Accordo sul trattamento dei dati (DPA)

Questo accordo regola come trattiamo i dati personali dei clienti e dello staff del tuo locale quando usi Gnam. È l’accordo previsto dall’art. 28 del Regolamento UE 2016/679 (GDPR).

Le parti sono:

• il ristoratore che usa Gnam per la propria attività: è il titolare del trattamento (“tu”);
• CodeLab srls, Corso Giuseppe Garibaldi 22, 00034 Colleferro (RM), Partita IVA 17925991006, email info@codelab.email: è il responsabile del trattamento (“noi”).

L’accordo fa parte dei termini di servizio e si accetta insieme a essi. Se c’è un contrasto tra i termini e questo accordo sulla protezione dei dati, prevale questo accordo.

1. Oggetto e durata

Trattiamo i dati personali descritti nell’Allegato 1 solo per fornirti Gnam: gestionale, sala, cucina, prenotazioni, eventi, ordini, conti, staff e integrazioni che attivi.

L’accordo dura quanto il contratto di servizio. Gli obblighi che per loro natura continuano dopo (per esempio riservatezza e cancellazione dei dati) restano validi anche dopo la fine.

2. Le tue istruzioni

Trattiamo i dati solo seguendo le tue istruzioni documentate. Le istruzioni sono:

• i termini di servizio e questo accordo;
• le impostazioni e le azioni che tu e il tuo staff fate nel gestionale (per esempio attivare un’integrazione, registrare un dispositivo, cancellare una prenotazione);
• altre istruzioni scritte che ci mandi e che accettiamo.

Se la legge ci obbliga a trattare i dati in modo diverso, te lo diciamo prima, salvo che la legge stessa lo vieti. Se pensiamo che una tua istruzione violi il GDPR o altre norme sulla protezione dei dati, ti avvisiamo subito.

3. Riservatezza

Le persone che, per conto nostro, possono accedere ai dati sono autorizzate per iscritto, formate e tenute alla riservatezza. Accedono ai dati solo quando serve per fornire il servizio, per l’assistenza che ci chiedi o per risolvere un problema tecnico.

4. Sicurezza

Adottiamo le misure tecniche e organizzative adeguate al rischio (art. 32 GDPR) descritte nell’Allegato 2. Possiamo aggiornarle nel tempo, senza ridurre il livello di protezione.

5. Sub-responsabili

Ci dai un’autorizzazione generale a usare altri responsabili (sub-responsabili). Quelli attuali sono elencati nell’Allegato 3.

• Prima di aggiungere o sostituire un sub-responsabile, ti avvisiamo per email o nel gestionale almeno 30 giorni prima.
• Puoi opporti per motivi ragionevoli legati alla protezione dei dati entro quel termine. Se non troviamo una soluzione, puoi recedere dal contratto senza penali prima che il cambiamento si applichi.
• Ogni sub-responsabile è vincolato per contratto a obblighi di protezione dei dati non meno rigorosi di questi. Rispondiamo verso di te del loro operato.

I servizi che scegli tu di collegare (per esempio TheFork, Deliverect, il tuo account Stripe o il tuo registratore telematico) non sono nostri sub-responsabili: li attivi tu, con un tuo contratto, e noi trasmettiamo loro i dati su tua istruzione.

6. Trasferimenti fuori dall’Unione europea

Trasferiamo dati fuori dallo Spazio economico europeo solo con le garanzie del Capo V del GDPR: una decisione di adeguatezza (compreso l’EU-U.S. Data Privacy Framework per i fornitori certificati) oppure le Clausole contrattuali standard della Commissione europea. Nell’Allegato 3 indichiamo la garanzia per ogni sub-responsabile.

7. Diritti degli interessati

Il gestionale ti permette di consultare e correggere i dati dei tuoi clienti e del tuo staff e di cancellare quelli che non ti servono più. Per quello che non puoi fare da solo (per esempio una copia completa dei dati di un interessato), ti aiutiamo noi su richiesta.

Se un interessato scrive a noi per una richiesta che riguarda i dati del tuo locale, te la inoltriamo entro 5 giorni lavorativi e non rispondiamo nel merito senza una tua istruzione. Ti aiutiamo, per quanto ragionevole, a rispondere entro i termini di legge.

8. Altra assistenza

Ti diamo le informazioni in nostro possesso che ti servono per:

• la sicurezza del trattamento (art. 32);
• la notifica e la comunicazione di violazioni (artt. 33 e 34);
• la valutazione d’impatto e la consultazione preventiva del Garante (artt. 35 e 36), se servono.

9. Violazioni dei dati

Se scopriamo una violazione che riguarda i dati del tuo locale, ti avvisiamo senza ingiustificato ritardo e comunque entro 48 ore da quando ne veniamo a conoscenza. Ti diamo, appena disponibili:

• cosa è successo e quali categorie e quanti interessati e dati sono coinvolti, almeno in modo approssimativo;
• le probabili conseguenze;
• le misure prese o proposte per rimediare e limitare i danni;
• un contatto per avere altre informazioni.

Decidi tu se notificare al Garante e agli interessati; noi ti aiutiamo.

10. Fine del trattamento

Quando il contratto finisce:

• se ce lo chiedi per iscritto prima della fine, ti restituiamo i dati in un formato di uso comune;
• entro 90 giorni dalla fine cancelliamo i dati personali trattati per tuo conto (dopo averli restituiti, se lo hai chiesto);
• conserviamo solo i dati che la legge ci obbliga a tenere, per il tempo previsto;
• se lo chiedi, ti confermiamo per iscritto l’avvenuta cancellazione.

