Informativa sulla privacy

Data di entrata in vigore: 2026-09-06

Jonot è un servizio di gestione code in cloud. La presente informativa spiega quali dati personali raccogliamo quando tu o i tuoi clienti utilizzate il servizio, perché li raccogliamo, per quanto tempo li conserviamo e quali diritti hai su di essi.

Chi siamo

Il servizio è gestito da Jonot Oy (codice impresa 3620928-7), una società registrata in Finlandia ("Jonot", "noi" nella presente informativa). Per questioni relative alla privacy:

Email: info@jonot.io
Indirizzo postale: Jonot Oy, Tenavatie 11B, 00760 Helsinki, Finlandia

Non abbiamo nominato un responsabile della protezione dei dati — siamo al di sotto delle soglie dell'articolo 37 del GDPR che lo richiederebbero —, ma l'indirizzo email sopra indicato raggiunge la persona responsabile della conformità in materia di privacy.

Cosa raccogliamo, per ruolo

Jonot è utilizzato da tre gruppi di persone e raccogliamo dati diversi per ciascuno.

Utenti finali (le persone che entrano in coda)

Hash del biglietto: un identificativo casuale di 22 caratteri che rappresenta l'Utente finale. È l'unica credenziale che gli Utenti finali possiedono: per impostazione predefinita non vengono raccolti account, accesso né email.
Indirizzo IP: letto all'edge per la limitazione di frequenza e la protezione dagli abusi, ad esempio per impedire che un singolo browser intasi una coda. Gli indirizzi IP non sono archiviati nel database delle code; vengono conservati solo in log delle richieste di breve durata.
Dati di contatto facoltativi: se l'attività ha configurato un flusso di chiosco o di ingresso che richiede un nome o un numero di telefono, ad esempio per chiamarti quando è il tuo turno, tale valore viene archiviato e associato al tuo biglietto per la durata della sessione di coda.

Utenti del personale (banco, amministrazione, super-admin)

Identità: email, nome, avatar e un ID utente. Jonot gestisce in proprio l'autenticazione sul suo database nell'UE; la tua password è archiviata solo come hash con salt — mai in chiaro e mai visibile a noi.
Autorizzazioni: i ruoli assegnati al tuo utente, ad esempio org-manager o desk, verificati a ogni richiesta.
Registro delle attività: una traccia delle modifiche amministrative, come la creazione di una sede o la revoca di un dispositivo, collegata al tuo ID utente.
Metadati della richiesta: indirizzo IP e user-agent registrati in log delle richieste di breve durata.

Dispositivi (chioschi, schermi)

Hash del token di sessione del dispositivo: un hash unidirezionale del token che abbiamo emesso durante l'abbinamento. Non archiviamo mai il token in chiaro.
Metadati di abbinamento: la sede a cui è associato il dispositivo, un'etichetta leggibile e i timestamp dell'ultimo accesso.

Perché li raccogliamo (base giuridica)

Ai sensi del GDPR, ogni attività di trattamento necessita di una base giuridica. Le nostre sono:

Contratto (art. 6, par. 1, lett. b): account del personale, emissione dei biglietti e abbinamento dei chioschi, tutti necessari per fornire il servizio che il nostro Cliente pagante ha sottoscritto.
Legittimo interesse (art. 6, par. 1, lett. f): limitazione di frequenza, prevenzione degli abusi e log delle richieste. Il nostro interesse a mantenere il servizio attivo ed equo non è superato dall'impatto minimo di un log IP di breve durata.
Consenso (art. 6, par. 1, lett. a): i campi di contatto facoltativi che un Utente finale inserisce attivamente in un modulo di chiosco. Puoi revocare il consenso in qualsiasi momento scrivendoci un'email.

Account demo

Un account demo è un modo gratuito e non a pagamento per provare Jonot end-to-end, anche con veri Utenti finali (ad esempio un codice QR scansionato a un vero banco). La sua attivazione raccoglie gli stessi dati identificativi dell'Utente del personale descritti sopra, più qualsiasi dato di Utenti finali che transita attraverso le code che configuri — potenzialmente nomi e numeri di telefono reali, esattamente come per un Cliente pagante. Raccogliamo l'indirizzo email utilizzato per attivare un account demo sulla base del legittimo interesse (art. 6, par. 1, lett. f), per gestire un'offerta gratuita equa e limitata nel tempo e per prevenirne l'abuso; i dati degli Utenti finali raccolti tramite una coda demo sono trattati secondo le stesse basi giuridiche indicate sopra per un Cliente pagante. Come per un Cliente pagante, resti il titolare del trattamento di tali dati degli Utenti finali, e il nostro accordo sul trattamento dei dati si applica ad essi sulla stessa base.

