| Informativa privacy

Ultimo aggiornamento: [DATA]

Questa informativa ti spiega, ai sensi dell’articolo 13 del Regolamento (UE) 2016/679 (“GDPR”) e del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018), quali dati personali tratta il sito alteregohairstudio.it di Alterego Hair Studio, per quali scopi, su quale base giuridica, per quanto tempo li conserva e quali diritti hai. Per i dati che non raccogliamo direttamente da te (le recensioni pubblicate su Google) questa informativa contiene anche le indicazioni previste dall’articolo 14 GDPR. Del testo esiste una traduzione in inglese: in caso di differenze prevale la versione italiana.

In breve: il sito non usa strumenti di statistica (analytics), pubblicità, pixel di tracciamento, plugin dei social network, accesso tramite account social o newsletter. I caratteri tipografici sono ospitati sui nostri server (non usiamo Google Fonts) e il sito non installa cookie propri. L’unico contenuto di terze parti che si carica automaticamente è la mappa di Google Maps nella sezione “Contatti” (vedi punto 2.3).

1. Titolare del trattamento

Il titolare del trattamento è [RAGIONE SOCIALE], che gestisce l’attività Alterego Hair Studio.

  • Sede legale: [SEDE LEGALE]
  • Negozio: Via Monopoli 43a, 00133 Roma (Torre Angela)
  • Partita IVA: [P.IVA] – Codice fiscale: [CODICE FISCALE]
  • Email: [EMAIL]
  • PEC: [PEC]
  • Telefono: 06 9960 8421 (da martedì a sabato, 9:00–13:00 e 14:00–19:00)

Non è stato nominato un Responsabile della protezione dei dati (RPD/DPO), perché per la nostra attività non è obbligatorio. Per qualsiasi domanda sui tuoi dati puoi usare i recapiti indicati sopra.

2. Quali dati trattiamo, perché e su quale base giuridica

2.1 Navigazione sul sito (dati tecnici)

Quali dati. Quando visiti il sito, il tuo browser invia automaticamente ai server che lo ospitano alcuni dati tecnici necessari per mostrarti le pagine: indirizzo IP, tipo di browser e di dispositivo (user agent), data e ora, pagina o risorsa richiesta.

Perché. Per mostrarti il sito, garantirne il funzionamento e la sicurezza, prevenire abusi e risolvere problemi tecnici.

Come. Il sito è ospitato da Amazon Web Services (archiviazione Amazon S3 e rete di distribuzione Amazon CloudFront). Non abbiamo attivato i registri di accesso (log) di CloudFront: non conserviamo quindi un elenco delle visite alle pagine. Le funzioni server che gestiscono le richieste dinamiche (per esempio la prenotazione online) registrano invece log tecnici nel servizio Amazon CloudWatch, che possono contenere indirizzo IP, user agent, ora e dettagli della richiesta effettuata: li usiamo solo per la sicurezza e per risolvere malfunzionamenti. Per proteggere il sistema di prenotazione da abusi limitiamo inoltre il numero di richieste che possono essere inviate in poco tempo (rate limiting); non usiamo sistemi CAPTCHA di terze parti.

Base giuridica. Il nostro legittimo interesse a rendere disponibile il sito e a mantenerlo sicuro e funzionante (art. 6, par. 1, lett. f, GDPR).

Conservazione. I log tecnici delle funzioni server sono cancellati automaticamente dopo 30 giorni.

2.2 Preferenza di lingua

Se scegli la lingua del sito (italiano o inglese), la scelta viene salvata nella memoria locale del tuo browser (localStorage, chiave “alterego-lang”), così alla visita successiva il sito si apre nella lingua giusta. Questa informazione resta sul tuo dispositivo, non viene trasmessa automaticamente ai nostri server e non serve a identificarti. È uno strumento strettamente necessario a fornirti la funzione che hai richiesto, per cui non serve il tuo consenso (art. 122 del Codice privacy). Puoi cancellarla in qualsiasi momento eliminando i dati di navigazione del browser. Maggiori dettagli nella Cookie policy.

2.3 Mappa di Google Maps

Nella sezione “Contatti” è inserita una mappa interattiva di Google Maps, servizio fornito da Google Ireland Limited (Irlanda) e, per alcuni trattamenti, da Google LLC (Stati Uniti). La mappa si carica automaticamente quando apri la pagina. La usiamo perché è il modo più immediato per trovare il negozio.

