Informativa privacy

Prima di affidarci i tuoi dati: le risposte in breve

Prima di affidare i propri dati a qualcuno è giusto sapere che dati tratta, chi li gestisce, a chi li dà, perché, dove sono e chi li cancella, quando. Ecco le risposte; il dettaglio è nei punti da 1 a 10.

Che dati trattate?

Solo quelli che inserisci tu. Per l’accesso: nome dell’attività, nome utente, email, password salvata in forma irreversibile e data dell’ultimo accesso. Poi i contenuti del gestionale (movimenti, clienti, scadenze e il resto) e i dati tecnici per la sicurezza, come indirizzo IP e tentativi di accesso falliti. Nient’altro: nessun tracciamento e nessun dato preso da altre fonti.

Chi li gestisce?

Per i dati del tuo accesso il titolare è VrLab (SmallGest). Per i dati che inserisci sui tuoi clienti il titolare sei tu e SmallGest è responsabile del trattamento, con una nomina scritta. Al server accede tecnicamente solo chi lo gestisce, e solo se chiedi assistenza.

A chi vengono ceduti?

A nessuno: non vengono venduti né ceduti. Passano tecnicamente da Cloudflare, che protegge il collegamento cifrato, e da Google solo le email scritte a [email protected]. L’unica eccezione è quella che vale per chiunque: un ordine dell’autorità giudiziaria.

Per che motivo?

Solo per farti usare il gestionale, per la sicurezza del servizio e per gli obblighi di legge. Mai per pubblicità, profilazione, vendita o altri scopi: SmallGest è un progetto senza scopo di lucro e i dati non sono il prezzo.

Dove sono?

Sui server VrLab in Italia. Ogni attività ha un database separato da quello delle altre.

Chi li cancella, e quando?

Tu, in ogni momento: un movimento, un cliente o un intero modulo. Il server, da solo, quando l’accesso viene chiuso: ricevi i dati in Excel, restano archiviati 30 giorni per rimediare a un errore e poi vengono cancellati definitivamente, con le copie orarie e di sicurezza. Le copie Excel sul tuo PC sono tue e le cancelli tu. Le email di richiesta si conservano al massimo 24 mesi, se non diventi cliente.

Come lo verifico?

Le regole sono scritte qui e nelle condizioni d’uso; la nomina a responsabile la firmi all’attivazione. Puoi scaricare tutto in Excel quando vuoi e vedere esattamente cosa c’è, e chiedere accesso, correzione, cancellazione o portabilità a [email protected].

Devo inserire dati sensibili?

No, e ti consigliamo di non farlo. I dati sensibili (oggi “categorie particolari”: salute, religione, opinioni politiche, orientamento sessuale, dati genetici e biometrici) non servono per tenere conti, agenda e clienti. Se scrivi “visita cardiologica” in un appuntamento, quello diventa un dato sanitario: meglio scrivere solo “appuntamento”.

Che certezze mi date?

Sulle regole, tutte: che dati, chi li tratta, perché, a chi vanno, dove sono e quando si cancellano sono scritti e valgono per tutti. Il rischio zero invece non può prometterlo nessun fornitore serio. Possiamo garantirti cosa facciamo se succede qualcosa: ti avvisiamo subito, così puoi rispettare le 72 ore previste dal GDPR, e hai le copie per ripartire.

1. Chi tratta i dati

Il titolare del trattamento è VrLab (SmallGest), Verona, Italia. Per qualsiasi domanda sui tuoi dati scrivi a [email protected].

SmallGest è un progetto senza scopo di lucro. Il servizio è gratuito e non è in vendita: nessuno può chiedere denaro per usarlo o per qualsiasi altra cosa che lo riguardi. I dati non vengono usati per guadagnare, né venduti, né usati per pubblicità.

2. A chi si rivolge

• a chi visita il sito smallgest.com;
• a chi ci scrive a [email protected], per esempio per chiedere una prova;
• a chi ha un accesso al gestionale (titolari e collaboratori delle attività).

Per i dati che ogni attività inserisce nel gestionale sui propri clienti, fornitori e collaboratori, il titolare è l’attività e noi siamo responsabili del trattamento: vedi il punto 8.

