boxgrape.com — art. 28 del Regolamento (UE) 2016/679 («GDPR»). Versione 1.8 · In vigore dal 29 ottobre 2026.
Il presente Accordo integra le Condizioni Generali di Utilizzo di BoxGrape (le «Condizioni»), come previsto dal loro art. 19.3. Disciplina i trattamenti che il Fornitore svolge per conto dell'Utente Gestore quando questi usa le funzioni che trattano dati personali dei suoi clienti, del suo personale o dei suoi fornitori: prenotazioni, lista d'attesa, clienti abituali e schede dei clienti, comande e ordini dal telefono, conto e scontrino, magazzino e ordini ai fornitori, personale sui dispositivi del locale, turni, timbratura e «I miei turni», l'aiutante e, quando l'Utente Gestore li attiva, contatti per gli eventi e carta a garanzia. I termini con l'iniziale maiuscola hanno il significato loro attribuito nelle Condizioni.
Le parti adottano le clausole contrattuali tipo tra titolari e responsabili del trattamento approvate con la Decisione di esecuzione (UE) 2021/915 della Commissione, del 4 giugno 2021 (le «Clausole»), che si intendono qui integralmente richiamate e formano parte integrante dell'Accordo, con queste scelte:
In caso di contrasto fra le Clausole e il resto dell'Accordo o delle Condizioni, prevalgono le Clausole.
L'Utente Gestore è titolare del trattamento e garantisce di avere una base giuridica per i trattamenti e di averne informato gli interessati; può usare il modello di informativa messo a disposizione dal Fornitore, che la piattaforma mostra ai clienti del locale accanto al modulo di prenotazione e sulla pagina del cliente abituale. Un cliente abituale entra solo col suo consenso: lo dà sulla sua pagina con «Accetto», o lo dichiara l'Utente Gestore con la spunta dopo averglielo chiesto di persona, e il Fornitore ne registra il momento e il testo. Se l'Utente Gestore accende le schede dei clienti, ogni prenotazione lascia anche una scheda base del cliente, sul legittimo interesse dell'Utente Gestore a riconoscere chi torna (art. 6, par. 1, lett. f, GDPR): l'informativa sulle prenotazioni lo dice al cliente, col suo diritto di opporsi, e per 12 mesi non ne ha una chi ha detto di no a un invito, chi è uscito dalla lista e chi ha avuto la scheda tolta dall'Utente Gestore, per esempio perché si è opposto. Il punteggio da 1 a 10 dei clienti lo calcola il Fornitore dalle visite, per aiutare l'Utente Gestore a riconoscerli e a scegliere i tavoli: le proposte le conferma il personale. Le istruzioni documentate dell'Utente Gestore sono le Condizioni, questo Accordo e le impostazioni che sceglie nel pannello, per esempio accendere gli ordini dal telefono o lo scontrino. Il Fornitore lo avverte se un'istruzione gli sembra contraria alla normativa.
Alcune funzioni hanno regole loro. Gli eventi: il cliente si iscrive da solo, con la casella non spuntata e la conferma dall'email, e ogni messaggio porta il modo di uscire in un tocco. La carta a garanzia: usa un conto Stripe dell'Utente Gestore, la carta la raccoglie Stripe sulla propria pagina e secondo il contratto fra loro, e Stripe non è un sub-responsabile del Fornitore. La timbratura dal telefono (distanza e foto) e l'app del personale solo nel locale le accende l'Utente Gestore, che ne valuta la liceità verso il proprio personale, anche ai sensi dell'art. 4 della legge 20 maggio 1970, n. 300, e lo informa; quando serve la posizione, la piattaforma mostra al personale un'informativa breve al primo uso e ne registra la lettura. L'aiutante prepara azioni che l'Utente Gestore conferma: quello che l'Utente Gestore gli scrive, compresi nomi e note di clienti o del personale, è trasmesso al fornitore del modello (Allegato IV), con telefoni ed email sostituiti da un segnaposto. Dall'app del direttore lo usa anche chi dirige il locale, entrato col suo PIN, con le stesse schede da confermare: le sue conversazioni le vede solo lui.
