Accordo per il trattamento dei dati (DPA)

Il presente accordo («DPA») è stipulato ai sensi dell’art. 28 del Regolamento (UE) 2016/679 fra il Cliente Ristoratore («Titolare») ed Eativia («Responsabile»), e disciplina il trattamento dei dati personali dei Visitatori del menu pubblico e degli Ospiti che prenotano un tavolo, svolto per conto del Titolare. Il DPA è parte integrante dei Termini di servizio e si intende accettato all’atto della sottoscrizione dell’abbonamento.

1. Oggetto e durata

Il Responsabile tratta, per conto del Titolare, i dati personali dei Visitatori del menu digitale del Titolare e, ove il Titolare attivi il modulo prenotazioni, degli Ospiti che prenotano presso di lui, esclusivamente per le finalità descritte al paragrafo 3. Il trattamento ha la stessa durata del contratto principale e cessa alla risoluzione dell’abbonamento, salvo gli obblighi di restituzione e cancellazione di cui al paragrafo 8.

2. Categorie di interessati e dati

• Visitatori del menu pubblico (clienti finali del Titolare). Dati: identificatore di sessione anonimo, tipo di dispositivo, sorgente di traffico, eventi di navigazione, eventuale feedback (rating + messaggio facoltativo). Nessun dato identificativo diretto.
• Ospiti che prenotano (modulo prenotazioni e scheda clienti). Dati: nome, email, numero di telefono, data, ora e numero di persone, occasione e richieste particolari, note inserite dal personale del Titolare, storico delle prenotazioni (visite, cancellazioni, mancate presentazioni), stato dell’eventuale acconto, consenso marketing e relativo registro (data, versione dell’informativa, hash dell’IP, user-agent).
• Categorie particolari di dati (art. 9 GDPR): allergie e intolleranze alimentari, solo se comunicate dall’Ospite o annotate dal personale del Titolare per l’erogazione del servizio di ristorazione.

3. Finalità e istruzioni del Titolare

Il Responsabile tratta i dati esclusivamente per:

• Esporre il menu del Titolare ai Visitatori e tracciarne l’interazione in forma aggregata e anonima;
• Fornire al Titolare statistiche di utilizzo del proprio menu;
• Raccogliere e archiviare gli eventuali feedback dei Visitatori;
• Ricevere e gestire le prenotazioni degli Ospiti, inviare loro conferme, promemoria e avvisi di modifica o cancellazione, incassare e rimborsare gli eventuali acconti tramite Stripe;
• Tenere la scheda clienti del Titolare (storico, etichette, segmenti) e applicare le sue regole di prevenzione di abusi e mancate presentazioni;
• Raccogliere, registrare e rendere revocabile il consenso marketing che l’Ospite presta al Titolare, e mettere a disposizione del Titolare l’elenco dei soli Ospiti consenzienti;
• Garantire la sicurezza, la disponibilità e l’integrità della piattaforma.

Le presenti finalità costituiscono le istruzioni documentate del Titolare ex art. 28, par. 3, lett. a) GDPR. Eventuali ulteriori istruzioni andranno comunicate per iscritto a support@eativia.com.

3.1 Obblighi del Titolare sui dati degli Ospiti

Il Titolare resta l’unico responsabile della liceità del trattamento dei dati degli Ospiti. In particolare il Titolare:

• rende agli Ospiti l’informativa ex art. 13 GDPR. Eativia ne pubblica un modello a nome del Titolare nella pagina di prenotazione; il Titolare ne verifica la correttezza rispetto alla propria attività e mantiene aggiornati nome e indirizzo del locale;
• invia comunicazioni promozionali (email, SMS, WhatsApp o altri canali) esclusivamente agli Ospiti che risultano con consenso marketing attivo nella piattaforma, ai sensi dell’art. 130 del Codice Privacy, e inserisce in ogni messaggio un modo semplice per revocarlo;
• registra senza ritardo nella piattaforma la revoca ricevuta fuori da essa (a voce, per telefono, per email) e non utilizza per finalità promozionali i dati di Ospiti privi di consenso, anche se esportati o copiati su altri strumenti;
• inserisce nelle note e nei campi liberi solo dati pertinenti al servizio, e annota dati sulla salute (allergie, intolleranze) unicamente quando comunicati dall’Ospite a tale scopo;
• imposta un periodo di conservazione dei dati degli Ospiti proporzionato (predefinito: 24 mesi dall’ultima attività, trascorsi i quali la piattaforma anonimizza automaticamente la scheda).

Il Responsabile non utilizza i dati degli Ospiti per finalità proprie, non invia loro comunicazioni promozionali di propria iniziativa e non li cede a terzi.