Quando la mappa si carica, il tuo browser si collega direttamente ai server di Google. Google riceve così il tuo indirizzo IP, informazioni sul browser e sul dispositivo e l’indirizzo della pagina da cui parte la richiesta, e può leggere o salvare sul tuo dispositivo propri cookie e strumenti simili. Noi non riceviamo questi dati. Inserendo la mappa nella pagina, però, determiniamo la raccolta e la trasmissione di questi dati a Google: per questa sola fase la giurisprudenza dell’Unione europea (Corte di giustizia, causa C-40/17, Fashion ID) considera il gestore del sito responsabile insieme a Google. Tutti i trattamenti successivi sono effettuati da Google come titolare autonomo, secondo le proprie regole. Nomi, finalità e durata dei cookie sono stabiliti da Google e descritti nelle sue pagine:

Google può trasferire questi dati negli Stati Uniti; Google LLC aderisce all’EU-US Data Privacy Framework (vedi punto 5).

Base giuridica (per la nostra parte). Il nostro legittimo interesse a mostrarti dove si trova il negozio e ad aiutarti a raggiungerlo (art. 6, par. 1, lett. f, GDPR). Questa base giuridica riguarda solo l’inserimento della mappa nella pagina e la conseguente trasmissione a Google dei dati tecnici (indirizzo IP, informazioni sul browser e sul dispositivo, indirizzo della pagina). I cookie e gli strumenti simili che Google può usare sono stabiliti e gestiti da Google, come descritto nelle pagine indicate sopra. L’uso della mappa (ingrandire, calcolare un percorso, aprire Google Maps) è un servizio di Google, regolato dai termini di Google.

Come limitare i dati inviati a Google. Puoi bloccare i cookie di terze parti dalle impostazioni del tuo browser (in Chrome, Firefox, Safari ed Edge l’opzione si trova di solito nella sezione “Privacy” o “Cookie e dati dei siti”) oppure usare la navigazione privata. Bloccare i cookie impedisce a Google di salvare informazioni sul tuo dispositivo, ma non evita il collegamento ai suoi server: per evitarlo del tutto puoi usare un’estensione del browser che blocca i contenuti di terze parti. In questi casi la mappa potrebbe non funzionare o non comparire; l’indirizzo del negozio resta comunque indicato per esteso nella pagina.

2.4 Prenotazione online

Quando il servizio di prenotazione online è attivo, puoi prenotare un appuntamento direttamente dal sito. In alternativa puoi sempre prenotare per telefono al 06 9960 8421. Le condizioni di prenotazione sono descritte nei Termini e condizioni.

Quali dati.

  • obbligatori: nome e cognome, numero di telefono, servizio scelto, data e ora dell’appuntamento;
  • facoltativi: indirizzo email e note;
  • la lingua che stai usando sul sito (italiano o inglese), per scriverti nella stessa lingua.

Ti chiediamo di non scrivere nelle note informazioni non necessarie, in particolare dati sulla salute o altri dati delicati: se hai esigenze particolari puoi parlarne direttamente con noi, in negozio o al telefono.

Perché. Per registrare e gestire il tuo appuntamento; inviarti, se hai indicato l’email, la conferma della prenotazione, un promemoria circa 24 ore prima e i messaggi relativi a modifiche o cancellazioni; contattarti per telefono se necessario (per esempio in caso di imprevisti). Dopo l’appuntamento conserviamo i dati per un periodo limitato per prevenire abusi (per esempio prenotazioni false o mancate presentazioni ripetute senza disdetta, che possono portare a non accettare ulteriori prenotazioni online, come previsto nei Termini e condizioni) e per gestire eventuali contestazioni.

Base giuridica. La gestione della prenotazione è necessaria per dare seguito alla tua richiesta e fornirti il servizio (art. 6, par. 1, lett. b, GDPR). La conservazione dopo l’appuntamento per prevenire abusi e gestire eventuali contestazioni si basa sul nostro legittimo interesse (art. 6, par. 1, lett. f, GDPR). Nel modulo ti chiediamo di spuntare una casella obbligatoria con cui acconsenti al trattamento dei tuoi dati per gestire la prenotazione. Questa spunta non è però la base giuridica del trattamento, che resta la necessità di gestire la prenotazione che ci hai chiesto: se non vuoi più che trattiamo i tuoi dati per questo scopo, puoi disdire la prenotazione, online o per telefono, come indicato nei Termini e condizioni; dopo la disdetta i dati sono conservati solo come indicato sotto alla voce “Conservazione”.

Come. I dati sono registrati su Amazon DynamoDB e le email automatiche sono inviate tramite Amazon Simple Email Service (SES), entrambi nella regione AWS di Parigi (eu-west-3, Unione europea). Le risposte alle tue email sono gestite dalla casella di posta del negozio su Google Workspace. Non usiamo questi dati per marketing o newsletter, non li usiamo per profilarti, non li vendiamo e non li comunichiamo a terzi per loro finalità: li trattano per nostro conto solo i fornitori indicati al punto 4.

Conservazione. I dati di ogni prenotazione online sono cancellati automaticamente 12 mesi dopo la data dell’appuntamento.

Se prenoti per telefono, usiamo il nome e il numero che ci comunichi solo per gestire l’appuntamento e li conserviamo solo per il tempo necessario a questo scopo; la base giuridica è la stessa indicata sopra (art. 6, par. 1, lett. b, GDPR).

