Informativa privacy di Blokko

Titolare del trattamento: HandyLabs

Sede: Via Luigi Cardone 67, 66054 Vasto (CH), Italia

P.IVA: 02780800690

Email: [email protected]

In vigore dal: 2 novembre 2026 (versione 1.2)

Informativa resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.

1. Due tipi di utenti, due ruoli diversi

Blokko è una piattaforma che gli studi e i centri sportivi usano per far prenotare i propri clienti. Questo significa che non trattiamo tutti i dati allo stesso titolo, ed è la cosa più importante da capire in questo documento perché determina a chi devi rivolgerti per i tuoi diritti.

Se gestisci uno studio (titolare, collaboratore, istruttore con accesso al pannello), per i dati del tuo account siamo noi il titolare del trattamento: sei tu il nostro cliente e il contratto è fra te e HandyLabs.

Se sei un cliente o un allievo che prenota sulla pagina pubblica di uno studio, il titolare del trattamento è lo studio presso cui prenoti, non noi. Lo studio decide quali dati raccogliere, per quanto tenerli e cosa farne; noi forniamo soltanto lo strumento tecnico e agiamo come responsabile del trattamento ai sensi dell'art. 28 GDPR, su sua istruzione. Per accedere, correggere o cancellare i tuoi dati di prenotazione devi quindi scrivere allo studio: il suo nome e i suoi recapiti sono sulla pagina da cui prenoti. Se ci scrivi tu, possiamo solo inoltrare la richiesta allo studio.

Resta un'eccezione: le credenziali di accesso (email, nome, password) che usi per entrare, e i dati tecnici di sicurezza, li trattiamo come titolari anche quando sei cliente di uno studio, perché l'account è unico e serve a farti entrare in piattaforma indipendentemente da quale studio frequenti.

2. Quali dati trattiamo

2.1 Dati dell'account (titolare: HandyLabs)

• Identificativi: nome, indirizzo email.
• Credenziali: la password non viene mai conservata in chiaro, ma solo come impronta crittografica non reversibile. Se attivi la verifica in due passaggi, conserviamo il segreto necessario a generare i codici e i codici di riserva.
• Stato dell'account: email verificata o no, ruolo dichiarato in registrazione (gestore o cliente), data di creazione.
• Sessioni attive: per tenerti collegato e permetterti di disconnetterti. Di ogni sessione restano l'indirizzo IP e il tipo di browser da cui è nata: servono a farti riconoscere un accesso che non è tuo.
• Accettazione dei documenti legali: quando spunti la casella in registrazione conserviamo il testo esatto che ti è stato mostrato, la versione e la data dei documenti, il momento della spunta, l'indirizzo IP e il tipo di browser. È la prova che quell'accettazione è avvenuta (artt. 5.2 e 7.1 GDPR): senza, la casella sarebbe solo un ostacolo. Questo registro sopravvive alla chiusura dell'account, perché sparirebbe proprio quando servirebbe.

2.2 Dati di prenotazione (titolare: lo studio; noi responsabili)

• Anagrafica del cliente come registrata dallo studio.
• Prenotazioni: lezioni prenotate, disdette, mancate presenze, lista d'attesa.
• Pacchetti e accessi: crediti acquistati, consumati e scaduti.
• Comunicazioni: promemoria e conferme inviate per email. Di ogni invio resta una riga con il tipo di messaggio e la data: è ciò che impedisce di mandarti due volte lo stesso promemoria.
• Feed calendario: se lo attivi, un indirizzo che la tua applicazione calendario può leggere per mostrarti le lezioni prenotate (vedi il punto 8).
• Immagini caricate dallo studio: copertina, logo e foto delle sale. Sono pubblicate sulla pagina dello studio, quindi visibili a chiunque: se ritraggono persone riconoscibili, è lo studio a doverne avere il titolo.

