1. Parti e Definizioni
Titolare del trattamento: Il soggetto identificato come Cliente Business (Ristorante), registrato alla piattaforma Plathea, che raccoglie e tratta dati personali di clienti, utenti e personale tramite i servizi forniti.
Responsabile del trattamento: Promethea S.r.l., P.IVA 01417350327, Via Flavia 82, 34148 Trieste — privacy@prometheasrl.it
Piattaforma: Il servizio SaaS "Plathea", accessibile da www.myplathea.com e domini associati, utilizzato dal Titolare per la gestione della propria attività di ristorazione.
2. Oggetto e Durata dell'Accordo
Il presente accordo disciplina i trattamenti di dati personali effettuati dal Responsabile per conto del Titolare tramite la Piattaforma, ai sensi dell'art. 28 GDPR.
L'accordo ha durata pari al contratto SaaS tra le parti e resta efficace fino alla completa cancellazione dei dati trattati per conto del Titolare, salvo obblighi di legge ulteriori.
3. Natura, Finalità e Tipologia dei Trattamenti
Oggetto del trattamento
Raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, estrazione, comunicazione e cancellazione dei dati personali inseriti dal Titolare nella Piattaforma.
Finalità del trattamento
- Prenotazioni e tavoli
- Anagrafiche clienti e staff
- Menu, food cost, magazzino
- Funzionalità IA e report
- Email e notifiche automatiche
- Comunicazioni promozionali del Titolare ai propri clienti (email e notifiche push), inviate su sua istruzione e solo ai clienti che hanno dato il consenso alle promozioni del locale, verificato a ogni invio; il solo «Segui» vale per gli avvisi di servizio
- Programmi fedeltà del Titolare (punti e premi del locale)
- Supporto tecnico e backup
- Sicurezza e audit
- Cassa fiscale: documenti commerciali e fatture via provider fiscale
- Incassi elettronici: registrazione esiti di pagamento
- Ordini con ritiro o consegna a domicilio: ricezione, verifica della zona di consegna, assegnazione delle consegne al personale del Titolare, avvisi al cliente finale
- Sito del ristorante generato dalla Piattaforma: pubblicazione dei contenuti scelti dal Titolare (compresi nome, ruolo, foto e presentazione dei membri dello staff che il Titolare decide di mostrare) e ricezione delle candidature inviate dal modulo «Lavora con noi»
Tipologia di dati personali
Identificativi: Nome, cognome, email, telefono, ruolo di clienti e staff del ristorante.
Prenotazioni: Dati di prenotazione, stato dei tavoli, preferenze alimentari.
Dati particolari: Allergie, intolleranze e condizioni mediche legate alla prenotazione (art. 9 GDPR), trattate solo con il consenso esplicito dell'interessato. Per conto del Titolare, la Piattaforma registra la prova del consenso nel registro legale prima di salvare il dato: la spunta dell'ospite sul sito oppure la dichiarazione del personale che ha letto all'ospite il testo del consenso. Se il cliente ha un profilo personale nell'app con le proprie allergie (di cui Promethea è titolare autonomo), queste arrivano al Titolare solo con il consenso del cliente e solo per la prenotazione fatta presso di lui.
Operativi: Storico ordini, note inserite, messaggi della chat interna dello staff e, se il Titolare la attiva, della chat con i clienti (art. 9).
Media: Immagini e altre informazioni caricate dal Titolare.
Tecnici: Dati di autenticazione, indirizzi IP e log di accesso e di sicurezza.
Dati di lavoro: Turni, giornate in servizio e giri di consegna assegnati al personale del Titolare; per i candidati, i dati e i documenti inviati con la candidatura.
Pagamenti: Importo, metodo ed esito dei pagamenti elettronici. I dati della carta sono trattati esclusivamente da Stripe e non transitano dalla Piattaforma.
Assistente IA: Per rispondere alle richieste del Titolare, l'assistente riceve i soli dati operativi necessari (ad esempio le prenotazioni del giorno con nome, orario e numero di persone). Le richieste speciali e le altre informazioni sulla salute (allergie e intolleranze) non sono trasmesse all'assistente.
Dati fiscali clienti finali: In caso di fattura richiesta dal cliente finale del ristorante: denominazione o nome e cognome, codice fiscale/partita IVA, codice destinatario SDI o PEC, indirizzo. Trattati ai soli fini della generazione e trasmissione della fattura elettronica tramite il provider fiscale e il Sistema di Interscambio.
Ordini con ritiro o consegna: Dati degli ordini dei clienti finali (contenuto, importi, metodo di pagamento, stato), indirizzi di consegna con recapito telefonico e coordinate geografiche, esito della consegna; dati del personale addetto alle consegne (giornate in servizio, giri assegnati, orari previsti). Nessun dato di posizione del personale; i tempi di consegna sono conservati solo in forma aggregata per fascia oraria e zona.
Categorie di interessati
- Clienti/utenti del ristorante
- Personale/staff del ristorante
- Candidati alle offerte di lavoro del ristorante
- Altri soggetti inseriti dal Titolare
4. Obblighi e Impegni del Responsabile
- Trattare i dati personali solo su istruzioni documentate del Titolare, incluse quelle relative al trasferimento verso paesi terzi.
- Garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o siano soggette a obbligo legale di riservatezza.
- Adottare misure di sicurezza tecniche e organizzative conformi agli artt. 32 ss. GDPR (cifratura, segregazione, logging, backup automatici e procedure di gestione delle violazioni di dati personali).
- Assistere il Titolare nell'assolvimento dell'obbligo di rispondere alle richieste di esercizio dei diritti degli interessati.
- Assistere il Titolare nel garantire il rispetto degli obblighi in tema di sicurezza, data breach, DPIA e consultazione preventiva.
- Su richiesta del Titolare, cancellare o restituire tutti i dati personali dopo la cessazione dei servizi e cancellare tutte le copie residue, salvo obblighi di legge.
- Mettere a disposizione tutte le informazioni necessarie per dimostrare il rispetto dell'art. 28 GDPR e consentire audit/attività ispettive da parte del Titolare.
- Notificare senza indebito ritardo al Titolare qualsiasi violazione dei dati personali rilevante, fornendo dettagli utili per la valutazione e gestione dell'incidente.
- Facilitare il Titolare nella verifica dei consensi per dati particolari e nell'adozione delle corrette basi giuridiche, in particolare per minori o dati sulla salute.
5. Sub-responsabili e Fornitori
Il Titolare autorizza in via generale il Responsabile a ricorrere a sub-responsabili, selezionati secondo criteri di adeguatezza e trasparenza ex artt. 28, 32, 44-46 GDPR e vincolati agli stessi obblighi di protezione dei dati del presente accordo.
L'elenco completo dei fornitori che ricevono dati personali trattati tramite la Piattaforma è pubblicato su www.prometheasrl.it/legal/it/fornitori.html e fa parte integrante del presente accordo. Per ogni fornitore indica il servizio reso, il ruolo (sub-responsabile, destinatario tecnico o titolare autonomo), il paese in cui avviene il trattamento e la garanzia applicata ai trasferimenti fuori dall'Unione europea. Ogni versione dell'elenco è datata e resta consultabile nell'archivio dei documenti.
L'aggiunta o la sostituzione di un sub-responsabile è comunicata al Titolare tramite la Piattaforma o via email almeno 30 giorni prima che il nuovo fornitore riceva dati. Entro lo stesso termine il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati; in caso di opposizione le parti cercano una soluzione e, se non la trovano, il Titolare può recedere dal contratto senza penali.
Alcuni fornitori trattano i dati come titolari autonomi, secondo le proprie condizioni, quando il Titolare o i suoi utenti scelgono di usarne il servizio (ad esempio il gestore dei pagamenti, la pubblicazione sui social, l'apertura di una mappa): anche questi sono indicati nell'elenco.
6. Trasferimenti Extra-UE
Per ogni trasferimento di dati verso paesi extra-SEE, il Responsabile garantisce che avvenga sulla base di una decisione di adeguatezza della Commissione europea (art. 45 GDPR, compreso l'EU-US Data Privacy Framework per i fornitori statunitensi che vi aderiscono), oppure di Clausole Contrattuali Standard (SCC) (art. 46 GDPR), accompagnate dalla valutazione della normativa del paese di destinazione (TIA). La garanzia applicata a ciascun fornitore è indicata nell'elenco dell'art. 5.
7. Durata e Cancellazione dei Dati
Conservazione: Per il tempo strettamente necessario all'erogazione del servizio o secondo le richieste del Titolare, comunque non oltre i termini contrattuali.
Cancellazione: Dati cancellati o restituiti al Titolare, incluse le copie di backup, al termine del rapporto contrattuale o su istruzione documentata del Titolare, salvo obblighi di legge.
Prenotazioni: Al massimo 24 mesi dalla data della prenotazione, con o senza account del cliente, poi rese anonime.
Dati sulla salute delle prenotazioni: Cancellati 7 giorni dopo la data della prenotazione, oppure subito alla revoca del consenso.
Consenso alle promozioni del locale: Fino alla revoca, e comunque non oltre 24 mesi dal consenso, salvo rinnovo.
Email del pagamento con QR: L'indirizzo indicato dal cliente per ricevere il documento commerciale è conservato 12 mesi.
Chiusura del locale: Quando il Titolare chiede la chiusura di un locale, i dati restano disponibili per 30 giorni, durante i quali il Titolare può ripensarci ed esportarli. Trascorso questo periodo, e dopo la conferma della chiusura da parte del servizio Promethea Account, i dati dei clienti sono resi anonimi, comprese richieste speciali e indirizzi delle consegne, e gli altri dati sono cancellati o resi anonimi secondo quanto previsto da questo articolo, ferma la conservazione dei documenti fiscali.
Backup e log: Cancellati entro e non oltre 90 giorni dalla cessazione del rapporto.
