Informativa sulla privacy

Il titolare del trattamento dei dati sulle tue prenotazioni è il salone presso cui prenoti: il suo nome e i suoi recapiti compaiono qui quando apri questa pagina dal suo sito o dalla sua area clienti.

Digital Smart Service (Smart Service®, Via Cesare Battisti 2, 10024 Moncalieri (TO), P. IVA 12997390013) fornisce la piattaforma Zenith Book e l’app con cui prenoti, e tratta i tuoi dati per conto del salone come responsabile del trattamento (art. 28 GDPR). Dei dati tecnici necessari a far funzionare la piattaforma e l’app è titolare autonomo. Contatti: digitalsmartservice@gmail.com.

• Dati identificativi e di contatto: nome e cognome, email, telefono e, se la indichi, la data di nascita: solo giorno e mese, mai l’anno. Il salone può chiederla una volta dopo l’accesso (puoi saltare la domanda) oppure renderla obbligatoria quando crei l’account; la vede il personale del salone nella tua scheda. Serve a ricordare il tuo compleanno e, se il salone lo prevede, a riservarti promozioni e sconti per quel giorno.
• Dati delle prenotazioni: servizi, operatore, date e orari, note che scrivi, presenze e disdette.
• Foto dei look e foto di riferimento: le foto che scegli di caricare come promemoria del tuo taglio o trattamento oppure, se il salone lo prevede, quando prenoti, per mostrare il taglio o il colore che vuoi; le ritrovi tra i tuoi look e puoi toglierle quando vuoi. I dati di posizione e dell’apparecchio (EXIF) vengono rimossi prima del salvataggio. Il salone le vede solo per rifare il lavoro; vanno online solo se le alleghi a una recensione e il salone la pubblica.
• Recensioni: testo, voto e foto facoltativa.
• Consensi: le scelte sul trattamento e sulle comunicazioni promozionali, con la data.
• Notifiche dell’app: l’identificativo del dispositivo per le notifiche (token push), se le attivi.
• Dati tecnici: indirizzo IP, tipo di dispositivo e browser, registri degli accessi e dei messaggi inviati.

Se scegli di entrare con il tuo account Google, Facebook o Apple, da quel servizio riceviamo soltanto il tuo nome, la tua email e un identificativo del tuo account, che serve a riconoscerti la volta successiva. Con Apple l’email può essere un indirizzo anonimo che Apple inoltra al tuo («Nascondi la mia email»).

Li usiamo solo per farti entrare nel salone in cui ti registri: il collegamento vale per quel salone e non viene condiviso con altri. Non pubblichiamo nulla a tuo nome e non leggiamo amici, contatti o altri dati del tuo account. Puoi scollegarti in ogni momento dalle impostazioni del tuo account Google, Facebook o Apple, oppure eliminando l’account dal tuo profilo.

Chi gestisce un centro può collegare il proprio Google Calendar dalle impostazioni del gestionale. Con il suo consenso chiediamo a Google due soli permessi: vedere l’elenco dei suoi calendari, per fargli scegliere quale usare, e gestire gli eventi dei calendari a cui ha accesso.

• Ogni appuntamento del centro viene creato, spostato e cancellato come evento sul calendario scelto.
• Degli eventi di quel calendario leggiamo solo inizio, fine, titolo e stato, per segnare quegli orari come occupati: così nessuno può prenotare quando l’operatore ha già un impegno. Descrizioni, partecipanti, allegati e gli altri calendari non vengono conservati.
• I codici di accesso di Google sono conservati cifrati. Gli eventi letti restano finché il calendario è collegato e vengono cancellati quando lo si scollega dal gestionale; l’accesso si può revocare anche dalle impostazioni dell’account Google (myaccount.google.com/permissions).

L’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, compresi i requisiti Limited Use: questi dati servono solo a far funzionare il calendario del centro, non sono usati per pubblicità, non sono venduti né letti da persone se non con il consenso del centro, per motivi di sicurezza o per obblighi di legge.

Chi gestisce un centro può collegare il proprio numero WhatsApp Business dalle impostazioni del gestionale, con la procedura di Meta (WhatsApp Business Platform). Il numero resta del centro, che continua a usarlo anche dall’app WhatsApp Business sul telefono, e il centro paga i messaggi direttamente a Meta.

• Da Meta riceviamo l’identificativo dell’account WhatsApp Business e del numero, il numero stesso, il nome mostrato ai clienti e un codice di accesso per mandare i messaggi per conto del centro.
• Con quel numero mandiamo ai clienti del centro conferme, promemoria, spostamenti e disdette dei loro appuntamenti, con modelli approvati da Meta, e riceviamo lo stato di ogni messaggio (consegnato, letto, non recapitato).
• Le conversazioni del centro e i contatti della sua rubrica, che WhatsApp può sincronizzare al collegamento, non vengono conservati.
• Il codice di accesso è conservato cifrato. Il centro può scollegare il numero dal gestionale o dalle impostazioni del suo account Meta; da quel momento non mandiamo più messaggi da quel numero.

