Informativa sulla Privacy

1. Titolare del trattamento

Il titolare dei dati descritti in questa Informativa è Rafael Henrique Barros. Per qualsiasi questione relativa alla privacy, usa l’indirizzo e-mail qui sotto.

• Fornitore: Rafael Henrique Barros, persona fisica residente in Spagna, che offre il servizio con il nome commerciale Noctelo.
• NIF/NIE (Spagna): Z2504792M
• E-mail: contato@noctelo.site

2. Due ruoli: titolare e responsabile

Siamo titolari dei dati degli account che usano Noctelo (titolari, gestori e team), della fatturazione, dell’assistenza e dei visitatori del sito.

I dati che ogni attività inserisce sui propri clienti e professioniste — contatti, appuntamenti, messaggi, note, foto, importi — appartengono a quell’attività, che ne è titolare. Per questi dati agiamo solo come responsabile del trattamento, per conto dell’attività e secondo le sue istruzioni, come concordato nei Termini. Se sei cliente o professionista di un’attività che usa Noctelo, rivolgi le tue richieste a quell’attività; se ci scrivi, inoltriamo la richiesta e aiutiamo a rispondere.

3. Quali dati trattiamo

• Account: nome, e-mail, telefono, password (conservata solo come hash irreversibile), lingua, ruolo e permessi, e la registrazione dell’accettazione di questi documenti (versione, data e indirizzo IP).
• Attività: nome, indirizzo, paese, impostazioni, piano e storico dell’abbonamento.
• Fatturazione: identificativi cliente e di abbonamento in Paddle, importo, stato e date dei pagamenti. I dati della carta vengono inseriti nel modulo di Paddle e non ci arrivano mai.
• Utilizzo e sicurezza: indirizzo IP, tipo di dispositivo e browser, registri di accesso e di errori.
• Assistenza: il contenuto dei messaggi che ci invii.
• Visitatori della vetrina: statistiche delle visite pseudonimizzate. L’indirizzo IP viene trasformato in un codice che cambia ogni giorno e non può essere invertito; l’IP in sé non viene conservato.
• Per conto delle attività (come responsabile): dati dei clienti (nome, telefono, storico degli appuntamenti, messaggi WhatsApp e Telegram, note, valutazione di affidabilità), delle professioniste (nome, contatti, orari, importi e commissioni, foto e profilo della vetrina, PIN) e, quando l’attività usa la verifica d’arrivo nei servizi esterni, l’indirizzo dell’appuntamento e la posizione del dispositivo al momento dell’arrivo.

4. Finalità e basi giuridiche

• Creare e gestire l’account e fornire il servizio sottoscritto — esecuzione del contratto (art. 6, par. 1, lett. b) GDPR).
• Fatturazione e obblighi fiscali e contabili — esecuzione del contratto e adempimento di un obbligo di legge (lett. b e c).
• Sicurezza, prevenzione di frodi e abusi, protezione dai bot in fase di registrazione e diagnosi degli errori — legittimo interesse a mantenere il servizio sicuro e funzionante (lett. f).
• E-mail di servizio (conferma dell’account, recupero password, avvisi sull’abbonamento e modifiche a questi documenti) — esecuzione del contratto.
• Statistiche pseudonimizzate della vetrina, per mostrare all’attività quante visite ha ricevuto — legittimo interesse, con il minimo di dati possibile.
• Rispondere alle richieste di assistenza — esecuzione del contratto o legittimo interesse a rispondere a chi ci contatta.

Non vendiamo dati personali, non li usiamo per pubblicità e non prendiamo decisioni automatizzate che producano effetti giuridici nei tuoi confronti. Non inviamo comunicazioni di marketing senza il tuo consenso.

5. Con chi condividiamo i dati

Ci avvaliamo dei seguenti fornitori, che trattano i dati solo per fornirci il loro servizio e con obblighi contrattuali di protezione:

