01 — Note legali
Informativa sulla privacy
Ultimo aggiornamento — [da completare]
Questo testo informa sul funzionamento di InkFlow e sul trattamento dei dati. Non costituisce una consulenza legale.
Chi è responsabile dei suoi dati?
InkFlow è edito da [da completare], [da completare]. L'editore è responsabile del trattamento dei dati degli account dei tatuatori e dei dati tecnici del sito.
Per i dati dei propri clienti inseriti in InkFlow (schede cliente, richieste, documenti, messaggi), è il tatuatore a decidere le finalità e i mezzi: ne è il titolare del trattamento. InkFlow agisce allora come responsabile del trattamento e tratta tali dati unicamente per fornire il servizio.
Contatto per la protezione dei dati: [da completare].
Dati che trattiamo
- Account del tatuatore: nome, indirizzo e-mail, password (conservata in forma cifrata irreversibile), nome dello studio, indirizzo della pagina pubblica, preferenze (lingua, paese, fuso orario, valuta).
- Contenuti inseriti dal tatuatore: clienti, appuntamenti, progetti di tatuaggio, messaggi, documenti di consenso, foto del portfolio e di riferimento, mezzi di incasso della caparra (ad esempio numero TWINT, IBAN, link PayPal).
- Dati delle persone che inviano una richiesta dalla pagina pubblica di un tatuatore: nome, recapiti (e-mail, telefono, nome Instagram), descrizione del progetto, zona del corpo, dimensioni, budget, foto di riferimento, lingua e consenso prestato.
- Dati dei servizi collegati dal tatuatore (Google Calendar, Gmail): eventi dell'agenda ed e-mail scambiate con i suoi clienti, nella sola misura autorizzata dal tatuatore.
- Dati tecnici: indirizzo IP, registri di sicurezza (accessi, azioni sensibili), cookie e archiviazione locale descritti più sotto.
- Pagamento: InkFlow non registra alcun numero di carta di credito. Quando il pagamento online sarà attivato, verrà gestito da Stripe (vedere «Responsabili del trattamento e destinatari»).
Perché, e su quale base giuridica
- Fornire il servizio (account, agenda, richieste, appuntamenti, promemoria, e-mail di servizio): esecuzione del contratto concluso con il tatuatore; per i clienti di un tatuatore, iniziativa da loro stessi avviata nei suoi confronti.
- Sicurezza del servizio, prevenzione degli abusi e dei tentativi di accesso fraudolenti, registrazione: legittimo interesse (GDPR, art. 6, par. 1, lett. f) o interesse preponderante (nLPD).
- Collegamento di Google Calendar o Gmail: consenso del tatuatore, che può revocarlo in qualsiasi momento nelle impostazioni.
- Dati sulla salute eventualmente inseriti: consenso esplicito (vedere la sezione seguente).
- Rispetto di obblighi legali (ad esempio conservazione contabile, risposte alle autorità): obbligo legale.
Nessun dato viene venduto, affittato o utilizzato a fini pubblicitari o di profilazione. Non viene presa alcuna decisione automatizzata che produca effetti giuridici.
Dati sulla salute e consenso
Per tatuare in sicurezza, un tatuatore può avere bisogno di conoscere alcune informazioni sulla salute dei suoi clienti (allergie, terapie, gravidanza, malattie della pelle…). Tali informazioni sono dati sensibili ai sensi della nLPD e rientrano nelle categorie particolari di dati ai sensi del GDPR (art. 9).
Il tatuatore è responsabile del trattamento di questi dati: decide quali informazioni richiedere, deve limitarsi allo stretto necessario, informare il proprio cliente e ottenere il suo consenso esplicito, libero e informato prima di registrarli, quindi conservarlo. InkFlow fornisce strumenti (campi di modulo, documenti di consenso) ma non controlla il loro contenuto; i modelli di documento forniti sono indicativi e devono essere adattati al paese e alla situazione del tatuatore.
InkFlow utilizza questi dati solo per fornire il servizio. Non è previsto che vi acceda, salvo necessità tecnica o di sicurezza, o su richiesta del tatuatore.