Un account demo e tutto il suo contenuto vengono cancellati secondo un programma fisso e breve, non secondo il programma per i Clienti paganti descritto di seguito: i dati dei biglietti attivi dopo circa 24 ore; un account che non ha emesso alcun biglietto dopo circa 48 ore (l'accesso e i dati di coda di esempio che precarichiamo per te non contano come emissione di un biglietto); e l'intera organizzazione demo — dati dell'Utente del personale e dell'Utente finale allo stesso modo — circa 7 giorni dopo la fine della durata della demo. Un account demo può essere prorogato una sola volta, di altri 14 giorni; è questa scadenza successiva a far scattare il conto alla rovescia di 7 giorni, per cui un account demo e i suoi dati possono esistere al massimo per circa 35 giorni dall'attivazione. Se ti sei unito a una coda che risulta essere una demo, questo è il programma che seguono i tuoi dati; puoi comunque contattarci all'indirizzo info@jonot.io per qualsiasi domanda in merito.

Registro delle registrazioni demo. Quando un'organizzazione demo viene cancellata, conserviamo un unico record che attesta che da un determinato indirizzo email è già stata creata una demo, in modo che lo stesso indirizzo non possa attivare ripetutamente nuovi account demo per eludere il limite di durata. Tale record contiene un hash crittografico con salt dell'indirizzo email normalizzato e una data di creazione — mai l'indirizzo in chiaro, e nulla altro. La sua base giuridica è il legittimo interesse (art. 6, par. 1, lett. f): prevenire l'elusione ripetuta di un'offerta gratuita limitata nel tempo. Lo conserviamo per circa 12 mesi dalla creazione, indipendentemente dalla durata di esistenza dell'organizzazione demo stessa, e rifiutiamo le richieste di cancellazione nei suoi confronti durante tale periodo, perché il record viene conservato appositamente per prevenire l'abuso che la sua cancellazione consentirebbe nuovamente (GDPR, art. 17, par. 1, lett. c). Sei sempre benvenuto a chiederci informazioni su una voce specifica e ti spiegheremo il nostro ragionamento.

Chi tratta i dati per nostro conto

Ci affidiamo a un numero ristretto di sub-responsabili per erogare il servizio. Ciascuno è vincolato da un accordo sul trattamento dei dati e può trattare i dati personali solo secondo le nostre istruzioni:

Cloudflare — hosting, database (D1) ed elaborazione all'edge. I dati di coda e degli account sono archiviati nell'UE (Europa occidentale); le risorse statiche e l'elaborazione senza stato sono erogate dalla sua rete edge globale.

L'autenticazione e l'identità del personale sono gestite internamente sul nostro database nell'UE, non da terzi. La fatturazione è gestita da Polar in qualità di nostro merchant of record; Polar agisce come titolare autonomo per i dati di pagamento, non come nostro sub-responsabile. La creazione di un'organizzazione — inclusa una demo — registra una scheda cliente presso Polar contenente l'indirizzo email utilizzato al momento della registrazione e un riferimento interno all'organizzazione, in modo che Polar possa riconoscerti se in seguito effettui il checkout; non viene trasmesso altro — né il nome dell'organizzazione, né dati di coda, né dati degli Utenti finali. Avviare o prorogare una demo non crea di per sé alcun abbonamento, alcun addebito, né raccoglie dati di pagamento. Aggiorneremo questo elenco quando i nostri sub-responsabili cambiano.

Dove vengono trattati i dati

Dati di coda: archiviati nell'UE (Europa occidentale).
Risorse statiche ed elaborazione dell'applicazione: erogate da una rete edge globale. L'elaborazione è senza stato; all'edge non vengono conservati dati personali.
Identità e autenticazione: gestite internamente sul nostro database nell'UE (Europa occidentale).
Fatturazione (tramite Polar, il nostro merchant of record): può comportare trasferimenti verso gli Stati Uniti nell'ambito dell'EU–US Data Privacy Framework.

Qualora un destinatario non sia certificato nell'ambito dell'EU–US Data Privacy Framework, il trasferimento si basa invece sulle clausole contrattuali tipo della Commissione europea; una copia delle clausole è disponibile su richiesta scrivendo a info@jonot.io.

Per quanto tempo li conserviamo

Biglietti di coda: conservati fino alla chiusura della sessione di coda, poi per 30 giorni ai fini della risoluzione delle controversie, quindi cancellati.
Sessioni dei dispositivi: conservate fino alla revoca del dispositivo; la revoca comporta la cancellazione immediata dell'hash del token.
Dati account del personale: conservati per tutta la durata dell'abbonamento dell'organizzazione, più 90 giorni dopo la disdetta, quindi cancellati dal nostro database. I dati di identità, compreso l'hash della password con salt, fanno parte di questi dati account del personale e vengono cancellati secondo lo stesso calendario.
Log di audit: 12 mesi.
Log delle richieste: in genere 7 giorni.
Account demo: dati dei biglietti attivi circa 24 ore; un account che non ha emesso alcun biglietto circa 48 ore; l'intera organizzazione demo circa 7 giorni dopo la fine della sua durata (comprensiva di un'eventuale proroga unica di 14 giorni) — un massimo di circa 35 giorni dall'attivazione. Vedi Account demo sopra.
Registro delle registrazioni demo: circa 12 mesi dalla creazione, indipendentemente dal ciclo di vita proprio dell'organizzazione demo.

