Accordo sul trattamento dei dati (art. 28 GDPR)

1. Parti

Responsabile: [Da definire: ragione sociale] (P. IVA/NIF [Da definire: P. IVA / NIF]), con sede in [Da definire: sede legale], [Da definire: dati di registro], e-mail [Da definire: e-mail di contatto]. Contatto privacy: [Da definire: contatto privacy / DPO].

Titolare: il Cliente intestatario dell'abbonamento, identificato nel proprio account.

2. Oggetto, durata e natura del trattamento

Oggetto: fornire il servizio Allunora (sito e ordini, sala, cucina, prenotazioni, fidelizzazione, recensioni, personale e rilevazione presenze, inventario, analisi e IA).

Durata: quella dell'abbonamento, più il periodo di restituzione e cancellazione della clausola 10.

Interessati: clienti e visitatori del sito del ristorante, commensali, chi prenota, membri del programma fedeltà, dipendenti del ristorante e fornitori.

Dati: identificativi e di contatto, indirizzi di consegna, ordini e importi, prenotazioni, punti fedeltà, recensioni, dati di lavoro (registro orario, turni, assenze, documenti), messaggi all'assistente, dati tecnici di navigazione (con consenso) e, occasionalmente, informazioni su allergie che l'interessato decide di indicare.

3. Obblighi del responsabile (art. 28.3 GDPR)

• a) Trattare i dati solo su istruzione documentata del titolare (queste condizioni e la configurazione che il Cliente imposta nella piattaforma), anche per i trasferimenti internazionali, salvo obbligo di legge, che sarà comunicato in anticipo.
• b) Garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un obbligo legale di riservatezza.
• c) Adottare le misure di sicurezza dell'art. 32 GDPR descritte nell'Allegato II.
• d) Rispettare le condizioni per ricorrere ad altri responsabili (clausola 4).
• e) Assistere il titolare, con misure tecniche e organizzative adeguate, nel rispondere alle richieste di esercizio dei diritti (accesso, rettifica, cancellazione, opposizione, limitazione, portabilità). La piattaforma consente di esportare e anonimizzare ordini e prenotazioni di una persona.
• f) Assistere il titolare negli obblighi degli artt. 32-36 GDPR: sicurezza, notifica delle violazioni, valutazioni d'impatto e consultazioni preventive.
• g) A scelta del titolare, restituire o cancellare i dati al termine del servizio (clausola 10).
• h) Mettere a disposizione del titolare le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire audit (clausola 7).

4. Sub-responsabili

Il titolare autorizza in via generale Allunora a ricorrere ai sub-responsabili dell'elenco pubblicato (/platform-legal/subprocessors).

Allunora comunica con almeno 30 giorni di preavviso ogni aggiunta o sostituzione di un sub-responsabile. Il titolare può opporsi per motivi ragionevoli; se non si trova una soluzione, può recedere senza penali.

Allunora impone contrattualmente a ogni sub-responsabile gli stessi obblighi di protezione dei dati e ne risponde.

5. Trasferimenti internazionali

Alcune funzioni IA sono fornite da Anthropic PBC (USA). I trasferimenti si basano sull'EU-US Data Privacy Framework e/o sulle Clausole Contrattuali Tipo della Commissione Europea. Allunora minimizza i dati inviati ai modelli IA.

6. Violazioni di dati

Allunora notifica al titolare, senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, ogni violazione dei dati personali, con le informazioni disponibili (natura, categorie e numero approssimativo di interessati, conseguenze probabili e misure adottate), affinché il titolare possa notificarla all'autorità entro 72 ore quando dovuto.

7. Audit

Il titolare può richiedere la documentazione che dimostra il rispetto degli obblighi e, con un preavviso ragionevole e senza pregiudicare altri clienti né la sicurezza della piattaforma, svolgere o commissionare un audit. I costi sono a carico del titolare salvo che emerga una violazione rilevante.

8. Obblighi del titolare

Il titolare garantisce di avere una base giuridica per i trattamenti affidati, informa i propri clienti e dipendenti (la piattaforma offre pagine legali e un'informativa per il personale) e configura le funzioni facoltative (marketing, IA, WhatsApp) nel rispetto della legge.

9. Tempi di conservazione

La piattaforma applica per impostazione predefinita questi tempi:

• Testi di prompt e risposte IA (log del proxy IA): svuotati dopo 30 giorni; restano solo token e costo.
• Chat pubbliche dell'assistente web: eliminate dopo 90 giorni. Chat del copilota del personale: 12 mesi.
• Dati dei modelli di notifica: svuotati dopo 90 giorni; i log di invio eliminati dopo 24 mesi.
• Dati personali dei clienti negli ordini (asporto, domicilio, WhatsApp, tavolo, cucina): anonimizzati dopo 24 mesi (gli importi restano per obbligo fiscale). Dati cliente nei ticket di cucina: svuotati 7 giorni dopo la chiusura.
• Testi liberi che possono contenere dati sanitari (richieste speciali, istruzioni di consegna, note, avvisi allergeni): svuotati 30 giorni dopo il giorno di servizio.
• Prenotazioni: anonimizzate 12 mesi dopo la data della prenotazione.
• Codici e link di verifica: eliminati 7 giorni dopo la scadenza.
• Segnalazioni di assistenza risolte e relative schermate: eliminate dopo 90 giorni.
• Log di audit: 3 anni. Analisi proprie: 13 mesi (l'identificativo del cliente viene cancellato se il cliente elimina l'account).
• Dipendenti cessati: documento d'identità, contatto di emergenza, telefono, foto e targa cancellati alla cessazione; registro orario, turni, assenze e documenti eliminati 4 anni dopo la cessazione.

10. Restituzione e cancellazione al termine

Al termine dell'abbonamento il titolare ha 30 giorni per scaricare un'esportazione completa. Dopo, Allunora cancella i dati (salvo conservazione obbligatoria per legge) e rilascia un certificato di cancellazione.

Allegato II — Misure tecniche e organizzative

Misure applicate:

• Isolamento per cliente: il gateway API elimina ogni intestazione di identità inviata dal client e ricava il locale dalla sessione; ogni query filtra per cliente e locale.
• Servizi interni, database, Redis e storage non esposti a Internet; rotte interne non raggiungibili dall'esterno.
• Cifratura TLS su tutti i domini pubblici.
• Password e PIN con bcrypt; segreti di sessione distinti per ambiente.
• Cifratura (Fernet) delle credenziali di cassa, posta e Stripe di ogni locale.
• Firma verificata dei webhook Stripe.
• Elenco esplicito delle origini CORS.
• Impersonificazione da parte dell'amministratore della piattaforma solo in lettura e registrata.
• Token di reimpostazione con scadenza (1 h) e limiti di invio per e-mail e IP; risposte uniformi che impediscono di enumerare gli account.
• Esportazione ed eliminazione dell'account da parte del cliente stesso.

Misure in corso di attuazione:

• Intestazioni di sicurezza (HSTS, CSP, X-Frame-Options, Referrer-Policy).
• Limiti di tentativi e blocco negli accessi; secondo fattore (TOTP) per l'amministratore della piattaforma.
• Registro degli accessi ai dati personali da parte dell'amministratore.
• Mascheramento dei dati personali nei log e nei risultati del copilota IA.
• Backup giornalieri verificati e procedura di risposta alle violazioni.
• Processi automatici di conservazione e anonimizzazione secondo la clausola 9.