Informativa sulla privacy

Chi è il titolare del trattamento

OPALITH SAS è il titolare del trattamento dei dati personali descritti in questa informativa, per il sito web rdv.dev e per l'app app.rdv.dev. La sua sede legale si trova in 254 rue Vendôme, 69003 Lyon, France (RCS Lyon 991 600 156).

Non abbiamo nominato un responsabile della protezione dei dati. Le domande su questa informativa e le richieste relative ai tuoi dati vanno inviate a hello@rdv.dev. I dati dell'editore e del fornitore di hosting sono riportati nelle note legali.

C'è un caso che funziona diversamente. Quando un'impresa usa rdv.dev per ricevere prenotazioni, è quell'impresa a decidere perché e come utilizza i dati dei suoi ospiti, e noi trattiamo tali dati per suo conto. Se hai prenotato un incontro con uno dei nostri clienti, leggi prima Se hai prenotato un incontro tramite rdv.dev.

Cosa copre questa informativa

• Il sito web rdv.dev: le sue pagine, il modulo di contatto e i link verso l'app.
• L'app app.rdv.dev: account, workspace, collegamenti ai calendari, tipi di evento, disponibilità, prenotazioni, brand, promemoria via SMS, e l'API pubblica, il server MCP e i webhook.
• Le pagine di prenotazione pubbliche, a indirizzi come rdv.dev/{workspace}/{evento}, per la parte del trattamento che decidiamo noi stessi: fornire la pagina, mantenerla sicura e far funzionare il servizio.

rdv.dev è un servizio per le imprese. Non è destinato ai minori e non raccogliamo consapevolmente dati di persone di età inferiore ai 16 anni.

Sul sito web

Modulo di contatto. Quando ci scrivi dalla pagina dei contatti, riceviamo ciò che digiti: il tuo nome, il tuo indirizzo email, la tua azienda se la indichi e il tuo messaggio. Li utilizziamo per risponderti e per dare seguito alla conversazione. Non ti iscriviamo a nessuna mailing list.

Misurazione del pubblico. Utilizziamo Vercel Web Analytics e Vercel Speed Insights per contare le visualizzazioni delle pagine e misurarne la velocità di caricamento. Non impostano alcun cookie, non memorizzano nulla sul tuo dispositivo e non conservano alcun identificativo che ti riguardi. Vediamo solo dati aggregati: pagine visualizzate, siti di provenienza, paesi, browser e dispositivi, e tempi di caricamento.

Lingua e tema. Il cookie NEXT_LOCALE ricorda la lingua che hai scelto, così la pagina successiva che apri è nella stessa lingua. La tua scelta del tema chiaro o scuro è conservata nella memoria locale (local storage) del tuo browser. Entrambi sono strettamente necessari per ciò che hai richiesto e non richiedono il consenso.

Log del server. Il nostro fornitore di hosting tratta i dati tecnici che accompagnano ogni richiesta web (indirizzo IP, browser, pagina richiesta, ora) per fornire la pagina e proteggere il servizio dagli abusi.

Link verso l'app. I link «Inizia gratis» trasmettono il codice referral (ref) e i parametri di campagna (utm_*) presenti nell'indirizzo con cui sei arrivato, così l'app sa come ci hai trovato. Il sito web di per sé non li memorizza.

Nell'app

Account. Il tuo nome e cognome, l'indirizzo email e la password, se scegli di impostarne una (ne conserviamo solo un hash). Il tuo ruolo professionale, il numero di telefono e l'indirizzo del tuo profilo LinkedIn, se li aggiungi. Il tuo fuso orario, la lingua e la foto profilo. La versione dei termini e di questa informativa che hai accettato, e quando.

Accesso con Google o Microsoft. Riceviamo il tuo nome, l'indirizzo email e l'identificativo dell'account, la tua foto profilo da Google e, per un account Google Workspace, il dominio della tua organizzazione. Li utilizziamo per creare il tuo account, farti accedere e proporti di unirti al workspace della tua azienda. Vedi Dati utente di Google e Dati utente di Microsoft.

Workspace e appartenenza. I workspace che crei o a cui ti unisci, il tuo ruolo in ciascuno, il modo in cui ti sei unito (invito, codice, dominio aziendale o richiesta), gli inviti che invii e gli indirizzi email a cui sono destinati, le richieste di accesso e i domini aziendali rivendicati da un workspace.