2.5 Contatti per telefono o email

Quali dati. Se ci chiami o ci scrivi, trattiamo il tuo numero di telefono o il tuo indirizzo email, il tuo nome e le informazioni che decidi di comunicarci.

Perché e base giuridica. Per rispondere alle tue domande e gestire le tue richieste. Quando la richiesta riguarda un appuntamento o un servizio, la base giuridica è la necessità di dare seguito alla tua richiesta (art. 6, par. 1, lett. b, GDPR); negli altri casi è il nostro legittimo interesse a rispondere a chi ci contatta (art. 6, par. 1, lett. f, GDPR).

Come. La posta elettronica del negozio è gestita con Google Workspace, fornito da Google Ireland Limited come responsabile del trattamento.

Conservazione. Per il tempo necessario a gestire la tua richiesta.

2.6 Immagini dei nostri lavori da Instagram

La sezione dedicata a Instagram mostra foto dei nostri lavori pubblicate sul profilo Instagram del negozio (@alteregohairstudioroma). Le immagini sono copiate sui server del sito e non vengono caricate da Instagram: guardarle sul sito non comporta alcun collegamento con Meta. Ogni immagine ha un link al relativo post su instagram.com: se lo apri, passi sul sito di Instagram e si applicano le regole di Meta Platforms Ireland Limited, titolare autonomo del trattamento (informativa privacy di Instagram).

Alcune foto possono ritrarre clienti che hanno accettato di essere fotografati per il profilo Instagram del negozio: sul sito mostriamo le stesse immagini già pubblicate sul profilo.

Base giuridica. La pubblicazione sul profilo Instagram si basa sul consenso dato dalla persona ritratta (art. 6, par. 1, lett. a, GDPR), che può essere revocato in qualsiasi momento; la revoca non rende illecita la pubblicazione avvenuta prima. Mostrare sul sito le stesse immagini si basa sul nostro legittimo interesse a far conoscere i nostri lavori (art. 6, par. 1, lett. f, GDPR), tenendo conto che si tratta di foto già pubblicate con l’accordo delle persone ritratte e che chiunque può chiederne in qualsiasi momento la rimozione.

Conservazione e rimozione. Le immagini restano sul sito finché sono presenti sul nostro profilo Instagram: i post rimossi da Instagram vengono tolti dal sito al successivo aggiornamento. Chiunque può chiedere la rimozione di una foto che lo ritrae usando i recapiti del punto 1: la toglieremo dal sito e, se revochi il consenso alla pubblicazione, anche dal nostro profilo Instagram.

2.7 Recensioni Google

Origine e tipo di dati. La sezione delle recensioni mostra recensioni sul negozio pubblicate su Google dai loro autori e visibili pubblicamente su Google, da cui provengono i dati. Per ogni recensione mostriamo il nome e l’iniziale del cognome dell’autore, il numero di stelle, il mese e l’anno di pubblicazione e il testo, senza modifiche; mostriamo inoltre la valutazione media e il numero totale di recensioni così come indicati da Google. Un avviso nella sezione spiega che le recensioni provengono da Google, che mostriamo le più recenti tra quelle che contengono un testo e che non sono verificate dal negozio, come richiesto dal Codice del consumo (art. 22, comma 5-bis, D.Lgs. 206/2005).

Perché e base giuridica. Per far conoscere ai visitatori le opinioni sul negozio pubblicate su Google. Il trattamento si basa sul nostro legittimo interesse (art. 6, par. 1, lett. f, GDPR), bilanciato con i diritti degli autori: si tratta di contenuti che gli autori hanno scelto di rendere pubblici, mostriamo solo i dati essenziali e non li usiamo per nessun altro scopo.

Conservazione e rimozione. Le recensioni sul sito vengono aggiornate periodicamente: una recensione cancellata su Google scompare dal sito al successivo aggiornamento. Chi ha scritto una recensione può chiederci in qualsiasi momento di non mostrarla sul sito, usando i recapiti del punto 1. Il link alle recensioni porta a un servizio di Google, titolare autonomo, al quale si applica la sua informativa privacy.

3. Sei obbligato a fornirci i dati?

  • Dati tecnici di navigazione: sono necessari per mostrarti il sito; senza di essi il sito non può funzionare.
  • Prenotazione online: nome e cognome, telefono, servizio, data e ora e la casella di accettazione sono necessari; senza di essi non possiamo registrare la prenotazione online (puoi comunque prenotare per telefono). Email e note sono facoltative: se non indichi l’email non riceverai conferma, promemoria e avvisi via email.
  • Contatti per telefono o email: sei tu a decidere quali dati comunicarci; senza un recapito non possiamo risponderti.
  • Non esiste un obbligo di legge di fornirci i tuoi dati.

