Trattamento dei dati (DPA)

Questo accordo (art. 28 GDPR) è parte integrante dei Termini di servizio e si perfeziona con l'attivazione dell'account. Regola il trattamento che 100X MENTALITY S.R.L. svolge sui dati dei clienti finali per conto del ristorante.

1. Ruoli

Titolare del trattamento: il ristorante Cliente, che decide quali dati raccogliere dai propri clienti e per quali finalità.

Responsabile del trattamento: 100X MENTALITY S.R.L., Via Provinciale 1, 50062 Dicomano (FI), Italia, P.IVA 07498660484, che tratta quei dati esclusivamente per erogare la piattaforma 100x Connect.

Il ristorante dichiara di aver raccolto le informative e, dove necessario, i consensi dei propri clienti, e garantisce la liceità dei dati che carica o fa raccogliere tramite la piattaforma.

2. Oggetto, durata e tipi di dati

Durata: quanto il contratto di servizio, più i 30 giorni successivi previsti per l'esportazione.

Categorie di interessati: clienti del ristorante, potenziali clienti, personale del locale.

Categorie di dati: nome, telefono, email, data di nascita se fornita, prenotazioni, ordini e consumi, punti fedeltà e premi, feedback e valutazioni, preferenze e allergie comunicate dal cliente, consensi marketing, notifiche push, immagini caricate.

Il ristorante si impegna a non inserire dati sanitari oltre alle informazioni su allergie e intolleranze strettamente necessarie al servizio, né altre categorie particolari di dati (art. 9 GDPR).

Trattamenti svolti: raccolta, registrazione, organizzazione, conservazione, consultazione, uso, comunicazione ai fornitori autorizzati, cancellazione.

3. Obblighi di 100x Mentality

trattare i dati solo su istruzione documentata del ristorante e per erogare il servizio;
non usare i dati per finalità proprie, non venderli, non cederli a terzi per marketing;
garantire la riservatezza del personale autorizzato, vincolato al segreto;
applicare misure di sicurezza adeguate (cifratura in transito e a riposo, separazione per locale, accessi per ruolo, backup, registro delle modifiche);
assistere il ristorante nelle richieste degli interessati, nelle valutazioni d'impatto e nei rapporti con il Garante;
notificare al ristorante ogni violazione dei dati senza ritardo e comunque entro 48 ore dalla conoscenza, con le informazioni utili alla notifica all'autorità;
al termine del contratto, restituire i dati in formato leggibile e poi cancellarli o anonimizzarli entro 30 giorni, salvo obblighi di conservazione di legge;
mettere a disposizione le informazioni necessarie a dimostrare la conformità e consentire audit documentali, con preavviso ragionevole e senza compromettere la sicurezza degli altri clienti della piattaforma.

4. Sub-responsabili autorizzati

Il ristorante autorizza l'impiego dei fornitori elencati di seguito, vincolati da obblighi equivalenti a quelli del presente accordo. Le variazioni sono comunicate con almeno 30 giorni di preavviso e il ristorante può opporsi per motivi ragionevoli legati alla protezione dei dati.

Supabase (AWS) — Database, autenticazione e archiviazione file · UE (Francoforte)
Vercel Inc. — Hosting dell’applicazione e log tecnici · USA — clausole contrattuali standard
Anthropic / OpenAI — Assistente conversazionale, se attivato dal ristorante · USA — clausole contrattuali standard
GoHighLevel (HighLevel Inc.) — CRM, SMS e WhatsApp, se collegato dal ristorante · USA — clausole contrattuali standard
OpenWeather — Dati meteo per le automazioni (nessun dato personale) · UE / UK
Google / Apple / Mozilla — Recapito delle notifiche push · USA — clausole contrattuali standard

I trasferimenti fuori dallo Spazio economico europeo avvengono sulla base delle clausole contrattuali standard della Commissione europea e di misure supplementari adeguate.

5. Obblighi del ristorante

pubblicare e mantenere aggiornata la propria informativa privacy, compilando i dati legali del locale nelle impostazioni;
raccogliere consensi validi prima di inviare comunicazioni promozionali e rispettare le revoche;
limitare gli accessi del personale a quanto necessario e revocarli tempestivamente;
non caricare dati eccedenti o non pertinenti rispetto alle finalità dichiarate;
rispondere alle richieste dei propri clienti (accesso, cancellazione, opposizione) usando gli strumenti della piattaforma.

6. Responsabilità

Ciascuna parte risponde delle violazioni della normativa privacy commesse nell'ambito dei propri obblighi. Il ristorante risponde della liceità della raccolta e delle istruzioni impartite; 100x Mentality risponde del trattamento svolto in violazione delle istruzioni legittime o degli obblighi che il GDPR pone direttamente in capo al responsabile.