Se è cliente di un tatuatore, si rivolga innanzitutto a lui per esercitare i suoi diritti su questi dati. Tatuatori: evitate di inserire informazioni sulla salute in campi liberi quando non è necessario.
Responsabili del trattamento e destinatari
Per far funzionare il servizio ci avvaliamo dei seguenti fornitori, che trattano dati per nostro conto:
- Vercel Inc.: hosting dell'applicazione e archiviazione dei file (foto, documenti).
- Neon, Inc.: database PostgreSQL.
- Resend, Inc.: invio delle e-mail di servizio (notifiche, conferme, promemoria, reimpostazione della password) quando il messaggio non parte dall'account Gmail del tatuatore.
- Google (Google LLC, Google Ireland Limited): solo se il tatuatore collega Google Calendar o Gmail (lettura e scrittura dell'agenda, invio di e-mail e, a seconda della modalità scelta, lettura).
- Stripe (Stripe Payments Europe, Ltd., Stripe, Inc.): gestione dei pagamenti e degli abbonamenti, dopo l'attivazione di questa funzione (non ancora attiva alla data di questo testo).
Questi fornitori possono trattare dati al di fuori della Svizzera e dello Spazio economico europeo, in particolare negli Stati Uniti. Il trasferimento si basa allora su una decisione di adeguatezza (ad esempio il quadro per la protezione dei dati Svizzera–Stati Uniti o UE–Stati Uniti) o su clausole contrattuali tipo.
Non comunichiamo i suoi dati ad altri terzi, salvo obbligo di legge o con il suo consenso.
Durata di conservazione
- Account e contenuti: per tutta la durata dell'account. Dopo la chiusura, i dati vengono cancellati o resi anonimi entro [da completare], salvo obbligo legale di conservazione.
- Documenti di consenso accettati: conservati come prova; una volta accettati non possono essere eliminati singolarmente.
- Registri di sicurezza: conservati per il tempo necessario alla sicurezza del servizio.
- Backup: i dati eliminati possono rimanere brevemente nei backup tecnici dei nostri fornitori.
Il tatuatore è responsabile della durata di conservazione dei dati dei propri clienti e può eliminarli in qualsiasi momento.
I suoi diritti
In base alla legge applicabile (nLPD in Svizzera, GDPR nell'Unione europea e nello Spazio economico europeo), lei dispone dei seguenti diritti:
- accesso ai suoi dati e copia degli stessi;
- rettifica dei dati inesatti;
- cancellazione dei suoi dati;
- limitazione del trattamento e opposizione a determinati trattamenti;
- portabilità (ricevere i suoi dati in un formato di uso comune);
- revoca del suo consenso in qualsiasi momento, senza effetto su quanto avvenuto prima;
- reclamo presso un'autorità di protezione dei dati (in Svizzera, l'Incaricato federale della protezione dei dati e della trasparenza; nell'Unione europea, l'autorità del suo paese).
Per esercitare i suoi diritti, scriva a [da completare]. Potremmo chiederle di dimostrare la sua identità. Se è cliente di un tatuatore, la sua richiesta può essere inoltrata a quest'ultimo, che è responsabile dei suoi dati. I tatuatori possono richiedere l'esportazione o la cancellazione del proprio account e dei propri dati scrivendoci.
Sicurezza
Gli scambi sono cifrati (HTTPS), le password sono sottoposte ad hashing, i token di accesso Google sono cifrati e revocabili in qualsiasi momento dalle impostazioni, ogni tatuatore accede solo ai propri dati, i tentativi di accesso sono limitati e le azioni sensibili vengono registrate. Nessuna misura garantisce un rischio nullo; in caso di violazione della sicurezza dei dati, informeremo le persone e le autorità interessate conformemente alla legge applicabile.
Modifiche e contatti
Possiamo modificare questa informativa; la data dell'ultimo aggiornamento figura in alto nella pagina. Per qualsiasi domanda: [da completare].