1. Premessa e ambito di applicazione
La presente Informativa illustra come IABADUU S.r.l. tratta i dati personali raccolti tramite il portale www.ollylife.it (di seguito la "Piattaforma"), conformemente al Regolamento (UE) 2016/679 ("GDPR"), al D.lgs. 196/2003 ("Codice Privacy") e ai provvedimenti del Garante per la Protezione dei Dati Personali.
L'Informativa si rivolge a tre categorie di interessati, per ciascuna delle quali si applicano le sezioni dedicate:
- Visitatori del Sito (Sezione A);
- Utenti Registrati che usufruiscono dei servizi (Sezione B);
- Operatori olistici iscritti alla Piattaforma (Sezione C).
2. Titolare del trattamento e Responsabile della Protezione dei Dati
Il Titolare del trattamento e' IABADUU S.r.l. con sede in Via Moscova 40, 20121 Milano (MI), P.IVA e C.F. 06511320969, REA MI-1896099, capitale sociale sottoscritto € 10.000,00, PEC iabaduu@legalmail.it, email privacy@ollylife.it.
OllyLife ha designato un Responsabile della Protezione dei Dati (DPO) esterno, contattabile all'indirizzo dpo@ollylife.it. Il DPO e' il riferimento per ogni questione relativa al trattamento dei dati personali e all'esercizio dei diritti degli interessati.
3. Sezione A - Visitatori del Sito
Questa sezione si applica a chiunque navighi il Sito senza essere registrato.
3.1 Dati raccolti
- dati di navigazione (indirizzo IP anonimizzato, browser, sistema operativo, pagine visitate, tempo di permanenza, eventuale referrer);
- dati raccolti tramite cookie tecnici e, previo consenso, analitici e di marketing (cfr. Cookie Policy);
- dati eventualmente inseriti in modulistica di contatto (nome, email, messaggio).
3.2 Finalita' e basi giuridiche
| Finalita' | Base giuridica |
|---|---|
| Erogazione del Sito e sicurezza tecnica | Legittimo interesse (art. 6.1.f GDPR) |
| Cookie analitici e di marketing | Consenso (art. 6.1.a GDPR) |
| Risposta a richieste di contatto | Misure precontrattuali / consenso (art. 6.1.b o 6.1.a GDPR) |
3.3 Conservazione
- Log tecnici di sicurezza: 12 mesi;
- Cookie analitici: fino a 24 mesi dall'ultima visita o revoca consenso;
- Messaggi di contatto: 24 mesi dalla risposta.
4. Sezione B - Utenti Registrati
Questa sezione si applica a chi si registra alla Piattaforma per prenotare prestazioni.
4.1 Dati raccolti
- Dati anagrafici e di contatto (nome, cognome, email, eventuale telefono, citta'/provincia);
- Credenziali di autenticazione (gestite da Amazon Cognito);
- Eventuale autenticazione social (Google, Facebook) limitata al primo login - cfr. policy del fornitore;
- Storico prenotazioni, recensioni, comunicazioni di servizio;
- Dati di pagamento (gestiti integralmente da Stripe e non visibili a OllyLife oltre agli identificativi anonimi della transazione);
- Log di accesso e di sicurezza.
4.2 Categorie di dati NON trattate
OllyLife dichiara espressamente di NON trattare dati relativi alla salute degli Utenti o altre categorie particolari ai sensi dell'art. 9 GDPR. L'Utente e' tenuto a non inserire nei campi della Piattaforma (note prenotazione, chat, recensioni) dati sanitari propri o altrui. Quanto eventualmente emerge nella videocall direttamente tra Utente e Operatore resta esclusivamente nella titolarita' dell'Operatore.
