Informativa sul trattamento dei dati personali

Navigazione del sito e dei menu pubblici

Chi riguarda: Chi visita www.qubisoftware.com, il blog e i menu digitali pubblicati dai ristoranti.

Quali dati: Dati tecnici di connessione: indirizzo IP, tipo di browser e dispositivo, pagina richiesta, data e ora. Statistiche aggregate sulle visite (pagine viste, Paese, provenienza) raccolte senza cookie da DataFast, con un identificatore che cambia ogni 24 ore e non permette di riconoscere la persona.

Per cosa: Far funzionare il sito, proteggerlo da abusi e attacchi, contare le visite.

Base giuridica: Legittimo interesse del Titolare alla sicurezza e al funzionamento del sito (art. 6, par. 1, lett. f). Le statistiche con cookie (Google Analytics, Contentsquare) partono solo con il consenso: sono descritte nell'Informativa cookie.

Per quanto tempo: I log tecnici per un periodo breve, di norma non oltre 30 giorni, salvo la necessità di indagare un incidente di sicurezza. Le statistiche aggregate non contengono dati personali.

Fornitori coinvolti: Vercel (hosting), DataFast (statistiche senza cookie).

I menu pubblici sono contenuti dei ristoranti che li pubblicano. Chi vi trova un contenuto che ritiene illecito può segnalarlo ad assistenza@qubisoftware.com, indicando l'indirizzo della pagina e il motivo: è il punto di contatto previsto dal Regolamento (UE) 2022/2065 (DSA), anche per le autorità.

Richieste di contatto, demo e richiamata

Chi riguarda: Chi compila il form di /contatti o /en/contact, lascia il numero di telefono nei moduli "ti richiamiamo" o prenota una demo.

Quali dati: Nome, email, telefono, nome dell'attività, messaggio, pagina da cui arriva la richiesta.

Per cosa: Rispondere alla richiesta, richiamare, organizzare la demo e proporre il servizio.

Base giuridica: Misure precontrattuali adottate su richiesta dell'interessato (art. 6, par. 1, lett. b) e legittimo interesse del Titolare a rispondere a chi lo contatta (lett. f).

Per quanto tempo: 24 mesi dall'ultimo contatto, poi cancellazione; se la richiesta sfocia in un contratto, i dati seguono la scheda sull'account.

Fornitori coinvolti: Resend (consegna dell'email di notifica al Titolare), Featurebase (se la conversazione prosegue nel centro assistenza).

Prova del prodotto prima della registrazione (wizard di onboarding)

Chi riguarda: Chi usa il percorso pubblico /onboarding per costruire il proprio primo menu prima di creare un account.

Quali dati: Nome e tipo dell'attività, piatti e ingredienti descritti a voce o per iscritto, eventuale registrazione vocale (trascritta e poi non conservata come audio), indirizzo IP per il limite di utilizzo.

Per cosa: Mostrare il prodotto con i dati veri dell'attività e collegare il lavoro fatto all'account che viene creato subito dopo.

Base giuridica: Misure precontrattuali adottate su richiesta dell'interessato (art. 6, par. 1, lett. b).

Per quanto tempo: Fino al completamento della registrazione, dopo la quale i dati diventano Dati del Cliente; se la registrazione non avviene, cancellazione entro 30 giorni.

Fornitori coinvolti: OpenAI (trascrizione dei vocali e lettura dei testi dettati, API senza uso per l'addestramento), Supabase (archiviazione), ricerca di immagini dei piatti sul web con Serper (riceve solo il nome del piatto).

Registrazione, account e organizzazione

Chi riguarda: Chi crea un account Qubi e gli utenti invitati da un cliente nella sua organizzazione.

Quali dati: Nome, cognome, email, numero di telefono (se fornito), password in forma cifrata o accesso tramite Google, foto del profilo, nome e dati dell'attività (sede, partita IVA), ruolo e permessi, lingua, indirizzo IP e dispositivo degli accessi, preferenze e impostazioni.

Per cosa: Creare e gestire l'account, autenticare gli accessi, assegnare ruoli e permessi, erogare il servizio descritto nei Termini, inviare le comunicazioni necessarie al rapporto (conferme, avvisi di sicurezza, scadenze, report periodici richiesti).

