Doorling
Inizia ora

Privacy Policy

Come trattiamo i dati personali tuoi e dei tuoi ospiti. Ai sensi del Regolamento UE 679/2016 (GDPR).

Ultimo aggiornamento: 20 ottobre 2026

1. Titolare del trattamento

Il titolare del trattamento dei dati personali raccolti tramite il sito doorling.it e la piattaforma Doorling è Nower Srls (Doorling è un brand di Nower Srls), con sede legale in Via Bordighera 22, 20142 Milano, Italia, P.IVA IT11641930968, REA MI - 2616609, contattabile a policy@doorling.it.

Per i dati dei tuoi ospiti che processi tramite Doorling (es. dati anagrafici per trasmissioni a ISTAT e Alloggiati Web), tu sei titolare del trattamento e Doorling è responsabile del trattamento. Vedi la sezione 9 per i dettagli.

2. Dati che raccogliamo

Quando visiti il sito

  • Indirizzo IP e metadati di navigazione (log server)
  • Preferenze cookie (vedi Cookie Policy)
  • Segnalazioni tecniche degli errori del sito e dell'app, raccolte con Sentry per poterli correggere (vedi sezione 6)
  • Statistiche d'uso del sito con Google Analytics e PostHog, solo se hai consentito gli analytics; se accedi all'area host con lo stesso browser, PostHog può collegarle al tuo account e Google Analytics riceve anche i passi di registrazione e abbonamento (vedi sezione 6)

Quando crei un account

  • Email, nome, cognome e telefono
  • Nome dell'organizzazione
  • Data, ora, indirizzo IP e user agent associati all'accettazione dei Termini e dell'informativa privacy
  • Lingua e preferenze UI
  • Da dove sei arrivato la prima volta sul sito (campagna, sito di provenienza, pagina d'ingresso), letto dal cookie doorling_first_touch, che il sito salva solo se accetti gli analytics, per capire quali canali portano nuovi host

Quando ci scrivi su WhatsApp

  • Numero di telefono, nome del profilo e i messaggi che ci mandi, usati solo per risponderti

Quando sottoscrivi un piano a pagamento

  • Dati di fatturazione (ragione sociale, P.IVA, indirizzo) gestiti da Stripe · noi non conserviamo numeri di carta di credito
  • Storico fatture e stato abbonamento

Quando usi il Servizio

  • Prenotazioni e relativi dati operativi
  • Dati degli ospiti (anagrafica, documenti) necessari per trasmissioni legali · ruolo di responsabile del trattamento
  • Log tecnici per sicurezza e debugging
  • Statistiche d'uso raccolte con PostHog: nell'area host collegate al tuo account, sul portale di check-in senza profili (vedi sezione 6)

Quando chiedi un avviso sulla tassa di soggiorno

  • Email, comune e tipo di struttura per cui chiedi l'avviso
  • Data della richiesta, della conferma e dell'eventuale disiscrizione
  • Se lo dai, il consenso alle comunicazioni di marketing, con data e testo della casella spuntata

3. Finalità e basi giuridiche

Esecuzione del contratto · art. 6.1.b GDPR

Registrazione e accesso all'account · l'email che inserisci è usata per inviarti il link di accesso («magic link») e gestire l'autenticazione, oltre a fornitura del Servizio, fatturazione, supporto tecnico e registrazione dell'accettazione dei Termini e condizioni.

Risposta alle richieste che ci mandi su WhatsApp o dal modulo di contatto, anche prima di creare un account · misure precontrattuali adottate su tua richiesta.

Avvisi sulla tassa di soggiorno · se lo chiedi dallo strumento su doorling.it/tassa-di-soggiorno, usiamo email, comune e tipo di struttura per mandarti la mail di conferma e poi scriverti solo quando la tassa cambia. Ogni email ha il link per disiscriverti.

Obblighi legali · art. 6.1.c GDPR

Conservazione dati contabili, adempimenti fiscali, registro delle revoche del consenso agli analytics (art. 7.3 GDPR).

