Informativa sul trattamento dei dati personali · Regolamento (UE) 2016/679

Privacy

Clienti, appuntamenti, magazzino e chat stanno sul tuo device e, se lo scegli, sul tuo Google Drive. AgendaCRM non li riceve. Qui sotto c'è, voce per voce, il poco che invece tratta: l'account, le notifiche e, se la accendi, la prenotazione online.

In breve

Clienti, appuntamenti, magazzino, chat	sul tuo device e sul tuo Drive. Non passano da AgendaCRM e non ne ho copia
Account	facoltativo. Se lo associ, tengo la tua email Google, su un database nell'Unione europea
Prenotazione online	facoltativa. La pagina mostra gli orari liberi che scegli di pubblicare. Le richieste dei clienti ti arrivano in busta chiusa: le recapito senza poterle aprire
Cookie	solo tecnici: uno per l'account, due di sicurezza di Cloudflare sulle pagine pubbliche. Niente profilazione, niente pubblicità
Statistiche	sulle pagine pubbliche, Web Analytics di Cloudflare: numeri complessivi delle visite, senza cookie. Nell'app, un segnale anonimo al giorno per contare i device
Copie	le tieni tu. Non avendone, non posso recuperare i dati che perdi

Chi tratta i dati

Andrea Salvatore Palla, che sviluppa e gestisce AgendaCRM, è il titolare del trattamento per i dati di questa informativa: account, sessioni, registri del server, email. Per scrivermi: info@offlineagendacrm.it.

Dei dati dei tuoi clienti e della tua attività il titolare sei tu. AgendaCRM è lo strumento con cui li tieni: io non li vedo e non li conservo.

Se usi l'app

I dati della tua attività

• Clienti, appuntamenti, lista d'attesa, coda, trattative, moduli compilati con le firme, magazzino, listino, messaggi, note, scadenze, pacchetti e buoni, preventivi, fornitori, incassi, spese, storico e richieste di prenotazione ritirate stanno nel browser del tuo device e, se associ Google, in un file sul tuo Drive.
• Non passano dal mio server e non ne tengo copia da nessuna parte.
• Le firme dei moduli si salvano come disegno del tratto, senza pressione né velocità della mano, insieme al modulo.
• «Da fare oggi» ricorda quali messaggi hai già mandato (cliente, tipo, giorno), nello stesso archivio. I messaggi partono dal tuo WhatsApp o dal tuo programma di posta.
• «Aggiungi a Google Calendar», nel modulo di un appuntamento, è un link: se lo tocchi, descrizione, cliente, orario, operatore e nota vanno a Google, nel tuo account, come quando apri un link WhatsApp. Finché non lo tocchi non parte niente, e l'app non chiede nessun permesso sul tuo calendario.
• Se cancelli i dati del sito dal browser, spariscono da quel device. Il file sul Drive resta finché non lo cancelli tu.

Se perdi i dati

Le copie le tieni tu: sul tuo Google Drive, sugli altri device collegati, in una cartella sul computer, con «Salva una copia» (come funzionano). Io non ne ho, quindi non posso recuperarli: scrivermi non serve a riaverli.

Codici a barre

La fotocamera legge il codice sul tuo device: le immagini non escono da lì. Se il codice non è ancora in magazzino e c'è rete, l'app chiede nome e marca a Open Food Facts, Open Beauty Facts e Open Products Facts, database liberi e gratuiti: ricevono solo il numero del codice, insieme all'indirizzo IP come ogni sito. Io non vedo niente.

Il conteggio dei device

Una volta al giorno l'app dice al server che è stata aperta, con due sole informazioni: se c'è un account Google associato e se il device è ancora alla prima schermata. Il server aggiunge uno al totale di quel giorno. Nessun identificativo e nessun dato della tua attività: due segnali dello stesso device non si possono collegare. Come le altre richieste, passa dal controllo contro le raffiche, con un'impronta cifrata dell'indirizzo IP che si cancella entro due ore. Nella demo non parte.

L'account

L'app si usa anche senza. Se associ l'account Google, sul mio server tengo:

• un identificativo mio, l'identificativo Google del tuo account e la tua email;
• quando l'hai creato e quando l'hai usato l'ultima volta;
• le attività in cui sei titolare: l'identificativo del file sul Drive, mai il contenuto;
• le attività in cui sei nello staff: il tuo posto nel personale, mai il nome;
• i device su cui hai attivato le notifiche (sotto).

Il database sta da Cloudflare, nell'Unione europea.

