Informativa sulla privacy

Spunta è una piattaforma di prenotazione online per barbieri e parrucchieri, singoli o con più professionisti in salone. Per i trattamenti descritti in questa pagina il titolare del trattamento è il gestore della piattaforma:

Per qualsiasi domanda sulla privacy o per esercitare i tuoi diritti scrivi a [EMAIL PRIVACY].

Su Spunta ci sono più tipi di dati, e per ciascuno cambia chi decide come trattarli.

• Professionisti e titolari di saloni: account, profilo dell'attività, servizi, orari, abbonamento

  Chi è il titolare

  Il gestore di Spunta

  Ruolo di Spunta

  Titolare (questa informativa)

• Collaboratori con accesso (staff): credenziali e registro degli accessi

  Chi è il titolare

  Il gestore di Spunta

  Ruolo di Spunta

  Titolare (questa informativa)

• Collaboratori: nome, ruolo, foto, orari e appuntamenti che il salone mostra in vetrina e in agenda

  Chi è il titolare

  Il professionista o il salone che li inserisce

  Ruolo di Spunta

  Responsabile del trattamento (art. 28 GDPR)

• Visitatori del sito e utenti del bot Telegram: dati tecnici di navigazione e di chat

  Chi è il titolare

  Il gestore di Spunta

  Ruolo di Spunta

  Titolare (questa informativa)

• Clienti che prenotano: nome, cognome, telefono, indirizzo, note, appuntamenti

  Chi è il titolare

  Il professionista o il salone presso cui prenoti

  Ruolo di Spunta

  Responsabile del trattamento (art. 28 GDPR): tratta i dati per suo conto e secondo le sue istruzioni

• Istanza dimostrativa (demo): dati fittizi e quanto un visitatore inserisce provandola

  Chi è il titolare

  Il gestore di Spunta

  Ruolo di Spunta

  Titolare (sezione «Istanza dimostrativa»)

Sei un cliente e hai prenotato (o vuoi prenotare)? L'informativa che ti riguarda è quella dell'attività presso cui prenoti: la trovi sulla sua pagina, al link «Privacy» in fondo e accanto alla casella che spunti prima di prenotare (indirizzo del tipo /nome-attivita/privacy). Vedi anche la sezione «Clienti che prenotano».

Se crei un account trattiamo:

• dati dell'account: nome e cognome, email, password (salvata solo in forma cifrata con algoritmo di hash: nessuno, nemmeno noi, può leggerla), data di registrazione e codice invito usato per iscriverti;
• dati dell'attività che decidi di pubblicare sulla tua pagina: nome, categoria (barbiere, parrucchiere o entrambi), presentazione, telefono, WhatsApp, profilo Instagram, indirizzo e città del salone, zone servite a domicilio, foto, servizi con prezzi e durate, orari, giorni di chiusura, impostazioni di prenotazione. Sono visibili a chiunque apra il tuo link;
• foto che carichi (profilo, copertina, servizi, collaboratori): le ricodifichiamo in formato WebP e non conserviamo i metadati dell'originale (come posizione GPS, data e modello del telefono) prima di salvarle; restano visibili sulla tua pagina finché le usi e le cancelliamo quando le sostituisci, le rimuovi o elimini l'account (le copie di backup entro i tempi indicati in «Per quanto tempo li conserviamo»);
• Telegram, se colleghi il bot: l'identificativo della chat e i messaggi che scambi con il bot (comandi, conferme, blocchi d'agenda);
• calendario, se attivi il feed: un codice segreto che rende l'agenda leggibile da Google Calendar, iPhone o altre app che scegli tu;
• dati tecnici: la sessione di accesso (cookie sid, vedi la cookie policy) e i dati di navigazione descritti in «Visitatori del sito e utenti del bot».

Per l'abbonamento trattiamo inoltre i dati necessari a fatturare e a tenere traccia dei pagamenti (intestatario, codice fiscale o partita IVA, indirizzo di fatturazione, importi, date) e le note che il gestore annota sugli accordi presi con te (periodo pagato, contatti). Oggi il pagamento si concorda direttamente con noi, fuori dall'app: il Servizio non raccoglie dati di carte o conti. Queste informazioni e un riepilogo dell'attività (nome, contatti, date, stato dell'abbonamento, numero di servizi e prenotazioni) sono visibili solo al gestore in un pannello riservato; il pannello non mostra i dati dei tuoi clienti.

