Informativa privacy

Ultimo aggiornamento: 12 novembre 2026

La presente informativa spiega quali dati personali tratta Slotora quando si visita il nostro sito web slotora.io, ci si registra come salone, studio o professionista, si utilizza la nostra applicazione web o la nostra app per iOS e Android, si accede all’area clienti «I miei appuntamenti» o ci si candida come modella o modello tramite la ricerca di modelli. Contiene le informazioni richieste dagli articoli 13 e 14 del Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR), e tiene conto del Codice in materia di protezione dei dati personali (D.Lgs. 30 giugno 2003, n. 196, come modificato dal D.Lgs. 10 agosto 2018, n. 101, di seguito «Codice privacy»).

1. Titolare del trattamento

Il titolare del trattamento, ai sensi dell’articolo 4, punto 7, del GDPR, è:

Belavin Limited, che opera con il nome commerciale «Slotora», con sede legale in 6 Salstar Close, Birmingham B6 4PP, Regno Unito
Iscritta presso Companies House (Inghilterra e Galles) con il numero 16735157; forma giuridica: società di capitali britannica a responsabilità limitata (Private company limited by shares)
Persone autorizzate a rappresentarla: Béla Gulyás e Anita Gulyás
E-mail: hello@slotora.io · Telefono: +44 7450 771035
Registrata presso l’autorità britannica per la protezione dei dati (Information Commissioner’s Office, ICO) con il numero 00014129250

2. Rappresentante nell’Unione europea

Poiché non abbiamo uno stabilimento nell’Unione europea, abbiamo designato un rappresentante nell’Unione ai sensi dell’articolo 27 del GDPR, al quale ci si può rivolgere per qualsiasi questione relativa alla protezione dei dati: Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Vienna, Austria. È possibile rivolgersi al nostro rappresentante, anche per esercitare i diritti in materia di protezione dei dati, tramite la pagina che Prighter gestisce per noi: https://app.prighter.com/portal/18703347489.

3. Responsabile della protezione dei dati e contatti

Non abbiamo designato un responsabile della protezione dei dati (articolo 37 del GDPR). Per qualsiasi questione relativa alla protezione dei dati e per esercitare i propri diritti si può scrivere a hello@slotora.io, in italiano o in inglese.

4. Due ruoli: quando risponde Slotora e quando il salone

Slotora è un software di prenotazione online e di gestione per saloni. Per i dati che trattiamo per finalità nostre (l’account come salone o come membro di un team, l’utilizzo del sito web e dell’app, la nostra pubblicità, l’accesso all’area clienti e la ricerca di modelli) siamo titolari del trattamento e vale la presente informativa. Quando invece un cliente prenota presso un salone, titolare del trattamento dei dati dell’appuntamento è il salone: il nome, i recapiti, gli appuntamenti, le risposte ai moduli e i messaggi che il salone invia. Slotora tratta tali dati soltanto per conto del salone e secondo le sue istruzioni, come responsabile del trattamento (articolo 28 del GDPR). Quali dati utilizza il salone e per quali finalità lo spiega la sua informativa; i diritti è opportuno esercitarli direttamente presso il salone. Se ci si rivolge a noi, inoltriamo senza ritardo la richiesta al salone.

5. Visita del nostro sito web

Log del server: a ogni visita il browser invia al server i dati tecnicamente necessari (indirizzo IP, data e ora, indirizzo richiesto, pagina visitata in precedenza e informazioni su browser e sistema operativo). Il nostro fornitore di hosting, Netlify, li tratta per servire la pagina e difenderla dagli attacchi; noi li consultiamo solo quando indaghiamo su un errore o un abuso. La base giuridica è l’articolo 6, paragrafo 1, lettera f), del GDPR; il nostro legittimo interesse è il funzionamento sicuro e stabile del sito. I log sono cancellati secondo i tempi del fornitore.
Conteggio anonimo delle visite: sul sito web contiamo le pagine visualizzate senza cookie e senza salvare nulla sul dispositivo. A tal fine formiamo, con l’indirizzo IP e i dati del browser, un valore di controllo con una chiave che cambia ogni giorno; l’indirizzo IP non viene conservato e il valore non consente di identificare nessuno. Cancelliamo questi conteggi dopo 90 giorni, con una pulizia giornaliera. Base giuridica: articolo 6, paragrafo 1, lettera f), del GDPR (interesse: sapere quali pagine vengono lette).
Protezione dai bot: all’accesso, alla registrazione, nella chat per i clienti di una pagina di prenotazione e in alcuni moduli pubblici, Cloudflare Turnstile verifica che a inviare il modulo sia una persona. Cloudflare vede l’indirizzo IP e le caratteristiche tecniche del browser, mai il contenuto del modulo. Base giuridica: articolo 6, paragrafo 1, lettera f), del GDPR (interesse: protezione da attacchi automatizzati e messaggi indesiderati).
Mappe: la mappa di una pagina di prenotazione proviene da OpenStreetMap. Per collocare il segnaposto inviamo a OpenStreetMap l’indirizzo del salone, mai quello del visitatore. Il browser carica la mappa dai server di OpenStreetMap, che, come qualsiasi sito web, vedono l’indirizzo IP. OpenStreetMap agisce sotto la propria responsabilità.
Modulo di contatto: se ci si scrive tramite il modulo di contatto, trattiamo nome, indirizzo e-mail, argomento scelto e messaggio per rispondere. Il modulo ci inoltra il messaggio come e-mail (tramite Resend) alla nostra casella. Base giuridica: articolo 6, paragrafo 1, lettera b), del GDPR se la richiesta riguarda un contratto con noi; altrimenti articolo 6, paragrafo 1, lettera f), del GDPR (interesse: rispondere alle richieste). Cancelliamo il messaggio quando la questione è risolta e non sussiste un obbligo di conservazione.

6. Cookie, memoria locale e consenso

Archiviamo informazioni sul dispositivo o vi accediamo quando è strettamente necessario per fornire il servizio espressamente richiesto e, per il resto, soltanto con il consenso (articolo 122 del Codice privacy; articolo 6, paragrafo 1, lettera a), del GDPR), come indicato dalle Linee guida cookie e altri strumenti di tracciamento del Garante per la protezione dei dati personali del 10 giugno 2021. Il banner nella parte inferiore del sito web e della gestione del salone offre tre pulsanti della stessa dimensione, «Rifiuta», «Solo statistiche» e «Accetta tutto»; nella nostra app solo i primi due, perché lì non chiediamo la misurazione pubblicitaria e il pixel di Meta non viene mai caricato. Finché non si risponde, nulla di tutto ciò viene caricato, e lo scorrimento della pagina non vale come consenso. Conserviamo la risposta nella memoria locale del browser. La si può modificare in qualsiasi momento con il collegamento «Impostazioni cookie» a piè di ogni pagina; la revoca ha effetto dalla pagina successiva e i cookie consentiti vengono eliminati nella misura in cui la nostra pagina può raggiungerli. L’elenco completo dei cookie e delle voci di memoria, con nome e durata, si trova nella nostra informativa sui cookie.

