ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR)

Ultimo aggiornamento: 28 aprile 2026

1. Titolare del Trattamento

Ai sensi dell’art. 4, punto 7, del Regolamento UE 2016/679 (di seguito “GDPR”), il Titolare del trattamento dei dati personali raccolti tramite il presente sito web nosristorantealberobello.com è:

Palazzo Scotto S.r.l.
Corso Trieste e Trento, 30
70011 Alberobello (BA), Italia

P.IVA: 07751560728
REA: BA – 579628
Cap. Soc.: € 100.000,00 I.v.
PEC: [email protected]

Referente per la protezione dei dati personali:
Valerio Scotto, Amministratore
Email: [email protected]

NOS Ristorante è una divisione di Palazzo Scotto S.r.l. dedicata all’attività di ristorazione. Il presente sito web rappresenta il canale digitale di comunicazione e prenotazione del servizio di ristorazione.

Il Titolare non ha provveduto alla nomina di un Responsabile della Protezione dei Dati (DPO) ai sensi dell’art. 37 del GDPR, in quanto non ricorrono le condizioni di cui all’art. 37, paragrafo 1, lettere a), b) e c), del Regolamento. Per qualsiasi richiesta relativa al trattamento dei dati personali, è possibile contattare il referente privacy all’indirizzo sopra indicato.

2. Dati Raccolti e Basi Giuridiche

Ai sensi dell’art. 13, paragrafo 1, lettera c), del GDPR, tramite il presente sito web vengono raccolti e trattati i seguenti dati personali, ciascuno sulla base di una specifica condizione di liceità prevista dall’art. 6, paragrafo 1, del GDPR:

Dato	Base Giuridica	Finalità
Nome e cognome	Esecuzione di misure precontrattuali — Art. 6(1)(b) GDPR	Identificazione del cliente nelle richieste di prenotazione tavolo, contatto, eventi
Indirizzo email	Esecuzione di misure precontrattuali — Art. 6(1)(b) GDPR Consenso esplicito — Art. 6(1)(a) GDPR (per newsletter)	Conferma prenotazione, comunicazioni di servizio, invio newsletter (previo consenso)
Numero di telefono	Esecuzione di misure precontrattuali — Art. 6(1)(b) GDPR	Contatto operativo per conferma o variazione prenotazione
Data, orario, numero di ospiti, eventuali note	Esecuzione di misure precontrattuali — Art. 6(1)(b) GDPR	Gestione della prenotazione del tavolo
Indirizzo IP, user agent del browser, referrer	Legittimo interesse del Titolare — Art. 6(1)(f) GDPR	Sicurezza informatica, prevenzione abusi, log tecnici di servizio
Cookie tecnici e di sessione	Necessità tecnica — Art. 5(3) Direttiva 2002/58/CE	Funzionamento essenziale del sito (sessione, login area riservata)
Cookie analitici (Google Analytics 4, Site Kit)	Consenso dell’interessato — Art. 6(1)(a) GDPR	Misurazione anonima del traffico e dell’esperienza utente, solo previo consenso espresso tramite il banner cookie
Cookie di marketing (Meta Pixel, Google Ads conversion)	Consenso dell’interessato — Art. 6(1)(a) GDPR	Personalizzazione di comunicazioni pubblicitarie, misurazione campagne, retargeting, solo previo consenso espresso
Dati di navigazione (URL visitati, durata visita, percorso)	Consenso dell’interessato — Art. 6(1)(a) GDPR	Analisi statistiche aggregate del comportamento di navigazione, solo previo consenso

Il sito non raccoglie né tratta dati personali appartenenti alle categorie particolari di cui all’art. 9 GDPR (dati sensibili) né dati relativi a condanne penali ai sensi dell’art. 10 GDPR.

3. Consensi Richiesti

Ai sensi degli artt. 6 e 7 del GDPR, il sito gestisce i seguenti consensi. I consensi facoltativi possono essere liberamente negati o revocati in qualsiasi momento senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca (art. 7, paragrafo 3, GDPR) né la possibilità di utilizzare il sito.

