boxgrape.com — artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR»). Versione 1.11 · Ultimo aggiornamento 20 ottobre 2026.
I termini con l'iniziale maiuscola non definiti in questa informativa hanno il significato loro attribuito nelle Condizioni Generali di Utilizzo, con cui il documento è coerente. La sezione 9 vale anche come cookie policy e può essere collegata separatamente.
Titolare del trattamento è Ulivo.ai S.r.l., con sede legale in Via Giuseppe Donati 174, 00159 Roma (RM), Italia, partita IVA e codice fiscale 18431211004, iscritta al Registro delle Imprese di Roma, REA RM-1784058, PEC [email protected], e-mail [email protected] (il «Titolare»), che gestisce il sito https://boxgrape.com e i relativi Servizi.
Il Titolare non ha designato un responsabile della protezione dei dati (DPO), non ricorrendone i presupposti di legge.
Per ogni richiesta relativa ai dati personali è possibile scrivere all'indirizzo [email protected].
L'informativa riguarda due categorie di interessati:
Per entrambe le categorie il Titolare agisce quale titolare autonomo del trattamento, limitatamente ai trattamenti descritti in questa informativa. Restano estranei a questa informativa i trattamenti che l'Utente Gestore determina autonomamente nei confronti dei propri clienti (ad esempio prenotazioni, ordinazioni, programmi fedeltà) e del proprio personale (turni, timbrature, accessi all'app del personale): per questi il titolare è l'Utente Gestore, al quale gli interessati devono rivolgersi. Il Titolare li tratta per conto dell'Utente Gestore quale responsabile del trattamento (art. 28 GDPR), secondo l'Accordo sul trattamento dei dati (boxgrape.com/dpa), e, di serie, li conserva il meno possibile, con i dati delle prenotazioni e dei clienti abituali cifrati nel database (AES-256) con una chiave che nel database non c'è: i tempi sono nella sezione 7.
3.1 Dati di registrazione e Account. Alla Registrazione sono raccolti: indirizzo e-mail, Credenziali di Autenticazione (la password è conservata esclusivamente in forma di hash non reversibile), Codice di Recupero, dati identificativi e dell'attività inseriti dall'Utente Gestore. Finalità: creazione e gestione dell'Account, erogazione dei Servizi, Verifica dell'Identità, invio delle comunicazioni di servizio di cui all'art. 3.7 delle Condizioni. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b, GDPR). Conservazione: per la durata del rapporto; alla cessazione, cancellazione entro 30 giorni ai sensi dell'art. 16.5 delle Condizioni. Le copie di sicurezza cifrate, usate solo per ripristinare il servizio dopo un guasto, conservano i dati fino alla propria scadenza: 14 giorni le copie notturne, 12 mesi quelle mensili; i file cancellati restano nelle loro copie al più 30 giorni.
3.2 Contenuti. Fotografie, testi, PDF e ogni altro materiale caricato dall'Utente Gestore sono trattati al solo fine di erogare i Servizi (pubblicazione delle pagine, archiviazione, adattamenti tecnici), secondo la licenza di cui all'art. 11.2 delle Condizioni. Base giuridica: esecuzione del contratto. Conservazione: come al punto 3.1.
3.3 Sicurezza e prevenzione degli abusi. Il Titolare tratta log tecnici, indirizzi IP ed eventi di accesso relativi all'Area Riservata per garantire la sicurezza dei sistemi, prevenire accessi abusivi e frodi e ricostruire eventuali incidenti. Base giuridica: legittimo interesse del Titolare alla sicurezza dei Servizi (art. 6, par. 1, lett. f, GDPR). Conservazione: 12 mesi, salvo esigenze di accertamento in corso.
3.4 Procedura di Rivendicazione ed Eliminazione (art. 17 delle Condizioni). In caso di ricorso alla procedura documentale sono trattati: copia del documento d'identità, documentazione comprovante la titolarità dell'attività (es. visura camerale), dichiarazioni rese, nonché — ai sensi dell'art. 17.3 delle Condizioni — i metadati del dispositivo e i riferimenti temporali della sottoscrizione mediante Firma Elettronica Semplice, raccolti a fini probatori. Basi giuridiche: esecuzione di misure richieste dall'interessato (lett. b) e legittimo interesse del Titolare alla tutela dei propri diritti in caso di contestazioni (lett. f). Conservazione: 10 anni dalla richiesta, in coerenza con l'art. 16.5, lett. b), delle Condizioni e con il termine ordinario di prescrizione (art. 2946 c.c.).
3.5 Adempimenti di legge e difesa dei diritti. Ove necessario, i dati sono trattati per adempiere a obblighi di legge (art. 6, par. 1, lett. c) o per accertare, esercitare o difendere un diritto in sede giudiziaria o stragiudiziale (lett. f), per il tempo a ciò strettamente necessario.