Quando associ l'account, il codice che Google rimanda all'app resta sul server al massimo due minuti, poi sparisce. Da solo non apre niente.

Per collegare un altro device, il codice QR e il link portano un codice che lo fa entrare con il tuo account, senza passare da Google. Vale dieci minuti e una volta sola: sul server ne resta un'impronta, insieme al permesso di rinnovo cifrato del device che l'ha creato, finché non viene usato o scade. Chi lo riceve entra con il tuo account: mandalo solo a te stesso.

Sul tuo device l'app tiene un registro dei passi del collegamento a Google: orari ed esiti, mai email o permessi. Esce dal device solo se lo copi tu.

Google Drive

• Permesso: drive.file, cioè solo i file creati dall'app. Il resto del tuo Drive non lo vedo.
• Uso: scrivere e rileggere l'archivio della tua attività e la chat dello staff, e condividerli con lo staff che colleghi tu. Nient'altro.
• Accesso: vale un'ora e resta sul tuo device fino alla scadenza.
• Rinnovo: la prima volta Google dà anche un permesso di rinnovo. Il server lo cifra e lo restituisce al tuo device, senza conservarlo. Serve a rinnovare l'accesso senza chiederti niente.
• Niente vendita, niente pubblicità, niente addestramento di intelligenza artificiale.

L'uso dei dati ricevuti dalle API di Google rispetta la Google API Services User Data Policy, compresi i requisiti di uso limitato.

Il cookie

• __Host-sessione: tiene aperto l'account fra l'app e il server. È tecnico: senza, l'account non funziona.
• Dura 90 giorni dall'ultima volta che usi l'app, e ogni giorno di uso riparte da capo. Sul server ne tengo solo un'impronta, non il cookie.
• Nessun cookie di profilazione, di statistica o di pubblicità. Se un giorno ci saranno annunci, lo scriverò qui prima: solo sulle pagine pubbliche, mai nell'app.

Uscire e cancellare

«Esci»	chiude l'account su quel device. Gli altri restano collegati
«Cancella account»	toglie dal server account, sessioni, attività, posti nello staff, iscrizioni alle notifiche, pagina di prenotazione e richieste non ritirate, e ritira il permesso da Google
Da Google	togli AgendaCRM dalle app collegate al tuo account

In tutti i casi il file resta sul tuo Drive.

Staff e dipendenti

• Per collegare una persona serve la sua email Google: l'archivio sul tuo Drive viene condiviso con lei, e Google la avvisa. Se c'è la chat, anche quella, senza avviso.
• Il codice di sei cifre per farla entrare vale dieci minuti. Contiene l'attività, la persona, la sua email e il suo nome. Usato o scaduto, sparisce.
• Ogni modifica registra chi l'ha fatta e quando. Se lavori con dei dipendenti, devi informarli (art. 4 dello Statuto dei lavoratori, legge 300/1970).
• «Elimina definitivamente» cancella nome, telefono, email e note da tutti i device. Restano le versioni precedenti del file sul tuo Drive e le tue copie, finché non le cancelli.

La chat dello staff

• I messaggi stanno in un file a parte sul Drive del titolare, agendacrm-chat.json, condiviso con lo staff collegato. Non passano dal mio server.
• Ogni messaggio porta il testo, la data e l'ora, il nome e il colore di chi l'ha scritto.
• Nel file e su ogni device restano gli ultimi 500 messaggi: quando ne arriva uno nuovo, l'app toglie il più vecchio. Sul device restano finché non si cancellano i dati del sito dal browser. Google tiene per conto suo le versioni precedenti del file, fino a 30 giorni.
• Se su un device è collegata una cartella (Impostazioni → Copie → Cartella), quel device ci scrive anche la chat che riceve: un file di testo al giorno, nella sottocartella chat. Resta lì finché non lo cancelli.
• Li legge solo chi ha accesso al file: tu e lo staff collegato. Dentro il file non sono cifrati. Togliere l'accesso a una persona la toglie anche dalla chat; quello che aveva già sul suo device resta lì.

