Privacy Policy

1. Premessa e ambito di applicazione

La presente Informativa illustra come IABADUU S.r.l. tratta i dati personali raccolti tramite il portale www.ollylife.it (di seguito la "Piattaforma"), conformemente al Regolamento (UE) 2016/679 ("GDPR"), al D.lgs. 196/2003 ("Codice Privacy") e ai provvedimenti del Garante per la Protezione dei Dati Personali.

L'Informativa si rivolge a quattro categorie di interessati, per ciascuna delle quali si applicano le sezioni dedicate:

• Visitatori del Sito (Sezione A);
• Utenti Registrati che usufruiscono dei servizi (Sezione B);
• Operatori olistici iscritti alla Piattaforma (Sezione C);
• Candidati Operatori che inviano una candidatura senza completare l'iscrizione (Sezione D).

2. Titolare del trattamento e Responsabile della Protezione dei Dati

Il Titolare del trattamento e' IABADUU S.r.l. con sede in Via Moscova 40, 20121 Milano (MI), P.IVA e C.F. 06511320969, REA MI-1896099, capitale sociale sottoscritto € 10.000,00, PEC iabaduu@legalmail.it, email privacy@ollylife.it.

OllyLife ha designato un Responsabile della Protezione dei Dati (DPO) esterno, contattabile all'indirizzo dpo@ollylife.it. Il DPO e' il riferimento per ogni questione relativa al trattamento dei dati personali e all'esercizio dei diritti degli interessati.

3. Sezione A - Visitatori del Sito

Questa sezione si applica a chiunque navighi il Sito senza essere registrato.

3.1 Dati raccolti

• dati di navigazione (indirizzo IP anonimizzato, browser, sistema operativo, pagine visitate, tempo di permanenza, eventuale referrer);
• dati raccolti tramite cookie tecnici e, previo consenso, analitici e di marketing (cfr. Cookie Policy);
• dati eventualmente inseriti in modulistica di contatto (nome, email, messaggio).

3.2 Finalita' e basi giuridiche

3.3 Conservazione

• Log tecnici di sicurezza: 12 mesi;
• Cookie analitici: fino a 24 mesi dall'ultima visita o revoca consenso;
• Messaggi di contatto: 24 mesi dalla risposta.

3.4 Misurazione delle campagne e CRM interno

OllyLife registra le richieste ricevute (moduli di contatto, candidature, adesioni agli eventi, registrazioni, prenotazioni e questionari di orientamento) nel CRM interno di IABADUU S.r.l., ospitato sulla stessa infrastruttura Amazon Web Services (regione us-east-1) indicata al paragrafo 9 e non accessibile a terzi. Nel CRM confluiscono i dati di contatto forniti e una sintesi della richiesta; non vi confluisce in alcun caso il testo libero del questionario di orientamento.

Solo se l'Utente presta il consenso ai cookie di marketing, il Sito e la Piattaforma assegnano al browser un identificativo casuale (cookie ollylife_cid, cfr. Cookie Policy) e registrano le pagine visitate con la relativa provenienza (parametri delle campagne, motore di ricerca, social network, sito di provenienza). Quando l'Utente invia un modulo o effettua una prenotazione, queste visite vengono collegate alla sua scheda nel CRM, per misurare quali canali e campagne portano contatti e prenotazioni. Senza consenso nessuna visita viene registrata e le richieste restano nel CRM prive di dati di navigazione. La revoca del consenso, in ogni momento dalla pagina "Preferenze cookie", cancella l'identificativo dal browser e interrompe la registrazione.

4. Sezione B - Utenti Registrati

Questa sezione si applica a chi si registra alla Piattaforma per prenotare prestazioni.

4.1 Dati raccolti

• Dati anagrafici e di contatto (nome, cognome, email, eventuale telefono, citta'/provincia);
• Credenziali di autenticazione (gestite da Amazon Cognito);
• Eventuale autenticazione social (Google, Facebook) limitata al primo login - cfr. policy del fornitore;
• Storico prenotazioni, recensioni, comunicazioni di servizio;
• Risposte al questionario di orientamento "Trova il tuo operatore" (aree di bisogno selezionate, modalita' preferita, citta' ed eventuale testo libero) - cfr. paragrafo 4.5;
• Dati di pagamento (gestiti integralmente da Stripe e non visibili a OllyLife oltre agli identificativi anonimi della transazione);
• Log di accesso e di sicurezza.

