Privacy Policy

Questa informativa spiega come sono trattati i dati di chi visita i siti indicati di seguito, richiede informazioni, prenota un soggiorno, utilizza i servizi online o invia una candidatura. Descrive inoltre i principali trattamenti connessi al soggiorno. È resa ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679, di seguito GDPR.

Per servizi che richiedono informazioni specifiche, come videosorveglianza, Wi-Fi, attività per minori, servizi fotografici o servizi della spa, sono fornite informative dedicate. I siti esterni raggiungibili tramite link e i servizi di terzi hanno proprie informative.

1. Chi tratta i dati e come contattarci

Uappala Hotels S.r.l., proprietaria del marchio Uappala Hotels e del sito www.uappala.com, è titolare autonomo dei trattamenti di cui determina finalità e modalità nell’ambito della gestione del sito principale e dei servizi gestiti direttamente. Le società indicate nella tabella sono titolari autonomi dei trattamenti relativi ai rispettivi siti, alle prenotazioni e ai servizi delle strutture di competenza.

Società e partita IVA	Strutture e siti di riferimento
Uappala Hotels S.r.l. P. IVA 01677750497	Marchio Uappala Hotels e sito www.uappala.com con le pagine collegate
Investelba S.r.l. P. IVA 01229520497	Villa San Domenico www.villasandomenicoflats.it
Cortina Resort S.r.l. P. IVA 02375470693	Uappala Sestriere e Hotel Cilicia www.uappalasestriere.com www.uappala.com/it/hotel-cilicia
Tuscany Wellness & SPA S.r.l. P. IVA 01761910494	Grand Hotel Palazzo e Castiglioncello Suite www.ghpalazzo.it – www.castiglioncellosuite.it
Calipso S.r.l. P. IVA 01757180490	Toscana Charme Resort e Toscana Sport Resort www.toscanacharmeresort.com
Toscana Hotel S.r.l. P. IVA 11863540966	Hotel Santa Caterina www.hotelsantacaterinaelba.it

Sede indicata per le società: Corso Buenos Aires 64, 20124 Milano. Contatto Uappala Hotels: info@uappala.com; PEC: uappalahotels@pec.it. Puoi utilizzare questi recapiti per richieste sui tuoi dati, specificando il sito o la struttura interessata.

Quando una richiesta o una prenotazione effettuata sul sito principale riguarda una specifica struttura, i dati necessari sono trasmessi alla società che la gestisce, per dare seguito alla richiesta ed erogare il servizio. Il percorso di prenotazione identifica la società titolare per la struttura scelta. Ciascuna società risponde dei trattamenti di propria competenza e dei diritti degli interessati.

2.Trattamenti necessari per richieste e servizi

Trattiamo solo i dati necessari alla richiesta o al servizio. Il conferimento è necessario per gestire la richiesta, eseguire il contratto o adempiere agli obblighi di legge; senza questi dati il servizio potrebbe non essere erogato. Non è richiesto un consenso per le attività fondate sul contratto o su obblighi legali.

