Accordo sul trattamento dei dati

1. Le parti e i ruoli

Lo stabilimento che usa Ombra è il titolare del trattamento dei dati dei suoi clienti e del suo personale. Lorenzo Taiocchi («noi») è il responsabile del trattamento ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR) e tratta quei dati solo per conto dello stabilimento.

2. Oggetto e durata

Trattiamo i dati per fornire il servizio descritto nelle condizioni: prenotazioni e pagamenti online, QR sulle postazioni, ordini al bar, comunicazioni ai clienti, area di gestione. L'accordo dura quanto il contratto, e dopo per il tempo necessario a restituire e cancellare i dati (punto 12).

3. Quali dati e di chi

• Clienti dello stabilimento: nome, email, telefono, lingua; se chiedono la fattura, ragione sociale, partita IVA o codice fiscale, indirizzo, codice destinatario e PEC; prenotazioni, postazioni e date; ordini al bar e richieste dal QR; importi e stato dei pagamenti e dei rimborsi (non i dati delle carte, che tratta Stripe); inviti a riprenotare; note dello staff.
• Personale dello stabilimento: nome, email, ruolo, accessi, azioni registrate nell'area di gestione, iscrizioni alle notifiche.
• Non trattiamo dati particolari (salute, origine, convinzioni) e il servizio non li chiede: lo stabilimento si impegna a non inserirli nei campi di testo libero.

4. Le istruzioni

Trattiamo i dati solo secondo le istruzioni documentate dello stabilimento: questo accordo, le condizioni del servizio, le impostazioni che sceglie nell'area di gestione e le richieste che ci manda per iscritto. Se un'istruzione ci sembra contraria alla legge te lo diciamo subito. Non usiamo i dati per scopi nostri, non li vendiamo e non li usiamo per pubblicità né per addestrare sistemi di intelligenza artificiale.

5. Riservatezza

Ai dati accede solo chi lavora per noi al servizio e ne ha bisogno, vincolato alla riservatezza. Lo fa solo per assistenza, manutenzione o sicurezza.

6. Sicurezza

Applichiamo misure adeguate al rischio (art. 32 GDPR), fra cui:

• connessioni sempre cifrate (HTTPS, con HSTS) e database cifrato a riposo dal fornitore;
• separazione dei dati per stabilimento garantita dal database (Row Level Security): ogni stabilimento vede solo i suoi;
• ruoli con i permessi minimi necessari per il personale; chiavi di servizio solo lato server;
• limiti ai tentativi su prenotazioni, QR e moduli contro gli abusi;
• registro delle azioni importanti nell'area di gestione;
• copie di sicurezza del database e aggiornamenti regolari dei componenti.

7. Gli accessi del tuo personale

Lo stabilimento è responsabile degli accessi del suo personale: password personali, ruoli corretti, revoca a chi non lavora più con lui.

8. Sub-responsabili

Lo stabilimento ci autorizza a servirci dei fornitori qui sotto, a cui imponiamo per contratto obblighi di protezione dei dati equivalenti a questi. Ti avvisiamo per email almeno 30 giorni prima di aggiungerne o sostituirne uno: se non sei d'accordo puoi opporti e, se non troviamo una soluzione, recedere senza penali con il rimborso della parte di canone non goduta. Restiamo responsabili verso di te per i loro adempimenti.

• Supabase Inc.: database e accessi all'area di gestione. Server nell'Unione Europea (Irlanda); società con sede negli Stati Uniti. Accordo sul trattamento dei dati con clausole contrattuali tipo della Commissione europea.
• Servereasy S.r.l.: server che fa funzionare l'applicazione. Italia. Accordo sul trattamento dei dati.
• Resend (Plus Five Five, Inc.): invio delle email di servizio: conferme, disdette, inviti a riprenotare, avvisi allo staff. Stati Uniti. Accordo sul trattamento dei dati con clausole contrattuali tipo della Commissione europea.
• Servizi di notifica dei browser (Google, Apple, Mozilla): consegna delle notifiche sul telefono dello staff, se le attiva. Unione Europea e Stati Uniti. Il contenuto della notifica viaggia cifrato: il servizio di consegna non lo legge.

9. Fuori dall'Unione Europea

Database in Irlanda e server in Italia. Quando un sub-responsabile tratta dati fuori dall'Unione Europea, il trasferimento avviene con una decisione di adeguatezza (art. 45 GDPR) o con le clausole contrattuali tipo della Commissione europea (art. 46).

10. Assistenza allo stabilimento

Ti aiutiamo a rispondere alle richieste dei tuoi clienti (accesso, rettifica, cancellazione, portabilità): molte le fai da solo dall'area di gestione, e se una richiesta arriva a noi te la giriamo entro 5 giorni lavorativi. Ti diamo le informazioni che ci servono per valutazioni d'impatto e consultazioni con il Garante, se ne hai bisogno.

11. Violazioni dei dati

Se scopriamo una violazione che riguarda i tuoi dati te lo diciamo senza ingiustificato ritardo e comunque entro 48 ore, con quello che sappiamo: cosa è successo, quali dati e quante persone, le conseguenze probabili, cosa abbiamo fatto. Così puoi decidere se e come avvisare il Garante (entro 72 ore) e i clienti.

12. Alla fine del contratto

Puoi scaricare i dati in ogni momento, anche nei 30 giorni dopo la fine del contratto. Poi li cancelliamo entro 30 giorni, salvo che la legge ci obblighi a conservarli; le copie di sicurezza si cancellano alla loro scadenza naturale. Su richiesta ti confermiamo la cancellazione per iscritto.

13. Verifiche

Ti diamo le informazioni necessarie a dimostrare il rispetto di questo accordo. Se servono verifiche o ispezioni le concordiamo con 30 giorni di preavviso, al massimo una volta l'anno salvo violazioni, a spese di chi le chiede e con l'impegno alla riservatezza.

14. Prevalenza

Per tutto quello che riguarda la protezione dei dati questo accordo prevale sulle condizioni del servizio. Per il resto valgono le condizioni, compresi la responsabilità e il foro.