Documenti fiscali: In deroga a quanto precede, i documenti fiscali emessi tramite la Piattaforma e i dati strettamente necessari alla loro integrità sono conservati per 10 anni in adempimento degli obblighi di legge in materia contabile e fiscale, anche successivamente alla cessazione del rapporto, e restano esportabili dal Titolare.
Credenziali AdE: Non sono oggetto di conservazione: transitano verso il provider fiscale senza memorizzazione da parte del Responsabile.
8. Audit, Informazioni e Accountability
Il Titolare ha diritto, con cadenza annuale o in caso di gravi incidenti, di richiedere audit tecnici anche documentali, in forma remota (es. checklist, report di compliance), in orari e modalità ragionevoli e limitatamente alle attività relative ai dati di cui è titolare.
Le richieste di audit saranno gestite secondo policy interne di Promethea, fornendo riscontro entro 30 giorni dalla richiesta.
9. Responsabilità Specifiche del Titolare
- Obbligo: Garantire la liceità, correttezza e trasparenza nella raccolta e trattamento dei dati inseriti in piattaforma.
- Obbligo: Informare interessati e personale sulle modalità e finalità del trattamento mediante apposita informativa.
- Obbligo: Raccogliere i consensi previsti dalla legge, in particolare per dati relativi alla salute o trattamenti che coinvolgano minori. Per i dati sulla salute delle prenotazioni il consenso si raccoglie tramite la Piattaforma; quando è il personale a inserirli per l'ospite, il Titolare garantisce che il personale abbia davvero letto all'ospite il testo del consenso prima di dichiararlo.
- Obbligo: Inserire e aggiornare unicamente dati pertinenti e necessari per l'erogazione dei servizi.
- Obbligo: Supervisionare la legittima pubblicazione di immagini e dati personali nello spazio pubblicamente accessibile del sito generato dalla piattaforma.
- Obbligo: Raccogliere in modo lecito e verificare l'esattezza dei dati fiscali dei clienti finali richiedenti fattura, utilizzandoli esclusivamente ai fini dell'emissione del documento.
- Obbligo: Informare i propri clienti finali, nell'ambito della propria informativa, del trattamento dei dati fiscali necessari all'emissione dei documenti tramite la Piattaforma e i fornitori indicati all'art. 5.
Chat clienti: Se il Titolare attiva la chat con i clienti, il contenuto delle conversazioni è trattato da Promethea come Responsabile per suo conto (interessati: i clienti finali del locale; dati: contenuto libero dei messaggi, che può includere dati particolari indicati spontaneamente dal cliente). Conservazione: 12 mesi dall'ultimo messaggio, poi cancellazione automatica. Il nome di chi risponde è visibile al cliente: il Titolare è tenuto a informarne il proprio personale ai sensi dell'obbligo di informativa sopra indicato.
Assistente IA: Il Titolare evita di inserire nelle richieste all'assistente informazioni sulla salute non necessarie. Le conversazioni con l'assistente sono conservate nel database della Piattaforma (UE, Stoccolma), legate all'utente e al locale, finché l'utente non le cancella o fino alla chiusura del locale; il testo di ogni richiesta è trasmesso al fornitore di intelligenza artificiale indicato nell'elenco dell'art. 5 per generare la risposta.
10. Violazione dei Dati Personali (Data Breach)
Il Responsabile segnala senza indebito ritardo ogni violazione dei dati personali rilevante al Titolare, collaborando per la valutazione del rischio, per la notifica all'Autorità e agli interessati, e per la gestione della remediazione, secondo le procedure di legge.
11. Clausole Finali
Forma e accettazione: Il presente DPA è stipulato in forma scritta anche elettronica, mediante accettazione online, legata indissolubilmente all'account del Titolare, con tracciamento di versione, data, ora, utente, IP e user-agent. La presa visione tramite checkbox equivale a sottoscrizione elettronica vincolante conforme all'art. 28 GDPR.
Modifiche: Ogni modifica materiale al DPA verrà notificata al Titolare con preavviso di almeno 30 giorni via email o piattaforma. La prosecuzione dell'uso equivale ad accettazione salvo reclamo documentato.
Versione 1.3: La presente versione descrive fornitori e trattamenti già in essere e si applica dalla data di entrata in vigore. Entro 30 giorni da tale data il Titolare può opporsi, per motivi ragionevoli legati alla protezione dei dati, ai fornitori elencati all'art. 5 e, se le parti non trovano una soluzione, recedere dal contratto senza penali.
Foro competente: Il presente DPA è soggetto alla legge italiana. Per qualsiasi controversia è competente esclusivamente il Foro di Trieste, fatti salvi gli obblighi di mediazione previsti.
Allegati
- Elenco dei fornitori: pubblicato all'indirizzo indicato all'art. 5
- Politica di backup (su richiesta)
Letto, compreso e accettato
Il Titolare dichiara di aver letto, compreso e di accettare integralmente il presente Accordo di Nomina a Responsabile del Trattamento ex art. 28 GDPR. L'accettazione avviene tramite selezione dell'apposita casella in fase di registrazione ed è registrata dalla piattaforma, ai fini probatori, con data e ora, utente, indirizzo IP e versione del documento.