INFORMATIVA SULLA PRIVACY
per gli Ospiti delle strutture gestite da Kìbilù Srl
ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (GDPR)
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
PRIVACY NOTICE
for guests of properties managed by Kìbilù Srl
pursuant to Article 13 of Regulation (EU) 2016/679 (GDPR)
Titolare del trattamento / Data Controller Kìbilù Srl – Via Dei Pellegrini 22, 20122 Milano – P.IVA 09228560968
Riferimento normativo Regolamento (UE) 2016/679 – GDPR | D.Lgs. 196/2003 e ss.mm.ii.
── ITALIANO ──
1. CHI SIAMO E COME CONTATTARCI
Kìbilù Srl (di seguito "Kìbilù"), con sede in Via Dei Pellegrini 22, 20122 Milano, P.IVA 09228560968, è il Titolare del trattamento dei Suoi dati personali.
Per qualsiasi informazione relativa al trattamento dei Suoi dati personali o per esercitare i Suoi diritti, può contattare il Responsabile Rebecca Spampinato a [email protected]
2. QUALI DATI TRATTIAMO
In relazione al Suo soggiorno presso le strutture gestite da Kìbilù, trattiamo le seguenti categorie di dati personali:
• Dati anagrafici: nome, cognome, data e luogo di nascita, nazionalità, sesso
• Dati di contatto: indirizzo email, numero di telefono
• Documenti d'identità: tipo di documento, numero, ente emittente, data di scadenza
• Dati di prenotazione: date di soggiorno, numero di ospiti, importi pagati
• Dati di pagamento: estremi della transazione (non conserviamo i dati completi della carta)
• Comunicazioni: messaggi scambiati tramite piattaforme OTA, email o WhatsApp
• Dati di accesso: codici temporanei di accesso all'immobile (self check-in); per immobili selezionati: nome e cognome comunicati a Vikey S.r.l. per la generazione delle credenziali di apertura serratura elettronica
• Dati di comunicazione testuale: messaggi scambiati con il chatbot AI (Chatbase)
• Dati vocali: voce e trascrizione delle chiamate all'assistente telefonico AI (+17405600770, Twilio)
3. PERCHÉ TRATTIAMO I SUOI DATI (FINALITÀ E BASI GIURIDICHE)
Finalità Base giuridica (art. 6 GDPR) Conservazione
Esecuzione del contratto di locazione breve Art. 6.1.b – esecuzione contratto 12 mesi dal check-out
Comunicazione dati alla Questura (obbligo di legge – art. 109 T.U.L.P.S.) Art. 6.1.c – obbligo legale Secondo normativa PS (min. 5 anni)
Comunicazione ISTAT / Regione (statistica turistica) Art. 6.1.c – obbligo legale Secondo normativa regionale
Self check-in e accesso all'immobile (incl. Vikey per immobili selezionati) Art. 6.1.b – esecuzione contratto 30 giorni dal check-out
Assistenza tramite chatbot AI (Chatbase) – messaggi testuali Art. 6.1.b – esecuzione contratto 12 mesi dal check-out
Assistenza telefonica tramite assistente vocale AI (Twilio) – chiamate al +17405600770 Art. 6.1.b – esecuzione contratto 30 giorni dal soggiorno
Assistenza durante il soggiorno Art. 6.1.b – esecuzione contratto 12 mesi dal check-out
Adempimenti fiscali (tassa di soggiorno) Art. 6.1.c – obbligo legale 10 anni (obblighi tributari)
Sicurezza delle strutture e prevenzione frodi Art. 6.1.f – interesse legittimo 6 mesi
4. CON CHI CONDIVIDIAMO I SUOI DATI
I Suoi dati possono essere comunicati alle seguenti categorie di destinatari:
• Autorità di Pubblica Sicurezza (Questura) – obbligo di legge
• ISTAT e Regione – per fini statistici obbligatori
• Comuni – per la tassa di soggiorno
• Piattaforme OTA (Airbnb, Booking.com, ecc.) – nella misura in cui originano la prenotazione
• Fornitori di servizi tecnologici (PMS, cloud) – nominati Responsabili ex art. 28 GDPR
Vikey S.r.l. (vikey.it, Italia) – sistema di self check-in e serratura elettronica per immobili selezionati: riceve solo nome e cognome dell'ospite; Responsabile del trattamento ex art. 28 GDPR
• Chatbase Inc. (chatbase.co, USA) – fornitore del chatbot AI: SCC + DPA | GDPR + SOC2 compliant | No AI training. I messaggi vengono elaborati tramite OpenAI (USA) come sub-processor di Chatbase, vincolato da SCC.
