Informativa Privacy
ai sensi degli artt. 13 e 14 GDPR

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

• Ragione sociale: Enterservice S.r.l.s. unipersonale
• Sede legale: Via Casilina 3, 00182 Roma (RM), Italia
• C.F. / P.IVA: 15795691003
• REA: RM-1614574
• Legale rappresentante: Marius Veronesi (Amministratore Unico)
• Email contatto privacy: privacy@enterhouse.it (in alternativa: info@enterhouse.it)
• PEC: enterservicesrls@namirialpec.it

DPO (Data Protection Officer): al momento non è stato nominato un Responsabile della protezione dei dati, non ricorrendone l'obbligo. Per ogni questione attinente alla protezione dei dati personali è possibile contattare il Titolare all'indirizzo privacy@enterhouse.it. Enterservice si riserva di nominare un DPO in futuro, ove ne ricorrano i presupposti.

2. Ambito di applicazione dell'informativa

La presente Privacy Policy si applica ai trattamenti di dati personali effettuati da Enterservice tramite:

• il sito web https://enterhouse.it;
• i sottodomini dedicati ai singoli Clienti del gestionale SaaS (<slug>.enterhouse.it);
• il software gestionale EnterHouse e i servizi connessi (es. invio di email e SMS transazionali, reminder, integrazioni di pagamento).

Le categorie di interessati sono:

1. Visitatori del sito: chiunque navighi sul sito o sui sottodomini, anche senza registrarsi o inviare richieste.
2. Lead: soggetti che compilano i form pubblici (es. richiesta demo, richiesta informazioni, richiesta registrazione).
3. Clienti e operatori con login: titolari dei centri e loro collaboratori autorizzati, che accedono al gestionale EnterHouse con le proprie credenziali (magic link/passwordless) per la gestione delle attività.
4. Clienti finali dei centri: persone fisiche che si rivolgono ai centri che adottano il gestionale EnterHouse (prenotazioni, trattamenti, abbonamenti, schede anamnestiche, ecc.).

Per i clienti finali dei centri, Enterservice opera in qualità di Responsabile esterno del trattamento per conto del Centro Cliente, che rimane Titolare autonomo. La presente informativa descrive in via generale tali trattamenti, fermo restando quanto meglio disciplinato nel Data Processing Agreement (DPA) stipulato tra Enterservice e il Centro Cliente.

3. Categorie di dati personali trattati

3.1 Visitatori del sito enterhouse.it e sottodomini

Per i visitatori del sito e dei sottodomini vengono trattati, in particolare:

• Dati tecnici di navigazione: indirizzo IP; user-agent del browser; pagine visitate; data e ora della visita (timestamp); pagina di provenienza (referrer); eventuali log tecnici dei sistemi.
• Cookie tecnici: cookie di sessione; cookie per le preferenze (es. lingua, impostazioni del sito); cookie per la sicurezza e la prevenzione di abusi.
• Cookie analitici (se attivati): identificativi anonimizzati; eventi di navigazione e statistiche di utilizzo del sito.

Il sito non utilizza, allo stato attuale, cookie di profilazione a fini di marketing. Per il dettaglio dei cookie e tecnologie simili impiegati, si rinvia alla Cookie Policy disponibile su enterhouse.it/cookie.

3.2 Lead (form "demo", "registrati" e form pubblici)

Per i soggetti che compilano i form pubblici presenti sul sito (es. richiesta demo, registrazione, richiesta informazioni), possono essere trattate le seguenti categorie di dati:

• Dati identificativi: nome, cognome; denominazione/nome del centro.
• Dati di contatto: indirizzo email; numero di telefono / WhatsApp.
• Dati commerciali: tipologia di centro (es. settore di attività); città/localizzazione; eventuale slug o parametro di provenienza commerciale (es. ?ref=).
• Dati fiscali (solo per i form di registrazione commerciale): partita IVA; codice fiscale dell'azienda; ragione sociale; codice SDI/PEC; indirizzo della sede legale o di fatturazione.
• Consensi: consenso privacy (obbligatorio per l'invio della richiesta); eventuale consenso al marketing (facoltativo e separato).

