Accordo sul trattamento dei dati

Questo accordo regola il trattamento dei dati personali che Limea svolge per conto dell'attività che usa il servizio, come previsto dall'art. 28 del Regolamento (UE) 2016/679 ("GDPR"). Si applica automaticamente a chiunque usi Limea e integra i Termini di servizio e l'Informativa privacy.

Chi è chi

L'attività che usa Limea (il salone, il centro estetico, il professionista) è il Titolare del trattamento dei dati dei propri clienti: decide lei quali dati raccogliere e perché.

Limea di Mazzucchelli Gabriel (partita IVA 04948650165, sede in Via Gambarelli 31, 24064 Grumello del Monte (BG)), che gestisce Limea, è il Responsabile del trattamento: tratta quei dati solo per fornire il servizio, secondo le istruzioni dell'attività, e non li usa mai per finalità proprie.

Cosa trattiamo, e perché

• Oggetto e finalità: fornire una piattaforma di prenotazione, gestione appuntamenti, rubrica clienti, comunicazioni automatiche (email e, se l'attività collega il proprio numero, WhatsApp), assistente conversazionale per i clienti e funzioni di intelligenza artificiale nella dashboard che l'attività usa per lavorare sui propri dati (per esempio l'assistente a cui il titolare chiede di prenotare o spostare un appuntamento, le note dettate, l'importazione della rubrica, le bozze dei messaggi di richiamo e delle risposte alle recensioni), e la cassa dell'attività (conti, incassi, buoni regalo, coupon e magazzino). Per le funzioni di intelligenza artificiale passano al fornitore del modello solo i dati che servono a quella funzione: per esempio il nome del cliente, il servizio e il testo per la bozza di risposta a una recensione; il nome, da quanto non viene e l'ultimo servizio per la bozza di un richiamo.
• Durata: per tutto il tempo in cui l'attività usa Limea.
• Categorie di interessati: i clienti finali dell'attività, le persone che l'attività autorizza ad accedere alla propria dashboard, e i suoi fornitori, se ne inserisce i contatti nel magazzino.
• Tipi di dati: nome, numero di telefono, email, data di nascita se l'attività la raccoglie, storico degli appuntamenti e dei servizi, note e tag inseriti dall'attività, contenuto delle conversazioni con l'assistente, eventuali recensioni lasciate, i pacchetti di sedute dati al cliente (sedute comprate e usate, prezzo, scadenza), e la segnalazione di mancata presentazione a un appuntamento (il "no-show"), che l'attività può registrare a posteriori. Quest'ultima è un giudizio sul comportamento di una persona, non un dato di fatto neutro: la registra l'attività, sotto la propria responsabilità, ed è visibile solo a lei e non viene mai segnalata ad altre attività. Limea la usa in due modi automatici: se l'attività lo sceglie, per chiedere la caparra per prenotare online a chi ha saltato appuntamenti senza disdire; e, se il cliente ha un pacchetto di sedute, per scalare una seduta dell'appuntamento saltato (è la regola di base, che l'attività può togliere in Configura). Non blocca prenotazioni e non cambia prezzi; il cliente può chiedere all'attività di rivedere il caso. Con la cassa trattiamo anche i conti e gli incassi registrati con la cassa (servizi e prodotti, importi, sconti, metodo di pagamento, storni), i buoni regalo e i coupon usati, prodotti e fornitori del magazzino (con i contatti dei fornitori, se l'attività li inserisce), e il registro delle modifiche: chi ha creato, spostato, cancellato o incassato cosa e quando (il titolare, un collaboratore, l'assistente, il cliente dal suo link o il sistema). Il registro serve all'attività per ricostruire la storia di un appuntamento o di un conto, e si scrive solo dal server: nessuno lo può modificare dalla dashboard.

