Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR) è:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Germania
E-Mail: info@lushly.world
Telefono: +49 152 0677 7974

2. Informazioni generali sul trattamento dei dati

Lushly è un marketplace online che mette in contatto i clienti finali con saloni di bellezza e benessere indipendenti. Trattiamo i dati personali dei nostri utenti esclusivamente nella misura in cui ciò è necessario per la fornitura di un sito web funzionante, nonché dei nostri contenuti e servizi.

Il trattamento dei dati personali dei nostri utenti avviene regolarmente solo previo consenso dell'utente o per l'adempimento di un contratto. Fanno eccezione i casi in cui non è possibile ottenere il consenso preventivo per motivi oggettivi e il trattamento dei dati è consentito da disposizioni di legge.

Le basi giuridiche sono l'Art. 6 par. 1 lett. a (consenso), lett. b (esecuzione del contratto), lett. c (obbligo legale) e lett. f GDPR (interesse legittimo).

3. Quali dati raccogliamo

3.1 Alla registrazione come cliente

• Nome e cognome
• Indirizzo e-mail
• Numero di telefono (opzionale)
• Password (memorizzata criptata con bcrypt)
• Immagine del profilo (opzionale, caricata dall'utente o tramite Google/Facebook in caso di accesso OAuth)
• Preferenza linguistica

3.2 Alla registrazione come salone / professionista

• Ragione sociale, indirizzo, telefono, indirizzo e-mail
• Descrizione, Foto, Prezzi, Servizi, Orari di apertura
• In caso di attivazione Stripe: coordinate bancarie e dati fiscalmente rilevanti — memorizzati esclusivamente presso Stripe, non presso di noi
• Profili Master (nome, foto, lingue, esperienza, portfolio) — impostati dal gestore del salone

3.3 In caso di prenotazione

• Nome, indirizzo e-mail, numero di telefono del cliente che prenota
• Servizio scelto, data, ora, prezzo, durata
• Per richieste di consulenza (ad es. tatuaggi): descrizione dell'idea, dimensioni/posizione sul corpo, eventualmente foto di riferimento
• Per il pagamento online: nessun dato della carta presso di noi — l'elaborazione avviene esclusivamente tramite Stripe (certificato PCI-DSS Livello 1)
• Per l'abbonamento a pagamento del salone: nome, indirizzo e-mail e indirizzo di fatturazione per la contabilità, nonché un ID cliente e abbonamento di Stripe. I mezzi di pagamento (carta, mandato SEPA) vengono memorizzati esclusivamente presso Stripe
• Valutazioni (1–5 stelle) e commenti dopo la prenotazione completata
• Messaggi di chat tra cliente e salone (tramite la funzione di messaggistica interna alla piattaforma)

3.4 Dati raccolti automaticamente (log del server)

• Indirizzo IP (anonimizzato dopo 7 giorni)
• Tipo e versione del browser, Sistema operativo
• Data e ora di accesso
• URL di riferimento (pagina visitata in precedenza)
• Regione geografica (approssimativa, a livello di città basata sull'IP)
• ID sessione per l'analisi interna della piattaforma (senza riferimento personale)

Questi dati servono per la sicurezza e per l'analisi interna della piattaforma (frequenza di rimbalzo, fonti di traffico, prestazioni). Un trasferimento a servizi esterni come Google Analytics o Meta avviene esclusivamente se l'utente ha espressamente acconsentito nel banner dei cookie (cookie di analisi per Google Analytics o cookie di marketing per il Meta-Pixel).

3.5 Dati di localizzazione (Geolocation)

Previa esplicita autorizzazione dell'utente (permesso del browser "Trova nelle vicinanze"), la posizione approssimativa viene utilizzata per mostrare i saloni nelle vicinanze. La posizione viene elaborata esclusivamente lato client e non viene salvata nel nostro database.