Base giuridica: Esecuzione del contratto (art. 6, par. 1, lett. b); per i log di accesso e le difese contro gli abusi, legittimo interesse alla sicurezza (lett. f); per le fatture, obbligo di legge (lett. c).

Per quanto tempo: Per tutta la durata del contratto e per 30 giorni dopo la cessazione, come previsto dai Termini (articolo 10); poi cancellazione, compresi i backup entro il loro ciclo di rotazione. I documenti fiscali per 10 anni.

Fornitori coinvolti: Clerk (autenticazione, organizzazioni, inviti), Supabase su AWS Zurigo (database e documenti), Vercel (esecuzione dell'applicazione), Resend (email di servizio).

Abbonamento e pagamenti

Chi riguarda: I clienti che attivano un piano a pagamento.

Quali dati: Piano, periodo, importi, stato dell'abbonamento, dati di fatturazione (ragione sociale, indirizzo, partita IVA, codice destinatario), ultime quattro cifre e scadenza della carta. Il numero completo della carta è trattato solo da Stripe e non arriva mai ai sistemi del Titolare.

Per cosa: Incassare il canone, rinnovare e disdire l'abbonamento, emettere la fattura, gestire i mancati pagamenti.

Base giuridica: Esecuzione del contratto (art. 6, par. 1, lett. b) e obblighi fiscali e contabili (lett. c).

Per quanto tempo: Durata del contratto; i documenti contabili per 10 anni (art. 2220 c.c.).

Fornitori coinvolti: Clerk Billing e Stripe (pagamenti con carta), il sistema di fatturazione elettronica del Titolare.

Uso dell'applicazione e correzione degli errori

Chi riguarda: Chi usa l'applicazione dopo l'accesso.

Quali dati: Schermate visitate, comandi usati, errori tecnici con il contesto necessario a riprodurli, identificativo dell'utente e dell'organizzazione, nome ed email per collegare l'errore all'account. L'indirizzo IP viene anonimizzato all'arrivo. Non c'è registrazione dello schermo né dei testi scritti nei campi.

Per cosa: Capire quali funzioni vengono usate e quali no, trovare e correggere i malfunzionamenti, intervenire in assistenza sapendo cosa è successo.

Base giuridica: Legittimo interesse del Titolare a far funzionare e migliorare il servizio (art. 6, par. 1, lett. f). Il Titolare ha valutato che l'impatto sugli interessati è minimo: i dati restano nell'Unione Europea, non si usano per profilare la persona né per finalità commerciali.

Per quanto tempo: Fino a 12 mesi dalla raccolta; alla cancellazione dell'account vengono rimossi anche i dati che identificano la persona.

Fornitori coinvolti: PostHog (server nell'Unione Europea, Francoforte).

Assistenza e comunicazioni sul prodotto

Chi riguarda: Chi scrive all'assistenza dall'applicazione, dal centro assistenza o via email; gli utenti che ricevono le novità del prodotto.

Quali dati: Nome, email, contenuto delle richieste, eventuali schermate allegate, dati dell'account necessari a risolvere il problema; per le novità, l'email e l'eventuale rinuncia a riceverle.

Per cosa: Rispondere, risolvere i problemi, raccogliere suggerimenti, avvisare delle modifiche del servizio e delle nuove funzioni.

Base giuridica: Esecuzione del contratto (art. 6, par. 1, lett. b) per l'assistenza; legittimo interesse del Titolare a informare i propri clienti sull'evoluzione del servizio (lett. f), con possibilità di rinunciare in ogni momento dal link in fondo a ogni email. Comunicazioni promozionali vere e proprie a chi non è cliente partono solo con il consenso (lett. a).

Per quanto tempo: Le conversazioni di assistenza per 24 mesi dalla chiusura; le preferenze sulle comunicazioni finché l'account esiste.

Fornitori coinvolti: Featurebase (centro assistenza, chat e novità, server nell'Unione Europea), Resend (email).

Agente WhatsApp

Chi riguarda: Le persone i cui numeri di telefono un cliente ha autorizzato nelle impostazioni dell'applicazione.

