Informativa sulla privacy

Questa è la nostra Informativa sulla privacy. I Termini d'uso (EULA) di Mimos si trovano in una pagina separata. Vedi i Termini d'uso →

1. Informazioni su questa informativa e a chi è rivolta

Mimos è una piattaforma multi-tenant software-as-a-service (SaaS) che le attività di toelettatura usano per gestire clienti, animali, appuntamenti, messaggistica e una vetrina di prenotazione online. La piattaforma è gestita da Mimos Technology Inc. ("Mimos", "noi"), 108 W 39th St, STE1006 PMB2057 New York City, 10018 NY, USA.

Questa informativa spiega quali dati personali trattiamo, perché, su quale base giuridica, con chi li condividiamo, per quanto tempo li conserviamo e quali diritti hai. Si applica a:

• Attività di toelettatura che si abbonano a Mimos (i nostri clienti diretti) e gli utenti del personale all'interno di quelle attività che hanno un account.
• Proprietari di animali ("clienti") i cui dati un'attività di toelettatura conserva in Mimos o che prenotano tramite la vetrina online di un'attività.
• Visitatori del nostro sito joinmimos.com, della nostra applicazione e delle pagine di prenotazione.

2. Il nostro ruolo: titolare e responsabile

Mimos svolge due ruoli distinti in materia di protezione dei dati. È importante capire quale si applica a te.

Siamo il titolare dei dati personali per i quali decidiamo le finalità e i mezzi del trattamento — principalmente:

• Dati dell'account e degli utenti del personale (registrazione, autenticazione, amministrazione della fatturazione, assistenza, sicurezza).
• Dati tecnici e di utilizzo che raccogliamo per far funzionare, proteggere e migliorare la piattaforma.
• Comunicazioni tra noi e i nostri clienti commerciali.

Siamo un responsabile (e l'attività di toelettatura è il titolare) per i dati personali che un'attività inserisce o genera sui propri clienti e i loro animali — per esempio recapiti dei clienti, schede degli animali, storico degli appuntamenti, foto, certificati vaccinali e registri dei messaggi. Trattiamo tali dati solo in base alle istruzioni documentate dell'attività allo scopo di fornire il servizio. Ciascuna attività è responsabile di avere una base giuridica per raccogliere questi dati e di rispondere alle richieste sulla privacy dei propri clienti; il nostro trattamento è regolato dalle condizioni sul trattamento dei dati contenute nei nostri Termini d'uso, che fungono da nostro accordo sul trattamento dei dati (DPA).

Se sei un proprietario di animale e vuoi accedere, correggere o cancellare le informazioni che un salone di toelettatura conserva su di te, contatta direttamente quel salone — è lui a controllare la tua scheda. Lo assisteremo in qualità di suo responsabile.

3. Dati personali che trattiamo

I dati effettivamente presenti dipendono da come un'attività configura Mimos e da cosa sceglie di registrare. Le categorie sotto riportate riflettono ciò che la piattaforma è in grado di memorizzare.

3.1 Account dell'attività e degli utenti del personale (Mimos come titolare)

• Identità e contatto: nome e cognome, indirizzo email, numero di telefono.
• Autenticazione e sicurezza: password con hash, token di conferma email e di reimpostazione della password, token "ricordami", contatori dei tentativi di accesso falliti e stato di blocco, e metadati di accesso (data/ora e indirizzi IP dell'accesso corrente/più recente).
• Opzioni di accesso: se accedi con Google o Apple, riceviamo da tale provider il tuo nome, il tuo indirizzo email e un identificatore dell'account; se registri una passkey, ne memorizziamo la chiave pubblica — i dati biometrici non lasciano mai il tuo dispositivo.
• Profilo: foto avatar facoltativa e — per il personale che è un toelettatore prenotabile — biografia, specialità, colore del calendario, data di assunzione e percentuale di commissione.
• Dati di lavoro: orari di lavoro, assenze (incluso qualsiasi motivo registrato), assegnazioni di sede e la configurazione/impostazioni dell'attività.
• Ruolo e appartenenza: a quale/i attività appartiene l'utente e il suo ruolo (admin o membro).