3.6 L'aiutante. Quando l'Utente Gestore usa l'aiutante (le domande «Dove si fa?» e, per gli account abilitati, la chat), il Titolare tratta i messaggi scritti o dettati, le conversazioni salvate, le schede delle azioni preparate e un registro dei consumi (tipo di domanda, modello, quantità di testo e costo, senza il testo). Finalità: rispondere e preparare le azioni chieste, che l'Utente Gestore conferma. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b, GDPR). Prima di partire verso il modello, telefoni ed email sono sostituiti da un segnaposto; nomi e note scritti nel messaggio partono come sono, e per i dati dei clienti e del personale del locale il Titolare agisce per conto dell'Utente Gestore, secondo l'Accordo sul trattamento dei dati. Le conversazioni sono cifrate e restano 12 mesi dall'ultimo messaggio, o finché l'Utente Gestore le elimina; le schede delle azioni, che il locale tiene come schedario dei suoi clienti, restano al più 24 mesi, anche dopo l'eliminazione della conversazione. Dall'app del direttore l'aiutante lo usa anche chi dirige il locale, entrato col suo PIN: per i suoi messaggi il Titolare agisce per conto dell'Utente Gestore, come per gli altri dati del personale, e le sue conversazioni le vede solo lui. Se si sceglie di far leggere le risposte ad alta voce, le legge il dispositivo con una sua voce: il testo non esce dal dispositivo. Della voce non si conserva l'audio. I fornitori dei modelli sono nella sezione 5.
3.7 Nessun marketing. Il Titolare non invia comunicazioni promozionali: le sole comunicazioni trasmesse sono quelle di servizio, parte del rapporto contrattuale. L'eventuale futura introduzione di comunicazioni commerciali avverrà solo previo consenso specifico e revocabile.
3.8 Natura del conferimento. Il conferimento dei dati di cui ai punti 3.1 e 3.4 è necessario: il rifiuto rende impossibile, rispettivamente, l'erogazione dei Servizi e l'esame della richiesta.
4.1 Dati trattati. Quando un QR Code viene scansionato o una pagina pubblica viene visitata, l'indirizzo IP e l'identificativo tecnico del browser (user agent) sono trattati in modo transitorio dal fornitore dell'infrastruttura al solo fine di instradare la richiesta e proteggere il servizio, e non sono conservati nelle statistiche di utilizzo. Delle scansioni dei QR Code Dinamici e delle aperture dei Menu Digitali sono registrati, in forma aggregata e non identificativa, soltanto: il codice o il menu aperto, il Paese di provenienza (dedotto a livello di rete, senza memorizzare l'indirizzo IP), la preferenza linguistica dichiarata dal browser (header Accept-Language), la data e l'ora e l'esito dell'instradamento. Se l'Utente Gestore ha attivato un QR Code Intelligente, l'orario della richiesta e la preferenza linguistica sono inoltre valutati in modo transitorio al solo fine di selezionare la Destinazione da mostrare, senza esserne tratto alcun profilo.
4.2 Finalità e base giuridica. I dati di cui al punto 4.1 sono trattati per: (i) finalità tecniche — erogare la pagina o l'instradamento richiesto; (ii) finalità di sicurezza — prevenire abusi, attacchi informatici e usi anomali; (iii) finalità statistiche — produrre statistiche aggregate e anonime sull'utilizzo dei Servizi (i Dati Derivati di cui all'art. 11.3 delle Condizioni), che non consentono di identificare alcuna persona fisica. Base giuridica: legittimo interesse del Titolare al funzionamento, alla sicurezza e al miglioramento dei Servizi (art. 6, par. 1, lett. f, GDPR). L'interessato può opporsi ai sensi della sezione 8.
4.3 Conservazione. I dati di scansione (Paese, lingua, data/ora, esito), già in forma aggregata e non identificativa, sono conservati per un massimo di 90 giorni dal fornitore di statistiche; decorso tale termine restano soltanto dati aggregati e anonimi. Non è conservato alcun indirizzo IP né identificativo del dispositivo.
4.4 Assenza di profili e di decisioni automatizzate rilevanti. Non è richiesta alcuna registrazione, non sono costruiti profili individuali e nessun trattamento produce decisioni con effetti giuridici o parimenti significativi sull'interessato (art. 22 GDPR).