Quali dati: Numero di telefono, nome del profilo WhatsApp, contenuto dei messaggi, foto e documenti inviati, messaggi vocali (trascritti in testo), collegamento con l'utente dell'applicazione, cronologia recente della conversazione.

Per cosa: Eseguire su WhatsApp le operazioni richieste nel gestionale (registrare temperature, movimenti di magazzino, ricette, ordini) con i permessi dell'utente collegato a quel numero, e ricordare il contesto della conversazione per capire le risposte brevi.

Base giuridica: Esecuzione del contratto con il cliente (art. 6, par. 1, lett. b). Il cliente è titolare del trattamento per i propri utenti e il Titolare agisce come responsabile (Allegato A dei Termini).

Per quanto tempo: Come i Dati del Cliente: per la durata del contratto e 30 giorni dopo; il cliente può rimuovere un numero in qualsiasi momento dalle impostazioni, e da quel momento l'agente non risponde più.

Fornitori coinvolti: Zernio (piattaforma WhatsApp Business, Spagna), Meta Platforms Ireland (rete WhatsApp), OpenAI (comprensione dei messaggi, trascrizione dei vocali, lettura di foto e documenti; API senza uso per l'addestramento).

L'agente è un sistema automatico basato su intelligenza artificiale, presentato come tale nell'applicazione dove il cliente autorizza i numeri. Lo conferma se glielo si chiede, non si spaccia mai per una persona, e le operazioni che compie sono sempre consultabili e correggibili nell'applicazione.

Funzioni di intelligenza artificiale nell'applicazione

Chi riguarda: Gli utenti che usano le funzioni AI (lettura di fatture, DDT, listini e foto; collegamento automatico delle righe di fattura agli articoli; compilazione di schede, descrizioni e valori nutrizionali; dettatura; ricerca di prezzi e immagini).

Quali dati: I documenti e le foto caricati, i testi dettati o scritti, i nomi di articoli e ricette; vi possono comparire dati personali di terzi (per esempio il nome e i contatti di un fornitore su una fattura).

Per cosa: Trasformare documenti e richieste in dati strutturati nel gestionale e proporre compilazioni che l'utente verifica.

Base giuridica: Esecuzione del contratto (art. 6, par. 1, lett. b). Per i dati di terzi contenuti nei documenti, il cliente è titolare e il Titolare responsabile.

Per quanto tempo: I risultati restano nell'account come Dati del Cliente. OpenAI conserva le richieste inviate tramite API al massimo 30 giorni per il controllo degli abusi e non le usa per addestrare modelli.

Fornitori coinvolti: OpenAI (modelli di linguaggio, visione e trascrizione, Stati Uniti), Serper (ricerca web: riceve solo il nome dell'articolo o del piatto).

Nessuna funzione AI prende decisioni con effetti giuridici o significativi sulle persone (art. 22): produce proposte che una persona controlla e conferma.

Dati di terzi inseriti dai clienti (fornitori, dipendenti, clienti del ristorante)

Chi riguarda: Le persone i cui dati compaiono nei Dati del Cliente: referenti dei fornitori, dipendenti e collaboratori del ristorante, persone indicate nelle fatture, nei registri HACCP o nelle comande importate.

Quali dati: Dati identificativi e di contatto, dati professionali e contrattuali, registrazioni operative (chi ha fatto un controllo, una conta, un movimento).

Per cosa: Erogare al cliente il gestionale: ordini ai fornitori, registri, inventario, analisi.

Base giuridica: Per questi dati il cliente è titolare del trattamento e decide finalità e base giuridica; il Titolare li tratta solo come responsabile, su istruzione del cliente, alle condizioni dell'Allegato A dei Termini. Per le richieste su questi dati il riferimento è il ristorante o l'azienda che li ha inseriti; il Titolare la aiuta a rispondere.

Per quanto tempo: Quella decisa dal cliente, entro la durata del contratto e i 30 giorni successivi.

Fornitori coinvolti: Gli stessi fornitori dell'infrastruttura: Supabase su AWS Zurigo, Vercel, Resend (email di ordine ai fornitori, se il cliente la usa), OpenAI (se il cliente usa le funzioni AI sui documenti).