Accordo sul trattamento dei dati (DPA)

Parti

Titolare del trattamento («Titolare» o «Cliente»): chi ha sottoscritto un abbonamento o una prova di Garbo, come identificato nel profilo dell'account (ragione sociale, P.IVA, email di fatturazione).

Responsabile del trattamento («Responsabile» o «Garbo»): SM SERVIZI SRLS, P.IVA IT03238380590, con sede in Via Giuseppe Garibaldi 7, 04020 Itri (LT), contatto per la privacy info@garbo-menu.com.

L'accordo si conclude con l'accettazione dei termini di servizio all'iscrizione e ne fa parte integrante («Contratto principale»).

Art. 1 — Definizioni

I termini usati hanno il significato del Regolamento (UE) 2016/679 («GDPR»). Inoltre:

• Servizio: la piattaforma Garbo (menu digitale guidato, invio del link, consensi e messaggi privati, recensioni, Garbo Sala, statistiche, funzioni di intelligenza artificiale).
• Dati del Cliente: i dati personali trattati da Garbo per conto del Cliente nell'ambito del Servizio.
• Ospiti: le persone che usano il menu digitale o i servizi del locale del Cliente.
• Utenti del Cliente: titolari, manager, personale e collaboratori a cui il Cliente dà accesso al pannello o a Garbo Sala.
• Sub-responsabile: un fornitore a cui Garbo affida parte del trattamento dei Dati del Cliente.
• Impersonazione: l'accesso del personale di assistenza di Garbo all'account del Cliente, per vederlo come lo vede il Cliente.

Art. 2 — Oggetto e ruoli

2.1. Il Cliente è titolare dei Dati del Cliente; Garbo li tratta come responsabile, solo per fornire il Servizio e secondo le istruzioni documentate del Cliente.

2.2. Per i dati dell'account del Cliente, la fatturazione, la sicurezza della piattaforma e i rapporti con i Partner, Garbo agisce come titolare autonomo, come descritto nell'informativa per i clienti.

Art. 3 — Durata

L'accordo dura quanto il Contratto principale e, dopo la sua fine, fino alla cancellazione dei Dati del Cliente prevista dall'art. 18.

Art. 4 — Natura e finalità del trattamento

Garbo raccoglie, registra, conserva, organizza, consulta, trasmette e cancella i Dati del Cliente per: mostrare il menu e proporre i piatti; inviare il link del menu e i messaggi chiesti o consentiti dagli ospiti; registrare consensi e messaggi privati; gestire le richieste al tavolo in Garbo Sala; gestire inviti e risposte alle recensioni; produrre statistiche aggregate; offrire le funzioni di intelligenza artificiale; fornire assistenza e sicurezza.

Art. 5 — Interessati e categorie di dati

5.1. Dati sulla salute. Allergie e diete sono dati sulla salute (art. 9 GDPR). Il Servizio li usa sul dispositivo dell'ospite per filtrare i piatti; li mostra al personale solo con il consenso esplicito dell'ospite, li cancella alla chiusura del tavolo e per il resto ne conserva solo conteggi anonimi. Il Servizio non chiede altri dati particolari; se un ospite li scrive in un testo libero, restano solo parte del testo.

5.2. Minori. Il Cliente non raccoglie consensi alle offerte o al messaggio dopo il pasto da minori di 14 anni (art. 2-quinquies D.Lgs. 196/2003).

Art. 6 — Istruzioni del Titolare

6.1. Le istruzioni del Cliente sono questo accordo, il Contratto principale e le impostazioni che il Cliente sceglie nel pannello (per esempio canali attivi, durata della sessione del tavolo, funzioni attivate). Una richiesta di assistenza tracciabile vale come istruzione per le operazioni necessarie a risolverla.

6.2. Garbo avvisa il Cliente se ritiene che un'istruzione violi la normativa sulla protezione dei dati, e può sospenderne l'esecuzione finché il Cliente non la conferma o la modifica.

Art. 7 — Obblighi del Titolare

• fornire agli ospiti e ai propri Utenti le informative necessarie, anche usando l'informativa per gli ospiti pubblicata da Garbo, che il Cliente può integrare;
• raccogliere i consensi come previsto dal Servizio, leggendo o mostrando il testo all'ospite, senza preselezioni;
• informare i propri dipendenti sull'uso di Garbo Sala e rispettare l'art. 4 della L. 300/1970;
• inserire nel Servizio solo dati necessari e corretti, e scegliere con cura ruoli e accessi dei propri Utenti.

Art. 8 — Riservatezza

Garbo autorizza al trattamento solo le persone che ne hanno bisogno per fornire il Servizio, le istruisce e le vincola alla riservatezza.

Art. 9 — Sicurezza

9.1. Garbo adotta le misure tecniche e organizzative adeguate al rischio (art. 32 GDPR) descritte nell'Allegato A. Può aggiornarle a condizione che il livello di protezione non diminuisca.

9.2. Il Cliente cura la sicurezza dei propri dispositivi e delle credenziali dei propri Utenti.

Art. 10 — Accesso per assistenza e Impersonazione

10.1. Il personale di Garbo accede ai Dati del Cliente solo per rispondere a una richiesta di assistenza, gestire un incidente o un malfunzionamento, o adempiere un obbligo di legge.