Le note delle prenotazioni possono contenere informazioni su allergie e intolleranze. L'Utente Gestore le raccoglie solo se servono a servire il cliente in sicurezza e con il suo consenso esplicito (art. 9, par. 2, lett. a, GDPR); nel modulo di prenotazione il consenso è una casella da spuntare, e il Fornitore ne registra il momento. Il Fornitore le tratta solo per mostrarle al personale del locale, non le usa per altri fini e le cancella da solo il giorno dopo la prenotazione. Fanno eccezione, per le note delle prenotazioni, quello che l'Utente Gestore scrive all'aiutante e le schede delle azioni preparate dall'aiutante, che riportano la nota com'era e la tengono, come schedario dei clienti del locale e col consenso del cliente, al più 24 mesi (Allegato II). La nota di sala sul cliente abituale può contenere allergie allo stesso modo: il locale la raccoglie col consenso esplicito del cliente, che lo dà sulla sua pagina con «Accetto» oppure di persona, e allora il locale lo dichiara con una casella da spuntare; la versione del testo e il momento restano nel registro del consenso. Il locale la mostra solo al personale e la cancella con la scheda del cliente, al più 12 mesi dopo l'ultima visita. Anche i piatti e le bevande ordinati, tenuti per il piatto e il drink preferito del cliente abituale, possono far capire dati sulla salute o sulle convinzioni religiose (per esempio una scelta sempre senza glutine o halal): il locale li conta solo col consenso esplicito del cliente al testo che li nomina, e li tiene come aggregato sulla scheda, al più 12 mesi dopo l'ultima visita. Le assenze del personale non hanno un tipo per la malattia, e le note libere di assenze e disponibilità non vanno usate per dati sulla salute.
Il Fornitore notifica all'Utente Gestore ogni violazione dei dati trattati per suo conto senza ingiustificato ritardo e comunque entro 48 ore da quando ne ha avuto conoscenza, con le informazioni previste dalla Clausola 9.2, così che l'Utente Gestore possa notificarla al Garante entro 72 ore quando è richiesto.
Il Fornitore assiste l'Utente Gestore nelle richieste degli interessati: dal pannello l'Utente Gestore vede, corregge ed esporta le prenotazioni (i clienti abituali e le schede base li corregge, li toglie e ne scarica la lista in Excel; i clienti abituali escono anche da soli dalla loro pagina); per cancellarne una prima dei tempi dell'Allegato II lo chiede al Fornitore a [email protected], che provvede senza ritardo. Le verifiche previste dalla Clausola 7.6 si svolgono anzitutto sulla documentazione (le misure dell'Allegato III e le certificazioni dei sub-responsabili). Un'ispezione sul posto si svolge solo se la chiede un'autorità di controllo o dopo una violazione accertata, con 30 giorni di preavviso.
L'Accordo dura quanto le Condizioni. Fino alla chiusura dell'Account l'Utente Gestore può esportare i propri dati, per esempio il foglio Excel delle prenotazioni. Alla chiusura il Fornitore cancella i dati entro 30 giorni (art. 16.5 delle Condizioni). Le copie di sicurezza del database, cifrate e conservate nell'Unione europea, scadono dopo 14 giorni; le copie mensili, che non contengono i dati dei clienti del locale salvo quelli nelle schede dell'aiutante, dopo 12 mesi; i file cancellati restano nelle loro copie al più 30 giorni. Fino ad allora sono usate soltanto per ripristinare il servizio dopo un incidente.
I dati sono conservati nell'Unione europea: a Francoforte il sito e il database, in giurisdizione UE i file e le copie di sicurezza; le e-mail passano dal servizio di invio, che le conserva negli Stati Uniti, e i messaggi dell'aiutante li elabora negli Stati Uniti il fornitore del modello, che li cancella entro 30 giorni (salvo quelli segnalati per violazioni delle sue regole d'uso, fino a 2 anni). Nome, telefono, email e note delle prenotazioni, i dati dei clienti abituali e degli iscritti agli eventi, l'email del personale, le foto della timbratura, le conversazioni con l'aiutante e i messaggi arrivati sono cifrati con una chiave che i fornitori del database e dei file non possiedono. Alcuni sub-responsabili sono società statunitensi: un eventuale accesso dagli Stati Uniti avviene sulla base delle clausole contrattuali tipo della Decisione (UE) 2021/914 e, per i fornitori certificati, dell'EU-U.S. Data Privacy Framework (artt. 45 e 46 GDPR).