I dati sono trattati, per conto del Titolare e in qualità di responsabili del trattamento ex art. 28 GDPR, dai fornitori dell'infrastruttura tecnica: hosting applicativo (Render Services, Inc. — regione UE, Francoforte), rete di distribuzione, instradamento e archiviazione dei contenuti e delle copie di sicurezza cifrate (Cloudflare, Inc. — file e copie in giurisdizione UE), database (Neon, LLC, gruppo Databricks — dati ospitati nella regione UE, Francoforte), servizio di invio e ricezione delle e-mail (Resend, Inc.), modelli dell'aiutante e traduzione automatica dei menu (Anthropic — Stati Uniti —, a cui sono trasmessi i messaggi della chat dell'aiutante, la parte recente della conversazione e i dati del locale che servono a rispondere o all'azione chiesta, con telefoni ed email sostituiti da un segnaposto, e i testi del menu da tradurre; secondo le sue condizioni commerciali Anthropic non li usa per addestrare i propri modelli e li cancella entro 30 giorni, salvo quelli segnalati per violazioni delle sue regole d'uso, conservati fino a 2 anni) e servizio di lettura automatica di fotografie, di trascrizione della voce e delle domande «Dove si fa?» su richiesta dell'Utente Gestore — menu, documenti di trasporto, fatture, ricette e conte del magazzino, la voce dettata all'aiutante — (Mistral AI SAS, Francia — dati trattati nell'Unione europea — a cui sono trasmessi la fotografia o la registrazione della voce, il testo letto da mettere in ordine insieme all'elenco degli articoli del locale, le domande «Dove si fa?» con la mappa del sito e i nomi degli articoli, per confrontarli fra loro: la registrazione e le fotografie del magazzino il Titolare non le conserva dopo la lettura, quelle dei menu solo nell'archivio di ricerca descritto qui sotto; del dettato di un menu il Titolare conserva soltanto le frasi riferite ai piatti, per la loro revisione). I testi così letti o trascritti, le correzioni apportate dall'Utente Gestore e la versione dei piatti poi pubblicata sono inoltre copiati, privi di qualunque riferimento all'Account, all'Utente Gestore o al locale e con la sola indicazione del mese, in un archivio separato utilizzato per finalità di ricerca scientifica e di miglioramento dei sistemi di lettura; dopo la copia, la trascrizione integrale del dettato è cancellata dai sistemi del servizio. Nello stesso archivio, su uno spazio di archiviazione separato (Cloudflare R2, giurisdizione UE), sono conservate anche le fotografie dei menu fatte leggere, prive dei metadati di posizione, secondo quanto previsto dall'art. 11.6 delle Condizioni. Le fotografie ritraggono documenti destinati al pubblico e l'Utente Gestore si impegna a non includervi persone o altri dati personali di terzi; qualora ne contengano incidentalmente, il trattamento si fonda sul legittimo interesse del Titolare alla ricerca scientifica e al miglioramento del servizio (art. 6, par. 1, lett. f) e art. 89 GDPR). Le fotografie sono conservate per non più di cinque anni dalla lettura, trascorsi i quali sono cancellate automaticamente. Non essendo associate all'Account, le fotografie conservate non possono essere individuate per la cancellazione. Dell'audio del dettato non è conservato nulla. Quando l'Utente Gestore attiva lo scontrino elettronico, i dati del documento commerciale e le sue credenziali Fisconline, che il Titolare non conserva, sono trasmessi a fiskaly GmbH (Austria — dati trattati nell'Unione europea), che lo emette per suo conto. L'elenco aggiornato dei responsabili è disponibile su richiesta.
Gestione dei pagamenti. Il pagamento dell'abbonamento al piano Pro e degli acquisti nell'Account (pacchetti, ricariche dei crediti) è gestito da Stripe Payments Europe, Ltd. e dalle società del gruppo Stripe: a Stripe sono comunicati l'indirizzo e-mail dell'Utente Gestore e un identificativo interno dell'Account e, direttamente tramite i moduli di Stripe, i dati di fatturazione (nome/ragione sociale, indirizzo, partita IVA) e i dati della carta o dello strumento di pagamento. I dati della carta non transitano né sono conservati dai sistemi del Titolare. Per tali trattamenti Stripe agisce in qualità di autonomo titolare ai fini degli obblighi antiriciclaggio e di legge propri e, per il resto, di responsabile del trattamento. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) e obblighi di legge (lett. c).
La carta a garanzia delle prenotazioni. Se l'Utente Gestore la attiva (oggi non è attiva), la carta del cliente la raccoglie Stripe sulla propria pagina, sul conto Stripe dell'Utente Gestore e secondo il contratto fra loro: il Titolare non riceve i dati della carta, ne conserva solo la marca e le ultime cifre, cifrate, e tratta il resto per conto dell'Utente Gestore, secondo l'Accordo sul trattamento dei dati.
La mappa della timbratura. La pagina in cui l'Utente Gestore segna il punto del locale per la timbratura dal telefono mostra una mappa di OpenStreetMap (OpenStreetMap Foundation, Regno Unito): il browser chiede a OpenStreetMap le immagini della mappa, e gli comunica così il proprio indirizzo IP.
I dati possono inoltre essere comunicati ad autorità competenti quando ciò sia imposto dalla legge. Nessun dato è venduto né ceduto a terzi per finalità di marketing.
