Informativa sulla privacy.

Versione 1.1, in vigore dal 02 agosto 2026

Ai sensi degli Artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 (Codice Privacy).

1. Titolare del trattamento

SYSTEMA360 S.R.L.
Centro Direzionale Via D. Di Giura, Centro Direzionale SNC, 85100 Potenza (PZ), Italia
P.IVA / C.F. 02227730765 · REA PZ-222676
Email: info@systema360.it
PEC: systema360@pec.it
Telefono: 3520093964

2. Chi tratta i tuoi dati quando usi Snipsy

Snipsy è una piattaforma che consente ai saloni di barbiere di gestire appuntamenti, clienti, agenda e pagamenti. A seconda di come interagisci con Snipsy, il ruolo di Systema360 cambia:

Se sei il proprietario di un salone, un barbiere o un amministratore che usa la piattaforma per gestire il tuo lavoro, Systema360 è Titolare del Trattamento dei tuoi dati (cfr. sezioni 3-8).
Se sei un cliente finale che prenota o è registrato presso un salone che usa Snipsy, il Titolare è il salone; Systema360 tratta i tuoi dati come Responsabile del Trattamento per conto del salone, ai sensi dell'Art. 28 GDPR (cfr. sezione 9).

3. Categorie di dati che trattiamo come Titolare

3.1 Dati di registrazione e account

Nome, email, password (memorizzata solo come hash non reversibile), ruolo (proprietario salone / barbiere / amministratore).

3.2 Dati di autenticazione avanzata

Segreto TOTP (per autenticazione a due fattori) e codici di recupero, entrambi memorizzati cifrati.

3.3 Dati tecnici di sessione e sicurezza

Indirizzo IP, user-agent del browser, timestamp di login/logout, eventi di blocco per tentativi multipli falliti.

3.4 Dati di supporto

Oggetto, messaggi e allegati dei ticket di assistenza da te aperti.

3.5 Dati di richiesta accesso / lista d'attesa

Se ci hai lasciato i tuoi dati per essere ricontattato (ad esempio durante la fase di early access o dalla demo): email, nome del salone, città, fonte di provenienza.

3.6 Preferenze privacy

Registro dei tuoi consensi su cookie e comunicazioni, con timestamp e versione dell'informativa accettata.

4. Finalità e basi giuridiche

Erogazione del servizio SaaS Snipsy (registrazione, login, gestione profilo): Art. 6(1)(b) GDPR, esecuzione del contratto.
Sicurezza della piattaforma (MFA, rate limiting, log anti-abuso): Art. 6(1)(f) GDPR, legittimo interesse + Art. 6(1)(c), obblighi Art. 32 GDPR.
Supporto clienti via ticket: Art. 6(1)(b) GDPR, esecuzione del contratto.
Gestione delle richieste di contatto e di accesso al servizio: Art. 6(1)(b) GDPR, misure pre-contrattuali.
Comunicazioni di servizio (reset password, verifica email, notifiche account): Art. 6(1)(b) GDPR.
Comunicazioni commerciali e marketing: Art. 6(1)(a) GDPR, consenso, revocabile in qualsiasi momento.
Adempimenti contabili e fiscali: Art. 6(1)(c) GDPR, obblighi di legge.
Difesa di diritti in giudizio: Art. 6(1)(f) GDPR, legittimo interesse.

Non effettuiamo processi decisionali interamente automatizzati con effetti giuridici (Art. 22 GDPR) né attività di profilazione comportamentale.

5. Periodi di conservazione

Account utenti: durata del rapporto + 24 mesi dalla cessazione, poi anonimizzazione.
Log di sicurezza: 6 mesi rolling (24 mesi solo per eventi connessi a incidenti documentati).
Token per le notifiche push e relativi metadati tecnici: fino al logout dall'app, alla revoca del token o alla segnalazione di token non più valido da parte di Apple.
Ticket di supporto: durata del rapporto + 24 mesi.
Richieste lista d'attesa: 12 mesi, o entro 30 giorni dalla tua richiesta di cancellazione.
Registro consensi: 24 mesi dal consenso + 12 mesi di archiviazione probatoria.
Fatture e documenti contabili: 10 anni (Art. 2220 c.c.).

6. Destinatari e sub-responsabili

I tuoi dati come utente Snipsy sono accessibili:

al personale autorizzato di Systema360 (sviluppatori, sistemisti, supporto, amministrazione), vincolato da obbligo di riservatezza;
ai fornitori tecnici che elaborano dati per nostro conto come Responsabili esterni (Art. 28).