10.2. L'Impersonazione richiede un motivo scritto, dura al massimo 2 ore, è in sola lettura salvo la modalità con modifica riservata ai superadmin di Garbo, ed è registrata (inizio, fine, motivo, modalità e azioni) nel registro delle attività. Il Cliente vede gli accessi più recenti nella pagina Utenti del pannello e può chiedere a Garbo l'elenco completo.

10.3. Durante l'assistenza Garbo non esporta i dati, non li copia fuori dal Servizio e non contatta gli ospiti, salvo richiesta scritta del Cliente.

Art. 11 — Sub-responsabili

11.1. Il Cliente autorizza in via generale Garbo a ricorrere ai sub-responsabili elencati nella pagina Sub-responsabili (Allegato B) e a nuovi sub-responsabili alle condizioni di questo articolo (art. 28.2 GDPR).

11.2. Garbo impone a ogni sub-responsabile obblighi di protezione dei dati non meno rigorosi di questo accordo e resta pienamente responsabile verso il Cliente del loro adempimento.

11.3. Garbo comunica l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di anticipo, via email e nel pannello, indicando fornitore, servizio, dati, sede e garanzie per i trasferimenti. I sub-responsabili segnati come «Previsto» nell'Allegato B sono già autorizzati e si attivano con la stessa comunicazione.

11.4. Entro 30 giorni il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati. Le parti cercano una soluzione; se non la trovano, il Cliente può recedere senza penali, con rimborso della parte di canone non goduta.

11.5. In caso di sostituzione urgente (sicurezza, cessazione del servizio o inadempimento del fornitore) Garbo può procedere con un preavviso più breve, comunicandolo appena possibile; il diritto di opposizione decorre dalla comunicazione.

Art. 12 — Trasferimenti fuori dallo Spazio economico europeo

I Dati del Cliente sono conservati nell'Unione europea. Un trasferimento fuori dallo Spazio economico europeo avviene solo con le garanzie del Capo V GDPR (decisione di adeguatezza, compreso il Data Privacy Framework UE-USA, o clausole contrattuali standard), indicate per ciascun sub-responsabile nell'Allegato B.

Art. 13 — Diritti degli interessati

Il Servizio permette al Cliente di consultare, esportare e cancellare i dati degli ospiti (per esempio la revoca di un consenso o la cancellazione di un contatto). Se Garbo riceve direttamente una richiesta di un interessato, la inoltra al Cliente entro 5 giorni lavorativi e non risponde nel merito senza sue istruzioni.

Art. 14 — Valutazioni d'impatto e consultazioni

Garbo fornisce al Cliente le informazioni sul Servizio di cui dispone per eventuali valutazioni d'impatto (art. 35 GDPR) e consultazioni preventive con il Garante (art. 36 GDPR).

Art. 15 — Violazioni dei dati

15.1. Garbo informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di una violazione che riguarda i Dati del Cliente, indicando per quanto noto la natura della violazione, gli interessati e i dati coinvolti, le probabili conseguenze e le misure adottate o proposte.

15.2. Garbo collabora perché il Cliente possa notificare la violazione al Garante entro 72 ore e, se necessario, comunicarla agli interessati (artt. 33-34 GDPR), e documenta ogni violazione.

Art. 16 — Verifiche

Garbo mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo. Il Cliente può chiedere una verifica, anche tramite un revisore vincolato alla riservatezza, con un preavviso di 30 giorni, non più di una volta l'anno salvo violazioni, a proprie spese e senza accesso ai dati di altri clienti.

Art. 17 — Cooperazione e registro

Garbo tiene il registro delle attività di trattamento svolte per conto dei clienti (art. 30.2 GDPR) e coopera con il Garante su richiesta.

Art. 18 — Restituzione e cancellazione

Alla fine del Contratto principale il Cliente può chiedere l'esportazione completa dei Dati del Cliente. Per 30 giorni i dati restano recuperabili, poi Garbo li cancella in modo definitivo, salvo gli obblighi di conservazione previsti dalla legge. Le copie nei backup del fornitore del database vengono sovrascritte secondo il loro ciclo ordinario.

Art. 19 — Nessun uso per finalità di Garbo

Garbo non usa i Dati del Cliente per finalità proprie: non li vende, non li usa per pubblicità o profilazione e non li inserisce nel proprio CRM. Può usare solo dati aggregati e anonimi sul funzionamento del Servizio per migliorarlo.

Art. 20 — Responsabilità

Ciascuna parte risponde secondo l'art. 82 GDPR. Nei rapporti tra le parti si applicano i limiti di responsabilità dei termini di servizio, salvo dolo o colpa grave e salvo i casi in cui la legge non consente limitazioni.

Art. 21 — Prevalenza e modifiche

In caso di contrasto, per la protezione dei dati prevale questo accordo sul Contratto principale. Garbo può modificarlo con le modalità previste dai termini di servizio per le loro modifiche; le modifiche imposte dalla legge o da un'autorità possono avere effetto prima.

Art. 22 — Legge e foro

Questo accordo è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il Foro di Latina.

Allegato A — Misure di sicurezza

Allegato C — Tempi di conservazione