3.2 Dati dei clienti e degli animali (Mimos come responsabile, per conto dell'attività)

• Dati del proprietario dell'animale ("cliente"): nome, indirizzo/i email, numero/i di telefono, indirizzo/i postale/di fatturazione, note in testo libero, origine dell'acquisizione, relazioni familiari ed etichette/tag — sia inseriti manualmente sia importati in blocco (per esempio da un CSV dell'elenco clienti esistente dell'attività).
• Preferenze di messaggistica e consenso: se il cliente ha acconsentito a promemoria/messaggi di marketing automatici, quando il consenso è stato dato o revocato, e il canale preferito (SMS, email o nessuno).
• Schede degli animali: nome, specie, razza, data di nascita, sesso, taglia, peso, pelo/temperamento, allergie e note mediche, e foto dell'animale (foto profilo e foto prima/dopo la toelettatura).
• Certificati vaccinali: nome/tipo del vaccino, date di somministrazione e di scadenza, verifica ed eventuale motivo/note di deroga, e un documento di prova caricato (foto o PDF di un certificato).
• Appuntamenti e storico dei servizi: prenotazioni, orari, stato, istantanee dei prezzi, note/istruzioni speciali sugli appuntamenti, e quale membro del personale ha eseguito il servizio.
• Pagamenti e acconti: laddove un'attività abiliti gli acconti di prenotazione, le registrazioni degli importi degli acconti, del loro stato e dei riferimenti di pagamento Stripe. I dati delle carte restano presso Stripe; non li vediamo né li memorizziamo mai.
• Consensi e firme: documenti di liberatoria/consenso acquisiti al check-in, inclusi i flag di consenso alle foto, il nome del firmatario e un payload di firma digitale, oltre alla versione/locale del documento e alla data/ora.
• Recensioni e testimonianze: valutazioni e commenti in testo libero inviati dai clienti (alcuni tramite link tokenizzati), e qualsiasi nome/foto dell'autore di una testimonianza che un'attività sceglie di pubblicare.
• Comunicazioni: un registro dei messaggi inviati ai clienti o ricevuti da loro, inclusi il telefono/email del destinatario, il canale (SMS, WhatsApp, email), il corpo del messaggio, la direzione, lo stato di consegna ed eventuali errori.

Nota sui dati sensibili. Le allergie e le note mediche sugli animali sono informazioni sulla salute degli animali, non dati personali di categoria particolare relativi a una persona. Tuttavia, i campi in testo libero (note dei clienti, note sugli appuntamenti, commenti delle recensioni) potrebbero contenere qualsiasi cosa un utente digiti. Le attività dovrebbero evitare di registrare categorie particolari di dati personali relativi a persone in questi campi.

3.3 Dati raccolti automaticamente

• Cookie di sessione e di autenticazione (vedi §6).
• Log del server e di sicurezza inclusi indirizzo IP, metadati delle richieste e user-agent, usati per far funzionare, proteggere ed eseguire il debug del servizio. Password, token, codici OTP e segreti simili vengono filtrati dai nostri log.
• Telemetria di prestazioni e di tracciamento tramite il nostro fornitore di monitoraggio delle prestazioni applicative (vedi §7), costituita da metadati di richiesta e di tracciamento.
• Eventi di analisi del prodotto (es. eventi di funnel/utilizzo con un identificatore di sessione e l'utente autenticato, ove applicabile).
• Token push mobile per il personale che usa l'app companion iOS o Android (token del dispositivo, piattaforma, ambiente, ora dell'ultimo accesso). Le notifiche vengono recapitate tramite Apple Push Notification service (APNs) su iOS e Firebase Cloud Messaging (FCM) su Android; i dati del token raccolti sono gli stessi su entrambe le piattaforme.
• Telemetria di prima parte del sito joinmimos.com: conteggi aggregati delle pagine viste, sorgente del traffico, profondità di scorrimento e clic sulle call to action. Non usa cookie — l’identificatore di visita resta nella session storage del tuo browser e sparisce quando chiudi la scheda — e non registra mai ciò che scrivi in un modulo.
• Google Analytics 4 su joinmimos.com. Si carica su ogni pagina in una modalità limitata e senza cookie; solo se accetti la categoria analisi imposta cookie di prima parte (_ga, _ga_<id>) con un identificatore pseudonimo e registra le pagine che visiti, come sei arrivato e il tuo dispositivo, browser, lingua e posizione approssimativa.
• Identificatori di clic di Google su joinmimos.com. Se accetti la categoria pubblicità e arrivi da un annuncio Google, conserviamo l’identificatore che Google ha aggiunto al link (gclid, gbraid o wbraid). Ti accompagna fino alla pagina di registrazione e, se crei un account, lo inviamo insieme all’ora a Google Ads perché l’account possa essere associato all’annuncio su cui hai fatto clic. Non inviamo mai il tuo nome, il tuo indirizzo email né ciò che hai digitato. Senza il tuo consenso alla pubblicità l’identificatore non viene conservato.
• Dati di abbonamento e acquisto di Mimos Pro (il nostro piano a pagamento). Quando ti abboni tramite l'App Store o Google Play, trattiamo l'identificatore di transazione dello store, l'identificatore del prodotto (ad es. il piano mensile o annuale), un identificatore pseudonimo per account che l'app invia allo store (appAccountToken di Apple / obfuscatedAccountId di Google, derivato dall'ID del tuo account) e lo stato dell'abbonamento o del diritto risultante. Se ti abboni sul web tramite Stripe, trattiamo i tuoi identificatori cliente e di abbonamento Stripe, l'identificatore del prodotto e lo stato dell'abbonamento. Trattiamo questi dati esclusivamente per concedere e gestire l'accesso a Mimos Pro.