Trattamento e dati	Finalità	Base giuridica
Richieste e preventivi Nome, recapiti e contenuto del messaggio	Rispondere e predisporre il preventivo richiesto	Misure precontrattuali su richiesta: art. 6.1.b GDPR. Per richieste generiche: legittimo interesse a gestire le comunicazioni, art. 6.1.f
Prenotazioni e soggiorni Dati anagrafici, recapiti, date, servizi richiesti e dati necessari al pagamento	Gestire disponibilità, prenotazioni, modifiche, cancellazioni, pagamenti e assistenza	Contratto e misure precontrattuali: art. 6.1.b
Area riservata e check-in online o FAST PASS, se attivi Dati account, credenziali e dati necessari al check-in	Consentire accesso e gestione della prenotazione; anticipare il check-in	Contratto: art. 6.1.b. Obblighi legali per i dati richiesti dalla normativa: art. 6.1.c
Obblighi di pubblica sicurezza, fiscali e contabili Dati identificativi, dati del documento e dati di fatturazione	Registrazione degli ospiti e comunicazioni obbligatorie; fatturazione e adempimenti fiscali	Obbligo legale: art. 6.1.c; tra le norme applicabili, art. 109 TULPS e normativa fiscale e contabile
Eventi e prenotazioni di gruppo Recapiti, dati degli ospiti e informazioni organizzative necessarie	Organizzare eventi, camere e servizi richiesti	Contratto: art. 6.1.b; per referenti aziendali e partecipanti diversi dal contraente, legittimo interesse all’organizzazione del servizio: art. 6.1.f
Candidature Recapiti, esperienze, qualifiche e CV	Valutare la candidatura e gestire la selezione	Misure precontrattuali: art. 6.1.b. Non occorre il consenso per i dati comuni del CV, nei limiti dell’art. 111-bis del D.Lgs. 196/2003
Navigazione e sicurezza IP, dispositivo, richieste al server e log tecnici	Far funzionare il sito e prevenire accessi abusivi e incidenti	Legittimo interesse alla sicurezza e al funzionamento dei sistemi: art. 6.1.f. Per cookie e tracciatori si applica anche l’art. 122 del D.Lgs. 196/2003
Reclami e tutela dei diritti Corrispondenza e documenti pertinenti	Gestire contestazioni e accertare, esercitare o difendere diritti	Legittimo interesse alla tutela dei diritti: art. 6.1.f; obbligo legale per richieste vincolanti delle autorità: art. 6.1.c

I legittimi interessi indicati sono valutati tenendo conto dei diritti degli interessati. Puoi opporti per motivi connessi alla tua situazione particolare, secondo quanto indicato nella sezione sui diritti.

3.Trattamenti facoltativi e dati particolari

I consensi, quando necessari, sono richiesti separatamente per finalità. Puoi rifiutarli o revocarli senza perdere la possibilità di prenotare o utilizzare i servizi ordinari. La semplice lettura o accettazione dell’informativa non costituisce consenso.

Trattamento e dati	Finalità	Base giuridica
Newsletter e marketing Nome, recapiti e preferenze dichiarate	Inviare offerte e comunicazioni promozionali sui servizi e marchi indicati al momento della raccolta	Consenso: art. 6.1.a GDPR e art. 130 del D.Lgs. 196/2003
Profilazione promozionale e retargeting, se attivi Interazioni con il sito, identificativi e preferenze ricavate	Personalizzare la pubblicità in base agli interessi	Consenso specifico: art. 6.1.a GDPR; art. 122 del D.Lgs. 196/2003 per tracciatori non tecnici
Foto, video e contenuti degli utenti, se utilizzati Immagine, voce e contenuto autorizzato	Pubblicare contenuti sui canali indicati per finalità promozionali	Consenso specifico: art. 6.1.a GDPR; autorizzazione all’uso dell’immagine ove richiesta
Richieste che rivelano dati sanitari Allergie, intolleranze o esigenze di accessibilità	Predisporre il servizio specificamente richiesto dall’ospite	Art. 6.1.b GDPR e consenso esplicito ex art. 9.2.a per i dati sulla salute, salvo una diversa condizione applicabile prevista dalla legge
Categorie particolari nei CV Solo dati pertinenti, ad esempio appartenenza a categorie protette	Gestire gli aspetti della selezione connessi a obblighi lavoristici	Art. 6.1.b o c e art. 9.2.b GDPR, nei limiti della normativa applicabile e delle prescrizioni del Garante

Non inviare dati sanitari o altri dati particolari se non necessari. Per le esigenze sanitarie del soggiorno la mera comunicazione dell’informazione non sostituisce il consenso esplicito. Se non vuoi fornire tali dati o il consenso necessario, potrebbe non essere possibile soddisfare quella specifica esigenza.

Nei CV inserisci solo informazioni pertinenti alla selezione, evitando dati relativi a convinzioni personali, opinioni politiche e altri aspetti estranei alla posizione. Eventuali dati non pertinenti non sono utilizzati ai fini della selezione.

