Privacy
Informativa sulla privacy
Come trattiamo i dati delle professioniste che usano Tocco, di chi visita il sito e di chi scrive al bot Telegram (artt. 13 e 14 del Regolamento UE 2016/679, «GDPR»).
Ultimo aggiornamento: 6 novembre 2026 · Versione 0.2 (bozza)
In breve
- Usiamo i dati solo per far funzionare il servizio: niente pubblicità, niente profilazione, niente vendita di dati.
- I dati delle clienti appartengono alla professionista: lei è titolare, Tocco è il fornitore che li custodisce per suo conto.
- Esporti tutto o elimini l'account da Impostazioni, quando vuoi.
- Solo cookie tecnici: nessun banner, perché non c'è niente da accettare.
1.Chi è il titolare
Tocco è una piattaforma di prenotazione online per onicotecniche ed estetiste indipendenti. Per i trattamenti descritti in questa pagina il titolare del trattamento è il gestore della piattaforma:
Francesca Santillo [FORMA GIURIDICA]
Sede legale: [SEDE LEGALE: via, CAP, città, provincia]
P.IVA [PARTITA IVA] · C.F. [CODICE FISCALE]
Email privacy: [EMAIL PRIVACY]
Per qualsiasi domanda sulla privacy o per esercitare i tuoi diritti scrivi a [EMAIL PRIVACY].
2.Chi fa cosa: titolare e responsabile
Su Tocco ci sono due tipi di dati, e per ciascuno cambia chi decide come trattarli.
| Di chi sono i dati | Chi è il titolare | Ruolo di Tocco |
|---|---|---|
| Professioniste: account, profilo dell'attività, servizi, orari, collegamento Telegram | Il gestore di Tocco | Titolare (questa informativa) |
| Visitatori del sito e utenti del bot Telegram: dati tecnici di navigazione e di chat | Il gestore di Tocco | Titolare (questa informativa) |
| Clienti che prenotano: nome, cognome, telefono, indirizzo, note, appuntamenti | La professionista presso cui prenoti | Responsabile del trattamento (art. 28 GDPR): tratta i dati per conto della professionista e secondo le sue istruzioni |
Sei una cliente e hai prenotato (o vuoi prenotare)? L'informativa che ti riguarda è quella dell'attività presso cui prenoti: la trovi sulla sua pagina, al link «Privacy» in fondo e accanto alla casella che spunti prima di prenotare (indirizzo del tipo /nome-attivita/privacy). Vedi anche il punto 6.
3.Dati delle professioniste
Se crei un account trattiamo:
- dati dell'account: nome e cognome, email, password (salvata solo in forma cifrata con algoritmo di hash: nessuno, nemmeno noi, può leggerla), data di registrazione;
- dati dell'attività che decidi di pubblicare sulla tua pagina: nome, categoria, presentazione, telefono, WhatsApp, profilo Instagram, indirizzo e città dello studio, zone servite a domicilio, foto, servizi con prezzi e durate, orari, giorni di chiusura, impostazioni di prenotazione;
- foto che carichi (profilo, copertina, servizi): le ridimensioniamo e ne togliamo tutti i dati nascosti (EXIF, come posizione GPS, data e modello del telefono) prima di salvarle; restano visibili sulla tua pagina finché le usi e le cancelliamo quando le sostituisci, le rimuovi o elimini l'account (le copie di backup entro i tempi del punto 9);
- Telegram, se colleghi il bot: l'identificativo della chat e i messaggi che scambi con il bot (comandi, conferme, blocchi d'agenda);
- calendario, se attivi il feed: un codice segreto che rende il tuo calendario leggibile da Google Calendar, iPhone o altre app che scegli tu;
- dati tecnici: la sessione di accesso (cookie
sid, vedi la cookie policy) e i dati di navigazione descritti al punto 5.
Per l'abbonamento trattiamo inoltre i dati necessari a fatturare e a tenere traccia dei pagamenti (intestatario, codice fiscale o partita IVA, indirizzo di fatturazione, importi, date e periodo pagato) e le note sugli accordi presi con te. Oggi il pagamento si concorda direttamente con noi, fuori dall'app: il Servizio non raccoglie dati di carte o conti. Le informazioni dell'attività che pubblichi sono visibili a chiunque apra il tuo link.