3. Quali dati trattiamo

• Navigazione: indirizzo IP, data e ora, pagina richiesta e tipo di browser, trattati in automatico dal server e da Cloudflare per far funzionare e proteggere il sito. Non usiamo cookie di profilazione, pubblicità o statistiche di terze parti.
• Richieste via email: il tuo indirizzo email, il nome, il testo del messaggio e i dati che decidi di scriverci, come attività, città o telefono.
• Accesso al gestionale: nome dell’attività, nome utente, email, password (conservata solo in forma irreversibile), data dell’ultimo accesso e tentativi di accesso falliti, che servono a bloccare chi prova a indovinare la password.

4. Perché li trattiamo

• per rispondere alle richieste e attivare l’accesso: misure precontrattuali e contratto (art. 6.1.b GDPR);
• per fornire il gestionale e l’assistenza: contratto (art. 6.1.b);
• per la sicurezza del sito e del gestionale: legittimo interesse (art. 6.1.f);
• per gli obblighi di legge: art. 6.1.c.

5. Per quanto tempo

• dati tecnici di navigazione: per il tempo strettamente necessario alla sicurezza;
• email di richiesta: fino a 24 mesi dall’ultimo contatto, se non diventi cliente;
• dati dell’accesso e dati inseriti nel gestionale: per la durata del servizio. Quando l’accesso viene chiuso te li restituiamo in Excel e li cancelliamo definitivamente dal server entro 30 giorni. Le copie Excel salvate sul tuo PC restano tue;
• dati necessari per obblighi di legge: per il tempo previsto dalla legge.

6. Chi riceve i dati

Ci aiutano due fornitori, che agiscono come responsabili del trattamento:

• Cloudflare, Inc.: collegamento protetto (https), protezione dagli attacchi e inoltro della posta di [email protected];
• Google LLC: casella di posta in cui arrivano le richieste.

Sono società con sede negli Stati Uniti: il trasferimento avviene con le garanzie previste dal GDPR (EU-US Data Privacy Framework e clausole contrattuali standard). Non vendiamo e non cediamo i dati a nessuno, e non li usiamo per fini commerciali o pubblicitari.

7. Dove sono i dati

I dati del gestionale e le sue copie stanno sui server VrLab in Italia. Ogni attività ha il suo database, separato da quello delle altre. Le misure di sicurezza sono descritte nella sezione Sicurezza e privacy.

8. Dati che le attività inseriscono nel gestionale

Per i dati che un’attività registra in SmallGest (per esempio i suoi clienti, i fornitori, i movimenti) il titolare del trattamento è l’attività; SmallGest è responsabile del trattamento ai sensi dell’art. 28 GDPR, con una nomina scritta firmata all’attivazione. In particolare:

• trattiamo questi dati solo per far funzionare il gestionale e solo secondo le istruzioni dell’attività;
• vi accediamo solo se l’attività ce lo chiede per assistenza;
• se succede qualcosa ai dati avvisiamo l’attività senza ritardo, così può rispettare le 72 ore previste dal GDPR;
• a fine rapporto restituiamo i dati in Excel e li cancelliamo dal server entro 30 giorni.

Consigliamo alle attività di non inserire dati relativi alla salute o altri dati particolari (art. 9 GDPR): per usare SmallGest non servono. Se un appuntamento riguarda una visita medica, basta scrivere “appuntamento”.

9. Cookie

Il sito smallgest.com non usa cookie. Il gestionale usa un solo cookie tecnico di sessione per tenerti collegato, che scade dopo 12 ore o quando chiudi il browser, e salva nel tuo browser preferenze come il tema chiaro o scuro. Cloudflare può usare cookie tecnici di sicurezza. Nessuno di questi serve a profilarti e non richiede consenso.

10. I tuoi diritti

Puoi chiedere in ogni momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile (portabilità) o opporti al trattamento (artt. 15–22 GDPR), scrivendo a [email protected]. Se pensi che i tuoi dati siano trattati in modo non corretto puoi presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Se sei cliente di un’attività che usa SmallGest e vuoi esercitare i tuoi diritti sui dati che quell’attività ha di te, rivolgiti a lei: è lei il titolare. Ti aiuteremo noi a rispondere.