Cosa viene trattato
- Oggetto e durata: fornire Eats All Over al ristorante, finché il suo account è attivo e fino alla cancellazione dei dati.
- Natura e finalità: ricevere gli ordini dal sito e dai tavoli del ristorante, mostrarli alla cucina e al personale, stampare scontrini, gestire i conti dei tavoli, collocare sulla mappa gli indirizzi di consegna, inviare le email dell'ordine e preparare report.
- Interessati: i clienti che ordinano dal ristorante.
- Dati personali: nome, telefono, email, indirizzo di consegna e le sue coordinate, contenuto e note dell'ordine, stato e importi del pagamento con i relativi id di Stripe, e id anonimi dei commensali ai tavoli.
- Categorie particolari: le allergie che un cliente dichiara (dati sanitari), usate solo per preparare l'ordine in sicurezza.
Istruzioni
Trattiamo i dati solo per fornire il servizio e secondo le istruzioni documentate del ristorante: i Termini di servizio, questo accordo e le impostazioni che il ristorante sceglie nel pannello. Se riteniamo che un'istruzione violi la legge, lo comunichiamo al ristorante.
Riservatezza
Possono accedere ai dati solo le persone di All Over Apps che gestiscono la piattaforma e ne hanno bisogno, e sono tenute alla riservatezza.
Sicurezza
Applichiamo le misure descritte nell'Informativa sulla privacy, tra cui:
- Connessioni cifrate (TLS) e dati personali dei clienti cifrati a riposo.
- Solo hash di token, sessioni, link e PIN, e tentativi di abbinamento e di PIN limitati.
- Accesso ai dati limitato alle persone che ne hanno bisogno.
- Backup del database, conservati 30 giorni.
Sub-responsabili
Il ristorante autorizza questi sub-responsabili, descritti in I fornitori che ci aiutano:
- OVHcloud (OVH US): server, database e cache, negli Stati Uniti.
- Cloudflare: domini, DNS, connessioni cifrate, protezione e cache, domini propri, foto dei piatti e backup del database (R2), sulla sua rete globale.
- Stripe: pagamenti con carta sull'account del ristorante (Stripe Connect), in Irlanda e negli Stati Uniti. Stripe è anche titolare autonomo dei dati di pagamento.
- Amazon Web Services (Amazon SES): invio delle email dell'ordine, negli Stati Uniti (Ohio).
- Sentry: monitoraggio degli errori, senza contenuto delle richieste, cookie né dati utente, negli Stati Uniti.
- komoot (Photon): suggerimenti di indirizzi, in Germania.
- OpenStreetMap Foundation (Nominatim): collocare indirizzi sulla mappa, nel Regno Unito.
- OpenFreeMap: tile della mappa nell'editor delle zone del pannello, richiesti dal browser del personale.
Imponiamo loro obblighi di protezione dei dati equivalenti a quelli di questo accordo e restiamo responsabili per loro.
Se aggiungiamo o cambiamo un sub-responsabile, avvisiamo i ristoranti con un preavviso ragionevole. Il ristorante può opporsi scrivendo a [email protected] e, se non possiamo accogliere la sua obiezione, può chiudere il suo account.
Aiuto con le richieste
Aiutiamo il ristorante a rispondere alle richieste dei suoi clienti (accesso, rettifica, cancellazione e le altre), che può inoltrarci scrivendo a [email protected], e con le valutazioni d'impatto quando servono.
Violazioni dei dati personali
Se una violazione di sicurezza riguarda i dati personali del ristorante, glielo notifichiamo senza ingiustificato ritardo ed entro 72 ore da quando ne veniamo a conoscenza, con ciò che sappiamo, le sue probabili conseguenze e le misure adottate.
Cancellazione
I dati personali dei clienti vengono rimossi dagli ordini 90 giorni dopo ogni ordine. Quando il ristorante chiude il suo account, cancelliamo i suoi dati entro 30 giorni, e i backup che li contengono ancora spariscono entro altri 30 giorni al massimo.
Informazioni e verifiche
Mettiamo a disposizione del ristorante le informazioni necessarie a dimostrare che rispettiamo questo accordo, e accogliamo le sue richieste ragionevoli di verifica, o quelle di un revisore da esso incaricato, concordando prima la data e la portata.
Trasferimenti internazionali
I dati sono trattati negli Stati Uniti. Per i trasferimenti dallo Spazio economico europeo, dal Regno Unito o dalla Svizzera si applicano le Clausole contrattuali tipo della Commissione europea (da titolare a responsabile), che fanno parte di questo accordo, e, quando un fornitore è certificato, il Quadro UE-USA per la protezione dei dati personali.