Privacy & Cookie Policy

1. Chi tratta i tuoi dati

GP Calendar è una piattaforma di prenotazione usata da negozi e attività su appuntamento. Per capire chi risponde di quali dati occorre distinguere due livelli, perché il ruolo di GP Calendar cambia.

Dati della prenotazione — il titolare è il Negozio: Quando prenoti presso un’attività, il titolare del trattamento è quel negozio: è lui che decide quali dati raccogliere e come usarli per erogare il servizio. GP Calendar agisce come responsabile del trattamento ai sensi dell’art. 28 GDPR, cioè come fornitore tecnico che tratta quei dati per conto del negozio e secondo le sue istruzioni. L’informativa specifica del negozio è disponibile sul portale di prenotazione: informativa del portale clienti.
Dati dell’account e dell’accesso — il titolare è GP Calendar: L’account con cui accedi alla piattaforma, le credenziali e i dati di autenticazione (compresi quelli ricevuti dal tuo account Google, se scegli di accedere con Google) sono trattati da GP Calendar in qualità di titolare: è la piattaforma a stabilire come funziona l’identificazione degli utenti, non il singolo negozio.

La piattaforma è sviluppata e gestita da GP Human Lab, contattabile all’indirizzo gphumanlab@gmail.com. Non è nominato un Responsabile della protezione dei dati (DPO), non ricorrendone i presupposti di legge.

2. Dati dell’account Google

Accedere con Google serve solo a farti entrare

GP Calendar permette di accedere usando il proprio account Google. Questa funzione ha un solo scopo: autenticare l’utente, cioè verificarne l’identità al momento dell’accesso, senza costringerlo a creare e ricordare un’altra password.

Quando scegli di accedere con Google, GP Calendar riceve dal tuo account Google soltanto:

il tuo indirizzo email, usato per identificare l’account
le informazioni di base del profilo, come il nome, per mostrarti nell’interfaccia
l’identificativo del profilo assegnato da Google, per ricollegarti al tuo account agli accessi successivi

Sul piano tecnico, GP Calendar richiede esclusivamente gli ambiti di autorizzazione openid, email e profile. Sono i tre ambiti di base dell’autenticazione: Google li classifica come non sensibili.

GP Calendar non richiede e non ottiene accesso a Google Calendar, Gmail, Contatti, Drive o ad altri servizi Google. Nonostante il nome, la piattaforma non si collega in alcun modo al calendario Google: l’agenda delle prenotazioni è interna al servizio.

I dati ricevuti da Google sono usati solo per riconoscerti e collegarti al tuo account dentro l’applicazione. Non vengono usati per finalità pubblicitarie o di profilazione, non vengono venduti, non vengono ceduti a terzi e non vengono trasferiti ad altri se non ai fornitori tecnici elencati all’articolo 7, nei limiti necessari a far funzionare il servizio.

Non hai mai l’obbligo di usare Google: puoi registrarti e accedere con email e password, o con un codice via SMS. Puoi inoltre revocare in ogni momento l’accesso concesso a GP Calendar dalla pagina Account Google › App di terze parti.

3. Quali dati trattiamo

Dati di account: Indirizzo email, eventuale numero di telefono, password in forma cifrata (mai in chiaro) oppure identificativo del profilo del fornitore di identità usato per l’accesso, e le date di creazione e ultimo accesso.
Dati di prenotazione: Nome, recapiti, negozio e servizio scelti, operatore, data e ora, e le eventuali note che inserisci. Sono i dati di cui il negozio è titolare.
Dati dello Staff: Per il personale del negozio: nome, ruolo (titolare o dipendente), credenziali di accesso, orari di lavoro e assenze registrate nell’area riservata.
Dati tecnici: Indirizzo IP, tipo di browser e dispositivo, momento dell’accesso e log dei server. Sono generati automaticamente e servono a far funzionare e proteggere il servizio.
Consensi: La versione dei documenti legali accettata e il momento dell’accettazione, conservati per poter dimostrare il consenso come richiede il GDPR.
Dati dell’iscrizione: Se compili il modulo alla pagina Richiedi: nome e cognome, nome e tipo dell’attività, email, telefono se lo indichi, luogo, numero di calendari e il messaggio libero. Sono i dati che servono a creare il negozio.
Dati di fatturazione: Partita IVA e, per il recapito della fattura elettronica, codice destinatario oppure PEC. L’indirizzo di fatturazione e i dati della carta sono raccolti direttamente da Stripe sulla sua pagina di pagamento: non transitano dai nostri sistemi e non li conserviamo.
Dati dei collaboratori indicati nel modulo: Chi attiva un negozio indica nome, ruolo ed email delle persone per cui vuole un calendario. Sono dati di terzi: quelle persone non ce li hanno forniti direttamente.
Per questo non creiamo alcun account a loro nome: il calendario viene creato, ma ciascuna persona riceve un invito e decide se accettarlo. Solo con l’accettazione nasce un account. Chi non accetta non ha nulla di attivo a proprio nome e può chiederci la cancellazione scrivendo ai contatti dell’articolo 12.
Chi compila il modulo è tenuto a informare le persone che indica, come previsto dall’art. 14 GDPR.

