Informativa sulla privacy

1. Chi è responsabile dei dati

KuKA è gestita da Vírgula Majestosa Unipessoal, Lda, numero di identificazione fiscale (NIPC) 519131410, con sede legale in Largo República da Turquia 6, Lumiar, Lisboa, Portogallo ("KuKA", "noi").

Contatto per qualsiasi questione relativa alla privacy: support@getkuka.com.

Il nostro ruolo dipende dalla situazione:

• Titolare del trattamento per i dati relativi ai visitatori dei nostri siti web, alle persone che richiedono la demo, ai clienti aziendali e ai loro amministratori, ai dati di fatturazione, ai log di sicurezza e operativi e alle statistiche della landing page.
• Responsabile del trattamento per i dati che un ristorante o un franchising (nostro cliente aziendale) inserisce in KuKA o genera tramite KuKA relativamente ai propri commensali, ordini e personale. In tal caso il ristorante è il titolare del trattamento e noi agiamo su sue istruzioni documentate, come stabilito nei termini sul trattamento dei dati di cui alla sezione 10 dei Termini di servizio per i partner.

I commensali che hanno domande sul proprio ordine o sul proprio conto sono pregati di rivolgersi prima al ristorante.

2. Ambito della presente informativa

La presente informativa riguarda i siti web KuKA (getkuka.com, www.getkuka.com) e l'applicazione KuKA (app.getkuka.com), comprese le pagine di registrazione e demo, il backoffice, le schermate del personale e le pagine per i clienti aperte tramite un codice QR a un tavolo. KuKA è disponibile in inglese, portoghese europeo, portoghese brasiliano, francese, spagnolo, olandese, tedesco, italiano, cinese semplificato e giapponese. Le versioni intendono avere lo stesso significato.

Non riguarda siti web o servizi gestiti da terzi verso cui forniamo link o che si raggiungono da KuKA, come Stripe Checkout. In quei casi si applicano le rispettive informative.

3. Quali dati raccogliamo

Visitatori dei nostri siti web

• Dati tecnici inviati dal browser al caricamento di una pagina: indirizzo IP, tipo di browser e dispositivo (user agent), indirizzo richiesto, data e ora. I nostri server e componenti di rete li registrano nei log operativi.
• Statistiche della landing page: un identificatore casuale del visitatore (memorizzato in un cookie), la variante di test mostrata (A o B), il percorso della pagina, il sito di provenienza, i tag di campagna (utm_source, utm_medium, utm_campaign), i clic sui nostri principali pulsanti di invito all'azione e l'indicazione se è stata inviata una richiesta di demo o è stata creata una demo. Le richieste che si identificano come bot o anteprime di link non vengono registrate come visite.
• La preferenza linguistica e un'indicazione approssimativa del paese fornita dal nostro edge di rete (intestazione CF-IPCountry), utilizzata solo per scegliere una lingua predefinita.

Persone che richiedono una demo

• Nome e cognome, indirizzo email, nome del locale e una password (memorizzata solo come hash).
• La data e la versione dei Termini per i partner accettati e la casella facoltativa "Voglio seguire la crescita di KuKA".
• Dati relativi alla demo stessa: quando è stata creata e scade, il suo stato, gli eventi con dati di esempio e i progressi nel tour guidato del prodotto.

Clienti aziendali e loro amministratori

• Dati dell'account: nome, indirizzo email, hash della password, fuso orario, ruolo e accesso a franchising e ristoranti, stato dell'account, data di accettazione dei Termini per i partner e stato di conferma dell'email.
• Dati aziendali: nomi di franchising e ristoranti, menù, prezzi, immagini, tavoli, turni e impostazioni inseriti. In fase di registrazione può essere fornito un numero fiscale portoghese (NIF) facoltativo.
• Dati di fatturazione: riferimenti cliente e abbonamento Stripe, stato e date dell'abbonamento, nome di fatturazione, indirizzo, numero di identificazione fiscale ed email inseriti in Stripe Checkout, numero di fattura, importi, righe IVA e stato di emissione e consegna della fattura fiscale.
• Comunicazioni: email transazionali (vedere la sezione 6) e messaggi inviati all'assistenza.

