Informativa sul Trattamento dei Dati Personali

1. Titolare del Trattamento

Ai sensi dell'art. 4, n. 7 e dell'art. 13 del Regolamento (UE) 2016/679 (General Data Protection Regulation - 'GDPR'), il Titolare del trattamento dei dati personali raccolti per l'utilizzo della piattaforma Sloky (accessibile tramite il dominio sloky.it) è:

• Ditta Individuale: PACE FRANCESCO
• Titolare: Francesco Pace
• Codice Fiscale: PCAFNC01B17D086C
• Partita IVA: 03931090785
• Sede Legale: Piazza Selvaggi 7, 87018 San Marco Argentano (CS), Italia
• Posta Elettronica Certificata (PEC): pacefrancesco5@pec.it
• Email per questioni Privacy e diritti GDPR: privacy@sloky.it
• Email supporto e informazioni generali: support@sloky.it · info@sloky.it

2. Ruoli Privacy: Titolare vs Responsabile del Trattamento

La gestione dei dati all'interno della piattaforma Sloky si articola su due livelli distinti e autonomi conformemente al GDPR:

1. Sloky come Titolare del Trattamento: trattiamo in autonomia i dati anagrafici, identificativi, di contatto, di autenticazione e di fatturazione dei Professionisti abbonati al solo fine di gestire il rapporto contrattuale, l'accesso all'area riservata (Back-office) e la sicurezza della piattaforma.

2. Sloky come Responsabile del Trattamento (Art. 28 GDPR): la piattaforma è progettata secondo il principio di minimizzazione e Privacy by Design. Sloky non raccoglie, non richiede e non conserva anagrafiche, elenchi clienti o numeri di telefono dei clienti finali. L'unico modo in cui un dato personale relativo a terzi può essere presente nei sistemi informatici è qualora il Professionista decida autonomamente di inserire nomi o riferimenti identificativi nel testo libero del titolo o della descrizione di un appuntamento. Rispetto a tali dati, il Professionista agisce in qualità di Titolare autonomo, mentre Sloky opera esclusivamente quale Responsabile del Trattamento, conformemente all'Accordo ex art. 28 GDPR integrato nei Termini di Servizio.

3. Categorie di Dati Trattati e Modalità di Raccolta

A. Dati del Professionista (Cliente Diretto):

• Dati identificativi e profilo pubblico: nome pubblico dello studio o dell'attività, slug identificativo URL, descrizione sintetica, recapiti commerciali pubblici (telefono, indirizzo), colore tema dell'interfaccia e foto profilo (memorizzata nel database in formato base64). Tali elementi sono destinati alla visualizzazione da parte del pubblico sulla pagina dello studio.
• Credenziali e sicurezza dell'account: indirizzo email (utilizzato quale identificativo di accesso), fuso orario impostato, password (memorizzata esclusivamente sotto forma di hash crittografico non reversibile bcrypt), token monouso per verifica email e recupero credenziali (memorizzati come impronta sha256 con scadenza temporale), conteggio dei tentativi di accesso falliti e timestamp dei blocchi automatici di sicurezza.
• Dati contrattuali e pagamenti: identificativi del piano prescelto, stato dell'abbonamento, identificativo cliente e subscription generati dal fornitore di pagamento Stripe, data del primo incasso. I dati completi delle carte di pagamento non transitano né risiedono sui server di Sloky, ma vengono trattati direttamente da Stripe in conformità agli standard PCI-DSS.
• Programma 'Porta un amico': codice invito personale generato, associazione temporale con l'utente invitato e tracciamento dello stato di maturazione, fruizione o eventuale azzeramento degli sconti.
• Log di conformità: registrazione di data, ora e versione dei testi contrattuali e dell'informativa privacy accettati all'atto della registrazione o delle successive modifiche.

B. Dati inseriti dal Professionista negli Appuntamenti:

• Testi liberi inseriti nei campi 'titolo' o 'descrizione' (es. promemoria o nominativo del cliente), orari di inizio e fine, stato della disponibilità.
• Garanzia di riservatezza pubblica: sulla pagina web accessibile ai visitatori esterni (/{studio} e /{studio}/{agenda}) non viene mai esposto alcun titolo, nome o descrizione. Gli slot orari occupati vengono mostrati unicamente in forma anonima come 'occupato' e le fasce contigue vengono aggregate per impedire l'individuazione del numero effettivo di impegni.