Consenso	Tipo	Descrizione
Cookie tecnici	Non richiesto	Necessari per il funzionamento del sito, esenti dal consenso ai sensi dell’art. 5(3) della Direttiva ePrivacy
Cookie analitici	Facoltativo	Consenso al tracciamento statistico anonimo della navigazione tramite Google Analytics 4 e Site Kit by Google. Gestito tramite il banner cookie all’ingresso del sito
Cookie di marketing	Facoltativo	Consenso al tracciamento per finalità pubblicitarie (Meta Pixel, Google Ads). Gestito tramite il banner cookie
Iscrizione newsletter	Facoltativo	Consenso espresso, separato e specifico, all’invio di comunicazioni promozionali via email tramite servizio MailPoet, ai sensi dell’art. 6(1)(a) GDPR e dell’art. 130 del D.Lgs. 196/2003. Revocabile in qualsiasi momento tramite link di disiscrizione presente in ogni email
Form di prenotazione tavolo	Implicito (esecuzione contratto)	L’invio del form di prenotazione costituisce esecuzione di misure precontrattuali ai sensi dell’art. 6(1)(b) GDPR e non richiede consenso separato

Il consenso ai cookie analitici e di marketing può essere modificato o revocato in qualsiasi momento cliccando sul link “Gestisci consenso cookie” presente nel footer del sito o ripristinando il banner cookie attraverso le impostazioni del browser.

4. Destinatari e Responsabili del Trattamento

Ai sensi degli artt. 13(1)(e) e 28 del GDPR, i dati personali possono essere comunicati alle seguenti categorie di destinatari, ciascuno nominato Responsabile del trattamento ai sensi dell’art. 28 GDPR ove applicabile:

Sub-responsabili tecnici (sempre attivi)

Automattic Inc. (WordPress.com Atomic / Jetpack / Akismet / MailPoet)
Responsabile del trattamento ex art. 28 GDPR — Hosting, sicurezza, backup, anti-spam, newsletter.
Fornisce l’infrastruttura del sito (WordPress.com Business plan), il sistema di backup automatico (Jetpack VaultPress), il filtro anti-spam dei commenti (Akismet), il sistema di invio newsletter (MailPoet). Sede: Stati Uniti d’America (server con repliche EU). Per i trasferimenti extra-UE si applicano le Clausole Contrattuali Standard (SCC) ai sensi dell’art. 46(2)(c) GDPR. Dati trattati: tutti i dati del sito.

Incsub LLC / WPMU DEV (Forminator)
Sub-responsabile del trattamento ex art. 28 GDPR — Software gestione form.
Fornisce il plugin Forminator utilizzato per i form di prenotazione tavolo e contatto. I dati dei form sono salvati nel database del sito (Automattic) e non trasmessi ai server Incsub. Dati trattati: nome, email, telefono, dettagli prenotazione.

Sub-responsabili attivi solo previo consenso (cookie marketing/analitici)

Google LLC (Google Analytics 4, Site Kit, Google Ads, Google Tag Manager)
Sub-responsabile del trattamento ex art. 28 GDPR — Analytics e advertising.
Servizi attivati esclusivamente previo rilascio del consenso ai cookie analitici e/o di marketing tramite il banner cookie, ai sensi dell’art. 6(1)(a) GDPR. I dati possono transitare su server situati negli Stati Uniti d’America; si applicano le Clausole Contrattuali Standard (SCC) ai sensi dell’art. 46(2)(c) GDPR. Dati trattati: identificatori cookie, indirizzo IP (anonimizzato), URL visitati, durata visita, eventi di conversione.

Meta Platforms Ireland Ltd. (Meta Pixel, Conversion API)
Sub-responsabile del trattamento ex art. 28 GDPR — Tracking pubblicitario.
Servizio attivato esclusivamente previo rilascio del consenso ai cookie di marketing tramite il banner cookie. Sede principale: Irlanda (Unione Europea). I dati possono essere trasferiti a Meta Platforms Inc. (Stati Uniti); si applicano le SCC. Dati trattati: identificatori cookie, eventi di conversione, indirizzo IP.

Altri destinatari

Autorità competenti
Esclusivamente per obbligo di legge ai sensi dell’art. 6(1)(c) GDPR e su richiesta dell’autorità giudiziaria.

Il Titolare si impegna a non comunicare i dati personali a soggetti diversi da quelli sopra indicati, salvo obbligo di legge o richiesta dell’autorità giudiziaria.

Abbinamento di pubblico personalizzato (Custom Audience / Customer Match)

Previo Suo consenso esplicito e specifico, espresso al momento della prenotazione o tramite successivo modulo dedicato, il Titolare può trasmettere a:

• Meta Platforms Ireland Ltd. («Meta», funzione «Custom Audience»)
• Google Ireland Ltd. («Google», funzione «Customer Match»)

i Suoi dati identificativi (nome, cognome, indirizzo email, numero di telefono) previa cifratura unidirezionale tramite algoritmo SHA-256 (hash crittografico non reversibile), al solo fine di:

1. Verificare se Lei è già utente delle piattaforme Meta o Google
2. In caso positivo, mostrarLe annunci pubblicitari personalizzati del Titolare sui canali Meta (Facebook, Instagram) e Google (Search, YouTube, Display Network)
3. Costruire pubblici simili (Lookalike Audience) — utenti delle piattaforme con caratteristiche analoghe ai clienti del Titolare — per individuare nuovi potenziali clienti

Base giuridica: Art. 6(1)(a) GDPR — consenso esplicito.