Non memorizziamo numeri di carte di pagamento né dettagli di conti bancari; Mimos non è un processore di pagamenti.

4. Perché trattiamo i dati e le nostre basi giuridiche

Laddove si applichino il GDPR (EU/EEA), la LGPD del Brasile o altre leggi sulla protezione dei dati applicabili, ci basiamo sulle seguenti basi:

Per il nostro marketing rivolto alle attività, o laddove il consenso sia altrimenti richiesto, ci basiamo sul consenso, che puoi revocare in qualsiasi momento.

5. Messaggistica ai clienti e consenso

Mimos può inviare messaggi SMS ed email ai clienti di un'attività (per esempio promemoria e conferme di appuntamenti), con la messaggistica WhatsApp disponibile dove abilitata. I messaggi WhatsApp vengono inviati dal numero WhatsApp Business dell'attività stessa tramite la WhatsApp Business Cloud API di Meta, con Mimos che agisce come "Tech Provider" di Meta per conto dell'attività. La piattaforma registra e applica il consenso alla messaggistica: lo stato del consenso di un cliente e la relativa data/ora vengono memorizzati, e i messaggi automatici ai clienti sono subordinati a tale consenso. I clienti possono revocare il consenso in qualsiasi momento contattando l'attività o seguendo le istruzioni di opt-out ove fornite. I registri dei messaggi sono conservati come parte dei registri dell'attività (vedi §9).

6. Cookie e tecnologie simili

Mimos usa un piccolo numero di cookie strettamente necessari per funzionare. Tra questi:

• Un cookie di sessione (es. _pet_crm_session) per mantenerti connesso e proteggere dal cross-site request forgery. È HttpOnly, SameSite=Lax e (in produzione) Secure (solo HTTPS).
• Un cookie "ricordami" impostato solo se scegli quell'opzione all'accesso, così resti connesso tra le sessioni del browser; viene cancellato al logout.

Poiché questi cookie sono essenziali per fornire un servizio richiesto, non richiedono il consenso ai sensi delle norme ePrivacy. Separatamente, solo dopo che accetti la categoria pubblicitaria carichiamo Meta Pixel sul web o attiviamo l’SDK Meta nelle app mobili. Possiamo usare un identificatore pseudonimo dell’account, identificatori di installazione, dispositivo o pubblicitari quando disponibili e consentiti, ed eventi limitati di interazione, registrazione e abbonamento per misurare le campagne e attribuire i risultati. Su iOS chiediamo anche il permesso App Tracking Transparency (ATT). Puoi rifiutare o revocare il consenso in qualsiasi momento dalle preferenze cookie del sito o da Privacy nell’app; la revoca interrompe utilizzi e invii futuri.

Sul nostro sito joinmimos.com chiediamo anche il consenso per i cookie di analisi. Google Analytics 4 si carica su ogni pagina, ma finché non accetti la categoria analisi funziona in una modalità limitata: non imposta cookie, non usa identificatori e invia a Google solo l’indirizzo della pagina, il tuo dispositivo e browser e una posizione approssimativa derivata dal tuo indirizzo IP. Solo se accetti impostiamo cookie di prima parte per l’analisi (_ga, _ga_<id>, della durata massima di 24 mesi) che collegano tra loro le tue visite. Google Signals e la personalizzazione degli annunci sono disattivati, quindi questi cookie non servono a creare segmenti di pubblico pubblicitari. Rifiutare richiede un solo clic e puoi modificare o revocare la tua scelta in qualsiasi momento da “Preferenze cookie”, nel piè di pagina.