4.3 Finalita' e basi giuridiche
| Finalita' | Base giuridica |
|---|---|
| Gestione account, prenotazioni, comunicazioni di servizio | Esecuzione del contratto (art. 6.1.b GDPR) |
| Adempimenti contabili e fiscali di OllyLife | Obbligo legale (art. 6.1.c GDPR) |
| Sicurezza della Piattaforma, prevenzione frodi | Legittimo interesse (art. 6.1.f GDPR) |
| Marketing (newsletter, comunicazioni promozionali OllyLife) | Consenso (art. 6.1.a GDPR), revocabile in ogni momento |
| Profilazione di marketing (suggerimenti operatori, ecc.) | Consenso esplicito (art. 6.1.a GDPR) |
| Contitolarita' con l'Operatore per prenotazione, comunicazioni di servizio, recensioni | Esecuzione contratto / Legittimo interesse (art. 26 GDPR, cfr. Sintesi essenziale) |
4.4 Conservazione
- Account attivo: per tutta la durata dell'iscrizione + 12 mesi di inattivita';
- Dati di prenotazione: 10 anni dalla data della prenotazione, per obblighi fiscali e contabili;
- Recensioni pubblicate: fino a richiesta di rimozione dell'Utente o cessazione del profilo dell'Operatore;
- Comunicazioni di servizio: 24 mesi dalla chiusura della prenotazione;
- Log di sicurezza: 12 mesi;
- Dati di marketing: fino a revoca del consenso e successiva cancellazione entro 30 giorni.
5. Sezione C - Operatori
Questa sezione si applica agli operatori olistici iscritti alla Piattaforma.
5.1 Dati raccolti
- Dati anagrafici e di contatto (nome, cognome, email, telefono, indirizzo professionale);
- Dati fiscali (codice fiscale, P.IVA, residenza fiscale, data di nascita, IBAN);
- Dati professionali (curriculum, specialita', formazione, eventuali associazioni di categoria);
- Foto profilo, link a video di presentazione su YouTube, contenuti editoriali del blog;
- Storico prestazioni, fatturazione Application Fee, eventuali sanzioni disciplinari.
5.2 Finalita' e basi giuridiche
| Finalita' | Base giuridica |
|---|---|
| Gestione del Contratto di Adesione Operatore e attivita' connesse | Esecuzione del contratto (art. 6.1.b GDPR) |
| Pubblicazione del profilo professionale | Esecuzione del contratto (art. 6.1.b GDPR) |
| Adempimenti contabili e fiscali (incluso DAC7 - D.lgs. 32/2023) | Obbligo legale (art. 6.1.c GDPR) |
| Sicurezza della Piattaforma, prevenzione frodi, procedimento disciplinare | Legittimo interesse (art. 6.1.f GDPR) |
| Marketing e comunicazioni promozionali | Consenso (art. 6.1.a GDPR) |
5.3 DAC7 - Comunicazione all'Agenzia delle Entrate
Ai sensi del D.lgs. 1 marzo 2023, n. 32 (attuativo della Direttiva UE 2021/514, "DAC7"), OllyLife e' tenuta a comunicare annualmente all'Agenzia delle Entrate i dati anagrafici, fiscali e transazionali degli Operatori che superano determinate soglie di attivita' sulla Piattaforma. Tale trattamento ha base giuridica nell'obbligo di legge (art. 6.1.c GDPR), e' effettuato da OllyLife come titolare autonomo e ha retention specifica di 10 anni dalla fine dell'anno della comunicazione. Per maggiori dettagli, l'Operatore puo' consultare il Contratto di Adesione Operatore (art. 14-bis) e l'Allegato A (art. 10).
5.4 Conservazione
- Account attivo: per tutta la durata del rapporto + 12 mesi;
- Dati di fatturazione e contabili: 10 anni dalla cessazione (norma fiscale);
- Dati fiscali DAC7: 10 anni dalla fine dell'anno della comunicazione;
- Profilo pubblico, foto, articoli: rimozione entro 30 giorni dalla cessazione, salvo conservazione anonimizzata per finalita' statistiche e per il funzionamento del sistema recensioni.
6. Contitolarita' del trattamento (art. 26 GDPR)
Per i dati personali degli Utenti relativi a prenotazione, comunicazioni di servizio e recensioni, OllyLife e l'Operatore agiscono in regime di contitolarita' del trattamento ai sensi dell'art. 26 GDPR. La sintesi essenziale dell'accordo di contitolarita' e' la seguente:
- OllyLife e l'Operatore decidono congiuntamente le finalita' e i mezzi per la gestione della prenotazione, delle comunicazioni di servizio e delle recensioni;
- OllyLife agisce come Punto di Contatto Unico (art. 26.3 GDPR): l'Utente puo' esercitare i propri diritti rivolgendosi a OllyLife, che coordina la risposta con l'Operatore;
- OllyLife non tratta dati relativi alla salute degli Utenti; tali dati restano nella sola titolarita' dell'Operatore se emergono nel corso della prestazione;
- OllyLife tratta autonomamente i dati di account, sicurezza, pagamento, marketing e DAC7.