In produzione ci si iscrive con un codice invito monouso emesso dal gestore, che può annotare a chi lo ha consegnato e registra quale account l'ha usato.

In un salone con più professionisti il titolare può creare un accesso personale per ogni collaboratore. Se sei un collaboratore, non ti sei registrato tu: ti ha inserito il titolare del salone, che è quindi la fonte dei tuoi dati (art. 14 GDPR) e ti consegna il link monouso, valido 24 ore, per scegliere la tua password.

• Dati dell'accesso: email o nome utente, nome, password (solo come hash), sessione. Servono a farti entrare nella tua agenda. Per questi dati il titolare è il gestore.
• Dati del profilo che il titolare inserisce per te: nome, ruolo (per esempio «Senior barber»), presentazione, foto, colore in agenda, servizi che esegui, orari, ferie e pause. Se sei prenotabile online, nome, ruolo, foto e presentazione compaiono nella pagina pubblica dell'attività. Di queste informazioni decide il salone: noi le custodiamo per suo conto.
• Agenda: vedi solo i tuoi appuntamenti, con nome e telefono dei clienti che li hanno prenotati, e non le impostazioni dell'attività.
• Telegram personale, se lo colleghi dalla pagina Team: l'identificativo della chat, per ricevere solo le tue notifiche.

Il titolare del salone può in ogni momento modificare il tuo profilo, rimuovere il tuo accesso o disattivarti. Se non lavori più nel salone chiedigli di rimuovere l'accesso; per ogni altra richiesta sui tuoi dati puoi scrivere anche a [EMAIL PRIVACY].

• Creare e gestire l'account, pubblicare la pagina, ricevere e gestire le prenotazioni; notifiche Telegram e feed calendario se li attivi

  Base giuridica (GDPR)

  Esecuzione del contratto (i Termini di servizio) – art. 6.1.b

• Creare e far funzionare l'accesso dei collaboratori (credenziali, sessione, agenda personale)

  Base giuridica (GDPR)

  Esecuzione del contratto con il titolare del salone – art. 6.1.b; legittimo interesse a far funzionare un servizio richiesto dal datore di lavoro del collaboratore – art. 6.1.f

• Assistenza e comunicazioni di servizio (sicurezza, modifiche ai Termini, fine della beta)

  Base giuridica (GDPR)

  Esecuzione del contratto – art. 6.1.b

• Gestione dell'abbonamento: attivazione, rinnovi, avvisi di scadenza, incassi

  Base giuridica (GDPR)

  Esecuzione del contratto – art. 6.1.b

• Sicurezza della piattaforma, prevenzione di abusi e frodi, diagnosi dei malfunzionamenti (log tecnici), copie di backup per ripristinare il servizio

  Base giuridica (GDPR)

  Legittimo interesse a proteggere il servizio e i suoi utenti – art. 6.1.f

• Fatturazione e adempimenti fiscali e contabili, richieste dell'autorità

  Base giuridica (GDPR)

  Obbligo di legge – art. 6.1.c

• Difesa di un diritto in caso di contestazioni

  Base giuridica (GDPR)

  Legittimo interesse – art. 6.1.f

Non facciamo marketing né profilazione, non vendiamo i dati, non usiamo strumenti pubblicitari o di analisi delle visite e non prendiamo decisioni automatizzate che producono effetti giuridici su di te (art. 22). Se in futuro volessimo inviarti comunicazioni promozionali, te lo chiederemo prima con un consenso separato.

Puoi opporti in qualsiasi momento ai trattamenti basati sul legittimo interesse scrivendo a [EMAIL PRIVACY]: valuteremo la tua richiesta e smetteremo, salvo motivi legittimi prevalenti (art. 21).

Navigazione e log tecnici

Quando apri una pagina di Spunta, il tuo dispositivo invia dati tecnici necessari a mostrartela: indirizzo IP, data e ora, indirizzo della pagina richiesta, esito, browser e sistema operativo. Il server web li registra nei suoi file di log, e l'applicazione e il bot registrano gli errori tecnici, per 30 giorni. Servono solo a far funzionare il sito e a proteggerlo (art. 6.1.f); non li usiamo per sapere chi sei, salvo in caso di attacchi o abusi. Poiché il link di gestione di una prenotazione e quello del feed calendario contengono un codice segreto, quel codice compare anche nei log, che possono leggere solo le persone autorizzate dal gestore.