4. Scopo e base giuridica del trattamento

5. Condivisione con terze parti (responsabili del trattamento)

Condividiamo i dati esclusivamente nei seguenti casi e sulla base di appositi contratti di trattamento dei dati (contratti di AV) ai sensi dell'Art. 28 GDPR:

• IONOS SE (Montabaur, Deutschland) — Hosting della piattaforma. I server si trovano in Germania. Conforme al GDPR.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Elaborazione dei pagamenti. Certificato PCI-DSS Livello 1, conforme al GDPR. Privacy di Stripe
• Salone prenotante — riceve nome, contatto e dettagli di prenotazione per l'esecuzione del contratto. I saloni sono titolari del trattamento autonomi ai sensi del GDPR.
• Google Ireland Limited (Gemini API) — traduzioni automatiche di testi UI e descrizioni dei saloni. Vengono trasmessi esclusivamente contenuti pubblici (ad es. descrizioni dei saloni), nessun dato personale dei clienti finali. Privacy di Google
• Groq, Inc. (USA) — AI-Insights per i proprietari di saloni. Vengono trasmesse esclusivamente statistiche aggregate e anonimizzate. Le clausole contrattuali standard ai sensi dell'Art. 46 GDPR garantiscono la protezione dei dati.
• Meta Platforms Ireland Limited (Meta Pixel) — solo previo esplicito consenso nel banner dei cookie. Viene utilizzato esclusivamente per campagne di marketing. Privacy di Meta
• Google Ireland Limited (Google Analytics 4) — solo previo esplicito consenso nel banner dei cookie (cookie analitici). Serve per l'analisi anonimizzata della portata e dell'utilizzo; gli indirizzi IP vengono abbreviati/anonimizzati. Trasmissione dei dati negli USA sulla base del EU-US Data Privacy Framework e/o delle clausole contrattuali standard dell'UE. Privacy di Google
• Provider SMTP (Fornitore WP Mail SMTP) — Invio di email transazionali (conferme di prenotazione, promemoria, reset password).
• n8n (self-hosted, EU) — Workflow di automazione. Server nell'UE.

Non avviene alcuna ulteriore trasmissione a terzi. In particolare, non vendiamo dati.

5a. Utilizzo dell'IA (Intelligenza Artificiale)

Utilizziamo l'intelligenza artificiale (IA) in due ambiti:

1. Traduzioni: Per la fornitura multilingue dei nostri contenuti utilizziamo il sistema IA Google Gemini (Google Ireland Limited). Le traduzioni di contenuti non in tedesco possono essere generate automaticamente; fa fede sempre la versione originale tedesca.

2. Chat di supporto IA: La nostra chat di supporto (nel Messenger e sulla pagina di aiuto) è gestita da un assistente IA (chatbot). All'inizio della chat ti verrà chiaramente indicato che stai comunicando con un sistema IA (Art. 50 Regolamento IA). Per assistenza personale, puoi contattarci in qualsiasi momento all'indirizzo info@lushly.world.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto) e lett. f GDPR (legittimo interesse a un supporto efficiente e alla fornitura multilingue).

5b. Mercato degli annunci (Lavori & Spazi)

Nella nostra sezione annunci ("Lavori & Spazi"), gli utenti registrati possono pubblicare i propri annunci (ad es. offerte di lavoro, affitto di spazi e postazioni di lavoro) e rispondere agli annunci di altri. Vengono elaborati i seguenti dati:

Crea annuncio: Titolo, descrizione, categoria, località, prezzo, nonché i dati di contatto forniti da te (e-mail e/o numero di telefono) e immagini caricate facoltativamente. Queste informazioni – ad eccezione dei dati di contatto – sono visibili pubblicamente. La tua e-mail di contatto non viene mostrata direttamente agli interessati, ma utilizzata solo per l'inoltro delle richieste.

Rispondi a un annuncio: Quando rispondi a un annuncio tramite il modulo di contatto, il tuo nome, il tuo indirizzo e-mail e il tuo messaggio vengono inoltrati via e-mail all'inserzionista, in modo che possa risponderti. I dati di contatto di entrambe le parti rimangono nascosti sulla piattaforma.

Lista dei preferiti: Quando salvi gli annunci, memorizziamo gli ID degli annunci corrispondenti nel tuo account utente, in modo che tu possa ritrovarli in seguito.