Non trattiamo consapevolmente categorie particolari di dati (art. 9 GDPR) come dati sanitari. Le note libere di una prenotazione non vanno usate per inserire informazioni di questo tipo.

4. Finalità e basi giuridiche

Gestire prenotazioni e account — art. 6.1.b, esecuzione del contratto: Creare e mantenere il tuo account, registrare le prenotazioni, inviarti le conferme e i promemoria relativi agli appuntamenti che hai fissato.
Autenticarti, anche tramite Google — art. 6.1.b, esecuzione del contratto: Verificare la tua identità all’accesso. Senza questo trattamento non è tecnicamente possibile darti un’area personale.
Sicurezza della piattaforma — art. 6.1.f, legittimo interesse: Prevenire accessi abusivi, registrazioni automatizzate e abusi. Il nostro interesse è mantenere il servizio funzionante e sicuro per tutti gli utenti.
Attivare il negozio che hai richiesto — art. 6.1.b, esecuzione del contratto e misure precontrattuali: Raccogliere i dati del modulo, avviare il pagamento e, a pagamento concluso, creare il negozio con i suoi calendari e l’accesso del titolare. Fino al pagamento sono misure adottate su tua richiesta; dopo, è esecuzione del contratto. Non ti chiediamo un consenso separato. Puoi in ogni momento chiederci di cancellare una richiesta non conclusa.
Gestire il pagamento e la fatturazione — art. 6.1.b e art. 6.1.c: Incassare il canone tramite Stripe, calcolare l’IVA dovuta ed emettere la fattura. La conservazione dei documenti fiscali risponde a un obbligo di legge.
Creare il calendario delle persone che indichi — art. 6.1.f, legittimo interesse: Il nostro interesse, e quello del negozio, è che l’agenda sia utilizzabile dal primo giorno. Il trattamento è limitato al minimo: nome, ruolo ed email, nessun account creato d’ufficio, e un invito che la persona è libera di ignorare. Chi non vuole comparire può chiederci la rimozione, che eseguiamo senza condizioni.
Obblighi di legge — art. 6.1.c: Conservare le prove dei consensi raccolti, i documenti fiscali e rispondere a eventuali richieste dell’autorità.

Non facciamo profilazione, non prendiamo decisioni automatizzate che producano effetti giuridici su di te e non inviamo comunicazioni commerciali senza un consenso specifico e separato.

5. Per quanto tempo li conserviamo

Dati di account: finché l’account resta attivo. Se lo elimini, i dati sono cancellati o resi anonimi.
Prenotazioni: per il tempo necessario alla gestione dell’appuntamento e allo storico del negozio, secondo le istruzioni del negozio stesso, che ne è titolare.
Log tecnici: per un periodo limitato, orientativamente non superiore a 12 mesi, salvo necessità di accertare un abuso.
Prove dei consensi: per tutta la durata del rapporto e per il tempo utile alla difesa in giudizio.
Iscrizioni non concluse: se compili il modulo ma non porti a termine il pagamento, i dati vengono cancellati automaticamente dopo 60 giorni. Non serve chiederlo: è una procedura pianificata, non una richiesta da inoltrare.
Iscrizioni concluse: i dati confluiscono nel rapporto contrattuale e seguono le regole delle righe qui sopra.
Negozi con abbonamento non pagato o disdetto: se il canone non viene pagato, o se un abbonamento disdetto arriva a scadenza, l’accesso è sospeso ma i dati restano intatti. Senza pagamento o riattivazione, i dati del negozio — calendari, prenotazioni, servizi, immagini e account del personale — sono cancellati definitivamente dopo 10 giorni. Restano solo le fatture, conservate da Stripe per gli obblighi fiscali.
Inviti ai collaboratori: scadono dopo 30 giorni. Un invito scaduto o rifiutato non lascia alcun account.
Documenti fiscali: per i termini imposti dalla legge italiana, indipendentemente dalla durata del rapporto.

Puoi eliminare il tuo account in autonomia dall’area riservata del portale clienti, senza doverci contattare.

6. Come li proteggiamo

I dati viaggiano cifrati in transito (HTTPS/TLS) e sono conservati su infrastrutture gestite da fornitori professionali. Le password non sono mai memorizzate in chiaro.

L’accesso ai dati è regolato a livello di database da politiche di isolamento per negozio (Row Level Security): ogni attività vede esclusivamente i propri dati e non può accedere a quelli di altre attività, nemmeno per errore applicativo.