| Interessati | Clienti del locale; personale del locale; fornitori del locale e i loro referenti. |
| Dati dei clienti | Nome, telefono, email; data, ora e numero di persone della prenotazione; note, anche su allergie e intolleranze; il messaggio con cui hanno chiesto la prenotazione (email o WhatsApp); il tavolo e i piatti ordinati dal telefono; il codice lotteria e il recapito per la copia dello scontrino, se li danno. Per i clienti abituali anche la lingua, la chiave personale, le visite (quante, l'ultima e per mese), lo sconto che il locale riconosce, una nota del personale di sala (anche su allergie), i piatti e le bevande ordinati (per il piatto e drink preferito), e il registro del consenso (quando, come e con quale testo); di chi dice no a un invito o non lo accetta, un'impronta con chiave dell'email, e di chi esce dalla lista, o a cui il locale toglie la scheda base, anche del telefono, senza il nome. Con le schede dei clienti accese, per ogni cliente che prenota una scheda base coi dati della prenotazione (nome, telefono, email, lingua), le visite e le etichette di servizio che il personale spunta da un elenco del locale, mai sulla salute. Per i clienti abituali e per le schede base, un punteggio da 1 a 10, che dice la posizione del cliente fra quelli dello stesso Utente Gestore: lo calcola il Fornitore dalla frequenza delle visite e dalla loro regolarità, dal margine per coperto e per ora a tavola (il pagato senza IVA meno il costo dei piatti, con un premio se la sala era vuota) e dalle volte che il cliente non si è presentato, ha disdetto tardi o è arrivato molto in ritardo, tenendo solo somme che perdono peso col tempo e non la storia delle visite; all'inizio può darlo l'Utente Gestore. Per gli eventi, se attivi: l'email, la lingua e il registro del consenso (la frase, da quale menu, quando). Per la carta a garanzia, se attiva: marca e ultime cifre della carta, gli identificativi di Stripe, la regola accettata e gli addebiti. Quello che l'Utente Gestore scrive di loro all'aiutante e, nelle schede delle azioni preparate dall'aiutante, nome, recapiti e nota della prenotazione. |
| Dati del personale | Nome, ruolo, email, PIN (conservato come impronta non reversibile e, se il titolare vuole poterlo rileggere, cifrato con una chiave che non sta nel database), dispositivi usati e registro delle azioni: comande, storni, incassi, addebiti e rimborsi delle penali; i messaggi fra sala e cucina. Per i turni: contratto, ore, reparti e responsabili, preferenze e giorni liberi, il giorno dei 18 anni per chi è minorenne, il costo orario; le assenze (ferie, permessi, indisponibilità, ritardi e mancate timbrature, con le loro note); le risposte al questionario delle disponibilità; i piani dei turni coi nomi, i turni mandati per email e il collegamento personale a «I miei turni». Le timbrature: entrata, uscita, dispositivo, correzioni, note e uscite automatiche; dal telefono anche la distanza dal locale, la precisione e una foto scattata in quel momento, e l'ora in cui la persona ha letto l'informativa. Per l'app del personale solo nel locale, l'ora dei controlli. Le iscrizioni alle notifiche dei dispositivi. I nomi e i turni che passano all'aiutante. Le conversazioni con l'aiutante di chi lo usa dall'app del direttore. |
| Dati dei fornitori | Denominazione e contatti, fatture elettroniche caricate, ordini inviati. |
| Credenziali fiscali | Le credenziali Fisconline dell'Utente Gestore o del suo delegato: trasmesse al fornitore dello scontrino per emettere il documento commerciale, non conservate dal Fornitore. |
| Operazioni | Raccolta, registrazione, cifratura, conservazione, consultazione, trasmissione (e-mail e messaggi di conferma, inviti e chiavi dei clienti abituali, email degli eventi e al personale, notifiche ai dispositivi, messaggi al fornitore del modello dell'aiutante, emissione del documento commerciale, addebito delle penali sul conto Stripe del locale), anonimizzazione, cancellazione. |