Dati sulla salute (art. 9 GDPR): dal piano Growth c'è un campo apposito, le Attenzioni del cliente, per allergie e reazioni utili a erogare il servizio in sicurezza. Si salva solo se l'attività dichiara di avere il consenso esplicito del cliente (art. 9.2.a), e la data resta registrata; raccoglierlo, informarne il cliente e conservarne la prova (meglio per iscritto, con la data) spetta all'attività, titolare del trattamento: la dichiarazione in Limea non è la prova del consenso. Le note di servizio non sono pensate per dati sanitari: quando vengono dettate, il testo è elaborato da Anthropic solo per dividerlo nei campi, e le informazioni sulla salute vengono separate e proposte solo per le Attenzioni. Limea conserva questi dati e li mostra all'attività: non li usa per l'assistente in chat né li vede nel pannello di amministrazione. Fuori da questi campi l'attività non deve inserire dati sanitari (per esempio nelle note libere); se lo fa, ne risponde lei. Per le attività sanitarie vale anche la sezione "Se la tua è un'attività sanitaria", qui sotto: per loro sono dati sulla salute anche gli appuntamenti.

Se la tua è un'attività sanitaria

Se usi Limea come fisioterapista o osteopata, i dati dei tuoi pazienti che tratti con Limea sono dati relativi alla salute (art. 9 GDPR): anche il solo fatto che una persona abbia un appuntamento da te. Per queste attività valgono, in più rispetto al resto di questo accordo, le regole seguenti.

• La base giuridica è tua. Tratti i dati dei pazienti come titolare, per finalità di cura (art. 9.2.h GDPR e art. 2-septies del Codice privacy) o con il loro consenso esplicito dove serve. Limea li tratta solo per fornirti il servizio, come tuo responsabile.
• Cosa fa l'assistente. L'assistente che risponde ai pazienti prenota appuntamenti sulla tua pagina e manda il link per spostarli o disdirli; su WhatsApp, quando è attivo, li sposta e li disdice direttamente. Risponde su servizi, prezzi e orari. È istruito a non chiedere sintomi, diagnosi o terapie e a non dare consigli medici, e una regola nel codice ferma i più comuni prima che partano: al loro posto il paziente legge un rimando a te (e al 112 se descrive un'urgenza). Sopra la chat c'è una riga che chiede ai pazienti di non scrivere né dettare informazioni sulla salute (col microfono della chat la voce la trasforma in testo il servizio vocale del browser o del telefono del paziente: a Limea arriva solo il testo), e un'altra regola le toglie dalle note che l'assistente scrive sugli appuntamenti. Se un paziente le scrive lo stesso, restano nel testo della conversazione, che nella tua attività vedi solo tu, che passa al fornitore del modello di intelligenza artificiale (Anthropic) come ogni messaggio per generare la risposta, e che si cancella da sola 3 mesi dopo l'ultimo messaggio. Prima, se il paziente lo chiede: cancellando la sua scheda se ne vanno le conversazioni collegate a lei o al suo numero e quelle in cui l'assistente gli ha preso un appuntamento; le altre le cancelli dalla conversazione ("Cancella questa conversazione").
• Cosa puoi scrivere tu. Le note e la scheda del paziente in Limea servono a organizzare gli appuntamenti, non sono una cartella clinica: non inserire diagnosi, referti o terapie. Allergie e condizioni utili a lavorare in sicurezza vanno solo nelle Attenzioni (dal piano Growth), con il consenso del paziente registrato.
• Promemoria e messaggi. Conferme, promemoria, spostamenti, disdette e gli altri messaggi ai pazienti dicono il nome della tua attività, il giorno e l'ora (le email di conferma e di spostamento anche l'indirizzo), ma non il nome del servizio: chi vede il messaggio sul telefono del paziente non capisce per cosa viene. Il nome del servizio resta nella tua agenda, sulla tua pagina, nella chat, dove lo sceglie il paziente, e nella pagina della prenotazione a cui porta il link dei messaggi: meglio comunque un nome che non riveli la condizione.
• Cassa. Per le attività sanitarie la cassa di Limea resta spenta: si segna solo che un appuntamento è stato pagato. Fatture e documenti per il Sistema Tessera Sanitaria restano fuori da Limea.
• Collaboratori. Chi aggiungi come collaboratore vede la rubrica dei pazienti e gli appuntamenti degli altri secondo i permessi che gli dai: è tuo compito che sia una persona autorizzata e tenuta al segreto professionale o alla riservatezza.
• Valutazione d'impatto. Per un'attività sanitaria che usa un assistente di intelligenza artificiale la valutazione d'impatto è da fare (art. 35 GDPR ed elenco del Garante, provvedimento n. 467 del 2018): è un tuo obbligo come titolare. Abbiamo scritto la nostra sul trattamento che facciamo per te: dice dove vanno i dati, per quanto restano, quali rischi abbiamo considerato e con quali misure. Su richiesta te la diamo intera, come base per la tua (art. 28.3.f GDPR).
• Violazioni. Per i dati dei tuoi pazienti l'avviso in caso di violazione arriva di norma entro 48 ore, e ti aiutiamo a valutare se avvisare il Garante e i pazienti: con dati sanitari il rischio è più spesso alto.

