Gentiluomo Estetica
Gestionale CRM

Il cloud è master unico dell'agenda. Ogni prenotazione, che nasca in centro o dall'app cliente, si scrive lì. È l'unico modo per non produrre doppie prenotazioni sulle risorse singole — un macchinario laser, una fresa, due operatrici per centro.

Tutto ciò che nasce in centro è invece append-only e non collide mai: incassi, sedute consumate, scalo Gentil Card, timbrature, note cliente, movimenti di prima nota, scarichi di magazzino.

Senza rete il centro lavora in modalità degradata, non bloccata: legge l'agenda dalla cache locale del client, registra normalmente tutte le scritture append-only in una coda che si replica alla riconnessione, e può prendere nuovi appuntamenti che nascono in stato Provvisorio. Alla riconnessione o si confermano, o — se nel frattempo lo slot è stato preso dall'app cliente — il sistema apre un conflitto per la Store Manager invece di creare il doppione.

La sincronizzazione è continua quando c'è rete, non periodica: ogni minuto di ritardo allarga la finestra di conflitto senza portare alcun vantaggio.

La «copia locale» del backup richiesta dalla v1.0 §6 resta assolta da un dump cifrato notturno sul computer del centro, oltre ai backup gestiti lato cloud. Retention 30 giorni, RPO 24 ore per la copia locale e 5 minuti per quella cloud.

Nella v1.0 id_centro compariva solo su Personale, Risorsa fisica e Memo. Va aggiunto su Cliente, Appuntamento, Gentil Card, Pacchetto, Pagamento, Prodotto, Preventivo, Lista d'attesa — senza chiave di tenant su ogni riga non si può né isolare né aggregare.

Un cliente che frequenta due centri ha due anagrafiche distinte, coerentemente con l'isolamento del §1.1 e con la scelta del cliente di far attivare una seconda Gentil Card. I centri in franchising sono titolari autonomi: unificare l'anagrafica creerebbe una contitolarità che nessuno ha chiesto.

La v1.0 clonava listino, fasce Gentil Card e regole di sconto. Si aggiunge il tipario delle risorse fisiche (cabine, cabine con doccia, scaldacera, fresa, macchinario laser, elettrostimolatore, cabina Body Strategy): il nuovo centro ne dichiara solo le quantità. Senza questo passaggio il motore agenda di un centro appena aperto non ha vincoli su cui ragionare.

Le risposte hanno assegnato esplicitamente alla Store Manager: inserimento turni, registrazione di ferie, malattie e permessi, chiusura della prima nota, marcatura del no-show e incasso della penale, sblocco del cliente sanzionato, correzione delle timbrature, riassociazione dei dispositivi. Sono azioni, non viste: il principio della v1.0 sopravvive intatto.

Alla richiesta «tutto, possiamo accedere a ogni dato» rispondo con un default più stretto di quanto chiesto: la casa madre vede tutti gli indicatori aggregati per centro — fatturato, trattamenti venduti, upsell, nuovi clienti, scontrino medio, percorsi e card attive, flussi tra macrocategorie — e gli elenchi in forma non nominativa.

L'accesso ai dati nominativi dei clienti e alle timbrature nominali del personale è disattivo di default, attivabile per singolo centro e sempre registrato in AuditLog.

Due entità sostituiscono il modello vecchio:

• RequisitoRisorsaTrattamento — per ogni trattamento: tipo di risorsa, offset_inizio, durata_occupazione, esclusiva sì/no.
• OccupazioneRisorsa — generata sulla riga di appuntamento: risorsa, minuto di inizio, minuto di fine.

Uno slot è ammissibile quando, per ogni segmento, le unità impegnate restano sotto la quantità disponibile. Il modello copre in un colpo solo tutti i casi che il cliente ha descritto:

Separo Macchinario laser e Cabina in due risorse distinte. Se la cabina restasse occupata per tutta la seduta di Skingent, liberare il macchinario al minuto 30 non servirebbe a nulla: nessun altro laser potrebbe comunque partire, e l'intenzione espressa dal cliente sarebbe vanificata.

Modello: lo Skingent impegna il macchinario nei primi 30 minuti e una cabina generica per l'intera durata. Il numero di cabine per centro è quindi un parametro che governa anche quanti massaggi e trattamenti viso stanno in parallelo — oggi limitati solo dalle operatrici. È il dato mancante DM-3.