Strettamente necessari (senza consenso): la sessione («session», 30 giorni), la lingua scelta («locale», «NEXT_LOCALE», 1 anno), l’accesso all’area clienti («slotora_guest», 30 giorni) e alla ricerca di modelli («slotora_market», 30 giorni), la protezione durante il collegamento di un account Xero, QuickBooks o Meta (10 minuti), le impostazioni scelte nella gestione del salone (per esempio la vista del calendario) e la risposta al banner dei cookie.
Codice di raccomandazione: se si apre un link con cui un salone ci raccomanda, soltanto la scheda aperta conserva il codice (memoria di sessione «slotora.ref.pending») finché non si risponde al banner. Solo dopo «Solo statistiche» o «Accetta tutto» lo conserviamo per sette giorni nel cookie «ref»; in caso di rifiuto lo cancelliamo. Il codice con cui ci si registra (quello di un salone o di una formatrice) lo conserviamo nell’account, per attribuire la raccomandazione quando si crea il salone (articolo 6, paragrafo 1, lettera b), del GDPR). Il cookie «edu» non viene più creato.
Solo con il consenso alle statistiche («Solo statistiche» o «Accetta tutto»): Google Analytics sul sito web e nella gestione del salone (cookie «_ga», «_ga_…»), per vedere quali pagine sono utili, e quale locandina, codice QR o nostro messaggio ha portato il visitatore («qr», 7 giorni; «slotora.outreach», 30 giorni). Sulla pagina di prenotazione di un salone Google Analytics non è attivo. Google tratta questi dati come nostro responsabile del trattamento.
Solo con «Accetta tutto»: il pixel pubblicitario di Meta (cookie «_fbp», «_fbc») sul sito web e nelle pagine di accesso e registrazione, e la memorizzazione pubblicitaria del tag di Google (cookie «_gcl_…»). Così sappiamo quale nostra pubblicità ha portato un salone che si è registrato. Senza questo consenso la memorizzazione pubblicitaria di Google resta negata e il pixel di Meta non viene caricato. Nella gestione del salone il pixel di Meta è caricato una sola volta, subito dopo la creazione del salone e senza contare le pagine visualizzate, per comunicare quell’evento; la memorizzazione pubblicitaria del tag di Google vale lì anch’essa dopo «Accetta tutto». Sulle pagine di prenotazione nessuno dei due è attivo.
Comunicazioni dal nostro server: se si è scelto «Accetta tutto» o si è spuntata in registrazione la casella sulla misurazione pubblicitaria, conserviamo tale risposta nell’account insieme agli identificativi dei cookie «_fbp», «_fbc» e «_ga». Se in seguito si crea un salone, anche nell’app, il nostro server lo comunica a Google Analytics (Measurement Protocol, con l’identificativo di «_ga»). La registrazione e la creazione del salone sono comunicate inoltre direttamente a Meta (Conversions API), con l’indirizzo e-mail come valore di controllo irreversibile (SHA-256), l’indirizzo IP, i dati del browser, gli identificativi di Meta dei cookie citati, la pagina, il momento e un numero di riferimento dell’evento. Non inviamo mai il nome. Se il consenso è dato più tardi (il banner compare anche nella gestione del salone e nell’app), comunichiamo in quel momento una registrazione e un salone dei sette giorni precedenti. Senza questo consenso non viene comunicato nulla. Per la raccolta e la trasmissione di questi dati a Meta siamo contitolari del trattamento con Meta Platforms Ireland Ltd. (articolo 26 del GDPR); il trattamento successivo presso Meta è di sua esclusiva responsabilità. L’accordo di contitolarità è il «Controller Addendum» di Meta; i diritti possono essere esercitati anche direttamente nei confronti di Meta.

7. Registrazione e account

Per utilizzare Slotora occorre creare un account. La base giuridica è l’articolo 6, paragrafo 1, lettera b), del GDPR (contratto d’uso di Slotora). Senza nome, indirizzo e-mail e password non possiamo creare un account; gli altri dati sono facoltativi, salvo che siano necessari per una funzione che si desidera utilizzare.

Dati dell’account: nome, indirizzo e-mail, password (conservata solo come valore di controllo bcrypt, mai in chiaro), ruolo nel team (titolare, amministrazione, personale) e lingua. Inviamo un link per confermare l’indirizzo e-mail (valido 24 ore); un link per reimpostare la password vale un’ora.
Password sicura: quando si sceglie una password verifichiamo se compare in violazioni di dati note. A tal fine inviamo al servizio Have I Been Pwned soltanto i primi cinque caratteri di un valore di controllo SHA-1 della password; né la password né l’indirizzo e-mail lasciano il nostro server.
Dati dell’impresa: nome del salone e ragione sociale, indirizzo, partita IVA o codice fiscale e l’esito della nostra verifica, servizi, prezzi, orari, immagini, dati identificativi e telefono. Ciò che si pubblica nella pagina di prenotazione è visibile a chiunque.
Origine della registrazione: tramite quale campagna, link o pagina si è arrivati (fonte, mezzo, pagina d’ingresso), nella misura in cui il browser invii tali dati con il modulo di registrazione, e, solo se accettata, la risposta sulla misurazione pubblicitaria con i relativi identificativi (sezione 6). Se in seguito chiediamo come ci si è conosciuti, la risposta è facoltativa. Base giuridica: articolo 6, paragrafo 1, lettera f), del GDPR (interesse: sapere quali canali ci portano registrazioni).
Membri del team: se si invitano colleghe o colleghi, riceviamo il loro nome e indirizzo e-mail (articolo 14 del GDPR) e inviamo loro l’invito. Base giuridica: articolo 6, paragrafo 1, lettere b) e f), del GDPR.
Registri di tracciabilità: le modifiche ad appuntamenti, dati dei clienti, servizi e impostazioni sono registrate con nome, ruolo, indirizzo e-mail e indirizzo IP di chi le effettua (articolo 6, paragrafo 1, lettera f), del GDPR; interesse: tracciabilità e protezione dalle manipolazioni). Registriamo anche gli accessi del nostro personale all’account di un salone, per esempio durante l’assistenza.

