Informativa Privacy

Il Titolare del trattamento per questa piattaforma è Octobooking, un servizio beta gestito da Tomas Bardhi, contattabile all’indirizzo privacy@octobooking.com.

Octobooking è attualmente una beta gratuita gestita da una persona fisica. Ai sensi del GDPR una persona fisica può essere Titolare del trattamento. Una volta costituita la società operativa, ne verranno qui pubblicati i dati completi (ragione sociale, sede legale, Partita IVA).

Octobooking è una piattaforma cloud per la gestione di appuntamenti e prenotazioni destinata ad attività come barbieri, saloni e fornitori di servizi simili (“Attività”). È attualmente offerta come beta gratuita. È uno strumento di pianificazione: non elabora pagamenti per conto delle Attività, non emette fatture o documenti fiscali e non ha alcun collegamento con l’Agenzia delle Entrate o altre autorità fiscali.

La presente informativa si applica a due gruppi distinti:

• I titolari delle Attività e il loro personale che si registrano e utilizzano direttamente la piattaforma Octobooking; e
• I clienti finali di tali Attività che interagiscono con le pagine pubbliche di prenotazione.

Per i dati dei clienti finali, il titolare dell’Attività è il Titolare del trattamento autonomo; Octobooking agisce solo come Responsabile del trattamento per suo conto (art. 28 GDPR). Si veda la Sezione 11.

Octobooking non richiede categorie particolari di dati personali (art. 9 GDPR — come dati relativi alla salute, alle convinzioni religiose o dati biometrici). Tuttavia, le note in testo libero che un’Attività può associare a un cliente o a una prenotazione potrebbero, in linea di principio, contenere tali dati (ad esempio un’allergia annotata da un salone).

I titolari delle Attività, in qualità di titolari del trattamento di tali dati, non devono registrare dati di categoria particolare senza una valida base giuridica ai sensi dell’art. 9 GDPR. Octobooking non utilizza tali note per alcuna finalità diversa dalla loro visualizzazione all’Attività che le ha inserite.

La tabella seguente riguarda i trattamenti in cui Octobooking agisce come Titolare del trattamento — ossia per i dati dei titolari delle Attività e del loro personale. Per i dati dei clienti finali, Octobooking agisce esclusivamente come Responsabile del trattamento su istruzione del titolare dell’Attività; quest’ultimo è responsabile della propria base giuridica (si veda la Sezione 11).

Condividiamo i dati personali solo con i fornitori elencati di seguito, ciascuno vincolato da un accordo scritto sul trattamento dei dati:

I tuoi dati sono conservati nell’UE (Neon, Francoforte). Diversi sub-responsabili hanno sede negli Stati Uniti e il nostro servizio di archiviazione immagini (UploadThing) ha sede a Singapore — nessuno dei due beneficia di una decisione di adeguatezza dell’UE. Tutti questi trasferimenti avvengono sulla base delle Clausole Contrattuali Standard (Decisione della Commissione 2021/914/UE), integrate dalla cifratura in transito (TLS 1.2+) e a riposo (AES-256). Nessun dato viene trasferito verso Paesi privi di una decisione di adeguatezza o di garanzie adeguate.

• Dati dell’account del titolare dell’Attività:Per la durata dell’account, più 30 giorni dopo la cancellazione, quindi eliminati definitivamente.
• Dati personali dei clienti finali (nome, email, telefono, note):Cancellati immediatamente alla chiusura dell’account o a seguito di una valida richiesta di cancellazione — sostituiti con segnaposto anonimi.
• Registri di prenotazione anonimizzati (senza dati personali):Fino a 2 anni dall’ultima data di prenotazione, quindi eliminati definitivamente.
• Log di sessione e autenticazione:Massimo 90 giorni.
• Dati analitici:Solo aggregati, nessun dato personale, secondo la politica di conservazione di Vercel.

Quando un titolare di Attività o un cliente finale cancella il proprio account o presenta una valida richiesta di cancellazione, applichiamo una procedura di pseudonimizzazione:

• Tutti gli identificativi personali — nome, email, numero di telefono, note — vengono immediatamente sovrascritti con segnaposto anonimi.
• Il record dell’account di autenticazione viene eliminato definitivamente.
• I registri delle prenotazioni vengono conservati in forma anonimizzata (date, nomi dei servizi, nessun identificativo) per un massimo di 2 anni, quindi eliminati.