• Twilio Inc. (twilio.com, USA) – fornitore del servizio di telefonia AI (+17405600770): SCC + DPA
• Consulenti professionali (commercialista, legale) – vincolati da obblighi di riservatezza
I Suoi dati non vengono venduti né ceduti a terzi per finalità di marketing.
5. TRASFERIMENTI FUORI DALL'UNIONE EUROPEA
Alcuni fornitori tecnologici di cui ci avvaliamo hanno sede negli Stati Uniti. I trasferimenti verso tali Paesi avvengono esclusivamente sulla base di Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea con Decisione 2021/914/UE:
• Google LLC (USA) – Google Drive, Workspace: SCC + DPA
• Dropbox Inc. (USA) – archiviazione cloud: SCC + DPA
• Meta Platforms (USA) – WhatsApp Business: SCC + DPA
• Vikey S.r.l. (Italia, UE) – self check-in e serratura elettronica: sede UE, nessun trasferimento extra-UE
Chatbase Inc. (USA) – chatbot AI: SCC + DPA | GDPR + SOC2 Type II | No AI training | Sub-processors: OpenAI, Pinecone, Supabase, Vercel (tutti USA, coperti da SCC)
• Twilio Inc. (USA) – assistente vocale AI, numero +17405600770: SCC + DPA
Nota: le chiamate al numero +17405600770 sono gestite da un assistente digitale AI. È sempre possibile richiedere un operatore umano. Le chiamate possono essere trascritte per finalità di assistenza e le trascrizioni vengono cancellate entro 30 giorni.
6. I SUOI DIRITTI
In qualità di interessato, Lei ha il diritto di:
• Accesso: ottenere conferma del trattamento e copia dei Suoi dati (art. 15 GDPR)
• Rettifica: correggere dati inesatti o incompleti (art. 16 GDPR)
• Cancellazione: richiedere la cancellazione dei dati (art. 17 GDPR)
• Limitazione: limitare il trattamento in determinati casi (art. 18 GDPR)
• Portabilità: ricevere i dati in formato strutturato (art. 20 GDPR)
• Opposizione: opporsi al trattamento basato su interesse legittimo (art. 21 GDPR)
Per esercitare i Suoi diritti, scriva a: [email protected] indicando nell'oggetto "Esercizio diritti GDPR". Risponderemo entro 30 giorni.
Ha sempre il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali: www.gpdp.it | Piazza Venezia 11, 00187 Roma.
7. CONFERIMENTO DEI DATI
Il conferimento dei dati anagrafici e del documento d'identità è obbligatorio per legge (art. 109 T.U.L.P.S.) e condizione necessaria per il soggiorno. Il rifiuto rende impossibile l'erogazione del servizio. Il conferimento dei dati di contatto è necessario per l'esecuzione del contratto.
── ENGLISH ──
1. WHO WE ARE AND HOW TO CONTACT US
Kìbilù Srl (hereinafter "Kìbilù"), registered at Via Dei Pellegrini 22, 20122 Milan, Italy, VAT no. 09228560968, is the Data Controller of your personal data.