Questi dati servono solo a mandare i messaggi del centro ai suoi clienti: non sono usati per pubblicità, né venduti, né condivisi con altri centri.

Le misure valgono per tutti i dati, e in particolare per quelli sensibili: i dati ricevuti da Google e da Meta, i codici di accesso ai servizi collegati e i dati dei clienti dei centri.

• Cifratura in transito: ogni comunicazione con il servizio, con il database, con Google e con Meta avviene solo su connessioni cifrate HTTPS (TLS).
• Cifratura a riposo dei codici di accesso: i token di Google Calendar e di WhatsApp Business e le chiavi dei servizi collegati sono conservati cifrati con AES-256-GCM, con una chiave tenuta separata dal database; le password e le chiavi API non sono mai conservate in chiaro, ma solo come impronta crittografica.
• Separazione tra i centri: ogni dato appartiene a un solo centro e il database impedisce, con regole di sicurezza a livello di riga, che un centro legga i dati di un altro.
• Accesso limitato: nel gestionale ogni persona vede solo ciò che il suo ruolo consente, e solo il titolare o il responsabile del centro può collegare Google Calendar; il database non è raggiungibile direttamente da internet e le credenziali di amministrazione restano sui server.
• Minimizzazione: dei calendari collegati conserviamo solo inizio, fine, titolo e stato degli eventi, e li cancelliamo quando il calendario viene scollegato.
• Copie di sicurezza: il database viene salvato ogni giorno e le copie sono conservate per 14 giorni, con ripristino verificato.
• Violazioni: in caso di violazione dei dati personali avvisiamo il Garante e, quando previsto, le persone interessate, nei tempi stabiliti dagli articoli 33 e 34 del GDPR.

• Gestire account, prenotazioni, spostamenti e disdette: esecuzione del contratto (art. 6.1.b).
• Mandarti conferme e promemoria via email, WhatsApp o notifica dell’app: esecuzione del contratto.
• Comunicazioni e promozioni del salone: tuo consenso (art. 6.1.a), revocabile dal profilo o dal link in ogni messaggio.
• Regalo di compleanno del salone (promozioni e sconti riservati per quel giorno), se il salone lo prevede: tuo consenso (art. 6.1.a), come per le promozioni. Senza consenso non ti mandiamo il messaggio di compleanno.
• Pubblicare la tua recensione e la foto allegata: tuo consenso.
• Adempiere obblighi di legge, per esempio fiscali e contabili: obbligo legale (art. 6.1.c).
• Sicurezza, prevenzione degli abusi, tutela dei diritti: legittimo interesse (art. 6.1.f).

• I dati dell’account restano finché l’account esiste. Quando lo elimini, dal profilo o chiedendolo al salone, nome, email, telefono e foto vengono rimossi e le recensioni cancellate; le visite passate restano nel registro del salone senza alcun dato che riconduca a te, per i suoi obblighi contabili.
• I messaggi inviati e i registri tecnici restano per 12 mesi.
• I consensi vengono conservati per poter dimostrare che li hai dati.

Non vendiamo i tuoi dati e non li usiamo per pubblicità. Li trattano, per conto del salone e di Digital Smart Service, i fornitori che fanno funzionare il servizio:

• hosting dell’applicazione: Vercel (Stati Uniti e Unione europea);
• database e autenticazione: Supabase gestito da noi su un server di Contabo in Germania (Unione europea);
• invio delle email: Amazon Web Services (Amazon SES), su server in Irlanda (Unione europea);
• notifiche dell’app: Google Firebase Cloud Messaging e Apple Push Notification service;
• messaggi WhatsApp: il fornitore scelto dal salone, che può essere Meta (WhatsApp Business Platform, WhatsApp Ireland Limited) se il salone collega il suo numero WhatsApp Business;
• calendario: Google, se il salone collega il proprio.

Quando un fornitore è fuori dall’Unione europea, il trasferimento è coperto dalle clausole contrattuali standard della Commissione europea o dal Data Privacy Framework. I tuoi dati non sono comunicati ad altri soggetti, salvo obblighi di legge.

Puoi chiedere l’accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità, e opporti al trattamento; puoi revocare un consenso in ogni momento, senza che ciò tocchi quanto fatto prima.

Nome, recapiti e consenso alle comunicazioni li cambi dal tuo profilo; l’account lo elimini da solo (come fare). Per tutto il resto scrivi al salone o a Digital Smart Service (digitalsmartservice@gmail.com). Hai anche il diritto di presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Usiamo solo cookie tecnici: quello della sessione, quello che ricorda il salone scelto nell’app e, per chi lavora in un salone, quello del salone in cui sta lavorando. Nessun cookie di profilazione o di terze parti a fini pubblicitari: per questo non c’è un banner.

Il servizio è rivolto a persone di almeno 14 anni, età del consenso digitale in Italia; per chi è più giovane prenota un genitore o chi ne fa le veci.

Se questa informativa cambia in modo sostanziale te lo diciamo nell’app o via email. La data in testa dice qual è la versione in vigore.