I titolari delle Attività possono avviare la cancellazione dalle impostazioni del proprio account. I clienti finali possono richiedere la cancellazione all’indirizzo privacy@octobooking.com.

I cookie non essenziali vengono impostati solo dopo aver prestato il consenso tramite il banner cookie. Puoi modificare o revocare le tue scelte in qualsiasi momento tramite il link “Preferenze cookie” nel piè di pagina del sito.

L’opzione di consenso “Funzionali” non imposta un cookie; controlla se la mappa della posizione viene caricata nella pagina pubblica di prenotazione di un’Attività. Il caricamento della mappa condivide il tuo indirizzo IP con il nostro fornitore di tile cartografiche, OpenFreeMap (con sede nell’UE). Se il consenso funzionale viene rifiutato, viene mostrato un segnaposto al posto della mappa.

Quando un titolare di Attività utilizza Octobooking per raccogliere e gestire i dati dei propri clienti, è il Titolare del trattamento autonomo di tali dati (art. 4(7) GDPR). Octobooking agisce esclusivamente come Responsabile del trattamento (art. 28 GDPR), trattando i dati solo su istruzione del titolare dell’Attività.

I titolari delle Attività sono responsabili di:

• Stabilire una base giuridica per la raccolta dei dati dei propri clienti;
• Fornire ai propri clienti un’adeguata informativa sulla privacy;
• Gestire le richieste degli interessati provenienti dai propri clienti.

I termini completi di questo rapporto sono contenuti nell’Accordo sul trattamento dei dati (DPA), che ogni titolare di Attività accetta al momento della creazione dell’Attività.

• Accesso (art. 15):Richiedere una copia dei dati personali che ti riguardano.
• Rettifica (art. 16):Chiedere la correzione di dati inesatti o incompleti.
• Cancellazione (art. 17):Chiedere la cancellazione dei tuoi dati personali. Si veda la Sezione 9.
• Limitazione (art. 18):Chiedere la limitazione del trattamento in determinate circostanze.
• Portabilità (art. 20):Ricevere i tuoi dati in un formato strutturato e leggibile da dispositivo automatico, ove il trattamento si basi sul consenso o su un contratto e sia effettuato con mezzi automatizzati.
• Opposizione (art. 21):Opporti al trattamento basato sul legittimo interesse.
• Revoca del consenso:Ove il trattamento si basi sul consenso (es. cookie analitici), revocarlo in qualsiasi momento senza pregiudicare i trattamenti già effettuati.

Per esercitare qualsiasi diritto, contatta privacy@octobooking.com. Rispondiamo entro un mese, prorogabile fino a due mesi ulteriori per richieste complesse, nel qual caso te ne daremo informazione.

Hai il diritto di proporre reclamo all’autorità di controllo del tuo Paese di residenza:

• Italia — Garante per la protezione dei dati personali (garanteprivacy.it)
• Austria — Datenschutzbehörde (dsb.gv.at)
• Tutti gli altri Paesi UE/SEE — l’autorità di controllo del tuo Stato membro. Elenco completo sul sito del Comitato europeo per la protezione dei dati.

• Tutti i dati in transito sono cifrati con TLS 1.2+
• I dati a riposo sono cifrati dal fornitore del database (AES-256)
• Le password sono conservate come hash bcrypt — mai in chiaro
• L’accesso alla produzione è protetto da MFA e riservato al personale autorizzato
• Le API di autenticazione sono protette da controlli multilivello: Cloudflare Turnstile (rilevamento bot), limitazione distribuita delle richieste per IP (Upstash Redis), valutazione del rischio del numero di telefono (Twilio Lookup V2) e invio OTP tramite Twilio Verify con Fraud Guard
• Isolamento multi-tenant: ogni Attività accede solo ai propri dati

Potremmo aggiornare la presente informativa per riflettere modifiche al servizio o alla normativa applicabile. Per modifiche sostanziali informeremo gli utenti registrati via email almeno 30 giorni prima dell’entrata in vigore. La versione e la data in cima a questa pagina riflettono sempre la versione corrente.