Solo dopo che accetti la categoria pubblicità carichiamo il tag di Google Ads sulle pagine di registrazione di app.joinmimos.com. Legge l’identificatore di clic dal link da cui sei arrivato e imposta cookie pubblicitari di Google (_gcl_*) con durata fino a 90 giorni. Quando completi il modulo di registrazione, comunica quell’unica conversione a Google Ads. La comunicazione può partire dal tuo browser o dai nostri server; in entrambi i casi contiene l’identificatore di clic e l’ora, e nulla di ciò che hai digitato. Puoi modificare o revocare questo consenso in qualsiasi momento da «Preferenze cookie» nel piè di pagina del sito, o da Privacy nell’app; la revoca interrompe ogni uso successivo.

7. Fornitori di servizi e sub-responsabili

Condividiamo dati personali con le terze parti elencate di seguito esclusivamente per fornire il servizio. Ciascuna è vincolata da clausole sulla protezione dei dati. Questo elenco può cambiare; lo manterremo aggiornato.

Previsto (non ancora attivo): il tracciamento degli errori tramite Sentry è integrato nel nostro codice ma non è abilitato in produzione, quindi oggi non tratta dati personali. Se lo attiviamo, aggiorneremo questa sezione; i report di errore potrebbero allora includere l'indirizzo IP, gli header delle richieste e gli identificatori dell'utente interessato.

Prodotti Mimos collegati. Se un proprietario di animale collega il proprio profilo Mimos Pets e autorizza la condivisione, l'attività può visualizzare le sezioni del profilo che il proprietario ha scelto di condividere (per esempio identità, note di toelettatura, comportamento, allergie, patologie, farmaci e vaccinazioni). Questa condivisione è controllata dall'autorizzazione del proprietario dell'animale in Mimos Pets e può essere revocata lì.

Non vendiamo dati personali né li condividiamo per il targeting pubblicitario di terze parti. La comunicazione con Meta è limitata alla misurazione e attribuzione descritte sopra e si attiva solo con il tuo consenso.

8. Trasferimenti internazionali di dati

La nostra infrastruttura applicativa principale — server applicativi, database e job in background — è ospitata nell'Unione Europea (Francoforte). Alcuni fornitori possono comunque trattare i dati al di fuori del paese in cui ti trovi, inclusi gli Stati Uniti. Laddove i dati siano trasferiti al di fuori dello EEA/UK, ci basiamo su garanzie adeguate come le Standard Contractual Clauses della Commissione europea (e l'UK Addendum ove pertinente), o una certificazione di adeguatezza/Data Privacy Framework di un fornitore. I dettagli delle garanzie per un trasferimento specifico sono disponibili su richiesta all'indirizzo [email protected].

9. Conservazione dei dati

• I dati dell'account e degli utenti del personale sono conservati per tutto il tempo in cui l'abbonamento dell'attività è attivo e per un periodo ragionevole successivo, quindi cancellati o anonimizzati, fatti salvi gli obblighi legali di conservazione (es. fiscali/contabili).
• Le schede di clienti, animali, appuntamenti, foto e vaccinazioni sono conservate per l'attività (il titolare) per tutto il tempo in cui le mantiene. Alcune schede usano la cancellazione logica (contrassegnate come cancellate e nascoste ma conservate) affinché lo storico e i registri degli appuntamenti restino coerenti; non vengono eliminate automaticamente.
• Cronologia delle modifiche / traccia di audit. Per integrità e responsabilità, le modifiche alle schede chiave vengono versionate in un audit log e conservate per tutta la vita dell'account salvo eliminazione.
• I registri dei messaggi sono conservati come parte dei registri di comunicazione dell'attività.
• Chiusura / cancellazione dell'account. Quando un account aziendale viene cancellato, i dati associati (appartenenze, clienti, animali, appuntamenti, servizi, inviti, ecc.) vengono rimossi. Su richiesta cancelleremo o restituiremo i dati di un'attività in conformità al nostro DPA e alla legge applicabile.
• I backup sono conservati per una finestra mobile limitata e poi sovrascritti; le richieste di cancellazione sono soddisfatte immediatamente nei sistemi attivi e si propagano man mano che i backup vengono ciclati fuori.