Personale del ristorante

• Dati dell'account creati dal datore di lavoro o dall'amministratore del franchising: nome, indirizzo email, hash della password, ruolo e ristoranti a cui è possibile accedere.
• Registrazioni operative: azioni compiute nell'applicazione e registrate a nome dell'utente, ad esempio chi ha chiuso il conto di un tavolo.
• Registrazioni di sicurezza: un log di controllo degli accessi per gli eventi amministrativi (come accessi concessi o revocati, creazione di SuperAdmin, token di recupero e apertura della console di osservabilità), compresi gli ID e le email degli utenti che agiscono e destinatari, il franchising o ristorante interessato e l'ora.

Commensali a un tavolo

• KuKA non richiede nome, email, numero di telefono o dati della carta di pagamento.
• Un identificatore casuale del cliente (cookie), il tavolo a cui è stato effettuato il check-in e quando, gli articoli nel carrello, gli ordini (articoli, quantità, stato, ora, pagato o non pagato) e il conto risultante, e il menù o l'opzione a prezzo fisso applicabile.
• Dati del browser e della rete descritti alla voce "Visitatori".

4. Perché utilizziamo i dati e su quale base giuridica

Quando ci basiamo su interessi legittimi, li abbiamo ponderati rispetto ai diritti dell'interessato. È possibile opporsi (vedere la sezione 11).

Non prendiamo decisioni sull'utente basate esclusivamente sul trattamento automatizzato che producano effetti giuridici o analogamente significativi. Il test A/B cambia solo la versione della landing page visualizzata.

5. Da dove provengono i dati

• Dall'utente, quando compila un modulo, utilizza l'applicazione o ci contatta.
• Dal datore di lavoro o dall'amministratore del franchising, che crea o invita account del personale.
• Dal dispositivo e dal browser, automaticamente, tramite cookie e richieste al server.
• Da Stripe, che ci comunica lo stato di un abbonamento, i pagamenti e i dettagli di fatturazione inseriti al checkout.
• Dal ristorante, per i dati operativi quali menù, prezzi e configurazione dei tavoli relativi ai clienti.

6. Chi riceve i dati

Non vendiamo dati personali. Li condividiamo solo quando necessario, con i seguenti destinatari.

I nostri amministratori della piattaforma (SuperAdmin) possono accedere alla piattaforma per fornire assistenza e sicurezza. Tale accesso è limitato per ruolo e le azioni amministrative sono registrate.

7. Trasferimenti internazionali

Alcuni dei destinatari sopra indicati, in particolare Stripe, Resend, Google e Cloudflare, si trovano o possono trovarsi negli Stati Uniti, oppure possono accedere ai dati da tale paese. Quando i dati personali escono dallo Spazio economico europeo, ci basiamo su una decisione di adeguatezza della Commissione europea (ad esempio il Data Privacy Framework UE-USA per i destinatari certificati) o sulle clausole contrattuali standard adottate dalla Commissione, insieme a misure supplementari ove necessario. L'ubicazione del nostro hosting è indicata nella sezione 6.

È possibile richiedere una copia delle garanzie applicabili scrivendoci (sezione 14).

8. Per quanto tempo conserviamo i dati

Conserviamo i dati personali solo per il tempo necessario alla finalità per cui sono stati raccolti. I periodi che possiamo indicare con precisione sono riportati di seguito. Per gli altri indichiamo i criteri applicati.

Dopo il periodo di conservazione i dati vengono cancellati o resi irreversibilmente anonimi. I dati necessari per accertare, esercitare o difendere diritti legali possono essere conservati fino alla definizione della controversia.

9. Come proteggiamo i dati

Applichiamo misure tecniche e organizzative adeguate al rischio. Le misure attualmente presenti nel prodotto includono:

• Trasporto crittografato: il sito di produzione è servito tramite HTTPS e invia un'intestazione HTTP Strict Transport Security.
• Le password sono sottoposte a hash con l'hasher di password di ASP.NET Core Identity e non vengono mai memorizzate o reinviate in chiaro. I token di accesso alla demo sono memorizzati solo come hash. I link di reimpostazione della password scadono dopo 1 ora.
• Il cookie di accesso è HttpOnly e SameSite=Lax. I moduli sono protetti contro la falsificazione delle richieste tra siti tramite token anti-falsificazione.
• Le chiavi utilizzate per proteggere cookie e token (ASP.NET Core Data Protection) sono archiviate separatamente dal database sul server.
• L'accesso è basato sui ruoli ed è limitato ai franchising e ai ristoranti concessi a un utente. Le modifiche amministrative agli accessi vengono scritte in un log di controllo.
• La nostra configurazione di tracciamento rimuove le istruzioni del database dai dati delle tracce. La console di monitoraggio è disponibile solo per gli amministratori autenticati della piattaforma.
• I dati delle carte vengono inseriti nelle pagine ospitate da Stripe, non su KuKA.