Alcuni fornitori indicati alla sezione 5 sono soggetti stabiliti negli Stati Uniti. I trasferimenti avvengono sulla base della decisione di adeguatezza relativa all'EU-U.S. Data Privacy Framework, per i fornitori certificati, e/o delle clausole contrattuali standard adottate dalla Commissione europea (artt. 45 e 46 GDPR). Copia delle garanzie è disponibile su richiesta al Titolare.
| Dati | Durata |
|---|---|
| Account e Contenuti | Durata del rapporto + cancellazione entro 30 giorni (art. 16.5 Condizioni) |
| IP dei tentativi di accesso | Cancellazione automatica, al più dopo 2 giorni |
| Altri log di sicurezza Area Riservata | Max 12 mesi |
| Documentazione e metadati Rivendicazione/Eliminazione | 10 anni dalla richiesta |
| Dati di scansione delle pagine pubbliche (aggregati) | Max 90 giorni, poi solo aggregati anonimi |
| Dati per obblighi di legge o contenzioso | Termini di legge / durata del contenzioso |
| Copie di sicurezza | Database, cifrate: notturne 14 giorni, mensili 12 mesi, senza i dati dei clienti dei locali salvo quelli nelle schede dell'aiutante. File: al più 30 giorni dopo la cancellazione |
| Fotografie dei menu nell'archivio di ricerca | 5 anni dalla lettura, poi cancellazione automatica |
| Conversazioni con l'aiutante | 12 mesi dall'ultimo messaggio, o fino all'eliminazione |
| Schede delle azioni dell'aiutante, lo schedario dei clienti del locale (nome, recapiti e nota di un cliente) | Al più 24 mesi, poi cancellazione automatica (nelle copie mensili al più altri 12 mesi) |
| Consumi dell'aiutante (senza testi) | Fino alla chiusura dell'Account |
| Clienti dei locali: note delle prenotazioni (allergie, intolleranze) | Cancellazione automatica il giorno dopo la prenotazione |
| Clienti dei locali: nome, telefono ed email delle prenotazioni | 90 giorni dalla data della prenotazione, poi solo dati anonimi |
| Clienti dei locali: messaggi di prenotazione arrivati (email, WhatsApp) | 7 giorni dopo la gestione, al massimo 30 giorni dall'arrivo |
| Clienti dei locali: clienti abituali (nome, recapiti, chiave, visite anche per mese, nota di sala del personale che può contenere allergie, i piatti e le bevande ordinati per il piatto e drink preferito, consenso) | 12 mesi dopo l'ultima visita, o subito se escono; un invito non accettato, 7 giorni |
| Clienti dei locali: chi dice no a un invito, non lo accetta o esce dai clienti abituali | Solo un'impronta dell'email (e del telefono, per chi esce), senza il nome, per 12 mesi |
| Clienti dei locali: iscritti agli eventi (email, registro del consenso), se il locale li attiva | Finché escono o il locale li toglie; chi non conferma, 7 giorni |
| Clienti dei locali: carta a garanzia (marca e ultime cifre, identificativi Stripe), se il locale la attiva | 30 giorni dopo la prenotazione; la regola accettata e gli addebiti fino alla chiusura dell'Account |
| Clienti dei locali: codice lotteria | Fino all'emissione dello scontrino, al massimo 30 giorni |
| Messaggi fra sala e cucina dei locali | Cancellazione alla chiusura del servizio, al massimo dopo 24 ore |
| Personale dei locali: turni, assenze, disponibilità, timbrature, email | Finché il locale li tiene; una persona eliminata si cancella dopo 7 giorni con i suoi dati, il nome resta nei piani dei turni passati fino alla chiusura dell'Account |
| Personale dei locali: foto della timbratura dal telefono | 30 giorni, poi cancellazione automatica; non entra nelle copie di sicurezza |
Gli interessati possono esercitare in ogni momento i diritti di cui agli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, quest'ultima in particolare rispetto ai trattamenti fondati sul legittimo interesse (sezioni 3.3 e 4). Le richieste vanno indirizzate a [email protected]; il Titolare risponde entro un mese. Resta fermo il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
L'Utente Gestore che abbia perso l'accesso all'Account può richiederne l'Eliminazione mediante la procedura documentale di cui all'art. 17 delle Condizioni.
I Servizi sono destinati a operatori professionali. Le pagine pubbliche sono liberamente consultabili e non comportano trattamenti ulteriori rispetto a quelli della sezione 4.
Gli aggiornamenti sono pubblicati su questa pagina con indicazione della data. Le modifiche rilevanti sono comunicate agli Utenti Gestori all'indirizzo e-mail dell'Account.
Ultimo aggiornamento: 20 ottobre 2026 · Versione 1.11