Il sito è servito direttamente dal nostro server in Germania. I caratteri tipografici sono distribuiti dal nostro stesso server: il tuo browser non contatta Google né altri servizi esterni per caricarli. Non c'è nessuno strumento di statistica o pubblicità.

Bot Telegram

Se scrivi al bot di Spunta su Telegram riceviamo da Telegram l'identificativo della chat, il nome e l'eventuale username del tuo profilo e i messaggi che invii al bot (inclusi i dati che scegli di inserire per prenotare, come nome e telefono, se li condividi). Il bot li usa per risponderti, per ricordare quale attività stavi guardando (l'associazione tra la tua chat e l'ultima attività visitata resta nel file di servizio del bot finché non ne chiedi la cancellazione) e, se hai prenotato, per avvisarti di conferme e annullamenti (il legame tra chat e prenotazione resta fino a 2 giorni dopo l'appuntamento). Base: esecuzione del servizio che hai chiesto (art. 6.1.b). I dati di una prenotazione fatta dal bot sono poi trattati come quelli di una prenotazione dal sito: il titolare è il professionista («Clienti che prenotano»).

Quando apri Spunta dentro Telegram (Mini App), la pagina carica lo script ufficiale di Telegram: in quel caso Telegram vede la richiesta del tuo dispositivo. Succede solo dentro Telegram, mai sul sito aperto dal browser.

L'uso di Telegram è regolato anche dall'informativa di Telegram, che tratta i tuoi dati come titolare autonomo.

Password dimenticata

Se hai collegato Telegram, la funzione «Password dimenticata» manda un link monouso, valido 30 minuti, alla tua chat. Altrimenti il gestore può generarlo su richiesta (valido 24 ore) dopo aver verificato che a chiederlo sia il titolare dell'account.

Nome, cognome, telefono, indirizzo (per i servizi a domicilio), note, professionista scelto e dettagli dell'appuntamento sono raccolti per conto del professionista presso cui prenoti: è lui il titolare, e la sua informativa (raggiungibile dal link «Privacy» sulla sua pagina) ti dice chi è, come contattarlo e per quanto conserva i dati.

Spunta, come responsabile del trattamento, conserva questi dati sui propri sistemi, li usa solo per far funzionare le prenotazioni e non li condivide con altri professionisti. Puoi esercitare i tuoi diritti direttamente con il professionista oppure scrivendo a [EMAIL PRIVACY]: inoltreremo la tua richiesta al professionista entro 5 giorni lavorativi e lo aiuteremo a risponderti.

Spunta ha un'istanza di prova, separata dal servizio vero, dove puoi esplorare l'app con attività e persone del tutto fittizie. È pensata per essere provata da chiunque:

• gli account demo sono pubblici (le credenziali sono scritte sulla pagina di accesso), quindi chi entra vede tutto ciò che c'è dentro;
• non inserire dati reali (tuoi o di altri): ogni notte, alle 04:20, i dati vengono cancellati e ricreati da zero. Della demo non si fanno copie di backup;
• il titolare dei dati che dovessi inserire comunque è il gestore, che li tratta solo per far funzionare la demo (art. 6.1.f) e li cancella con il reset;
• non è un servizio per gestire clienti veri e non va usato per questo.

I dati sono trattati da personale del gestore autorizzato e tenuto alla riservatezza, e dai fornitori che ci aiutano a erogare il servizio, nominati responsabili (o sub-responsabili, per i dati dei clienti) del trattamento:

• Hetzner Online GmbH

  Cosa fa

  Server dedicato che ospita applicazione, database, foto caricate, copie di backup e bot (hosting).

  Quando

  Sempre

  Dove / garanzie

  Germania (UE)Nessun trasferimento fuori dallo SEE

Intervengono inoltre, senza essere nostri responsabili:

• Telegram (Telegram FZ-LLC / Telegram Messenger Inc.)

  Ruolo

  Titolare autonomo

  Cosa fa

  Servizio di messaggistica attraverso cui funzionano il bot e la Mini App: chi lo usa scambia messaggi con il bot e Telegram li tratta come titolare. Per le notifiche passano nome, telefono, servizio e orario degli appuntamenti.

