.

E i cookie?

Il sito usa cookie tecnici per funzionare, sempre. Gli strumenti di statistica e di marketing sono installati, ma non scrivono nulla finché non dite di sì dal banner; lo stesso varrà per le statistiche comuni con Palazzo Scotto, quando saranno attive. Tutti i dettagli, nome per nome, sono nella Cookie Policy.

Se questa pagina cambia

Può capitare: leggi che si aggiornano, strumenti che cambiano. Quando succede, aggiorniamo questa pagina e la data che vedete in alto. Vale la pena ripassare, ogni tanto.