Ricerche salvate e notifiche: Puoi salvare i criteri di ricerca (ad es. categoria, luogo, parola chiave). Salveremo questi criteri nel tuo account e ti invieremo una notifica via email non appena un nuovo annuncio corrisponderà alla tua ricerca salvata. Puoi interrompere queste notifiche in qualsiasi momento eliminando la ricerca salvata nel tuo account.

Statistiche delle visualizzazioni: Per visualizzare il numero di visualizzazioni di un annuncio, salviamo temporaneamente un valore pseudonimizzato (hashed) del tuo indirizzo IP per evitare conteggi multipli. Non viene effettuata alcuna identificazione di singole persone.

Segnalazioni: Se segnali un annuncio, elaboriamo il motivo specificato e un'eventuale nota facoltativa per esaminare l'annuncio.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione delle funzioni da te richieste) nonché lett. f GDPR (interesse legittimo a un mercato di annunci funzionante e privo di abusi). Le notifiche relative alle ricerche salvate si basano sulla lett. b e sul tuo utilizzo di questa funzione, revocabile in qualsiasi momento.

Visibilità dei tuoi dati: Titolo, descrizione, categoria, luogo, prezzo e immagini di un annuncio sono visibili pubblicamente e possono essere indicizzati dai motori di ricerca. La tua email e il tuo numero di telefono NON vengono visualizzati pubblicamente — servono esclusivamente per la consegna delle notifiche. Il contatto avviene tramite l'area messaggi interna.

Dopo la scadenza: Gli annunci scaduti vengono rimossi dalla panoramica e dalla ricerca, ma rimangono nel tuo account finché non li elimini. Se elimini un annuncio, rimuoviamo i suoi contenuti e le immagini. Le conversazioni già avvenute rimangono inalterate, in modo che entrambe le parti possano conservare lo storico.

Segnalazioni: Se segnali un annuncio, salviamo la segnalazione con l'ora e — se loggato — il tuo ID utente. Questo è necessario per riconoscere segnalazioni multiple e per mantenere il processo tracciabile. Base giuridica: Art. 6 par. 1 lett. c GDPR in combinato disposto con l'Art. 16 del Regolamento (UE) 2022/2065 e l'Art. 6 par. 1 lett. f GDPR. Durata della conservazione: dodici mesi.

5c. Assistente Telegram

Saloni e Master possono connettere volontariamente il loro account al nostro assistente Telegram per ricevere e rispondere direttamente alle richieste di prenotazione. La connessione è opzionale e revocabile in qualsiasi momento — nell'account sotto "Assistente Telegram" o con il comando /stop nella chat.

Vengono elaborati: l'ID della chat di Telegram, il nome visualizzato lì, la lingua selezionata e il contenuto delle notifiche (appuntamento, servizio, nome abbreviato del/della cliente, messaggi dalla chat). Nomi completi, numeri di telefono e indirizzi email non vengono intenzionalmente trasmessi a Telegram.

Trasferimento in un paese terzo: Il fornitore è Telegram FZ-LLC, Dubai, Emirati Arabi Uniti. Per gli EAU non esiste una decisione di adeguatezza della Commissione Europea. Il trasferimento avviene sulla base del tuo esplicito consenso ai sensi dell'Art. 49 par. 1 lett. a GDPR, che fornisci collegando l'account. Senza collegamento, non avviene alcun trasferimento.

Cronologia clienti nell'assistente: Quando si apre una prenotazione, il salone può visualizzare la cronologia precedente di questo cliente nel proprio salone: numero di visite, data dell'ultima visita, servizi usufruiti, note personali del salone e mancate presentazioni. Si tratta di dati che il salone gestisce comunque — vengono solo visualizzati in modo diverso.

Base giuridica: Art. 6 par. 1 lett. a GDPR (consenso) per il trasferimento a Telegram, Art. 6 par. 1 lett. b GDPR per la visualizzazione della cronologia. Durata della conservazione: fino alla disconnessione.

5d. Protezione contro gli accessi non autorizzati

Per proteggere gli account, registriamo i tentativi di accesso falliti con indirizzo IP, ora e nome utente utilizzato. Se i tentativi falliti da un'area di rete si accumulano, questa viene temporaneamente bloccata — con una durata crescente da un'ora fino a sette giorni.