8. Acquisti presso Slotora

Slotora è gratuito. Se si acquistano crediti per SMS o funzioni di IA, Stripe elabora il pagamento sul web; i dati della carta li riceve solo Stripe. Il receptionist telefonico con IA e i relativi pacchetti di minuti non sono offerti in Italia. Nell’app si acquista tramite Apple o Google; lì il venditore è il negozio e noi riceviamo soltanto la conferma dell’acquisto. Conserviamo importo, momento, Paese, trattamento fiscale applicato e, se acquista un’impresa dell’UE senza IVA (inversione contabile), la partita IVA e la ragione sociale della fattura come prova. Basi giuridiche: articolo 6, paragrafo 1, lettera b), del GDPR (contratto) e articolo 6, paragrafo 1, lettera c), del GDPR (obblighi di registrazione fiscale secondo il diritto britannico).

8a. Obblighi di comunicazione dei gestori di piattaforme (DAC7 e normativa britannica)

Le norme fiscali sulle piattaforme digitali (nell’Unione europea, la Direttiva (UE) 2021/514, DAC7, attuata in Italia dal D.Lgs. 1° marzo 2023, n. 32; nel Regno Unito, le Platform Operators (Due Diligence and Reporting Requirements) Regulations 2023) obbligano il gestore di una piattaforma tramite la quale si prenotano servizi a identificare le imprese che li offrono e a comunicare ogni anno determinati dati su di esse a un’autorità fiscale. Poiché i clienti prenotano i servizi dei saloni tramite Slotora e Slotora conosce il prezzo prenotato, queste norme si applicano a Slotora dal 2026. Riguardano solo l’impresa in quanto venditore: un profilo fiscale per impresa, non per membro del team, e nessun dato dei suoi clienti.

Che cosa chiediamo: la forma giuridica (impresa individuale, società di capitali, società di persone o altra), il nome o la ragione sociale, l’indirizzo principale (per un’impresa individuale, la residenza), lo Stato di residenza fiscale, il codice fiscale con lo Stato che lo ha rilasciato, la data di nascita se si tratta di una persona fisica, il numero di iscrizione se si tratta di una società e, solo se esistente, la partita IVA. I dati di cui già disponiamo li precompiliamo affinché l’impresa li confermi o li corregga.
Che cosa determiniamo noi: per trimestre, l’importo totale pagato o accreditato all’impresa per servizi prenotati tramite Slotora, nella misura in cui Slotora lo conosca, il numero di tali servizi, le commissioni, tariffe o imposte trattenute o riscosse da Slotora (Slotora non riceve alcuna parte del prezzo) e, se esiste, l’identificativo del conto sul quale è stato pagato.
Finalità e base giuridica: l’adeguata verifica e la comunicazione obbligatorie; base giuridica, l’articolo 6, paragrafo 1, lettera c), del GDPR (obbligo legale). Per un’impresa alla quale si applicano queste norme, fornire i dati è un obbligo di legge. Se mancano nonostante i nostri solleciti, dovremo limitare funzioni dell’account, nella misura prevista dalla legge, fino a quando li riceveremo; lo comunicheremo prima.
Destinatari: l’autorità fiscale presso cui presentiamo la comunicazione (HM Revenue & Customs, HMRC, l’autorità britannica, oppure l’amministrazione fiscale ungherese, NAV, presso la quale Slotora si registra come gestore di piattaforma extra UE ai sensi della DAC7) e, mediante lo scambio automatico di informazioni, l’autorità dello Stato di residenza; in Italia, l’Agenzia delle Entrate. Nessun altro: i dati non sono usati per pubblicità, non sono inviati a un modello di IA e non sono mostrati nella chat di assistenza.
Protezione: il codice fiscale e la data di nascita sono conservati cifrati, mostrati mascherati (per esempio ****1234) tranne al personale autorizzato alla comunicazione, e ogni accesso e ogni modifica sono registrati.
Conservazione: per il tempo richiesto dagli obblighi di registrazione della NAV e di HMRC (secondo il diritto britannico, cinque anni dalla fine del periodo di comunicazione cui si riferiscono i dati) e comunque finché esiste l’account. Dopo la cancellazione dell’account il profilo fiscale è cancellato cinque anni dopo la fine dell’ultimo periodo comunicato o, se non ne è stato comunicato nessuno, cinque anni dopo la cancellazione dell’account. Una comunicazione presentata è conservata così come presentata; una rettifica è presentata come nuova comunicazione.
Copia per l’impresa: per ogni anno per il quale comunichiamo dati su un’impresa, questa ne riceve copia entro il 31 gennaio dell’anno successivo. La comunicazione di per sé non significa che siano dovute imposte aggiuntive.

8b. Il negozio (Slotora Shop)

Il negozio nella gestione e nell’app mostra prodotti e offerte di negozi partner; l’acquisto avviene presso il partner, sul suo sito web. Per gestire il negozio e capire se è utile registriamo ciò che vi accade, come Slotora, sui nostri utenti. Non utilizziamo a tal fine servizi di tracciamento di terzi né salviamo nulla sul dispositivo.