4. A chi comunichiamo i dati

I dati sono trattati dal titolare e dalle persone che lavorano nel negozio, autorizzate e istruite a farlo. Non vendiamo dati personali e non li comunichiamo a terzi per finalità di marketing.

Responsabili del trattamento (fornitori che trattano i dati per nostro conto, in base a un accordo ai sensi dell’art. 28 GDPR):

  • Amazon Web Services EMEA SARL (Lussemburgo): hosting del sito (Amazon S3 e CloudFront), registrazione delle prenotazioni (DynamoDB), invio delle email automatiche (SES) e log tecnici (CloudWatch);
  • Google Ireland Limited (Irlanda): casella di posta del negozio tramite Google Workspace.

Titolari autonomi (soggetti che trattano i dati secondo le proprie regole e informative):

  • Google Ireland Limited e Google LLC, per i trattamenti che effettuano dopo che i dati sono stati trasmessi tramite la mappa di Google Maps inserita nel sito (vedi punto 2.3) e per le pagine di Google Maps e delle recensioni Google che puoi aprire dai nostri link;
  • Meta Platforms Ireland Limited, per Instagram, quando apri i link ai nostri post o al nostro profilo.

5. Trasferimenti di dati fuori dallo Spazio economico europeo (SEE)

I dati delle prenotazioni e i log tecnici sono conservati nell’Unione europea (regione AWS di Parigi, eu-west-3). Tuttavia:

  • CloudFront, la rete di distribuzione di AWS che consegna le pagine del sito, usa server situati principalmente in Europa, in Israele e in Nord America e, occasionalmente, anche in altri Paesi: la tua richiesta può quindi essere servita da un server fuori dal SEE (per esempio negli Stati Uniti), con il trattamento dei relativi dati tecnici, come l’indirizzo IP. Alcuni di questi Paesi, come il Canada e Israele, sono coperti da decisioni di adeguatezza della Commissione europea; per gli Stati Uniti AWS aderisce all’EU-US Data Privacy Framework; AWS utilizza inoltre le Clausole contrattuali standard approvate dalla Commissione europea;
  • Google, come titolare autonomo per Google Maps, può trasferire dati negli Stati Uniti nell’ambito dell’EU-US Data Privacy Framework, a cui Google LLC aderisce;
  • per la casella di posta del negozio su Google Workspace si applicano le condizioni sul trattamento dei dati di Google, che indicano anche dove i dati possono essere trattati e con quali garanzie;
  • Meta, quando apri i link a Instagram, tratta i dati secondo la propria informativa, che indica anche gli eventuali trasferimenti fuori dal SEE.

L’EU-US Data Privacy Framework è oggetto di una decisione di adeguatezza della Commissione europea. Puoi chiederci una copia delle garanzie adottate usando i recapiti del punto 1, oppure consultarle qui:

6. Per quanto tempo conserviamo i dati (riepilogo)

  • Log tecnici delle funzioni server (CloudWatch): 30 giorni, poi cancellati automaticamente.
  • Preferenza di lingua: resta nel tuo browser finché non la cancelli; noi non la conserviamo.
  • Dati delle prenotazioni online: cancellati automaticamente 12 mesi dopo la data dell’appuntamento.
  • Prenotazioni telefoniche: per il tempo necessario a gestire l’appuntamento.
  • Email e richieste di contatto: per il tempo necessario a gestire la richiesta.
  • Immagini da Instagram: finché il post resta sul nostro profilo Instagram o fino alla richiesta di rimozione.
  • Recensioni Google: finché restano pubblicate su Google o fino alla richiesta di rimozione dell’autore.
  • Cookie e dati raccolti da Google tramite la mappa: tempi stabiliti da Google e indicati nelle sue pagine.

7. Sicurezza

Adottiamo misure tecniche e organizzative adeguate a proteggere i dati: connessione cifrata (HTTPS), conservazione su infrastruttura AWS nell’Unione europea, accesso ai dati limitato alle persone autorizzate, cancellazione automatica dei log tecnici e delle prenotazioni online alla scadenza dei tempi di conservazione e limitazione delle richieste al sistema di prenotazione per prevenire abusi.

8. I tuoi diritti

Puoi esercitare in qualsiasi momento, gratuitamente, i diritti previsti dagli articoli 15–22 GDPR, salvo richieste manifestamente infondate o eccessive (art. 12, par. 5, GDPR).

Diritto di opposizione. Puoi opporti in qualsiasi momento, per motivi legati alla tua situazione particolare, ai trattamenti basati sul nostro legittimo interesse: dati tecnici di navigazione (punto 2.1), mappa di Google Maps (punto 2.3), conservazione dei dati dopo l’appuntamento (punto 2.4), richieste di contatto non legate a un appuntamento (punto 2.5), immagini mostrate sul sito (punto 2.6) e pubblicazione della tua recensione (punto 2.7).