• Paddle.com Market Ltd (Regno Unito) — Merchant of Record: checkout, pagamenti, fatture, imposte e rimborsi. Paddle tratta i dati di pagamento anche come titolare autonomo, secondo l’informativa sulla privacy di Paddle.
• Contabo GmbH (Germania, UE) — server che ospitano il servizio e il database.
• Backblaze, Inc. (USA) — backup del database al di fuori del server principale.
• Sendinblue SAS — Brevo (Francia, UE) — invio delle e-mail del servizio.
• OpenAI (USA) — elaborazione di messaggi e richieste da parte delle funzionalità di IA, quando l’attività le usa.
• Functional Software, Inc. — Sentry (USA) — monitoraggio degli errori tecnici, con le intestazioni di autenticazione e i campi sensibili rimossi.
• Cloudflare, Inc. (USA) — verifica anti-bot (Turnstile) in fase di registrazione.
• OpenStreetMap Foundation (Regno Unito) — conversione dell’indirizzo di un servizio esterno in coordinate, quando l’attività usa la verifica d’arrivo. Viene inviato solo l’indirizzo, senza nome né contatti.
• Servizi di notifica dei browser (Google, Apple, Mozilla) — consegna delle notifiche push che attivi.

WhatsApp (Meta) e Telegram non sono nostri fornitori: sono servizi che l’attività collega con account propri, e i messaggi che vi transitano sono soggetti alle politiche di quei servizi.

Possiamo inoltre comunicare dati a consulenti professionali (ad esempio legali o contabili), tenuti al segreto, e alle autorità quando la legge lo richiede.

6. Trasferimenti internazionali

Alcuni fornitori si trovano al di fuori dello Spazio economico europeo. Per il Regno Unito si applica la decisione di adeguatezza della Commissione europea. Per gli Stati Uniti, i trasferimenti si basano sul Data Privacy Framework UE-USA, quando il fornitore è certificato, o sulle clausole contrattuali tipo approvate dalla Commissione europea. Puoi chiederci una copia delle garanzie applicabili.

7. Per quanto tempo conserviamo i dati

• Dati dell’account e dell’attività: finché l’account esiste. Dopo una richiesta di chiusura ci sono 30 giorni per ripensarci; trascorso tale termine i dati vengono cancellati e resta solo una registrazione, priva di dati personali, dell’avvenuta cancellazione.
• Backup: ruotati, con ogni copia cancellata dopo 14 giorni.
• Dati di fatturazione: per il periodo richiesto dalla normativa fiscale e commerciale.
• Registri degli errori: fino a 90 giorni.
• Statistiche pseudonimizzate della vetrina: 400 giorni.
• Messaggi di assistenza: per il tempo necessario a gestire la richiesta ed eventuali seguiti.

8. Sicurezza

Tutte le connessioni sono cifrate (HTTPS). Le password sono conservate solo come hash, le sessioni WhatsApp sono cifrate nel database, l’accesso ai server è limitato e avviene tramite chiave, e ogni attività vede solo i propri dati. Nessun sistema è infallibile; in caso di violazione che riguardi i tuoi dati, informeremo te e le autorità nei termini previsti dalla legge.

9. Cookie e archiviazione locale

Usiamo solo cookie e archiviazione locale strettamente necessari: la sessione e la protezione contro le richieste contraffatte (CSRF), la lingua scelta, il tema e le preferenze dell’interfaccia, come le notifiche silenziate o l’attività attiva. Non usiamo cookie pubblicitari né strumenti di analisi di terzi, perciò non chiediamo il consenso ai cookie.

10. I tuoi diritti

Puoi chiedere l’accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità, e opporti ai trattamenti basati sul legittimo interesse. Quando il trattamento si basa sul consenso, puoi revocarlo in qualsiasi momento. Il titolare dell’account può esportare i dati dell’attività e chiedere la chiusura direttamente dalle impostazioni.

Per esercitare questi diritti, scrivi a contato@noctelo.site. Rispondiamo entro un mese, termine prorogabile nei casi previsti dalla legge. Possiamo chiederti informazioni per confermare la tua identità.

Se ritieni che i tuoi diritti non siano stati rispettati, puoi presentare reclamo all’Agenzia spagnola per la protezione dei dati (AEPD) o all’autorità di protezione dei dati del paese in cui vivi o lavori — in Italia, il Garante per la protezione dei dati personali.

11. Minori

Il servizio è destinato esclusivamente a persone maggiorenni (18 anni o più). Non raccogliamo consapevolmente dati di minori; se ne veniamo a conoscenza, li cancelliamo.

12. Modifiche a questa Informativa

Possiamo aggiornare questa Informativa, ad esempio quando cambiamo fornitore. La data e la versione in vigore sono indicate in cima alla pagina; le modifiche rilevanti vengono comunicate ai titolari degli account via e-mail o nel pannello.