Privacy Policy per le Aziende Clienti

Questa informativa riguarda il trattamento dei dati personali dell'Azienda Cliente e dei suoi Utenti Staff nell'ambito dell'uso della Piattaforma B2 Scheduly. Non riguarda i dati dei Clienti Finali dell'Azienda Cliente: quelli sono coperti dalle informative pubblicate automaticamente su ciascuna pagina pubblica di prenotazione (/book/[slug]/privacy), di cui parliamo comunque alla sezione «Il tuo ruolo verso i tuoi Clienti Finali» qui sotto.

Per i dati dell'Azienda Cliente e degli Utenti Staff — B2 Scheduly agisce come Titolare autonomo del trattamento (dati di account, fatturazione, supporto).

Per i dati dei Clienti Finali — che l'Azienda Cliente inserisce o raccoglie tramite la Piattaforma, B2 Scheduly agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR, su istruzione dell'Azienda Cliente, che ne resta Titolare.

• Dati dell'Azienda Cliente: ragione sociale, indirizzo, e i dati di pagamento necessari all'addebito del canone, forniti direttamente a GoCardless e non transitanti per i nostri sistemi;
• dati degli Utenti Staff (Owner, Manager, Staff): nome, email, password — conservata solo in forma crittografata (hash), mai in chiaro —, ruolo, sede/i di competenza, preferenze dell'interfaccia;
• dati tecnici: indirizzo IP e log di accesso e utilizzo della Piattaforma, raccolti per finalità di sicurezza e diagnostica.

Erogare il Servizio — creare e gestire l'Account, autenticare gli Utenti Staff, fornire assistenza. Base giuridica: esecuzione del contratto (art. 6.1.b GDPR).

Fatturazione e adempimenti contabili/fiscali — base giuridica: obbligo legale (art. 6.1.c GDPR) ed esecuzione del contratto.

Sicurezza e prevenzione abusi — monitoraggio tecnico, log, limiti di frequenza (rate limiting), protezione da accessi non autorizzati. Base giuridica: legittimo interesse (art. 6.1.f GDPR) a garantire la sicurezza della Piattaforma per tutte le aziende clienti.

Comunicazioni di servizio — email relative al funzionamento, alla sicurezza o a variazioni contrattuali dell'Account. Base giuridica: esecuzione del contratto.

Per erogare il Servizio ci avvaliamo dei seguenti fornitori, che trattano dati nei limiti necessari al servizio che offrono:

• Neon, per l'hosting del database;
• Vercel, per l'hosting dell'applicazione;
• Resend, per l'invio delle email;
• Twilio, per l'invio di SMS e la verifica telefonica;
• Meta (WhatsApp Business Platform), per l'invio di messaggi WhatsApp, quando l'Azienda Cliente attiva questo canale per i propri Clienti Finali;
• Stripe, per l'elaborazione dei pagamenti online e, tramite Stripe Connect, per l'accredito dei pagamenti che l'Azienda Cliente riceve dai propri Clienti Finali;
• GoCardless, per l'addebito diretto SEPA del canone del Servizio dovuto dall'Azienda Cliente.

Ciascun fornitore tratta i dati come responsabile del trattamento da noi nominato, salvo Stripe e GoCardless che, per i dati di pagamento raccolti direttamente, agiscono come titolari autonomi del trattamento secondo le proprie informative.

Quando usi la Piattaforma per gestire prenotazioni, sei tu — Azienda Cliente — il Titolare del trattamento dei dati dei tuoi Clienti Finali; B2 Scheduly agisce come tuo Responsabile del trattamento, trattando questi dati esclusivamente secondo le tue istruzioni documentate. Tali istruzioni si considerano date tramite questi Termini e questa informativa, e tramite le funzionalità che attivi e configuri in Piattaforma (ad esempio l'attivazione dei promemoria WhatsApp/SMS, o la richiesta della data di nascita in fase di prenotazione).

Come Responsabile del trattamento, ci impegniamo a:

• trattare i dati dei tuoi Clienti Finali solo per le finalità di erogazione del Servizio;
• garantire che il personale autorizzato al trattamento sia vincolato da obblighi di riservatezza;
• adottare misure di sicurezza tecniche e organizzative adeguate (vedi sezione «Sicurezza»);
• assisterti, nei limiti delle funzionalità della Piattaforma, nel rispondere alle richieste di esercizio dei diritti dei tuoi Clienti Finali;
• comunicarti senza ingiustificato ritardo le violazioni di dati personali di cui veniamo a conoscenza e che riguardano i tuoi Clienti Finali;
• avvalerci solo dei sub-responsabili elencati alla sezione precedente, garantendo loro lo stesso livello di protezione;
• cancellare o restituire, a tua scelta, i dati dei tuoi Clienti Finali alla cessazione del Servizio, secondo quanto previsto dai Termini di Servizio.

Per un accordo sul trattamento dei dati (DPA) più dettagliato e sottoscrivibile separatamente, puoi contattarci ai recapiti indicati in fondo a questa pagina.

Alcuni dei fornitori indicati possono trattare dati anche al di fuori dello Spazio Economico Europeo. In questi casi il trasferimento avviene nel rispetto delle garanzie previste dal Capo V del GDPR, in particolare le clausole contrattuali standard della Commissione Europea o decisioni di adeguatezza applicabili.

I dati dell'Account e degli Utenti Staff sono conservati per la durata del contratto e, successivamente, per il tempo necessario ad adempiere a obblighi di legge (ad esempio contabili e fiscali, generalmente fino a 10 anni) o a far valere o difendere un diritto in sede giudiziaria. Sulla conservazione dei dati dei Clienti Finali dopo la cessazione del contratto vedi la sezione «Cosa succede ai dati alla cessazione del contratto» dei Termini di Servizio.

Adottiamo misure tecniche e organizzative quali: cifratura delle password, connessioni cifrate (HTTPS), controllo degli accessi basato sul ruolo, isolamento dei dati tra organizzazioni diverse (architettura multi-tenant), limiti di frequenza (rate limiting) contro tentativi di abuso, e un registro di controllo (audit log) delle operazioni più sensibili.

Per i dati trattati come Titolare (sezione «Premessa e ruoli»), puoi in qualsiasi momento esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento (artt. 15-22 GDPR), scrivendo a info@b2scheduly.com. Hai inoltre diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

In caso di violazione di dati personali che comporti un rischio per i diritti e le libertà degli interessati, adottiamo le procedure previste dagli artt. 33-34 GDPR: notifica al Garante quando dovuta e, se la violazione riguarda i dati dei tuoi Clienti Finali, informativa tempestiva a te in qualità di Titolare, come previsto alla sezione precedente.

Possiamo aggiornare periodicamente questa informativa; la versione in vigore è sempre quella pubblicata su questa pagina, con la relativa data di ultimo aggiornamento indicata in alto.

Per qualsiasi domanda su questa informativa o per richiedere un DPA dedicato, puoi scrivere a info@b2scheduly.com, chiamare il 333 153 7793, oppure scrivere a B2 Scheduly, Viale della Resistenza 47, 87036 Quattromiglia (CS).