Elenco dei responsabili esterni attivi:

Aruba S.p.A.: hosting application + database (Cloud VPS) e email transazionale (SMTP smtps.aruba.it). Sede Italia, niente trasferimenti fuori dallo Spazio Economico Europeo. DPA disciplinato dalle condizioni Aruba ex Art. 28 GDPR.
Stripe Payments Europe, Ltd. / Stripe, Inc.: gateway pagamenti. Sede Irlanda (entità EU) + USA (entità corporate). Trasferimento extra-SEE coperto da Standard Contractual Clauses (SCC) 2021 modulo C2P + DPA Stripe (stripe.com/legal/dpa). Per i pagamenti dei clienti finali ai saloni adottiamo il modello Stripe Connect Standard: il pagamento va direttamente sull'account Stripe del salone (l'Esercente è il merchant), Snipsy resta interfaccia tecnica.
TeamSystem S.p.A. / Fatture in Cloud: emissione e gestione delle fatture elettroniche relative al canone SaaS. Tratta i dati fiscali e di fatturazione dell'Esercente secondo il proprio MDPA ex Art. 28 GDPR (fattureincloud.it/terms).
Apple Distribution International Ltd. / Apple Inc.: consegna delle notifiche tramite Apple Push Notification service (APNs). Riceve il token univoco dell'app e del dispositivo, il contenuto della notifica e i dati tecnici necessari alla consegna, secondo l'Apple Developer Program License Agreement e la privacy policy Apple (apple.com/legal/privacy).

I font del sito sono serviti da Bunny Fonts (BunnyWay d.o.o., Slovenia, UE): quando visiti il sito il tuo browser richiede i file dei font ai suoi server, che ricevono il tuo indirizzo IP come parte tecnica della richiesta. Bunny Fonts non installa cookie e dichiara di non registrare né conservare gli indirizzi IP (bunny.net/privacy).

L'elenco completo e aggiornato è pubblicato nella pagina sub-processori e replicato nel registro dei trattamenti. Se in futuro aggiungessimo nuovi fornitori, ti forniremo preavviso tramite aggiornamento di questa informativa e via email. I tuoi dati non sono venduti né ceduti a terzi per finalità di marketing.

7. Trasferimenti extra-SEE

I servizi Stripe e Apple possono comportare trattamenti tecnici al di fuori dello Spazio Economico Europeo. Stripe disciplina i trasferimenti tramite le Clausole Contrattuali Tipo (SCC) adottate con Decisione UE 2021/914 e le misure supplementari previste dal proprio DPA. Per gli utenti dello Spazio Economico Europeo, i servizi Apple fanno riferimento ad Apple Distribution International Ltd. in Irlanda; gli eventuali trasferimenti internazionali dichiarati da Apple sono disciplinati da SCC. TeamSystem dichiara che i dati di Fatture in Cloud non sono generalmente trasferiti fuori dall'Unione Europea e applica le garanzie degli Artt. 45 e 46 GDPR quando un trasferimento è necessario. Hosting, database ed email transazionali Aruba restano in Italia.

8. I tuoi diritti (Artt. 15-22 GDPR)

Hai il diritto di:

accedere ai tuoi dati (Art. 15) e ottenerne copia;
rettificare dati inesatti o incompleti (Art. 16);
cancellare i tuoi dati (Art. 17), nei limiti degli obblighi di legge;
limitare il trattamento (Art. 18);
portabilità dei dati (Art. 20) in formato strutturato e leggibile automaticamente (JSON/CSV);
opporti al trattamento fondato su legittimo interesse (Art. 21);
revocare in qualsiasi momento i consensi prestati (Art. 7(3)), senza pregiudizio della liceità del trattamento precedente alla revoca;
proporre reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it, Piazza Venezia 11, 00187 Roma).

Per esercitare i diritti scrivi a info@systema360.it o via PEC a systema360@pec.it specificando il diritto che intendi esercitare, i dati su cui verte la richiesta e allegando un documento d'identità in corso di validità. Ti risponderemo entro 30 giorni dalla ricezione, prorogabili di ulteriori 60 giorni per richieste particolarmente complesse.

9. Trattamenti in qualità di Responsabile per conto dei saloni

Quando un salone ("Esercente") utilizza Snipsy per gestire i propri clienti, il salone è il Titolare del trattamento dei dati dei clienti finali e Systema360 agisce come Responsabile ex Art. 28 GDPR.

9.1 Cosa facciamo in qualità di Responsabile

memorizziamo l'anagrafica cliente (nome, cognome, telefono, email, data di nascita, note), lo storico degli appuntamenti e le preferenze;
elaboriamo i pagamenti tramite Stripe;
gestiamo la coda walk-in, le ricerche effettuate nell'app e le interazioni con appuntamenti e prenotazioni;
gestiamo le notifiche connesse agli appuntamenti.

9.2 Cosa non facciamo

non utilizziamo i dati dei clienti finali per finalità proprie di Systema360 (né marketing, né analytics aggregati identificativi);
non cediamo questi dati a terzi;
non profiliamo i comportamenti dei clienti finali.