Cookie e accesso tramite account social

La Cookie Policy descrive strumenti, fornitori, finalità e durata dei cookie. I tracciatori che richiedono il consenso si attivano solo dopo la tua scelta; puoi modificarla o revocarla tramite il pannello delle preferenze del sito. Non è necessario bloccare tutti i cookie nel browser per rifiutare quelli facoltativi.

Se è disponibile l’accesso tramite un account social, i dati ricevuti dipendono dal servizio scelto e dalle autorizzazioni visualizzate. Prima dell’attivazione devono essere indicate le categorie di dati ricevuti e i ruoli del fornitore. Il fornitore tratta i dati anche secondo la propria informativa.

Promemoria di prenotazione e questionari

Le comunicazioni strettamente necessarie a una prenotazione richiesta rientrano nella gestione del servizio. Promemoria commerciali per ricerche o carrelli abbandonati e questionari con contenuto promozionale richiedono una distinta valutazione e, quando necessario, il consenso per marketing. Il loro invio non discende automaticamente dalla visita al sito.

4.Per quanto tempo conserviamo i dati

I dati sono cancellati o anonimizzati quando non sono più necessari. I termini si applicano alle rispettive categorie di dati: la conservazione contabile non giustifica il mantenimento di tutti i dati dell’ospite. In caso di contenzioso conserviamo solo le informazioni pertinenti per il tempo necessario alla tutela dei diritti.

Trattamento	Durata o criterio di conservazione
Richieste, prenotazioni e servizi	24 mesi dalla conclusione della richiesta o del servizio; restano separati gli obblighi contabili, di pubblica sicurezza e di tutela dei diritti.
Documentazione contabile	10 anni secondo l’art. 2220 c.c., dalla pertinente registrazione, fatti salvi gli ulteriori obblighi di legge.
Marketing e newsletter	Marketing: 24 mesi dalla raccolta del consenso, salvo revoca anticipata. Newsletter: fino alla disiscrizione o revoca, con verifica periodica della necessità di conservare i contatti. I due criteri vanno coordinati se riguardano la stessa lista.
Profilazione, cookie e retargeting	Per i termini specifici indicati nella Cookie Policy e nell’informativa sulla profilazione, da allineare agli strumenti effettivamente utilizzati.
Dati sanitari per servizi specifici	Per il tempo necessario a soddisfare la richiesta e, di regola, fino alla conclusione del servizio, salvo necessità documentate di conservare dati pertinenti.
Candidature	12 mesi
Log tecnici e di sicurezza	7 giorni, fatte salve esigenze specifiche per tutelare diritti o per verificare tentative di attacco informatico;
Immagini e contenuti promozionali	Fino ad esaurimento della finalita e restando salva la facoltà di opposizione e/o revoca del consenso.
Dati per obblighi di pubblica sicurezza	Per il tempo necessario all’adempimento e nei limiti della normativa applicabile; la raccolta dei dati identificativi non comporta automaticamente la conservazione della copia del documento.
Prove dei consensi e gestione delle opposizioni	Per il tempo necessario a dimostrare la liceità del trattamento e rispettare le richieste di non ricevere comunicazioni, limitando i dati conservati a quelli indispensabili.

5.Da dove provengono i dati e chi li riceve

Raccogliamo dati direttamente da te, dai sistemi di navigazione e, per prenotazioni o eventi, da agenzie, portali, partner commerciali, organizzatori o dalla persona che prenota per il gruppo. Riceviamo solo i dati pertinenti al servizio. Se riceviamo dati da altri, forniamo l’informativa nei tempi dell’art. 14 GDPR, salvo le eccezioni previste dalla norma.

I dati sono accessibili al personale autorizzato e istruito e ai fornitori necessari al servizio. Le altre società del gruppo ricevono dati solo quando esiste una finalità e una base giuridica appropriate; l’appartenenza al gruppo non autorizza una condivisione generalizzata.