In sintesi, i tuoi diritti sono:

  • accesso (art. 15): sapere se trattiamo dati che ti riguardano e riceverne copia;
  • rettifica (art. 16): correggere o completare i tuoi dati;
  • cancellazione (art. 17): ottenere la cancellazione dei dati, nei casi previsti dalla legge;
  • limitazione (art. 18): ottenere che i dati vengano solo conservati e non usati, nei casi previsti dalla legge;
  • portabilità (art. 20): ricevere i dati che ci hai fornito e che trattiamo con mezzi automatizzati sulla base del contratto o del consenso (per esempio i dati della prenotazione online) in un formato strutturato, di uso comune e leggibile da dispositivo automatico, o chiederne la trasmissione a un altro titolare;
  • opposizione (art. 21): vedi il paragrafo “Diritto di opposizione” qui sopra;
  • revoca del consenso (art. 7, par. 3): revocare in qualsiasi momento il consenso dato per i trattamenti che si basano sul consenso (per esempio la pubblicazione sul profilo Instagram del negozio di foto che ti ritraggono), senza che questo renda illecito il trattamento effettuato prima della revoca;
  • non essere sottoposto a decisioni unicamente automatizzate (art. 22): vedi punto 10.

Come esercitarli. Scrivi a [EMAIL] o alla PEC [PEC], chiama lo 06 9960 8421, rivolgiti a noi in negozio oppure scrivi per posta a Via Monopoli 43a, 00133 Roma o alla sede legale ([SEDE LEGALE]). Ti risponderemo senza ingiustificato ritardo e comunque entro un mese; nei casi più complessi il termine può essere prorogato di due mesi, e in tal caso te lo comunicheremo. Potremmo chiederti informazioni utili a verificare la tua identità, per evitare di comunicare i tuoi dati ad altri.

9. Reclamo al Garante

Se ritieni che il trattamento dei tuoi dati violi il GDPR, puoi presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità di controllo dello Stato membro dell’UE in cui vivi abitualmente, lavori o in cui si è verificata la presunta violazione, oppure rivolgerti all’autorità giudiziaria. Ti invitiamo comunque a contattarci prima: faremo il possibile per risolvere il problema.

10. Decisioni automatizzate e profilazione

Non prendiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici che ti riguardano o che incidano in modo analogo significativamente sulla tua persona, e non effettuiamo alcuna profilazione. Il sistema di prenotazione si limita a mostrare gli orari disponibili e ad applicare limiti tecnici al numero di richieste per prevenire abusi.

11. Minori

Per i minori di 14 anni la prenotazione deve essere fatta da un genitore o da chi esercita la responsabilità genitoriale.

12. Cookie e strumenti simili

Il sito non installa cookie propri e non usa cookie di statistica, profilazione o pubblicità. Nel tuo browser viene salvata solo la preferenza di lingua (punto 2.2); eventuali cookie di terze parti sono quelli di Google legati alla mappa (punto 2.3). Per i dettagli e per sapere come gestirli leggi la Cookie policy.

13. Modifiche a questa informativa

Potremmo aggiornare questa informativa, per esempio quando attiviamo nuove funzioni del sito, cambiamo fornitori o cambiano le norme. La versione in vigore è sempre pubblicata su questa pagina, con la data di ultimo aggiornamento indicata in alto.

| Privacy policy

Last updated: [DATA]

This is a faithful English translation provided for convenience: the Italian version is the legally binding one and prevails in case of any discrepancy.

This notice explains, pursuant to Article 13 of Regulation (EU) 2016/679 (“GDPR”) and the Italian Personal Data Protection Code (Legislative Decree 196/2003, as amended by Legislative Decree 101/2018), which personal data the website alteregohairstudio.it of Alterego Hair Studio processes, for what purposes, on what legal basis, for how long it keeps them and what rights you have. For data we do not collect directly from you (reviews published on Google) this notice also contains the information required by Article 14 GDPR.

In short: the website does not use analytics, advertising, tracking pixels, social network plugins, social login or newsletters. Fonts are hosted on our own servers (we do not use Google Fonts) and the website does not set any cookies of its own. The only third-party content that loads automatically is the Google Maps map in the Contact section (see point 2.3).

1. Data controller

The data controller is [RAGIONE SOCIALE], which runs the Alterego Hair Studio business.

  • Registered office: [SEDE LEGALE]
  • Shop: Via Monopoli 43a, 00133 Rome (Torre Angela), Italy
  • VAT number: [P.IVA] – Tax code: [CODICE FISCALE]
  • Email: [EMAIL]
  • Certified email (PEC): [PEC]
  • Phone: +39 06 9960 8421 (Tuesday to Saturday, 9:00–13:00 and 14:00–19:00)

No Data Protection Officer (DPO) has been appointed, as this is not mandatory for our business. For any question about your data you can use the contact details above.