Questo blocco è una misura automatizzata, ma non produce effetti giuridici ai sensi dell'Art. 22 GDPR: riguarda esclusivamente l'accesso alla maschera di login, non un contratto esistente. I blocchi scadono automaticamente e possono essere rimossi immediatamente su richiesta.

Base giuridica: Art. 6 par. 1 lett. f GDPR. Il nostro legittimo interesse risiede nella protezione degli account dei nostri utenti da acquisizioni. Durata della conservazione: 90 giorni.

5e. Conferma e-mail, lista dei preferiti e lista d'attesa

Conferma e-mail: Dopo la registrazione, inviamo un link di conferma. Vengono conservati un token monouso in forma crittografata e il momento dell'invio. Senza conferma, non è possibile pubblicare annunci. Base giuridica: Art. 6 par. 1 lett. b e lett. f GDPR.

Notifiche sugli annunci preferiti: Se salvi un annuncio, ne memorizziamo l'identificativo e l'ora. Da ciò derivano due tipi di messaggi: una notifica se il prezzo o lo stato dell'annuncio cambia, e un promemoria una tantum dopo due giorni, nel caso in cui tu non abbia ancora contattato la persona che offre il servizio. Entrambe le opzioni possono essere disattivate in Account → E-mail. Base giuridica: Art. 6 par. 1 lett. f GDPR.

Lista d'attesa: Se un appuntamento è occupato, puoi farti mettere in lista d'attesa. Vengono conservati l'appuntamento desiderato, i dati di contatto e un token monouso per il link di accettazione. Cancellazione dopo 30 giorni o con l'annullamento. Base giuridica: Art. 6 par. 1 lett. b GDPR.

5f. Verifica delle immagini caricate

Ogni immagine caricata viene verificata automaticamente: per metadati che indicano una generazione AI (C2PA, IPTC), per componenti di programma incorporati per la protezione contro il malware e per la corrispondenza con immagini AI già note.

A tal fine, calcoliamo dall'immagine un breve valore numerico che ne descrive la struttura di luminosità approssimativa. Da esso non è possibile ripristinare l'immagine; serve esclusivamente al confronto. Non avviene alcun riconoscimento facciale o di persone.

Base giuridica: Art. 6 par. 1 lett. c GDPR (obbligo di etichettatura ai sensi dell'Art. 50 del Regolamento AI) nonché Art. 6 par. 1 lett. f GDPR (sicurezza dei nostri sistemi).

6. Cookie e tecnologie simili

Utilizziamo esclusivamente cookie tecnicamente necessari (sessioni di accesso, sicurezza, stato del consenso ai cookie, selezione della lingua). Questi cookie sono necessari per il funzionamento della piattaforma e vengono installati senza consenso ai sensi del § 25 par. 2 TDDDG.

Cookie di marketing (Meta Pixel) vengono installati esclusivamente previo consenso esplicito tramite il nostro banner dei cookie. Il consenso può essere revocato in qualsiasi momento.

Per l'analisi interna della piattaforma memorizziamo inoltre dati anonimizzati nel nostro database (first-party).

Google Analytics 4. Con il tuo consenso esplicito (cookie di analisi nel banner dei cookie) utilizziamo Google Analytics 4 (Fornitore: Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda). Google Analytics utilizza i cookie per analizzare l'utilizzo del sito web — ad esempio, visualizzazioni di pagina, tempo di permanenza, dispositivi utilizzati e l'origine geografica approssimativa. Gli indirizzi IP vengono anonimizzati o abbreviati. In questo processo, i dati possono essere trasmessi ai server di Google – anche negli USA –; la trasmissione avviene sulla base del quadro per la protezione dei dati EU-USA e/o delle clausole contrattuali standard dell'UE ai sensi dell'Art. 46 GDPR. La base giuridica è il tuo consenso ai sensi dell'Art. 6 par. 1 lett. a GDPR. Puoi revocare il tuo consenso in qualsiasi momento con effetto per il futuro tramite le impostazioni dei cookie. Informativa sulla privacy di Google