3.3 Clienti (titolari) e operatori con login

Per i Clienti (centri) che sottoscrivono un abbonamento EnterHouse e per i loro operatori autorizzati con account di accesso, sono trattati:

• Dati identificativi e di contatto: nome e cognome; indirizzo email; numero di telefono; ruolo nel centro (es. titolare, operatore, collaboratore).
• Dati di account: credenziali di accesso gestite in modalità passwordless (es. magic link via email); token di sessione; log di accesso (data, ora, IP, dispositivo).
• Dati fiscali e di fatturazione: partita IVA; ragione sociale; indirizzo di fatturazione; codice SDI/PEC; altri dati necessari per la fatturazione elettronica e la gestione amministrativa.
• Dati di pagamento: informazioni di pagamento gestite tramite il provider esterno Revolut (token di pagamento); dati di carta non memorizzati sui server Enterservice, ma trattati direttamente dal provider certificato.
• Dati di utilizzo del gestionale: log di attività (audit log) relativi alle operazioni eseguite nell'applicativo (es. creazione/modifica schede, prenotazioni, impostazioni); preferenze di configurazione dell'account; parametri impostati dal Cliente nel gestionale.

3.4 Clienti finali dei centri (dati trattati per conto dei Centri Clienti)

Quando un Centro Cliente utilizza EnterHouse per la gestione dei propri clienti finali (es. per prenotazioni, trattamenti, fatturazione, fidelizzazione), Enterservice tratta, per conto del Centro, le seguenti tipologie di dati dei clienti finali:

• Dati identificativi: nome, cognome; data di nascita; sesso.
• Dati di contatto: email; numero di telefono; indirizzo fisico.
• Dati relativi ai servizi e prenotazioni: servizi prenotati; storico appuntamenti; eventuali note inserite dall'operatore del Centro.
• Dati di marketing e fidelizzazione (se attivati dal Centro): punti fedeltà; gift card; abbonamenti acquistati; campagne promozionali attivate dal Centro.
• Categorie particolari di dati (art. 9 GDPR), ove previste dal Centro: schede anamnestiche (es. allergie, condizioni mediche, gravidanza, farmaci assunti); fotografie pre/post trattamento. Tali trattamenti sono attivi solo se il Centro Cliente ha specificamente abilitato i moduli verticali corrispondenti nel gestionale e ha raccolto il consenso esplicito dei propri clienti finali, secondo le modalità da esso definite nella propria informativa.
• Dati transazionali: scontrini e fatture emesse dal Centro; metodi di pagamento utilizzati presso il Centro; storico degli acquisti e pagamenti registrati nel gestionale.

Per questi trattamenti, Enterservice opera esclusivamente su istruzione del Centro Cliente (Titolare), in base all'accordo di nomina a Responsabile esterno e nel rispetto delle misure di sicurezza e delle istruzioni documentate previste dal DPA.

4. Finalità del trattamento e basi giuridiche

Di seguito sono riepilogate le finalità principali del trattamento e le relative basi giuridiche, con riferimento alle diverse categorie di interessati:

Per quanto riguarda i dati dei clienti finali dei Centri, la base giuridica principale è determinata dal Centro Cliente (Titolare), che la comunica ai propri clienti nella propria informativa privacy. Enterservice tratta tali dati solo nei limiti e per le finalità previste dall'accordo di nomina e dalle istruzioni del Centro.

5. Cookie e tecnologie simili

Il sito e i sottodomini collegati utilizzano cookie e tecnologie affini per diverse finalità:

• Cookie tecnici: necessari al corretto funzionamento del sito e del gestionale (es. sessione, sicurezza, memorizzazione delle preferenze di base). Tali cookie non richiedono il consenso dell'utente.
• Cookie analitici: possono essere utilizzati strumenti di analytics a basso impatto sulla privacy (es. soluzioni privacy-first come Plausible) o altri sistemi di analisi statistica. In funzione dello strumento effettivamente adottato e della sua configurazione, tali cookie possono richiedere o meno il consenso tramite apposito banner.
• Cookie di profilazione/marketing: allo stato attuale non vengono utilizzati cookie di profilazione per finalità di marketing.