I nostri obblighi

• Trattiamo i dati solo su istruzione dell'attività: le istruzioni sono l'uso normale delle funzioni del prodotto. Non usiamo i dati dei clienti finali per scopi nostri, non li vendiamo, non li cediamo per marketing.
• Chi in Limea ha accesso tecnico ai dati è vincolato alla riservatezza.
• Assistiamo l'attività quando un suo cliente esercita i propri diritti (accesso, rettifica, cancellazione, portabilità), e quando deve rispondere a una violazione o valutare un rischio. Per i tre casi più frequenti non serve nemmeno scriverci: la scheda cliente è modificabile, la rubrica è esportabile in CSV e il titolare può cancellare definitivamente una singola scheda dalla scheda stessa.
• Ti avvisiamo senza ingiustificato ritardo, di norma entro 48 ore da quando ne veniamo a conoscenza, se subiamo una violazione dei dati che riguarda la tua attività, con quello che sappiamo su cosa è successo e cosa stiamo facendo, anche se è ancora incompleto: il resto te lo mandiamo appena lo sappiamo. Ti mandiamo anche le informazioni che ti servono per decidere se avvisare il Garante e i tuoi clienti (art. 33.3 GDPR) e, se ce lo chiedi, una bozza della notifica, che resta tua.
• Su richiesta mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto di questi obblighi, e consentiamo e contribuiamo alle verifiche, comprese le ispezioni, svolte da te o da chi incarichi, con un preavviso ragionevole (art. 28.3.h GDPR).
• Se un'istruzione ci sembra in contrasto con le norme sulla protezione dei dati te lo diciamo subito. Se una legge ci obbliga a trattare i dati in modo diverso dalle tue istruzioni, te lo diciamo prima, salvo che la legge stessa lo vieti (art. 28.3.a GDPR).

Come proteggiamo i dati

• Separazione fra attività applicata dal database, non solo dal codice: ogni riga porta con sé l'attività a cui appartiene, e il database rifiuta da sé la lettura dei dati di un'altra attività. È la protezione su cui contiamo di più, perché continua a valere anche se sbagliamo a scrivere una query.
• Dati cifrati in transito (HTTPS) e a riposo, e password mai conservate in chiaro.
• Ruoli e permessi: l'attività decide chi tra i suoi collaboratori può vedere cosa: un collaboratore vede gli incassi e modifica servizi, prezzi e orari solo se glielo permetti; non accede mai alla fatturazione né all'esportazione della rubrica. Per il tablet della reception c'è la modalità bancone: un accesso dell'attività, firmato "Bancone", che lavora come un collaboratore (di base senza vedere gli incassi e senza le impostazioni: i permessi in più li decidi tu, come per gli altri), dura al massimo 16 ore e si collega dal telefono del titolare.
• Nella dashboard le azioni sugli appuntamenti e sulla cassa restano registrate con il nome di chi le ha fatte (o "Bancone"), per ricostruire cosa è successo. Se i tuoi collaboratori sono lavoratori dipendenti, informali che è così (art. 4 dello Statuto dei lavoratori e art. 13 GDPR). Limea non usa il registro per valutare il loro lavoro: niente classifiche, niente tempi individuali.
• Nessuno in Limea può entrare nella dashboard di un'attività fingendosi il titolare: la funzione non esiste nel prodotto, per scelta.
• Il pannello interno di amministrazione mostra solo numeri aggregati (quanti clienti, quanti appuntamenti), mai i dati dei singoli clienti finali e mai il contenuto delle conversazioni con l'assistente. Ogni intervento manuale viene registrato.