3.2 Avvisi e assistente su Telegram e WhatsApp

Se il Titolare o un suo Collaboratore collega un canale Telegram o WhatsApp, il Responsabile — su istruzione del Titolare così espressa — invia a quel canale gli avvisi di prenotazione (nome dell’Ospite, numero di persone, data e ora, stato, richieste particolari; per le richieste prese in carico dall’assistente anche recapito dell’Ospite e testo della richiesta) e risponde alle domande del personale sulle prenotazioni. I messaggi transitano sull’infrastruttura del servizio scelto: la WhatsApp Business Platform di Meta Platforms Ireland Ltd., sub-responsabile ai sensi del paragrafo 6, oppure Telegram Messenger Inc., servizio di comunicazione scelto dal Titolare, verso il quale il Responsabile non può ottenere garanzie ex art. 28 GDPR. Il Titolare valuta quale canale usare, verifica che i dispositivi collegati appartengano a personale autorizzato, scollega chi cessa di collaborare e può disattivare gli avvisi in qualsiasi momento dalle impostazioni.

4. Riservatezza

Il Responsabile si impegna affinché ogni soggetto autorizzato al trattamento sia vincolato da idoneo obbligo di riservatezza, tramite contratti di lavoro, accordi di non divulgazione o atti equivalenti.

5. Misure di sicurezza

Il Responsabile adotta misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, fra cui:

• cifratura TLS 1.2+ in transito e at-rest sui database gestiti;
• hashing delle credenziali (bcrypt, cost 12) e degli indirizzi IP conservati per finalità anti-spam (SHA-256);
• controllo degli accessi least-privilege, autenticazione MFA per il personale con accesso amministrativo;
• backup automatici giornalieri, RPO target 24h, RTO target 8h;
• rate-limiting e WAF a tutela degli endpoint pubblici del menu e delle prenotazioni; link di gestione della prenotazione basati su token monouso conservati solo in forma di hash;
• anonimizzazione automatica delle schede Ospite allo scadere del periodo di conservazione impostato dal Titolare e su richiesta di cancellazione dell’Ospite;
• logging delle azioni amministrative e revisione periodica dei permessi.

6. Sub-responsabili

Il Titolare autorizza in via generale il Responsabile a ricorrere a sub-responsabili per le seguenti categorie di servizi: infrastruttura cloud (database, archiviazione, hosting, rete di distribuzione, cache), pagamenti e fatturazione, autenticazione, fornitori di modelli di intelligenza artificiale e di trascrizione vocale (anche tramite un servizio di instradamento), invio di email e, per il canale WhatsApp, Meta Platforms Ireland Ltd. (WhatsApp Business Platform).

L’elenco nominativo e aggiornato — con sede legale, categorie di dati, strumenti di trasferimento e rappresentante UE — è pubblicato nella pagina Sub-responsabili del trattamento e costituisce parte integrante del presente DPA. Il Responsabile impone a ciascun sub-responsabile, per contratto, obblighi di protezione dei dati equivalenti a quelli del presente accordo e resta pienamente responsabile verso il Titolare del loro adempimento (art. 28, par. 4, GDPR).

Ogni aggiunta o sostituzione è comunicata al Titolare con almeno 30 giorni di preavviso tramite aggiornamento della pagina e avviso al recapito registrato; entro tale termine il Titolare può opporsi per giustificato motivo. In tal caso le parti collaborano per individuare una soluzione alternativa e, in difetto, il Titolare può recedere dal contratto principale senza penali.

Telegram Messenger Inc. non è un sub-responsabile: riceve i messaggi soltanto se il Titolare o il suo personale sceglie di collegare quel canale (paragrafo 3.2).

7. Trasferimenti extra-UE

I trasferimenti verso fornitori extra-UE (tra cui Meta Platforms, Inc. per il canale WhatsApp) sono coperti dalle Standard Contractual Clauses approvate dalla Commissione UE e, ove applicabile, dal EU-US Data Privacy Framework. Il canale Telegram resta una scelta del Titolare (paragrafo 3.2).

8. Restituzione e cancellazione dei dati

Al termine del contratto, su richiesta del Titolare il Responsabile cancellerà o restituirà tutti i dati personali oggetto del trattamento, salvo gli obblighi di legge che impongano la conservazione (es. art. 2220 c.c.). Senza richiesta esplicita, i dati saranno comunque cancellati entro 90 giorni dalla cessazione dell’abbonamento. Il registro dei consensi degli Ospiti, privo di recapiti, è restituito al Titolare su richiesta affinché possa continuare a dimostrare i consensi ricevuti.

9. Assistenza al Titolare

Il Responsabile assiste il Titolare, nella misura del possibile e tenuto conto della natura del trattamento, nell’adempimento degli obblighi di:

• riscontro alle richieste degli interessati (artt. 15-22 GDPR);
• notifica delle violazioni di dati personali entro 24 ore dalla conoscenza dell’evento (art. 33 GDPR);
• valutazioni d’impatto e consultazioni preventive.

10. Audit

Il Titolare può richiedere, con preavviso scritto di almeno 30 giorni e non più di una volta l’anno (salvo casi di violazione conclamata), informazioni utili a verificare il rispetto degli obblighi del Responsabile. Eativia mette a disposizione, in alternativa ad audit in loco, le proprie certificazioni e i rapporti di audit dei sub-responsabili infrastrutturali.

11. Foro competente

Il presente DPA è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il foro indicato nei Termini di servizio.