Nessun sistema è invulnerabile: in caso di violazione dei dati personale che comporti un rischio per i tuoi diritti, informeremo l’autorità di controllo e, quando previsto, gli interessati, nei termini di legge.

7. Fornitori e responsabili del trattamento

Per far funzionare il servizio ci avvaliamo dei fornitori elencati qui sotto, nominati responsabili del trattamento ove agiscano per nostro conto. Ciascuno tratta solo i dati necessari alla propria funzione.

Supabase: Banca dati, autenticazione e archiviazione dei file.
Vercel: Hosting e distribuzione delle applicazioni web.
Google: Fornitore di identità per la funzione “Accedi con Google”, nei soli limiti descritti all’articolo 2.
Resend: Invio delle email di servizio: conferme, promemoria, verifica dell’indirizzo.
Twilio: Invio dei codici di verifica via SMS, quando scegli l’accesso con numero di telefono.
Cloudflare: Protezione dalle registrazioni automatizzate (Turnstile).
Stripe: Incasso del canone di abbonamento, calcolo dell’IVA ed emissione delle fatture. I dati della carta sono raccolti e conservati da Stripe sulla propria pagina di pagamento: non passano dai nostri sistemi e non ne abbiamo copia. Trattiamo Stripe come responsabile del trattamento per i dati che gli affidiamo (nome dell’attività, email, partita IVA, indirizzo di fatturazione).

I dati non sono ceduti né venduti a terzi per finalità proprie di questi ultimi, e non sono usati per pubblicità.

Su questo sito vetrina caratteri tipografici e immagini sono serviti dallo stesso dominio del sito: nessuna pagina carica risorse da terzi, con una sola eccezione — la pagina Richiedi, dove il modulo è protetto da Cloudflare Turnstile e per questo carica uno script da challenges.cloudflare.com. Su tutte le altre pagine il tuo browser non contatta alcun dominio esterno.

8. Trasferimenti fuori dall’Unione Europea

Alcuni dei fornitori elencati all’articolo 7 hanno sede negli Stati Uniti o possono trattare dati al di fuori dello Spazio Economico Europeo. Quando ciò avviene, il trasferimento è fondato sulle Clausole Contrattuali Standard approvate dalla Commissione europea, oppure sulla decisione di adeguatezza EU–US Data Privacy Framework per i fornitori che vi aderiscono.

9. I tuoi diritti

Il GDPR ti riconosce il diritto di ottenere l’accesso ai tuoi dati, la loro rettifica o cancellazione, la limitazione del trattamento, la portabilità dei dati e di opporti ai trattamenti fondati sul legittimo interesse. Dove il trattamento si fonda sul consenso, puoi revocarlo in ogni momento, senza che ciò pregiudichi la liceità del trattamento precedente.

Per i dati della prenotazione la richiesta va rivolta al negozio presso cui hai prenotato, che ne è titolare. Per i dati dell’account e dell’accesso scrivi a gphumanlab@gmail.com: rispondiamo entro un mese, come previsto dall’art. 12 GDPR. Se la richiesta ci arriva ma riguarda un negozio, la inoltriamo e te lo comunichiamo.

Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali.

10. Cookie e tecnologie simili

Su questo sito vetrina non sono installati cookie e non è presente alcuno strumento di analisi o tracciamento. Per questa ragione non trovi un banner di consenso: non ci sarebbe nulla da consentire.

Fa eccezione parziale la pagina Richiedi, dove il modulo è protetto da Cloudflare Turnstile. Turnstile serve a distinguere una persona da un programma automatico e, per farlo, analizza segnali tecnici del browser: tipo di dispositivo, caratteristiche della finestra, tempi di interazione. Nella configurazione qui adottata non installa cookie, non costruisce un profilo dell’utente e non segue la navigazione fra le pagine. Trattandosi di una misura di sicurezza strettamente necessaria a proteggere il modulo, non è soggetta a consenso preventivo; la indichiamo qui perché tu sappia che c’è.

Sulle applicazioni di prenotazione e sull’area riservata sono utilizzati cookie tecnici e spazi di memoria locale del browser strettamente necessari: mantengono la sessione dopo il login e conservano le preferenze essenziali. Non richiedono consenso preventivo ai sensi dell’art. 122 del Codice Privacy. Non sono presenti cookie di profilazione né cookie di terze parti a fini pubblicitari.

11. Modifiche a questa policy

Questa informativa può essere aggiornata per adeguarla a modifiche del servizio o della normativa. La versione in vigore è sempre quella pubblicata a questo indirizzo, con la data di decorrenza indicata in testa alla pagina.

In caso di modifiche sostanziali che riguardino le finalità del trattamento, ne daremo avviso agli utenti registrati prima che diventino efficaci.

12. Contatti

Per qualsiasi domanda su questo documento o sul trattamento dei tuoi dati: gphumanlab@gmail.com.