Per il dettaglio aggiornato sui cookie effettivamente in uso, sulle rispettive finalità, durata e modalità di gestione delle preferenze (incluso il conferimento e la revoca del consenso, ove necessario), si rinvia alla Cookie Policy pubblicata alla pagina enterhouse.it/cookie.

6. Periodi di conservazione dei dati

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalità per cui sono stati raccolti, nel rispetto dei principi di minimizzazione e limitazione della conservazione. In particolare:

Resta fermo che, in caso di contenzioso, accertamenti o richieste delle Autorità, alcuni dati potranno essere conservati per periodi ulteriori strettamente necessari alla difesa o alla gestione delle richieste stesse.

7. Destinatari dei dati e sub-responsabili del trattamento

Per il perseguimento delle finalità indicate, i dati personali possono essere comunicati a soggetti terzi che agiscono in qualità di Responsabili del trattamento ai sensi dell'art. 28 GDPR (sub-responsabili), sulla base di accordi scritti che prevedono adeguate garanzie in materia di protezione dei dati personali. Tra questi, a titolo esemplificativo:

L'elenco aggiornato dei principali Responsabili del trattamento e sub-responsabili è reso disponibile tramite la presente informativa e, ove necessario, all'interno del pannello del gestionale EnterHouse.

I dati potranno inoltre essere comunicati a soggetti che agiscono quali autonomi Titolari (es. autorità, enti pubblici, professionisti) quando ciò sia richiesto dalla legge o strettamente necessario per la tutela dei diritti del Titolare.

8. Trasferimenti di dati personali verso Paesi extra-UE

Alcuni fornitori di servizi utilizzati da Enterservice si trovano al di fuori dell'Unione europea o trattano dati anche in Paesi extra-UE (ad esempio, provider aventi sede negli Stati Uniti). In tali casi, il trasferimento dei dati avviene nel rispetto delle garanzie previste dalla normativa vigente, in particolare tramite:

1. Clausole Contrattuali Standard (Standard Contractual Clauses – SCC) adottate dalla Commissione Europea nella versione più recente;
2. Misure tecniche e organizzative supplementari, quali cifratura dei dati in transito e a riposo, pseudonimizzazione laddove possibile e limitazione dei dati trasmessi ai soli strettamente necessari;
3. Verifica dell'adesione a eventuali decisioni di adeguatezza e schemi di certificazione applicabili ai fornitori.

L'interessato può richiedere maggiori informazioni sulle garanzie adottate per il trasferimento dei dati verso Paesi terzi, nonché copia delle Clausole Contrattuali Standard applicabili, scrivendo a privacy@enterhouse.it.

9. Diritti dell'interessato

In qualità di interessato, l'utente può esercitare in qualsiasi momento i diritti riconosciuti dalla normativa in materia di protezione dei dati personali, e in particolare:

1. Diritto di accesso: ottenere la conferma che sia o meno in corso un trattamento di dati che lo riguarda e, in tal caso, ricevere informazioni sul trattamento e copia dei dati.
2. Diritto di rettifica: ottenere la correzione dei dati personali inesatti o l'integrazione di quelli incompleti.
3. Diritto alla cancellazione ("oblio"): ottenere la cancellazione dei dati personali che lo riguardano quando ricorrono le condizioni previste (es. dati non più necessari rispetto alle finalità per le quali sono stati raccolti), salvo obblighi di legge che impongano la conservazione (ad esempio, dati contabili e fiscali).
4. Diritto alla limitazione del trattamento: ottenere la limitazione del trattamento dei dati personali nei casi previsti (es. contestazione dell'esattezza dei dati, opposizione al trattamento durante la verifica dei motivi legittimi).
5. Diritto alla portabilità dei dati: ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali forniti, nonché trasmetterli ad un altro titolare, ove tecnicamente possibile. Nel gestionale sono disponibili funzioni di export (es. in formato CSV, Excel o similari).
6. Diritto di opposizione: opporsi in qualsiasi momento al trattamento basato sul legittimo interesse, per motivi connessi alla propria situazione particolare, fermo restando che il Titolare potrà proseguire il trattamento qualora sussistano motivi legittimi prevalenti.
7. Diritto di revoca del consenso: revocare in qualsiasi momento il consenso precedentemente prestato, senza pregiudicare la liceità del trattamento effettuato prima della revoca (es. revoca del consenso al marketing).
8. Diritto di proporre reclamo all'Autorità di controllo competente, qualora ritenga che il trattamento dei dati avvenga in violazione della normativa applicabile.

