Contratto di responsabile del trattamento

Traduzione a titolo informativo. In caso di dubbio prevale la versione in spagnolo.

Articolo 28 del Regolamento (UE) 2016/679 (RGPD) · Versione 2026-10-01

1. Oggetto

Il Titolare affida a elpizzero il trattamento dei dati personali necessario per prestare i servizi della piattaforma: menu digitale, ricezione e gestione degli ordini, POS, prenotazioni, notifiche, fatturazione e strumenti associati. elpizzero tratterà tali dati esclusivamente per conto e secondo le istruzioni documentate del Titolare.

2. Durata

Il presente contratto è in vigore finché esiste un rapporto di servizio tra le parti. Al suo termine si applicherà la clausola 9 (restituzione/cancellazione).

3. Natura, finalità e dati trattati

• Categorie di interessati: clienti finali del ristorante e, se del caso, personale/utenti del ristorante.
• Tipi di dati: dati identificativi e di contatto (nome, telefono, email, indirizzo di consegna), dati dell'ordine e di pagamento (gestiti dal fornitore di pagamento) e cronologia degli ordini. Non vengono trattate intenzionalmente categorie particolari di dati.
• Finalità: esclusivamente l'esecuzione dei servizi contrattati dal Titolare.

4. Obblighi di elpizzero (Responsabile)

1. Trattare i dati solo conformemente alle istruzioni documentate del Titolare, anche per quanto riguarda i trasferimenti internazionali, salvo obbligo legale. Se, a suo avviso, un'istruzione viola il RGPD o altra norma sulla protezione dei dati, elpizzero informerà immediatamente il Titolare (art. 28.3 RGPD).
2. Garantire la riservatezza e che le persone autorizzate si impegnino a rispettarla.
3. Applicare le misure tecniche e organizzative adeguate (art. 32 RGPD): cifratura delle credenziali sensibili, controllo degli accessi per ruolo, isolamento dei dati tra ristoranti, copie di sicurezza cifrate e registro delle attività.
4. Assistere il Titolare nel dare seguito alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, opposizione, portabilità, limitazione).
5. Assistere il Titolare nel garantire il rispetto degli artt. da 32 a 36 (sicurezza, notifica delle violazioni e valutazioni d'impatto).
6. Notificare al Titolare senza ingiustificato ritardo e, al più tardi, entro 48 ore da quando ne abbia avuto conoscenza, una violazione di sicurezza che riguardi i suoi dati, con le informazioni necessarie affinché il Titolare adempia al proprio obbligo di notifica all'autorità (72 h) e, se del caso, agli interessati.
7. Mettere a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto degli obblighi e consentire audit ragionevoli.

5. Sub-responsabili

📣 Modifiche comunicate il 2 ottobre 2026, in vigore dal 18 ottobre 2026: cessa l'uso di ipwho.is (la localizzazione approssimativa dell'IP passa a essere effettuata sul nostro stesso server); il servizio di posta elettronica è prestato da Hostinger, che figura già come sub-responsabile; e i servizi di OpenStreetMap sono utilizzati anche per le mappe della pagina di tracciamento dell'ordine. Inoltre, il punto 4 mette per iscritto la Sua istruzione affinché gestiamo per Suo conto le richieste di cancellazione dei Suoi clienti ricevute sulla piattaforma, conservando ciò che la legge obbliga a conservare. Può opporsi scrivendo a privacidad@elpizzero.com prima di tale data (art. 28.2 RGPD).

Il Titolare autorizza elpizzero a ricorrere ai seguenti sub-responsabili per prestare il servizio, impegnandosi elpizzero a imporre loro obblighi equivalenti in materia di protezione dei dati:

