Informativa sulla privacy

Il titolare del trattamento è SFIORA, che gestisce la piattaforma raggiungibile su sfiora.it.

Per qualsiasi richiesta relativa ai dati personali scrivi a privacy@sfiora.it. Per l'assistenza sul servizio, support@sfiora.it. Rispondiamo entro trenta giorni, come previsto dal Regolamento (UE) 2016/679 (GDPR).

SFIORA è uno strumento di lavoro per esercizi commerciali. I dati che tratta si dividono in tre gruppi, con origini diverse.

Dati dell'attività cliente, forniti al momento dell'attivazione: nome dell'attività, categoria, indirizzo, città, nome del referente, indirizzo email, numero di telefono, piano sottoscritto.

Dati di accesso: indirizzo email e password dell'account. Le password non sono conservate in chiaro: il sistema di autenticazione ne memorizza solo un'impronta crittografica non reversibile, che non permette di risalire alla password originale.

Recensioni e statistiche: testo, valutazione, data e nome pubblico di chi ha lasciato una recensione sulla scheda Google dell'attività, insieme agli avvicinamenti («tap») registrati dai supporti NFC. Questi contenuti sono pubblici sulla scheda Google dell'attività: SFIORA li raccoglie e li organizza, non li crea.

Cosa non raccogliamo mai: dati di pagamento delle carte, categorie particolari di dati personali ai sensi dell'articolo 9 GDPR (salute, opinioni politiche, convinzioni religiose, orientamento sessuale), dati di minori, cronologia di navigazione fuori dalla piattaforma. Non usiamo cookie di profilazione né strumenti pubblicitari di terze parti.

• Erogare il servizio — raccogliere le recensioni, calcolare le statistiche, generare i report e far funzionare i supporti NFC. Base giuridica: esecuzione del contratto (art. 6.1.b GDPR).
• Gestire gli accessi — autenticazione, ruoli, sicurezza degli account. Base giuridica: esecuzione del contratto e legittimo interesse alla sicurezza della piattaforma (art. 6.1.b e 6.1.f).
• Analizzare il testo delle recensioni per individuare argomenti ricorrenti e produrre consigli operativi. Base giuridica: esecuzione del contratto.
• Adempiere agli obblighi fiscali e contabili legati all'abbonamento. Base giuridica: obbligo legale (art. 6.1.c).

Non profiliamo persone fisiche e non prendiamo decisioni automatizzate che producano effetti giuridici su nessuno.

Quando un'attività collega la propria scheda Google, SFIORA accede a recensioni e informazioni del profilo tramite le API di Google, esclusivamente per mostrarle all'attività stessa dentro la piattaforma e per produrne analisi e report.

In concreto: non vendiamo i dati ottenuti dalle API di Google, non li usiamo per pubblicità, non li cediamo a intermediari di dati e non permettiamo a nessuno di leggerli se non il personale strettamente necessario a fornire assistenza — e solo su richiesta esplicita dell'attività interessata.

Puoi revocare in qualsiasi momento l'accesso di SFIORA al tuo profilo Google, sia dal pulsante «Scollega Google» dentro la piattaforma sia dalla pagina App con accesso al tuo account del tuo account Google. Alla revoca cancelliamo le credenziali che conserviamo.

I dati delle recensioni e delle sedi non vengono ceduti a terzi né utilizzati da SFIORA per addestrare modelli di intelligenza artificiale generici. Le funzioni di analisi e di generazione delle risposte inviano a Google Gemini soltanto ciò che è descritto nella sezione 5, e alle condizioni lì indicate: le riportiamo per esteso perché il trattamento da parte del fornitore dipende dal piano di servizio, e non vogliamo dichiarare qui qualcosa di più ampio di quanto possiamo garantire.

Per produrre consigli e riassunti, SFIORA può inviare a un fornitore di modelli linguistici (Google Gemini) una scheda sintetica dell'attività: nome, categoria, città, nome del referente, numeri aggregati e alcuni testi di recensioni critiche recenti.

Non vengono inviati i nomi di chi ha scritto le recensioni, né indirizzi email, telefoni o identificativi interni. I dati inviati non vengono usati per addestrare modelli quando il servizio opera su un piano che lo esclude contrattualmente; diversamente, l'attività può chiedere in qualsiasi momento la disattivazione della funzione scrivendo a privacy@sfiora.it.

L'analisi di base di SFIORA funziona anche senza alcun fornitore esterno, con un motore che gira interamente sui nostri server.

I dati non vengono venduti né ceduti per finalità commerciali. Vengono trattati da fornitori che agiscono come responsabili del trattamento, ciascuno per la propria parte:

• Supabase — database e autenticazione, con dati ospitati nella regione europea.
• Vercel — erogazione dell'applicazione web.
• Google — API Business Profile per le recensioni e, se attivata, l'analisi con Gemini.

Eventuali trasferimenti fuori dallo Spazio economico europeo avvengono sulla base delle clausole contrattuali tipo approvate dalla Commissione europea. I dati possono inoltre essere comunicati all'autorità giudiziaria quando la legge lo impone.

• Cifratura AES-256 dei dati a riposo sui server del database e cifratura TLS di tutto il traffico verso e dalla piattaforma.
• Isolamento fra clienti applicato dal database, non solo dall'interfaccia: ogni interrogazione passa da regole di sicurezza a livello di riga (Row Level Security), quindi un'attività non può leggere i dati di un'altra nemmeno costruendo la richiesta a mano.
• Chiavi e credenziali dei servizi esterni conservate solo lato server, mai inviate al browser.
• Accesso agli account protetto da password e sessioni con scadenza.

In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà delle persone, informeremo il Garante entro 72 ore e, quando previsto, gli interessati.

• Dati dell'attività e recensioni: per tutta la durata del contratto e per 12 mesi dalla cessazione, così da poter riattivare il servizio senza perdite.
• Registro dei tap NFC: 24 mesi, poi conservato solo in forma aggregata e non riconducibile al singolo avvicinamento.
• Documenti fiscali: 10 anni, come impone la normativa italiana.
• Account di accesso: cancellati entro 30 giorni dalla richiesta o dalla chiusura del rapporto.

Puoi esercitare in qualsiasi momento i diritti previsti dagli articoli 15-22 del GDPR: accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, opporti al trattamento e ottenerne una copia in formato leggibile da un computer.

Scrivi a privacy@sfiora.it: rispondiamo entro trenta giorni. Se ritieni che il trattamento violi la normativa, puoi rivolgerti al Garante per la protezione dei dati personali (garanteprivacy.it).

SFIORA usa esclusivamente cookie tecnici, necessari a mantenere la sessione di accesso e la preferenza fra tema chiaro e scuro. Non usiamo cookie di profilazione, di tracciamento pubblicitario o di terze parti, e per questo non compare alcun banner di consenso: per i soli cookie tecnici la legge non lo richiede.

Se cambieremo il modo in cui trattiamo i dati aggiorneremo questa pagina e ne comunicheremo la revisione alle attività clienti tramite email, con un preavviso ragionevole prima che le modifiche abbiano effetto.