Le notifiche

• Facoltative, device per device: si attivano dalla chat o da Impostazioni, e da Impostazioni si spengono.
• Per ogni device che le attiva il server tiene l'indirizzo che il browser ha ricevuto dal suo servizio di notifiche (Google, Apple, Mozilla o Microsoft, lo sceglie il browser), due chiavi pubbliche, il tuo account, l'attività, la data di iscrizione e quella dell'ultima conferma.
• Nelle notifiche della chat, il nome di chi scrive e l'inizio del messaggio (fino a 120 caratteri) li cifra il device di chi scrive, per ogni device che li riceve. Il server li inoltra senza poterli leggere, e così il servizio di notifiche.
• Le notifiche arrivano anche quando il titolare conferma i turni di una settimana, solo alle persone il cui turno è cambiato, con lo stesso meccanismo: titolo e settimana («Settimana dal 2 novembre») li cifra il device del titolare per ogni device che li riceve; orari e turni non ci sono. Per scegliere i device, il server dice al titolare a quale account è legato ciascuno.
• Le notifiche delle richieste di prenotazione le cifra il server e dicono solo che ne è arrivata una: chi l'ha mandata non c'è.
• Il servizio di notifiche vede che a quel browser arriva una notifica, quando e quanto pesa.
• L'iscrizione si cancella quando spegni le notifiche, quando esci dallo staff, con «Cancella account», o dopo 60 giorni in cui il device non si fa vivo.

La prenotazione online

Facoltativa: la accende il titolare (Impostazioni → Prenotazione online), con l'account Google associato, dopo aver accettato le Condizioni per le attività, che contengono l'accordo sul trattamento dei dati (art. 28).

• La pagina (offlineagendacrm.it/prenota/ e il nome che scegli) è pubblica: chi ha il link vede il nome dell'attività, telefono, indirizzo e link alla tua informativa se li scrivi, i servizi prenotabili con durata e prezzo, i nomi delle persone prenotabili e gli orari liberi delle prossime settimane. Mai clienti né appuntamenti: solo i buchi fra un appuntamento e l'altro.
• Sul server, con la pagina, c'è la chiave pubblica dell'attività. La chiave privata sta nell'archivio della tua attività, quindi sui device e sul Drive, mai da me.
• I device dell'attività ripubblicano gli orari quando l'agenda cambia. Una pagina che nessun device aggiorna da 7 giorni non accetta richieste.
• Le richieste arrivano in busta chiusa, cifrate nel browser di chi prenota. Un device dell'attività le ritira, le apre e le mette nell'archivio sul Drive: dal server spariscono in quel momento, e comunque dopo 7 giorni. Le custodisco per conto della tua attività, che ne è titolare, senza poterle aprire.
• Se una richiesta aspetta più di due ore, mando un'email all'indirizzo del tuo account: quante richieste e da quando, mai chi le ha mandate. Si spegne in Impostazioni → Prenotazione online.
• Le richieste a cui si è risposto si tolgono dall'archivio dopo 30 giorni. Se ne confermi una, i dati di chi ha prenotato entrano nella scheda cliente, come quelli che scrivi tu.
• Con la pagina tengo quale versione delle condizioni è stata accettata, quando e da quale account.
• Se sospendo una pagina (punto 5 delle condizioni), tengo il suo nome, la data e il motivo finché non la riattivo o l'account viene cancellato.
• «Spegni la prenotazione» toglie la pagina, le richieste non ritirate e l'accettazione delle condizioni. Il nome della pagina torna libero.
• Dei dati di chi prenota da te il titolare sei tu: tocca a te dire ai tuoi clienti come li usi e per quanto li tieni. Per questo la pagina può mostrare il link alla tua informativa.

Senza account Google c'è anche il link per le richieste su WhatsApp: nome dell'attività, servizi e orari di apertura stanno nel link stesso, dopo il #, che il browser non manda a nessun server. La richiesta parte dal WhatsApp o dall'email di chi prenota.

Gli assistenti IA

Se chiedi a un assistente (Claude, ChatGPT e simili) di preparare un appuntamento o un cliente, quello che gli dici passa dal server solo per comporre il link da aprire, e non lo conservo. Se un assistente chiede gli orari liberi di un'attività, legge la stessa pagina pubblica che vede chiunque.

Se prenoti da un'attività

Questa parte è per chi chiede un appuntamento dalla pagina di prenotazione di un'attività che usa AgendaCRM.