Sicurezza. Per ogni sessione di accesso, l'indirizzo IP e il browser (user agent) da cui è stata aperta, e quando. Puoi vedere le tue sessioni e disconnetterle in Impostazioni → Sicurezza. Contiamo inoltre le richieste per account e per indirizzo IP sottoposto a hash, per limitare gli abusi.

File. Le foto profilo, i loghi dei workspace e i font del brand sono conservati in un archivio di file pubblico (Vercel Blob), dopo essere stati da noi ricodificati. Chiunque conosca l'indirizzo di un file può aprirlo: è così che un logo appare su una pagina di prenotazione o in un'email. Vengono eliminati insieme all'account o al workspace a cui appartengono.

Pianificazione. I tuoi tipi di evento, gli orari settimanali e le regole di prenotazione, e le prenotazioni fatte con te: data e ora, luogo o link della videochiamata, stato, i dati dell'ospite (vedi Se hai prenotato un incontro tramite rdv.dev) e chi ha effettuato la prenotazione, una persona o un agente.

Calendari. Solo se ne colleghi uno, e solo come descritto in Dati utente di Google e Dati utente di Microsoft.

Brand a partire dal tuo sito web. Quando un proprietario o un amministratore chiede a rdv.dev di leggere il sito web del workspace, i nostri server scaricano l'indirizzo indicato e le pagine, i fogli di stile, i loghi e i font a cui rimanda, quindi suggeriscono loghi, colori e font. Nulla viene applicato finché qualcuno non lo esamina e lo seleziona. Quando questa opzione è attiva, a Firecrawl (Stati Uniti) viene chiesta una seconda lettura dei siti che non riusciamo a leggere da soli; riceve l'indirizzo del sito web e ne legge le pagine pubbliche. Un'analisi e i loghi che ha predisposto vengono eliminati 30 giorni dopo la sua conclusione, oppure 7 giorni dopo se non è riuscita o è stata annullata. Ciò che applichi entra a far parte del tuo brand.

Referral. Se ti registri tramite un link che contiene un codice referral, registriamo quel codice con il tuo account per sapere chi ti ha segnalato.

Agenti, API e webhook. Le chiavi API e i client OAuth creati dal tuo workspace (le chiavi sono conservate solo come hash), gli endpoint webhook che registra e le consegne inviate a tali endpoint, e un registro delle richieste effettuate con essi.

Promemoria via SMS. Inviati a un ospite solo quando l'ospite indica un numero di cellulare e spunta la casella che richiede i promemoria. Vedi Se hai prenotato un incontro tramite rdv.dev.

Pagamenti. Quando un workspace sottoscrive un piano a pagamento, è Stripe a raccogliere i dati della carta; non vediamo mai il numero completo della carta. Conserviamo il contatto per la fatturazione, l'indirizzo di fatturazione, la partita IVA, il circuito e le ultime quattro cifre della carta, e le fatture.

Email che inviamo. Conferme dell'indirizzo, reimpostazioni della password, inviti, conferme di prenotazione e avvisi relativi a un calendario che ha smesso di funzionare. Vengono inviate tramite Mailtrap.

Perché li utilizziamo e su quale base giuridica

Dati utente di Google

rdv.dev utilizza Google in due modi distinti. Ciascuno richiede una propria autorizzazione, e accedere con Google non dà mai accesso al tuo calendario.

Accesso con Google

Chiediamo solo gli ambiti di base: openid, email e profile. Riceviamo il tuo nome, l'indirizzo email, la foto profilo, l'identificativo dell'account Google e, per un account Google Workspace, il dominio della tua organizzazione. Li utilizziamo per creare il tuo account, farti accedere e proporti di unirti al workspace della tua azienda. Questa autorizzazione non dà alcun accesso al tuo calendario, alla tua email o ai tuoi file.

Google Calendar

Colleghi un calendario separatamente, in Impostazioni → Account collegati, tramite una finestra di collegamento gestita da Nango. rdv.dev chiede due autorizzazioni:

• calendar.events.freebusy, per vedere quando sei occupato nei calendari che colleghi;
• calendar.events.owned, per creare, aggiornare ed eliminare gli eventi che rdv.dev prenota per te.