Adotto il vincolo fisico: gli scaldacera sono due, quindi due cere qualsiasi possono convivere. La contraddizione è meno grave di quanto sembri — con due operatrici per centro il limite operativo è comunque due, e l'inguine integrale, che ne richiede due da solo, si esclude da sé senza bisogno di una regola dedicata. Le due letture producono lo stesso calendario in quasi ogni caso reale.

Resta da sapere a quale voce di listino corrisponda la «cera brasiliana», che non compare nel §5.3 — dato mancante DM-2.

Il campo id_staff (uno o due) della v1.0 non può esprimere il rilascio anticipato della seconda operatrice. Si introduce AssegnazioneStaff(id_riga, id_staff, da, a, ruolo).

• Combo Full Body — default: entrambe le operatrici bloccate per l'intera durata di 120 minuti, con rilascio manuale della seconda a partire dal minuto 60, che la rende riassegnabile.
• Inguine integrale — default due operatrici, override manuale a una, come già previsto dalla v1.0.

Le durate vanno da 10 minuti (sopracciglia) a 150 (Laser Total Body): la griglia è a 5 minuti, non a slot fissi.

L'appuntamento diventa testata più righe: le righe sono trattamenti distinti, specificati, consecutivi e senza buffer tra loro. I 10 minuti di riassetto si applicano una volta sola, in coda all'intero blocco del cliente, e impegnano cabina e operatrice ma non il macchinario, che si libera subito per lo slot successivo.

Auto-confermati: tutti i massaggi, Viso Express e Gentiluomo su Misura, manicure e pedicure, cere a una operatrice fino a 35 minuti.

In stato Da confermare: laser, Skingent, Body Strategy, Combo Full Body, inguine integrale e qualunque seduta di percorso. Nascono da consulenza o da un preventivo, e impegnano risorse che non si possono lasciare prendere alla cieca.

Il motore espone al cliente solo slot già validati contro turni, assenze, buffer, risorse a segmenti, doppia operatrice e blocco indivisibile del Laser Total Body. Anticipo minimo di prenotazione: 2 ore. Nessuna scelta dell'operatrice, come prescritto dal §3.2. Un cliente con no-show non regolarizzato vede un messaggio esplicito di blocco, non un calendario misteriosamente vuoto.

La v1.0 prevedeva che l'operatrice consultasse manualmente la lista d'attesa dopo una cancellazione. Ora il cliente può riprendersi lo slot da solo prima che qualcuno chiami. Alla cancellazione lo slot resta quindi riservato alla lista d'attesa per 4 ore (configurabile per centro) e non compare tra quelli pubblici; scaduto il termine torna prenotabile. La lista resta invisibile ai clienti, come da §2.13.

Importo pagato e bonus si sommano in un saldo unico e si scalano dal totale. La quota di bonus consumata resta comunque tracciata in quota_bonus_consumata, perché serve alle statistiche e alla separazione fiscale, ma non è un borsellino a sé.

Sotto i 500 € la card non si attiva: il trattamento si paga singolarmente, senza sconti né bonus. Se il residuo non copre il trattamento, il cliente paga la differenza nello stesso movimento oppure attiva una nuova card da cui si scala la differenza. Il residuo copre solo servizi: i prodotti da rivendita si pagano a parte.

Le fasce restano discontinue per scelta: 760 € ricade nella fascia inferiore. È una leva di upsell, non un errore da correggere in fase di implementazione.

La risposta sul saldo unico riguarda la Gentil Card. Per i percorsi il §3.1 impone due vincoli che un saldo unico non può esprimere: il bonus non è spendibile sul trattamento appena acquistato, e il bonus VIP da 1.000 € del Percorso Laser Total Body è spendibile su tutto tranne il laser.

Quindi BonusPercorso è un'entità distinta con regole di eleggibilità per categoria di trattamento. Card e bonus percorso convivono sulla stessa scheda cliente e si scalano secondo l'eleggibilità, non secondo un ordine fisso.

Il cliente ha chiarito che i percorsi non hanno scadenza: hanno una frequenza concordata e una durata stimata definite in consulenza. Da sollecitare scatta quando i giorni dall'ultima seduta superano la frequenza concordata più 15 giorni di tolleranza. Il §4.1 chiedeva di ordinare i percorsi per stato: l'ordinamento resta, cambia il significato del terzo valore.

Un percorso si apre solo su Epilgent, Body Strategy o Skingent, su zone specifiche definite a preventivo. Ampliare un percorso avviato crea un percorso nuovo collegato all'originale da id_percorso_origine: la statistica «ampliamento percorsi» del §4.2 diventa una correlazione tra percorsi collegati dello stesso cliente.