Che cosa registriamo: l’apertura del negozio, di una categoria, di un prodotto o della pagina di un partner; una ricerca, con il testo inserito e il numero di prodotti trovati; quali schede prodotto sono comparse sullo schermo; la visualizzazione della sezione degli sconti esclusivi o della pagina sul finanziamento; la copia di un codice sconto (annotiamo il partner, mai il codice); il tocco di un pulsante che porta a un partner; la visualizzazione, la chiusura o il tocco dell’avviso di apertura del negozio.
Inoltre: l’impresa, con Paese e settore; il ruolo dell’accesso (titolare, amministrazione, direzione, team); se è avvenuto sul web o nell’app e, nell’app, la versione e se si tratta di iOS o Android; una chiave pseudonima dell’accesso, un valore hash formato con un segreto noto solo a Slotora. Non è mai l’identificativo dell’account, il nome o l’indirizzo e-mail, e ci permette di contare quante persone, e non solo quante imprese, utilizzano il negozio.
Le pagine pubbliche del negozio: se qualcuno le legge senza aver effettuato l’accesso, registriamo gli stessi fatti senza impresa, senza chiave e senza dati del dispositivo o della connessione; i crawler dei motori di ricerca e le anteprime dei link non sono registrati. Con l’accesso effettuato si registra come descritto sopra.
Passaggio a un partner: un link a un partner passa prima da un link di Slotora, che registra il clic come descritto, con il prodotto. La rete di affiliazione del partner riceve un riferimento a quel clic, per poterci dire da quale clic è nato un acquisto; mai il nome, l’indirizzo e-mail o l’identificativo dell’account. Successivamente ci si trova sul sito del partner, dove valgono la sua informativa privacy e le sue regole sui cookie, e il partner o la sua rete di affiliazione possono registrare la visita e l’acquisto per attribuirli a Slotora.
Finalità: gestire e migliorare il negozio (quali categorie vengono aperte, che cosa si cerca senza trovarlo, quali partner sono utili) e riconciliare le liquidazioni delle commissioni delle reti partner con i clic su cui si basano. Non vendiamo questi dati, non li usiamo per pubblicità e non comunichiamo ai partner ciò che è stato visualizzato.
Base giuridica: articolo 6, paragrafo 1, lettera f), del GDPR; il nostro legittimo interesse è gestire e migliorare il negozio e liquidare le commissioni con i partner. Non prevalgono gli interessi dell’interessato: si tratta dell’uso di uno strumento di lavoro da parte dell’impresa nella propria gestione, la persona compare solo come chiave pseudonima e nulla raggiunge servizi di tracciamento di terzi.
Conservazione: i fatti del negozio, 400 giorni (circa tredici mesi, per confrontare un mese con lo stesso mese dell’anno precedente); i clic verso i partner, 24 mesi, perché le commissioni sono confermate o annullate mesi dopo l’acquisto; poi li cancella la nostra pulizia giornaliera. Se l’account viene cancellato, questi dati perdono il collegamento con l’impresa e la chiave non è più attribuibile a nessuno.

8c. Slotora Courses

Su Slotora Courses formatrici e formatori del settore della bellezza vendono corsi online (videocorsi, corsi con tutoraggio e corsi dal vivo) che si acquistano e si seguono su Slotora. Questa sezione riguarda chi acquista o segue un corso, o ci segnala un corso o una recensione.

Chi risponde di cosa: ogni corso è venduto dalla formatrice in nome proprio; il pagamento confluisce sul suo conto Stripe e la fattura è emessa da lei. Dell’acquisto (che cosa è stato acquistato, il prezzo, la fattura e i dati di fatturazione) è titolare del trattamento LA FORMATRICE, e Slotora tratta tali dati per suo conto e secondo le sue istruzioni, come responsabile del trattamento (articolo 28 del GDPR). Slotora è titolare per l’accesso a Slotora Courses e alla biblioteca personale, per l’utilizzo dei corsi sulla nostra piattaforma, per la sicurezza del servizio e la prevenzione degli abusi, per le segnalazioni di corsi e recensioni e le relative decisioni, e per i propri registri fiscali e contabili.
Quali dati: l’accesso (indirizzo e-mail, nome se indicato, lingua e Paese; il link di accesso che inviamo vale una sola volta e per 30 minuti, e ne conserviamo soltanto un valore di controllo; l’accesso crea il cookie «slotora_course_student», 30 giorni); gli acquisti (che cosa e da chi, prezzo, sconto, trattamento fiscale, Paese, partita IVA se si tratta di un’impresa, indirizzo di fatturazione, rate, pagamenti, rimborsi e recessi, la casella sul diritto di recesso spuntata, con testo, lingua e momento, il Paese dell’indirizzo IP e della carta come prova del luogo di residenza richiesta dalla normativa IVA, e gli identificativi di Stripe; i dati della carta li riceve solo Stripe); l’apprendimento (avanzamento, risposte e risultati dei quiz, sessioni dal vivo, elaborati e foto consegnati con la risposta della formatrice, attestati e recensioni, pubblicate con il nome e l’iniziale del cognome); le segnalazioni; i consensi a ricevere novità da una formatrice; le e-mail che inviamo.
Finalità e basi giuridiche: acquistare e seguire un corso, articolo 6, paragrafo 1, lettera b), del GDPR (contratto); conservare la registrazione della vendita e la fattura richieste dalla normativa fiscale e civilistica, articolo 6, paragrafo 1, lettera c), del GDPR (obbligo legale); gestire le segnalazioni di contenuti illeciti e documentare le decisioni di moderazione come richiesto dal Regolamento UE sui servizi digitali, articolo 6, paragrafo 1, lettera c), del GDPR; mantenere sicuro il servizio e prevenire abusi (limiti ai tentativi ripetuti di pagamento e di accesso, e l’indirizzo e-mail sovrapposto al video in visione perché una lezione a pagamento non venga condivisa) e conservare la prova della casella spuntata, articolo 6, paragrafo 1, lettera f), del GDPR; le novità di una formatrice, solo se si spunta la relativa casella, con il consenso (articolo 6, paragrafo 1, lettera a), del GDPR), di cui è titolare la formatrice.
Tempi di conservazione: accesso, biblioteca e apprendimento, finché esiste l’account Courses; le foto consegnate sono cancellate automaticamente 90 giorni dopo la fine dell’accesso al corso, salvo che siano trattenute come prova; la registrazione della vendita e la fattura, per il tempo che la normativa fiscale e civilistica impone al venditore.
I propri dati, gestiti in autonomia: con l’accesso effettuato, la pagina slotora.io/courses/my/data consente di scaricare in un unico file tutto ciò che Slotora Courses conserva sull’indirizzo e-mail e di cancellare l’account Courses. Se non è possibile accedere, basta scrivere a hello@slotora.io. Gli altri diritti (sezione 18) si applicano anche qui.
Destinatari: la formatrice presso cui si è acquistato vede l’acquisto, l’indirizzo e-mail e l’apprendimento nel proprio corso, mai i dati della carta; Stripe elabora il pagamento sul conto Stripe della formatrice; i video sono conservati da Bunny Stream (bunny.net), fornitore con sede in Slovenia, nell’UE, come nostro responsabile, che riceve un indirizzo temporaneo della lezione e mai il nome o l’indirizzo e-mail; le nostre e-mail sono inviate da Resend.

