Accordo sul trattamento dei dati (DPA)

Parti e oggetto

Titolare del trattamento: il ristoratore che accetta l'accordo. Responsabile: Brian Belaj, operante come Voodish (voodishtastethemagic@gmail.com; [DA COMPLETARE: domicilio o indirizzo professionale, previa verifica degli obblighi applicabili]; Partita IVA 02464020508 [verificare eventuali ulteriori dati fiscali con un professionista]). Oggetto: trattamento dei dati necessari a ospitare e gestire ordini, account collegati al ristorante, consegne e assistenza attraverso la piattaforma.

Durata, natura e finalità

Il trattamento dura per il periodo di erogazione del servizio e per la successiva fase di restituzione/cancellazione da definire. Le operazioni comprendono raccolta tramite piattaforma, registrazione, consultazione, organizzazione, comunicazione al ristorante e cancellazione per gestire ordini e consegne.

Categorie di dati e interessati

Interessati: clienti del ristorante e, ove presenti, utenti autorizzati del gestionale. Dati: identificativi e di contatto, dati dell'ordine, indirizzo di consegna, note e informazioni tecniche strettamente necessarie. [VERIFICARE: le note potrebbero contenere dati particolari inseriti spontaneamente; definire avvisi e minimizzazione.] Non sono previsti dati di carte completi in Voodish: Stripe gestisce il flusso di pagamento.

Obblighi del responsabile

• Trattare i dati soltanto su istruzioni documentate del titolare, anche per trasferimenti, salvo obbligo di legge.
• Assicurare che le persone autorizzate siano vincolate alla riservatezza e ricevano istruzioni adeguate.
• Adottare misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR e fornire informazioni ragionevoli per dimostrarne il rispetto.
• Assistere il titolare, tenuto conto della natura del trattamento, per richieste degli interessati e obblighi di sicurezza, violazioni, DPIA e consultazioni preventive.
• Informare il titolare se un'istruzione appare in violazione della normativa applicabile.
• Alla cessazione, restituire o cancellare i dati secondo scelta del titolare e tempi concordati, salvo obbligo legale di conservazione.
• Mettere a disposizione le informazioni necessarie per audit ragionevoli e comunicare senza ingiustificato ritardo una violazione dei dati personali.

Sub-responsabili e trasferimenti

I servizi tecnici rilevati nel repository includono Stripe, Resend, Cloudflare R2 e Google. L'elenco non è ancora un registro contrattuale verificato: devono essere identificati entità giuridiche, servizio, ruolo, luogo di trattamento, garanzie per trasferimenti, misure e modalità di autorizzazione/avviso al titolare. Nessun trasferimento extra-SEE è dichiarato conforme finché la verifica non è completata.

Allegati mancanti

• Allegato I: descrizione completa dei trattamenti, categorie, durata e istruzioni.
• Allegato II: misure tecniche e organizzative effettivamente adottate.
• Allegato III: elenco e localizzazione dei sub-responsabili e meccanismo di aggiornamento.
• [DA DEFINIRE: termini di notifica incidenti, contatti, audit, esportazione e cancellazione.]