Legittimo interesse · art. 6.1.f GDPR

Sicurezza del sistema, monitoraggio degli errori tecnici, prevenzione frodi, comunicazioni di servizio legate al tuo account, statistiche d'uso dell'area host, collegate al tuo account, e del portale di check-in per migliorare il prodotto e capire dove si interrompono registrazione, configurazione iniziale e attivazione dell'abbonamento (vedi sezione 6).

Tra le comunicazioni di servizio rientrano i promemoria legati alla registrazione (configurazione da completare, prova in scadenza, attivazione dell'account): pochi messaggi, ciascuno con il link «Non ricordarmelo più» per smettere di riceverli con un clic.

Consenso · art. 6.1.a GDPR

Cookie non essenziali sul sito doorling.it (preferenze, analytics), collegamento al tuo account del canale da cui sei arrivato (cookie doorling_first_touch), invio a Google Analytics dei passi compiuti nell'area host (vedi sezione 6) e comunicazioni di marketing. Revocabile in qualsiasi momento.

Consenso marketing dell'ospite (check-in). Se durante il check-in online l'ospite spunta il consenso facoltativo alle «offerte e comunicazioni promozionali», autorizza sia la struttura (l'host) sia Doorling a inviargli comunicazioni promozionali. Il consenso è facoltativo, non condiziona il check-in ed è revocabile in qualsiasi momento.

Consenso marketing dagli avvisi sulla tassa di soggiorno. Se nel modulo dell'avviso spunti la casella facoltativa, ti mandiamo anche novità e consigli di Doorling per chi affitta. Non serve per ricevere l'avviso ed è revocabile in qualsiasi momento: disiscrivendoti dall'avviso lo revochi.

4. Come conserviamo i dati

I dati sono cifrati at-rest (Postgres con crittografia a livello di colonna per campi sensibili) e in-transit (TLS 1.3). I server sono localizzati in UE (Irlanda, via AWS/Supabase). I backup sono incrementali cifrati e conservati per 30 giorni.

I documenti d'identità caricati al check-in sono archiviati in storage privato con URL firmati a tempo limitato · nessun accesso pubblico al file.

5. Quanto conserviamo i dati

  • Account attivi · conserviamo i dati finché l'account esiste
  • Account chiusi · grace period di 30 giorni per riattivazione, poi cancellazione definitiva entro 90 giorni
  • Foto dei documenti d'identità degli ospiti · cancellate automaticamente 7 giorni dopo la trasmissione riuscita ad Alloggiati Web (Polizia di Stato), altrimenti 30 giorni dopo il check-out, o 90 se la trasmissione è fallita, per consentire all'host di regolarizzare la comunicazione; restano solo i dati anagrafici necessari agli adempimenti di legge
  • Dati del documento degli ospiti (tipo, numero, paese e date) e copie delle schedine trasmesse ad Alloggiati Web · cancellati insieme alle foto; resta la ricevuta della trasmissione
  • Dati anagrafici degli ospiti · nome, cognome, comune di nascita e di residenza cancellati il 31 dicembre del quinto anno dopo il soggiorno, perché servono all'host per i controlli sulla tassa di soggiorno; restano data di nascita, sesso e paesi per i conteggi
  • Moduli di esenzione dall'imposta di soggiorno firmati dagli ospiti (Mod. A, Provincia di Trento), con la copia del documento · fino al 31 dicembre del quinto anno dopo il soggiorno, poi cancellati
  • Dati fiscali e contabili · 10 anni come previsto dalla normativa italiana
  • Statistiche d'uso (analytics) · max 26 mesi
  • Registro delle revoche del consenso agli analytics · 12 mesi dalla revoca
  • Log di sicurezza · 12 mesi
  • Segnalazioni di errore su Sentry · fino a 90 giorni
  • Richieste inviate dal modulo di contatto · 12 mesi dalla chiusura della richiesta
  • Chat su WhatsApp · 12 mesi dall'ultimo messaggio; puoi chiederci di cancellarle prima
  • Avvisi sulla tassa di soggiorno · finché non ti disiscrivi; le richieste mai confermate si cancellano dopo 30 giorni, la prova del consenso e della revoca 12 mesi dopo la disiscrizione

6. Con chi condividiamo i dati

Condividiamo dati solo con fornitori essenziali al funzionamento del Servizio (responsabili del trattamento ex art. 28 GDPR):

  • Supabase (server EU) · database, autenticazione, storage file
  • Vercel (server EU) · hosting applicativo
  • Stripe · pagamenti e fatturazione (sede UE · Irlanda)
  • Resend · invio email transazionali (sede UE)
  • Channex (server EU) · channel manager: scambia con Booking.com, Airbnb e gli altri portali collegati prenotazioni, dati degli ospiti, disponibilità e prezzi
  • OpenAI · lettura automatica (OCR) dei documenti d'identità caricati al check-in, per precompilare i dati dell'ospite, e funzioni di intelligenza artificiale come traduzioni e assistente; non usa questi dati per addestrare i propri modelli
  • Amazon Web Services EMEA SARL (server a Francoforte) · confronto automatico fra il selfie dell'ospite e la foto sul documento (verifica del volto), solo se l'host attiva la funzione e l'ospite acconsente; non conserva le immagini e non le usa per addestrare i propri sistemi
  • Sentry (server EU) · monitoraggio degli errori tecnici del sito e dell'app (dettagli qui sotto)
  • Autorità italiane · ISTAT (Regione competente) e Alloggiati Web (Polizia di Stato) per trasmissioni obbligatorie

Non vendiamo né affittiamo dati personali a terzi. Non utilizziamo i dati per profilazione pubblicitaria di terze parti.

Per gli analytics del sito doorling.it, e solo se hai dato il consenso, ci avvaliamo anche di Google (Google Ireland Ltd., Google Analytics 4), responsabile del trattamento ex art. 28 GDPR.

Con lo stesso consenso, Google Analytics riceve anche dai nostri server quattro passi che compi nell'area host: registrazione, configurazione iniziale completata, avvio della prova e primo pagamento. Li colleghiamo alla tua visita sul sito tramite il cookie _ga e aggiungiamo pochi dettagli, come piano e importo: mai nome, email o altri dati che ti identificano direttamente. Per attribuire il primo pagamento, l'identificativo Google Analytics viene salvato anche nella sessione di pagamento su Stripe. Se revochi il consenso, il sito cancella i cookie _ga e _ga_W7ZBX4DQZW e gli invii legati a quel browser si fermano tutti, anche quelli che partirebbero più tardi, come il primo pagamento di un abbonamento già avviato: per bloccarli conserviamo per 12 mesi un'impronta (hash SHA-256) del tuo identificativo Google Analytics, con la sola data della revoca.

Se ci scrivi su WhatsApp, i messaggi passano da WhatsApp (WhatsApp Ireland Limited, gruppo Meta), che per il funzionamento del servizio agisce come titolare autonomo, secondo la propria informativa privacy.

Sentry (Functional Software, Inc.) riceve una segnalazione tecnica quando qualcosa va storto nel sito o nell'app: identificativi interni, come quelli dell'organizzazione o della prenotazione, il nome dell'operazione, lo stack trace, l'indirizzo della pagina, browser e sistema operativo (user agent) e i passaggi tecnici che hanno preceduto l'errore. Non riceve il contenuto delle richieste, i cookie né le intestazioni con le credenziali di accesso: li togliamo sui nostri server prima dell'invio. Le segnalazioni sono conservate nell'Unione Europea (Francoforte, Germania). Base giuridica: legittimo interesse (art. 6.1.f GDPR), per tenere il Servizio funzionante e sicuro.

PostHog è il servizio di analytics di prodotto con cui misuriamo come vengono usati il sito e la piattaforma. È fornito da PostHog Inc. nella versione cloud, con i dati ospitati nell'Unione Europea (Francoforte, Germania), e agisce come responsabile del trattamento ex art. 28 GDPR. Non legge mai quello che scrivi nei campi dei moduli.

Sito doorling.it · solo con il tuo consenso

PostHog parte solo se accetti la categoria «Analytics» nel banner dei cookie e si ferma se revochi il consenso. Raccoglie gli stessi dati di utilizzo dell'area host, elencati qui sotto. Se con lo stesso browser accedi anche all'area host, può collegare queste visite al tuo account, come spieghiamo più avanti.