6.Destinatari e modalità del trattamento

Destinatari	Scopo e ruolo
Fornitori di prenotazione	Blastness S.p.A., Piazza Castello 26, 20121 Milano; Scidoo S.r.l., Piazza Felice Cavallotti, 63851 Ortezzano FM. Indicati come responsabili ex art. 28 GDPR, a seconda della struttura e del servizio.
Uappala Management S.r.l.	Gestione amministrativa per conto delle società interessate, limitatamente ai dati necessari al servizio e su loro istruzioni, in qualità di responsabile del trattamento ai sensi dell’art. 28 GDPR.
Fornitori informatici e operativi	Hosting, manutenzione, gestionali e invio di comunicazioni: responsabili ex art. 28 quando operano su istruzioni del titolare. L’elenco aggiornato può essere richiesto ai recapiti indicati.
Prestatori di pagamento, consulenti e partner	Ricevono i dati necessari alle rispettive attività; operano come responsabili o titolari autonomi secondo il servizio effettivamente svolto.
Struttura prenotata e fornitori dei servizi richiesti	Ricevono solo i dati necessari a erogare soggiorno e servizi accessori, secondo i ruoli effettivi.
Organizzatori di eventi o gruppi	Ricevono informazioni strettamente necessarie all’organizzazione e gestione del servizio. Non comunichiamo dati per il marketing proprio di terzi senza un’idonea base giuridica e, quando richiesto, uno specifico consenso.
Autorità ed enti pubblici	Ricevono i dati previsti dagli obblighi di legge o da richieste vincolanti delle autorità competenti.

I dati sono trattati con strumenti informatici e, quando necessario, su carta, con misure di sicurezza adeguate ai rischi. Non sono diffusi al pubblico, salvo i contenuti la cui pubblicazione sia stata specificamente autorizzata.

7.Trasferimenti fuori dallo Spazio economico europeo

L’eventuale trasferimento fuori dallo Spazio economico europeo deve rispettare gli artt. 44 e seguenti GDPR, mediante una decisione di adeguatezza applicabile al destinatario o altre garanzie appropriate, quali le clausole contrattuali tipo, con le verifiche e misure ulteriori necessarie. Puoi chiedere informazioni e una copia delle garanzie ai recapiti indicati.

8.I tuoi diritti

Nei casi e nei limiti previsti dagli artt. 15–22 GDPR puoi chiedere accesso e copia dei dati, rettifica, cancellazione, limitazione e portabilità. Puoi opporti ai trattamenti basati sul legittimo interesse per motivi legati alla tua situazione particolare. Per il marketing diretto puoi opporti in ogni momento, anche alla profilazione collegata.

Puoi revocare il consenso in qualsiasi momento; la revoca non incide sulla liceità dei trattamenti già effettuati. Per le newsletter puoi usare il link di disiscrizione contenuto nel messaggio. Per gli altri diritti scrivi ai recapiti della sezione 1. Rispondiamo di regola entro un mese, con eventuale proroga motivata nei casi previsti dall’art. 12 GDPR.

Puoi presentare reclamo al Garante per la protezione dei dati personali, www.garanteprivacy.it, o all’autorità competente nello Stato della tua residenza abituale, del luogo di lavoro o della presunta violazione.

Non sono adottate decisioni basate esclusivamente su trattamenti automatizzati che producano effetti giuridici o analogamente significativi ai sensi dell’art. 22 GDPR. L’eventuale profilazione promozionale è descritta nella sezione 3.

9.Minori e aggiornamenti

I siti sono rivolti a un pubblico generalista. I dati dei minori necessari al soggiorno e ai servizi richiesti sono trattati secondo la normativa applicabile e con il coinvolgimento di chi esercita la responsabilità genitoriale, ove necessario. Le attività dedicate hanno informative specifiche.

L’informativa è aggiornata quando cambiano i trattamenti. Le modifiche sono pubblicate sul sito; quando necessario vengono fornite ulteriori informazioni o richiesti nuovi consensi.

Data di pubblicazione della versione definitiva: Settembre 2026