4.2 Categorie di dati NON trattate

OllyLife dichiara espressamente di NON trattare dati relativi alla salute degli Utenti o altre categorie particolari ai sensi dell'art. 9 GDPR. L'Utente e' tenuto a non inserire nei campi della Piattaforma (note prenotazione, chat, recensioni, testo libero del questionario di orientamento "Trova il tuo operatore") dati sanitari propri o altrui, ne' diagnosi, terapie in corso o riferimenti a patologie. I campi liberi servono a descrivere un'esigenza di benessere, non uno stato di salute. Quanto eventualmente emerge nella videocall direttamente tra Utente e Operatore resta esclusivamente nella titolarita' dell'Operatore.

I servizi offerti tramite la Piattaforma sono prestazioni di benessere ai sensi della L. 4/2013 e non prestazioni sanitarie: nessuna funzione della Piattaforma e' progettata per raccogliere dati sanitari. Qualora l'Utente inserisca comunque, di propria iniziativa, informazioni riconducibili a categorie particolari, OllyLife le cancella non appena ne viene a conoscenza e comunque entro i termini di conservazione indicati al paragrafo 4.4.

4.3 Finalita' e basi giuridiche

4.4 Conservazione

• Account attivo: per tutta la durata dell'iscrizione + 12 mesi di inattivita';
• Dati di prenotazione: 10 anni dalla data della prenotazione, per obblighi fiscali e contabili;
• Recensioni pubblicate: fino a richiesta di rimozione dell'Utente o cessazione del profilo dell'Operatore;
• Comunicazioni di servizio: 24 mesi dalla chiusura della prenotazione;
• Risposte al questionario di orientamento: 24 mesi dallo svolgimento; il testo libero e' cancellato automaticamente allo scadere del termine, mentre le risposte a scelta multipla sono conservate in forma aggregata e non piu' riconducibile all'Utente per finalita' statistiche;
• Log di sicurezza: 12 mesi;
• Dati di marketing: fino a revoca del consenso e successiva cancellazione entro 30 giorni.

4.5 Questionario di orientamento "Trova il tuo operatore"

La Piattaforma mette a disposizione un questionario facoltativo che aiuta l'Utente a individuare l'Operatore piu' adatto alle proprie esigenze. Il questionario e' accessibile ai soli Utenti autenticati e raccoglie: le aree di bisogno selezionate da un elenco predefinito, la modalita' preferita (online o di persona), la citta' e un campo di testo libero facoltativo.

Le risposte sono elaborate da un sistema automatizzato di suggerimento basato su intelligenza artificiale (Amazon Bedrock, fornitore Amazon Web Services - per la localizzazione e le garanzie di trasferimento si vedano le sezioni "Destinatari e responsabili esterni" e "Trasferimenti di dati al di fuori dell'Unione Europea"), che seleziona gli Operatori compatibili e genera un commento esplicativo. Il suggerimento NON produce effetti giuridici ne' incide significativamente sull'Utente ai sensi dell'art. 22 GDPR: e' un consiglio non vincolante, l'Utente resta libero di scegliere qualunque Operatore e puo' in ogni momento chiedere un'assistenza umana scrivendo a privacy@ollylife.it.

Le risposte sono conservate come storico e consultabili dal solo personale amministrativo di OllyLife, per capire quali bisogni sono piu' richiesti e dove l'offerta e' insufficiente. Non sono comunicate agli Operatori ne' utilizzate per finalita' di marketing. Si applicano i termini di conservazione del paragrafo 4.4 e il divieto di inserimento di dati sanitari del paragrafo 4.2.

5. Sezione C - Operatori

Questa sezione si applica agli operatori olistici iscritti alla Piattaforma.

5.1 Dati raccolti

• Dati anagrafici e di contatto (nome, cognome, email, telefono, indirizzo professionale);
• Dati fiscali (codice fiscale, P.IVA, residenza fiscale, data di nascita, IBAN). Se l'Operatore aderisce tramite una societa', uno studio associato o un'associazione professionale, i dati fiscali dell'ente (denominazione, codice fiscale, P.IVA, sede legale, numero REA) non sono dati personali; restano dati personali quelli del professionista titolare del profilo, compresa la dichiarazione con cui attesta i propri poteri di rappresentanza (data e ora della spunta);
• Dati professionali (curriculum, specialita', formazione, eventuali associazioni di categoria);
• Foto profilo, link a video di presentazione su YouTube, contenuti editoriali del blog;
• Storico prestazioni, fatturazione Application Fee, eventuali sanzioni disciplinari;
• Se l'Operatore sceglie di collegare il proprio account Google Calendar: i dati del collegamento descritti al paragrafo 5.5.