Categorie di dati trattati: nome, cognome, email, numero di telefono. Tutti i dati sono hashed (SHA-256) prima della trasmissione, in conformità con le specifiche tecniche di Meta e Google. Meta e Google decifrano il match solo lato server e non possono ricostruire i dati originali dall’hash.

Conservazione: i dati restano nelle Custom Audience Meta/Google per la durata definita dal Titolare (massimo 540 giorni Google, indefinito Meta con diritto di rimozione su richiesta).

Trasferimento extra-UE: applicabili le Clausole Contrattuali Standard (SCC) ex art. 46(2)(c) GDPR per trasferimenti verso Meta Platforms Inc. (USA) e Google LLC (USA).

Suoi diritti: in qualsiasi momento Lei può:

• Revocare il consenso scrivendo a [email protected]
• Richiedere la rimozione dei Suoi dati hashed dalle Custom Audience Meta/Google
• Esercitare i diritti di accesso, rettifica, cancellazione, portabilità, opposizione e limitazione del trattamento (artt. 15-22 GDPR)

La revoca del consenso non pregiudica la liceità del trattamento basato sul consenso prestato prima della revoca.

Mancato consenso: il rifiuto del consenso a questa specifica finalità non pregiudica in alcun modo l’erogazione del servizio di ristorazione e prenotazione, né la possibilità di ricevere comunicazioni di servizio (conferme prenotazione, fatture, comunicazioni di sicurezza).

5. Conservazione dei Dati

In conformità al principio di limitazione della conservazione di cui all’art. 5, paragrafo 1, lettera e), del GDPR, i dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalità per le quali sono stati raccolti:

• Dati di prenotazione tavolo (Forminator): 24 mesi dalla data della prenotazione, salvo diverso obbligo di conservazione previsto dalla normativa vigente.
• Indirizzi email iscritti alla newsletter: conservati fino alla revoca del consenso da parte dell’interessato e, in ogni caso, non oltre 24 mesi dall’ultima interazione (apertura email, click).
• Log tecnici e di sicurezza: 12 mesi, salvo necessità di conservazione superiore in caso di indagini per abusi o sicurezza informatica.
• Backup di sistema: conservati nel sistema Jetpack VaultPress secondo le politiche di Automattic; tipicamente 30 giorni rolling per il piano Business.
• Cookie: durata variabile per ciascun cookie; vedere la Cookie Policy per il dettaglio per ciascun cookie utilizzato.
• Dati fiscali e contabili: 10 anni ai sensi dell’art. 2220 del Codice Civile e della normativa fiscale vigente (D.P.R. 600/1973, D.P.R. 633/1972).

Decorso il periodo di conservazione, i dati personali vengono cancellati o anonimizzati in modo irreversibile.

6. Diritti dell’Interessato

Ai sensi degli articoli da 15 a 22 del GDPR, l’interessato ha il diritto di esercitare in qualsiasi momento i seguenti diritti nei confronti del Titolare del trattamento:

• Accesso (Art. 15 GDPR): ottenere la conferma del trattamento e l’accesso ai dati personali;
• Rettifica (Art. 16 GDPR): ottenere senza ritardo la rettifica dei dati inesatti o l’integrazione dei dati incompleti;
• Cancellazione (Art. 17 GDPR): ottenere la cancellazione dei dati nei casi previsti dalla norma (“diritto all’oblio”);
• Limitazione del trattamento (Art. 18 GDPR): ottenere la limitazione del trattamento nei casi previsti;
• Portabilità (Art. 20 GDPR): ricevere i dati personali in formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli ad altro titolare;
• Opposizione (Art. 21 GDPR): opporsi in qualsiasi momento al trattamento basato sul legittimo interesse, compresa la profilazione;
• Revoca del consenso (Art. 7 GDPR): revocare in qualsiasi momento il consenso prestato senza pregiudicare la liceità del trattamento basato sul consenso prestato prima della revoca;
• Decisioni automatizzate (Art. 22 GDPR): non essere sottoposto a decisioni basate unicamente sul trattamento automatizzato.

Modalità di esercizio dei diritti: l’interessato può esercitare i propri diritti inviando una richiesta scritta al Titolare all’indirizzo email [email protected], specificando l’oggetto della richiesta e allegando un documento di identità in corso di validità ai fini della verifica dell’identità del richiedente.

