Accordo sul trattamento dei dati

Per i dati personali dei clienti trattati tramite Ordingo, tu (il locale) sei il titolare del trattamento e Ordingo è il responsabile del trattamento, che elabora quei dati solo su tue istruzioni documentate — comprese le istruzioni integrate nel funzionamento del servizio (ad esempio l'instradamento di un ordine al tuo display di cucina) e qualsiasi istruzione aggiuntiva che ci fornisci per iscritto. Per i dati di account, staff e fatturazione che ci fornisci direttamente sulla tua attività, Ordingo è il titolare del trattamento, come descritto nella nostra Privacy Policy.

L'oggetto di questo DPA è il trattamento da parte di Ordingo dei dati personali dei clienti per fornire per tuo conto le funzionalità di ordinazione, display di cucina e funzionalità correlate del servizio. Il trattamento dura per tutto il periodo in cui il tuo account Ordingo è attivo, oltre al periodo di conservazione descritto in "Cancellazione e restituzione dei dati" di seguito.

Ordingo raccoglie, conserva, trasmette e mostra i dati degli ordini dei clienti esclusivamente per gestire la piattaforma di ordinazione per tuo conto: ricevere un ordine, instradarlo al tuo display di cucina/bar, tracciarne lo stato in tempo reale e conservarne una registrazione per le tue esigenze contabili e di gestione dei reclami.

Categorie di dati personali: gli articoli ordinati, il tavolo/posto o QR code usato, lo stato e gli orari dell'ordine, ed eventuali note facoltative in testo libero che un cliente sceglie di aggiungere (che potrebbero incidentalmente includere un nome, un numero di telefono o altro dettaglio fornito volontariamente dal cliente). Non raccogliamo intenzionalmente categorie particolari di dati (art. 9 GDPR), e non dovresti progettare i campi note degli ordini o i contenuti del menu per sollecitarle.

Categorie di interessati: i clienti che effettuano ordini presso il tuo locale.

Ordingo tratterà i dati personali dei clienti solo su tue istruzioni documentate, salvo quando tenuta a fare diversamente dalla legge (nel qual caso ti informeremo prima del trattamento, a meno che la legge lo vieti). Garantiamo che chiunque autorizziamo a trattare i dati — il nostro personale e i nostri collaboratori — sia vincolato da obblighi di riservatezza.

Adottiamo misure tecniche e organizzative ragionevoli e adeguate al rischio, inclusa la cifratura dei dati in transito, la memorizzazione delle password con hash e salt, controlli di accesso che limitano chi può raggiungere i dati di produzione, e la registrazione degli accessi all'infrastruttura. Nessun metodo di trasmissione o conservazione è sicuro al 100%, e queste misure vengono riviste e aggiornate con l'evoluzione del servizio.

Ci autorizzi in via generale a coinvolgere sub-responsabili del trattamento per aiutarci a fornire il servizio. I nostri attuali sub-responsabili sono: il nostro fornitore di hosting cloud (infrastruttura), Stripe (elaborazione dei pagamenti), Resend (email transazionali) e i nostri fornitori AI (attualmente Google, per le funzioni facoltative di importazione e traduzione AI del menu) — ciascuno vincolato da un accordo scritto che impone obblighi di protezione dei dati non meno stringenti di questo DPA.

Ti daremo un preavviso ragionevole (via email all'amministratore del tuo account) prima di aggiungere o sostituire un sub-responsabile che tratterà dati personali dei clienti. Se hai un'obiezione legittima in materia di protezione dei dati riguardo a un nuovo sub-responsabile, comunicacelo entro un periodo ragionevole da tale preavviso e collaboreremo in buona fede per risolverla — il che può includere il tuo diritto di risolvere la parte interessata del servizio se non riusciamo a risolvere l'obiezione.

Quando i dati personali vengono trasferiti al di fuori dello Spazio Economico Europeo, ci assicuriamo che sia in vigore un meccanismo di trasferimento adeguato ai sensi della normativa applicabile sulla protezione dei dati — come le Clausole Contrattuali Standard della Commissione Europea, o un'altra garanzia legittima offerta dal sub-responsabile destinatario — prima che il trasferimento abbia luogo.

Tenendo conto della natura del trattamento, ti assisteremo ragionevolmente nel rispondere alle richieste di un interessato di esercitare i propri diritti GDPR (accesso, rettifica, cancellazione, limitazione, portabilità o opposizione), e nel rispettare i tuoi obblighi in materia di sicurezza, notifica delle violazioni e valutazioni d'impatto sulla protezione dei dati, nella misura in cui tali obblighi riguardano il trattamento svolto da Ordingo.

Se veniamo a conoscenza di una violazione di dati personali che coinvolge i dati dei clienti trattati per tuo conto, ti notificheremo senza ritardo ingiustificato, forniremo le informazioni ragionevolmente disponibili sulla violazione e collaboreremo alla tua indagine e a qualsiasi notifica che sei tenuto per legge a effettuare.

Alla risoluzione del tuo account Ordingo, cancelleremo o anonimizzeremo i dati personali dei clienti trattati per tuo conto entro 90 giorni, salvo quando siamo tenuti dalla legge a conservarli più a lungo (ad esempio registrazioni contabili o di prevenzione delle frodi) — coerentemente con la sezione Disdetta/Risoluzione dei nostri Termini e condizioni.

Su richiesta scritta ragionevole, non più di una volta all'anno (salvo a seguito di un incidente di sicurezza o su richiesta di un'autorità), ti forniremo le informazioni ragionevolmente necessarie a dimostrare la conformità a questo DPA, come una sintesi delle nostre misure di sicurezza o le certificazioni pertinenti, e collaboreremo ragionevolmente a un audit condotto da te o da un revisore da te incaricato, fermi restando la riservatezza e la necessità di non interrompere il servizio per gli altri nostri clienti.

Per domande su questo DPA scrivi a hello@ordingo.app.