5.2 Finalita' e basi giuridiche

5.3 DAC7 - Comunicazione all'Agenzia delle Entrate

Ai sensi del D.lgs. 1 marzo 2023, n. 32 (attuativo della Direttiva UE 2021/514, "DAC7"), OllyLife e' tenuta a comunicare annualmente all'Agenzia delle Entrate i dati anagrafici, fiscali e transazionali degli Operatori che superano determinate soglie di attivita' sulla Piattaforma. Tale trattamento ha base giuridica nell'obbligo di legge (art. 6.1.c GDPR), e' effettuato da OllyLife come titolare autonomo e ha retention specifica di 10 anni dalla fine dell'anno della comunicazione. Per maggiori dettagli, l'Operatore puo' consultare il Contratto di Adesione Operatore (art. 14-bis) e l'Allegato A (art. 10).

5.4 Conservazione

• Account attivo: per tutta la durata del rapporto + 12 mesi;
• Dati di fatturazione e contabili: 10 anni dalla cessazione (norma fiscale);
• Dati fiscali DAC7: 10 anni dalla fine dell'anno della comunicazione;
• Profilo pubblico, foto, articoli: rimozione entro 30 giorni dalla cessazione, salvo conservazione anonimizzata per finalita' statistiche e per il funzionamento del sistema recensioni.

5.5 Collegamento facoltativo a Google Calendar

L'Operatore puo' collegare, se lo desidera, il proprio account Google Calendar dalle impostazioni della Piattaforma. Il collegamento non e' necessario per usare la Piattaforma e puo' essere interrotto in qualsiasi momento con il comando "Scollega" o dalle impostazioni dell'account Google.

Autorizzazioni richieste. OllyLife chiede a Google solo le autorizzazioni strettamente necessarie, che l'Operatore approva nella schermata di consenso di Google:

• creare un calendario secondario dedicato denominato "OLLYlife" e gestire gli eventi al suo interno;
• conoscere gli intervalli di tempo in cui l'Operatore risulta occupato o libero nei calendari da lui scelti;
• leggere l'elenco dei calendari dell'Operatore (nome, identificativo, colore, ruolo di accesso), per consentirgli di scegliere quali considerare;
• conoscere l'indirizzo email dell'account Google collegato.

Cosa OllyLife NON legge. OllyLife non accede al titolo, alla descrizione, al luogo, ai partecipanti o ad altro contenuto degli eventi dei calendari personali dell'Operatore: riceve da Google soltanto gli intervalli "occupato", senza alcun dettaglio. Gli unici eventi di cui OllyLife conosce il contenuto sono quelli che crea essa stessa nel calendario dedicato "OLLYlife".

Finalita'. I dati ricevuti da Google sono usati esclusivamente per (a) rendere non prenotabili sulla Piattaforma gli orari in cui l'Operatore e' occupato, evitando sovrapposizioni, e (b) riportare nel calendario dedicato gli appuntamenti confermati tramite la Piattaforma. Non sono usati per pubblicita', profilazione, analisi statistiche, addestramento di modelli di intelligenza artificiale, ne' comunicati a terzi, salvo i fornitori tecnici indicati alla Sezione "Destinatari e responsabili esterni" nei limiti necessari al servizio o ove richiesto dalla legge.

Dati conservati e conservazione. OllyLife conserva sul profilo dell'Operatore: l'indirizzo email dell'account Google collegato, la data del collegamento, le autorizzazioni concesse, il token di accesso rilasciato da Google (conservato cifrato e mai visibile ad altri Operatori o agli Utenti), l'identificativo del calendario dedicato e gli identificativi dei calendari scelti. Gli intervalli occupato/libero non sono archiviati: sono letti al momento del calcolo delle disponibilita' e tenuti in memoria temporanea per pochi minuti. I nomi dei calendari sono letti solo per mostrarli all'Operatore nella pagina di scelta e non sono archiviati. Allo scollegamento il token e' revocato presso Google e cancellato; l'identificativo del calendario dedicato e la scelta dei calendari sono conservati per agevolare un eventuale nuovo collegamento e cancellati con l'account dell'Operatore. Il calendario "OLLYlife" e gli eventi gia' creati restano nell'account Google dell'Operatore, che puo' eliminarli in autonomia.

Dati degli Utenti nel calendario dell'Operatore. Per ogni appuntamento confermato, l'evento creato nel calendario "OLLYlife" riporta il tipo di prestazione, data e ora, modalita' e luogo o link della videocall, nome ed eventuali recapiti (email, telefono) dell'Utente e le note della prenotazione. Una volta nel calendario Google dell'Operatore, tali dati sono trattati dall'Operatore in qualita' di titolare, con il fornitore da lui scelto (Google) e secondo le condizioni che lo legano a quest'ultimo.

