Diadeah

Privacy Policy di Diadeah

Versione 2.0 · Ultimo aggiornamento: 3 agosto 2026

Questa informativa descrive il trattamento dei dati personali effettuato tramite la piattaforma Diadeah. La professionista resta responsabile dei trattamenti connessi ai servizi professionali che offre alle proprie clienti.

1. Chi è il titolare del trattamento

Dati delle professioniste

Per i dati personali della professionista che crea e utilizza un account Diadeah, Diadeah/Diadeah Academy è titolare del trattamento per la gestione dell’account, l’erogazione della piattaforma, la sicurezza, l’assistenza, gli abbonamenti, i pagamenti, le comunicazioni di servizio e gli adempimenti di legge.

Denominazione: Diadeah Academy Online.
Partita IVA: 03860130834 · REA: ME-265622.
Contatto privacy: info@diadeah.com.
Responsabile della protezione dei dati/referente privacy: Fabio Familiari, legale rappresentante.

Dati delle clienti

La professionista che utilizza Diadeah per pubblicare il proprio profilo, ricevere prenotazioni, gestire clienti, moduli, appuntamenti, fotografie, patch test, preventivi e comunicazioni è il titolare del trattamento dei dati delle proprie clienti.

Diadeah/Diadeah Academy opera come fornitore tecnologico e responsabile del trattamento ai sensi dell’art. 28 GDPR. L’accesso ai dati delle clienti è tecnicamente isolato per professionista: Diadeah non consulta ordinariamente tali dati e la professionista deve fornire alle proprie clienti una propria informativa coerente con i trattamenti effettuati.

Trattamenti propri di Diadeah

Per account, fatturazione, abbonamenti, assistenza, sicurezza, prevenzione degli abusi, gestione amministrativa e comunicazioni proprie, Diadeah/Diadeah Academy opera come titolare autonomo. Non sussiste contitolarità tra Diadeah e le professioniste.

2. Funzionalità dell’applicazione

  • sito pubblico, landing page, prezzi e profili pubblici;
  • registrazione, conferma email, accesso e recupero password;
  • onboarding, dashboard e gestione del profilo professionale;
  • servizi, orari, calendario, prenotazioni, spostamenti, annullamenti e lista d’attesa;
  • clienti, agenda, statistiche, esportazioni CSV e supporto;
  • moduli, risposte, patch test, fotografie, documenti e schede tecniche;
  • preventivi, locandine e materiali grafici;
  • email, notifiche in-app, notifiche push e messaggi WhatsApp Business;
  • abbonamenti e pagamenti tramite Stripe;
  • verifica profilo, attestati, Ambassador e area amministrativa.

3. Categorie di dati trattati

Dati delle professioniste

  • email, password gestita dal servizio di autenticazione, nome, attività, ruolo e città;
  • telefono, email pubblica, indirizzo, codice fiscale, partita IVA e dati del mittente;
  • logo, colori, biografia, link social, sito, portfolio e immagini;
  • abbonamento, fascia, stato, identificativi Stripe, sconti e dati di verifica;
  • ticket, richieste Ambassador, contenuti dell’assistente AI e impostazioni;
  • dati di sessione, preferenze locali, notifiche push, log di sicurezza e audit.

Dati delle clienti

  • nome, cognome, email e telefono;
  • servizio, data e ora, stato dell’appuntamento, note, spostamenti e annullamenti;
  • lista d’attesa, consenso marketing e disiscrizione;
  • note tecniche/personali, tag, allergie, moduli e patch test;
  • fotografie prima/dopo, immagini di riferimento, mappa/progetto e consensi;
  • dati nei preventivi, inclusi, ove compilati, codice fiscale, indirizzo e partita IVA;
  • importo e stato di eventuali caparre e identificativo della transazione.