Lo sconto del 20 % entro una settimana dalla consulenza e del 10 % oltre — che la v1.0 citava solo per Body Strategy e che ora vale anche per Epilgent e Skingent — richiede che la consulenza esista come oggetto datato.

Consulenza registra cliente, operatrice, data, tipo di percorso, sconto proposto, data di scadenza dello sconto, preventivo collegato ed esito. Il sistema genera un alert 24 ore prima della scadenza per ricontattare il cliente. Alla scadenza lo sconto proposto scende automaticamente al 10 %, e resta modificabile a mano dalla Store Manager.

Le risposte danno tre indicazioni che sembrano in conflitto: il fatturato si conta il giorno dell'incasso; una seduta scalata vale zero; su due operatrici si ripartisce in proporzione al tempo. Sono compatibili solo separando due grandezze:

Il «fatturato per operatrice» del §4.1 mostra entrambe le colonne. L'erogato si valorizza a listino anche a scontrino zero: è l'unico modo per vedere quanto lavora davvero chi eroga sedute già pagate. Lo scontrino medio si calcola sul venduto diviso le transazioni con importo maggiore di zero — le visite a scontrino zero non entrano nel denominatore.

Gli omaggi non entrano in nessuna delle due: hanno una categoria statistica propria con il valore erogato separato dall'incassato.

SumUp espone API di checkout, ma non esiste un'integrazione documentata verso il modulo fiscale RT italiano, che si pilota in locale con i protocolli del produttore. In architettura cloud servirebbe un agente locale per centro, cioè da cinque a nove installazioni da mantenere.

La baseline contrattuale è quindi quella che il cliente stesso ha indicato come fallback: la Store Manager registra il metodo di pagamento sul gestionale, e il sistema produce un report di riconciliazione giornaliero tra incassi registrati e totali SumUp per intercettare le discrepanze. Scontrino fiscale e scontrino a zero restano emessi dal sistema cassa SumUp.

L'integrazione automatica si valuta in fase 3 con uno spike a esito incerto, e non va promessa come requisito finché non si conoscono marca e modello del registratore telematico — dato mancante DM-4.

La prima nota era citata tre volte nella v1.0 senza alcuna entità nello schema. Ora esiste:

• MovimentoPrimaNota — incassi per metodo, uscite in contanti, versamenti in contanti, con causale e riferimento al pagamento o alla vendita.
• ChiusuraPrimaNota — mensile, a cura della Store Manager, con saldo cassa iniziale e finale.

L'enum dei metodi si separa in sei valori: Contanti, POS, Bonifico, Satispay, Scalapay, Klarna. La v1.0 accorpava Scalapay e Klarna sotto «Small Pay», ma la prima nota li vuole distinti. Le vendite di prodotti confluiscono in prima nota come fatturato, insieme ai servizi.

Il credito è spendibile in un solo centro, su servizi estetici a un'unica aliquota: territorialità e imposta sono note già all'emissione, quindi la card è un buono monouso, con IVA esigibile alla ricarica. È coerente con la scelta di contare il fatturato al giorno dell'incasso e con lo scontrino a zero sulle sedute successive.

Si aggiunge il blocco dei pagamenti in contanti dai 5.000 €, rilevante sul Percorso Laser Total Body da 9.900 € pagabile in unica soluzione.

Disdetta libera fino a 48 ore prima. Entro le 48 ore il sistema genera una penale pari al 50 % del trattamento in stato Da riscuotere; è la Store Manager a confermarla, incassarla o annullarla, e a sbloccare il cliente. Fino alla regolarizzazione il cliente non può prendere nuovi appuntamenti, né in centro né da app. La penale non si applica a chi ha Gentil Card o percorso attivo.

I 30 giorni decorrono dallo sblocco da parte del centro, non dalla data della recensione: è il momento da cui l'omaggio è effettivamente utilizzabile, e la verifica è manuale. Resta valido una sola volta per cliente. L'entità Omaggio copre anche gli omaggi di compleanno, con stato Disponibile / Usato / Scaduto e valore erogato tracciato nella categoria statistica dedicata.

Per il compleanno, l'appuntamento porta un flag automatico se cade entro 7 giorni dalla data di nascita, così le operatrici possono fare gli auguri di persona o proporre l'omaggio.

L'alert scatta sui clienti abituali senza percorso attivo e su quelli con card esaurita o percorso concluso. Un percorso in corso non genera alert di inattività: per quello esiste lo stato Da sollecitare.