Cosa ne facciamo:

• Libero/occupato. Leggiamo l'ora di inizio e di fine dei periodi in cui sei occupato per calcolare quali orari possono essere prenotati. Li leggiamo in tempo reale, quando vengono mostrati gli orari o viene effettuata una prenotazione, e non li conserviamo.
• Eventi. Quando un incontro viene prenotato, spostato o annullato, creiamo, aggiorniamo o eliminiamo l'evento corrispondente nel tuo calendario, con titolo, orario, ospite, luogo o link della videochiamata e descrizione. Conserviamo l'identificativo dell'evento per poterlo aggiornare o eliminare in seguito.
• Nient'altro. Non conserviamo nel nostro database i titoli, le descrizioni, i partecipanti né alcun altro contenuto degli eventi del tuo calendario.
• Token. I tuoi token OAuth sono custoditi da Nango, il nostro responsabile del trattamento per i collegamenti ai calendari (Stati Uniti). Non raggiungono mai il nostro database né il nostro codice. Le nostre richieste a Google, e le risposte di Google, passano attraverso Nango.

Chi li vede:

• Condividiamo la tua disponibilità, cioè quando sei libero e mai il contenuto dei tuoi eventi, solo con le persone che ti prenotano tramite le tue pagine di prenotazione e con i client API, i client MCP e i webhook che tu o il tuo workspace autorizzate.
• Nango, il nostro fornitore di hosting e il nostro fornitore di database li trattano in qualità di nostri responsabili del trattamento, in base a un contratto, al solo scopo di fornire il servizio (vedi Chi riceve i dati personali).

Cosa non facciamo mai:

• Non utilizziamo i dati utente di Google per la pubblicità e non li vendiamo.
• Non li utilizziamo per sviluppare, migliorare o addestrare modelli generalizzati di intelligenza artificiale o di machine learning.
• Nessuno presso OPALITH SAS li legge, a meno che tu non ci dia il permesso per dati specifici (ad esempio in una richiesta di assistenza), che sia necessario per motivi di sicurezza (ad esempio per indagare su un abuso) o che lo imponga la legge.
• Non li trasferiamo a nessuno, se non per fornire le funzionalità che utilizzi, per rispettare la legge o nell'ambito di una fusione, di un'acquisizione o di una cessione di beni, dopo avertene informato.

Revoca dell'accesso ed eliminazione dei dati:

• Scollega il calendario in Impostazioni → Account collegati. Revochiamo l'autorizzazione concessa a Google, eliminiamo il collegamento presso Nango e presso di noi, e smettiamo di leggere o scrivere su quel calendario.
• Puoi anche rimuovere rdv.dev dalla pagina delle autorizzazioni del tuo account Google in qualsiasi momento.
• L'eliminazione del tuo account scollega allo stesso modo tutti i calendari. Gli eventi già creati restano nel tuo calendario: sono tuoi.

«rdv.dev's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.» (L'uso e il trasferimento ad altre app, da parte di rdv.dev, delle informazioni ricevute dalle API di Google rispetteranno le Norme relative ai dati utente dei servizi API di Google, compresi i requisiti di utilizzo limitato.)

Dati utente di Microsoft

Microsoft funziona allo stesso modo, con due autorizzazioni distinte.

Accesso con Microsoft

Chiediamo openid, email, profile, offline_access e User.Read, le autorizzazioni di base per leggere il tuo nome, l'indirizzo email e l'identificativo dell'account. Non importiamo la foto del tuo profilo Microsoft. Poiché è l'organizzazione che gestisce un account Microsoft a stabilirne l'indirizzo email, confermiamo sempre quell'indirizzo via email prima di considerarlo attendibile.

Calendari Outlook (Microsoft Graph)

Colleghi un calendario Outlook o Microsoft 365 separatamente, tramite Nango. rdv.dev chiede Calendars.ReadWrite, che Microsoft richiede sia per leggere quando sei occupato sia per scrivere gli eventi che rdv.dev prenota.

• Orari occupati. Quando leggiamo il tuo calendario (calendarView), richiediamo solo quattro campi per evento: inizio, fine, stato libero/occupato e se è annullato (start, end, showAs, isCancelled). Mai l'oggetto, il corpo, i partecipanti o il luogo. Li leggiamo in tempo reale e non li conserviamo.
• Eventi. Creiamo, aggiorniamo ed eliminiamo gli eventi che rdv.dev prenota, con un link Microsoft Teams quando il tipo di evento lo prevede, e conserviamo l'identificativo di ciascun evento.
• Le altre regole sono le stesse di Google: token custoditi da Nango, nessun contenuto degli eventi nel nostro database, disponibilità condivisa solo con le persone che ti prenotano e con le integrazioni che autorizzi, nessuna pubblicità, nessuna vendita, nessun addestramento di modelli di IA o di machine learning, e nessun accesso umano se non con il tuo permesso, per motivi di sicurezza o quando lo impone la legge.