9. E-mail che inviamo ai saloni

E-mail di servizio: conferme, avvisi sull’account, fatture e ricevute dei nostri servizi, avvisi di sicurezza, avvisi sui crediti e modifiche importanti delle nostre condizioni. Base giuridica: articolo 6, paragrafo 1, lettera b), del GDPR; si ricevono finché si ha un account.
Novità e offerte di Slotora: ai titolari di saloni in Italia inviamo per e-mail informazioni su nuove funzioni e offerte di Slotora e sul negozio Slotora Shop con prodotti dei nostri partner soltanto se, al momento della registrazione, hanno spuntato l’apposita casella (facoltativa) e hanno confermato il proprio indirizzo e-mail. Base giuridica: consenso, articolo 130, comma 1, del Codice privacy e articolo 6, paragrafo 1, lettera a), del GDPR. Il consenso si può revocare in qualsiasi momento, gratuitamente, con il link di disiscrizione presente in ciascuna di queste e-mail o scrivendoci; dopo la revoca si ricevono solo e-mail di servizio. Senza consenso non inviamo e-mail promozionali.
Il nostro servizio e-mail, Resend, ci informa se un messaggio è stato consegnato, respinto o segnalato come indesiderato, e lo annotiamo nell’account per non continuare a scrivere a un indirizzo che non riceve nulla (articolo 6, paragrafo 1, lettera f), del GDPR). Ogni e-mail che inviamo contiene un’immagine incorporata del nostro servizio e-mail, tramite la quale Resend sa se e quando è stata aperta con le immagini visibili. La valutiamo, per tipo di e-mail, solo per le nostre comunicazioni di servizio e pubblicitarie ai saloni, per vedere quali vengono lette; nelle e-mail che i clienti ricevono da noi per conto del loro salone la scartiamo. Se il programma di posta non carica automaticamente le immagini, ciò non avviene. Il pulsante delle nostre comunicazioni ai saloni passa da un nostro link, che registra che è stato toccato e da chi prima di portare alla destinazione; gli altri link delle nostre e-mail non li tracciamo.

10. L’app Slotora

L’app per iOS e Android mostra la stessa gestione del sito web. Chiede l’accesso alla fotocamera e alle foto solo quando si allega un’immagine; nulla viene acquisito in background e la libreria fotografica non viene mai esaminata. L’app non contiene identificativi pubblicitari né un SDK di analisi. Poiché mostra la gestione del sito web, il banner dei cookie compare anche nell’app e la risposta vale allo stesso modo: con «Solo statistiche», Google Analytics funziona nella gestione all’interno dell’app come nel browser; se si è già accettata la misurazione pubblicitaria in un browser o in registrazione, il nostro server comunica anche a Meta e a Google la registrazione e la creazione del salone (sezione 6). In caso di rifiuto nulla di tutto ciò è attivo. Se si consentono le notifiche, conserviamo un identificativo push del dispositivo con piattaforma e lingua per inviarle tramite Google Firebase; è cancellato quando si esce dall’account, si disinstalla l’app o si cancella l’account. Base giuridica: articolo 6, paragrafo 1, lettera b), del GDPR; il permesso per le notifiche è facoltativo e negarlo non cambia nient’altro nell’app.

11. Collegare un calendario

Ogni membro del team può collegare il proprio calendario: Google Calendar, il calendario di iCloud o un altro calendario CalDAV. È facoltativo, avviene persona per persona e nessuno può collegare il calendario di un’altra persona. Base giuridica: articolo 6, paragrafo 1, lettera b), del GDPR. L’account del calendario è della persona e resta regolato dal suo contratto con il fornitore.

Google Calendar: consultiamo soltanto le ore in cui la persona è occupata (permesso «calendar.freebusy»), creiamo nel suo account un calendario Slotora e vi annotiamo gli appuntamenti («calendar.app.created»), e mostriamo quale account Google è collegato («openid», «userinfo.email»). Senza un permesso espresso non riceviamo mai titoli, descrizioni, luoghi né invitati degli eventi personali. Solo se lo si sceglie nelle impostazioni del calendario e lo si autorizza nella schermata di consenso di Google («calendar.events.readonly»), Slotora mostra gli eventi nel calendario Slotora della persona con il loro nome («Dentista») invece che solo come tempo occupato. A tal fine leggiamo, per ogni evento del calendario principale di Google, da adesso fin dove si può prenotare presso l’impresa (almeno 60 giorni), esattamente questi campi: il nome (titolo); inizio e fine, e se dura tutto il giorno; se è stato annullato; se mostra la persona come occupata o libera; e, per un invito, lo stato di risposta degli invitati senza nomi né indirizzi, per sapere se l’invito è stato rifiutato. Descrizione, luogo, nomi e indirizzi e-mail degli invitati, allegati e link alle videoconferenze non li chiediamo a Google e non ci arrivano mai; non leggiamo calendari diversi da quello principale e non possiamo modificare alcun evento. Il nome lo vedono solo le persone dell’impresa che possono vedere quel calendario in Slotora (la persona stessa e la titolare o la direzione, che vede il calendario di tutto il team); non compare mai nella pagina di prenotazione, ai clienti né in messaggi, notifiche, promemoria o report, e non è mai scritto nei nostri log. L’uso dei dati delle interfacce di Google è conforme alla Google API Services User Data Policy, compresi i requisiti di uso limitato («Limited Use»).
iCloud e altri calendari CalDAV: il calendario si collega con una password specifica per app creata per Slotora. Questi server ci inviano gli eventi stessi, anche con i titoli; con essi calcoliamo in memoria quando la persona è occupata e conserviamo soltanto inizio e fine di ogni periodo occupato.
Si conservano soltanto il collegamento (indirizzo dell’account, identificativi dei calendari e chiavi di accesso o password per app, cifrate con AES-256-GCM prima di raggiungere la nostra banca dati) e i periodi occupati, e solo finché il collegamento esiste. Se si sono consentiti i nomi degli eventi, un periodo occupato di Google porta anche il nome dell’evento, troncato a 80 caratteri, e l’identificativo Google dell’evento; il nome è conservato solo finché l’evento è futuro o in corso ed è cancellato al più tardi circa quindici minuti dopo la sua fine, mentre il periodo resta. Se si revoca l’accesso nell’account Google, cancelliamo subito tutti i nomi degli eventi; le ore occupate restano finché non si scollega il calendario in Slotora, perché le ore in cui non si è disponibili non vengano offerte all’improvviso ai clienti. Scollegandolo, cancelliamo subito chiavi, collegamento e tutti i periodi occupati con i loro nomi, e revochiamo l’accesso presso Google.
Questi dati non li vendiamo, non li usiamo per pubblicità, non li forniamo ad alcuna funzione di IA né ad alcun addestramento di IA e non li consultiamo, salvo che ci si chieda di correggere un errore, lo richieda la sicurezza o lo imponga la legge. I periodi occupati e i nomi degli eventi non raggiungono mai un’IA, nemmeno Nita. Due funzioni ricevono le disponibilità, cioè la chat per i clienti della pagina di prenotazione e la locandina delle disponibilità; sono le stesse disponibilità che la pagina di prenotazione mostra a chiunque e quindi non includono le ore in cui il calendario mostra la persona come occupata.