Se desideri che venga documentato un calendario di conservazione specifico, contattaci all'indirizzo [email protected].

10. Come proteggiamo i dati

• Crittografia in transito: HTTPS/TLS è imposto in tutta l'applicazione (HSTS/force_ssl in produzione); i cookie sono Secure e HttpOnly.
• Protezione delle password: le password vengono sottoposte ad hash con bcrypt (work factor 12) e non sono mai memorizzate o registrate in chiaro.
• Accesso API: l'accesso programmatico usa bearer token memorizzati solo come digest HMAC-SHA256 con salt (il token grezzo non viene mai conservato); i token possono essere revocati e fatti scadere.
• Prevenzione degli abusi: limitazione delle richieste sugli endpoint di accesso, registrazione, reimpostazione password e OTP, e blocco dell'account dopo ripetuti accessi falliti.
• Igiene dei log: password, token, OTP e altri segreti vengono filtrati dai log dell'applicazione.
• Isolamento dei tenant: i dati di ciascuna attività sono logicamente separati per account.
• Controllo degli accessi: permessi basati sui ruoli (admin/membro) e controlli di policy regolano l'accesso all'interno di un account.
• Sicurezza della sessione mobile: l'app mobile memorizza il proprio token di sessione nell'archivio sicuro del dispositivo (Keychain di iOS / Keystore di Android), protetto facoltativamente dalla biometria del dispositivo quando la attivi; i dati biometrici non lasciano mai il tuo dispositivo e sono gestiti interamente dal sistema operativo.

Nessun sistema è perfettamente sicuro, ma adottiamo misure tecniche e organizzative ragionevoli e adeguate per proteggere i dati personali e notificheremo alle parti interessate e alle autorità una violazione dei dati personali laddove la legge lo richieda.

11. I tuoi diritti

Fatta salva la legge applicabile (come il GDPR e la LGPD), puoi avere il diritto di:

• Accedere ai dati personali che conserviamo su di te e riceverne una copia.
• Rettificare dati inesatti o incompleti.
• Cancellare i tuoi dati ("diritto all'oblio") in determinate circostanze.
• Limitare od opporti a determinati trattamenti, incluso il trattamento basato sui legittimi interessi e il marketing diretto.
• Portabilità dei dati — ricevere i tuoi dati in un formato strutturato e leggibile da una macchina.
• Revocare il consenso in qualsiasi momento laddove il trattamento sia basato sul consenso.
• Presentare un reclamo alla tua autorità locale di protezione dei dati o di controllo.

Come esercitare i tuoi diritti:

• Se Mimos è il titolare (i dati del tuo account/utente del personale), contattaci all'indirizzo [email protected]. Risponderemo entro i tempi richiesti dalla legge (un mese ai sensi del GDPR, prorogabile). Potremmo aver bisogno di verificare la tua identità.
• Se i tuoi dati sono stati inseriti da un'attività di toelettatura (cioè sei un cliente di quell'attività), contatta quell'attività — è lei il titolare. La supporteremo nell'evadere la tua richiesta: Mimos mette a disposizione delle attività strumenti integrati a questo scopo, inclusa un'esportazione dei dati per singolo cliente in un formato leggibile da una macchina e una procedura di cancellazione in due passaggi.

12. Minori

Mimos è destinato ad attività e adulti. Non è rivolto ai minori e non raccogliamo consapevolmente dati personali da minori. Se ritieni che un minore abbia fornito dati personali, contattaci e li cancelleremo.

13. Processo decisionale automatizzato

Non usiamo i dati personali qui descritti per prendere decisioni che producano effetti giuridici o similmente significativi su di te unicamente con mezzi automatizzati.

14. Modifiche a questa informativa

Possiamo aggiornare questa informativa per riflettere modifiche al prodotto, ai nostri fornitori o alla legge. Pubblicheremo la versione aggiornata con una nuova data di "Ultimo aggiornamento" e, per le modifiche sostanziali, forniremo un avviso aggiuntivo (es. in-app o via email). L'uso continuato dopo la data di efficacia costituisce accettazione ove consentito dalla legge.

15. Contattaci

Domande, richieste o reclami sulla privacy: