Política de privacidad

1. Responsable de datos

Lotto 235 Garbatella
Via Circonvallazione Ostiense 235, 00154 Roma RM, Italia
Correo: lotto235roma@gmail.com
Teléfono: +39 328 452 1227

2. Datos que recopilamos

Recopilamos solo datos necesarios para tu reserva y obligaciones legales:

• Identidad: Nombre, email, teléfono
• Detalles de reserva: Fechas, huéspedes, peticiones especiales
• Pago: Procesado por Stripe; no almacenamos datos completos de tarjeta
• Técnicos: IP, tipo de navegador, origen (para analítica)
• Reseñas: Nombre, ubicación, valoración, contenido (si envías testimonio)

3. Base legal para el tratamiento

• Ejecución del contrato: Tratamiento de reservas, pagos, comunicaciones
• Obligación legal: La ley fiscal italiana requiere registro de huéspedes (Questura)
• Interés legítimo: Mejorar nuestro servicio, prevención de fraude, analítica
• Consentimiento: Emails de marketing (opcional, opt-in)

4. Compartición de datos

No vendemos tus datos. Solo compartimos con:

• Stripe: Procesamiento de pagos (PCI-DSS cumplidor)
• Brevo (Sendinblue): Emails transaccionales vía API HTTPS
• Italian authorities: Registro de huéspedes Questura (requisito legal)
• Accountant: Cumplimiento fiscal (acuerdo de tratamiento de datos en vigor)

5. Retención de datos

• Registros de reservas: 10 años (ley fiscal italiana)
• Datos de registro de huéspedes: 3 años (requisito Questura)
• Correspondencia por email: 5 años
• Reseñas: Hasta que solicites su eliminación
• Datos analíticos: 26 meses (Google Analytics)

6. Tus derechos (RGPD)

Tienes derecho a:

• Acceder a tus datos
• Rectificar datos inexactos
• Supresión ("derecho al olvido") - donde no sea legalmente requerido retener
• Limitar el tratamiento
• Portabilidad de datos
• Oponerse al tratamiento
• Retirar consentimiento (para marketing)
• Presentar reclamación ante la Autoridad Italiana de Protección de Datos (Garante)

Para ejercer derechos, email: lotto235roma@gmail.com

7. Cookies y analítica

• Esenciales: Sesión, CSRF, preferencia de idioma
• Analítica (Google Analytics 4): IP anonimizada, retención 26 meses. Opt-out: Google Opt-out
• Sin cookies de publicidad/seguimiento

8. Seguridad

• HTTPS en todas partes (TLS 1.2+)
• Stripe gestiona todos los datos de tarjeta (PCI-DSS Nivel 1)
• Base de datos encriptada en reposo
• Claves API en variables de entorno (secretos Railway)
• Actualizaciones regulares de dependencias y monitoreo de seguridad

9. Transferencias internacionales

Tus datos pueden ser tratados fuera de UE/EEE por nuestros procesadores:

• Stripe (EE. UU.) - Cláusulas Contractuales Estándar UE
• Google Analytics (EE. UU.) - SCC UE + adecuación Reino Unido
• Brevo/Francia - UE

10. Privacidad de menores

Nuestros servicios no van dirigidos a menores de 16 años. No recopilamos conscientemente datos de menores. Las reservas las deben hacer adultos (18+).

11. Cambios en esta política

Podemos actualizar esta política. Cambios publicados aquí con fecha actualizada. Cambios materiales notificados por email.

12. Contacto