12. Funzioni di IA e l’assistente Nita

Slotora offre funzioni di IA facoltative; il modello sottostante è Gemini, di Google. Riceve: ciò che il salone o il suo team inseriscono o fotografano per una funzione avviata da loro stessi (testi per post e campagne, la descrizione della pagina di prenotazione, domande all’assistente Nita con nome, servizi e prezzi del salone, locandine con una foto se aggiunta e, per la locandina delle disponibilità, anche le disponibilità, la foto delle regole del salone o la pagina fotografata dell’agenda cartacea, in cui compaiono nomi, telefoni e trattamenti dei clienti: la foto viene letta e non conservata); le risposte vocali nella configurazione a voce, che Google (Gemini) trascrive come nostro responsabile del trattamento, mentre noi cancelliamo la registrazione subito dopo e non la conserviamo in alcun luogo, usando il testo solo per la configurazione; una bozza di traduzione dei testi propri della pagina di prenotazione; le domande che i clienti scrivono nella chat per i clienti della pagina di prenotazione finché è attiva, insieme a servizi, prezzi, orari, indirizzo e disponibilità; una descrizione della pagina di prenotazione che redigiamo noi, senza incarico, a partire da ciò che la pagina già mostra pubblicamente (nome, settore, località, servizi e prezzi); il commento che qualcuno ha scritto pubblicamente in un gruppo Facebook, quando scriviamo a quella persona a proposito di Slotora; e, automaticamente, il nome di un fornitore presso cui i saloni dicono di acquistare, perché il modello ne trovi il sito web. I dati dei clienti conservati in Slotora (nomi, recapiti, note, allergie e risposte ai moduli) il modello non li riceve mai. Base giuridica: articolo 6, paragrafo 1, lettera b), del GDPR per le funzioni avviate dal salone e articolo 6, paragrafo 1, lettera f), del GDPR per le attività che svolgiamo noi (interesse: pagine di prenotazione che si trovino, farci conoscere da professionisti che non conoscono ancora Slotora e una panoramica dei fornitori). Google non usa i dati per addestrare i propri modelli. Nella chat per i clienti è indicato che risponde un’assistente basata sull’intelligenza artificiale. Il receptionist telefonico con IA non è offerto in Italia.
Domande a Nita: se il salone o il suo team fanno una domanda a Nita, conserviamo la domanda e la risposta mostrata (con il modo in cui la risposta è stata ottenuta, la parte dell’app da cui è venuta la domanda e il tempo impiegato) per 365 giorni, per migliorare le risposte di Nita e per aiutare il salone se contatta l’assistenza. Se la risposta proviene dal calendario, rimuoviamo nomi, indirizzi e-mail e telefoni dei clienti prima di conservarla. Base giuridica: articolo 6, paragrafo 1, lettera f), del GDPR (interesse: un’assistente che risponda bene). I dati sono cancellati con l’account e inclusi nell’esportazione dei dati.

13. Area clienti «I miei appuntamenti»

I clienti dei saloni possono accedere all’area clienti con un link che inviamo al loro indirizzo e-mail e vedervi i propri appuntamenti presso tutti i saloni che usano Slotora, gestirli, recedere da una prenotazione quando ne esiste il diritto e scaricare i propri dati. Per l’accesso (indirizzo e-mail, link di accesso monouso e cookie «slotora_guest» per 30 giorni) il titolare siamo noi; base giuridica: articolo 6, paragrafo 1, lettera b), del GDPR. Dei dati degli appuntamenti visibili lì resta titolare ciascun salone (sezione 4).

14. Ricerca di modelli

Professionisti e centri di formazione possono cercare su Slotora modelle e modelli per appuntamenti di pratica, di portfolio o d’esame. Chi si candida come modella o modello crea un account: nome, indirizzo e-mail, località, zona del codice postale, Paese e, se lo desidera, telefono e password; si può accedere anche con un link via e-mail. La candidatura (risposte, foto e messaggio) la inviamo al professionista che ha pubblicato la ricerca, che la utilizza sotto la propria responsabilità. Se e per che cosa le foto possano essere usate lo decide la persona con un consenso separato. Base giuridica dell’account e dell’intermediazione: articolo 6, paragrafo 1, lettera b), del GDPR; delle foto, articolo 6, paragrafo 1, lettera a), del GDPR. Si può chiedere in qualsiasi momento la cancellazione dell’account.

15. Destinatari e responsabili del trattamento

Non vendiamo dati personali né li cediamo per pubblicità altrui. Ci avvaliamo dei seguenti fornitori come responsabili del trattamento; ciascuno tratta i dati solo per nostro conto, secondo le nostre istruzioni e sulla base di un contratto conforme all’articolo 28 del GDPR, nella maggior parte dei casi le condizioni standard del fornitore:

