Informativa sulla privacy

1. Chi siamo e come contattarci

inOrdine è un servizio di Roberto Nazzaro, in versione di prova gratuita. In questo testo «inOrdine» e «noi» indicano Roberto Nazzaro.

Ecco chi è il titolare del trattamento, cioè chi decide come si usano i dati, e come scrivergli.

Nome: Roberto Nazzaro
Indirizzo: [da completare]
Email: [da completare]

2. I due ruoli di inOrdine

Su alcuni dati Roberto Nazzaro è titolare del trattamento: decide lui perché e come usarli. Su altri è responsabile del trattamento (art. 28 del GDPR): li tiene per conto di qualcun altro, che ne è il titolare.

Titolare del trattamento, per questi dati:

il tuo account: nome, cognome, email e, se accedi con Google o Apple, il loro identificativo
l'accesso: codici di accesso, tentativi e registri tecnici per la sicurezza
l'indirizzo email e il codice del telefono a cui mandiamo email e notifiche di servizio
gli inviti: l'email di chi viene invitato, finché l'invito non è usato o annullato
la prova delle accettazioni: quale testo hai accettato, quale versione, quando

Responsabile del trattamento, per i dati che fornitori e locali inseriscono in inOrdine. Ne sono titolari loro, non noi:

del fornitore: catalogo, listini, elenco dei suoi clienti, note per i clienti, giri, ordini e abbuoni; e la sua azienda nell'app: dipendenti, turni, inventario, carico, consegne ed etichette, con il nome di chi li fa
del locale: turni, persone e mansioni, cose da fare, inventario, rubrica dei contatti, ordini mandati ai fornitori e, in futuro, registri HACCP

Su questi dati inOrdine lavora solo su istruzione del fornitore o del locale e solo per far funzionare il servizio. Non li usa per scopi suoi: niente statistiche, niente confronti tra clienti, niente marketing.

3. Perché usiamo i tuoi dati e con quale base legale

Usiamo i dati di cui siamo titolari solo per questi motivi:

Creare il tuo account, farti entrare, mandarti email e notifiche di servizio: serve a eseguire il contratto con te (art. 6.1.b del GDPR).
Proteggere il servizio da accessi non autorizzati e abusi, con codici di accesso, tentativi e registri tecnici: è un nostro legittimo interesse (art. 6.1.f).
Conservare la prova di cosa hai accettato e quando, per poterlo dimostrare se serve: è un nostro legittimo interesse (art. 6.1.f).
Rispondere ai tuoi messaggi, alle richieste sui tuoi dati e alle segnalazioni di contenuti illeciti: per le richieste sui dati e le segnalazioni è un obbligo di legge (art. 6.1.c, artt. 12-22 del GDPR e Digital Services Act); per gli altri messaggi è nostro legittimo interesse risponderti (art. 6.1.f).

Non ti chiediamo il consenso, perché non ne abbiamo bisogno: non facciamo marketing, non facciamo analisi sul tuo uso del servizio.

Nessuna profilazione e nessuna decisione presa in automatico che ti riguardi. Chi gestisce un turno o un ordine è sempre una persona.

I dati dell'account sono necessari per usare inOrdine. Senza non possiamo creare l'account.

4. Da dove arrivano i dati e a chi vanno

I dati dell'account li dai tu. Se accedi con Google o Apple, riceviamo da loro il tuo nome, la tua email e un identificativo.

Accedere con Google o Apple è una tua scelta, e puoi usare anche l'email. Per la loro parte Google e Apple sono titolari autonomi: valgono le loro informative sulla privacy. Per questo accesso non trasferiamo dati a loro.

I dati dell'account sono visibili al fornitore a cui sei collegato, perché possa gestire gli ordini. Il tuo nome lo vedono anche i colleghi, cioè le altre persone dello stesso locale o dello stesso fornitore. Se sei la persona di contatto di un locale, i fornitori del locale vedono chi sei. Li trattano anche i fornitori tecnici del punto 6, ciascuno per il suo compito.

5. Per quanto tempo conserviamo i dati

Account (nome, email, accesso): finché l'account esiste; cancellati quando lo si elimina
Codici di accesso e tentativi: da pochi minuti a due giorni al massimo, poi si cancellano in automatico
Codici invito e inviti non usati: restano finché chi li ha fatti non li annulla
Registri tecnici dei servizi: i tempi dei fornitori tecnici (pochi giorni)
Copie di sicurezza: a rotazione, al massimo 7 giorni
Accettazioni dei Termini: finché l'account esiste
Messaggi, richieste sui dati e segnalazioni: il tempo per rispondere e poi fino a 2 anni, per poter dimostrare la risposta
Accettazioni degli accordi sui dati: per tutto il rapporto con il fornitore o il locale e poi 10 anni, il termine ordinario di prescrizione
Dati di fornitori e locali (ordini, catalogo, turni…): li decide il titolare (fornitore o locale); alla fine del rapporto si cancellano o si restituiscono

Gli ordini restano al fornitore anche se tu cancelli l'account: il fornitore li conserva per i suoi obblighi contabili e per potersi difendere in giudizio.

6. Chi tratta i dati per noi e dove stanno

Per far funzionare inOrdine ci appoggiamo a questi servizi. Apple e Google compaiono qui solo perché consegnano per noi le notifiche push. L'accesso con Apple o Google è un'altra cosa: vedi il punto 4.

Supabase: Database, accesso degli utenti e archivio dei file. Dove: Unione europea (Francoforte). Garanzia: Clausole contrattuali tipo (la società è Supabase Pte. Ltd., Singapore).
Vercel: Pannello web per i fornitori. Dove: Funzioni a Francoforte; società negli Stati Uniti. Garanzia: Data Privacy Framework e clausole contrattuali tipo.
Resend: Invio delle email di servizio. Dove: Stati Uniti. Garanzia: Data Privacy Framework e clausole contrattuali tipo.
Expo: Invio delle notifiche push. Dove: Stati Uniti. Garanzia: Data Privacy Framework.
Apple: Consegna delle notifiche push sui telefoni Apple (APNs). Dove: Stati Uniti. Garanzia: Data Privacy Framework.
Google: Consegna delle notifiche push sui telefoni Android (Firebase Cloud Messaging). Dove: Stati Uniti. Garanzia: Data Privacy Framework.

Alcuni di questi servizi stanno negli Stati Uniti. I dati escono dall'Unione europea solo con una garanzia: il Data Privacy Framework tra Unione europea e Stati Uniti oppure le clausole contrattuali tipo approvate dalla Commissione europea.

7. I tuoi diritti

Sui dati personali che ti riguardano puoi chiedere:

accesso: sapere quali dati abbiamo e averne una copia
rettifica: correggere i dati sbagliati
cancellazione: far cancellare i dati
limitazione: far sospendere l'uso dei dati mentre si chiarisce un dubbio
portabilità: ricevere i dati in un formato che si può riusare
opposizione: opporti a un uso dei dati basato sul legittimo interesse

Per esercitarli scrivi a [da completare]. Rispondiamo entro un mese, senza costi. Per i casi complicati il termine può allungarsi, ma ti avvisiamo.

Se la richiesta riguarda dati di cui è titolare un fornitore o un locale, per esempio un dipendente che chiede i propri turni, la giriamo a loro e li aiutiamo a esportare o cancellare i dati: oggi lo facciamo noi, a mano, quando ce lo chiedono.

Se pensi che i tuoi dati non siano trattati bene puoi fare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).