9.3 Come esercitare i tuoi diritti se sei cliente di un salone

Se sei cliente finale di un salone che usa Snipsy, devi rivolgerti direttamente al salone (Titolare). Il salone è tenuto a risponderti; Systema360 collabora tecnicamente all'evasione della richiesta nei termini previsti dal DPA. Se incontri difficoltà o non ricevi risposta dal salone, puoi contattarci a info@systema360.it: ti aiuteremo a individuare il titolare corretto e, ove possibile, solleciteremo il salone.

9.4 App native e notifiche push

Quando usi le app Snipsy, trattiamo l'indirizzo email e l'identificativo dell'account per autenticarti. Le funzioni di prenotazione possono raccogliere il numero di telefono e le note che scegli di inserire. Le ricerche dei saloni e le azioni effettuate su appuntamenti e coda sono associate all'account per erogare il servizio richiesto.

Se autorizzi le notifiche nel sistema operativo, l'app invia al server un token APNs univoco per quella combinazione di app e dispositivo, insieme a piattaforma, versione dell'app e lingua del dispositivo. Questi dati servono esclusivamente a consegnare notifiche di servizio e a mantenere compatibile il canale push. Non sono usati per pubblicità, marketing, profilazione o tracciamento tra app e siti di terzi.

Il contenuto delle notifiche e il token sono trasmessi ad Apple Push Notification service per la consegna. Puoi negare o revocare il permesso dalle impostazioni del dispositivo. Al logout l'app richiede la rimozione del token dal server; il token viene rimosso anche quando Apple lo segnala come non più valido.

Coda walk-in

Quando usi il check-in self-service (QR nel salone o link diretto), ti chiediamo nome e iniziale del cognome. Sulla pagina pubblica appari come iniziali (es. "G. B.") + numero turno; il nome intero resta visibile solo al personale del salone. Per una spiegazione completa del funzionamento (stati, stima tempi, cookie, diritto alla cancellazione) vedi la guida dedicata.

Base giuridica: consenso esplicito per il check-in self-service (Art. 6(1)(a) GDPR), legittimo interesse del titolare per il check-in effettuato dallo staff (limitato a uso interno).

Conservazione: 90 giorni di default dall'ultimo evento sulla riga (serviced, left, no_show). Il salone può configurare un periodo più breve (minimo 7 giorni). Dopo la scadenza, nome e identificatori vengono azzerati; restano solo dati aggregati anonimi (posizione, timestamp, stato).

Diritto alla cancellazione: puoi cancellare la tua presenza in coda in qualsiasi momento. Se hai un account Snipsy, dalla pagina /profilo/coda. Se hai usato il check-in come ospite, dal link "Rimuovi i miei dati" sulla pagina della coda finché il cookie del check-in è presente nel browser. In alternativa scrivi al salone o a info@systema360.it.

Lista d'attesa

Quando ti iscrivi alla lista d'attesa di uno slot, conserviamo l'iscrizione (data slot, barbiere, servizio, stato) finché è attiva e fino a 90 giorni dopo la sua chiusura, dopodiché viene marcata come anonimizzata. I dati personali del tuo profilo restano gestiti secondo le regole già documentate per le prenotazioni.

10. Cookie e tecnologie simili

L'utilizzo di cookie è disciplinato dalla nostra Cookie policy e dal banner presente al primo accesso, conforme alle Linee Guida del Garante del 10 giugno 2021. Puoi aggiornare le tue preferenze in qualsiasi momento dalla pagina Preferenze privacy.

11. Sicurezza

Adottiamo misure tecniche e organizzative adeguate ex Art. 32 GDPR: crittografia in transito (TLS 1.2+) e at-rest; autenticazione forte (password policy robusta + MFA TOTP obbligatoria in area amministrativa); rate limiting e throttling anti-brute force; controllo accessi basato su ruoli; backup cifrati e test periodici di ripristino; runbook di risposta agli incidenti con obiettivo di notifica al Garante entro 72 ore dal rilevamento di un data breach (Art. 33 GDPR).

12. Minori

Snipsy è rivolto esclusivamente a persone maggiorenni (≥18 anni). Non raccogliamo consapevolmente dati di minori nei trattamenti in cui siamo Titolari. Per i trattamenti in cui Systema360 è Responsabile (dati dei clienti finali dei saloni), la responsabilità di verificare l'età ricade sul salone (Titolare).

13. Modifiche

Le modifiche sostanziali saranno comunicate via email a tutti gli utenti registrati almeno 30 giorni prima dell'entrata in vigore e con evidenza in pagina al prossimo accesso. La versione in vigore è sempre disponibile su /privacy.

14. Foro competente

Salvo quanto inderogabilmente previsto a tutela del consumatore, si applica la legge italiana. Foro convenzionale: Potenza.