Per revocare l'accesso, scollega il calendario in Impostazioni → Account collegati, oppure rimuovi rdv.dev dalla pagina delle app del tuo account Microsoft. Per un account aziendale o dell'istituto di istruzione, può rimuoverlo anche il tuo amministratore.

Se hai prenotato un incontro tramite rdv.dev

Quando prenoti tramite una pagina di prenotazione all'indirizzo rdv.dev/{workspace}, l'impresa che gestisce quel workspace è il titolare del trattamento dei tuoi dati: decide perché riceve prenotazioni e cosa ne fa. OPALITH SAS tratta i tuoi dati per suo conto, in qualità di responsabile del trattamento, ai sensi del nostro accordo sul trattamento dei dati. Si applica l'informativa sulla privacy di quell'impresa.

Cosa conserviamo per suo conto:

• il tuo nome, l'indirizzo email, il fuso orario e la lingua;
• le note o le risposte che aggiungi quando prenoti;
• l'incontro: data, ora, durata, luogo o link della videochiamata, stato, ed eventuali spostamenti o annullamenti;
• il tuo numero di cellulare e il tuo consenso ai promemoria via SMS, solo se hai chiesto i promemoria;
• un hash del token alla base del tuo link di gestione. Il link vero e proprio si trova solo nella tua email.

Chi li riceve:

• l'host o gli host dell'incontro, in rdv.dev e nel loro calendario. L'evento che vi creiamo ti indica come ospite, quindi anche Google o Microsoft potrebbero inviarti un invito;
• Mailtrap, che recapita la tua conferma e ogni modifica o annullamento;
• ClickSend (Australia), che recapita i promemoria via SMS, solo se li hai richiesti.

Promemoria via SMS. Solo se indichi un numero di cellulare e spunti la casella. Un SMS il giorno prima dell'incontro, oppure un'ora prima se è stato prenotato con poco preavviso, e un SMS se l'host annulla. Per interromperli, scrivi all'impresa con cui hai prenotato, oppure a noi a hello@rdv.dev, e interromperemo gli SMS per quella prenotazione.

Modifica o annullamento. Usa il link di gestione presente nella tua email di conferma.

I tuoi diritti. Invia le richieste relative alla tua prenotazione all'impresa con cui hai prenotato. Se una richiesta arriva a noi, la inoltriamo a quell'impresa e la aiutiamo a rispondere.

Per quanto tempo. Finché l'impresa mantiene il suo workspace, a meno che non elimini prima la tua prenotazione. L'eliminazione del workspace comporta l'eliminazione delle sue prenotazioni. I registri dei promemoria via SMS vengono eliminati 30 giorni dopo l'invio.

Chi riceve i dati personali

Non vendiamo dati personali e non li condividiamo a fini pubblicitari. Le società indicate di seguito li trattano per un compito specifico e ricevono solo ciò di cui quel compito ha bisogno.

Comunichiamo inoltre i dati alle autorità quando la legge lo impone, e solo nella misura richiesta.

Trasferimenti al di fuori dell'Unione europea

Il database dell'app si trova a Francoforte (Germania) e le sue funzioni vengono eseguite lì. Diversi fornitori sopra elencati sono società con sede negli Stati Uniti o in Australia, quindi i dati possono essere trattati al di fuori dell'Unione europea. Ciascuno di questi trasferimenti si basa sul Data Privacy Framework UE-USA quando il destinatario è certificato e, in caso contrario, sulle clausole contrattuali tipo della Commissione europea (decisione 2021/914), con misure supplementari: cifratura in transito e a riposo, e conservazione del minor numero possibile di dati presso ciascun fornitore. I token dei calendari, ad esempio, non raggiungono mai il nostro database, e le letture libero/occupato non vengono mai conservate.

Puoi chiederci una copia di queste garanzie a hello@rdv.dev. L'accordo sul trattamento dei dati descrive cosa facciamo se un governo al di fuori dell'UE chiede dei dati.

