Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento e Magenta Team Korlátolt Felelősségű Társaság (sede legale: Petőfi Sándor utca 12/1., 2085 Pilisvörösvár, Ungheria; numero di registrazione: 13-09-226488; codice fiscale: 26142366-2-13; rappresentato da: Adrian Olajos, Amministratore Delegato; e-mail: legal@bellora.net). Il Titolare del trattamento non ha nominato un Responsabile della Protezione dei Dati (DPO), in quanto le sue attivita non rientrano nei casi di nomina obbligatoria ai sensi del GDPR 37. Per richieste relative alla protezione dei dati, il Titolare e raggiungibile all'indirizzo legal@bellora.net.

2. Ambito dei dati trattati

Durante l'utilizzo del Servizio trattiamo i seguenti dati:

• Dati personali: nome, indirizzo e-mail, numero di telefono, foto profilo
• Dati del salone: nome del salone, indirizzo, orari di apertura, foto, descrizione
• Dati delle prenotazioni: appuntamenti, servizi, personale, dati di cancellazione
• Dati di pagamento: identificativi delle transazioni Stripe, importi dei pagamenti, valuta (non conserviamo i dati delle carte di credito)
• Dati di comunicazione: notifiche via e-mail e SMS, notifiche push, preferenze di notifica
• Dati tecnici: indirizzo IP, tipo di browser, informazioni sul dispositivo, identificativi dei cookie
• Dati dei moduli di accettazione: risposte ai questionari configurati dal salone (che possono includere dati sanitari)

3. Finalita e base giuridica del trattamento dei dati

Per ciascuna finalita di trattamento si applicano le seguenti basi giuridiche:

• Gestione dell'account e autenticazione: esecuzione del contratto (GDPR Art. 6(1)(b)) -- nome, e-mail, hash della password, foto profilo
• Gestione delle prenotazioni degli appuntamenti: esecuzione del contratto (GDPR Art. 6(1)(b)) -- dati della prenotazione, servizio, orario, personale
• Elaborazione dei pagamenti (Stripe): esecuzione del contratto (GDPR Art. 6(1)(b)) -- ID transazione, importo, valuta
• Invio di notifiche (e-mail, SMS, push): interesse legittimo (GDPR Art. 6(1)(f)) per le notifiche transazionali; consenso (GDPR Art. 6(1)(a)) per le notifiche di marketing
• Fatturazione e contabilita: obbligo legale (GDPR Art. 6(1)(c)) -- dati di fatturazione, transazioni
• Tracciamento degli errori e sicurezza del sistema (Sentry): interesse legittimo (GDPR Art. 6(1)(f)) -- dati tecnici, indirizzo IP, rapporti sugli errori
• Cookie (analitici): consenso (GDPR Art. 6(1)(a)) -- identificativi dei cookie, statistiche di utilizzo
• Dati dei moduli di accettazione: consenso (GDPR Art. 6(1)(a)); per i dati sanitari, consenso esplicito (GDPR Art. 9(2)(a))

4. Periodi di conservazione dei dati

Per ogni tipo di dati si applicano i seguenti periodi di conservazione:

• Dati dell'account (profilo, impostazioni): conservati fino all'eliminazione dell'account, quindi eliminati definitivamente entro 30 giorni dalla richiesta di eliminazione
• Dati delle prenotazioni: 2 anni dalla data della prenotazione (per finalita fiscali e contabili), quindi anonimizzati
• Transazioni di pagamento: 8 anni (in conformita con la legge ungherese sulla contabilita (Legge C del 2000))
• Registri delle transazioni SMS: 1 anno
• Registri di audit: 90 giorni
• Dati sugli errori di Sentry: 90 giorni
• Consenso ai cookie: 1 anno
• Modifiche alle preferenze di notifica (registro di audit del consenso): 3 anni

5. Sub-responsabili

Per il funzionamento del Servizio utilizziamo i seguenti sub-responsabili:

• Stripe (Stripe, Inc., San Francisco, USA) -- elaborazione dei pagamenti, gestione dei dati delle transazioni
• Twilio (Twilio Inc., San Francisco, USA) -- consegna delle notifiche SMS, trattamento dei numeri di telefono
• Resend (Resend, Inc., San Francisco, USA) -- consegna delle notifiche via e-mail, trattamento degli indirizzi e-mail
• Hetzner (Hetzner Online GmbH, Gunzenhausen, Germania) -- infrastruttura server, archiviazione di tutti i dati della piattaforma (Helsinki, EU)
• Cloudflare (Cloudflare, Inc., San Francisco, USA) -- gestione DNS, CDN, trattamento degli indirizzi IP
• Sentry (Functional Software, Inc., San Francisco, USA) -- tracciamento degli errori, trattamento dei dati tecnici
• Szamlazz.hu (KBOSS.hu Kft., Budapest, Ungheria) -- fatturazione, trattamento dei dati di fatturazione

6. Trasferimenti internazionali di dati

Alcuni dei nostri sub-responsabili (Stripe, Twilio, Resend, Sentry, Cloudflare) trattano dati negli Stati Uniti. Questi fornitori sono certificati nell'ambito del EU-US Data Privacy Framework (DPF), che garantisce un'adeguata protezione dei dati personali sulla base della decisione di adeguatezza della Commissione europea. Quando il EU-US DPF non e applicabile, le Standard Contractual Clauses (SCCs) fungono da base giuridica per il trasferimento. Hetzner e Szamlazz.hu trattano i dati esclusivamente all'interno dell'Unione europea.

7. Diritti degli interessati

Ai sensi del GDPR, lei ha i seguenti diritti: diritto di accesso (puo richiedere una copia dei suoi dati); diritto di rettifica (correzione dei dati inesatti); diritto alla cancellazione (puo richiedere l'eliminazione dei suoi dati); diritto alla limitazione del trattamento; diritto alla portabilita dei dati (puo richiedere i suoi dati in formato leggibile da una macchina); diritto di opposizione (contro il trattamento basato sull'interesse legittimo). Per il trattamento basato sul consenso, il consenso puo essere revocato in qualsiasi momento senza pregiudicare la liceita del trattamento precedente alla revoca. Per esercitare i suoi diritti, ci contatti all'indirizzo legal@bellora.net. Il Servizio non utilizza processi decisionali automatizzati ne profilazione.

8. Sicurezza dei dati

Garantiamo la sicurezza dei dati attraverso misure tecniche e organizzative. I dati vengono trasmessi attraverso canali crittografati e archiviati su server sicuri. L'elaborazione dei pagamenti e gestita da Stripe, un fornitore di servizi di pagamento certificato PCI DSS Level 1 -- il piu alto standard di sicurezza nel settore dei pagamenti. Bellora non conserva, elabora o trasmette dati delle carte di credito. I dettagli delle carte sono gestiti direttamente dai sistemi crittografati di Stripe.

9. Autorita di controllo

Se ritiene che il trattamento dei suoi dati personali violi le disposizioni del GDPR, ha il diritto di presentare un reclamo all'autorita di controllo. In Ungheria, l'autorita di controllo competente e: Nemzeti Adatvedelmi es Informacioszabadsag Hatosag (NAIH), indirizzo: 1055 Budapest, Falk Miksa utca 9-11., e-mail: ugyfelszolgalat@naih.hu, telefono: +36 1 391 1400, sito web: www.naih.hu.