Attenzione, gestori. Se nelle note di un cliente inserite informazioni sulla salute — infortuni, patologie, gravidanze, limitazioni fisiche — state trattando categorie particolari di dati (art. 9 GDPR). Per quel trattamento serve una base giuridica rafforzata, di regola il consenso esplicito del cliente, e la responsabilità è vostra in quanto titolari. La piattaforma non prevede campi dedicati a questi dati e non li richiede.

2.3 Dati di pagamento

I pagamenti sono gestiti da Stripe. Non vediamo e non conserviamo il numero della tua carta: i dati di pagamento vengono inseriti direttamente sulle pagine di Stripe. Di nostro conserviamo l'esito della transazione, l'importo, la data e l'identificativo Stripe che collega il pagamento alla prenotazione.

2.4 Dati raccolti automaticamente

• Registri del server: indirizzo IP, data e ora, pagina richiesta, tipo di browser. I registri di diagnosi dell'applicazione possono contenere anche l'indirizzo email coinvolto in un'operazione — per esempio il destinatario di un messaggio che il fornitore di posta ha rifiutato. Servono alla sicurezza e a capire cosa non ha funzionato, e si conservano 30 giorni.
• Limitazione dei tentativi: per fermare gli attacchi automatici sui moduli di accesso teniamo in memoria temporanea un conteggio dei tentativi per indirizzo IP, per il tempo strettamente necessario alla finestra di controllo.
• Cookie tecnici: vedi la Cookie policy.

Non profiliamo nessuno. Non ci sono strumenti di analisi del traffico, non misuriamo il comportamento di navigazione, non prendiamo decisioni automatizzate che producano effetti giuridici su di te ai sensi dell'art. 22 GDPR.

3. Perché trattiamo i dati e con quale base giuridica

Dove la base è l'interesse legittimo abbiamo valutato che il trattamento non prevalga sui tuoi diritti: si tratta di misure di sicurezza e di registri tecnici minimi, senza profilazione. Puoi opporti in ogni momento ai sensi dell'art. 21 GDPR scrivendo a [email protected].

Dove la base è l'esecuzione del contratto, i dati sono necessari: senza di essi non possiamo aprirti un account né farti prenotare.

4. Chi riceve i dati

Non vendiamo dati a nessuno e non li cediamo per finalità di marketing altrui. Li comunichiamo solo ai fornitori che ci servono per erogare il servizio, vincolati da un accordo sul trattamento ai sensi dell'art. 28 GDPR:

Notifiche sul dispositivo. Sono facoltative e partono solo se le attivi tu, da ogni dispositivo, e puoi spegnerle in qualsiasi momento. Conserviamo l'indirizzo tecnico del dispositivo finché restano attive. Il messaggio viaggia cifrato attraverso il servizio del produttore del tuo browser (Google, Apple, Mozilla o Microsoft, a seconda del dispositivo), che non può leggerne il contenuto ma vede quell'indirizzo e il momento dell'invio.

Due fornitori hanno un doppio ruolo, ed è una precisazione dovuta perché cambia a chi rivolgersi.

Stripe: per eseguire il pagamento agisce come responsabile, ma per gli obblighi antiriciclaggio e antifrode che la legge impone a un istituto di pagamento agisce come titolare autonomo. In quella parte risponde direttamente lei della propria informativa.

Cloudflare: per la verifica sui nostri moduli agisce come responsabile, ma dichiara di usare gli stessi segnali anche per migliorare il proprio sistema di rilevamento dei programmi automatici, e per quella finalità è titolare autonomo sulla base di un proprio interesse legittimo. Lo dice la sua informativa su Turnstile, dove trovi anche i recapiti del suo responsabile della protezione dei dati.

I dati possono inoltre essere comunicati all'autorità giudiziaria o ad altre autorità competenti, quando un obbligo di legge lo impone.

5. I gestori degli studi: nomina a responsabile del trattamento (art. 28)

Questa sezione vale per chi apre uno studio su Blokko e vi carica i dati dei propri clienti. Per quei dati tu sei il titolare e noi il responsabile: l'art. 28 GDPR richiede che il rapporto sia regolato da un atto scritto, e questa sezione ne costituisce il contenuto finché non ne sottoscrivi uno separato.