Il testo integrale dell'accordo di contitolarita' (Allegato F del Contratto Operatore) e' disponibile su richiesta scrivendo a privacy@ollylife.it.
7. Destinatari e responsabili esterni del trattamento
I dati personali sono comunicati o resi accessibili a soggetti terzi che agiscono in qualita' di responsabili del trattamento, secondo accordi scritti ex art. 28 GDPR. I principali sono:
| Fornitore | Ruolo | Localizzazione |
|---|---|---|
| Amazon Web Services EMEA SARL | Hosting, storage, database, autenticazione | UE (regione eu-south-1, Milano) |
| Stripe Payments Europe Ltd. | Pagamenti, KYC operatori | Irlanda (UE) |
| Daily Co. | Videoconferenza | USA (con SCC + TIA) |
| Amazon Web Services EMEA SARL (Amazon SES) | Invio email di servizio | USA – Clausole Contrattuali Standard (SCC) e Data Privacy Framework |
| Agenzia delle Entrate | Destinatario obbligatorio DAC7 | Italia |
L'elenco completo e aggiornato dei responsabili esterni e' disponibile su richiesta a privacy@ollylife.it.
8. Trasferimenti di dati al di fuori dell'Unione Europea
Per il fornitore Daily.co (USA), i dati sono trasferiti al di fuori dell'UE sulla base di Standard Contractual Clauses (SCC) approvate dalla Commissione Europea e di una Transfer Impact Assessment effettuata da OllyLife. Si tratta in particolare di metadati tecnici della videocall (identificativi della sessione, qualita' della connessione, timestamp), non dei contenuti della conversazione.
Per tutti gli altri trattamenti, i dati restano nell'Unione Europea.
9. Diritti dell'interessato
L'interessato puo' esercitare in ogni momento i diritti previsti dagli artt. 15-22 GDPR:
- Accesso ai propri dati (art. 15);
- Rettifica (art. 16);
- Cancellazione, ove ne ricorrano i presupposti (art. 17);
- Limitazione del trattamento (art. 18);
- Portabilita' dei dati (art. 20);
- Opposizione al trattamento (art. 21);
- Non essere sottoposto a decisioni automatizzate (art. 22).
Per esercitare tali diritti l'interessato puo' contattare il Titolare a privacy@ollylife.it o il DPO a dpo@ollylife.it. La risposta avviene entro 30 giorni dalla ricezione della richiesta, prorogabili di ulteriori 60 giorni in caso di richieste complesse, con motivata comunicazione.
Resta in ogni caso fermo il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) o all'autorita' di controllo competente per il proprio paese di residenza.
10. Misure di sicurezza
OllyLife adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui: crittografia dei dati in transito (TLS 1.2+) e a riposo, autenticazione con Amazon Cognito (con MFA disponibile), controllo accessi a livello applicativo e infrastrutturale (AWS), logging delle operazioni rilevanti, backup periodici con verifica del ripristino, procedura di gestione data breach, formazione del personale autorizzato al trattamento.
11. Cookie e tecnologie analoghe
Per le informazioni dettagliate sull'uso dei cookie, si rinvia alla Cookie Policy pubblicata sul Sito. Il consenso ai cookie analitici e di marketing puo' essere gestito tramite il banner di consenso e modificato in ogni momento dalla pagina dedicata.
12. Modifiche alla presente Informativa
OllyLife si riserva di aggiornare la presente Informativa per modifiche normative, tecniche o operative. Ogni aggiornamento sara' pubblicato sul Sito con indicazione della nuova data di entrata in vigore. Per modifiche sostanziali, gli Utenti Registrati e gli Operatori riceveranno comunicazione via email.