Allergie, patch test, informazioni sul trattamento e alcune fotografie o note possono rivelare dati relativi alla salute o comunque appartenere a categorie particolari. La qualificazione concreta e la base giuridica devono essere individuate e documentate dalla professionista titolare, in relazione al trattamento professionale concretamente offerto.

4. Finalità e basi giuridiche

Account, accesso e sicurezza

Gestione dell’account, autenticazione, recupero password, sessione, sicurezza e prevenzione degli accessi abusivi. Base giuridica: esecuzione del contratto o di misure precontrattuali, art. 6(1)(b) GDPR; legittimo interesse alla sicurezza, art. 6(1)(f) GDPR.

Erogazione dei servizi

Pubblicazione del profilo, disponibilità, prenotazioni, lista d’attesa, preventivi, moduli, agenda, notifiche ed esportazioni. Per la professionista: art. 6(1)(b) GDPR. Per le clienti, la base giuridica è determinata dalla professionista titolare e indicata nella sua informativa.

Dati relativi a salute, patch test e fotografie

La professionista deve individuare una condizione dell’art. 9 GDPR adeguata e documentare informativa e consenso esplicito, ove necessario. Il consenso alla pubblicazione delle fotografie deve essere distinto, facoltativo e revocabile. La professionista deve verificare che i consensi siano adeguati al servizio offerto e alle specifiche attività svolte.

Comunicazioni transazionali

Conferme, promemoria, richieste di conferma/annullamento, lista d’attesa, moduli, preventivi e riepiloghi. Base giuridica: esecuzione del servizio richiesto, art. 6(1)(b) GDPR, e ove applicabile legittimo interesse organizzativo, art. 6(1)(f) GDPR.

Marketing

Invio di offerte e novità alle clienti che hanno prestato un consenso separato, facoltativo e non preselezionato. Base giuridica: consenso, art. 6(1)(a) GDPR e, per comunicazioni elettroniche, art. 130 del Codice Privacy. La revoca è possibile tramite il link di disiscrizione o contattando la professionista.

Abbonamenti e pagamenti

Gestione dell’abbonamento, Stripe, caparre, webhook, riconciliazione, upgrade e prevenzione frodi. Basi giuridiche: contratto, obblighi legali e legittimo interesse, artt. 6(1)(b), (c) e (f) GDPR. Stripe è utilizzato in modalità live per i soli abbonamenti Diadeah.

Supporto, amministrazione e audit

Gestione ticket, comunicazioni, verifica profilo, audit, prevenzione degli abusi e ricevute tecniche di cancellazione. Basi giuridiche: contratto, obblighi legali e legittimo interesse.

Assistente AI

Prompt, contesto e, in alcuni flussi, file o immagini possono essere inviati a Gemini e/o Groq per generare testi o suggerimenti. L’assistente riceve esclusivamente i contenuti inviati volontariamente dalla professionista; tali contenuti non sono utilizzati per addestrare modelli AI.

5. Soggetti coinvolti e destinatari

Nei limiti necessari possono accedere ai dati:

  • la professionista titolare e gli utenti autorizzati;
  • Diadeah/Diadeah Academy e personale autorizzato;
  • Supabase per database, autenticazione e storage;
  • Vercel per hosting e infrastruttura;
  • Resend per l’invio delle email;
  • Stripe per i soli abbonamenti Diadeah;
  • Resend per le email, WhatsApp Business/Twilio per i messaggi e Telegram per le funzioni amministrative;
  • Gemini e Groq per l’assistente AI, Web Push/VAPID e i servizi di scheduling;
  • consulenti, autorità e soggetti pubblici nei casi previsti dalla legge.

Il trattamento è limitato ai fornitori necessari per erogare le funzioni indicate in questa informativa.

6. Trasferimenti extra SEE

I fornitori tecnologici possono trattare dati fuori dallo Spazio Economico Europeo secondo le proprie condizioni contrattuali e i meccanismi previsti dal GDPR.