Nessun sistema è completamente sicuro. Se una violazione dei dati personali è suscettibile di mettere a rischio i diritti dell'interessato, notificheremo la CNPD entro 72 ore dalla conoscenza e informeremo gli interessati quando la legge lo richiede (artt. 33 e 34 del GDPR).

10. Cookie e tecnologie simili

I cookie sono piccoli file memorizzati nel browser. Utilizziamo cookie e archiviazione del browser solo come indicato di seguito. Non utilizziamo cookie pubblicitari né cookie di tracciamento di terze parti.

Cookie

Archiviazione del browser

Risorse di terze parti

Le nostre pagine caricano caratteri e stili di icone da Google Fonts e jsDelivr e lo script SignalR da cdnjs. Questi fornitori ricevono l'indirizzo IP e lo user agent quando il browser richiede i file. Non vengono da noi utilizzati per pubblicità o tracciamento.

Le scelte dell'utente

I cookie strettamente necessari non possono essere disattivati senza compromettere il servizio. È possibile bloccare o cancellare i cookie nelle impostazioni del browser; in tal caso i due cookie non essenziali non verranno utilizzati per le statistiche e l'applicazione potrebbe richiedere di accedere nuovamente o perdere il carrello. I cookie non essenziali sopra elencati sono limitati a statistiche anonime proprietarie e test A/B.

11. Diritti dell'interessato

Ai sensi del GDPR l'interessato ha il diritto di:

• Accedere ai dati personali che lo riguardano e riceverne una copia.
• Rettificare i dati inesatti o incompleti.
• Cancellare i dati ("diritto all'oblio") quando non sussiste più un motivo per conservarli.
• Limitare il trattamento in determinati casi.
• Portabilità: ricevere i dati forniti in un formato strutturato, di uso comune e leggibile da dispositivo automatico, quando il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati.
• Opporsi al trattamento basato su interessi legittimi, per motivi connessi alla propria situazione.
• Revocare il consenso in qualsiasi momento, senza pregiudicare il trattamento precedente (ad esempio la casella facoltativa degli aggiornamenti).
• Non essere soggetto a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o analogamente significativi. Non adottiamo tali decisioni.

Per esercitare un diritto, scrivere a support@getkuka.com. Potremmo chiedere di confermare l'identità. Rispondiamo entro un mese; in casi complessi il periodo può essere prorogato di ulteriori due mesi e ne indicheremo il motivo. L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive.

Se l'interessato è un commensale o un membro del personale, la richiesta relativa ai dati trattati per un ristorante può essere trasmessa a tale ristorante, che è il titolare del trattamento.

Reclami. L'interessato ha il diritto di presentare reclamo all'autorità di controllo: Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, Portogallo, www.cnpd.pt. È inoltre possibile presentare reclamo all'autorità del paese dell'UE in cui si risiede o si lavora. Se ci si trova in Brasile, possono applicarsi anche i diritti previsti dalla Legge n. 13.709/2018 (LGPD), esercitabili tramite lo stesso contatto.

12. Minori

KuKA è uno strumento aziendale e non è destinato ai minori di 16 anni. Non raccogliamo consapevolmente dati personali di minori. Ai clienti non vengono chiesti età o identità; se un minore è al tavolo, il ristorante è responsabile di chi effettua l'ordine. Se si ritiene che un minore abbia fornito dati a KuKA, è possibile contattarci e provvederemo alla cancellazione.

13. Modifiche alla presente informativa

Possiamo aggiornare la presente informativa per riflettere modifiche al prodotto, ai nostri fornitori o alla legge. Il numero di versione e la data sono indicati in cima a questa pagina. In caso di modifiche sostanziali, forniremo un avviso ben visibile nel prodotto o sul nostro sito web prima che entrino in vigore. Le versioni precedenti sono disponibili su richiesta.

14. Contatti

Vírgula Majestosa Unipessoal, Lda, Largo República da Turquia 6, Lumiar, Lisboa, Portogallo. NIPC 519131410.

Email: support@getkuka.com.

Documenti correlati: Termini di servizio per i partner, Termini di servizio per i clienti.