Automatizzare WhatsApp significa WhatsApp Business API tramite provider, numero aziendale intestato al centro, template preapprovati da Meta e costo per conversazione moltiplicato per cinque-nove centri. Gli SMS hanno un costo per invio. I messaggi dai telefoni personali delle operatrici non sono compatibili con tracciabilità e titolarità del trattamento.

Il booleano unico consenso_marketing è sostituito da ConsensoCanale, una riga per ogni combinazione canale × finalità: l'opt-out distinto richiesto dal cliente funziona così sia per canale sia per tipo di messaggio. Ogni invio è registrato in LogInvio con esito e costo.

Il promemoria telefonico quotidiano della Store Manager resta manuale, come voluto dalla v1.0 §3.7: serve a mantenere la pianificazione strategica della giornata, e non va automatizzato.

La v1.0 non aveva né orari di apertura né turni: le timbrature sono un consuntivo, non una pianificazione, e senza pianificazione il motore agenda non sa quali slot proporre. Due entità nuove, entrambe gestite dalla Store Manager:

• Turno — per operatrice, inserito mensilmente, modificabile, con storico delle modifiche.
• Assenza — ferie, malattia o permesso, con causale; blocca automaticamente gli slot in agenda.

Gli orari di apertura sono per centro e per giorno della settimana, con calendario delle chiusure. Base di partenza: Aosta, dal martedì al sabato, 10–19 continuato.

Dieci metri non è realizzabile. In interni lo smartphone si localizza tramite WiFi e celle, con errore tipico da 20 a oltre 100 metri: la soglia rifiuterebbe sistematicamente timbrature legittime. E non aggiunge sicurezza, perché la posizione è falsificabile via mock location.

Il controllo che funziona davvero è quello già previsto dalla v1.0: il vincolo sul dispositivo registrato. Vi si aggiunge il riconoscimento della rete WiFi del centro, che è locale per costruzione e non falsificabile da remoto.

Si registra solo l'esito booleano dentro o fuori raggio, con l'accuratezza dichiarata. Le coordinate non vengono salvate: non servono a nulla dopo la verifica e sono il dato più sensibile dell'intero sistema.

DispositivoStaff ammette un solo dispositivo attivo per operatrice: associarne uno nuovo dissocia automaticamente il precedente. La riassociazione è riservata alla Store Manager — la risposta non lo specificava, ed è coerente con il fatto che sia lei a correggere le timbrature — e finisce in AuditLog con autore, data, dispositivo vecchio e nuovo.

Le correzioni di timbratura restano tracciate con valore precedente, autore, data e motivo. Gli straordinari si calcolano sul monte ore mensile, non settimanale; la pausa si scala dalle ore lavorate solo se effettivamente timbrata.

La geolocalizzazione dei dipendenti eccede la mera registrazione delle presenze e ricade nel primo comma dell'art. 4: richiede accordo sindacale o autorizzazione dell'Ispettorato del lavoro, più l'informativa specifica del terzo comma. Senza, i dati raccolti sono inutilizzabili a ogni fine, comprese le contestazioni disciplinari.

In più, sul telefono personale della dipendente il consenso del lavoratore non è una base giuridica valida, per lo squilibrio di potere nel rapporto: va offerto un dispositivo del centro come alternativa a chi non vuole usare il proprio. L'iter è a carico del cliente e va avviato subito, perché ha tempi che non dipendono dallo sviluppo.

Le note libere del §2.4 sono una finestra condivisa tra operatrici, e ora vivono in cloud con accesso multi-dispositivo. Se vi finiscono allergie, patologie o condizioni della pelle, sono dati sanitari ex art. 9 in un campo di testo libero senza controlli.

Si crea un campo anamnesi strutturato e separato, con consenso specifico, visibilità limitata ai ruoli che erogano il trattamento ed esclusione dagli accessi della casa madre. Le note libere restano per le annotazioni non sanitarie, con un avviso esplicito in interfaccia.

Il consenso privacy resta su modulo cartaceo per chi firma in centro, come da §2.15. Chi si registra dall'app accetta invece un'informativa digitale versionata, con data e versione tracciate: nessuna operatrice è presente alla firma, quindi il flag manuale non è applicabile.

Serve una DPIA prima del go-live — geolocalizzazione dei dipendenti, possibili dati sanitari, accentramento cloud di cinque-nove centri — oltre al registro dei trattamenti, alle nomine a responsabile per hosting, provider di messaggistica e SumUp, e all'hosting in UE. Cifratura a riposo su anamnesi e note libere.