7. Durata di conservazione

• Account cliente: fino alla cancellazione da parte dell'utente
• Dati di prenotazione: 10 anni (obbligo di conservazione fiscale ai sensi del § 147 AO)
• Recensioni: permanente, fino a quando l'utente non le elimina (Pseudonimizzazione possibile)
• Sessioni Analytics: 12 mesi
• Log del server: 30 giorni
• Indirizzi IP: 7 giorni, dopodiché anonimizzazione
• Messaggi di chat: fino alla cancellazione dell'account
• Consenso al marketing via email: fino a revoca

8. I tuoi diritti come interessato

In qualità di persona interessata, Lei ha il diritto di:

• Informazioni (Art. 15 DSGVO) — sapere quali dati trattiamo su di Lei
• Correzione (Art. 16 DSGVO) — Rettifica di dati errati
• Eliminazione (Art. 17 DSGVO) — Diritto all'oblio
• Limitazione del trattamento (Art. 18 DSGVO)
• Portabilità dei dati (Art. 20 DSGVO) — Dati in formato leggibile da macchina
• Opposizione (Art. 21 DSGVO) — di opporti al trattamento basato sull'interesse legittimo
• Revoca del consenso (Art. 7 Abs. 3 DSGVO) — con effetto per il futuro

La cancellazione dell'account è possibile in qualsiasi momento a: Mein Konto → Impostazioni
Le richieste relative ai diritti di protezione dei dati devono essere inviate via e-mail a: info@lushly.world

9. Diritto di reclamo presso un'autorità di controllo

Ai sensi dell'Art. 77 GDPR, Lei ha il diritto di presentare un reclamo a un'autorità di controllo per la protezione dei dati — in particolare nello Stato membro della Sua residenza abituale, del Suo luogo di lavoro o del luogo della presunta violazione.

L'autorità competente per noi è:
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefono: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Sicurezza dei dati

Utilizziamo la crittografia SSL/TLS (HTTPS) per tutta la trasmissione dei dati. Le password vengono hashate con bcrypt e non sono mai memorizzate in chiaro. I dati di pagamento sono elaborati esclusivamente da Stripe (PCI-DSS Level 1). I backup sono conservati in forma crittografata.

11. Trasferimento verso paesi terzi

Qualora i dati vengano trasferiti in paesi terzi, ciò avviene su una delle seguenti basi. Negli USA — ad esempio tramite Groq, il Meta-Pixel o Google Analytics — sulla base delle Clausole Contrattuali Standard UE ai sensi dell'Art. 46 GDPR e/o di una decisione di adeguatezza ai sensi dell'Art. 45 GDPR (ad es. EU-US Data Privacy Framework). Negli Emirati Arabi Uniti — esclusivamente tramite l'assistente Telegram opzionale, vedi sezione 5c — sulla base del tuo esplicito consenso ai sensi dell'Art. 49 par. 1 lett. a GDPR; per gli EAU non esiste una decisione di adeguatezza. Senza il collegamento dell'assistente Telegram, questo trasferimento non avviene. Controlliamo attentamente i destinatari.

12. Decisioni automatizzate, Profilazione

Non utilizziamo processi decisionali completamente automatizzati con effetti giuridici. Gli Insights settimanali generati automaticamente per i proprietari di saloni servono esclusivamente a scopo informativo e non costituiscono una decisione giuridicamente vincolante.

13. Notifiche push (PWA)

Lushly è una Progressive Web App (PWA). Le notifiche push vengono inviate solo dopo il consenso esplicito dell'utente (autorizzazione del browser). Il consenso può essere revocato in qualsiasi momento nelle impostazioni del browser.

14. Accessi social (Google / Facebook OAuth)

Quando si effettua l'accesso tramite Google o Facebook, ci vengono trasmessi i seguenti dati: nome, indirizzo e-mail e immagine del profilo. Altri dati del Suo profilo Google/Facebook non vengono recuperati. Si applicano inoltre le politiche sulla privacy di Google e di Meta.

15. Modifiche a questa informativa sulla privacy

Ci riserviamo il diritto di modificare occasionalmente questa informativa sulla privacy per adeguarla alle attuali esigenze legali o per implementare modifiche ai nostri servizi. La versione più recente è sempre consultabile su questa pagina. In caso di modifiche sostanziali, gli utenti registrati verranno informati via e-mail.