2. What data we process, why and on what legal basis

2.1 Browsing the website (technical data)

What data. When you visit the website, your browser automatically sends to the servers hosting it some technical data needed to show you the pages: IP address, browser and device type (user agent), date and time, page or resource requested.

Why. To show you the website, ensure it works properly and securely, prevent abuse and fix technical problems.

How. The website is hosted by Amazon Web Services (Amazon S3 storage and the Amazon CloudFront content delivery network). We have not enabled CloudFront access logs, so we do not keep a list of page visits. The server functions that handle dynamic requests (for example online booking) do record technical logs in the Amazon CloudWatch service, which may contain IP address, user agent, time and details of the request made: we use them only for security and to fix malfunctions. To protect the booking system from abuse we also limit the number of requests that can be sent within a short time (rate limiting); we do not use third-party CAPTCHA systems.

Legal basis. Our legitimate interest in making the website available and keeping it secure and working (Art. 6(1)(f) GDPR).

Retention. Technical logs of the server functions are deleted automatically after 30 days.

2.2 Language preference

If you choose the website language (Italian or English), your choice is saved in your browser’s local storage (localStorage, key “alterego-lang”), so that on your next visit the website opens in the right language. This information stays on your device, is not automatically sent to our servers and is not used to identify you. It is strictly necessary to provide the feature you requested, so your consent is not required (Art. 122 of the Italian Privacy Code). You can delete it at any time by clearing your browser’s browsing data. More details in the Cookie policy.

2.3 Google Maps map

The Contact section contains an interactive Google Maps map, a service provided by Google Ireland Limited (Ireland) and, for some processing, by Google LLC (United States). The map loads automatically when you open the page. We use it because it is the quickest way to find the shop.

When the map loads, your browser connects directly to Google’s servers. Google thus receives your IP address, information about your browser and device and the address of the page the request comes from, and may read or store its own cookies and similar technologies on your device. We do not receive these data. However, by embedding the map in the page we cause these data to be collected and transmitted to Google: for this phase only, EU case law (Court of Justice, case C-40/17, Fashion ID) regards the website operator as responsible together with Google. All subsequent processing is carried out by Google as an independent controller, under its own rules. The names, purposes and duration of the cookies are determined by Google and described on its pages:

Google may transfer these data to the United States; Google LLC participates in the EU-US Data Privacy Framework (see point 5).

Legal basis (for our part). Our legitimate interest in showing you where the shop is and helping you get there (Art. 6(1)(f) GDPR). This legal basis concerns only embedding the map in the page and the resulting transmission of technical data to Google (IP address, browser and device information, page address). The cookies and similar technologies Google may use are determined and managed by Google, as described on the pages listed above. Using the map (zooming, getting directions, opening Google Maps) is a Google service governed by Google’s terms.

How to limit the data sent to Google. You can block third-party cookies in your browser settings (in Chrome, Firefox, Safari and Edge the option is usually found under “Privacy” or “Cookies and site data”) or use private browsing. Blocking cookies prevents Google from storing information on your device, but does not avoid the connection to its servers: to avoid it completely you can use a browser extension that blocks third-party content. In these cases the map may not work or may not appear; the shop’s full address is still shown on the page.

2.4 Online booking

When the online booking service is enabled, you can book an appointment directly from the website. Alternatively, you can always book by phone at +39 06 9960 8421. The booking conditions are described in the Terms and conditions.

What data.

  • mandatory: first name and surname, phone number, chosen service, date and time of the appointment;
  • optional: email address and notes;
  • the language you are using on the website (Italian or English), so that we write to you in the same language.

Please do not write unnecessary information in the notes, in particular health data or other sensitive data: if you have special needs you can talk to us directly, at the shop or by phone.

Why. To record and manage your appointment; to send you, if you provided your email, the booking confirmation, a reminder about 24 hours before and messages about changes or cancellations; to contact you by phone if needed (for example in case of unforeseen events). After the appointment we keep the data for a limited period to prevent abuse (for example fake bookings or repeated no-shows without cancellation, which may lead to refusing further online bookings, as set out in the Terms and conditions) and to handle any disputes.

Legal basis. Managing the booking is necessary to act on your request and provide you with the service (Art. 6(1)(b) GDPR). Keeping the data after the appointment to prevent abuse and handle any disputes is based on our legitimate interest (Art. 6(1)(f) GDPR). In the form we ask you to tick a mandatory box by which you agree to the processing of your data to manage the booking. However, this tick box is not the legal basis of the processing, which remains the need to manage the booking you requested: if you no longer want us to process your data for this purpose, you can cancel the booking, online or by phone, as described in the Terms and conditions; after cancellation the data are kept only as described below under “Retention”.