• Il titolare dei tuoi dati è l'attività a cui scrivi: il suo nome è in cima alla pagina, e se ha un'informativa sua il link è accanto al tasto per inviare. Per sapere come usa i tuoi dati, per quanto li tiene e per esercitare i tuoi diritti, rivolgiti a lei.
• Nome, telefono, email e note partono dal tuo browser in busta chiusa (cifrati): la chiave per aprirla ce l'ha solo l'attività. AgendaCRM la recapita senza poterla aprire e la tiene finché l'attività non la ritira, al massimo 7 giorni.
• Fuori dalla busta ci sono solo giorno, ora, durata, persona scelta e, se il servizio ne usa una, la cabina o la sala: servono a non dare lo stesso orario a due clienti. Spariscono con la busta.
• Per fermare chi manda richieste a raffica tengo un'impronta cifrata del tuo indirizzo IP, non l'indirizzo. Si cancella entro due ore.
• Prima dell'invio, Turnstile di Cloudflare controlla che a scrivere sia una persona e non un programma. Per farlo usa l'indirizzo IP e alcune informazioni tecniche del browser; non mette cookie di profilazione e non fa pubblicità (informativa di Turnstile, aggiornata il 18 giugno 2025).
• La risposta arriva dall'attività, su WhatsApp o per email. Io non ti scrivo.

Se visiti il sito

• Le pagine pubbliche hanno un controllo di sicurezza di Cloudflare che distingue le persone dai programmi automatici. Per farlo uno script di Cloudflare legge alcune informazioni tecniche del browser e salva due cookie tecnici: cf_clearance, che dura fino a un anno, e __cf_ob, che si cancella alla chiusura del browser. Niente profilazione, niente pubblicità.
• Cloudflare tiene un registro degli accessi al sito (indirizzo IP, browser, pagina) per farlo funzionare e proteggerlo. Dal registro mi mostra solo numeri complessivi (visite, richieste, Paesi di provenienza), che uso per capire quando e come migliorare il sito.
• Se una pagina non si carica, il browser può segnalare a Cloudflare il tipo di errore di rete.
• Nelle pagine pubbliche e nel manuale, non nell'app né nella pagina di prenotazione, c'è Web Analytics di Cloudflare. Uno script scaricato da static.cloudflareinsights.com manda a cloudflareinsights.com la pagina visitata, senza i parametri dell'indirizzo, la pagina da cui arrivi e i tempi di caricamento. Cloudflare ne ricava Paese, tipo di device, browser e sistema operativo, e mi mostra solo numeri complessivi. Secondo la sua documentazione non usa cookie né altri dati salvati nel browser e non riconosce le persone dall'indirizzo IP o dal browser. Tiene i dati completi 7 giorni, poi solo un campione.
• I caratteri stanno su questo dominio: oltre a Cloudflare, nessun altro servizio riceve il tuo indirizzo IP mentre leggi.

Sicurezza e registri

• Il server registra per ogni richiesta solo l'operazione, l'esito e la durata. Mai email, indirizzi IP, cookie o permessi.
• Cloudflare registra anche i tempi delle operazioni del server (chiamate a Google, a Brevo e al database) e raggruppa gli errori, per capire cosa migliorare. Senza contenuti, e con gli indirizzi senza parametri.
• Per fermare chi prova codici a caso tengo un'impronta cifrata dell'indirizzo IP, non l'indirizzo. Si cancella entro due ore.

Le email

• Ti scrivo solo per avvisi di servizio: se una richiesta di prenotazione aspetta (e solo se hai la prenotazione accesa), se il tuo account resta fermo per due anni, un mese prima di rimuoverlo, e quando lo chiedono le Condizioni per le attività (condizioni nuove, pagine sospese, fornitori nuovi, violazioni dei dati).
• Se mi scrivi, uso il tuo indirizzo solo per risponderti.
• Se segnali una pagina di prenotazione, uso il tuo nome, la tua email e quello che scrivi per esaminare la segnalazione e comunicarti la decisione. All'attività dico il motivo, non chi ha segnalato, salvo che serva per decidere.
• «Segnala un problema» apre un'email già scritta nel tuo programma di posta: la versione dell'app, il browser, la lingua e gli ultimi errori di quella sessione. Gli errori possono contenere nomi di clienti: li vedi prima di mandare e cancelli quello che non vuoi. Niente parte da solo.
• Niente newsletter, niente liste, niente cessione a terzi.

Fornitori

Cloudflare	sito, server, database degli account (nell'UE), registri e statistiche complessive (anche Web Analytics sulle pagine pubbliche), controllo di sicurezza sulle pagine pubbliche, Turnstile sulla pagina di prenotazione
Google	accesso con l'account Google, archivio e chat sul tuo Drive
Brevo	invio delle email di servizio
Servizi di notifiche dei browser	consegna delle notifiche, cifrate: Google, Apple, Mozilla o Microsoft, a seconda del browser
ImprovMX	inoltro delle email a info@

Nessuno di loro riceve clienti, appuntamenti o magazzino. Le richieste di prenotazione passano da Cloudflare chiuse.