Per quanto tempo li conserviamo

• Account. Finché l'account esiste. L'eliminazione del tuo account (Impostazioni → Sicurezza) elimina immediatamente il tuo profilo, le sessioni, i collegamenti ai calendari e i file. Gli incontri futuri di cui sei host vengono annullati e i loro ospiti vengono avvisati.
• Sessioni. Una sessione scade 30 giorni dopo l'ultimo utilizzo; le sessioni scadute, con il relativo indirizzo IP e browser, vengono eliminate ogni giorno.
• Dati del workspace. Tipi di evento, orari, brand, loghi e prenotazioni vengono conservati finché il workspace esiste. L'eliminazione del workspace li elimina tutti, file compresi.
• Inviti e richieste di accesso. Gli inviti vengono eliminati 30 giorni dopo la scadenza o la revoca; le richieste di accesso 90 giorni dopo la decisione.
• Analisi dei siti web per il brand. 30 giorni dopo la conclusione dell'analisi, oppure 7 giorni se non è riuscita o è stata annullata, insieme ai loghi che ha predisposto.
• Registri dei promemoria via SMS. 30 giorni dopo l'invio dell'SMS.
• Messaggi di contatto. Finché la conversazione è aperta, poi fino a 3 anni dopo il nostro ultimo scambio.
• Fatture e documenti contabili. 10 anni, come impone il diritto commerciale francese.
• Log del server. Al massimo 30 giorni, salvo che un incidente ne richieda la conservazione più a lungo.
• Backup. I dati eliminati possono restare per un breve periodo, al massimo 30 giorni, nella cronologia di ripristino del nostro fornitore di database, prima di scadere.

Come li proteggiamo

• Cifratura in transito (HTTPS) ovunque, e cifratura a riposo da parte dei nostri fornitori di database e di archiviazione dei file.
• Password conservate solo come hash. Link di gestione, chiavi API e segreti degli inviti conservati solo come hash, o non conservati affatto.
• Token dei calendari custoditi da Nango, mai nel nostro database né nel nostro codice.
• Ogni azione nell'app verifica, sul server, chi la richiede e cosa consente il suo ruolo.
• Accesso ai sistemi di produzione limitato alle persone che gestiscono il servizio.

Se una violazione è suscettibile di presentare un rischio per i tuoi diritti, la notifichiamo alla CNIL entro 72 ore e, quando la legge lo impone, ne informiamo anche te.

I tuoi diritti

Ai sensi del GDPR e della legge francese, puoi rivolgerti a noi per:

• accedere ai dati personali che conserviamo su di te e ottenerne una copia;
• farli rettificare se sono errati o incompleti;
• farli cancellare;
• farne limitare l'utilizzo mentre una questione viene chiarita;
• esportarli in un formato di uso comune e leggibile da dispositivo automatico (portabilità);
• opporti al trattamento basato sul nostro legittimo interesse;
• revocare il tuo consenso in qualsiasi momento, quando ci basiamo su di esso, senza pregiudicare quanto fatto in precedenza;
• registrare disposizioni sulla sorte dei tuoi dati dopo la tua morte, come consente la legge francese.

Molte di queste cose puoi farle da solo nell'app: modificare il tuo profilo, scollegare un calendario, eliminare il tuo account. Per tutto il resto, compresa una copia o un'esportazione dei tuoi dati, scrivi a hello@rdv.dev. Rispondiamo entro un mese; se una richiesta è complessa, possiamo prorogare questo termine di due mesi, spiegandotene il motivo. In caso di ragionevole dubbio, possiamo chiederti di dimostrare la tua identità.

Se hai prenotato un incontro con uno dei nostri clienti, invia prima le richieste a quel cliente (vedi Se hai prenotato un incontro tramite rdv.dev).

Puoi anche presentare un reclamo alla CNIL (Commission nationale de l'informatique et des libertés), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia, cnil.fr, oppure all'autorità di controllo del paese dell'UE in cui vivi o lavori.

Cookie e memorizzazione

Né il sito web né l'app utilizzano cookie pubblicitari o di tracciamento, quindi nessuno dei due mostra un banner dei cookie. Tutto ciò che segue è strettamente necessario per un servizio che hai richiesto, oppure conserva una preferenza che hai impostato.

Vercel Web Analytics e Speed Insights non utilizzano cookie né memorizzazione nel browser. Quando colleghi un calendario, la finestra di collegamento è fornita da Nango, e le schermate di accesso da Google o Microsoft; lì si applicano i loro cookie e le loro informative.

Modifiche a questa informativa

La data in cima a questa pagina indica la versione in vigore. Se una modifica incide sul modo in cui utilizziamo i tuoi dati, ne informiamo chi ha un account via email o nell'app prima che si applichi e, quando la legge lo impone, ti chiediamo di accettare la nuova versione. Le versioni precedenti sono disponibili su richiesta.

Contatti

OPALITH SAS, 254 rue Vendôme, 69003 Lyon, France. Email hello@rdv.dev. Rispondiamo in inglese o in francese.