Informativa sulla Privacy

1. Titolare del trattamento e contatti

Titolare del trattamento è SBS DI ILIASS CHEBBI & C. S.N.C., con sede legale in Via Vittorio Veneto, 54, 25015 Desenzano del Garda (BS), Italia, P.IVA IT04558920981 (di seguito, "Titolare"). Per qualsiasi richiesta sul trattamento dei dati personali è possibile scrivere a info@sbsdesenzano.it.

Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO), perché non ricorrono i casi di nomina obbligatoria previsti dall'art. 37 GDPR (autorità pubblica, monitoraggio regolare e sistematico su larga scala, trattamento su larga scala di categorie particolari di dati).

2. Dati trattati e fonti

• Dati anagrafici e di contatto: nome, cognome, email, telefono.
• Comune e CAP di residenza, richiesti alla registrazione.
• Credenziali di accesso: la password è conservata in forma cifrata.
• Prenotazioni: servizio, specialista, sede, data e ora, importo, eventuali note.
• Preferenze e consensi, con data, versione del documento e dati tecnici di registrazione.
• Dati tecnici (indirizzo IP, user-agent), per la sicurezza e la prova dei consensi.
• Per chi usa l'app: un identificativo tecnico del dispositivo per le notifiche (sezione 4).
• Per il personale del Titolare: nome e immagine del profilo pubblicati sul sito.

I dati sono forniti direttamente dall'interessato: online, tramite il sito o l'app, oppure in sede o per telefono, nel qual caso sono inseriti dal personale del Titolare.

3. Finalità, basi giuridiche e natura del conferimento

• Account, prenotazioni e promemoria (via email e, nell'app, tramite notifica) — esecuzione del contratto o di misure precontrattuali richieste dall'interessato (art. 6, par. 1, lett. b, GDPR).
• Obblighi di legge, ove applicabili, e richieste delle autorità — adempimento di un obbligo legale (art. 6, par. 1, lett. c, GDPR).
• Comunicazioni promozionali via email — consenso (art. 6, par. 1, lett. a, GDPR; art. 130 d.lgs. 196/2003). Il consenso è revocabile in qualsiasi momento: dal Profilo nell'app, dall'area personale del sito o con il link di disiscrizione presente in ogni email promozionale, anche per chi ha prenotato senza account.
• Sicurezza e prevenzione degli abusi, inclusi i limiti ai tentativi di accesso — legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR).
• Statistiche sulla provenienza della clientela, a partire da comune e CAP, per organizzare le sedi — legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR). Comune e CAP sono usati solo in forma aggregata.

I dati di account e di prenotazione sono necessari: senza di essi non è possibile creare l'account o completare la prenotazione. Comune e CAP sono obbligatori per la registrazione, perché servono alle statistiche con cui il Titolare organizza le proprie sedi; non sono richiesti per prenotare senza account. Il consenso alle comunicazioni promozionali è facoltativo e il rifiuto non ha alcuna conseguenza sull'uso del servizio.

4. App per iOS e Android

L'app consente di prenotare e gestire gli appuntamenti e il proprio account. Tratta gli stessi dati di account e prenotazione indicati nella sezione 2, per le stesse finalità e basi giuridiche. In aggiunta:

• Permessi del dispositivo. L'app può chiedere l'accesso a notifiche (per i promemoria degli appuntamenti), posizione (per mostrare le sedi più vicine; elaborata solo sul dispositivo, non inviata né conservata) e calendario (per aggiungere un appuntamento, senza leggerne il contenuto). Tutti i permessi sono facoltativi e revocabili in qualsiasi momento dalle impostazioni del dispositivo; senza di essi l'app continua a funzionare.
• Notifiche. Se le notifiche sono attive, il dispositivo riceve un identificativo tecnico che conserviamo per inviare i promemoria. L'invio avviene tramite un fornitore specializzato e i servizi di notifica di Apple e Google (sezioni 5 e 6). Le notifiche non contengono comunicazioni promozionali.
• Accesso. Il dispositivo conserva in modo protetto le credenziali di sessione, cancellate all'uscita o all'eliminazione dell'account.
• Nessun tracciamento. L'app non contiene strumenti di pubblicità, profilazione o analisi statistica di terze parti.
• Store. Download e aggiornamenti avvengono tramite App Store e Google Play, che trattano i dati come titolari autonomi. Se l'utente lo ha consentito, Apple e Google possono fornirci rapporti anonimi su arresti anomali e prestazioni.