11. Documentazione e verifiche

Teniamo il registro delle attività di trattamento svolte per conto dei titolari (art. 30.2 GDPR).

Su tua richiesta ti diamo le informazioni necessarie a dimostrare che rispettiamo questo accordo. Se queste non bastano, puoi fare una verifica (audit), anche tramite un revisore indipendente vincolato alla riservatezza:

• con un preavviso scritto di almeno 30 giorni;
• non più di una volta l’anno, salvo dopo una violazione dei dati o su richiesta di un’autorità;
• durante l’orario di lavoro, senza compromettere la sicurezza e la riservatezza dei dati di altri clienti;
• a tue spese.

12. I tuoi impegni

Come titolare ti impegni a:

• avere una base giuridica valida per i dati che tratti con Gnam e informare i tuoi clienti e il tuo staff;
• per i dati particolari (per esempio allergie, esigenze alimentari legate alla salute o alla religione scritte nelle richieste o negli add-on di una prenotazione), raccoglierli solo quando servono e con la base giuridica corretta;
• decidere per quanto tempo conservare i dati e cancellare dal gestionale quelli che non ti servono più;
• rispettare le norme sul lavoro per i dati del tuo staff, comprese, dove servono, le regole dell’art. 4 dello Statuto dei lavoratori (L. 300/1970);
• darci istruzioni conformi alla legge.

13. Responsabilità

Ciascuna parte risponde secondo l’art. 82 GDPR. Per il resto si applicano le regole sulla responsabilità dei termini di servizio, nei limiti consentiti dalla legge.

14. Legge e foro

Questo accordo è regolato dalla legge italiana. Per il foro competente valgono i termini di servizio.

Allegato 1 — Descrizione del trattamento

Interessati

• Clienti del locale: chi prenota, ordina, paga o partecipa a un evento, anche tramite servizi collegati (per esempio TheFork o Deliverect), e le persone indicate nella prenotazione.
• Staff del locale: le persone che il ristoratore autorizza a usare Gnam.

Dati

Clienti del locale

• nome, telefono, email;
• data, ora, numero di persone, tavolo, stato della prenotazione, origine (per esempio app, telefono, TheFork);
• richieste particolari e add-on scelti (per esempio seggiolone, esigenze alimentari), che possono contenere dati particolari sulla salute o sulle convinzioni religiose;
• ordini, piatti, portate, conto, sessioni al tavolo;
• dati dei pagamenti: importo, metodo, stato, identificativi di Stripe, riferimenti allo scontrino. Mai i dati completi della carta;
• ordini di consegna ricevuti da servizi collegati, con i dati che quei servizi trasmettono;
• se il cliente ha un account Gnam, il collegamento al suo profilo.

Staff del locale

• nome, email o nome utente, telefono (facoltativo), password e PIN (solo come hash);
• ruolo, permessi, stato del turno, sale assegnate;
• dispositivi registrati e sessioni di accesso;
• registro delle attività (audit);
• comandi vocali: audio (inviato per la trascrizione e non conservato da noi), trascrizione, esito;
• operazioni svolte in sala e in cucina (per esempio tavoli aperti, portate consegnate, tempi).

Natura e finalità

Raccolta, registrazione, organizzazione, conservazione, consultazione, modifica, trasmissione alle integrazioni che attivi, cancellazione. Le finalità sono solo quelle di fornire le funzioni del servizio che usi.

Durata

Per la durata del contratto, poi come indicato all’art. 10.

Allegato 2 — Misure di sicurezza

• Infrastruttura nell’UE: server di Hetzner Online GmbH nell’Unione europea. Database, cache e archivio dei file girano su server che gestiamo noi, non su servizi di terzi.
• Rete: firewall che accetta dall’esterno solo il traffico web (HTTPS) e l’accesso amministrativo da indirizzi autorizzati; i servizi interni non sono esposti a internet.
• Cifratura in transito: tutte le connessioni pubbliche usano HTTPS.
• Credenziali: password, PIN, segreti dei dispositivi e token di rinnovo sono conservati solo come hash. I cookie di sessione sono httpOnly e sicuri.
• Sessioni: token di accesso di breve durata con rinnovo a rotazione; revoca immediata per singolo dispositivo o persona; blocchi dopo troppi tentativi di PIN sbagliati.
• Separazione dei dati: ogni locale vede solo i propri dati; ogni richiesta è filtrata per locale.
• Permessi: ruoli e permessi configurabili; nessuno può assegnare un ruolo pari o superiore al proprio.
• Tracciabilità: registro delle operazioni importanti (audit).
• Integrazioni: le notifiche in arrivo da Stripe, TheFork e Deliverect sono verificate con firma crittografica prima di essere elaborate.
• Limiti anti-abuso sulle richieste pubbliche e sull’assistente.
• Accesso del nostro personale: solo persone autorizzate, con chiavi personali, tenute alla riservatezza e solo quando serve.
• Minimizzazione: non conserviamo l’audio dei comandi vocali, solo la trascrizione e l’esito.

Allegato 3 — Sub-responsabili autorizzati

Versione 2026-09-24 · Ultimo aggiornamento: 24 settembre 2026