| Finalità | Fornire le funzioni che l'Utente Gestore ha scelto di usare; con le schede delle azioni dell'aiutante, tenergli uno schedario dei suoi clienti; con le schede base e il punteggio, riconoscere i clienti che tornano e proporre i tavoli, che il personale conferma. |
| Conservazione | Per la durata dell'Accordo, con queste regole automatiche: note delle prenotazioni (allergie, intolleranze) cancellate il giorno dopo la prenotazione; nome, telefono ed email dei clienti cancellati 90 giorni dopo la data prenotata, e la prenotazione resta anonima; messaggi di prenotazione cancellati 7 giorni dopo essere stati gestiti, e comunque 30 giorni dopo l'arrivo; clienti abituali cancellati 12 mesi dopo l'ultima visita (o dopo l'ingresso), e subito se escono o il locale li toglie; schede base cancellate 90 giorni dopo l'ultima attività (una prenotazione, una visita o una modifica), e subito se il locale le toglie; inviti non accettati cancellati dopo 7 giorni; le impronte di chi dice no, di chi esce e delle schede base tolte cancellate dopo 12 mesi; codice lotteria cancellato appena lo scontrino è emesso, e comunque dopo 30 giorni; messaggi fra sala e cucina cancellati alla chiusura del servizio, e comunque dopo 24 ore; conversazioni con l'aiutante 12 mesi dopo l'ultimo messaggio, e le schede delle azioni preparate dall'aiutante, lo schedario dei clienti, al più 24 mesi; foto della timbratura dal telefono 30 giorni, fuori dalle copie di sicurezza; iscritti agli eventi che non confermano 7 giorni, gli altri finché escono o il locale li toglie; marca, ultime cifre e identificativi della carta a garanzia 30 giorni dopo la prenotazione; una persona eliminata dal personale dopo 7 giorni, con i suoi dati (il nome resta nei piani dei turni passati); tutto il resto fino alla chiusura dell'Account e poi entro 30 giorni; copie di sicurezza del database per 14 giorni, e una copia al mese per 12 mesi senza i dati dei clienti del locale salvo quelli nelle schede dell'aiutante; i file cancellati, nelle loro copie, al più 30 giorni. |
| Chi | Cosa fa | Dove sono i dati | Trasferimenti |
|---|---|---|---|
| Render Services, Inc. (USA) | Fa girare il sito | UE, Francoforte | Clausole tipo 2021/914 |
| Neon, LLC, gruppo Databricks (USA) | Database | UE, Francoforte (AWS eu-central-1) | Clausole tipo 2021/914 |
| Cloudflare, Inc. (USA) | Rete, protezione e instradamento; file e copie di sicurezza | File e copie in giurisdizione UE | Data Privacy Framework e clausole tipo 2021/914 |
| Resend, Inc. (USA) | Invio e ricezione delle e-mail | Stati Uniti | Data Privacy Framework e clausole tipo 2021/914 |
| fiskaly GmbH (Austria) | Emissione del documento commerciale online, solo se l'Utente Gestore attiva lo scontrino (oggi non attivo) | UE | Nessuno |
| Mistral AI SAS (Francia) | Lettura di foto e voce (menu, documenti del magazzino, conte, la voce della chat dell'aiutante) e le domande «Dove si fa?» | UE | Nessuno |
| Anthropic (Stati Uniti) | Il modello della chat dell'aiutante e la traduzione dei menu: i messaggi, la parte recente della conversazione e i dati del locale che servono a rispondere, con telefoni ed email sostituiti | Stati Uniti; cancellati entro 30 giorni | Clausole tipo 2021/914 |
Le funzioni non ancora attive che richiedono altri sub-responsabili, come i messaggi WhatsApp automatici, li aggiungono a questo elenco prima di attivarsi, con il preavviso dell'art. 1. Stripe non è in questo elenco: la carta a garanzia usa il conto Stripe dell'Utente Gestore, secondo il contratto fra loro (art. 2).
Ultimo aggiornamento: 29 ottobre 2026 · Versione 1.8