Area host (app.doorling.it) · legittimo interesse

Nell'area host PostHog è attivo senza chiedere il consenso: ci serve a capire quali funzioni usano gli host, dove si bloccano e cosa migliorare. Base giuridica: legittimo interesse (art. 6.1.f GDPR). Raccoglie:

  • le pagine che visiti e il sito da cui arrivi
  • i clic su pulsanti, link e altri elementi (autocapture), con il loro testo visibile, mai quello che scrivi nei campi
  • quanto scorri le pagine, dove clicchi e i movimenti del puntatore (mappe di calore)
  • i dati tecnici di browser e dispositivo: tipo e versione del browser, sistema operativo, tipo di dispositivo, dimensioni dello schermo e lingua
  • una posizione approssimativa (paese, regione, città e codice postale) ricavata dall'indirizzo IP · PostHog non conserva l'IP

Solo nelle pagine di accesso, di configurazione iniziale e di scelta dell'abbonamento registriamo anche la sessione (session replay): come si presenta la pagina e cosa fai, cioè clic, scorrimento e movimenti del puntatore. I campi dei moduli restano sempre oscurati, compreso quello che scrivi, e dagli indirizzi delle pagine togliamo codici e token. Non registriamo mai le altre pagine dell'area host, dove compaiono i dati degli ospiti, né il sito doorling.it o il portale di check-in. Le registrazioni si cancellano dopo 30 giorni.

Per riconoscere le visite dello stesso browser, PostHog salva un identificativo nel cookie ph_* e nel localStorage: è casuale finché non accedi. Dopo l'accesso colleghiamo i dati di utilizzo al tuo account: PostHog crea un tuo profilo e riceve l'identificativo dell'account, l'email, l'organizzazione (identificativo e nome), il piano con il suo stato e il tuo ruolo. Al profilo vengono collegati i dati elencati sopra, compresi quelli raccolti con lo stesso browser prima dell'accesso, anche sul sito doorling.it se lì hai accettato gli analytics.

Registriamo anche tre passaggi, collegati al tuo account:

  • la registrazione, cioè il primo accesso: metodo di accesso ed eventuale piano scelto nella pagina prezzi
  • il completamento della configurazione iniziale: tipo di affitto e di alloggio, paese, se usi già un gestionale, integrazioni indicate, regime fiscale ed eventuale piano scelto nella pagina prezzi
  • l'attivazione dell'abbonamento, che inviamo a PostHog dai nostri server quando Stripe la conferma: piano scelto e precedente, fatturazione mensile o annuale, se parte con il periodo di prova e da dove l'hai attivato

Quando esci dall'account, nell'area host il collegamento si interrompe su quel dispositivo: PostHog riparte con un nuovo identificativo casuale e i dati raccolti fin lì restano nel tuo profilo. Sul sito doorling.it, se lì hai accettato gli analytics, le visite fatte con quel browser possono restare collegate al tuo account anche dopo l'uscita, finché non revochi il consenso o non cancelli i dati del sito dal browser. Puoi opporti in qualsiasi momento scrivendo a policy@doorling.it.

Portale di check-in (check-in.doorling.it) · senza cookie né profili

Sul portale di check-in PostHog non salva cookie né altri dati sul dispositivo dell'ospite: l'identificativo resta in memoria e sparisce quando la pagina viene chiusa o ricaricata. Non crea profili e non registra né il testo degli elementi cliccati né i dati e i documenti inseriti nel modulo. Raccoglie solo le pagine viste, quanto si scorre, dove si clicca e i movimenti del puntatore (mappe di calore), i dati tecnici del browser, una posizione approssimativa ricavata dall'indirizzo IP, che non viene conservato, e l'avvenuto invio del check-in, con la lingua scelta, il numero di ospiti e due indicazioni sì/no: se l'host aveva chiesto nuovi documenti e se dopo l'invio si passa al pagamento online. Base giuridica: legittimo interesse (art. 6.1.f GDPR), per verificare che il check-in online funzioni e capire dove gli ospiti si fermano.

7. Trasferimenti extra-UE

I nostri fornitori principali hanno server nell'Unione Europea. Nel caso in cui un sub-fornitore operasse fuori dall'UE, adottiamo Standard Contractual Clauses approvate dalla Commissione Europea come base legale del trasferimento.