C. Dati dei Visitatori della Pagina Pubblica:

• I visitatori che consultano gli orari non effettuano alcuna registrazione, non possiedono account e non rilasciano informazioni identificative. La pagina pubblica non installa alcun cookie (né tecnico, né analitico, né di profilazione) e non effettua tracciamento a fini pubblicitari o statistici.

4. Finalità e Basi Giuridiche del Trattamento

I trattamenti effettuati da Sloky si fondano sulle seguenti basi giuridiche:

• Erogazione del servizio SaaS e gestione dell'account: gestione del profilo, pubblicazione della pagina e accesso al back-office (Art. 6, par. 1, lett. b, GDPR - esecuzione del contratto).
• Gestione contabile e fiscale: emissione fatture e assolvimento obblighi tributari (Art. 6, par. 1, lett. c, GDPR - obbligo di legge).
• Sicurezza della piattaforma e prevenzione frodi: monitoraggio accessi anomali, rate-limiting e crittografia token (Art. 6, par. 1, lett. f, GDPR - legittimo interesse del Titolare alla salvaguardia dell'infrastruttura).
• Comunicazioni di servizio essenziali: notifiche di verifica account, recupero credenziali, avvisi di sicurezza e imminente disattivazione della pagina (Art. 6, par. 1, lett. b, GDPR - esecuzione del contratto; non viene svolta alcuna attività di newsletter, marketing o profilazione commerciale).

5. Destinatari dei Dati e Sub-Responsabili

I dati personali non sono soggetti a diffusione né a cessione verso terzi. Per garantire l'infrastruttura tecnica e l'operatività del servizio, Sloky si avvale di primari fornitori nominati Responsabili o Sub-responsabili del Trattamento:

• Vercel Inc.: hosting dell'applicazione web e funzioni serverless (infrastruttura primaria situata nell'Unione Europea - Regione di Stoccolma).
• Supabase Inc.: fornitura del database relazionale PostgreSQL gestito (regione UE).
• Stripe Technology Europe, Ltd. / Stripe, Inc.: elaborazione delle transazioni di pagamento, fatturazione e incasso ricorrente (UE/USA mediante adozione di Clausole Contrattuali Standard / Data Privacy Framework).
• Resend, Inc.: recapito delle email transazionali e operative di sistema.

6. Periodo di Conservazione dei Dati e Cancellazione

• Dati dell'account e delle agende: conservati per tutta la durata del contratto. Il Professionista può in qualsiasi momento richiedere l'eliminazione integrale dell'account dal back-office: l'operazione comporta l'immediata cancellazione a cascata, irreversibile e definitiva, di profilo, agende, appuntamenti, orari e token.
• Sospensione dell'abbonamento per mancato rinnovo: la Pagina Pubblica viene disattivata ('spenta'), mentre i dati all'interno del back-office restano archiviati e protetti a beneficio del Professionista per consentire un'eventuale riattivazione, salvo esplicita richiesta di cancellazione.
• Dati fiscali e contabili: le fatture emesse e i relativi giustificativi vengono conservati per i termini obbligatori previsti dalla normativa fiscale e civilistica italiana (ordinariamente 10 anni).

7. Cookie Policy

La piattaforma osserva standard rigorosi di Privacy by Design:

• Pagina Pubblica: completamente priva di cookie, tracciatori, pixel di conversione o script di analisi statistica terzi.
• Back-office riservato: utilizza unicamente un cookie tecnico di sessione, firmato crittograficamente, indispensabile per mantenere l'autenticazione sicura dell'utente durante l'accesso. Trattandosi di cookie strettamente necessario, la normativa non richiede l'esposizione di un banner di consenso preventivo.

8. Diritti dell'Interessato

Il Professionista può esercitare in ogni momento i diritti riconosciuti dagli artt. 15-22 del GDPR (accesso ai dati, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione per motivi legittimi).

Le richieste possono essere trasmesse via email a privacy@sloky.it oppure mediante PEC a pacefrancesco5@pec.it. Resta in ogni caso fermo il diritto dell'interessato di presentare formale reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).