For any information regarding the processing of your personal data or to exercise your rights, please contact our Data Rebecca Spampinato a [email protected]
2. WHAT DATA WE PROCESS
In connection with your stay at properties managed by Kìbilù, we process the following categories of personal data:
• Personal details: name, surname, date and place of birth, nationality, gender
• Contact details: email address, phone number
• Identity documents: document type, number, issuing authority, expiry date
• Booking data: stay dates, number of guests, amounts paid
• Payment data: transaction details (we do not store full card data)
• Communications: messages exchanged via OTA platforms, email or WhatsApp
• Access data: temporary access codes for the property (self check-in); for selected properties: name and surname shared with Vikey S.r.l. to generate electronic lock credentials
• Text communication data: messages exchanged with the AI chatbot (Chatbase)
• Voice data: voice and transcription of calls to the AI phone assistant (+17405600770, Twilio)
3. WHY WE PROCESS YOUR DATA (PURPOSES AND LEGAL BASES)
Purpose Legal basis (Art. 6 GDPR) Retention
Performance of short-term rental contract Art. 6.1.b – contract performance 12 months from check-out
Reporting to Police Authority (legal obligation – Art. 109 T.U.L.P.S.) Art. 6.1.c – legal obligation As per Police regulations (min. 5 years)
ISTAT / Regional tourism statistics Art. 6.1.c – legal obligation As per regional regulations
Self check-in and property access (incl. Vikey for selected properties) Art. 6.1.b – contract performance 30 days from check-out
Guest assistance via AI chatbot (Chatbase) – text messages Art. 6.1.b – contract performance 12 months from check-out
Phone assistance via AI voice assistant (Twilio) – calls to +17405600770 Art. 6.1.b – contract performance 30 days from stay
Guest assistance during the stay Art. 6.1.b – contract performance 12 months from check-out
Tax obligations (tourist tax) Art. 6.1.c – legal obligation 10 years (tax obligations)
Property security and fraud prevention Art. 6.1.f – legitimate interest 6 months
4. WHO WE SHARE YOUR DATA WITH
Your data may be shared with the following categories of recipients:
• Police Authority – legal obligation
• ISTAT and Regional authorities – for mandatory statistical purposes
• Municipalities – for tourist tax purposes
• OTA platforms (Airbnb, Booking.com, etc.) – to the extent they originated the booking
• Technology service providers (PMS, cloud) – appointed as Data Processors under Art. 28 GDPR
Vikey S.r.l. (vikey.it, Italy) – self check-in and electronic lock system for selected properties: receives only guest name and surname; appointed as Data Processor under Art. 28 GDPR
• Chatbase Inc. (chatbase.co, USA) – AI chatbot provider: SCC + DPA | GDPR + SOC2 compliant | No AI training. Messages are processed via OpenAI (USA) as Chatbase sub-processor, bound by SCCs.
• Twilio Inc. (twilio.com, USA) – AI voice assistant provider (+17405600770): SCC + DPA
• Professional advisors (accountant, legal counsel) – bound by confidentiality obligations
Your data is never sold or transferred to third parties for marketing purposes.
5. TRANSFERS OUTSIDE THE EUROPEAN UNION
Some technology providers we use are based in the United States. Transfers take place exclusively on the basis of Standard Contractual Clauses (SCCs) approved by the European Commission under Decision 2021/914/EU:
• Google LLC (USA) – Google Drive, Workspace: SCC + DPA
• Dropbox Inc. (USA) – cloud storage: SCC + DPA
• Meta Platforms (USA) – WhatsApp Business: SCC + DPA
• Vikey S.r.l. (Italy, EU) – self check-in and electronic lock system: EU-based, no extra-EU transfer
Chatbase Inc. (USA) – AI chatbot: SCC + DPA | GDPR + SOC2 Type II | No AI training | Sub-processors: OpenAI, Pinecone, Supabase, Vercel (all USA, covered by SCCs)
• Twilio Inc. (USA) – AI voice assistant, number +17405600770: SCC + DPA
Note: calls to +17405600770 are handled by a digital AI assistant. You can always request a human operator. Calls may be transcribed for assistance purposes; transcriptions are deleted within 30 days.
6. YOUR RIGHTS
As a data subject, you have the right to:
• Access: obtain confirmation of processing and a copy of your data (Art. 15 GDPR)
• Rectification: correct inaccurate or incomplete data (Art. 16 GDPR)
• Erasure: request deletion of your data (Art. 17 GDPR)
• Restriction: restrict processing in certain cases (Art. 18 GDPR)
• Portability: receive your data in a structured format (Art. 20 GDPR)
• Objection: object to processing based on legitimate interest (Art. 21 GDPR)
To exercise your rights, please write to: [email protected] with subject line "GDPR Rights Request". We will respond within 30 days.
You always have the right to lodge a complaint with the Italian Data Protection Authority (Garante): www.gpdp.it | Piazza Venezia 11, 00187 Rome, Italy.
7. MANDATORY OR OPTIONAL DATA
Providing personal details and identity document is mandatory by law (Art. 109 T.U.L.P.S.) and is a necessary condition for your stay. Refusal makes it impossible to provide the service. Providing contact details is necessary for the performance of the contract.