L'app è sviluppata e distribuita negli store, per conto del Titolare, da Apeyron, che agisce come responsabile del trattamento (art. 28 GDPR).

5. Destinatari

I dati sono trattati dal personale autorizzato del Titolare (art. 29 GDPR) e da consulenti, ad esempio contabili, nei limiti delle rispettive mansioni. Sono inoltre trattati, come responsabili del trattamento (art. 28 GDPR), da:

• OVH SAS (Francia, UE) — hosting di server, database e file.
• Infomaniak Network SA (Svizzera, paese con decisione di adeguatezza) — invio delle email.
• Expo (650 Industries, Inc., Stati Uniti), insieme ai servizi di notifica di Apple e Google — invio delle notifiche dell'app.
• Apeyron — sviluppo, manutenzione e assistenza tecnica della piattaforma e dell'app, distribuzione dell'app negli store.
• OpenStreetMap Foundation (Regno Unito, paese con decisione di adeguatezza) — immagini della mappa mostrata sul sito; riceve l'indirizzo IP del browser.

I dati possono essere comunicati alle autorità quando lo richiede la legge. I dati non sono venduti né ceduti a terzi per loro finalità.

6. Trasferimenti extra-UE

L'unico trasferimento fuori dallo Spazio Economico Europeo riguarda le notifiche dell'app, inviate tramite Expo (Stati Uniti). Il trasferimento si basa sull'EU-U.S. Data Privacy Framework e, dove questo non sia applicabile, sulle Clausole Contrattuali Standard della Commissione Europea (art. 46, par. 2, lett. c, GDPR). I servizi di notifica di Apple e Google fanno parte del sistema operativo del dispositivo.

7. Conservazione

• Account: fino all'eliminazione. Gli account senza accessi né prenotazioni da 36 mesi vengono anonimizzati automaticamente.
• Prenotazioni senza account: i dati dell'ospite sono anonimizzati 24 mesi dopo l'ultima prenotazione.
• Account e ospiti sospesi per mancate presentazioni ripetute (vedi Termini di servizio): i dati identificativi sono conservati finché la sospensione è attiva, per il legittimo interesse del Titolare a farla rispettare.
• Prenotazioni: collegate al cliente finché esiste il suo account o il suo profilo di ospite; dopo, solo in forma anonima per finalità statistiche.
• Dati tecnici (indirizzo IP, user-agent): 12 mesi. Le sessioni scadute o revocate sono eliminate entro 30 giorni dalla scadenza o dalla revoca.
• Identificativi per le notifiche: fino all'uscita dall'app, all'eliminazione dell'account o a 6 mesi di inutilizzo.
• Registrazioni dei consensi: conservate per dimostrare la corretta gestione del consenso (art. 7, par. 1, GDPR), fino al decorso dei termini di prescrizione.
• Immagini del personale: finché sono pubblicate sul sito.

Con l'eliminazione dell'account i dati identificativi e le note delle prenotazioni vengono cancellati, le prenotazioni future annullate e le sessioni e i dispositivi collegati rimossi. Conserviamo una traccia minima e non leggibile della richiesta (impronta crittografica dell'email) per dimostrarne l'esecuzione.

8. Sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate, tra cui connessioni cifrate, password conservate in forma cifrata, accessi limitati in base al ruolo e limiti ai tentativi di accesso.

9. Diritti dell'interessato

L'interessato può esercitare in qualsiasi momento i diritti di accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20) e opposizione al trattamento basato sul legittimo interesse o a fini di marketing (art. 21 GDPR), scrivendo a info@sbsdesenzano.it.

Esportazione dei dati, eliminazione dell'account e consenso alle comunicazioni promozionali si gestiscono anche in autonomia, dal Profilo nell'app o dall'area personale del sito. Il Titolare risponde entro un mese dalla richiesta (art. 12, par. 3, GDPR).

È possibile proporre reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it).

10. Minori

L'età minima per usare il servizio in autonomia è 14 anni (art. 8 GDPR e art. 2-quinquies d.lgs. 196/2003). Per i minori di 14 anni la registrazione e la prenotazione sono effettuate da un genitore o dal tutore. Se risultano dati di minori raccolti senza una valida base giuridica, il Titolare li cancella.

11. Decisioni automatizzate

Il Titolare non adotta decisioni basate unicamente su un trattamento automatizzato, né effettua profilazione (art. 22 GDPR).

12. Modifiche all'informativa

La presente informativa può essere aggiornata. La versione corrente, il numero e la data di pubblicazione sono indicati in cima al documento. Modifiche sostanziali saranno comunicate via email agli utenti registrati.