  Quando

  Solo se un cliente prenota dal bot o se un professionista collega il proprio Telegram

  Dove / garanzie

  Fuori dallo SEE (sede a Dubai, server distribuiti)Nessuna decisione di adeguatezza né clausole contrattuali standard con Telegram: il trasferimento avviene perché è l'utente a scegliere di usare il bot (art. 49.1.a e 49.1.b GDPR)

• Let's Encrypt (Internet Security Research Group)

  Ruolo

  Destinatario tecnico

  Cosa fa

  Rilascia i certificati HTTPS del sito. Riceve il nome del sito e l'indirizzo IP del nostro server, nessun dato degli utenti.

  Quando

  Al rilascio e rinnovo dei certificati

  Dove / garanzie

  Stati UnitiNessun dato personale degli utenti viene trasferito

• nip.io (servizio DNS)

  Ruolo

  Destinatario tecnico

  Cosa fa

  Finché non c'è un dominio proprio, l'indirizzo del sito contiene l'IP del server e il servizio nip.io lo traduce in numeri (risoluzione DNS). Non vede le pagine né i dati che invii: vede solo la richiesta di traduzione del nome, che arriva dal servizio DNS del tuo operatore.

  Quando

  Finché il sito usa un indirizzo nip.io

  Dove / garanzie

  Fuori dal nostro controllo (servizio DNS pubblico)Nessun dato personale degli utenti viene trasferito

Inoltre, solo per tua scelta:

• Google Calendar, Calendario di Apple o altre app di calendario: se attivi il feed, l'app che scegli scarica periodicamente gli appuntamenti (con nome e telefono dei clienti) dal link segreto. Lo fai tu, con il tuo account presso quel fornitore, che li tratta secondo i suoi termini; puoi disattivare o rigenerare il link in Impostazioni.
• WhatsApp, Instagram, Google Maps: sono semplici link. Il nostro server non invia loro alcun dato; quando tocchi il link si apre l'app o il sito del fornitore e da lì vale la sua informativa.

Comunichiamo dati alle autorità solo quando la legge lo impone.

Il server di Spunta si trova presso Hetzner Online GmbH, in Germania (UE): applicazione, database, foto e copie di backup restano nello Spazio economico europeo. Il sito è servito direttamente da quel server: la navigazione non passa da reti o CDN di terze parti.

Telegram ha sede fuori dallo SEE e non è coperto da una decisione di adeguatezza; con Telegram non abbiamo clausole contrattuali standard, perché non le offre agli sviluppatori di bot. I dati passano da Telegram soltanto se tu scegli di usare il bot: se sei un cliente che prenota dal bot, perché è necessario a fornirti il servizio che chiedi (art. 49.1.b GDPR); se sei un professionista o un collaboratore che collega il proprio Telegram, perché lo fai tu volontariamente, dopo aver letto questa informativa (art. 49.1.a). Il rischio è che il paese di destinazione non offra una protezione equivalente a quella europea. Nelle notifiche inviamo solo i dati utili all'appuntamento. Se non vuoi, puoi usare Spunta interamente dal sito e dall'app, senza Telegram.

Let's Encrypt e nip.io non ricevono dati personali degli utenti (vedi la tabella dei destinatari).

• Account e attività del professionista

  Per quanto tempo

  Finché l'account è attivo. Se elimini l'account, i dati vengono cancellati subito dal database e spariscono dalle copie di backup entro 30 giorni. Gli account senza accessi da 24 mesi possono essere eliminati, dopo un avviso ai recapiti che ci hai fornito (la verifica la fa il gestore, non è automatica).

• Account e profilo dei collaboratori (staff)

  Per quanto tempo

  Finché il titolare del salone li mantiene. L'account sparisce quando il titolare rimuove l'accesso, elimina il collaboratore o chiude l'attività; poi, dalle copie di backup, come sopra. Il nome resta negli appuntamenti passati dell'attività finché il titolare la mantiene.

• Dati dei clienti (per conto del professionista)

  Per quanto tempo

  Finché il professionista li tiene nella sua rubrica o fino alla chiusura del suo account (poi come sopra: subito dal database, entro 30 giorni dai backup). Il professionista decide per quanto tempo e può cancellare un cliente in qualsiasi momento; la piattaforma non li cancella da sola.

• Sessione di accesso

  Per quanto tempo

  30 giorni dall'accesso, o fino all'uscita (Esci) o all'eliminazione dell'account.

• Dati di fatturazione e pagamenti dell'abbonamento

  Per quanto tempo

  10 anni dall'emissione dei documenti fiscali (art. 2220 c.c. e norme fiscali), anche dopo la chiusura dell'account; il periodo pagato e le note sugli accordi restano finché l'account è attivo.