Fuori dall'Unione europea

Cloudflare e Google hanno sede negli Stati Uniti. Il trasferimento si basa sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-US Data Privacy Framework) e, in mancanza, sulle clausole contrattuali tipo. Il database degli account resta nell'Unione europea.

I servizi di notifiche dei browser possono stare fuori dall'Unione europea: ricevono l'indirizzo del browser e messaggi cifrati che non possono aprire.

Brevo è un'azienda francese con i server nell'Unione europea; società del suo gruppo in altri Paesi possono accedervi con le stesse garanzie.

Per quanto tempo

Dati della tua attività	finché li tieni tu
Archivio sul Drive	finché non lo cancelli
Messaggi della chat sul Drive	gli ultimi 500; le versioni precedenti del file, fino a 30 giorni, le tiene Google
Messaggi della chat sui device	gli ultimi 500
Chat nella cartella collegata	finché non la cancelli
Account	finché lo usi. Dopo 24 mesi senza accessi viene rimosso, con un'email almeno 30 giorni prima
Sessione	90 giorni dall'ultima volta che usi l'app
Dopo «Cancella account»	subito dal server; fino a 7 giorni nelle copie di sicurezza del database
Iscrizioni alle notifiche	finché le tieni attive; 60 giorni dall'ultima volta che il device si fa vivo
Pagina di prenotazione e condizioni accettate	finché la prenotazione è accesa
Richieste di prenotazione sul server	fino al ritiro da parte dell'attività, al massimo 7 giorni
Richieste a cui si è risposto, nell'archivio dell'attività	30 giorni
Codici dello staff	10 minuti
Codici per collegare un altro device	10 minuti, o fino all'uso
Codice di ritorno da Google	2 minuti
Impronte degli indirizzi IP	entro due ore
Totali giornalieri dei device	senza limite: sono numeri, non dati personali
Registro e tempi del nostro server	fino a 7 giorni
Registro di Cloudflare	secondo i tempi di Cloudflare
Web Analytics	7 giorni completi, poi un campione nei numeri complessivi di Cloudflare
Cookie di sicurezza delle pagine pubbliche	cf_clearance fino a un anno; __cf_ob fino alla chiusura del browser
Email che mi scrivi	fino a due anni dall'ultimo messaggio, o prima se me lo chiedi
Segnalazioni delle pagine	fino a due anni dalla decisione

Su quale base

Account, sessione e cookie	sono necessari al servizio che chiedi (art. 6, par. 1, lett. b)
Archivio e chat sul Drive	il tuo consenso, che puoi revocare quando vuoi (art. 6, par. 1, lett. a)
Staff e codici	sono necessari al servizio che chiedi (lett. b)
Collegare un altro device	è necessario al servizio che chiedi (lett. b)
Notifiche	sono necessarie al servizio che chiedi, quando le attivi (lett. b)
Pagina di prenotazione, condizioni ed email delle richieste	sono necessarie al servizio che chiedi, quando la accendi (lett. b)
Richieste di chi prenota	le custodisco per conto dell'attività, che ne è titolare (art. 28)
Turnstile e impronte IP sulla prenotazione	legittimo interesse a difendere la pagina dalle richieste automatiche (lett. f)
Email prima della rimozione	legittimo interesse a non farti perdere un account senza saperlo (lett. f)
Registri e impronte IP	legittimo interesse alla sicurezza del servizio (lett. f)
Controllo di sicurezza delle pagine pubbliche	legittimo interesse a proteggere il sito dai programmi automatici (lett. f e considerando 49). I due cookie sono tecnici: non serve il consenso (art. 122 del Codice privacy)
Statistiche complessive delle visite	legittimo interesse a migliorare il sito (lett. f)
Conteggio giornaliero dei device	legittimo interesse a sapere quanto è usata l'app (lett. f)
Email che mi scrivi	legittimo interesse a risponderti (lett. f)
Segnalazioni delle pagine	obbligo di legge (lett. c; art. 16 del Regolamento (UE) 2022/2065)

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opporti al trattamento e revocare il consenso scrivendo a info@offlineagendacrm.it. L'account lo cancelli anche da solo, con «Cancella account». I dati della tua attività li gestisci e li cancelli tu, dall'app.

Se ritieni che il trattamento violi le norme, puoi presentare reclamo al Garante per la protezione dei dati personali.

Modifiche

Ogni modifica cambia la data qui sotto. Le versioni precedenti sono disponibili su richiesta.

In vigore dal 28 ottobre 2026.