Credenziali dei calendari esterni: quelle che un'attività collega volontariamente (Google via OAuth, quando il collegamento è disponibile; per chi l'aveva collegato prima dell'11/09/2026, un calendario CalDAV come iCloud) sono cifrate a riposo a livello applicativo (AES-256-GCM), con una chiave che non sta nel database: chi leggesse il database da solo non potrebbe usarle.

Altri fornitori (sub-responsabili)

Per fornire il servizio ci appoggiamo ad altri fornitori, autorizzati fin d'ora. L'elenco completo e sempre aggiornato è nella sezione dedicata dell'informativa privacy. Se ne aggiungiamo o sostituiamo uno te lo scriviamo per email almeno 15 giorni prima che inizi a trattare dati, e in quel tempo puoi opporti per motivi legati alla protezione dei dati: ne parliamo e cerchiamo una soluzione; se non la troviamo, puoi disdire senza penali.

Ognuno dei nostri sub-responsabili è vincolato a obblighi di protezione dei dati equivalenti a quelli di questo accordo, e restiamo noi responsabili verso di te del loro operato. Non sono nostri sub-responsabili i servizi che scegli o usi tu, e che lavorano per te o per conto proprio: Meta per il tuo numero WhatsApp, Google per il tuo calendario, Stripe per il conto su cui incassi le caparre, e i servizi push e di dettatura dei browser (qui sotto).Per le attività sanitarie gli stessi fornitori trattano anche dati relativi alla salute (art. 9 GDPR): non se ne aggiungono altri. Come per le notifiche push, il servizio di dettatura del browser che tu, i collaboratori o i pazienti usate col microfono non è un nostro fornitore: lo sceglie il browser o il telefono di chi detta.

Se tu o i tuoi collaboratori attivate le notifiche push, il testo della notifica (per esempio nome del cliente, servizio, giorno e ora di una prenotazione nuova) passa dal servizio push del vostro browser o telefono (Apple, Google, Mozilla o Microsoft), che la consegna al dispositivo e può mostrarla sullo schermo bloccato. Quei servizi non sono nostri fornitori: li sceglie il browser o il telefono di chi attiva le notifiche, come il servizio di posta di chi riceve un'email, ricevono il messaggio cifrato (RFC 8291) e vedono solo a quale dispositivo va e quando. Per un'attività sanitaria la notifica non dice la prestazione. Le notifiche vanno solo al titolare e ai collaboratori, mai ai clienti, e ognuno sceglie quali ricevere.

Se tu, i tuoi collaboratori o i tuoi clienti nella chat della tua pagina toccate il microfono per dettare, la voce la trasforma in testo il servizio di dettatura del browser o del telefono (per esempio Apple su Safari e su iPhone, Google su Chrome, Microsoft su Edge), alle sue condizioni. Anche questo non è un nostro fornitore: lo sceglie il browser o il telefono di chi detta, come la tastiera che usa per scrivere. La dettatura parte solo al tocco del microfono, noi non registriamo né riceviamo l'audio, e ci arriva solo il testo quando lo salvi o lo invii.

Se colleghi Google Calendar e scegli di scriverci i tuoi appuntamenti, Limea scrive sul calendario Google della persona, per ogni appuntamento, il servizio e il nome del cliente (per un'attività sanitaria, la prestazione e il nome del paziente): Google li tratta secondo le condizioni del tuo account.