Nel trattare i dati dei tuoi clienti ci impegniamo a:

• trattarli solo su tua istruzione documentata, che coincide con le funzioni che attivi nel pannello, e mai per finalità nostre;
• non usarli per addestrare sistemi automatici né per alcuno scopo proprio;
• vincolare alla riservatezza chiunque vi abbia accesso;
• adottare le misure di sicurezza dell'art. 32 descritte al punto 8;
• avvalerci solo dei sub-responsabili elencati al punto 4, informandoti prima di aggiungerne o sostituirne uno, così che tu possa opporti;
• assisterti nel rispondere alle richieste dei tuoi clienti (artt. 15-22) e negli adempimenti degli artt. 32-36;
• avvisarti senza ingiustificato ritardo se veniamo a conoscenza di una violazione dei dati, con le informazioni che ti servono per la notifica al Garante entro 72 ore;
• restituirti o cancellare i dati alla fine del rapporto, a tua scelta;
• metterti a disposizione le informazioni necessarie a dimostrare il rispetto di questi obblighi.

Restano a tuo carico, come titolare: rendere l'informativa ai tuoi clienti, individuare la base giuridica di ciò che raccogli, raccogliere il consenso esplicito se inserisci dati sulla salute, e rispondere all'esercizio dei diritti.

Questa sezione vincola noi verso di te per il solo fatto che usi la Piattaforma. Se la tua organizzazione richiede un accordo sul trattamento sottoscritto a parte, scrivici a [email protected] e lo predisponiamo: da quel momento varrà quello, e questa sezione gli cederà il passo.

6. Trasferimenti fuori dall'Unione europea

I server dell'applicazione e il database si trovano nell'Unione europea.

Alcuni fornitori elencati al punto 4 hanno sede fuori dall'UE. In quei casi il trasferimento avviene sulla base delle Clausole Contrattuali Standard adottate dalla Commissione europea con decisione 2021/914 e, per i fornitori statunitensi che vi aderiscono, della decisione di adeguatezza EU-US Data Privacy Framework del 10 luglio 2023.

Quando qualcuno si registra, il nostro sistema manda al team una notifica interna che dice soltanto che c'è stata una registrazione e di che tipo: nessun nome, nessun indirizzo email, nessun identificativo. Non essendoci dati personali non c'è trasferimento, e per questo il servizio che la recapita non compare fra i destinatari al punto 4.

7. Per quanto tempo conserviamo i dati

Il criterio è quello dell'art. 5.1.e: il tempo più breve che serve alla finalità, e non oltre.

• Account: finché resta aperto; 12 mesi dalla richiesta di chiusura, per gestire contestazioni e riaperture.
• Prova delle accettazioni: oltre la chiusura dell'account, fino al termine di prescrizione. Contiene l'email che avevi all'epoca, il testo accettato, la data, l'IP e il tipo di browser.
• Registro degli invii (quale email ti è già partita): finché esiste l’account a cui si riferisce.
• Indirizzo del feed calendario: finché non lo revochi dall'area personale.
• Dati di prenotazione dei clienti degli studi: per il tempo deciso dallo studio titolare; alla chiusura dello studio, restituiti o cancellati.
• Storico degli incassi che teniamo per riconciliare i pagamenti: finché resta aperto l’account dello studio a cui si riferisce.
• Documenti contabili e fiscali: 10 anni, come impone la legge. Non stanno in questa piattaforma ma presso chi emette il documento — noi per il canone dello studio, lo studio per quello che incassa dai propri clienti.
• Registri tecnici del server: 30 giorni.
• Copie di sicurezza: i dati cancellati restano nelle copie fino alla loro rotazione, dopo la quale spariscono anche da lì.