Norme di Google. L'uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google da parte di OllyLife rispettano le Norme sui dati utente dei servizi API di Google (Google API Services User Data Policy), inclusi i requisiti di Utilizzo limitato (Limited Use).

6. Sezione D - Candidati Operatori

Questa sezione si applica a chi invia una candidatura tramite il modulo "Diventa operatore" del Sito, o riceve un invito a iscriversi, senza (ancora) completare l'iscrizione alla Piattaforma. Dal momento in cui l'iscrizione e' completata si applica invece la Sezione C.

6.1 Dati raccolti

• Dati anagrafici e di contatto (nome, cognome, email, citta');
• Eventuale sito web o profilo social indicato dal candidato;
• Dichiarazione di possesso della partita IVA, propria o dello studio in cui il candidato lavora (requisito di accesso alla Piattaforma);
• Eventuale testo libero della candidatura;
• Data e versione dell'Informativa di cui il candidato ha dichiarato di aver preso visione;
• Storico dei contatti intercorsi (invito inviato, ricontatti, note interne del personale amministrativo).

6.2 Finalita' e basi giuridiche

I dati dei candidati non sono ceduti a terzi, non alimentano newsletter o comunicazioni promozionali di prodotti e servizi diversi dall'iscrizione alla Piattaforma, e non sono oggetto di profilazione.

6.3 Conservazione

• Candidature non convertite in iscrizione: 24 mesi dall'ultimo contatto utile (candidatura, invito o ricontatto), decorsi i quali i dati sono cancellati automaticamente;
• Candidature convertite in iscrizione: confluiscono nel rapporto con l'Operatore e seguono i termini della Sezione C.

6.4 Diritti del candidato

Il candidato puo' in ogni momento chiedere la cancellazione immediata dei propri dati, od opporsi al ricontatto, scrivendo a privacy@ollylife.it: la richiesta e' evasa senza ritardo e comunque entro 30 giorni. Restano fermi tutti gli altri diritti indicati alla Sezione "Diritti dell'interessato".

6.5 Partecipanti agli eventi dal vivo: foto e video

Chi aderisce a un evento dal vivo organizzato da OllyLife tramite il modulo del Sito fornisce nome, cognome, email ed eventualmente telefono e disciplina. Questi dati sono trattati per organizzare l'evento e inviare la conferma con i dettagli (misure precontrattuali su richiesta dell'interessato, art. 6.1.b GDPR) e, per chi non è già iscritto alla Piattaforma, confluiscono tra i candidati operatori secondo i paragrafi da 6.1 a 6.4.

Durante gli eventi OllyLife può scattare fotografie e girare video. L'uso promozionale delle immagini in cui il partecipante è riconoscibile (sito, social, newsletter, materiali promozionali, inserzioni a pagamento) avviene solo con il consenso del partecipante (art. 6.1.a GDPR). Il consenso si dà con un'apposita casella nel modulo di adesione, separata e facoltativa: chi non lo dà partecipa all'evento alle stesse condizioni e le immagini in cui è riconoscibile non sono pubblicate. Termini, canali e durata (5 anni) sono descritti nella "Liberatoria per l'uso di immagini e video degli eventi" pubblicata sul Sito. OllyLife registra la scelta, la data e la versione della liberatoria. Il consenso è revocabile in ogni momento scrivendo a privacy@ollylife.com, senza pregiudicare la liceità degli utilizzi precedenti.

I fotografi e videomaker incaricati agiscono come responsabili del trattamento (art. 28 GDPR). Le immagini pubblicate sui social network e nelle inserzioni sono trattate anche dai relativi gestori (ad esempio Meta e Google), anche al di fuori dell'Unione Europea, secondo le loro condizioni.

7. Contitolarita' del trattamento (art. 26 GDPR)

Per i dati personali degli Utenti relativi a prenotazione, comunicazioni di servizio e recensioni, OllyLife e l'Operatore agiscono in regime di contitolarita' del trattamento ai sensi dell'art. 26 GDPR. La sintesi essenziale dell'accordo di contitolarita' e' la seguente:

• OllyLife e l'Operatore decidono congiuntamente le finalita' e i mezzi per la gestione della prenotazione, delle comunicazioni di servizio e delle recensioni;
• OllyLife agisce come Punto di Contatto Unico (art. 26.3 GDPR): l'Utente puo' esercitare i propri diritti rivolgendosi a OllyLife, che coordina la risposta con l'Operatore;
• OllyLife non tratta dati relativi alla salute degli Utenti; tali dati restano nella sola titolarita' dell'Operatore se emergono nel corso della prestazione;
• OllyLife tratta autonomamente i dati di account, sicurezza, pagamento, marketing e DAC7;
• se l'Operatore ha collegato Google Calendar, i dati dell'appuntamento sono riportati anche nel suo calendario Google (cfr. paragrafo 5.5), dove sono trattati dall'Operatore come titolare autonomo.