WhatsApp: il numero e l'account WhatsApp Business sono tuoi. Se li colleghi a Limea, Meta tratta i messaggi per te in base alle condizioni che accetti con Meta collegando il numero (fra cui i WhatsApp Business Data Processing Terms), e te li addebita: per quei messaggi Meta risponde a te direttamente, e Limea li fa passare dalla piattaforma di Meta per tuo conto.

Calendario in sola lettura: se tu o il titolare create il link del calendario di un'agenda, Limea mette a disposizione a chi ha quel link un file di calendario con gli appuntamenti di quell'agenda degli ultimi 7 giorni e dei prossimi 90 (servizio, nome del cliente, orario e collegamento alla scheda in Limea; mai telefono, email, note o prezzi). Il file lo scarica e lo conserva l'app di calendario scelta (per esempio Apple, Google o Microsoft), secondo le sue regole. Il link si può spegnere o rigenerare in ogni momento; si spegne da solo quando chi l'ha creato lascia l'attività o cambia agenda. Per un'attività sanitaria il nome del paziente e la prestazione finiscono nel servizio di calendario scelto da chi aggiunge il link: è una scelta del titolare, che può non usare questa funzione.

Dove stanno i dati

Il database, dove vivono i dati dei tuoi clienti, è nell'Unione Europea (Irlanda). Alcuni fornitori sono società statunitensi -- in particolare il fornitore del modello AI, quello dell'hosting e quello dei pagamenti -- e per quei trasferimenti valgono il Data Privacy Framework UE-USA (art. 45 GDPR) per chi vi aderisce e, in ogni caso, le clausole contrattuali standard approvate dalla Commissione Europea (art. 46 GDPR).

Le conversazioni con l'assistente

Durante il rapporto, le conversazioni fra i tuoi clienti e l'assistente si cancellano da sole, con il loro testo, 3 mesi dopo l'ultimo messaggio. Vale per ogni attività, sanitaria o no. Gli appuntamenti, i conti, le caparre e le schede dei clienti non si toccano. Prima di allora puoi cancellarle tu, da ogni conversazione o insieme alla scheda del cliente.

Alla fine del rapporto

Quando chiudi il tuo account, smettiamo subito di usare i dati per tuo conto (niente pagina, prenotazioni o messaggi ai tuoi clienti): li conserviamo solo per permetterti di annullare la chiusura o di scaricarli, e li cancelliamo 30 giorni dopo: i dati dei tuoi clienti, gli appuntamenti, i conti e i dati della cassa, il registro delle modifiche, le recensioni, le foto caricate e la tua pagina pubblica. In quei 30 giorni puoi annullare la chiusura; se ci chiedi di cancellarli subito, lo facciamo appena verificata la richiesta, e comunque entro un mese. Un account sul piano Free non usato per 24 mesi lo cancelliamo allo stesso modo, dopo averti scritto 60 e 30 giorni prima. La cancellazione è definitiva e non recuperabile. Conservare i documenti fiscali della tua attività per il tempo che chiede la legge resta un tuo obbligo. Puoi esportare i dati (clienti con le note, appuntamenti, servizi e incassi) in qualunque momento prima, da Impostazioni, I tuoi dati; se prima della chiusura ti serve altro, te lo mandiamo in un file.

Sopravvivono solo cose che riguardano te come nostro cliente, non i tuoi clienti: i dati e i documenti fiscali del tuo abbonamento, che la legge italiana ci obbliga a conservare per 10 anni; il registro dei nostri interventi tecnici (data, tipo di intervento, nome e indirizzo web dell'attività, qualche numero riassuntivo); le richieste di funzioni che ci hai mandato e, se eri arrivato da un invito, la traccia di quell'invito, senza il collegamento alla tua attività. I dati dei tuoi clienti possono restare ancora per qualche settimana nelle copie di sicurezza cifrate del database: a ogni copia nuova cancelliamo quelle più vecchie di 30 giorni. Il dettaglio è nell' informativa privacy.

Contatti

Per qualunque questione relativa a questo accordo: privacy@limea.it.