How. The data are stored on Amazon DynamoDB and automatic emails are sent via Amazon Simple Email Service (SES), both in the AWS Paris region (eu-west-3, European Union). Replies to your emails are handled from the shop’s mailbox on Google Workspace. We do not use these data for marketing or newsletters, we do not use them to profile you, and we do not sell them or disclose them to third parties for their own purposes: they are processed on our behalf only by the providers listed in point 4.

Retention. The data of each online booking are deleted automatically 12 months after the appointment date.

If you book by phone, we use the name and number you give us only to manage the appointment and keep them only for as long as needed for that purpose; the legal basis is the same as above (Art. 6(1)(b) GDPR).

2.5 Contact by phone or email

What data. If you call us or write to us, we process your phone number or email address, your name and the information you choose to give us.

Why and legal basis. To answer your questions and handle your requests. When the request concerns an appointment or a service, the legal basis is the need to act on your request (Art. 6(1)(b) GDPR); in other cases it is our legitimate interest in replying to those who contact us (Art. 6(1)(f) GDPR).

How. The shop’s email is managed with Google Workspace, provided by Google Ireland Limited as data processor.

Retention. For as long as needed to handle your request.

2.6 Images of our work from Instagram

The Instagram section shows photos of our work published on the shop’s Instagram profile (@alteregohairstudioroma). The images are copied to the website’s servers and are not loaded from Instagram: viewing them on the website involves no connection to Meta. Each image has a link to the related post on instagram.com: if you open it, you move to the Instagram website and the rules of Meta Platforms Ireland Limited, an independent controller, apply (Instagram Privacy Policy).

Some photos may show customers who agreed to be photographed for the shop’s Instagram profile: on the website we show the same images already published on the profile.

Legal basis. Publication on the Instagram profile is based on the consent given by the person portrayed (Art. 6(1)(a) GDPR), which can be withdrawn at any time; withdrawal does not make the publication carried out before it unlawful. Showing the same images on the website is based on our legitimate interest in presenting our work (Art. 6(1)(f) GDPR), taking into account that these are photos already published with the agreement of the people portrayed and that anyone can ask for their removal at any time.

Retention and removal. The images remain on the website as long as they are on our Instagram profile: posts removed from Instagram are removed from the website at the next update. Anyone can ask for the removal of a photo showing them by using the contact details in point 1: we will remove it from the website and, if you withdraw your consent to publication, also from our Instagram profile.

2.7 Google reviews

Source and type of data. The reviews section shows reviews about the shop published on Google by their authors and publicly visible on Google, which is the source of the data. For each review we show the author’s first name and surname initial, the star rating, the month and year of publication and the text, unchanged; we also show the average rating and the total number of reviews as reported by Google. A notice in the section explains that the reviews come from Google, that we show the most recent ones containing text and that they are not verified by the shop, as required by the Italian Consumer Code (Art. 22(5-bis) of Legislative Decree 206/2005).

Why and legal basis. To let visitors know the opinions about the shop published on Google. The processing is based on our legitimate interest (Art. 6(1)(f) GDPR), balanced against the authors’ rights: these are contents the authors chose to make public, we show only the essential data and we do not use them for any other purpose.

Retention and removal. The reviews on the website are refreshed periodically: a review deleted on Google disappears from the website at the next update. Anyone who wrote a review can ask us at any time not to show it on the website, using the contact details in point 1. The link to the reviews leads to a Google service, an independent controller, to which its privacy policy applies.

3. Do you have to provide your data?

  • Technical browsing data: they are necessary to show you the website; without them the website cannot work.
  • Online booking: first name and surname, phone, service, date and time and the acceptance box are necessary; without them we cannot record the online booking (you can still book by phone). Email and notes are optional: if you do not give your email you will not receive confirmation, reminders and notices by email.
  • Contact by phone or email: you decide which data to give us; without contact details we cannot reply to you.
  • There is no legal obligation to provide us with your data.

4. Who we share the data with

The data are processed by the controller and by the people working in the shop, who are authorised and instructed to do so. We do not sell personal data and do not share them with third parties for marketing purposes.

Data processors (providers that process data on our behalf, under an agreement pursuant to Art. 28 GDPR):

  • Amazon Web Services EMEA SARL (Luxembourg): website hosting (Amazon S3 and CloudFront), storage of bookings (DynamoDB), sending of automatic emails (SES) and technical logs (CloudWatch);
  • Google Ireland Limited (Ireland): the shop’s mailbox via Google Workspace.

Independent controllers (parties that process data under their own rules and privacy notices):

  • Google Ireland Limited and Google LLC, for the processing they carry out after the data are transmitted through the Google Maps map embedded in the website (see point 2.3) and for the Google Maps and Google reviews pages you can open from our links;
  • Meta Platforms Ireland Limited, for Instagram, when you open the links to our posts or our profile.