• Hostinger — hosting e infrastruttura (server nell'UE).
• Stripe — elaborazione dei pagamenti (quando il ristorante la attiva con le proprie chiavi).
• Fornitore di posta elettronica SMTP — invio di notifiche e comunicazioni.
• OpenAI (Stati Uniti) — traduzione del menu e delle note che il cliente scrive nel proprio ordine, e lettura di menu e fatture; senza nome, telefono, email né indirizzo.
• Twilio (Stati Uniti) — chiamate automatiche di avviso al ristorante, quando attivate (telefono del ristorante).
• Telegram — avvisi di ordini al ristorante, solo se il Titolare li attiva; contengono solo il numero e l'importo dell'ordine, nessun dato dei suoi clienti (Telegram non offre un contratto di responsabile del trattamento, quindi non gli vengono affidati).
• hCaptcha · Intuition Machines (Stati Uniti) — protezione contro i bot nei moduli pubblici (IP e dati del browser).
• Servizi di ricerca di indirizzi e calcolo di percorsi basati su OpenStreetMap (Nominatim, OSRM, openrouteservice) — indirizzo di consegna.
• Reparto — piattaforma di logistica dell'ultimo miglio (api.elpizzero.es), solo se il Titolare attiva l'integrazione «Reparto» e fornisce il proprio token. Di ogni ordine a domicilio riceve lo stretto necessario per eseguire la consegna: indirizzo e coordinate di consegna, telefono di contatto, importo da riscuotere e dettaglio dell'ordine. Tratta tali dati esclusivamente per conto del Titolare ed è soggetta a obblighi equivalenti a quelli del presente contratto. Cancellazione: quando il Titolare ordina di cancellare i dati di un cliente, l'ordine viene comunicato automaticamente a Reparto, che cancella indirizzo, coordinate, telefono, note e dettaglio dell'ordine, conservando soltanto dati non identificativi di natura operativa (stato, date e importi).

L'elenco in vigore è disponibile e sarà aggiornato nel presente documento. elpizzero informerà delle modifiche dei sub-responsabili, dando al Titolare la possibilità di opporsi.

Non sono sub-responsabili gli strumenti di terzi che il Titolare decide di attivare nel proprio menu con il proprio account (ad esempio, il pixel di Meta, che viene caricato solo se il cliente accetta i cookie di marketing): tale fornitore tratta i dati in qualità di titolare, congiuntamente al Titolare, e non per conto di elpizzero (sentenza della Corte di giustizia dell'UE del 29 luglio 2019, Fashion ID, causa C-40/17).

5 bis. Uso dell'intelligenza artificiale

Alcune funzioni della piattaforma utilizzano servizi di intelligenza artificiale (attualmente OpenAI, USA, con adeguate garanzie di trasferimento) per: scansione di menu (estrarre categorie e prodotti da foto o PDF del ristorante), scansione di fatture di fornitori (consulenza e inventario), traduzione del menu e di testi in altre lingue, e rilevamento dell'inventario e generazione di contenuti di supporto.

Viene inviato soltanto il contenuto necessario e non vengono inviati intenzionalmente dati di clienti finali; occasionalmente, una traduzione potrebbe includere un testo libero scritto dal cliente (ad es. una nota dell'ordine). Il Titolare autorizza tale trattamento mediante IA accettando il presente contratto e si impegna a non inserire dati personali non necessari in queste funzioni. Ogni funzione che utilizza l'IA è identificata come tale nel pannello, in conformità ai principi di trasparenza (incluso il Regolamento (UE) 2024/1689 sull'IA).

6. Obblighi del Titolare (ristorante)

• Garantire la base di liceità dei trattamenti che affida e l'informativa agli interessati.
• Disporre di una propria informativa sulla privacy e di una corretta identificazione fiscale nel proprio profilo.
• Non inserire nella piattaforma categorie particolari di dati senza una base adeguata.

7. Ubicazione dei dati e trasferimenti

I dati sono ospitati su server situati nell'Unione europea. Se un sub-responsabile comportasse un trasferimento internazionale, questo avverrà con le garanzie del Capo V del RGPD (decisione di adeguatezza o clausole contrattuali tipo).

8. Violazioni di sicurezza

In caso di violazione della sicurezza dei dati, elpizzero seguirà il proprio protocollo di risposta e lo notificherà al Titolare conformemente alla clausola 4.6 affinché questi possa adempiere all'art. 33 RGPD (notifica all'autorità di controllo entro 72 h ove necessario).

9. Restituzione o cancellazione al termine

Al termine del servizio, e a scelta del Titolare, elpizzero restituirà o cancellerà i dati personali trattati per suo conto, nonché le copie esistenti, salvo obbligo legale di conservazione.

10. Responsabilità e legge applicabile

Ciascuna parte risponde dell'inadempimento dei propri obblighi ai sensi del RGPD e della LO 3/2018 (LOPDGDD). Il presente contratto è regolato dalla legge spagnola e dell'UE.

L'accettazione del presente contratto viene registrata con data, versione e IP al momento della registrazione o dell'accettazione dal pannello. Ultimo aggiornamento: 2026-10-01.