8. Come proteggiamo i dati

• Traffico cifrato con HTTPS/TLS su tutto il sito, con HSTS attivo.
• Password conservate solo come impronta crittografica non reversibile.
• Verifica in due passaggi disponibile per gli account.
• Isolamento fra studi: ogni interrogazione al database è vincolata allo studio di appartenenza, così i dati di uno studio non sono raggiungibili da un altro.
• Limitazione dei tentativi di accesso e verifica antifrode sui moduli.
• Accesso ai dati limitato al personale che ne ha bisogno, vincolato alla riservatezza.
• Nessun segreto dei fornitori di pagamento conservato nel nostro database.
• Le immagini caricate dagli studi sono servite da indirizzi non indovinabili, ma pubblici: chi ha l'indirizzo vede il file.

Il feed del calendario merita una riga a parte. Se lo attivi, ottieni un indirizzo che la tua applicazione calendario legge da sola, senza chiederti la password: è l'unico modo perché Google Calendar o Apple Calendario funzionino. Ne consegue che chiunque abbia quell'indirizzo vede le tue lezioni prenotate, senza entrare nel tuo account. L'indirizzo contiene una stringa casuale non indovinabile e non compare nelle pagine del sito, ma va trattato come una password: non condividerlo e non pubblicarlo. Se pensi che sia finito in mano ad altri, revocalo dall'area personale — da quel momento non risponde più, e puoi generarne uno nuovo.

Nessuna misura rende un sistema inviolabile: se si verifica una violazione che comporta un rischio elevato per i tuoi diritti, te lo comunicheremo ai sensi dell'art. 34 GDPR.

9. I tuoi diritti

Puoi esercitare in ogni momento i diritti degli artt. 15-22 GDPR:

• Accesso (art. 15): sapere quali dati abbiamo e ottenerne copia.
• Rettifica (art. 16): correggere dati inesatti o incompleti.
• Cancellazione (art. 17): ottenere la cancellazione, salvo quanto dobbiamo conservare per obbligo di legge.
• Limitazione (art. 18): congelare il trattamento nei casi previsti.
• Portabilità (art. 20): ricevere i dati in un formato leggibile da un programma, o farli trasmettere a un altro fornitore.
• Opposizione (art. 21): opporti ai trattamenti fondati sull'interesse legittimo.

Scrivi a [email protected]. Rispondiamo entro un mese, prorogabile di due in casi complessi con avviso.

Se sei cliente di uno studio, per i dati di prenotazione la richiesta va rivolta allo studio, che ne è il titolare (vedi il punto 1). Se la invii a noi, la inoltriamo e te lo diciamo.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità dello Stato in cui risiedi.

10. Minori

Blokko non è rivolto direttamente ai minori: l'account si apre con un'assunzione di maggiore età. Se un minore frequenta un corso, l'iscrizione e la prenotazione avvengono a cura di chi ne esercita la responsabilità genitoriale, e la verifica spetta allo studio in quanto titolare.

11. Responsabile della protezione dei dati

Non abbiamo nominato un Responsabile della protezione dei dati: alle dimensioni attuali non ricorrono i presupposti dell'art. 37 GDPR. Per qualunque questione riguardi i tuoi dati scrivi a [email protected]: risponde il titolare. Se in futuro la nomina diventerà obbligatoria, i recapiti del DPO compariranno qui e la data di efficacia di questo documento cambierà.

12. Modifiche a questa informativa

Se cambiamo qualcosa di sostanziale — una nuova finalità, un nuovo fornitore, un diverso termine di conservazione — aggiorniamo questo documento con una nuova versione e una nuova data di efficacia, e lo segnaliamo in piattaforma o via email. Le versioni sono numerate proprio per permetterti di capire quale hai letto.

13. Contatti

HandyLabs

Via Luigi Cardone 67, 66054 Vasto (CH), Italia

P.IVA 02780800690

Privacy: [email protected]

Assistenza: [email protected]

Sito: https://blokko.me

Versione 1.2 del 2 novembre 2026