Neon: hosting della banca dati. Dati: tutti i dati conservati nel servizio. Ubicazione: Regno Unito (Londra, data center di Amazon Web Services, regione eu-west-2); fornitore con sede negli Stati Uniti. Quando: sempre.
Netlify: hosting dell’applicazione, distribuzione tramite una rete di distribuzione dei contenuti, conservazione delle immagini caricate e attività pianificate in background. Dati: tutti i dati durante la trasmissione; le immagini caricate; log tecnici. Ubicazione: rete mondiale di server; fornitore con sede negli Stati Uniti. Quando: sempre.
Resend: invio di e-mail (conferme di appuntamento, promemoria, e-mail relative all’account e nostre comunicazioni ai saloni). Dati: nome e indirizzo e-mail dei destinatari e contenuto del messaggio; se e quando un messaggio è stato consegnato, respinto o aperto (la misurazione delle aperture è attiva per il nostro dominio di invio; le aperture dei messaggi ai clienti di un salone vengono scartate). Ubicazione: fornitore con sede negli Stati Uniti. Quando: sempre.
BulkGate: invio di SMS. Dati: nome e numero di telefono dei destinatari e contenuto del messaggio. Ubicazione: fornitore con sede nell’Unione europea. Quando: solo se il salone attiva l’invio di SMS, anche verso numeri italiani (soltanto promemoria e conferme, mai marketing).
Twilio: numero al quale i clienti possono rispondere via SMS; canale alternativo quando un SMS non può essere inviato tramite BulkGate; numero e linea telefonica del receptionist telefonico con IA nel Regno Unito. Dati: numeri di telefono, contenuto dei messaggi e dati di connessione delle chiamate. Ubicazione: fornitore con sede negli Stati Uniti. Quando: solo se il salone attiva gli SMS o il receptionist telefonico con IA.
Retell AI: receptionist telefonico con IA: risponde alle chiamate per conto del salone (non offerto in Italia). Dati: voce e numero di telefono di chi chiama, in tempo reale; a noi restituisce soltanto un riassunto scritto della conversazione e non viene conservata alcuna registrazione. Ubicazione: fornitore con sede negli Stati Uniti. Quando: solo se il salone attiva il receptionist telefonico con IA.
Zadarma: numero del receptionist telefonico con IA in Germania, Austria, Ungheria, Romania, Polonia e Irlanda. Dati: prova dell’iscrizione del salone e, a seconda del Paese, una prova di domicilio (in Germania, una bolletta) o una foto della titolare con il suo documento d’identità (in Austria), poiché il numero è intestato al salone; numero di telefono e voce di chi chiama, durante la chiamata. Ubicazione: fornitore europeo. Quando: solo se un salone di uno di quei Paesi attiva il receptionist telefonico con IA.
Cloudflare: Turnstile, la verifica degli accessi automatizzati (bot) all’accesso, alla registrazione, nella chat per i clienti della pagina di prenotazione e in alcuni moduli pubblici. Dati: indirizzo IP e caratteristiche tecniche del browser; mai il contenuto del modulo. Ubicazione: rete mondiale di server; fornitore con sede negli Stati Uniti. Quando: sempre (nella chat per i clienti, solo finché il salone la mantiene attiva).
Google Firebase: notifiche push dell’app Slotora. Dati: identificativo push del dispositivo, piattaforma e lingua del dispositivo e contenuto della notifica. Ubicazione: fornitore con sede negli Stati Uniti. Quando: solo se un membro del team consente le notifiche nell’app.
Google (Gemini): funzioni di IA avviate dal salone stesso, la chat per i clienti della pagina di prenotazione e alcune attività che Slotora svolge di propria iniziativa (bozze di descrizioni delle pagine di prenotazione, ricerca dei siti web dei fornitori). Dati: ciò che il salone inserisce o fotografa per una funzione, compresa la pagina fotografata di un’agenda cartacea con nomi, telefoni e trattamenti dei clienti (la foto non viene conservata); le domande che i clienti scrivono nella chat, con servizi, prezzi, orari, indirizzo e disponibilità del salone; mai i dati dei clienti conservati in Slotora (nomi, recapiti, note, dati sanitari, risposte ai moduli); non sono utilizzati per addestrare modelli di IA. Ubicazione: fornitore con sede negli Stati Uniti. Quando: quando il salone utilizza una funzione di IA, finché la chat per i clienti è attiva e nelle attività di Slotora indicate.
Stripe: elaborazione dei pagamenti: acconti, pagamenti anticipati e penali per mancata presentazione dei clienti del salone; acquisti del salone presso Slotora. Dati: dati della carta (solo presso Stripe, mai presso Slotora), nome e indirizzo e-mail di chi paga e importi. Ubicazione: fornitore con sede negli Stati Uniti e nell’Unione europea. Quando: quando il salone accetta pagamenti con carta tramite Slotora e, separatamente, quando acquista qualcosa da Slotora.
Mollie: elaborazione dei pagamenti per i saloni che scelgono Mollie: acconti e pagamenti anticipati dei clienti del salone. Dati: dati della carta e di altri strumenti di pagamento (solo presso Mollie, mai presso Slotora), nome e indirizzo e-mail di chi paga e importi. Ubicazione: fornitore con sede nell’Unione europea (Mollie B.V., Keizersgracht 121, 1015 CJ Amsterdam, Paesi Bassi; Camera di commercio olandese n. 30204462; istituto di moneta elettronica autorizzato e vigilato da De Nederlandsche Bank); nessun trasferimento verso Paesi terzi. Quando: solo se il salone collega il proprio conto Mollie e accetta con esso pagamenti tramite Slotora.
SumUp: elaborazione dei pagamenti per i saloni che collegano SumUp: acconti e pagamenti anticipati dei clienti del salone. Dati: dati della carta (solo presso SumUp, mai presso Slotora), nome e indirizzo e-mail di chi paga e importi. Ubicazione: fornitore europeo con società nell’Unione europea e nel Regno Unito (per il Regno Unito esiste una decisione di adeguatezza della Commissione europea). Quando: solo se il salone collega il proprio conto SumUp e accetta con esso acconti o pagamenti anticipati tramite Slotora.

Per Slotora Courses ci avvaliamo inoltre di Bunny Stream (bunny.net) come responsabile del trattamento, per conservare e riprodurre i video dei corsi; fornitore con sede in Slovenia, nell’UE (sezione 8c).

Altri destinatari: Google e Meta, nei limiti del consenso di cui alla sezione 6; Apple e Google come negozi di app per gli acquisti nell’app; OpenStreetMap per la mappa (sezione 5). I servizi seguenti non sono contrattati da Slotora, ma dal salone o dal membro del team, con il proprio account e il proprio contratto; non ricevono nulla finché non sono collegati:

Meta (Facebook, Instagram e WhatsApp): un promemoria via WhatsApp contiene il nome e il numero di telefono del cliente
un programma di fatturazione (Számlázz.hu, Billingo, Xero o QuickBooks; in Italia al momento non ne è offerto nessuno): una fattura contiene il nome e l’indirizzo di fatturazione
Google Calendar, il calendario di iCloud o un altro calendario CalDAV e Microsoft 365 (Outlook): solo se un membro del team collega il proprio calendario; Slotora vi annota gli appuntamenti (nome del cliente e servizio prenotato, mai il numero di telefono)

Alle autorità forniamo dati solo quando vi siamo obbligati per legge. Esaminiamo la legittimità di ogni richiesta, ci opponiamo a quelle illegittime o eccessive, forniamo solo lo stretto necessario, documentiamo ogni caso e informiamo il salone interessato, salvo che la legge lo vieti.