5. Transfers of data outside the European Economic Area (EEA)

Booking data and technical logs are stored in the European Union (AWS Paris region, eu-west-3). However:

  • CloudFront, the AWS content delivery network that delivers the website’s pages, uses servers located mainly in Europe, Israel and North America and, occasionally, in other countries: your request may therefore be served by a server outside the EEA (for example in the United States), with processing of the related technical data, such as your IP address. Some of these countries, such as Canada and Israel, are covered by adequacy decisions of the European Commission; for the United States, AWS participates in the EU-US Data Privacy Framework; AWS also uses the Standard Contractual Clauses approved by the European Commission;
  • Google, as independent controller for Google Maps, may transfer data to the United States under the EU-US Data Privacy Framework, in which Google LLC participates;
  • for the shop’s mailbox on Google Workspace, Google’s data processing terms apply, which also state where the data may be processed and with which safeguards;
  • Meta, when you open the links to Instagram, processes data under its own privacy policy, which also describes any transfers outside the EEA.

The EU-US Data Privacy Framework is covered by an adequacy decision of the European Commission. You can ask us for a copy of the safeguards in place using the contact details in point 1, or consult them here:

6. How long we keep the data (summary)

  • Technical logs of the server functions (CloudWatch): 30 days, then deleted automatically.
  • Language preference: stays in your browser until you delete it; we do not keep it.
  • Online booking data: deleted automatically 12 months after the appointment date.
  • Phone bookings: for as long as needed to manage the appointment.
  • Emails and contact requests: for as long as needed to handle the request.
  • Images from Instagram: as long as the post remains on our Instagram profile or until a removal request.
  • Google reviews: as long as they remain published on Google or until the author asks for removal.
  • Cookies and data collected by Google through the map: periods set by Google and stated on its pages.

7. Security

We take appropriate technical and organisational measures to protect the data: encrypted connection (HTTPS), storage on AWS infrastructure in the European Union, access to data limited to authorised people, automatic deletion of technical logs and online bookings when their retention periods expire, and limits on requests to the booking system to prevent abuse.

8. Your rights

You can exercise at any time, free of charge, the rights provided by Articles 15–22 GDPR, except for manifestly unfounded or excessive requests (Art. 12(5) GDPR).

Right to object. You may object at any time, on grounds relating to your particular situation, to processing based on our legitimate interest: technical browsing data (point 2.1), the Google Maps map (point 2.3), keeping data after the appointment (point 2.4), contact requests not related to an appointment (point 2.5), images shown on the website (point 2.6) and publication of your review (point 2.7).

In summary, your rights are:

  • access (Art. 15): to know whether we process data about you and receive a copy;
  • rectification (Art. 16): to correct or complete your data;
  • erasure (Art. 17): to have your data deleted, in the cases provided by law;
  • restriction (Art. 18): to have your data only stored and not used, in the cases provided by law;
  • portability (Art. 20): to receive the data you gave us and that we process by automated means on the basis of a contract or consent (for example online booking data) in a structured, commonly used and machine-readable format, or have them transmitted to another controller;
  • objection (Art. 21): see the “Right to object” paragraph above;
  • withdrawal of consent (Art. 7(3)): to withdraw at any time any consent given for processing based on consent (for example the publication on the shop’s Instagram profile of photos showing you), without affecting the lawfulness of processing carried out before the withdrawal;
  • not to be subject to solely automated decisions (Art. 22): see point 10.

How to exercise them. Write to [EMAIL] or to the certified email (PEC) [PEC], call +39 06 9960 8421, talk to us at the shop or write by post to Via Monopoli 43a, 00133 Rome, Italy, or to the registered office ([SEDE LEGALE]). We will reply without undue delay and in any case within one month; in more complex cases this period may be extended by two further months, and we will let you know. We may ask you for information to verify your identity, so as not to disclose your data to someone else.

9. Complaint to the Garante

If you believe that the processing of your data infringes the GDPR, you can lodge a complaint with the Italian Data Protection Authority, the Garante per la protezione dei dati personali (www.garanteprivacy.it), or with the supervisory authority of the EU Member State where you habitually live, work or where the alleged infringement took place, or take legal action before the courts. We nevertheless invite you to contact us first: we will do our best to solve the problem.

10. Automated decisions and profiling

We do not take decisions based solely on automated processing that produce legal effects concerning you or similarly significantly affect you, and we do not carry out any profiling. The booking system only shows the available time slots and applies technical limits on the number of requests to prevent abuse.

11. Minors

For minors under 14 the booking must be made by a parent or by whoever holds parental responsibility.

12. Cookies and similar technologies

The website does not set any cookies of its own and does not use analytics, profiling or advertising cookies. Only the language preference is saved in your browser (point 2.2); any third-party cookies are those of Google related to the map (point 2.3). For details and to learn how to manage them, read the Cookie policy.

13. Changes to this notice

We may update this notice, for example when we enable new features on the website, change providers or when the law changes. The version in force is always published on this page, with the last update date shown at the top.