Il Titolare fornisce risposta senza ingiustificato ritardo e, in ogni caso, entro 30 giorni dal ricevimento della richiesta. Tale termine può essere prorogato di ulteriori 60 giorni nei casi di particolare complessità, dandone comunicazione all’interessato. L’esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive.

7. Misure di Sicurezza

Ai sensi dell’art. 32 del GDPR, il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio:

• Cifratura in transito: protocollo HTTPS/TLS obbligatorio per tutte le comunicazioni tra browser e server;
• Backup automatici crittografati: sistema Jetpack VaultPress con backup real-time e capacità di ripristino granulare;
• Controllo degli accessi: autenticazione amministrativa con password forti, sistema di ruoli WordPress (administrator, editor, contributor), limitazione tentativi di login (Limit Login Attempts);
• Aggiornamenti di sicurezza: aggiornamento periodico di WordPress, plugin e tema per mitigare vulnerabilità note;
• Filtro anti-spam: Akismet per la prevenzione di abusi su form e commenti;
• Tracciabilità: log delle operazioni di trattamento per garantire la conformità normativa.

Il Titolare riesamina e aggiorna periodicamente le misure di sicurezza in conformità all’evoluzione dello stato dell’arte e ai rischi identificati.

8. Cookie e Tecnologie di Tracciamento

Il presente sito utilizza cookie tecnici, analitici e di marketing. La gestione dei consensi ai cookie avviene tramite il banner cookie all’ingresso del sito e tramite il link “Gestisci consenso cookie” presente nel footer.

Per il dettaglio completo dei cookie utilizzati, della loro funzione, durata e dei sub-responsabili coinvolti, si rinvia alla Cookie Policy, che costituisce parte integrante della presente informativa.

9. Trasferimenti di Dati al di fuori dello Spazio Economico Europeo

Ai sensi degli artt. 44 e seguenti del GDPR, alcuni sub-responsabili del trattamento (in particolare Automattic Inc., Google LLC, Meta Platforms Inc.) possono trattare i dati su server situati negli Stati Uniti d’America o in altri Paesi terzi al di fuori dello Spazio Economico Europeo (SEE).

Per tali trasferimenti, il Titolare si avvale delle seguenti garanzie adeguate ai sensi dell’art. 46, paragrafo 2, lettera c), del GDPR:

• Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea con Decisione di Esecuzione (UE) 2021/914 del 4 giugno 2021, sottoscritte con ciascun fornitore;
• Misure supplementari di natura tecnica (cifratura end-to-end), organizzativa (limitazione dell’accesso) e contrattuale, in conformità alle Raccomandazioni 01/2020 dell’EDPB;
• Data Privacy Framework EU-USA: ove applicabile e nei casi in cui il fornitore aderisca al framework approvato dalla Commissione Europea con Decisione di Adeguatezza del 10 luglio 2023.

Le funzionalità che comportano trasferimenti extra-UE per finalità analitiche o di marketing sono attivate esclusivamente previo consenso esplicito dell’interessato tramite il banner cookie.

10. Diritto di Reclamo

Ai sensi dell’art. 77 del GDPR, fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento dei propri dati personali violi le disposizioni del Regolamento ha il diritto di proporre reclamo all’autorità di controllo competente.

L’autorità di controllo competente per il territorio italiano è:

Garante per la Protezione dei Dati Personali
Piazza Venezia, 11 — 00187 Roma (RM)
Telefono: (+39) 06.696771
Email: [email protected]
PEC: [email protected]
Sito web: www.garanteprivacy.it

Prima di proporre reclamo al Garante, il Titolare invita l’interessato a contattare preventivamente il referente privacy all’indirizzo [email protected] per tentare una risoluzione amichevole.

11. Modifiche all’Informativa

Il Titolare si riserva il diritto di modificare, aggiornare o integrare la presente informativa in qualsiasi momento, in conformità alle disposizioni normative vigenti. Le modifiche saranno comunicate mediante pubblicazione della versione aggiornata sul presente sito. Si invita l’interessato a consultare periodicamente la presente pagina.

In caso di modifiche sostanziali che incidano sulle finalità o sulle modalità del trattamento, il Titolare ne darà comunicazione mediante notifica nel sito o, ove disponibili i recapiti, via email.

---

Versione 1.0 — Aprile 2026
Palazzo Scotto S.r.l. — Corso Trieste e Trento, 30 — 70011 Alberobello (BA) — P.IVA 07751560728 — REA BA – 579628 — Cap. Soc. € 100.000,00 I.v.
Documento predisposto in conformità al Regolamento UE 2016/679 (GDPR) e al D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.