• Codici invito e relativa nota

  Per quanto tempo

  Finché servono a tenere traccia degli inviti emessi; puoi chiederne la cancellazione scrivendo a [EMAIL PRIVACY].

• Link per reimpostare la password

  Per quanto tempo

  Validi 30 minuti (via Telegram) o 24 ore (dall'assistenza), una sola volta; poi resta solo una traccia tecnica senza il codice, cancellata con l'account.

• Log tecnici (accessi del server web con indirizzo IP, log di app e bot)

  Per quanto tempo

  Fino a 30 giorni, salvo necessità di indagare su un incidente di sicurezza.

• Copie di backup notturne (database e foto)

  Per quanto tempo

  Ogni notte; ciascuna copia viene cancellata dopo 30 giorni. Restano sullo stesso server, con accesso riservato.

• Bot Telegram

  Per quanto tempo

  Legame tra chat e prenotazione: fino a 2 giorni dopo l'appuntamento. Chat e ultima attività visitata: finché usi il bot o ne chiedi la cancellazione.

• Istanza demo

  Per quanto tempo

  I dati si ricreano da zero ogni notte alle 04:20; nessuna copia di backup.

• Dati necessari per obblighi di legge o per difendersi in una contestazione

  Per quanto tempo

  Per il tempo previsto dalla legge o fino alla definizione della contestazione.

• connessione sempre cifrata (HTTPS, certificati Let's Encrypt) tra il tuo dispositivo e il server;
• password salvate solo come hash (bcrypt); codici di sessione salvati solo come impronta (SHA-256);
• cookie di sessione non leggibile dagli script della pagina (httpOnly) e, sul sito pubblico, inviato solo su HTTPS;
• link di gestione della prenotazione e feed del calendario protetti da codici casuali lunghi, che il professionista può rigenerare;
• ogni professionista vede solo i dati della propria attività, e ogni collaboratore solo la propria agenda;
• foto ricodificate e senza metadati; file e cartelle dei dati leggibili solo dal servizio;
• servizi del server isolati, con il minimo dei permessi, e firewall che lascia aperte solo le porte web;
• accesso al server riservato al personale autorizzato del gestore.

Rispetto ai dati di cui il gestore è titolare puoi chiedere in qualsiasi momento (artt. 15-22 GDPR):

• l'accesso ai tuoi dati e una copia;
• la rettifica dei dati inesatti;
• la cancellazione;
• la limitazione del trattamento;
• la portabilità, cioè i dati in un formato strutturato e leggibile da un computer;
• di opporti ai trattamenti basati sul legittimo interesse.

I titolari di un'attività possono fare molto da soli: Impostazioni → I tuoi dati → Esporta dati scarica tutto (profilo, servizi, orari, clienti, prenotazioni) in un file; Impostazioni → Account → Elimina account cancella definitivamente account, attività, accessi dei collaboratori e dati dei clienti. Per tutto il resto, e per i collaboratori, scrivi a [EMAIL PRIVACY]: rispondiamo entro un mese (prorogabile di altri due nei casi complessi, avvisandoti).

Se ritieni che il trattamento violi la normativa puoi proporre reclamo al Garante per la protezione dei dati personali o all'autorità del Paese UE in cui vivi o lavori.

Email, nome e password sono necessari per creare l'account; i dati dell'attività servono a pubblicare la tua pagina (quelli facoltativi, come Instagram o la presentazione, li inserisci solo se vuoi). Senza i dati necessari non possiamo fornirti il servizio. Telegram e il feed calendario sono facoltativi.

L'account professionale è riservato a chi ha almeno 18 anni. Chi ha meno di 14 anni non può prenotare da sé: serve un genitore o chi ne fa le veci (art. 2-quinquies del Codice privacy).

Spunta usa solo un cookie tecnico di sessione per l'area riservata e, sul sito di prenotazione, qualche dato salvato nel browser per non farti perdere il modulo e, se vuoi, ricordare i tuoi dati. Niente cookie di profilazione, pubblicità o statistiche di terze parti, quindi nessun banner. L'elenco completo è nella cookie policy.

Se cambiamo qualcosa di importante aggiorniamo la data e la versione in cima alla pagina e, per i professionisti, lo segnaliamo con un avviso nell'app o ai recapiti che ci hanno fornito prima che la modifica si applichi. Le regole del servizio sono nei Termini di servizio, che contengono anche l'accordo sul trattamento dei dati dei clienti.