Sentry (Functional Software, Inc.) ha sede negli Stati Uniti e conserva le segnalazioni nell'UE, ma può trattarle anche negli Stati Uniti: il trasferimento si basa sull'EU-U.S. Data Privacy Framework, a cui Sentry aderisce, e sulle Standard Contractual Clauses come garanzia di riserva. Anche OpenAI tratta i dati negli Stati Uniti, sulla base delle Standard Contractual Clauses.

Se ci scrivi su WhatsApp, alcuni dati possono essere trasferiti negli Stati Uniti a società del gruppo Meta, sulla base dell'EU-U.S. Data Privacy Framework.

8. I tuoi diritti

Ai sensi del GDPR hai diritto di:

  • Accedere ai tuoi dati personali (art. 15)
  • Rettificarli se inesatti (art. 16)
  • Ottenerne la cancellazione (art. 17)
  • Limitarne il trattamento (art. 18)
  • Ricevere i tuoi dati in formato portabile (art. 20)
  • Opporti al trattamento basato su legittimo interesse (art. 21)
  • Revocare il consenso in qualsiasi momento, senza pregiudizio per la liceità precedente
  • Presentare reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it)

Per esercitare i tuoi diritti scrivi a policy@doorling.it. Rispondiamo entro 30 giorni.

9. Ruolo di Doorling come responsabile del trattamento

Rispetto ai dati dei tuoi ospiti, Doorling agisce come responsabile del trattamento (Data Processor) ai sensi dell'art. 28 GDPR. I termini di questo rapporto sono descritti nel Data Processing Agreement (DPA) disponibile su richiesta a policy@doorling.it.

L'informativa ai tuoi ospiti spetta a te come titolare. Il portale di check-in te la mette a disposizione: dalla casella di consenso l'ospite apre un'informativa breve, in italiano se usa il portale in italiano e in inglese per tutte le altre lingue, che indica te come titolare (con la ragione sociale di fatturazione, se l'hai inserita) e Doorling come responsabile. Se tratti i dati dei tuoi ospiti anche fuori da Doorling, quella parte resta da coprire con un'informativa tua.

10. Dati finanziari di supporto

Doorling calcola e conserva i dati finanziari relativi alle tue prenotazioni (ricavi, commissioni canale, imposte stimate, margine netto, costi di pulizia/lavanderia) come strumento di supporto decisionale per te host.

Questi dati:

  • sono visibili solo a te e ai membri della tua organizzazione con i ruoli appropriati (RLS Postgres);
  • sono ospitati su Supabase nella regione UE Irlanda (eu-west-1), sotto DPA standard, criptati a riposo;
  • non vengono trasmessi a Agenzia delle Entrate, Comune, Polizia di Stato, banche, OTA. La trasmissione di dati anagrafici ospite ad Alloggiati Web e ISTAT riguarda solo nome, cognome, documento, cittadinanza e date · mai cifre o calcoli finanziari;
  • restano finché usi Doorling e si cancellano con l'organizzazione, 30 giorni dopo che l'hai eliminata;
  • puoi esportarli o richiederne la cancellazione in qualsiasi momento scrivendo a policy@doorling.it.

11. Cookie

Per il dettaglio sui cookie utilizzati vedi la Cookie Policy. Puoi gestire le tue preferenze in qualsiasi momento dal link «Preferenze cookie» presente nel footer.

12. Minori

Il Servizio non è rivolto a minori di 18 anni. Non raccogliamo intenzionalmente dati di minori. Se vieni a conoscenza che un minore ci ha fornito dati personali, contattaci e procederemo all'eliminazione.

13. Modifiche a questa informativa

Possiamo aggiornare questa policy per riflettere cambiamenti legali o di prodotto. Le modifiche rilevanti saranno comunicate via email. La data di ultimo aggiornamento è indicata in cima a questa pagina.

14. Software open source

Per convertire le foto HEIC il portale di check-in usa heic-to, libheif e libde265, distribuiti con licenza GNU LGPL 3.0. Licenze e sorgenti.