Prenotazioni online e GDPR: la guida pratica

Individua la base giuridica corretta

La base giuridica dipende dallo scopo e dal rapporto con la persona che prenota. Quando qualcuno chiede un appuntamento può valere l'esecuzione di misure precontrattuali o di un contratto (art. 6, par. 1, lett. b, del GDPR): guarda il processo concreto invece di partire sempre dal consenso.

Newsletter e marketing sono finalità diverse e vanno valutate a parte rispetto alla prenotazione, con un consenso separato quando serve.

Raccogli il minimo indispensabile

Nome, email e fascia oraria bastano per confermare un incontro. Il numero di telefono serve solo se pensi davvero di chiamare la persona. Ogni campo in più nel modulo è un dato che dovrai conservare, proteggere e poi cancellare.

Attenzione al campo note: le persone ci scrivono spontaneamente anche informazioni sulla salute o sulla vita privata. Chiediti se ti serve e se, nel tuo contesto, le risposte possono rivelare categorie particolari di dati.

In Kalendarius il modulo chiede nome ed email e ha un campo note facoltativo. Le altre domande le aggiungi tu, e per ciascuna decidi se è obbligatoria. I promemoria partono via email, quindi per quelli il telefono non serve.

Verifica dove finiscono i dati

Chiarisci chi è il titolare e chi il responsabile del trattamento, dove è ospitato il servizio principale e quali sub-responsabili ricevono dati: invio delle email, pagamenti, monitoraggio degli errori, calendari collegati. Per l'analisi specifica di Calendly, consulta la guida su DPA e ubicazione dei dati.

In Kalendarius applicazione e database stanno su server Hetzner in Germania, a Norimberga e Falkenstein. L'hosting in UE copre questo e niente di più. Se colleghi Google o Microsoft, quei fornitori trattano i dati del calendario secondo le loro condizioni; le email partono tramite un servizio di invio; Paddle gestisce i pagamenti dell'abbonamento; sulle pagine di prenotazione gira Sentry per gli errori, mentre tracker pubblicitari o di analisi non ce ne sono. Base giuridica, modulo e conservazione restano decisioni tue. Un accordo sul trattamento dei dati (art. 28 GDPR) per i piani Business ed Enterprise è in revisione legale; per informazioni scrivi a info@kalendarius.com.

Conservazione, diritti e tracciabilità

Decidi per quanto tempo tenere lo storico degli appuntamenti e documenta la scelta. Prevedi anche come rispondere a una richiesta di accesso o di cancellazione: chi se ne occupa, dove stanno i dati della persona e cosa resta nei calendari collegati.

In Kalendarius il periodo si imposta nelle impostazioni, alla voce Conservazione dati, e gli appuntamenti conclusi vengono cancellati in automatico allo scadere. Il massimo dipende dal piano: 90 giorni su Personale e Professionista, 180 su Team, 365 su Business ed Enterprise. Se un ospite chiede l'accesso ai suoi dati o la cancellazione, scrivi a info@kalendarius.com. Possiamo inviarti un'esportazione delle sue prenotazioni oppure anonimizzarle partendo dal suo indirizzo email: togliamo nome, indirizzo email, note e data e ora del consenso. Il resto del record (orario, stato, risposte alle domande che hai aggiunto, motivo dell'annullamento) si cancella allo scadere del tuo periodo di conservazione. Gli eventi già scritti in un calendario collegato restano lì. L'audit log, che registra chi ha fatto cosa, è incluso nei piani Business ed Enterprise.

Dati sanitari e categorie particolari (art. 9)

Se prenoti visite, sedute o consulenze legate alla salute, la prenotazione stessa può essere un dato sanitario: un tipo di evento chiamato «Prima visita fisioterapica» dice già qualcosa sulla persona. Per questi dati non basta una base dell'art. 6. Serve anche una delle condizioni dell'art. 9, par. 2, del GDPR, per esempio quella che riguarda le finalità di cura sotto la responsabilità di un professionista tenuto al segreto professionale.

In pratica: usa nomi di eventi neutri, perché il nome compare nelle email e nell'evento in calendario; non chiedere sintomi o diagnosi nel modulo; valuta con il DPO se serve una valutazione d'impatto (art. 35). In Kalendarius i termini di servizio consentono di trattare categorie particolari di dati solo con il piano Business o Enterprise e un DPA firmato. Il DPA è ancora in revisione legale: se vuoi trattare questi dati, scrivici prima a info@kalendarius.com.