Modalità di esercizio dei diritti

L'interessato può esercitare i propri diritti rivolgendosi a Enterservice con le seguenti modalità:

• Email: privacy@enterhouse.it (in alternativa: info@enterhouse.it)
• PEC: enterservicesrls@namirialpec.it
• Posta raccomandata: Enterservice S.r.l.s., Via Casilina 3, 00182 Roma (RM), Italia

Il Titolare si impegna a fornire riscontro entro 30 giorni dalla ricezione della richiesta, termine che potrà essere prorogato, ove necessario, di ulteriori 60 giorni in considerazione della complessità e del numero delle richieste, dandone comunque comunicazione motivata all'interessato. Per garantire la sicurezza e prevenire accessi non autorizzati, il Titolare potrà richiedere informazioni aggiuntive o copia di un documento di identità per verificare l'identità del richiedente.

10. Misure di sicurezza tecniche e organizzative

Enterservice adotta misure tecniche e organizzative adeguate al rischio, volte a garantire un livello di sicurezza adeguato per i dati personali trattati, tra cui:

Misure tecniche

• Cifratura delle comunicazioni in transito tramite protocolli crittografici aggiornati (es. TLS 1.2 o superiore).
• Cifratura "at-rest" dei dati memorizzati nei database e nei bucket di storage forniti dall'infrastruttura cloud (D1, R2), mediante chiavi gestite dal provider.
• Cifratura applicativa delle credenziali sensibili (es. password SMTP dei tenant) tramite algoritmi moderni (AES-GCM).
• Tokenizzazione e gestione esterna dei dati di carta di pagamento da parte del provider Revolut, certificato secondo gli standard di sicurezza di settore; i dati della carta non transitano né vengono memorizzati sui server Enterservice.
• Utilizzo di un sistema di autenticazione passwordless per gli utenti del gestionale (magic link via email), evitando la memorizzazione di password.
• Cookie di sessione configurati con attributi di sicurezza (HttpOnly, Secure, SameSite).
• Isolamento logico dei tenant (multi-tenant isolation) mediante l'uso sistematico di identificativi di tenant in ogni query e logica applicativa.
• Audit log di accesso e delle operazioni sui dati personali più sensibili.
• Backup regolari dei dati con conservazione limitata nel tempo (retention 30 giorni) e procedure di ripristino testate.
• Protezione DDoS e meccanismi di rate limiting a livello di infrastruttura (tramite Cloudflare o equivalente).

Misure organizzative

• Accesso ai dati limitato al solo personale autorizzato e formato, in base a profili di autorizzazione e al principio del "need to know".
• Procedure interne per la gestione degli incidenti di sicurezza e delle violazioni dei dati personali (data breach).
• Nomina formale e istruzioni scritte ai Responsabili del trattamento e sub-responsabili.
• Tenuta e aggiornamento del registro dei trattamenti.
• Valutazioni d'impatto sulla protezione dei dati (DPIA) per le attività di trattamento che presentano un rischio elevato per i diritti e le libertà degli interessati (es. moduli verticali che comportano il trattamento di categorie particolari di dati dei clienti finali dei Centri).