Il testo integrale dell'accordo di contitolarita' (Allegato F del Contratto Operatore) e' disponibile su richiesta scrivendo a privacy@ollylife.it.

8. Destinatari e responsabili esterni del trattamento

I dati personali sono comunicati o resi accessibili a soggetti terzi che agiscono in qualita' di responsabili del trattamento, secondo accordi scritti ex art. 28 GDPR. I principali sono:

L'elenco completo e aggiornato dei responsabili esterni e' disponibile su richiesta a privacy@ollylife.it.

9. Trasferimenti di dati al di fuori dell'Unione Europea

L'infrastruttura tecnica della Piattaforma (database, archiviazione dei file, autenticazione, invio delle email di servizio ed elaborazione del questionario di orientamento) e' ospitata su Amazon Web Services nella regione us-east-1 (Stati Uniti). Il trasferimento avviene sulla base delle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea, integrate dalla certificazione EU-U.S. Data Privacy Framework di Amazon Web Services e da una Transfer Impact Assessment effettuata da OllyLife. Il contratto con il fornitore (AWS Data Processing Addendum) esclude l'uso dei dati per finalita' proprie del fornitore; in particolare i contenuti inviati al servizio di elaborazione del questionario non sono conservati dal fornitore ne' utilizzati per addestrare modelli.

Per il fornitore Daily.co (USA), i dati sono trasferiti al di fuori dell'UE sulla base di SCC e di una Transfer Impact Assessment. Si tratta in particolare di metadati tecnici della videocall (identificativi della sessione, qualita' della connessione, timestamp), non dei contenuti della conversazione.

Per gli Operatori che collegano Google Calendar, le informazioni scambiate con Google (paragrafo 5.5) possono essere trattate da Google anche negli Stati Uniti, sulla base della certificazione EU-U.S. Data Privacy Framework di Google LLC.

I dati di pagamento sono trattati da Stripe Payments Europe Ltd. all'interno dell'Unione Europea. L'interessato puo' ottenere copia delle garanzie adottate per i trasferimenti extra-UE scrivendo a privacy@ollylife.it.

10. Diritti dell'interessato

L'interessato puo' esercitare in ogni momento i diritti previsti dagli artt. 15-22 GDPR:

• Accesso ai propri dati (art. 15);
• Rettifica (art. 16);
• Cancellazione, ove ne ricorrano i presupposti (art. 17);
• Limitazione del trattamento (art. 18);
• Portabilita' dei dati (art. 20);
• Opposizione al trattamento (art. 21);
• Non essere sottoposto a decisioni automatizzate (art. 22).

Per esercitare tali diritti l'interessato puo' contattare il Titolare a privacy@ollylife.it o il DPO a dpo@ollylife.it. La risposta avviene entro 30 giorni dalla ricezione della richiesta, prorogabili di ulteriori 60 giorni in caso di richieste complesse, con motivata comunicazione.

Resta in ogni caso fermo il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) o all'autorita' di controllo competente per il proprio paese di residenza.

11. Misure di sicurezza

OllyLife adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui: crittografia dei dati in transito (TLS 1.2+) e a riposo, autenticazione con Amazon Cognito (con MFA disponibile), controllo accessi a livello applicativo e infrastrutturale (AWS), logging delle operazioni rilevanti, backup periodici con verifica del ripristino, procedura di gestione data breach, formazione del personale autorizzato al trattamento.

12. Cookie e tecnologie analoghe

Per le informazioni dettagliate sull'uso dei cookie, si rinvia alla Cookie Policy pubblicata sul Sito. Il consenso ai cookie analitici e di marketing puo' essere gestito tramite il banner di consenso e modificato in ogni momento dalla pagina dedicata.

13. Modifiche alla presente Informativa

OllyLife si riserva di aggiornare la presente Informativa per modifiche normative, tecniche o operative. Ogni aggiornamento sara' pubblicato sul Sito con indicazione della nuova data di entrata in vigore. Per modifiche sostanziali, gli Utenti Registrati e gli Operatori riceveranno comunicazione via email.