16. Dove sono conservati i dati e trasferimenti internazionali

Abbiamo sede nel Regno Unito e la nostra banca dati si trova a Londra: la ospita Neon in un data center di Amazon Web Services della regione eu-west-2 (Londra, Regno Unito), e lì sono conservati account, appuntamenti, schede clienti e gli altri dati del servizio. L’applicazione e le immagini caricate sono servite tramite la rete mondiale di server di Netlify, che consegna ogni pagina dal server più vicino a chi la apre; l’ubicazione di ciascun fornitore è indicata nella sezione 15. Per il Regno Unito la Commissione europea ha deciso che offre un livello di protezione adeguato (articolo 45 del GDPR). Diversi fornitori citati hanno sede negli Stati Uniti o vi trattano dati. Tali trasferimenti si basano sulla certificazione del fornitore ai sensi del Quadro UE-USA per la protezione dei dati personali (decisione di adeguatezza della Commissione del 10 luglio 2023) o, in mancanza, sulle clausole contrattuali tipo della Commissione (articolo 46, paragrafo 2, lettera c), del GDPR) incluse nelle condizioni del fornitore. Se ne può chiedere copia.

17. Tempi di conservazione

Dati dell’account e dell’impresa: finché esiste l’account. Se si cancella l’account nelle impostazioni, è cancellato subito e definitivamente. Se si chiede la cancellazione via e-mail, rimuoviamo subito il salone dalla directory di Slotora e cancelliamo l’account dopo 30 giorni; in quel periodo si può ritirare la richiesta.
Dopo la cancellazione conserviamo una nota di cancellazione: nome del salone e indirizzo della pagina di prenotazione, Paese, data di creazione, un valore di controllo troncato dell’indirizzo e-mail di accesso (sufficiente per confermare che si trattava di quell’account, insufficiente per ricostruire l’indirizzo), il numero di registrazioni e i totali dei pagamenti senza voci né nomi. Serve a dimostrare la corretta cancellazione e per i nostri obblighi fiscali.
Registrazioni degli acquisti presso Slotora: sei anni dalla fine dell’esercizio, come richiede il diritto tributario britannico; vi eliminiamo l’identità dove non è necessaria.
Dati per gli obblighi di comunicazione dei gestori di piattaforme: come descritto nella sezione 8a.
Negozio: i fatti del negozio, 400 giorni; i clic verso i partner, 24 mesi, come descritto nella sezione 8b.
Slotora Courses: accesso, biblioteca e apprendimento, finché esiste l’account Courses; le foto consegnate, fino a 90 giorni dopo la fine dell’accesso al corso; le registrazioni delle vendite e le fatture, per il tempo richiesto dalla normativa fiscale e civilistica, come descritto nella sezione 8c.
Domande a Nita: 365 giorni. Conteggio anonimo delle visite, link di accesso già usati, log delle attività in background e contatori per limitare i tentativi di accesso: dopo 90 giorni, con la pulizia giornaliera.
Se alla cancellazione dell’account si chiede di essere avvisati quando sarà risolto un problema segnalato, conserviamo l’indirizzo e-mail solo a tal fine e lo cancelliamo al più tardi 30 giorni dopo quell’unico messaggio e comunque 12 mesi dopo la richiesta.
Se alla cancellazione dell’account si sceglie un motivo legato alla configurazione e si chiede aiuto per la configurazione, conserviamo indirizzo e-mail, telefono, nome del salone, Paese e motivo solo per ricontattare a tal fine, e li cancelliamo dopo 30 giorni.
Copie di sicurezza: i dati cancellati possono restare in copie di sicurezza cifrate fino alla scadenza del periodo di backup del nostro fornitore di banca dati; non vengono ripristinati per recuperare dati cancellati.

18. I diritti dell’interessato

Diritto di accesso ai dati che ci riguardano (articolo 15 del GDPR), di rettifica (articolo 16), di cancellazione (articolo 17), di limitazione del trattamento (articolo 18) e alla portabilità dei dati (articolo 20). I propri dati si possono scaricare in qualsiasi momento, gratuitamente, dalla gestione, come file CSV o JSON.
Revocare un consenso in qualsiasi momento, con effetto per il futuro (articolo 7, paragrafo 3, del GDPR); la liceità del trattamento precedente alla revoca non è pregiudicata.
Proporre reclamo a un’autorità di controllo (articolo 77 del GDPR), in particolare nello Stato membro di residenza abituale, del luogo di lavoro o della presunta violazione. In Italia è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, secondo le modalità degli articoli 141 e seguenti del Codice privacy. Nel Regno Unito è competente l’Information Commissioner’s Office (ico.org.uk), presso cui siamo registrati con il numero 00014129250.
I diritti riferiti ai dati personali di persone decedute possono essere esercitati da chi ha un interesse proprio, agisce a tutela dell’interessato in qualità di suo mandatario o per ragioni familiari meritevoli di protezione (articolo 2-terdecies del Codice privacy).
Per esercitare i diritti basta un’e-mail a hello@slotora.io. Rispondiamo entro un mese (articolo 12, paragrafo 3, del GDPR) e possiamo chiedere di dimostrare la propria identità in caso di dubbi ragionevoli.

19. Diritto di opposizione (articolo 21 del GDPR)

Quando trattiamo dati sulla base di un legittimo interesse (articolo 6, paragrafo 1, lettera f), del GDPR), l’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare. Smetteremo di trattare i dati, salvo che dimostriamo l’esistenza di motivi legittimi cogenti che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato, oppure che il trattamento serva per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. Ci si può opporre in qualsiasi momento, senza indicare motivi, all’uso dei dati per finalità di marketing diretto; da quel momento non li usiamo più a tale fine. Basta un messaggio senza formalità a hello@slotora.io o il link di disiscrizione presente in ogni e-mail promozionale.

20. Nessuna decisione automatizzata

Non adottiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici sull’interessato o che incidano in modo analogo significativamente sulla sua persona (articolo 22 del GDPR).

21. Minori

Slotora si rivolge alle imprese e non è destinato ai minori di 16 anni. Non raccogliamo consapevolmente dati di minori.

22. Sicurezza

Proteggiamo i dati con trasmissione cifrata (HTTPS con HSTS), password conservate solo come valori di controllo, cifratura aggiuntiva delle chiavi di accesso a servizi di terzi (AES-256-GCM), ruoli con i soli permessi necessari, una separazione rigorosa dei dati di ciascun salone, che verifichiamo con test automatizzati di attacco, e registri che non possono essere modificati successivamente. Su richiesta forniamo una descrizione dettagliata di queste misure tecniche e organizzative.

23. Modifiche della presente informativa

Aggiorniamo la presente informativa quando cambiano il nostro servizio o la legge. Delle modifiche importanti informiamo via e-mail gli utenti registrati. Sede del titolare: 6 Salstar Close, Birmingham B6 4PP, Regno Unito. Ultimo aggiornamento: 12 novembre 2026.