11. Gestione delle violazioni dei dati personali (data breach)

In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà delle persone fisiche, Enterservice:

1. attiverà le procedure interne per l'analisi e la gestione dell'incidente, contenendo ove possibile gli impatti;
2. valuterà la gravità della violazione e, qualora ne ricorrano i presupposti, provvederà alla notifica all'Autorità garante competente entro i termini di legge;
3. qualora la violazione presenti un rischio elevato per i diritti e le libertà delle persone fisiche, informerà senza ingiustificato ritardo gli interessati coinvolti, con indicazione delle misure adottate o proposte per porre rimedio alla violazione;
4. documenterà ogni violazione dei dati personali in un apposito registro interno.

Per i clienti finali dei Centri, le attività di notifica all'Autorità di controllo e agli interessati competono in prima battuta al Centro Cliente, in quanto Titolare del trattamento. Enterservice, in qualità di Responsabile esterno, fornisce al Centro tutta l'assistenza necessaria, nei tempi e con le modalità previsti dal DPA.

12. Modifiche e aggiornamenti della presente informativa

Enterservice si riserva il diritto di modificare, integrare o aggiornare la presente Privacy Policy in qualsiasi momento, anche in considerazione di eventuali evoluzioni normative o cambiamenti nei trattamenti effettuati.

Le versioni aggiornate saranno pubblicate sul sito enterhouse.it/privacy, riportando la data dell'ultimo aggiornamento.

In caso di modifiche sostanziali (a titolo esemplificativo: introduzione di nuove finalità di trattamento, utilizzo di nuovi sub-responsabili extra-UE, trattamento di nuove categorie di dati), Enterservice informerà in modo adeguato gli interessati, ad esempio tramite:

• comunicazioni email ai Clienti abbonati;
• avvisi o notifiche all'interno del pannello del gestionale EnterHouse;
• avvisi pubblicati sul sito web.

L'uso continuato del servizio successivamente alla pubblicazione delle modifiche comporta l'accettazione della Privacy Policy aggiornata, fermo restando il diritto degli interessati di revocare il consenso (ove il trattamento sia fondato su tale base giuridica) o esercitare gli altri diritti previsti.

13. Sezione speciale: trattamento dei dati dei clienti finali dei Centri

Quando un Centro Cliente utilizza EnterHouse per la gestione dei propri clienti finali (prenotazioni, trattamenti, schede anamnestiche, fidelizzazione, fatturazione):

• Il Centro Cliente è Titolare autonomo del trattamento dei dati personali dei propri clienti finali.
• Enterservice S.r.l.s. agisce esclusivamente in qualità di Responsabile esterno del trattamento, ai sensi dell'art. 28 GDPR, sulla base di un apposito DPA accettato dal Centro Cliente contestualmente o in collegamento con i Termini di Servizio.
• Il Centro è responsabile di: fornire ai propri clienti finali una informativa privacy completa e conforme; raccogliere i consensi necessari, in particolare per l'eventuale trattamento di categorie particolari di dati (es. dati sanitari, schede anamnestiche, foto pre/post trattamento); determinare le basi giuridiche dei trattamenti, i tempi di conservazione e le modalità di esercizio dei diritti.

Conseguenze pratiche per i clienti finali dei Centri:

• L'informativa privacy visualizzata dai clienti finali (ad esempio in fase di booking online, compilazione di una scheda anamnestica, sottoscrizione di un abbonamento) è quella fornita dal Centro Cliente, non da Enterservice.
• I diritti privacy (accesso, rettifica, cancellazione, opposizione, ecc.) vanno esercitati direttamente nei confronti del Centro Cliente, che gestisce le richieste in qualità di Titolare.
• Enterservice non utilizza i dati dei clienti finali per finalità proprie di marketing diretto verso il consumatore o profilazione autonoma. Potranno essere svolte analisi statistiche o elaborazioni su dati aggregati e anonimizzati, non riconducibili a singole persone fisiche.

EnterHouse mette a disposizione dei Centri template e strumenti che facilitano la predisposizione di informative privacy per i propri clienti finali, ma la responsabilità ultima del contenuto e del corretto adempimento degli obblighi informativi resta in capo al Centro Cliente.