I tuoi diritti

Se ti trovi nell'UE/SEE, e nella maggior parte dei casi indipendentemente da dove ti trovi, hai il diritto di:

Accedere ai dati personali che conserviamo su di te.
Rettificare i dati inesatti.
Cancellare i tuoi dati, fatti salvi gli obblighi legali di conservazione, ad esempio i documenti di fatturazione.
Esportare i tuoi dati in un formato portabile.
Opporti al trattamento basato sul legittimo interesse.
Revocare il consenso per qualsiasi trattamento a cui hai precedentemente acconsentito, senza pregiudicare il trattamento già effettuato.

Scrivi a info@jonot.io per esercitare uno qualsiasi di questi diritti. Cerchiamo di rispondere entro 30 giorni; il termine previsto dal GDPR è di un mese, prorogabile una volta di ulteriori due mesi nei casi complessi.

Se trattiamo dati per conto di un Cliente di Jonot, ad esempio il tuo datore di lavoro, rivolgi prima a loro la richiesta: sono loro il titolare di tali dati e noi agiamo secondo le loro istruzioni.

Cookie e archiviazione locale

Le app di Jonot usano l'archiviazione del browser con parsimonia:

Archiviazione di sessione per gli URL di ritorno dopo l'accesso così, dopo l'accesso, ti riportiamo da dove eri partito. Viene cancellata non appena il reindirizzamento è completato.
Token di identità: token di ID e di refresh conservati in memoria e in cookie di refresh sicuri emessi dal servizio di autenticazione di Jonot.
Cronologia delle code sul tuo dispositivo: l'app cliente salva il tuo biglietto attivo e un breve elenco dei luoghi in cui ti sei messo in coda, così l'app installata ha ancora una destinazione dopo che il biglietto è stato usato. I dati restano nel tuo browser, non ci vengono mai inviati e puoi cancellarli dall'app in qualsiasi momento.

Usiamo Google Analytics sui nostri siti di marketing e registrazione e nelle nostre app per clienti, personale, chioschi e schermi per comprendere come viene usato il servizio. Raccogliamo le pagine che visiti, le azioni che compi, il sito da cui provieni e informazioni sul browser e sullo schermo. Gli indirizzi delle pagine possono includere identificatori associati a organizzazioni, code o biglietti. Questa misurazione può avvenire senza cookie. Google riceve anche il tuo indirizzo IP e informazioni sul browser quando il tuo dispositivo contatta i suoi servizi.

Sui nostri siti di marketing e registrazione, Google ci aiuta anche a misurare l’efficacia della nostra pubblicità dal momento in cui apri una pagina. Questa misurazione inizialmente non attiva i cookie pubblicitari, ma le informazioni sulla tua visita e sull’annuncio che ti ha portato al sito possono comunque essere condivise con Google. Il sito di marketing non li attiva. Questi siti non mostrano un banner separato per il consenso ai cookie.

Dal secondo passaggio della registrazione in poi, Google può usare cookie e altra archiviazione del browser per la misurazione pubblicitaria e la pubblicità personalizzata. Ciò vale anche quando apri o riprendi direttamente un passaggio successivo e può avvenire prima che tu crei un account o un abbonamento. Il percorso di registrazione non offre una scelta pubblicitaria facoltativa separata. Alcuni cookie pubblicitari possono essere usati anche su altri siti e app Jonot.

Quando un abbonamento viene confermato, condividiamo con Google il suo numero di riferimento e l’importo e la valuta disponibili per misurare quale pubblicità porta ad abbonamenti a pagamento. Salviamo anche i numeri di riferimento degli abbonamenti nel tuo browser per evitare di contare lo stesso abbonamento più di una volta. Per le pratiche di Google relative ai dati, consulta Come Google utilizza le informazioni provenienti da siti o app che utilizzano i suoi servizi.

Minori

Jonot è un servizio rivolto alle imprese. Non raccogliamo consapevolmente dati da minori di 16 anni. Se ritieni che un minore abbia inviato, tramite il chiosco di un Cliente, dati che non dovrebbero esserci, scrivici e li cancelleremo.

Modifiche alla presente informativa

Aggiorneremo la presente informativa man mano che il servizio si evolve. La data di entrata in vigore in cima alla pagina riflette sempre la versione attuale; per le modifiche sostanziali avviseremo gli Utenti del personale registrati con almeno 14 giorni di anticipo via email.

Reclami

Se non sei soddisfatto del modo in cui gestiamo una richiesta in materia di privacy, puoi presentare un reclamo a un'autorità di controllo. In Finlandia è il Garante per la protezione dei dati (tietosuoja.fi). In un altro paese dell'UE/SEE è la tua autorità locale di protezione dei dati.