4.Perché li trattiamo e su quale base
| Finalità | Base giuridica (GDPR) |
|---|---|
| Creare e gestire il tuo account, pubblicare la tua pagina, ricevere e gestire le prenotazioni, notifiche Telegram e feed calendario se li attivi | Esecuzione del contratto (i Termini di servizio) – art. 6.1.b |
| Assistenza e comunicazioni di servizio (sicurezza, modifiche ai Termini, fine della beta) | Esecuzione del contratto – art. 6.1.b |
| Gestione dell'abbonamento: attivazione, rinnovi, avvisi di scadenza, incassi | Esecuzione del contratto – art. 6.1.b |
| Sicurezza della piattaforma, prevenzione di abusi e frodi, diagnosi dei malfunzionamenti (log tecnici) | Legittimo interesse a proteggere il servizio e i suoi utenti – art. 6.1.f |
| Fatturazione e adempimenti fiscali e contabili, richieste dell'autorità | Obbligo di legge – art. 6.1.c |
| Difesa di un diritto in caso di contestazioni | Legittimo interesse – art. 6.1.f |
Non facciamo marketing né profilazione, non vendiamo i dati, non usiamo strumenti pubblicitari o di analisi delle visite e non prendiamo decisioni automatizzate che producono effetti giuridici su di te (art. 22). Se in futuro volessimo inviarti comunicazioni promozionali, te lo chiederemo prima con un consenso separato.
Puoi opporti in qualsiasi momento ai trattamenti basati sul legittimo interesse scrivendo a [EMAIL PRIVACY]: valuteremo la tua richiesta e smetteremo, salvo motivi legittimi prevalenti (art. 21).
5.Visitatori del sito e utenti del bot Telegram
Navigazione
Quando apri una pagina di Tocco, il tuo dispositivo invia dati tecnici necessari a mostrartela: indirizzo IP, data e ora, pagina richiesta, browser e sistema operativo. Il traffico arriva direttamente al nostro server (vedi il punto 7). Questi dati servono solo a far funzionare il sito e a proteggerlo (art. 6.1.f); non li usiamo per sapere chi sei, salvo in caso di attacchi o abusi.
Bot Telegram
Se scrivi al bot di Tocco su Telegram riceviamo da Telegram l'identificativo della chat, il nome e l'eventuale username del tuo profilo e i messaggi che invii al bot (inclusi i dati che scegli di inserire per prenotare, come nome e telefono, se li condividi). Il bot li usa per risponderti e per ricordare quale attività stavi guardando (base: esecuzione del servizio che hai chiesto, art. 6.1.b). I dati di una prenotazione fatta dal bot sono poi trattati come quelli di una prenotazione dal sito: il titolare è la professionista (punto 6).
L'uso di Telegram è regolato anche dall'informativa di Telegram, che tratta i tuoi dati come titolare autonomo.
6.Clienti che prenotano
Nome, cognome, telefono, indirizzo (per i servizi a domicilio), note e dettagli dell'appuntamento sono raccolti per conto della professionista presso cui prenoti: è lei la titolare, e la sua informativa (raggiungibile dal link «Privacy» sulla sua pagina) ti dice chi è, come contattarla e per quanto conserva i dati.
Tocco, come responsabile del trattamento, conserva questi dati sui propri sistemi, li usa solo per far funzionare le prenotazioni e non li condivide con altre professioniste. Puoi esercitare i tuoi diritti direttamente con la professionista oppure scrivendo a [EMAIL PRIVACY]: inoltreremo la tua richiesta alla professionista entro 5 giorni lavorativi e la aiuteremo a risponderti.
7.A chi comunichiamo i dati
I dati sono trattati da personale del gestore autorizzato e tenuto alla riservatezza, e dai fornitori che ci aiutano a erogare il servizio, nominati responsabili (o sub-responsabili, per i dati delle clienti) del trattamento:
| Fornitore | Cosa fa | Quando | Dove / garanzie |
|---|---|---|---|
| [DA CONFERMARE: Hetzner Online GmbH] | Server dedicato che ospita l'applicazione, il database e il bot (hosting). | Sempre | [DA CONFERMARE: Germania (UE)]Nessun trasferimento fuori dallo SEE |
| Telegram (Telegram Messenger Inc. / Telegram FZ-LLC) | Bot per prenotare e per ricevere e gestire le prenotazioni in chat. | Solo se la professionista collega Telegram o la cliente prenota dal bot | Paesi fuori dallo SEE (sede a Dubai, server distribuiti)Nessuna decisione di adeguatezza: il trasferimento avviene perché l'utente sceglie di usare il bot (art. 49.1.b GDPR, necessario all'esecuzione del servizio richiesto) |
Inoltre, solo per tua scelta:
- Google Calendar, Calendario di Apple o altre app di calendario: se attivi il feed, l'app che scegli scarica periodicamente gli appuntamenti (con nome e telefono delle clienti) dal link segreto. Lo fai tu, con il tuo account presso quel fornitore, che li tratta secondo i suoi termini; puoi disattivare o rigenerare il link in Impostazioni.
- WhatsApp, Instagram, Google Maps: sono semplici link. Il nostro server non invia loro alcun dato; quando tocchi il link si apre l'app o il sito del fornitore e da lì vale la sua informativa.
Comunichiamo dati alle autorità solo quando la legge lo impone.
8.Trasferimenti fuori dall'Unione europea
Il server di Tocco si trova presso [DA CONFERMARE: Hetzner Online GmbH], [DA CONFERMARE: Germania (UE)]. Il sito è servito direttamente da quel server: la navigazione non passa da reti o CDN di terze parti.
Telegram ha sede fuori dallo SEE e non è coperto da una decisione di adeguatezza: i dati passano da Telegram solo se tu (professionista o cliente) scegli di usare il bot, perché è necessario a fornirti quel servizio (art. 49.1.b GDPR). Se non vuoi, puoi usare Tocco interamente dal sito.
9.Per quanto tempo li conserviamo
| Dati | Per quanto tempo |
|---|---|
| Account e attività della professionista | Finché l'account è attivo. Se elimini l'account, i dati vengono cancellati subito dal database e spariscono dalle copie di backup entro 30 giorni. Gli account senza accessi da 24 mesi possono essere eliminati, dopo un avviso via email. |
| Dati delle clienti (per conto della professionista) | Finché la professionista li tiene nella sua rubrica o fino alla chiusura del suo account (poi come sopra: subito dal database, entro 30 giorni dai backup). |
| Sessione di accesso | 30 giorni dall'accesso, o fino all'uscita (Esci) o all'eliminazione dell'account. |
| Dati di fatturazione e pagamenti dell'abbonamento | 10 anni dall'emissione dei documenti fiscali (art. 2220 c.c. e norme fiscali), anche dopo la chiusura dell'account; il periodo pagato e le note sugli accordi restano finché l'account è attivo. |
| Link per reimpostare la password | Validi 30 minuti (via Telegram) o 24 ore (dall'assistenza), una sola volta; poi resta solo una traccia tecnica senza il codice, cancellata con l'account. |
| Log tecnici del server | Fino a 30 giorni, salvo necessità di indagare su un incidente di sicurezza. |
| Bot Telegram: collegamento tra chat e prenotazione | Fino a 2 giorni dopo l'appuntamento (serve ad avvisare la cliente di conferme e annullamenti). |
| Dati necessari per obblighi di legge o per difendersi in una contestazione | Per il tempo previsto dalla legge o fino alla definizione della contestazione. |
10.Come proteggiamo i dati
- connessione sempre cifrata (HTTPS, certificati Let's Encrypt) tra il tuo dispositivo e il server;
- password salvate solo come hash (bcrypt); codici di sessione salvati solo come impronta (SHA-256);
- cookie di sessione non leggibile dagli script della pagina (httpOnly) e, sul sito pubblico, inviato solo su HTTPS;
- link di gestione della prenotazione e feed del calendario protetti da codici casuali lunghi, rigenerabili;
- ogni professionista vede solo i dati della propria attività;
- accesso al server riservato al personale autorizzato del gestore.
11.I tuoi diritti
Rispetto ai dati di cui il gestore è titolare puoi chiedere in qualsiasi momento (artt. 15-22 GDPR):
- l'accesso ai tuoi dati e una copia;
- la rettifica dei dati inesatti;
- la cancellazione;
- la limitazione del trattamento;
- la portabilità, cioè i dati in un formato strutturato e leggibile da un computer;
- di opporti ai trattamenti basati sul legittimo interesse.
Le professioniste possono fare molto da sole: Impostazioni → I tuoi dati → Esporta dati scarica tutto (profilo, servizi, orari, clienti, prenotazioni) in un file; Impostazioni → Account → Elimina account cancella definitivamente account, attività e dati delle clienti. Per tutto il resto scrivi a [EMAIL PRIVACY]: rispondiamo entro un mese (prorogabile di altri due nei casi complessi, avvisandoti).
Se ritieni che il trattamento violi la normativa puoi proporre reclamo al Garante per la protezione dei dati personali o all'autorità del Paese UE in cui vivi o lavori.
12.Devo fornire i dati?
Email, nome e password sono necessari per creare l'account; i dati dell'attività servono a pubblicare la tua pagina (quelli facoltativi, come Instagram o la presentazione, li inserisci solo se vuoi). Senza i dati necessari non possiamo fornirti il servizio. Telegram e il feed calendario sono facoltativi.
13.Minori
L'account professionale è riservato a chi ha almeno 18 anni. Le clienti con meno di 14 anni non possono prenotare da sole: serve un genitore o chi ne fa le veci (art. 2-quinquies del Codice privacy).
15.Modifiche a questa informativa
Se cambiamo qualcosa di importante aggiorniamo la data e la versione in cima alla pagina e, per le professioniste, lo segnaliamo via email o nell'app prima che la modifica si applichi. Le regole del servizio sono nei Termini di servizio, che contengono anche l'accordo sul trattamento dei dati delle clienti.