I trasferimenti sono effettuati, ove necessari, sulla base di decisioni di adeguatezza, clausole contrattuali standard o altri meccanismi ammessi dalla normativa applicabile.

7. Conservazione dei dati

I dati sono conservati per il tempo necessario alle finalità indicate, agli obblighi di legge e alla tutela dei diritti, secondo i periodi standard applicati alla gestione della piattaforma. Dopo la cancellazione dell’account, la professionista dispone di 5 giorni per recuperare i propri dati; decorso tale termine, i dati dell’account vengono eliminati, salvo obblighi di legge o esigenze di difesa.

  • account e dati della professionista: per la durata del rapporto e per il periodo tecnico di recupero di 5 giorni dopo la cancellazione;
  • dati delle clienti, prenotazioni, lista d’attesa, moduli, foto e documenti: secondo le impostazioni e le responsabilità della professionista titolare;
  • dati contabili, log e registri necessari: per il periodo previsto dalla legge o necessario alla tutela dei diritti.

Il database conserva inoltre impronte normalizzate di alcuni clienti eliminati per prevenire il reinserimento fraudolento. Il registro è accessibile tramite i controlli server e viene utilizzato per la sicurezza e la prevenzione degli abusi.

8. Cookie, localStorage e analytics

Risultano presenti cookie tecnici Supabase per autenticazione/sessione, il cookie sb-rememberper la durata dell’accesso e il cookie httpOnly nuvia_impersonation per l’accesso assistito nell’area amministrativa.

Il browser può usare localStorage per tema, font, preferenze di visualizzazione, personalizzazione e installazione della PWA.

Nel repository non risultano SDK di Google Analytics, Meta Pixel, Plausible, PostHog, Hotjar, Matomo, Mixpanel o analoghi strumenti di profilazione. Analytics, CDN, monitoraggio, cookie di terze parti e Non risultano strumenti di analytics o profilazione nel codice dell’applicazione e non sono configurati cookie di marketing.

9. Misure di sicurezza

  • HTTPS e header di sicurezza;
  • autenticazione e sessione gestite tramite Supabase SSR e cookie;
  • chiavi segrete e service role utilizzate lato server;
  • isolamento multi-tenant tramite Row Level Security e vincoli database;
  • bucket privati per media clienti e documenti di verifica;
  • firma dei webhook Stripe e idempotenza degli eventi;
  • rate limiting, audit log e controlli sui ruoli.

L’implementazione include inoltre autenticazione amministrativa con controllo dei ruoli, accesso server isolato alle chiavi privilegiate, registri amministrativi append-only e test locali su isolamento RLS, vincoli di prenotazione e consensi fotografici.

10. Diritti degli interessati

Nei casi previsti dagli artt. 15–22 GDPR puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e, ove applicabile, di non essere sottoposta a una decisione basata unicamente su trattamento automatizzato. Puoi revocare il consenso in qualsiasi momento.

Per i dati trattati nell’ambito del rapporto con una professionista, la richiesta va rivolta in primo luogo alla professionista titolare, ai contatti indicati nella sua informativa. Diadeah la assisterà nei limiti del contratto di responsabile.

Per i trattamenti propri di Diadeah puoi scrivere a info@diadeah.com. La richiesta può richiedere una verifica dell’identità e, di regola, riceve risposta entro un mese, salvo proroga nei casi previsti dal GDPR.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali.

11. Minori

La piattaforma non è progettata per raccogliere consapevolmente dati di minori. Età minima, servizi Eventuali servizi rivolti a minori e le modalità di consenso dei genitori restano sotto la responsabilità della professionista che offre il servizio. Diadeah è un’agenda digitale con strumenti professionali e non determina né svolge i trattamenti professionali offerti alle clienti.

12. Modifiche all’informativa

Questa informativa può essere aggiornata per modifiche normative, tecniche o organizzative. La versione vigente sarà pubblicata su questa pagina con la data di aggiornamento.